Vor knapp zwei Jahren hat der Stagefright-Bug die Smartphone-Welt in Atem gehalten und hatte potenziell Hunderte Millionen Android-Geräte betroffen. Aus diesem Debakel haben Google und die Hersteller versucht zu lernen, doch wirklich gefruchtet haben die Bemühungen der Vergangenheit nicht – wie der Jahresrückblick der Google Security nun zeigt. Das Unternehmen tut zwar alles in seiner Macht stehende, kann den Herstellern aber nichts vorschreiben.
Im Sommer 2015 tauchten plötzlich und aus heiterem Himmel Berichte über eine schwere Sicherheitslücke in Android auf, die ausgerechnet den Mediaserver betrafen und diesen mit manipulierten Mediendateien übernehme und so potenziell den Zugriff auf das Gerät ermöglichte. Das Problem daran war, dass sich erstmals wirklich in großem Stil gezeigt hat, dass Google ein großes Problem hat und diese Komponente zwar aktualisieren kann, aber die Verteilung nicht selbst in der Hand hat.
Im leicht verspäteten Jahresrückblick hat das Android Security-Team nun Einblicke in Statistiken gegeben, die teilweise ernüchternd und andererseits auch ermutigend sind. Google liefert seit dem großen Bug damals regelmäßige Sicherheits-Updates für Android aus, und verteilt diese an die Hersteller. Während die großen Hersteller wie Samsung in diesem Fall eng mit Google zusammenarbeiten, sieht es bei vielen kleineren Herstellern ganz anders aus – denn diese lassen ihre Kunden im Regen stehen.
Laut Google sind mehr als 500 Millionen Geräte im Umlauf, die noch immer keine Aktualisierung bekommen haben, und deren Hersteller gar nicht daran denken, die Updates für ihre Nutzer auszuliefern. Doch offenbar hat Google keine Handhabe dafür, um dies zu ändern und die Hersteller zu Updates zu zwingen. Warum das so ist, denn zur Vorinstallation von Apps kann man sie schließlich auch freundlich zwingen, lässt Google aber nach wie vor offen und formuliert das Ganze mehr als schwammig.
Bei der Verify Apps-Funktion, die auch Apps außerhalb des Play Stores untersucht, liegt der Wert schon bei 0,7 Prozent – deutlich höher, aber immer noch im minimalen Bereich.
Im Kampf gegen Stagefright und andere schwere Lücken im Betriebssystem hat Google in den vergangenen Monaten und Jahren einiges unternommen: So gab es einen komplett neuen Mediaserver für Android und auch die kolportierten Android Extensions sollen noch weitere Teile des Betriebssystems auslagern, so dass diese über den Play Store aktualisiert werden können. Laut Google soll der Stagefright-Bug übrigens niemals ernsthaft ausgenutzt worden sein.
