Signal: Anruf-Bug ließ Mikrofone unter Android weiterlaufen
Auf den roten Hörer tippen und das Gespräch ist beendet? Eigentlich eine Selbstverständlichkeit. Bei Signal für Android sorgte eine Sicherheitslücke in der Telefonie-Bibliothek jedoch dafür, dass Audio- und Videoverbindungen nach dem Auflegen im Hintergrund aktiv bleiben konnten. Entwickler haben den Fehler inzwischen behoben. In der Praxis relativiert sich das angebliche Spionage-Szenario zudem schnell.
Schwachstelle in RingRTC: Der Exploit über die Warteschlange
Dokumentiert ist das Problem unter der Kennung CVE-2026-113380. Der Fehler steckte tief in der quelloffenen Sprach- und Video-Engine RingRTC in Versionen vor 2.72.0. Nach offiziellen Angaben von Signal ließ sich das Fehlverhalten ausschließlich unter Android reproduzieren. Die Desktop-Clients und iOS-Versionen blieben verschont.
Der technische Angriff erforderte allerdings direkte Vorarbeit. Ein Angreifer musste sich bereits in einem aktiven Telefonat mit dem Zielgerät befinden. Bombardierte der Anrufer dann die interne Ereignis-Warteschlange der App gezielt mit Daten, blockierte das System den sauberen Verbindungsabbruch. Auf dem Display sah alles nach Feierabend aus, während Mikrofon und Kamera im Hintergrund theoretisch weiterliefen.
Signals Schutzmauern: Warum Fremde chancenlos blieben
Das Bedrohungsszenario klingt heikel, taugte in der Realität jedoch nicht für verdeckte Massenüberwachung. Signal blockiert seit vielen Jahren standardmäßig eingehende Anrufe von unbekannten Kontakten. Ein Angreifer musste vorab eine Kontaktanfrage genehmigt bekommen haben oder mit dem Opfer in derselben Gruppe sitzen. Willkürliche Attacken aus dem Nichts waren technisch ausgeschlossen.
Dazu kommt der Schutzschirm des Betriebssystems. Sobald eine App auf Audio oder Bild zugreift, erzwingt Android gut sichtbare Datenschutz-Indikatoren in der Statusleiste. Selbst bei einem blockierten Abbruch verrieten die grünen Symbole die aktive Hardware. Berichte über reale Angriffe in freier Wildbahn gab es laut Signal nicht.
Update-Check: Signal schloss das Leck ab Version 8.27
Für aktuelle Installationen besteht ohnehin keine Gefahr mehr. Signal schloss das Einfallstor bereits mit dem Android-Update auf Version 8.27, dessen Rollout am 9. September 2026 startete. Durch die wöchentliche Release-Taktung steht der Messenger im Google Play Store mittlerweile bei Version 8.33.
Die wichtigste Konsequenz für den Alltag: Wer automatische App-Updates deaktiviert hat oder APK-Dateien manuell einspielt, sollte die Versionsnummer im App-Menü umgehend abgleichen. Bei einem Messenger, dessen gesamtes Fundament auf Privatsphäre fußt, haben veraltete Software-Stände auf dem Smartphone nichts verloren.
Schmidtis Blog zu Deiner bevorzugten Quelle bei Google hinzufügen
Links mit einem * sind Partner-Links. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalte ich eine kleine Provision. Für euch ändert sich am Preis nichts. Danke für eure Unterstützung!
