Sicherheitshinweis

Sicherheitsrisiko Smartphonewechsel: TU Graz deckt Schwachstelle auf

Datentransfer-Tools sind bequem, aber unsicher - Grazer Experten konnten u. a. SMS, Fotos und Gesundheitsdaten ausspähen - Sicherheitsupdates vorhanden

Beim Wechsel von einem alten zu einem neuen Smartphone stellen Apps, die den Datentransfer erleichtern sollen, eine massive Sicherheitslücke dar. Zu dieser Erkenntnis sind IT-Sicherheitsforschende der TU Graz und des Zentrums für sichere Informationstechnologie A-SIT in Wien gekommen. Angreifer könnten private Nutzerdaten wie Anruflisten, Fotos oder Anmeldedaten ausspähen, teilte die TU Graz aufgrund der jüngsten Studienergebnisse mit.

Ein neues Smartphone birgt viele Möglichkeiten, beim Gerätewechsel gibt es allerdings wichtige Aspekte zu beachten, damit die bisherigen Daten sicher übertragen werden. Experten vom Institute of Information Security der TU Graz machten am Montag auf die Risiken von Datenübertragungs-Tools, aufmerksam. Sie haben die gängigen, sogenannten "Phone Clone"-Apps der großen Android-Hersteller getestet und haben massive Sicherheitslücken aufgedeckt.

Risiko "Phone Cloning"

Die Tools, die den Transfer von Daten, Einstellungen und Apps vom alten auf das neue Gerät einfacher und bequemer machen, bauen in den meisten Fällen eine direkte WLAN-Verbindung zwischen den Smartphones auf. Wie die Untersuchung von Florian Draschbacher, Lukas Maar, Lorenz Schumm, Rene Denifl, Lukas Treffner und Stefan Mangard zeigte, geht diese Annehmlichkeit massiv zu Lasten der Sicherheit.

Die Grazer Experten testeten Datenmigrations-Apps von den sieben Android-Herstellern Google, Samsung, Vivo, Xiaomi, Oppo, Huawei und Honor. Als befugte Angreifer mit einer Ausrüstung unter 100 Euro gelang es ihnen, den Datenstrom mitzulesen und auch die Übertragung zu manipulieren. Dabei konnten sie sich in Innenräumen in einem Abstand von bis zu 45 Metern zu den Geräten befinden. Dadurch ergäbe sich für Orte wie Elektronikfachgeschäfte oder Mobilfunk-Shops in denen täglich unzählige neue Smartphones eingerichtet werden, ein besonderes Risiko.

Private Daten von Milliarden Nutzern im Visier

Die Forschenden konnten SMS, Kontakte und Fotos ausspähen. Auch Gesundheitsdaten oder Zugangsdaten zu gespeicherten WLAN-Netzwerken wurden extrahiert. In einigen Fällen gelang es sogar, Schadsoftware direkt auf das neue Gerät einzuschleusen.

Getestet wurden "Switch" (Google Android), "Smart Switch" (Samsung), "EasyShare" (Vivo), "Mi Mover" (Xiaomi), "Clone Phone" (Oppo), "Phone Clone" (Huawei) und "Device Clone" (Honor). Die untersuchten Apps sind weltweit mehr als 12 Milliarden Mal installiert. Die Tragweite der Sicherheitslücke sei daher enorm, so die Autoren der Studie, die im September am European Symposium on Research in Computer Security (ESORICS) 2026 in Rom präsentiert wurde.

Das Team meldete die Schwachstellen bereits im Voraus an die Hersteller, die mittlerweile entsprechende Sicherheits-Updates veröffentlicht haben. Dennoch bleibt Vorsicht geboten: Vor jeder Datenmigration zwischen zwei Smartphones sollten die Nutzer sicherstellen, dass sowohl die entsprechenden Apps als auch die Betriebssysteme auf beiden Geräten auf dem neuesten Stand sind, wurde betont.

Cybersecurity-Forschung aus der Steiermark

Die aktuelle Studie reiht sich mittlerweile in eine ganze Serie von Entdeckungen im Bereich der Cybersecurity, die am Institute of Information Security der TU Graz gemacht wurden, ein: So war das Institut maßgeblich an der Aufdeckung der Sicherheitslücken "Meltdown" und "Spectre" beteiligt, die einen Großteil moderner Computerprozessoren betroffen haben. Im Jahr 2024 enthüllten die Forschenden die Schwachstelle "SnailLoad", mit der sich die Online-Aktivitäten von Nutzern überwachen lassen. Auch die Angriffsmethode "Collide+Power", bei der der Energieverbrauch eines Prozessors genutzt wird, um Daten aus seinem Speicher auszulesen, wurde von den Grazer Experten entdeckt.

Das Institut forscht aber nicht nur an Schwachstellen, sondern auch an Lösungen: Der von Maria Eichlseder, Christoph Dobraunig, Florian Mendel und Martin Schläffer entwickelte Algorithmus "Ascon" wurde 2023 zum internationalen Standard für Lightweight Cryptography ernannt. Ein weiterer Meilenstein war die Eröffnung des Cybersecurity Campus Graz im April 2026, der als neuer Standort für Spitzenforschung und Lehre im Bereich IT-Sicherheit dient. (APA, 15.10.2026)

Die Kommentare im Forum geben nicht notwendigerweise die Meinung der Redaktion wieder. Die Redaktion behält sich vor, Kommentare, welche straf- oder zivilrechtliche Normen verletzen, den guten Sitten widersprechen oder sonst dem Ansehen des Mediums zuwiderlaufen (siehe ausführliche Forenregeln), zu entfernen. Benutzer:innen können diesfalls keine Ansprüche stellen. Weiters behält sich die STANDARD Verlagsgesellschaft m.b.H. vor, Schadenersatzansprüche geltend zu machen und strafrechtlich relevante Tatbestände zur Anzeige zu bringen.