Am 2. November 2026 hat Google das Android-Sicherheitsbulletin für November veröffentlicht. Es schließt 216 Schwachstellen, 23 davon kritisch und 193 hoch. Die schlimmste ist eine Lücke in der Framework-Komponente, über die ein Angreifer aus der Ferne Code auf einem Handy ausführen kann, ohne dass der Besitzer etwas antippt und ohne zusätzliche Rechte. Was Sie heute tun müssen, ist einfach: Bitten Sie jeden Mitarbeiter, der Firmen-E-Mails, WhatsApp Business oder eine Banking-App auf einem Android-Handy öffnet, das Update zu installieren und zu prüfen, ob das Datum unter «Android-Sicherheitsupdate» in den Einstellungen den 5. November 2026 oder später zeigt. Ein Handy mit Android 13 oder älter bekommt diesen Fix nicht, denn das Bulletin deckt nur die Versionen 14 bis 17 ab.
Was genau hat Google behoben?
Laut dem Android-Sicherheitsbulletin für November 2026 kommen die Korrekturen in zwei Stufen. Die Stufe vom 1. November umfasst 119 Schwachstellen, 8 davon kritisch, in Kernbereichen des Systems wie Framework, System und der Laufzeitumgebung. Die Stufe vom 5. November umfasst 97 Schwachstellen, 15 davon kritisch, im Linux-Kernel (31 Lücken) und in Komponenten der Chiphersteller: MediaTek (30), Qualcomm (17 in offenen und geschlossenen Teilen), Imagination (12), Unisoc (4) und Arm (3). Ein Handy auf der Stufe vom 5. November ist gegen die Lücken beider Stufen geschützt.
Google schreibt, die schwerste Lücke (CVE-2026-58868) könne zur Remote-Codeausführung führen, ohne dass zusätzliche Ausführungsrechte oder eine Interaktion des Nutzers nötig sind. Der Abschnitt System enthält zwei weitere kritische Lücken derselben Art (CVE-2026-58876 und CVE-2026-58936) sowie drei kritische Lücken zur Rechteausweitung.
Eine Nachricht, die das Gespräch beendet: die WAP-Push-Lücke
Zu den kritischen Lücken gehört ein Denial-of-Service-Fehler (CVE-2026-58882). Der Bericht von CyberInsider erklärt, dass eine einzige fehlerhafte WAP-Push-Nachricht genügt, um den Telefonprozess von Android abstürzen zu lassen. Laufende Gespräche, auch Notrufe, brechen ab, ohne dass die Nachricht je im Posteingang erscheint oder der Empfänger etwas öffnet. Schlimmer noch: Wiederholte Nachrichten können den Absturz selbst nach einem Neustart erneut auslösen. Die beruhigende Seite: Der Bericht fand bislang keine Ausnutzung in freier Wildbahn. Der Proof-of-Concept-Code ist aber öffentlich, die Zeit zwischen Veröffentlichung und Angriffen kann also kurz sein.
Stellen Sie sich einen Außendienstmitarbeiter oder Fahrer vor, der den ganzen Tag am Handy hängt und dessen Gespräche jedes Mal abbrechen, wenn eine Nachricht eintrifft, die er nie sieht. Das ist kein Datenleck, aber die Arbeit steht still.
Wann kommt das Update auf Samsung-Handys?
Samsung hat sein Security Maintenance Release für November 2026 am 3. November veröffentlicht. Es enthält Googles Korrekturen und vier Patches von Samsung Semiconductor und nennt 24 Galaxy-spezifische Punkte. Ein veröffentlichtes Bulletin heißt aber nicht, dass jedes Gerät das Update am selben Tag erhält: Es wird in Wellen nach Modell und Region verteilt, und manche älteren Modelle bekommen Sicherheitsupdates nur alle drei Monate statt monatlich. Geben Sie sich also nicht mit «Hast du aktualisiert?» zufrieden. Fragen Sie nach dem Datum in den Einstellungen.
5 Schritte für die Handys Ihres Unternehmens in dieser Woche
- Erfassen Sie die Handys: jedes Android-Handy, mit dem ein Mitarbeiter auf Firmen-E-Mails, Systeme oder Banking-Apps zugreift, egal ob Firmenhandy oder privates Gerät.
- Prüfen Sie das Sicherheitsdatum: Laut der Hilfeseite von Google finden Sie es in den Einstellungen unter «Über das Telefon» oder «Sicherheit», beschriftet mit «Android-Sicherheitsupdate». Ziel ist 2026-11-05 oder später, sobald es für das Modell verfügbar ist.
- Installieren Sie auch das Google-Play-Systemupdate: Ein Teil der Korrekturen vom 1. November kommt darüber, und es erscheint in denselben Einstellungen mit eigenem Datum.
- Behandeln Sie alte Geräte als bekanntes Risiko: Ein Handy, das auf Android 13 oder älter festhängt, fällt aus diesem Bulletin heraus. Halten Sie es von sensiblen Firmenkonten fern und planen Sie den Austausch.
- Machen Sie die Regel automatisch: Geräteverwaltungstools wie Microsoft Intune erlauben einen Mindest-Sicherheitspatchstand, sodass ein älteres Gerät von E-Mail und Systemen ausgesperrt bleibt, bis es aktualisiert ist.
Ist die Android-App Ihres Unternehmens betroffen?
Diese Lücken stecken im Betriebssystem selbst, nicht in Ihrer App, Sie müssen Ihren Code also nicht deswegen ändern. Ihre App läuft aber auf diesem System: Zeigt sie Kundendaten an oder nimmt sie Zahlungen entgegen, schwächt ein ungepatchtes Handy den Schutz, den Sie aufgebaut haben. Manche Banking-Apps nutzen die Play Integrity API, um unsichere Geräte abzuweisen, und sensible Business-Apps können dasselbe tun. Und wenn Sie eine interne App außerhalb des Stores verteilen, lesen Sie auch unseren Artikel über Googles Einschränkungen für Installationen außerhalb des Stores.
Die Sicht von Origami
Die meisten Einbrüche beginnen nicht beim Firmenserver. Sie beginnen beim Gerät eines Mitarbeiters, auf dem seine E-Mails, Nachrichten und Passwörter liegen. Das monatliche Update ist kostenlos und dauert Minuten, aber in einem Unternehmen, in dem niemand nachhält, passiert es nicht von selbst. Machen Sie die Prüfung des Sicherheitsdatums zu einem festen Termin am Anfang jedes Monats, wie die Prüfung verdächtiger E-Mails, die wir in unserem Artikel über Phishing-E-Mails beschrieben haben. Wenn wir maßgeschneiderte Apps und Systeme entwickeln, bauen wir eine Prüfung der Geräteintegrität und der Systemversion ein, bevor sensible Daten angezeigt werden. Wenn Sie eine Überprüfung der Geräte Ihres Teams oder Ihrer App wünschen, kontaktieren Sie uns oder sehen Sie sich unsere Leistungen an.
Quellen
- Google — Android Security Bulletin, November 2026: Anzahl der Schwachstellen, Patchstufen, betroffene Komponenten und Android-Versionen 14 bis 17.
- Samsung — Mobile Security Updates (SMR Nov-2026): Veröffentlichungsdatum, Patches von Samsung Semiconductor und Galaxy-Punkte.
- Google — Android-Hilfe: Android-Version prüfen und aktualisieren: wo das Datum des Sicherheitsupdates in den Einstellungen steht.
- CyberInsider — Android-Update vom November und die WAP-Push-Lücke: wie CVE-2026-58882 funktioniert und der öffentliche Proof of Concept.
Häufige Fragen
Woran erkenne ich, dass mein Android-Handy das Update vom November 2026 hat?
Öffnen Sie die Einstellungen, dann «Über das Telefon» oder «Sicherheit», und suchen Sie nach «Android-Sicherheitsupdate». Steht dort der 5. November 2026 oder später, ist das Handy gegen alle Lücken des November-Bulletins geschützt; steht dort der 1. November, nur gegen einen Teil davon.
Erreicht das November-Update ein Handy mit Android 13?
Nein. Googles Bulletin vom November 2026 deckt nur Android 14, 15, 16 und 17 ab. Ein Handy, das auf Android 13 oder älter festhängt, bleibt angreifbar. Halten Sie es von sensiblen Firmenkonten fern und planen Sie den Austausch.
Haben Angreifer diese Lücken tatsächlich ausgenutzt?
Googles Bulletin erwähnt keine Ausnutzung in freier Wildbahn, und der Bericht von CyberInsider fand keine für die WAP-Push-Lücke. Der Proof-of-Concept-Code für diese Lücke ist aber öffentlich, deshalb sollten Sie lieber diese Woche aktualisieren als abwarten.
Muss ich die Android-App meines Unternehmens wegen dieser Lücken ändern?
Nein, die Lücken stecken im Betriebssystem, nicht in Ihrer App. Zeigt Ihre App aber sensible Daten an oder wickelt sie Zahlungen ab, können Sie über Play Integrity eine Geräteintegritätsprüfung einbauen, um unsichere Geräte abzuweisen.
