Android-Sicherheitsupdates im Unternehmen: Wenn das Firmenhandy keine Patches mehr bekommt

Auf dem Firmenhandy liegen E-Mails, Kundenkontakte, der Zugang zur Cloud und meist auch die Authenticator-App für alle anderen Konten. Trotzdem weiß in vielen Betrieben niemand, auf welchem Patch-Stand diese Geräte sind – beim Windows-Rechner wird das Update erzwungen, beim Smartphone verlässt man sich auf den Hersteller. Der aktuelle Android-Patchday zeigt, warum Android-Sicherheitsupdates im Unternehmen eine eigene Regelung brauchen.

Anlass: Der Android-Patchday im Oktober

Laut heise online hat Google zum Oktober-Patchday mindestens 25 Schwachstellen in Android geschlossen, sieben davon mit der Einstufung „kritisch”. Dem Bericht zufolge stecken die schwerwiegendsten Lücken in der System-Komponente: Dort lassen sich Rechte lokal ausweiten, ohne dass der Nutzer etwas antippen muss. Im Framework gibt es eine kritische Lücke, über die Angreifer aus der Ferne einen Denial-of-Service auslösen können, und über die Google-Play-Systemupdates wird unter anderem eine WLAN-Lücke behoben, die Codeausführung über das Netzwerk erlaubt. Betroffen sind die Android-Versionen 14 bis 17. Hinweise auf bereits laufende Angriffe nennt Google laut heise nicht.

Das ist kein Ausreißer: Im September waren es dem Bericht zufolge mehr als 90 geschlossene Lücken. Entscheidend für Unternehmen ist aber ein Satz am Ende der Meldung – Sicherheitspatches verteilen die Hersteller meist nur für einen Teil ihrer Produktreihen, andere Geräte erhalten sie deutlich später oder gar nicht. Auch bei Samsung kann die Verteilung laut heise Tage oder Wochen dauern.

Auch App-Anbieter ziehen die Grenze enger

Wie heise online ebenfalls berichtet, testet WhatsApp bei ersten Nutzern eine Funktion, die die Anmeldung auf Geräten mit veraltetem Betriebssystem blockiert, bis das System aktualisiert wurde. Welche Versionen die Sperre auslösen, hat WhatsApp nicht mitgeteilt. Die Begründung ist die richtige: Eine App ist nur so sicher wie das Betriebssystem darunter. Das gilt für die Banking-App, den Passwortmanager und den Firmen-Mailclient genauso.

Warum Android-Sicherheitsupdates so spät ankommen

Bei Windows liefert Microsoft das Update direkt an den Rechner. Bei Android liegen zwischen Googles Patch und dem Gerät mehrere Stationen:

1. Google veröffentlicht das monatliche Sicherheitsbulletin und stellt die Patches bereit.
2. Chiphersteller liefern Korrekturen für ihre Komponenten zu.
3. Der Gerätehersteller baut beides in seine eigene Android-Variante ein und testet sie – für jedes Modell einzeln.
4. Bei Geräten mit Provider-Branding kann zusätzlich der Mobilfunkanbieter freigeben müssen.

Jede Station kostet Zeit, und für ältere oder günstige Modelle lohnt sich der Aufwand aus Herstellersicht irgendwann nicht mehr. Dann endet die Versorgung – das Gerät funktioniert weiter, bekommt aber keine Patches mehr.

Zwei Dinge, die oft verwechselt werden

• Android-Version (etwa 15 oder 16): Sie bestimmt den Funktionsumfang. Ein Gerät kann auf einer älteren Version stehen und trotzdem aktuelle Sicherheitspatches erhalten.
• Sicherheitspatch-Level: ein Datum wie 2026-10-01. Es gibt an, bis zu welchem Bulletin die Lücken geschlossen sind. Das ist der Wert, der für die Sicherheit zählt.

Daneben gibt es die Google-Play-Systemupdates. Sie aktualisieren einzelne Systemmodule direkt über Google, unabhängig vom Hersteller. Das entschärft das Problem, ersetzt die Hersteller-Updates aber nicht – Kernel, Treiber und herstellerspezifische Teile bleiben außen vor.

Was ein Gerät ohne Patches im Betrieb bedeutet

Ein Smartphone, das seit einem Jahr keine Updates mehr erhalten hat, trägt eine lange Liste bekannter, öffentlich dokumentierter Lücken mit sich – allein die beiden letzten Patchdays summieren sich laut heise auf über 115. Was daraus folgt:

• Der zweite Faktor steht auf wackligem Grund. Liegt die Authenticator-App auf einem angreifbaren Gerät, schwächt das die Multi-Faktor-Authentifizierung aller damit geschützten Konten.
• Datenschutz: Art. 32 DSGVO verlangt technische Maßnahmen nach dem Stand der Technik. Kundendaten auf einem Gerät ohne Herstellerunterstützung sind im Fall einer Datenpanne schwer zu rechtfertigen.
• Versicherung und Nachweise: Cyber-Versicherer und Auditoren fragen nach dem Patch-Management – und meinen damit alle Endgeräte, nicht nur PCs.
• Private Geräte: Wer dienstliche E-Mails auf dem eigenen Handy abruft, bringt dessen Patch-Stand mit ins Unternehmen.

Android-Sicherheitsupdates im Griff: sechs Schritte

1. Patch-Level aller Geräte erfassen

Auf dem Gerät steht der Wert unter Einstellungen → Über das Telefon → Android-Version (je nach Hersteller leicht abweichend) als „Android-Sicherheitsupdate”. Das Google-Play-Systemupdate wird dort getrennt angezeigt. Bei fünf Geräten reicht eine Tabelle, ab etwa zehn Geräten liefert ein Mobile Device Management die Übersicht automatisch. Die Liste gehört ins IT-Inventar.

2. Update-Ende je Modell nachschlagen

Die Hersteller veröffentlichen, wie lange welches Modell versorgt wird und in welchem Rhythmus – monatlich, quartalsweise oder nur noch sporadisch. Tragen Sie das Enddatum neben jedes Gerät ein. Häufige Überraschung: Das Gerät des Geschäftsführers ist das älteste im Bestand.

3. Mindest-Patch-Level festlegen

Eine praxistaugliche Regel: Geräte mit Zugriff auf Firmendaten dürfen höchstens 90 Tage hinter dem aktuellen Patch-Level liegen. Über ein MDM lässt sich das als Compliance-Richtlinie durchsetzen – wer darunter fällt, verliert automatisch den Zugriff auf E-Mail und Cloud, bis das Update installiert ist. Ohne MDM bleibt nur die regelmäßige manuelle Kontrolle.

4. Updates tatsächlich installieren lassen

Bereitgestellte Updates helfen nicht, wenn sie wochenlang als Benachrichtigung auf dem Sperrbildschirm stehen. Aktivieren Sie die automatische Installation, wo der Hersteller sie anbietet, und setzen Sie eine Frist – etwa sieben Tage nach Verfügbarkeit. Per MDM kann die Installation in ein Zeitfenster außerhalb der Arbeitszeit gelegt werden.

5. Beschaffung an der Update-Garantie ausrichten

Der Kaufpreis ist bei Firmenhandys das falsche Kriterium, entscheidend ist die Restlaufzeit der Updates. Für Smartphones, die seit dem 20. Juni 2025 in der EU neu in Verkehr gebracht werden, schreibt die Ökodesign-Verordnung (EU) 2023/1670 Betriebssystem-Updates für mindestens fünf Jahre nach Verkaufsende des Modells vor. Für ältere Modelle und Restposten gilt das nicht – prüfen Sie dort die Herstellerangabe vor dem Kauf. Googles Programm „Android Enterprise Recommended” ist eine brauchbare Vorauswahl für Geschäftsgeräte.

6. Ausmusterung planen

Legen Sie fest, dass ein Gerät spätestens zum Ende der Herstellerversorgung ersetzt wird, und planen Sie das Budget vorher ein. Bis zum Austausch gehören solche Geräte in ein getrenntes WLAN ohne Zugriff auf interne Systeme. Vor der Weitergabe oder Entsorgung: zurücksetzen und aus allen Konten entfernen – inklusive der MFA-Registrierungen.

Private Smartphones: klare Mindestanforderung

Ein Verbot privater Geräte lässt sich in kleinen Betrieben selten durchhalten. Realistischer ist eine Mindestanforderung: aktueller Patch-Stand, Bildschirmsperre, Geräteverschlüsselung. Technisch geht das über ein Arbeitsprofil (Android Enterprise) oder über App-Schutzrichtlinien, die dienstliche Daten in verwalteten Apps halten und den Patch-Level beim Zugriff prüfen. Wer das nicht einrichten will, sollte dienstliche Daten auf privaten Geräten auf das Nötigste begrenzen.

Was das für KMU in Sachsen bedeutet

In vielen Betrieben in Dresden und Sachsen sind Firmenhandys über Jahre gewachsen: ein Rahmenvertrag hier, ein weitergereichtes Altgerät dort. Ostdeutsche KMU ohne eigene IT-Abteilung haben den Server meist gut im Blick, die Smartphones dagegen selten. Dabei ist die Bestandsaufnahme an einem Vormittag erledigt – und zeigt in der Regel zwei oder drei Geräte, die sofort ersetzt werden sollten.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU dabei, Android-Sicherheitsupdates verlässlich zu organisieren: Bestandsaufnahme aller mobilen Geräte mit Patch-Level und Update-Ende, Einrichtung eines MDM mit Compliance-Regeln, ein getrenntes Netz für Altgeräte und eine Beschaffungsempfehlung, die zur Laufzeit passt – auf Wunsch als Teil eines IT-Sicherheitsaudits oder der laufenden IT-Betreuung. Sprechen Sie uns an – als IT-Dienstleister aus Dresden sind wir für Betriebe in ganz Sachsen schnell vor Ort.

FAQ

Wo sehe ich, ob mein Android-Handy noch Updates bekommt?

Der aktuelle Stand steht in den Einstellungen unter „Über das Telefon” beim Eintrag „Android-Sicherheitsupdate”. Liegt das Datum mehrere Monate zurück und findet die Update-Suche nichts Neues, lohnt der Blick auf die Support-Seite des Herstellers: Dort ist angegeben, bis wann das Modell versorgt wird.

Reichen die Google-Play-Systemupdates aus, wenn der Hersteller nichts mehr liefert?

Nein. Sie aktualisieren nur bestimmte Systemmodule. Lücken im Kernel, in Treibern und in den herstellereigenen Bestandteilen bleiben offen. Ein Gerät ohne Hersteller-Patches gilt als nicht mehr unterstützt.

Wie alt darf der Patch-Level eines Firmenhandys sein?

Eine feste gesetzliche Vorgabe gibt es nicht. In der Praxis bewährt sich eine Grenze von höchstens 90 Tagen für Geräte mit Zugriff auf Firmendaten; bei besonders sensiblen Daten oder Admin-Zugängen sollte sie kürzer sein.

Schützt eine Antivirus-App ein Gerät ohne Updates?

Nur sehr begrenzt. Eine Sicherheits-App läuft mit normalen App-Rechten und kann Lücken im System nicht schließen. Sie ersetzt keine Android-Sicherheitsupdates.

Müssen wir alte Firmenhandys sofort wegwerfen?

Nicht zwingend. Ohne Zugriff auf Firmendaten und in einem getrennten Netz kann ein Altgerät noch als Scanner, Anzeige oder Testgerät dienen. Für E-Mail, Cloud, Messenger und Authenticator-App ist es nicht mehr geeignet.