Handywechsel: TU Graz findet Sicherheitslücken in Apps von Samsung, Google und Xiaomi

Der Umzug auf ein neues Smartphone ist für viele Menschen eine Sache von wenigen Minuten. Die beiden Geräte werden nebeneinander gelegt, eine App überträgt Kontakte, Fotos und Nachrichten. Genau dieser Schritt ist beim Handywechsel aber eine Schwachstelle. Ein Team des Instituts für Informationssicherheit der TU Graz hat gemeinsam mit dem Zentrum für sichere Informationstechnologie A-SIT sieben solcher Datenmigrations-Apps untersucht und bei allen Sicherheitslücken gefunden.

Getestet wurden Switch von Google, Smart Switch von Samsung, EasyShare von Vivo, Mi Mover von Xiaomi, Clone Phone von Oppo, Phone Clone von Huawei und Device Clone von Honor. Die Apps sind laut den Forschenden auf fast jedem Android-Gerät vorinstalliert und kommen zusammen auf mehr als zwölf Milliarden Installationen. Vorgestellt wurde die Arbeit auf dem Fachkongress ESORICS 2026 in Rom.

Die Programme bauen für die Übertragung meist eine direkte WLAN-Verbindung zwischen altem und neuem Handy auf, ohne Umweg über einen Server. Das allein mache die Übertragung aber nicht sicher, betonen die Forschenden. Ein Angreifer in Funkreichweite konnte in Innenräumen aus rund 20 bis 45 Metern Entfernung den Datenstrom mitlesen. Die dazu nötige Ausrüstung kostet laut dem Team weniger als 100 Euro.

Auslesen ließen sich unter anderem SMS, Kontakte, Fotos, Anruflisten, Gesundheitsdaten sowie gespeicherte WLAN-Zugangsdaten und App-Passwörter. Bei fünf der sieben Programme konnten die Forschenden zudem manipulierte App-Pakete auf das neue Gerät schleusen und so Schadsoftware installieren. Drei Apps waren auch für Angriffe von bereits auf dem Handy vorhandener Schadsoftware anfällig.

Besonders gefährdet sind laut der Studie Orte, an denen täglich viele neue Geräte eingerichtet werden, etwa Elektronikmärkte und Handyshops. Dort könnte ein Angreifer über längere Zeit unbemerkt Daten mehrerer Kundinnen und Kunden abgreifen. Dass die Apps vorinstalliert und bequem zu bedienen sind, verstärkt das Problem nach Einschätzung von Studienautor Florian Draschbacher noch.

Für ihre Analyse hat die Gruppe um Draschbacher und Stefan Mangard sechs Angriffsszenarien definiert und daraus 15 Anforderungen abgeleitet, die eine sichere Übertragung erfüllen müsste. Jede App wurde daran gemessen. Zwei Angriffe auf Samsung Smart Switch beschreibt das Team in seiner Arbeit im Detail.

Die TU Graz hat die Hersteller vor der Veröffentlichung im Rahmen einer sogenannten verantwortungsvollen Offenlegung informiert. Daraus gingen acht offiziell registrierte Sicherheitslücken hervor, fünf davon mit hohem Schweregrad. Alle sieben Hersteller haben die Probleme bestätigt und Sicherheitsupdates bereitgestellt.

Geschützt ist allerdings nur, wer diese Updates auch installiert hat. Das gilt besonders für ältere Geräte, die beim Umzug als Quelle dienen und oft schon länger nicht mehr aktualisiert wurden.

Die Forschenden empfehlen, vor jeder Datenübertragung auf beiden Geräten die neueste Version der Umzugs-App zu installieren und alle verfügbaren Updates einzuspielen. In manchen Fällen ist dafür ein vollständiges Update des Betriebssystems nötig. Erst danach sollte der Umzug gestartet werden.

Wer ein neues Gerät im Geschäft einrichten lassen will, kann den Datenumzug auch zu Hause erledigen, wo kein Fremder in Funkreichweite ist. Vorsicht bleibt nach Einschätzung der Forschenden auch nach den Updates angebracht, denn die Untersuchung zeige, dass ein Verzicht auf Server allein noch keine sichere Übertragung garantiert.

Studie: Draschbacher, F. et al., Clone2Pwn: A Systematic Security Analysis of Data Migration Tools in the Android Ecosystem, ESORICS 2026