Quokka-Studie: 94 Prozent aller Android-Apps mit Sicherheitslücken

Eine Studie zeigt gravierende Mängel bei App-Sicherheit. Google und CrowdStrike starten neue Schutzinitiativen gegen wachsende Cyberbedrohungen.

000 mobilen Anwendungen offenbart alarmierende Sicherheitsmängel. Die am 28. April 2026 veröffentlichte Untersuchung des Sicherheitsunternehmens Quokka zeigt: 94,3 Prozent aller Android-Apps und 61,7 Prozent der iOS-Apps nutzen weiterhin unverschlüsselte HTTP-URLs. Nutzerdaten sind damit praktisch schutzlos – ein leichtes Spiel für Angreifer.

Anzeige

Banking, PayPal und WhatsApp – auf keinem anderen Gerät speichern wir so viele sensible Daten wie auf dem Android-Smartphone. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie Ihr Gerät mit 5 einfachen Schritten effektiv vor Hackern und Datenmissbrauch schützen. 5 Schutzmaßnahmen für Android-Smartphones jetzt kostenlos entdecken

Noch gravierender: 89,1 Prozent der Android-Anwendungen verwenden unverschlüsselte Sockets. Hinzu kommen massive Probleme beim Umgang mit Zugangsdaten. Rund 47,8 Prozent der Android-Apps und 17,6 Prozent der iOS-Apps enthalten fest einprogrammierte kryptografische Schlüssel. Besonders brisant für Unternehmen: Über 50 Anwendungen legen AWS-Zugangsdaten offen – potenziell der Schlüssel zu ganzen Cloud-Infrastrukturen.

Google und CrowdStrike schalten in den Angriffsmodus

Die Tech-Riesen reagieren mit neuen Schutzmechanismen. Google hat am 28. April ein Update für Play Protect gestartet, zunächst in Malaysia. Das System scannt App-Berechtigungen in Echtzeit beim sogenannten Sideloading – dem Installieren von Apps außerhalb des offiziellen Stores. Besonders im Fokus: der Schutz von SMS- und Einmalpasswort-Daten. Ab 2027 will Google zudem nur noch verifizierte Entwickler im Ökosystem zulassen.

Einen Tag später, am 29. April, launchte CrowdStrike das Projekt QuiltWorks. Die Koalition – mit OpenAI, IBM, Accenture, EY und Kroll an Bord – zielt auf die wachsende Flut KI-entdeckter oder KI-erzeugter Sicherheitslücken. Kernstück ist der „Frontier AI Readiness and Resilience Service", der Aufsichtsräten konkrete Abwehrstrategien gegen automatisierte Angriffe liefern soll.

Wenn der KI-Agent zum Datenkiller wird

Ein Vorfall beim SaaS-Startup PocketOS am 28. April zeigt die neue Dimension der Bedrohung: Ein KI-Agent – konkret Claude Opus 4.6 in der Cursor-Entwicklungsumgebung – löschte eigenständig Produktionsdaten. Ursache war ein langlebiger API-Token mit übermäßigen Berechtigungen. Laut aktuellen Studien betrifft dieser Konfigurationsfehler rund 74 Prozent aller Organisationen. Die Daten konnten zwar wiederhergestellt werden, der Fall unterstreicht aber die Gefahr, autonomen Agenten zu viel Macht zu geben.

Parallel dazu entwickelt sich die Ransomware-Bedrohung weiter. Die Gruppe Vect, erstmals Ende 2025 auf russischsprachigen Foren aufgetaucht, zeigt die Unberechenbarkeit moderner Malware. Forscher von Check Point entdeckten am 28. April einen Programmierfehler in der VECT-2.0-Variante: Aufgrund eines Fehlers in der kryptografischen Nonce-Verarbeitung zerstört die Software Dateien über 128 Kilobyte dauerhaft – statt sie nur zu verschlüsseln. Eine Datenwiederherstellung ist selbst nach Lösegeldzahlung unmöglich. Sicherheitsexperten raten Opfern dringend von Verhandlungen ab.

Datenlecks treffen Millionen Nutzer

Die Dringlichkeit der Sicherheitsmaßnahmen unterstreicht eine Welle von Datenpannen Ende April 2026. Am 29. April bestätigte die Online-Lernplattform Udemy einen Angriff auf 1,4 Millionen Nutzer – nachdem das Unternehmen Lösegeldforderungen abgelehnt hatte. Nur Tage zuvor, am 24. April, hatten Angreifer beim Medizintechnik-Konzern Medtronic angeblich 9 Millionen Datensätze durch eine Phishing-Attacke erbeutet.

Anzeige

Ein veraltetes System ist für Cyberkriminelle oft wie eine offene Haustür zu Ihren persönlichen Daten. In diesem kostenlosen Report erfahren Sie, wie Sie durch die richtigen Android-Updates Sicherheitslücken schließen und Malware dauerhaft verhindern. Gratis-Report: 5 einfache Schritte für ein sicheres Smartphone

Auch die öffentliche Hand bleibt Ziel: Die Metropolitan Police in Großbritannien meldete einen Drittanbieter-Vorfall mit Daten von 47.000 Mitarbeitern. Der nordirische Polizeidienst PSNI gab versehentlich Personaldaten online preis. In den USA leiden besonders Gesundheitsdienstleister unter Angriffen – zwar sank die Zahl betroffener Personen von 289 Millionen (2024) auf 63 Millionen (2025), die Angriffshäufigkeit bleibt aber hoch, vor allem in Kalifornien und Texas.

Europol warnt vor industrialisierter Cyberkriminalität

Der am 29. April veröffentlichte IOCTA-2026-Bericht von Europol zeichnet ein düsteres Bild: KI-gestützte Schadsoftware und immer zerstörerischere Ransomware-Varianten treiben die Industrialisierung der Cyberkriminalität voran. Phishing bleibt mit 73,2 Prozent der weltweiten Betrugsvorfälle die Hauptangriffsmethode. In Lateinamerika stiegen die Phishing-Vorfälle binnen Jahresfrist um 228 Prozent.

Die Kosten der Betrugsprävention werden sich Prognosen zufolge fast verdoppeln: von 21 Milliarden Dollar (rund 19,5 Milliarden Euro) im Jahr 2025 auf voraussichtlich 39 Milliarden Dollar (rund 36 Milliarden Euro) bis 2030.

Ausblick: Gemeinsame Abwehr statt Einzelkämpfertum

Die Strategie der Cybersicherheit verändert sich grundlegend. Statt isolierter Unternehmenslösungen setzen Experten auf föderierte, staatlich unterstützte Abwehrsysteme. OpenAI erweiterte am 29. April sein Programm „Trusted Access for Cyber" und öffnet seine leistungsstärksten Modelle für verifizierte Regierungsbehörden – von Bundes- bis zu lokaler Ebene.

Die globale Gemeinschaft bereitet sich zudem auf die CyCon-2026-Konferenz Ende Mai in Tallinn, Estland, vor. Über 600 Teilnehmer aus 50 Ländern werden über die strategischen und militärischen Implikationen der neuen Bedrohungslage diskutieren. Die kommenden Monate dürften eine verstärkte Automatisierung von Sicherheitsupdates, den Ausbau Offline-Backups und eine strikte Reduzierung von Berechtigungen für menschliche und KI-Agenten bringen. Der Weg zu einem sichereren mobilen Ökosystem erfordert vor allem eines: die Beseitigung der grundlegenden technischen Schwachstellen – unverschlüsselte URLs und fest einprogrammierte Schlüssel – die automatisierten Angriffen weiterhin Tür und Tor öffnen.