Sie kopieren ein Passwort aus Slack und öffnen danach eine fremde App. Android blendet normalerweise ein, dass diese App die Zwischenablage gelesen hat. Der Entwickler Toni Noble hat gezeigt, wie sich diese Einblendung überdecken lässt. Google will die Umgehung laut seinem Bericht nicht beheben.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Der Android-Entwickler Toni Noble hat am 13. November 2026 beschrieben, wie eine App den Hinweis beim Auslesen der Zwischenablage mit eigenen Meldungen überdeckt.[1] Das Android-Sicherheitsteam stufte das Problem nach seinen Angaben als mittelschwer ein und schließt es ohne Korrektur ab („Won’t Fix“).[1] Geschrieben hatte Noble den Bericht schon Ende Juli und ihn bis zum Bescheid zurückgehalten.
Das Wichtigste in Kürze
- Seit Android 12 blendet das System eine Meldung ein, wenn eine App Inhalte aus der Zwischenablage einfügt.
- Noble löst mit einer Test-App zwei eigene Meldungen in schneller Folge aus, sie erscheinen statt des Systemhinweises.
- Google behebt das Problem laut Noble nicht, ein Passwort in der Zwischenablage bleibt für andere Apps lesbar.
- Passwörter und Zugangscodes gehören nicht in die Zwischenablage, sondern in einen Passwortmanager mit Direkteintrag.
Wie lässt sich der Hinweis überdecken?
Google nennt die Einblendung in der Entwicklerdokumentation als Schutz: Seit Android 12 erscheint sie bei jedem Einfügen und erschwert damit, dass Angriffe unbemerkt bleiben.[2] Noble zeigt, dass eine App kurz nacheinander zwei eigene Toast-Meldungen auslösen kann, so heißen die kleinen Einblendungen am Bildschirmrand. Sie erscheinen anstelle der Systemmeldung, und der Anwender erfährt nicht, dass sein Passwort gelesen wurde.[1]
Das eigentliche Problem ist die Konstruktion: Der Hinweis ist eine Anzeige, keine Berechtigung. Eine App muss nichts freischalten, um die Zwischenablage zu lesen, und der Anwender kann den Zugriff nicht pro App sperren. Noble hat deshalb eine Berechtigung wie bei Standort oder Benachrichtigungen vorgeschlagen.[1] Die Markierung für sensible Inhalte hilft nur bedingt: Sie verbirgt die Vorschau in der Tastatur, der Wert bleibt für andere Apps lesbar.[2]
Ist das ein Einzelfall?
Der Hinweis wurde schon einmal umgangen. Im Oktober 2023 zeigte Fingerprint, dass jede App mit der Berechtigung für Überlagerungen die Meldung abdecken kann.[3] Google schloss im Mai 2024 mit CVE-2024-23708 einen verwandten Fehler: In Android 12 bis 14 ließ sich die Einblendung unterdrücken.[4] Beide Fälle folgen demselben Muster: Eine Anzeige soll schützen, und die App, vor der sie schützen soll, kann sie manipulieren.
Ein Hinweis, den die lesende App überblenden kann, ist keine Schutzmaßnahme, sondern ein Wunsch.
Michael Dobler, Herausgeber Dr. Web
Was sollten Unternehmen jetzt tun?
Zugangsdaten, die per Chat verteilt und über die Zwischenablage weitergereicht werden, sind damit weniger geschützt, als der Hinweis vermuten lässt. Nach Artikel 32 DSGVO müssen Verantwortliche ein dem Risiko angemessenes Schutzniveau sicherstellen.[5] Dazu gehört, Passwörter nicht per Chat zu teilen. Wie Sie Zugangsdaten im Team verwalten, steht in einem eigenen Beitrag.
Setzen Sie Passwortmanager mit Direkteintrag ein, damit der Wert gar nicht erst in der Zwischenablage landet. Installieren Sie auf Firmengeräten nur geprüfte Apps. Android 13 und neuer leert die Zwischenablage nach einer Frist, das verkürzt das Zeitfenster für einen Zugriff.[2] Entwickler eigener Apps markieren sensible Inhalte mit EXTRA_IS_SENSITIVE. Das Betriebssystem GrapheneOS bietet mit „Secure Paste“ eine Sperre pro App.[6] Dass Angreifer die Zwischenablage ohnehin im Visier haben, zeigte zuletzt ein manipuliertes Tracking-Skript, das Krypto-Adressen ersetzte.
Quellen
6 Quellen anzeigenQuellen ausblenden
- Toni NobleCtrl+C, Ctrl+V, Ctrl+CVE
- Android DevelopersSecure Clipboard Handling
- FingerprintBeitrag zum Clipboard-Leck unter Android 14
- Android Open Source ProjectAndroid Security Bulletin, Mai 2024
- Europäische UnionVerordnung (EU) 2016/679 (Datenschutz-Grundverordnung)
- GrapheneOSFunktionen, Abschnitt Secure Paste
Mehr Newshunger?
- Adform kompromittiert: Ein manipuliertes Tracking-Skript ersetzte Krypto-Adressen
- Passwortverwaltung im Team: So gehen Zugangsdaten sicher durch die Firma
- TSMC bestätigt Datenabfluss bei einem Cloud-Dienstleister
- Einbruch bei Apify: Unbefugte sahen Konto- und Rechnungsdaten
- Schwere Sicherheitslücke bei Defender Security im Login
- Coding-Aufgabe im Bewerbungsgespräch: Sieben Zeilen laden den Schadcode nach
