Dolby-Sicherheitslücke gefährdet Millionen Android-Geräte
Eine kritische Sicherheitslücke in einer weit verbreiteten Dolby-Audio-Komponente bedroht Android-Smartphones weltweit. Die Schwachstelle ermöglicht sogenannte Zero-Click-Angriffe: Bereits das Empfangen einer manipulierten Audiodatei kann ausreichen, um Schadcode auf einem Gerät auszuführen – ohne jegliche Nutzerinteraktion. Google hat Anfang Januar ein außerplanmäßiges Sicherheitsupdate veröffentlicht, um die Lücke zu schließen.
Angriff ohne Klick: Audioverarbeitung als Einfallstor
Die Schwachstelle betrifft die Verarbeitung von Dolby Digital Plus-Audiodaten im sogenannten Unified Decoder von Dolby. Android verarbeitet eingehende Audio-Nachrichten auf vielen Geräten automatisch im Hintergrund, unter anderem zur lokalen Transkription. Genau hier setzt der Angriff an: Eine manipulierte Sounddatei kann beim Dekodieren einen Speicherfehler verursachen.
Die Lücke wurde von Forschern des Google Project Zero entdeckt und bereits im Laufe des Jahres 2025 auch in anderen Plattformen wie Windows geschlossen. Für Android stand der Fix jedoch erst mit dem aktuellen Sicherheitspatch zur Verfügung.
CVE-2025-54957: Warum die Bewertung unterschiedlich ausfällt
Die Schwachstelle wird unter CVE-2025-54957 geführt. Technisch basiert sie auf einem Ganzzahlüberlauf, durch den ein Speicherpuffer falsch berechnet wird. In der Folge kann es zu Abstürzen kommen – und in vielen vergleichbaren Szenarien auch zur Ausführung von Schadcode.
Interessant ist die unterschiedliche Bewertung:
-
Dolby stufte die Lücke zunächst als mittel ein
-
Google bewertet sie für Android als kritisch
Der Grund liegt im Nutzungskontext: Da Android Audiodaten ohne Nutzerinteraktion verarbeitet, entsteht ein echter Zero-Click-Vektor. Genau dieser Aspekt erhöht das Risiko erheblich, auch wenn bislang keine aktiven Angriffe bekannt sind.
Patch verfügbar – aber nicht überall angekommen
Google hat den Fix in das Android-Sicherheitsupdate integriert. Geschützt sind Geräte mit einem Sicherheitspatch-Level vom 05.01.2026 oder neuer. Nutzer können diesen Stand direkt in den Systemeinstellungen prüfen.
Wie so oft zeigt sich jedoch die Fragmentierung des Android-Ökosystems als Schwachstelle: Während Google den Patch bereitstellt, müssen Gerätehersteller ihn erst anpassen und verteilen. Je nach Modell kann sich die Auslieferung verzögern – ein Zeitfenster, das Angreifer erfahrungsgemäß genau beobachten.
Beispiel für Risiken in der Software-Lieferkette
Der Vorfall verdeutlicht ein grundsätzliches Problem moderner Plattformen: Die Schwachstelle liegt nicht im Android-Kern, sondern in einer Drittanbieter-Komponente, die systemweit integriert ist. Solche Supply-Chain-Schwachstellen können Millionen Geräte verschiedener Hersteller gleichzeitig betreffen.
Auch wenn derzeit keine aktive Ausnutzung bekannt ist, gilt: Mit der Veröffentlichung des Patches beginnt erfahrungsgemäß ein Wettlauf gegen die Zeit. Sicherheitsexperten gehen davon aus, dass Angreifer versuchen werden, ungepatchte Geräte gezielt auszunutzen.
- Kontrollieren Sie in den Geräteeinstellungen, ob der Android-Sicherheitspatch vom 05.01.2026 oder neuer installiert ist, und spielen Sie verfügbare Updates umgehend ein.
- Aktivieren Sie automatische System- und Sicherheitsupdates, damit künftige Patches ohne Verzögerung installiert werden.
- Falls Ihr Hersteller Updates zeitverzögert ausliefert, prüfen Sie regelmäßig manuell den Patch-Status oder informieren Sie sich über den Update-Support Ihres Gerätemodells.