Auch monatliche Sicherheitsupdates können Android nicht retten

Natürlich klingt das zunächst gut, wenn Hersteller auf einmal monatliche Sicherheitsupdates versprechen. Der besorgte Kunde weiß dann, dass er die neusten Patches für die bekannt gewordenen Android-Sicherheitslücken bekommt. Aber war das im Grunde nicht schon immer so?

Erinnert Ihr Euch noch an den Tastatur-Bug, der bei Samsung vor ein paar Monate festgestellt wurde? Samsung hat sich ziemlich schnell darum gekümmert, weil man das Problem sehr ernstgenommen hatte. Und wenn man ehrlich ist, versucht Samsung schon seit einem halben Jahr, den Plan mit den monatlichen Updates umzusetzen. Dasselbe gilt für den Sicherheits-Zwischenfall bei LG, der binnen weniger Tage behoben wurde. Als die Medien darüber zu berichten begannen, waren die Patches schon unterwegs zu den Kunden.

Dasselbe gilt für die meisten Sicherheits-Pannen in Android. Wenn das Problem groß genug ist, bekommen es Google, Smartphone-Hersteller und die Mobilfunkprovider erstaunlich schnell auf die Reihe, die entsprechenden Updates zu liefern. Dasselbe auf monatlicher Basis zu versprechen, klingt einfach nur netter. Dabei darf man nicht vergessen, dass diese Updates immer nur auf den neusten Flaggschiff-Geräten ausgerollt werden. Mittelklasse-Geräte, die fast jeder hat, bekommen sie gar nicht. Damit verkommt das edel anmutende Versprechen zu einem Service für wenige Prozent der Nutzer.

Immerhin werden kleinere Sicherheitslücken endlich auch bedient. Statt eines Updates alle paar Monate, sind Lücken nun maximal einen Monat offen. Doch auch dies gilt nur für Besitzer neuerer Geräte, und wenn Samsung, LG und Co. dem Beispiel von Google folgen, ist auch nur für wenige Jahre mit Service zu rechnen; selten ist der Wartungszeitraum so groß wie die übliche Nutzungsdauer. Ein Blick in die Opensignal-Statistik zeigt, dass noch immer das drei Jahre alte Samsung Galaxy S3 das am weitesten verbreitete Smartphone ist. Und dessen letztes Software-Update liegt über ein Jahr zurück.

Die monatlichen Updates werden in Sachen Priorisierung nach wie vor nicht viel ändern. Wenn es in einem Monat fünf Sicherheitslücken gibt, werden sie der Wichtigkeit nach abgearbeitet und die weniger wichtigen bleiben einfach offen. Und mancher Bug wird sich noch immer nicht innerhalb eines fixen Zeitrahmens beheben lassen.

Man muss auch bedenken, dass die Sicherheitslücken oft Monate vor Ihrer Bekanntmachung ausgenutzt werden. Nur weil man den Patch-Prozess beschleunigt, heißt es nicht, dass auch die Lebenszeit einer Sicherheitslücke bedeutend verkürzt wird. Schauen wir uns die LG-Lücke an: Die Forscher, die diese entdeckt haben, sagten, dass sie schon ein Jahr alt gewesen sei. Das Problem lag also nicht in der Reaktionszeit von LG, sondern in der Trägheit der Entdeckung.

Während also der Fokus auf die Reaktionszeit löblich ist, ist der Weg zur perfekten Android-Sicherheit noch lang. Es ist schön zu sehen, dass Smartphone-Hersteller, die Provider und Google endlich enger zusammenrücken, um die Lücken zu schließen, doch die nächste Priorität muss sein, diese schneller zu finden, unabhängig von externen Forschern, die auf einmal auf sie hinweisen.

Es gibt eine Möglichkeit, zu sehen, ob Euer Gerät von der Stagefright-Lücke betroffen ist und es gibt Wege, auch ohne Software-Update ein wenig Schutz zu finden. Erfahrt mehr über die weißen Hut entlarvt wurden.

Wie geht es Euch bei der Sache? Sind für Euch Sicherheitslücken ein ernstes Thema oder seht Ihr die Angelegenheit entspannt?