Gefahr beim Handywechsel: TU Graz findet Lücken in Umzugs-Apps von sieben Herstellern

Wer auf ein neues Smartphone umsteigt, nutzt meist eine App, die Fotos, Kontakte und Nachrichten überträgt. Forschende der TU Graz und des Zentrums für sichere Informationstechnologie A-SIT haben sieben solcher Werkzeuge von Android-Herstellern untersucht: Switch (Google), Smart Switch (Samsung), EasyShare (Vivo), Mi Mover (Xiaomi), Clone Phone (Oppo), Phone Clone (Huawei) und Device Clone (Honor). Zusammen kommen die meist vorinstallierten Apps laut den Forschenden auf mehr als zwölf Milliarden Downloads. Die Studie „Clone2Pwn“ des Teams um Florian Draschbacher und Stefan Mangard wurde im September auf der Sicherheitskonferenz ESORICS 2026 in Rom vorgestellt; die TU Graz machte die Ergebnisse am 15. Oktober öffentlich.

Die meisten Werkzeuge bauen eine direkte WLAN-Verbindung zwischen den Geräten auf. Mit Ausrüstung für unter 100 Euro konnten Angreifer in Innenräumen aus etwa 20 bis 45 Metern Entfernung den Datenstrom mitlesen und die Übertragung manipulieren. Betroffen waren unter anderem SMS, Kontakte, Fotos, Anruflisten, Gesundheitsdaten sowie gespeicherte WLAN- und App-Passwörter. Bei fünf Werkzeugen ließ sich zudem Schadsoftware auf das neue Gerät schleusen. Als besonders riskant nennen die Forschenden Elektronikmärkte und Handyshops, wo täglich viele Geräte eingerichtet werden.

Die Schwachstellen wurden den Herstellern vorab gemeldet und führten zu acht CVE-Einträgen, fünf davon als hoch eingestuft. Alle sieben Hersteller bestätigten die Probleme und stellten Sicherheitsupdates bereit. Vor einem Handywechsel sollten Nutzer die aktuelle Version der Umzugs-App auf beiden Geräten installieren und alle Updates einspielen – bei manchen Geräten ist dafür ein Update des Betriebssystems nötig.