Android: Reset-Lücke nicht nur bei Samsung

Eine Sicherheitslücke im Zusammenhang mit USSD-Codes erlaubte es Angreifern, alle Daten auf einem Samsung Galaxy S3 aus der Ferne zu löschen (PCtipp.ch berichtete). Alternativ lässt sich auch die SIM-Karte des Opfers sperren. Doch während der Entdecker des Problems anfangs noch dachte, es handle sich um eine Lücke in Samsungs hauseigener Software Touchwiz, sieht es nach aktuellem Stand ganz anders aus. Denn, wie jetzt bekannt wurde, sind anscheinend auch HTC-Geräte betroffen. HTC nutzt statt Touchwiz die hauseigene Sense-Oberfläche.

Testen Sie, ob Sie betroffen sind

Der Neuseeländer Dylan Reeve, der sich selbst als Geek bezeichnet, hat einen Test entwickelt, der feststellen soll, ob Ihr Android-Smartphone ebenfalls betroffen ist. Rufen Sie die folgende URL im Browser Ihres Smartphones auf: dylanreeve.com/phone.php. Wenn Ihr Smartphone daraufhin automatisch die Tastatur zum Wählen einer Telefonnummer und zugleich die IMEI-Nummer in einem Pop-Up anzeigt, sind Sie laut Test von der Sicherheitslücke betroffen. Wird nur «*#06#» (ohne Anführungszeichen) angezeigt, sollte Ihr Smartphone diesbezüglich sicher sein (siehe Bild).
Unsere Kollegen von der PC-Welt konnten mithilfe des Tests das Problem nicht nur mit einem HTC Desire, HTC One S, HTC Sensation XE und Samsung Galaxy S feststellen, sondern auch mit einem LG Optimus Speed. Letzteres nutzt weder Touchwiz noch Sense. Es drängt sich also die Frage auf, ob ein allgemeines Android-Problem vorliegt – zumindest bei älteren Versionen. Das Sony Xperia Mini mit Android 4.1 war im Redaktions-Check laut Test nicht betroffen.

So schützen Sie sich

Samsung hat zumindest für das Galaxy S3 bereits ein Update bereitgestellt, das die Sicherheitslücke schliessen soll. Die Koreaner raten dringend zur Installation des Updates. Alle Betroffenen ohne verfügbares Update können sich die App TelStop oder Auto-Reset Blocker installieren. Die Gratis-Apps führen eine zusätzliche Abfrage ein - der Hacker bekommt die USSD-Codes also nicht mehr automatisch. Aber Vorsicht: Wenn Sie etwa bei TelStop auf «Aktion durchführen mit Telefon» statt auf «Aktion durchführen mit TelStop» tippen, tappen Sie trotzdem in die Falle. Mit der App NoTelURL unterbinden Sie das Aufrufen von Telefonnummern aus dem Webbrowser komplett. Setzen Sie für mehr Sicherheit ein Häkchen und verwenden Sie «NoTelURL» als Standard, wenn Sie auf das Feature verzichten können.