Android 2026: Was sich bei Sicherheit und Apps tut

Android hat in den vergangenen Monaten weniger mit spektakulären Design-Umbauten von sich reden gemacht als mit einem tiefgreifenden Umbau seiner Sicherheitsarchitektur. Google verankert Post-Quantum-Kryptografie im Betriebssystem, weitet KI-gestützten Betrugsschutz auf mehr Länder und Hersteller aus und baut den Diebstahlschutz aus. Parallel modernisieren wichtige Apps wie Signal ihre Grundlagen – vom Tablet-Support bis zu verschlüsselten Backups.

Vieles davon läuft im Hintergrund, ohne dass du aktiv etwas tun musst. Anderes solltest du dagegen bewusst einschalten oder im Blick behalten. Dieser Überblick ordnet die wichtigsten Entwicklungen ein: was neu ist, warum es zählt und welche Schritte für dich sinnvoll sind.

Android 17 rüstet sich für das Quantenzeitalter

Die vielleicht grundlegendste Änderung betrifft die Kryptografie. Google bereitet Android auf eine Zukunft vor, in der leistungsfähige Quantencomputer die heute übliche Public-Key-Verschlüsselung knacken könnten. Die Antwort darauf heißt Post-Quantum-Cryptography (PQC) – Verfahren, die auch gegen Quantenangriffe standhalten sollen. Getestet werden die Neuerungen laut Google ab der nächsten Android-17-Beta, die allgemeine Verfügbarkeit folgt mit der Produktivversion von Android 17.

Der Ansatz greift tief in die Systemarchitektur ein. Android Verified Boot (AVB), das den Startvorgang absichert, bindet den Algorithmus ML-DSA ein, um quantenresistente digitale Signaturen zu liefern. Auch die Remote Attestation, mit der ein Gerät seinen Zustand gegenüber Dritten nachweist, wird auf PQC-konforme Zertifikatsketten umgestellt. Für Entwickler öffnet Google den Android Keystore für ML-DSA – über die Standard-API KeyPairGenerator, in den Varianten ML-DSA-65 und ML-DSA-87.

Bemerkenswert ist die Reichweite auf App-Ebene: Über Play App Signing kann Google Play künftig "hybride" Signaturblöcke erzeugen, die klassische und PQC-Schlüssel kombinieren. So sollen App-Installationen und Updates gegen quantengestützte Signaturfälschung geschützt werden. Google will zudem Entwickler dazu anhalten, ihre Signaturschlüssel mindestens alle zwei Jahre zu erneuern. Der Konzern betont, dass seine Post-Quantum-Vorbereitungen bereits 2016 begannen – Android 17 markiert die erste Phase dieser Umstellung.

KI gegen Betrüger: Scam Detection wächst

Ein zweiter Schwerpunkt ist der Kampf gegen Betrug. Nach Googles Angaben blockieren Androids Schutzmechanismen jeden Monat über zehn Milliarden verdächtige Anrufe und Nachrichten. Die neueste Ausbaustufe setzt auf Geminis On-Device-Modell, das Analysen direkt auf dem Gerät durchführt, statt Gesprächsinhalte in die Cloud zu schicken.

Scam Detection für Anrufe warnt, wenn ein Gegenüber typische Betrugsmuster verwendet. Auf Pixel-Geräten ist die Funktion unter anderem in den USA, Großbritannien, Australien, Kanada, Frankreich, Deutschland, Indien, Irland, Italien, Japan, Mexiko und Spanien verfügbar. Neu ist die Ausweitung auf weitere Hersteller: Den Anfang macht die Samsung-Galaxy-S26-Serie in den USA. Für Google Messages wurde die Scam-Erkennung auf mehr als 20 Länder ausgeweitet und unterstützt neben Englisch auch Deutsch, Arabisch, Französisch, Portugiesisch und Spanisch. Das On-Device-Modell soll subtile Muster erkennen, etwa bei Jobangebots-Betrug oder sogenanntem "Pig Butchering", bei dem Täter über Wochen Vertrauen aufbauen, bevor sie zur betrügerischen Investition drängen.

Wichtig für die Praxis: Scam Detection ist standardmäßig ausgeschaltet und wird nur bei Anrufen aktiv, die als potenzieller Betrug eingestuft werden – nie bei Gesprächen mit deinen Kontakten. Die Gesprächsverarbeitung bleibt laut Google auf dem Gerät und wird weder gespeichert noch geteilt.

Schutz mitten im Anruf

Eine besonders perfide Betrugsmasche zielt darauf ab, dich während eines Telefonats zum Bildschirmteilen zu bewegen, um Bankdaten abzugreifen. Dagegen erprobt Google einen In-Call-Schutz für Finanz-Apps: Startest du eine teilnehmende App, während du den Bildschirm teilst und mit einer nicht gespeicherten Nummer telefonierst, warnt das Gerät und bietet an, Anruf und Bildschirmfreigabe mit einem Tippen zu beenden. Eine 30-Sekunden-Pause soll den psychologischen Druck brechen, mit dem Täter arbeiten. Nach Pilotprojekten in Großbritannien, Brasilien und Indien startete Google den Test im Dezember 2025 auch in den USA – mit Partnern wie Cash App und JPMorganChase. Die Funktion ist mit Android 11 und neuer kompatibel.

Diebstahlschutz wird schlauer

Ein gestohlenes Smartphone bedeutet oft mehr als den Verlust der Hardware – es öffnet die Tür zu persönlichen Daten und Finanzbetrug. Google hat den Diebstahlschutz deshalb mehrfach nachgeschärft. Für Geräte mit Android 16 und neuer bekommt die in Android 15 eingeführte "Failed Authentication Lock" – die den Bildschirm nach zu vielen Fehlversuchen sperrt – einen eigenen Ein-/Aus-Schalter in den Einstellungen. Identity Check, das bei bestimmten Aktionen außerhalb vertrauter Orte Biometrie verlangt, deckt inzwischen alle Apps ab, die den Android Biometric Prompt nutzen – darunter Banking-Apps und der Google Passwortmanager.

Gegen das Erraten von PIN, Muster oder Passwort verlängert Android die Sperrzeit nach Fehlversuchen. Damit dich nicht ein neugieriges Kind versehentlich aussperrt, zählen identische Fehleingaben nicht mehr zum Limit. Der Remote Lock über android.com/lock, mit dem sich ein verlorenes Gerät aus dem Browser sperren lässt, erhält eine zusätzliche Sicherheitsfrage. In Brasilien sind für neu aktivierte Geräte zwei Schlüsselfunktionen künftig standardmäßig aktiv: Theft Detection Lock, das per On-Device-KI ein "Snatch-and-run" erkennt und den Bildschirm sperrt, sowie Remote Lock.

Sicheres Fundament: Rust, pKVM und GPU-Härtung

Unter der Oberfläche treibt Google die Speichersicherheit voran. In seinem Bericht "Rust in Android" meldet der Konzern, dass Speichersicherheitslücken 2025 erstmals unter 20 Prozent aller Schwachstellen fielen. Rust sorgt demnach für eine tausendfach geringere Dichte solcher Fehler gegenüber Androids C- und C++-Code. Überraschend war der Nebeneffekt auf die Entwicklung selbst: Rust-Änderungen haben eine viermal niedrigere Rollback-Rate und verbringen rund 25 Prozent weniger Zeit im Code-Review. Rust ist inzwischen im Linux-Kernel 6.12 (mit dem ersten produktiven Rust-Treiber), in Firmware und in ersten Google-Apps im Einsatz.

Ein Beinahe-Vorfall zeigt den Wert des mehrschichtigen Ansatzes: Ein linearer Buffer Overflow in CrabbyAVIF (als CVE-2025-48530 geführt) schaffte es nicht in eine öffentliche Version. Der gehärtete Scudo-Allocator machte die Lücke durch Guard Pages ohnehin nicht ausnutzbar.

Bei den GPUs setzt Google gemeinsam mit Arm auf Angriffsflächenreduzierung. Die Mali-GPU steckt in rund 45 Prozent der Android-Geräte, und seit 2021 zielen die meisten kernelbasierten Exploits auf die GPU. Mit einer SELinux-Härtung werden veraltete und Debug-IOCTLs im Produktivbetrieb blockiert. Einen Meilenstein meldet Google außerdem beim Hypervisor pKVM: Er erreichte als erste für Massenfertigung gedachte Software die SESIP-Level-5-Zertifizierung – eine Grundlage für abgeschottete On-Device-KI-Workloads mit hohen Datenschutzanforderungen.

Brücken zwischen den Plattformen

Auch die Zusammenarbeit mit dem Apple-Ökosystem rückt näher. Google hat Quick Share mit AirDrop interoperabel gemacht – zunächst mit der Pixel-10-Familie. Damit lassen sich Fotos, Videos und Dateien in beide Richtungen zwischen Android und iOS teilen. Die Kommunikationsschicht ist in Rust geschrieben, um Speicherfehler beim Parsen der über Funk empfangenen Daten auszuschließen. Die Verbindung läuft direkt und peer-to-peer, ohne Server-Umweg. Aktuell nutzt die Funktion AirDrops Modus "Jeder für 10 Minuten"; der Empfang jeder Datei muss bestätigt werden. Der Sicherheitsdienstleister NetSPI bescheinigte der Lösung in einem unabhängigen Test, sie sei "deutlich stärker" als vergleichbare Branchenimplementierungen.

Für besonders gefährdete Nutzer – Journalisten, Amtsträger, Personen des öffentlichen Lebens – bündelt Android "Advanced Protection" verschärfte Einstellungen. In Chrome auf Android erzwingt der Modus "Always Use Secure Connections", aktiviert volle Site Isolation auf Geräten mit mindestens 4 GB RAM und deaktiviert riskante JavaScript-Optimierungen. Diese Einstellungen lassen sich auch außerhalb von Advanced Protection einzeln aktivieren. Advanced Protection ist auf Android 16 in Chrome 137 und neuer verfügbar.

Signal modernisiert seine Grundlagen

Neben Googles Plattformarbeit hat sich auch bei einer der wichtigsten Messaging-Apps viel getan. Signal hat mit Version 8.20 für Android umfassenden Support für verknüpfte Geräte eingeführt. Du kannst jetzt ein weiteres Android-Telefon oder ein Android-Tablet mit deinem Signal-Konto verknüpfen. Dank überarbeiteter Oberfläche für große Bildschirme bleiben Nachrichten geräteübergreifend synchron. Beim Verknüpfen lässt sich optional die komplette Nachrichten-Historie plus die letzten 45 Tage gespeicherter Medien übertragen – Ende-zu-Ende-verschlüsselt auf Basis der "Link-and-Sync"-Technik, die Signal zuvor für Desktop und iPad eingeführt hatte. Einige Bereiche wie der Einstellungsbildschirm, die In-App-Kamera und die volle Tastaturkürzel-Unterstützung sind noch in Arbeit.

Ein weiterer Meilenstein sind die Signal Secure Backups, die zunächst als Beta für Android starteten. Sie sichern ein täglich aktualisiertes, Ende-zu-Ende-verschlüsseltes Archiv deiner Chats. Textnachrichten und die letzten 45 Tage an Medien sind kostenlos (die Gratis-Stufe umfasst 100 MiB Nachrichtenspeicher); wer weiter zurückreichende Medien sichern will, zahlt 1,99 US-Dollar im Monat – Signals erste kostenpflichtige Funktion. Kern des Systems ist ein 64-stelliger Wiederherstellungsschlüssel, der auf deinem Gerät erzeugt wird und niemals an Signals Server gelangt. Geht er verloren, ist das Backup unwiederbringlich weg.

Kleiner, aber praktisch: Mit Gruppenmitglieder-Labels lässt sich in Gruppenchats ein Rollen-Hinweis neben dem Profilnamen anzeigen – etwa "Trainer" im Team-Chat. Die Labels sind Ende-zu-Ende-verschlüsselt, nur in der jeweiligen Gruppe sichtbar und verleihen keine besonderen Rechte. Standardmäßig kann jedes Mitglied ein eigenes Label anlegen; Admins können das auf Admins beschränken. Zur Erinnerung an Signals konsequenten Privacy-Kurs: Bereits 2022 hat die App die SMS-Unterstützung unter Android entfernt, weil Klartext-SMS unsicher sind und für Verwirrung über den Verschlüsselungsstatus sorgten.

Samsung-Geräte: mehrere Schwachstellen

Nicht alles sind gute Nachrichten. Das BSI CERT-Bund meldet in einem aktualisierten Advisory mehrere Schwachstellen in Samsung Android, eingestuft als "mittel". Angreifer könnten sie ausnutzen, um beliebigen Programmcode auszuführen, einen Denial-of-Service auszulösen, Informationen offenzulegen, Dateien zu manipulieren oder Sicherheitsvorkehrungen zu umgehen. Das unterstreicht, warum die im gesamten Ökosystem laufenden Härtungsmaßnahmen – und vor allem zeitnahe Updates – so wichtig sind.

Was bedeutet das für dich?

Die gute Nachricht: Viele der beschriebenen Verbesserungen greifen automatisch, sobald dein Gerät die passende Android-Version und aktuelle Sicherheitspatches hat. Einige Funktionen solltest du aber aktiv prüfen. Konkrete Schritte:

• Sicherheitsupdates einspielen. Ob Post-Quantum-Krypto, GPU-Härtung oder die Samsung-Schwachstellen – der Nutzen hängt an aktuellen Patches. Aktiviere automatische Updates für System und Apps.
• Diebstahlschutz aktivieren. Prüfe unter Android 16+ die neuen Schalter für Failed Authentication Lock und Identity Check. Remote Lock über android.com/lock lohnt sich, bevor etwas passiert.
• Scam Detection einschalten. Die Funktion ist standardmäßig aus. Wenn dein Gerät sie unterstützt, kannst du sie in den Telefon-Einstellungen aktivieren – die Verarbeitung bleibt auf dem Gerät.
• Nie den Bildschirm mit unbekannten Anrufern teilen. Kein echtes Kreditinstitut verlangt das. Der In-Call-Schutz warnt zwar, doch die 30-Sekunden-Pause ist vor allem eine Einladung zum Innehalten.
• Für erhöhten Schutzbedarf: Advanced Protection. Journalisten oder exponierte Personen sollten den Modus samt phishing-resistenter Multi-Faktor-Authentifizierung erwägen.
• Signal-Backup einrichten und Schlüssel sichern. Wenn du Backups nutzt, notiere den 64-stelligen Wiederherstellungsschlüssel an einem sicheren Ort – Signal kann ihn nicht wiederherstellen.