Android: SMS-Fernlöschung auch bei HTC- und Motorola-Geräten möglich

Die gute Nachricht zuerst: Samsung hat einen Patch veröffentlicht, der die kürzlich bekannt gewordene Fernlöschmöglichkeit bestimmter Galaxy-Smartphones zum Verschwinden bringen soll. Die schlechte: Der Hersteller ist offenbar nicht der einzige, der von dem Problem betroffen ist.

"The Verge" führt erfolgreiche Fernlöschungen bei einem HTC One X, dem Motorola Defy und einem HTC Desire auf. In Android-Foren sammeln Nutzer weiterhin auch Samsung-Fälle etwa vom Galaxy S Plus oder dem Galaxy Ace, da der Hersteller sich zunächst um sein aktuelles Flaggschiff Galaxy S III kümmerte. Bislang ist weder klar, wann der Patch nach Europa kommt, noch was gegen das Problem auf älteren Geräten getan wird.

In einer Stellungnahme ließ Samsung mitteilen, es gebe inzwischen Software, um das Problem zumindest auf dem Galaxy S III zu beheben. Die Lücke betrifft nach Einschätzung des Unternehmens nur frühe Ausgaben des Modells, nicht aktuell zum Kauf stehende Neugeräte.

Ein Forscher der TU Berlin hatte bei der ekoparty-Sicherheitskonferenz in Buenos Aires die Sicherheitslücke offenbart, die für diesen Trubel sorgt: Auf verschiedenen Wegen, zum Beispiel via WAP Push SMS, über einen QR Code oder über eine Internetseite ließ sich ein Zeichencode an das Mobiltelefon schicken, der das Telefon in den Werkszustand zurückversetzten kann, indem er den gesamten Speicher löscht.

Verursacht wird das Problem durch die sogenannten USSD-Codes (Unstructured Supplementary Service Data), die in Samsung-Geräten zu eben diesem Zweck implementiert sind: um den Auslieferungszustand wieder herzustellen. Nur, dass dafür gewöhnlich manuelle Betätigung benötigt wird. Konkret liegt das Problem in "tel:"-Befehlen, wie sie zum Beispiel ausgelöst werden, wenn man in der Google-Suche auf eine verlinkte Telefonnummer klickt, die dann direkt gewählt wird.

Bis sich alle potentiell betroffenen Hersteller dem Problem widmen, lässt sich die Ausführung eines solchen Befehls - dann allerdings grundsätzlich - mit der App "NoTelURL" verhindern.