4.2 veröffentlicht. Es schließt die Schwachstelle CVE-2026-28950, durch die gelöschte Benachrichtigungen wiederherstellbar blieben. Parallel warnen Kaspersky-Experten vor der Malware SparkCat, die gezielt Fotogalerien nach Krypto-Zugangsdaten durchsucht.
Forensische Lücke in iOS geschlossen
Die Sicherheitslücke betraf interne Datenbanken des Betriebssystems. Gelöschte Benachrichtigungen mit sensiblen Inhalten – Einmalpasswörter, Bestätigungscodes für Zwei-Faktor-Authentifizierung oder private Nachrichtenfragmente – blieben dort erhalten. In Sicherheitskreisen heißt es, das FBI habe diese Lücke für Ermittlungen genutzt.
Viele iPhone-Nutzer übersehen nach System-Aktualisierungen entscheidende Sicherheitseinstellungen, die ihre Privatsphäre gefährden können. Ein Apple-Experte erklärt in diesem kostenlosen Ratgeber, wie Sie iOS-Updates künftig ohne Stress und Datenverlust installieren. Kostenlosen Update-Guide für das iPhone sichern
Der Patch stellt nun sicher, dass Löschvorgänge in der Benachrichtigungszentrale auch die Datenbankeinträge unwiderruflich entfernen. Apple bereitet parallel iOS 26.5 vor, dessen vierte Beta bereits Ende April erschien. Die neue Version bringt unter anderem Ende-zu-Ende-Verschlüsselung für den RCS-Standard – ein Sicherheitsgewinn für die Kommunikation zwischen iPhone und Android.
SparkCat: Trojaner scannt Screenshots
Während Apple Systemlücken schließt, warnen Kaspersky-Forscher vor einer anderen Gefahr: SparkCat tarnt sich als legitime App in offiziellen Stores. Einmal installiert, fordert der Trojaner Zugriff auf die Fotogalerie und scannt Bilder nach Seed Phrases – jenen Wortkombinationen, die als Hauptschlüssel für Krypto-Wallets dienen.
Viele Nutzer fotografieren oder screenshoten ihre Wiederherstellungsschlüssel, statt sie händisch zu notieren. SparkCat automatisiert den Diebstahl dieser Daten durch Bildanalyse. Betroffene Apps wurden bereits aus Google Play und dem Apple App Store entfernt.
Der Trend zu spezialisierter Malware wird durch FBI-Berichte gestützt: Smishing-Angriffe – Phishing per SMS – sind demnach um 700 Prozent gestiegen.
SMS-Blaster und NFC-Relais
Die Bedrohungslage geht über lokale Daten hinaus. SMS-Blaster imitieren Mobilfunkmasten und zwingen Smartphones in bis zu einem Kilometer Umkreis ins unsichere 2G-Netz. Angreifer verschicken Phishing-Nachrichten, ohne Telefonnummern zu kennen. In der Schweiz entstanden Schäden in Millionenhöhe, besonders in Genf und Waadt. In Toronto führte ein solcher Blaster zu 13 Millionen Netzwerkstörungen – die Polizei nahm Verdächtige fest.
Die Malware-Familie NGate nutzt eine NFC-Relais-Technik. Opfer installieren manipulierte Apps, die Steuerrückzahlungen oder Bank-Updates vortäuschen. Hält das Opfer seine Bankkarte ans Smartphone, werden die Daten per NFC an den Angreifer übertragen – der damit Geld abhebt. Rund 18 Prozent der Erkennungen entfallen auf Deutschland.
Ob SMS-Phishing oder manipulierte Apps – wer Online-Banking und PayPal am Smartphone nutzt, ist zunehmend komplexen Hacker-Angriffen ausgesetzt. Dieser kostenlose PDF-Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihr Gerät in wenigen Minuten wirksam gegen Datenmissbrauch absichern. Gratis-Ratgeber: 5 Schutzmaßnahmen für Ihr Smartphone
Britisches Gesetz für IoT-Sicherheit
Großbritannien führt Ende April das PSTI-Regime ein – das weltweit erste Gesetz für Mindestsicherheitsstandards bei internetfähigen Geräten. Hersteller müssen schwache Standardpasswörter verbieten und klare Update-Zeiträume angeben. Verstöße verfolgt das Office for Product Safety and Standards.
Doch Hardware-Lücken bleiben kritisch. In Qualcomm-Chipsätzen von 2014 bis 2019 wurde die Schwachstelle CVE-2026-25262 im BootROM entdeckt. Da dieser Teil nach der Produktion nicht mehr änderbar ist, gibt es für Geräte wie das Samsung Galaxy S10 5G oder Google Pixel 2 keinen Patch. Angreifer mit physischem Zugriff können den Secure-Boot umgehen und Malware tief im System verankern – selbst nach einem Reset.
KI senkt Hürden für Cyberkriminelle
Die IT-Sicherheit zeigt eine deutliche Professionalisierung der Angreifer. KI-gestützte Tools zur Malware-Erstellung und Datenanalyse senken laut Sandra Joyce von Google Threat Intelligence die Einstiegshürden. Während Unternehmen KI zur Dark-Web-Analyse nutzen, setzen Kriminelle ähnliche Technologien für skalierte Phishing-Kampagnen oder Deepfakes ein.
Eine politische Dimension bekam der Fall Signal: Über 300 Konten von deutschen Politikern, Journalisten und Militärangehörigen wurden durch Phishing kompromittiert. Angreiber gaben sich als Support-Mitarbeiter aus, um Registrierungscodes zu erschleichen. Die Verschlüsselung selbst blieb intakt – der Vorfall zeigt die Effektivität von Social Engineering. Die Bundesregierung vermutet staatliche Akteure aus Russland. Im Bundestag wird über einen Wechsel zu alternativen Diensten wie Wire diskutiert.
Ausblick: iOS 26.5 und Android 16 QPR2
Apple plant für Mai die Veröffentlichung von iOS 26.5 mit einem neuen Abonnement-Modell für EU-Entwickler. Die EU-Kommission treibt im Rahmen des Digital Markets Act die Öffnung von Android für Drittanbieter-KI voran. Google kritisiert dies als Sicherheitseingriff – der Zugriff auf lokale Daten müsste für externe Assistenten wie ChatGPT ausgeweitet werden.
Android 16 QPR2 bringt KI-gestützte Benachrichtigungszusammenfassungen und besseren Schutz für SMS-OTP-Codes. Für Nutzer älterer Geräte wird die Luft dünner: WhatsApp stellt den Support für Android unter Version 5.1.1 zum 8. September 2026 ein. Das betrifft weltweit rund 21 Millionen Geräte. Sicherheit definiert sich zunehmend nicht mehr nur durch Software-Updates, sondern durch Hardware-Zyklen und staatliche Regulierung.
