Google schließt 107 Sicherheitslücken in Android und Chrome

Zwei Zero-Day-Lücken werden bereits aktiv ausgenutzt. Google und die US-Behörde CISA warnen vor akuten Angriffen auf Android-Geräte. Nutzer müssen sofort handeln.

Die digitale Sicherheit von Millionen Smartphone-Nutzern steht auf dem Spiel. Google hat am Dienstag massive Sicherheitsupdates für Android und Chrome veröffentlicht. Das Alarmierendste: Hacker nutzen bereits einige der nun geschlossenen Lücken aktiv aus. Die US-Behörde CISA bestätigt die Angriffe und setzt Bundesbehörden eine strikte Update-Frist.

Das Android Sicherheitsbulletin vom Dezember 2025 offenbart 107 Sicherheitslücken. Zwei davon stuft Google als Zero-Day-Exploits ein – Angreifer kannten diese Schwachstellen bereits, bevor ein Patch verfügbar war.

Anzeige

Passend zum Thema Android-Sicherheitslücken: Viele Android-Nutzer übersehen diese 5 einfachen Schutzmaßnahmen – und bleiben so unnötig angreifbar. Das kostenlose Sicherheitspaket erklärt Schritt für Schritt, wie Sie System-Updates korrekt einspielen, Chrome sicher konfigurieren, geprüft Apps auswählen und Backups anlegen. Mit Checklisten speziell für WhatsApp, Online-Banking und Zahlungs-Apps. Schnell, praxisnah und per E‑Mail. Es eignet sich perfekt, wenn Sie kürzlich Sicherheitswarnungen erhalten haben oder Patches verzögert werden. Jetzt das kostenlose Android-Sicherheitspaket anfordern

Die kritischen Lücken im Detail:

• CVE-2025-48572 (Privilege Escalation): Ermöglicht Angreifern, Sicherheitsbarrieren zu umgehen und tiefgreifenden Gerätezugriff zu erlangen
• CVE-2025-48633 (Information Disclosure): Gewährt Unbefugten Zugriff auf geschützte, sensible Informationen

Google bestätigt: Die Lücken stehen “unter begrenzter, zielgerichteter Ausnutzung”. Vermutlich kommen sie bei Spionagekampagnen zum Einsatz. Zusätzlich patcht Google CVE-2025-48631, eine kritische Remote-Denial-of-Service-Lücke, die Geräte aus der Ferne lahmlegen könnte.

Chrome 143 stopft 13 Browser-Sicherheitslücken

Parallel erscheint Chrome 143 (Build 143.0.7499.52) für Android. Der Browser schließt 13 Sicherheitslücken, vier davon mit hohem Schweregrad. Diese betreffen hauptsächlich Fehler in der Speicherverwaltung – ein klassischer Angriffsvektor für Schadcode-Einschleusung.

Manipulierte Webseiten könnten diese Lücken nutzen, um Browser zum Absturz zu bringen oder Code auszuführen. Das Update rollt über den Play Store aus. Nutzer sollten in den Store-Einstellungen prüfen, ob die Aktualisierung bereits verfügbar ist.

CISA setzt Bundesbehörden Ultimatum bis 23. Dezember

Die US-Behörde für Cybersicherheit reagiert drastisch. Am 2. Dezember nahm die CISA beide Android-Zero-Days in ihren Katalog der “Known Exploited Vulnerabilities” auf.

Die Konsequenz: US-Bundesbehörden müssen bis zum 23. Dezember 2025 alle betroffenen Geräte gepatcht haben. Diese rechtlich bindende Anordnung gilt zwar nur für Regierungsstellen, sendet aber ein klares Signal an Unternehmen und Privatnutzer weltweit: Die Bedrohung ist real und akut.

Qualcomm-Chips im Visier der Angreifer

Das Dezember-Update adressiert auch Hardware-Schwachstellen. Mehrere kritische Fehler stecken in Qualcomm-Komponenten, die in Millionen Android-Smartphones verbaut sind.

Besonders brisant: CVE-2025-47319 in geschlossenen Qualcomm-Komponenten. Die kritische Lücke ermöglicht die Preisgabe sensibler Systeminformationen. Da diese Fehler tief in der Chip-Firmware sitzen – etwa im Modem oder Grafikprozessor – sind sie schwerer zu erkennen als reine Softwarefehler.

Google bündelt diese Fixes im “2025-12-05 Security Patch Level”. Nutzer sollten unter “Telefoninfo” > “Softwareinformationen” prüfen, ob ihr Patch-Level mindestens vom 5. Dezember stammt.

Fragmentierung bleibt das zentrale Problem

Pixel-Nutzer erhalten Updates sofort. Doch wer ein Samsung, Xiaomi oder Motorola besitzt, muss oft Tage oder Wochen warten. Die Hersteller müssen die Patches erst für ihre spezifischen Geräte anpassen. In dieser Zeit bleiben Millionen Smartphones angreifbar.

Die Verschiebung der Angriffsziele ist deutlich: Cyberkriminelle konzentrieren sich zunehmend auf mobile Betriebssysteme. Das Smartphone speichert Bankzugänge, Identitätsdaten und Zwei-Faktor-Codes – ein lukratives Ziel.

Zero-Day-Lücken im Android-Framework sind besonders gefährlich. Das Framework bildet das Gerüst für alle Apps. Ein Fehler hier kann die Sandboxing-Mechanismen aushebeln, die eigentlich verhindern sollen, dass bösartige Apps auf fremde Daten zugreifen.

Was Nutzer jetzt tun müssen

Sofortmaßnahmen:

1. System-Update installieren: Einstellungen öffnen und manuell nach Software-Updates suchen
2. Browser aktualisieren: Play Store aufrufen und Chrome auf neueste Version bringen
3. Vorsicht bei Links: Bis zur Update-Installation erhöhte Skepsis bei SMS- und E-Mail-Links

In den kommenden Tagen werden Samsung und andere große Hersteller die Patches in ihre monatlichen Updates integrieren. Die Bedrohungslage zum Jahresende 2025 bleibt angespannt – Sicherheitsupdates sind keine optionale Wartung mehr, sondern kritische Notwendigkeit.

Anzeige

PS: Sie möchten Ihr Android jetzt sofort besser schützen? Dieses Gratis-Ratgeber-Paket fasst die 5 wichtigsten Maßnahmen kompakt zusammen — inkl. Schritt-für-Schritt-Anleitungen und einer Checkliste für schnelle Prüfungen nach Updates. Keine teuren Apps nötig, sofort umsetzbar und ideal bei Zero-Day-Warnungen wie dieser. Fordern Sie das Paket per E‑Mail an und sichern Sie Ihr Smartphone in wenigen Minuten. Kostenloses Android-Sicherheits-Paket sichern