Inhaltsverzeichnis
Android Security Bulletin
In den letzten 10 Jahren veröffentlicht Google jeden Monat regelmäßig ein Android Security Bulletin. In diesen sind sämtliche Schwachstellen, die im Sicherheitsupdate des jeweiligen Monats behoben wurden, mit Infos zur Schwere des Problems, aufgelistet/beschrieben.
- Jede Sicherheitslücke bekommt einen Schweregrad zugewiesen (z. B. Mittel, Hoch oder Kritisch).
- Nach der Validierung erhält die Schwachstelle eine eindeutige CVE -Kennung (Common Vulnerabilities and Exposures), um ihre Nachverfolgung zu erleichtern.
Das Bulletin von Juli 2025 war vor kurzem das erste Bulletin, welches keine einzige Schwachstelle aufgelistet hat. Dies hat mit einer Änderung zu tun, welche aber nicht offiziell angekündigt wurde:
2 Versionen des Android Security Bulletins
- Öffentliche Version: wird seit August 2015 jeden Monat veröffentlicht und ist in der Regel am ersten Montag eines Monats verfügbar
- Private Version: wird etwa 30 Tage im Voraus an OEMs und Chipsatzanbieter verteilt und bietet die nötige Vorlaufzeit, um die Patches vor der Veröffentlichung zusammenzuführen und zu testen.
Sicherheitsupdate – Was ändert sich bei der Verteilung?
Statt monatlicher Veröffentlichungen aller Patches wird auf ein „risikobasiertes System/Risk-Based Update System (RBUS)“ umgestellt.
Das bedeutet:
- Hochriskante Sicherheitslücken werden weiterhin monatlich behoben.
- kritische und aktiv ausgenutzte Sicherheitslücken, die ein hohes und unmittelbares Risiko darstellen, werden weiterhin in den monatlichen Bulletins veröffentlicht.
- Die meisten anderen Sicherheitspatches mit geringem Risiko (die Mehrheit) werden in vierteljährlichen Updates gebündelt.
Ziel ist es, den Geräteherstellern die Bereitstellung von Updates zu erleichtern, was zu einer stabileren Update-Versorgung führen könnte.
Was ändert sich für dich als Nutzer?
Für die meisten Nutzer ändert sich durch die neue Sicherheitsupdate-Strategie nur wenig. Wenn du bereits monatliche Sicherheitsupdates erhältst, bekommst du diese auch weiterhin.
Wenn nicht, kann es nun sein, dass du jetzt zuverlässiger Sicherheitsupdates erhältst, da es den OEMs jetzt leichter fallen sollte, Updates regelmäßiger bereitzustellen.
Geräte anderer Hersteller erhalten Updates mit Verzögerung
Die Android-Partner werden bisher mindestens einen Monat (private Version) vor der Veröffentlichung des Bulletins (öffentliche Version) über alle Probleme informiert, sodass ein entsprechendes Sicherheitsupdate bereitgestellt werden kann bzw. konnte.
Während Pixel Phones das Update größtenteils kurz nach Veröffentlichung des Bulletins erhalten, bzw. es über einen Tipp auf den Update-Button manuell anfordern können, bekommen Android-Geräte anderer Hersteller die Updates oftmals mit Verzögerung oder gar nicht ← Hersteller günstigerer Geräte oder Geräte mit stark angepasster Nutzeroberfläche.
Was passiert, wenn eine Sicherheitslücke gemeldet wird?
- Sicherheitslücke wird an Google gemeldet
- Meldung wird geprüft
- Schwachstelle wird verifiziert
- potenzielle Auswirkung der Schwachstelle wird bewertet
- Schweregrad (mittel, hoch, kritisch) wird zugewiesen
- Schwachstelle erhält CVE-Kennung
- Google testet, oft in Zusammenarbeit mit dem Melder, einen Patch zur Problembehebung
- ist der Patch fertiggestellt, wird dieser nicht sofort veröffentlicht, da es keine Möglichkeit gibt, das Update drahtlos auf alle Android-Geräte zu bringen (außer bei einem Fehler in einem Project Mainline Modul)
- Patch wird nicht direkt nach Fertigstellung im AOSP veröffentlicht, da dann die Sicherheitslücke sofort bekannt ist
- Monatliche (öffentliche) Veröffentlichung im Android Security Bulletin, OEMs erhalten 30 Tage vorher im privaten ASB Zugriff
Wie schützt dich dein Android Gerät vor Sicherheitslücken?
Um Android proaktiv vor Sicherheitslücken zu schützen, hat Google verschiedene Schutzmechanismen gegen Exploits, wie hardware-supported control flow integrity (CFI) and memory tagging (MTE) eingeführt. Code wird in speichersicheren Sprachen wir Rust geschrieben. Weiterhin bemüht man sich, Updates zu beschleunigen und Android durch Project Mainline zu modularisieren.
- Befindet sich in einem Project-Mainline-Modul eine Schwachstelle, kann Google direkt einen Fix über das Google Play System Update an alle Geräte verteilen.
Fazit
Die Bulletins werden, wie gehabt, jeden Monat veröffentlicht. Allerdings wird nur vierteljährlich (März, Juni, September, Dezember) eine große Anzahl an Sicherheitslücken gelistet sein. In den anderen Monaten werden nur die als kritisch/hochriskant markierten Sicherheitslücken zu finden sein.
Der Quellcode für die monatlichen Sicherheitsupdates wird allerdings nicht mehr im AOSP veröffentlicht, sondern nur noch alle 3 Monate, was es schwieriger macht, Custom-ROMs mit monatlichen Sicherheitsupdates zu versorgen.
Wer bisher monatliche Sicherheitsupdates erhalten hat, erhält diese weiterhin. Gerätehersteller mit unzuverlässigen Sicherheitsupdates haben durch die Änderung die Chance, die Sicherheitsupdates regelmäßiger zu verteilen.
