Das neue sichere Gerät: Vertrauen beginnt unterhalb des Betriebssystems

Die meisten Angriffe auf Mobilgeräte sind mittlerweile bekannt: Ein bösartiger Link wird per SMS verschickt, eine kompromittierte App fordert zu weitreichende Zugriffsrechte an oder ein gestohlenes Passwort öffnet den Angreifern Tür und Tor. Sicherheitsprogramme haben jahrelang daran gearbeitet, Abwehrmechanismen gegen diese Bedrohungen zu entwickeln. Doch Angreifer finden auch Einfallstore über Firmware, Modems, Chipsätze und andere privilegierte Komponenten, die von vielen Sicherheitstools kaum erkannt werden.

Eine aktiv ausgenutzte Zero-Click-Sicherheitslücke im Mobilfunkmodem von Google-Pixel-Geräten zeigt, wie dieser Wandel in der Praxis aussieht. Die Sicherheitslücke wirft ein umfassenderes Problem im Bereich der Gerätesicherheit auf: Unternehmen müssen die Technologie unterhalb des Betriebssystems überprüfen und kontrollieren, bevor sie feststellen können, ob ein Gerät sicher ist.

Die Angriffsfläche hat sich unterhalb der Anwendungen verlagert

Ein Modem-Exploit kann dem Nutzer kaum oder gar keine Möglichkeit lassen, den Angriff zu stoppen.

Mobile Sicherheitslösungen schützen die Bereiche eines Geräts, die Nutzer täglich verwenden – also Apps, Browser, Nachrichten, Konten und Berechtigungen – deutlich besser. Die darunterliegenden Ebenen werden hingegen weniger genau unter die Lupe genommen. Eine Schwachstelle in einem Modem, Treiber oder Chipsatz kann einem Angreifer Zugriff verschaffen, ohne dass ein Klick, eine Installation, eine Zustimmung oder eine Warnung erforderlich ist.

Das wirft eine noch schwierigere Frage auf: Was genau wird überprüft, wenn ein Gerät als sicher eingestuft wird? Unternehmen benötigen Einblick in das Modem, die Firmware und andere zugrunde liegende Komponenten sowie die Gewissheit, dass jede Ebene unterstützt, auf dem neuesten Stand gehalten und sicher genug ist, um auf sensible Ressourcen zugreifen zu können.

Googles Pixel-Update-Bulletin vom September 2026, das am 15. September veröffentlicht wurde, bestätigte eine begrenzte, gezielte Ausnutzung von CVE-2026-58704, einer schwerwiegenden Sicherheitslücke zur Rechteausweitung im Mobilfunkmodem, von der Pixel-Geräte betroffen sind. Die Sicherheitslücke geht auf einen Logikfehler in den Autorisierungsprüfungen des Modems zurück und wodurch ein Angreifer in Funkreichweite ohne zusätzliche Berechtigungen und ohne Interaktion des Opfers die Berechtigungskontrollen umgehen und seine Zugriffsrechte auf dem Gerät ausweiten kann.

Google hat weder den Angreifer namentlich genannt noch Opfer identifiziert. In seinem Sicherheitshinweis heißt es lediglich, dass die Sicherheitslücke „begrenzt und gezielt ausgenutztausgenutzt wurde.“ Der Angreifer muss sich in Funkreichweite des Geräts befinden. Das Opfer muss weder eine Abfrage bestätigen noch einen Link öffnen.

Am 16. September 2026, einen Tag nachdem Google die Sicherheitslücke bekannt gegeben hatte, nahm die Cybersecurity and Infrastructure Security Agency (CISA) diese in ihren Katalog „Known Exploited Vulnerabilities“ aufund gab den zivilen Bundesbehörden bis zum 19. September 2026 Zeit, den Patch zu installieren.

Die Sicherheitslücke befindet sich im Modem, das alle Mobilfunkverbindungen des Geräts verwaltet. Diese Ebene arbeitet unterhalb der Apps, Konten und Einstellungen, mit denen die Nutzer interagieren. Der Patch gilt für die Modelle Pixel 6 bis Pixel 11, das Pixel Tablet sowie die Fold-Modelle. Für Pixel-6- und 6-Pro-Geräte ist jedoch vorgesehen, dass der Support im Oktober 2026 vollständig eingestellt wird.

Was der Pixel-Zero-Day offenbart

Der Fall „Pixel“ deckt eine Lücke in vielen Sicherheitsprogrammen für Mobilgeräte auf. Sensibilisierungsschulungen können einen Angriff nicht verhindern, bei dem der Nutzer gar nicht zur Mitwirkung aufgefordert wird. Auch das Patch-Management kann hinter der Geschwindigkeit der Offenlegung zurückbleiben: Die CISA nahm CVE-2026-58704 einen Tag nach der Offenlegung durch Google in ihren Katalog „Known Exploited Vulnerabilities“ auf und gab den zivilen Bundesbehörden drei Tage Zeit, den Patch zu installieren. Management-Tools, die lediglich die Betriebssystemversion melden, stufen ein gefährdetes Gerät möglicherweise weiterhin als konform ein, da sie weder das Modem noch die Firmware überprüfen.

Das Vertrauen in ein Gerät ändert sich im Laufe der Zeit. Ein Smartphone kann am Montag noch als sicher gelten und am Dienstag bereits ein Risiko darstellen, wenn eine Sicherheitslücke bekannt wird, deren Ausnutzung bestätigt wird, ein Patch veröffentlicht wird oder der Support des Herstellers endet.

Was „sicheres Gerät“ heute bedeutet

Ein sicheres Gerät erfordert Schutz über den gesamten Technologie-Stack hinweg. Dazu gehören Apps, Identitäten, das Betriebssystem, die Modem-Firmware, Treiber, Chipsätze und kontinuierlicher Support durch den Hersteller. Eine Sicherheitslücke in einer beliebigen privilegierten Ebene kann dazu führen, dass das Gerät für ein sensibles Netzwerk ungeeignet ist, selbst wenn es scheinbar normal funktioniert.

Sicherheitsteams benötigen eine aktuelle Gerätebestandsliste, Einblick in den Patch-Stand, die Möglichkeit, Richtlinien schnell anzupassen, sowie Kontrollmechanismen, die den Zugriff sperren, sobald ein Gerät den aktuellen Stand nicht mehr hält. BlackBerry^®UEM unterstützt diesen Ansatz, indem es dabei hilft, Patch-Anforderungen durchzusetzen und Geräte einzuschränken, die die Richtlinien nicht mehr erfüllen.

Die Sicherheit vertraulicher Kommunikation hängt von der Sicherheit des Geräts ab, über das sie übertragen wird.^BlackBerry® SecuSUITE^® wurde entwickelt, um diese Kommunikation in Umgebungen zu schützen, in denen die mobile Plattform möglicherweise gefährdet ist.

Wie Unternehmen reagieren sollten

Im Hinblick auf diese Sicherheitslücke besteht der erste Schritt darin, alle Pixel-Geräte zu identifizieren, die Zugriff auf Ressourcen der Organisation haben – einschließlich privater Geräte, die für berufliche Zwecke genutzt werden –, und sicherzustellen, dass auf jedem dieser Geräte der Sicherheitspatch-Stand vom 05.09.2026 oder höher installiert ist. Zivile Bundesbehörden sollten zudem überprüfen, ob sie die von der CISA festgelegte Frist vom 19. September eingehalten und entsprechend dokumentiert haben.

Die langfristige Lösung besteht darin, diesen Prozess zur Routine zu machen. Compliance-Tools sollten den tatsächlichen Patch-Stand über die gesamte Gerätestruktur hinweg überprüfen. Teams sollten besonders auf Geräte achten, die von Personen genutzt werden, die Zugriff auf sensible Informationen oder Systeme haben. Der KEV-Katalog der CISA kann als praktischer Anstoß für Maßnahmen dienen, auch wenn seine Fristen nicht rechtsverbindlich sind.

Sicherheit muss den gesamten Gerätestack abdecken

Die Sicherheitslücke im Pixel-Modem weist auf ein umfassenderes Problem hin. Angreifer nehmen Teile des Geräts ins Visier, die von vielen Unternehmen nicht routinemäßig überprüft werden, und umgehen so Sicherheitsmaßnahmen, an deren Verbesserung Sicherheitsteams jahrelang gearbeitet haben.

Unternehmen sollten einem Gerät nur dann vertrauen, solange sie dessen Komponenten überprüfen und dessen Zugriffsrechte steuern können. Wenn diese Überprüfung nicht mehr möglich ist, sollten die Zugriffsrechte unverzüglich angepasst werden. Dies ist eine bewährte Vorgehensweise für einen sicheren Gerätebetrieb.