Florian Draschbacher: Die Sicherheitslücke beim Handywechsel, die Milliarden Nutzer betrifft

Die Entdeckung

Untersucht wurden sieben verbreitete Datenmigrations Apps großer Hersteller. Bei jeder einzelnen App fanden die Forschenden Schwachstellen, die Angreifern den Zugriff auf private Daten erlauben.

Zusammen mit dem Zentrum für sichere Informationstechnologie stellte das Team der Technischen Universität Graz seine Erkenntnisse unter der Bezeichnung Clone2Pwn auf dem European Symposium on Research in Computer Security 2026 in Rom vor. Damit sind die Schwachstellen erstmals öffentlich dokumentiert.

So funktioniert der Angriff

Wer ein neues Smartphone einrichtet, überträgt Fotos, Kontakte, Nachrichten und Zugangsdaten meist per Funk auf das neue Gerät. Genau in diesem Moment setzt der von Draschbachers Team beschriebene Angriff an: Befindet sich ein Angreifer in Funkreichweite, kann er die Übertragung mitlesen.

In Innenräumen reicht diese Reichweite nach Angaben der TU Graz etwa 20 bis 45 Meter weit. Die dafür nötige technische Ausrüstung kostet weniger als 100 Euro. Die Forschenden konnten dabei SMS, Kontakte, Fotos, Gesundheitsdaten und gespeicherte WLAN-Passwörter auslesen. In einzelnen Fällen gelang es sogar, manipulierte App-Pakete mit Schadsoftware auf das neue Gerät einzuschleusen, ohne dass Nutzer davon etwas bemerkten.

Hintergrund des Instituts

Die IT-Sicherheitsforschung besitzt an der TU Graz eine beachtliche Tradition: Fachleute des dortigen Institute of Information Security erlangten bereits weltweite Aufmerksamkeit, als sie an der Entdeckung der gravierenden Prozessor-Schwachstellen Meltdown und Spectre beteiligt waren.

Im April 2026 eröffnete die TU Graz zudem den Cybersecurity Campus Graz als neuen Standort für die IT-Sicherheitsforschung. Dort sollen künftig weitere Projekte aus dem Bereich der angewandten Sicherheitsforschung entstehen.

Reaktion der Hersteller

Die Forschenden informierten die betroffenen Unternehmen, bevor sie ihre Ergebnisse öffentlich vorstellten. Die betroffenen Unternehmen räumten das Ausmaß der Mängel ein, fünf Warnmeldungen davon wurden als hoch eingestuft. Insgesamt wurden die betroffenen Apps zusammen mehr als 12 Milliarden Mal heruntergeladen, was zeigt, wie viele Geräte potenziell betroffen waren.

Alle sieben Hersteller haben inzwischen Sicherheits-Updates bereitgestellt, die die gemeldeten Lücken schließen sollen. Für Nutzer bedeutet das, dass ein aktuelles Betriebssystem allein nicht ausreicht, solange auch die Datenmigrations-App selbst nicht aktualisiert wurde.

Nächster Schritt

Draschbacher empfiehlt Nutzerinnen und Nutzern, vor einer Datenmigration zunächst zu prüfen, ob die aktuellste Version der jeweiligen Datenmigrations-App sowie alle relevanten Systemupdates installiert sind. Erst danach sollte der Wechsel auf ein neues Smartphone erfolgen, um die inzwischen geschlossenen Lücken auch tatsächlich zu nutzen.