Android vs. iPhone: Was ist sicherer? CVEs, Zero-Days, Exploit-Preise und Patch-Tempo in Zahlen (2026)

Für einen funktionierenden Zero-Click-Exploit auf das iPhone zahlen Broker heute bis zu 7 Millionen Dollar. Für den gleichen auf Android – bis zu 5 Millionen. Fall erledigt, das iPhone ist sicherer? Nicht so schnell. 2019 war es genau umgekehrt: Zerodium zahlte für Android 2,5 Mio. und für iOS 2 Mio., und der Chef erklärte, der Markt sei schlicht mit iPhone-Exploits überschwemmt. 💥

„Michał, was ist sicherer: iPhone oder Android?“ – diese Frage bekomme ich regelmäßig. Von Freunden, von Kunden, von Geschäftsführern, die gerade ihre Firmenhandy-Flotte austauschen. Und ich antworte immer gleich: Kommt drauf an, was du misst. Denn in dieser Diskussion hat jeder eine Meinung, aber kaum jemand hat Zahlen.

Deshalb habe ich gemacht, was ich am liebsten mache: harte Daten an einem Ort gesammelt. Die Zahl der Schwachstellen (CVEs), Zero-Days aus echten Angriffen, das Patch-Tempo, Exploit-Preise auf dem Schwarzmarkt, Ergebnisse von Hacking-Wettbewerben, Statistiken zu Malware und Phishing, Bug-Bounty-Programme. Dazu ein kurzer Überblick, wie die Schutzmechanismen beider Systeme funktionieren und wie echte Angriffe sie umgangen haben – inklusive der Frage, warum eine Funktion für Menschen mit Behinderungen heute das Lieblingswerkzeug von Dieben auf Android ist. Jede Zahl hat eine Quelle und ein Datum (Liste am Ende). Zum Schluss – das Fazit und 7 Dinge, die jeder tun sollte, egal welches Logo auf dem Gehäuse prangt.

Inhaltsverzeichnis

1. Bevor wir vergleichen: ein Apfel gegen einen ganzen Sack Äpfel
2. Wie viele CVEs hat Android, wie viele iOS?
3. Zero-Days in echten Angriffen: 15 auf Mobilgeräte im Jahr 2025
4. Wie schnell werden Schwachstellen gepatcht? Apple vs. Google
5. Was ein Einbruch kostet – die Preisliste des Schwarzmarkts und Pwn2Own
6. Wie groß ist das Security-Team? Bug Bounty und die Verteidigung der App-Stores
7. Malware und Phishing: wo wirklich Geld verloren geht
8. Pegasus, Graphite und Co.: wer im Visier steht
9. Mauern und Hintertüren: wie Angriffe Schutzmechanismen umgehen (und warum Bedienungshilfen gefährlich sind)
10. Fazit: die Punktetabelle
11. 7 Dinge, die du unabhängig vom System tun solltest
12. FAQ

Bevor wir vergleichen: ein Apfel gegen einen ganzen Sack Äpfel

Eine ehrliche Anmerkung vorab, denn ohne sie wäre der ganze Vergleich unfair. Das iPhone ist ein Hersteller, ein System und ein Store. „Android“ ist das Pixel von Google, Samsung mit eigener Oberfläche und eigenem Security-Bulletin, Xiaomi, Motorola und ganz am Ende das Billighandy für rund 100 Euro aus dem Supermarkt, das sein letztes Update am Tag des Marktstarts bekommen hat. Wir vergleichen also einen Apfel mit einem ganzen Sack Äpfel unterschiedlicher Frische.

Auch die Größenordnung ist nicht symmetrisch. Weltweit hat Android 69 % Marktanteil, iOS 31 % (StatCounter, September 2026). In Polen, wo ich arbeite, ist das Verhältnis ausgeglichener: 64 % Android, 36 % iOS. Mehr Marktanteil bedeutet mehr Anziehungskraft für Massenkriminalität – ein Krimineller schreibt seinen Banking-Trojaner dort, wo er die meisten potenziellen Opfer hat.

Und dann ist da noch der Support, denn er entscheidet, ob ein Patch überhaupt bei dir ankommt:

• Pixel 8 und neuer: 7 Jahre System- und Sicherheitsupdates (Pixel 6/7: 5 Jahre).
• Samsung Galaxy S24/S25: 7 Jahre.
• Günstigere Androids: hängt von Hersteller und Modell ab, meist deutlich kürzer als bei Flaggschiffen. Prüf vor dem Kauf den zugesagten Update-Zeitraum auf der Website des Herstellers.
• iPhone: Apple verspricht keine bestimmte Anzahl von Jahren. Aber das am 14. September 2026 erschienene iOS 27 läuft noch auf dem iPhone 11 von 2019 – in der Praxis also rund 7 Jahre.

Lektion Nr. 1: Die Frage „Android oder iPhone?“ ist falsch gestellt. Richtig lautet sie: „Welches Android?“. Ein Pixel mit 7 Jahren Support und ein No-Name-Gerät mit zwei Jahren sind zwei verschiedene Welten, auch wenn beide Android heißen.

Wie viele CVEs hat Android, wie viele iOS?

Für die Nicht-Techniker: CVE ist ein öffentlicher Katalog von Schwachstellen – jede veröffentlichte Lücke bekommt eine Nummer, damit alle über denselben Fehler sprechen. Ausführlicher habe ich darüber im Beitrag über Cyberbedrohungen 2026 in Zahlen geschrieben.

Zimperium hat in seinem Global Mobile Threat Report 2025 nachgezählt: 2024 bekam Android 501 CVEs, iOS 317. Noch spannender ist die Zahl der Zero-Days, also Lücken, die bei Angriffen ausgenutzt wurden, bevor es einen Patch gab: Android 41 / 97 / 12 in den Jahren 2022 / 2023 / 2024, iOS entsprechend 5 / 20 / 5.

Erster Reflex: „Android hat mehr Lücken.“ Zweiter Reflex, der des Pentesters: Die Zahl der CVEs sagt mehr darüber aus, wie gezählt wird und wie viele Leute suchen, als darüber, wie sicher ein System ist. Warum?

• Zu den Android-CVEs zählen auch Komponenten von Drittanbietern: Modems, Chips von Qualcomm und MediaTek. Google patcht in seinen Bulletins fremde Fehler. Apple entwickelt eigene Chips und zählt anders.
• Android ist Open Source – jeder kann in den Code schauen und einen Fehler melden. Im geschlossenen iOS ist die Suche nach Lücken schwieriger, also bekommt ein Teil von ihnen schlicht keine Nummer.
• Seit 2025 hat Google den Rhythmus der Bulletins geändert (dazu gleich mehr), deshalb wird selbst der Jahresvergleich bei Android allein knifflig. Zur Einordnung: In der ersten Jahreshälfte 2025 patchte das Android Security Bulletin rund 270 Schwachstellen, allein das Dezember-Bulletin 2025 – 107. Apple hat in iOS 26.0 27 CVEs gepatcht (laut SecurityWeek; Apples eigene Liste hat mehr Einträge, weil eine Lücke mehrere Komponenten betreffen kann).

Viel interessanter als die nackte Zahl ist die Qualität der Fehler. Google veröffentlicht seit Jahren den Anteil von Speicherfehlern (die Fehlerklasse, aus der die meisten Exploits entstehen) an den Android-Schwachstellen: 76 % im Jahr 2019, 24 % im Jahr 2024 und unter 20 % im Jahr 2025. Das ist der Verdienst von Rust – in Android stecken bereits rund 5 Mio. Zeilen Code in dieser Sprache, und Google meldet darin etwa 1000-mal weniger Speicherfehler pro Million Zeilen als in C/C++. Apple antwortete im September 2025 mit Memory Integrity Enforcement (MIE) im iPhone 17: dauerhaft aktiviertes hardwarebasiertes Memory Tagging, laut Apple „das bedeutendste Upgrade der Speichersicherheit in der Geschichte von Consumer-Betriebssystemen“. Google hatte hardwarebasiertes MTE schon 2023 im Pixel 8, aber als Option; Apple hat es für alle eingeschaltet, standardmäßig. ✔️

Lektion Nr. 2: Kauf kein Smartphone nach der Zahl der CVEs. Kauf danach, ob der Hersteller in die Beseitigung ganzer Klassen von Fehlern investiert – und hier haben beide Giganten in den letzten zwei Jahren mehr getan als im gesamten Jahrzehnt davor.

Zero-Days in echten Angriffen: 15 auf Mobilgeräte im Jahr 2025

Das härteste Maß ist nicht „wie viele Lücken gefunden wurden“, sondern „wie viele Lücken gegen Menschen eingesetzt wurden, bevor es einen Patch gab“. Die Google Threat Intelligence Group zählt das jedes Jahr:

• 2025: 90 bei Angriffen ausgenutzte Zero-Days (2024: 78, 2023: 100). Davon 15 auf mobilen Plattformen (2024: 9, 2023: 17).
• Nach Unternehmen (alle Produkte, nicht nur Smartphones): Microsoft 25, Google 11, Apple 8.
• Ketten aus mehreren Zero-Days zielen fast ausschließlich (rund 90 %) auf Smartphones. 2025 waren Ketten aus drei und mehr Fehlern häufiger als im Vorjahr – weil eine einzelne Lücke nicht mehr reicht, um die Schutzmechanismen zu durchbrechen.
• Die einzige Aufschlüsselung nach Plattform, die Google veröffentlicht hat: 2024 betrafen 7 Zero-Days Android, davon 3 in Komponenten von Drittanbietern. Für iOS hat Google keine solche Zahl veröffentlicht.
• Zum ersten Mal in der Geschichte der Messung wurden mehr Zero-Days kommerziellen Spyware-Herstellern zugeschrieben als staatlichen Spionagegruppen.
• Ein frisches Beispiel aus iOS: Am 28. September 2026 veröffentlichte Apple iOS 26.7.1 mit einem Patch für eine Lücke in CoreGraphics (CVE-2026-86950), die laut Apple bei einem „äußerst raffinierten Angriff“ auf bestimmte Personen ausgenutzt worden sein könnte, auf Versionen älter als iOS 27. Zum Vergleich: Das Android-Bulletin vom Oktober (25 CVEs) markiert keine einzige Lücke als ausgenutzt. Ein Monat beweist nichts – zeigt aber gut, dass „das iPhone hat keine Zero-Days“ ein Mythos ist.

Die Empfehlung aus demselben Bericht passt in einen Satz, also wiederhole ich sie: Aktiviere Advanced Protection auf Android (ab Android 16) oder den Lockdown Mode (Blockierungsmodus) auf dem iPhone. Das sind Modi „für Hochrisikopersonen“, aber für Geschäftsführer, Anwältinnen oder Journalisten sind sie heute schlicht eine vernünftige Einstellung.

Lektion Nr. 3: In der Welt der Zero-Days sind beide Systeme ein Ziel, und die Unterschiede sind kleiner, als das Internet suggeriert. Entscheidend sind weniger die Fehler selbst als die Frage, was es kostet, daraus einen funktionierenden Angriff zu bauen – dazu gleich mehr.

Wie schnell werden Schwachstellen gepatcht? Apple vs. Google

Die beste unabhängige Messung hat Google Project Zero – ein Team, das Fehler an alle Hersteller meldet (Google eingeschlossen) und öffentlich zählt, wie viele Tage sie bis zum Patch brauchen. Die Frist beträgt 90 Tage.

Für die Jahre 2019-2021: iOS im Schnitt 70 Tage, Pixel 72, Samsung 72. Also Gleichstand. In der Tabelle für 2025 (Stand März 2026) hat Apple keine einzige Meldung, ein Vergleich ist also nicht möglich; das Pixel 10 brauchte 73, 98 und 98 Tage (zweimal über der Frist), Samsung patchte Bild-Codecs im Schnitt in 49 Tagen. Ein Detail aus derselben Übersicht: Browser. Chrome brauchte 30 Tage von der Meldung bis zur Auslieferung des Fixes an die Nutzer, WebKit (die Engine von Safari) – 73. Apple patcht schnell, liefert aber in seinem eigenen Rhythmus aus.

Nur ist „vom Hersteller veröffentlichter Patch“ nicht dasselbe wie „Patch auf deinem Smartphone“. Und hier beginnt der echte Unterschied:

Android hat den Rhythmus geändert. Zehn Jahre lang veröffentlichte Google jeden Monat ein Bulletin mit Patches. Im Juli 2025 erschien das erste leere Bulletin der Geschichte, und seit September 2025 gilt ein „risikobasiertes“ System: monatlich nur noch aktiv ausgenutzte Lücken oder solche, die Teil bekannter Ketten sind, der Rest in großen Quartals-Releases. Partner bekommen den Code einige Monate früher, und seit 2026 wird der AOSP-Quellcode zweimal im Jahr veröffentlicht. Für Nutzer von Samsung oder Pixel ist das in der Praxis neutral. Für Entwickler alternativer Systeme (z. B. GrapheneOS) ist es ein Problem – die Patches kommen bei ihnen später an.

Apple ging in die andere Richtung. Im März 2026 veröffentlichte das Unternehmen die ersten Background Security Improvements: kleine Patches (hier: für eine Lücke in WebKit, CVE-2026-20643), die im Hintergrund installiert werden, ohne vollständiges Systemupdate und ohne Neustart. Das Fenster zwischen Veröffentlichung und Installation schrumpft auf ein Minimum.

Und hier das Endergebnis, also wie viele Smartphones tatsächlich das neueste System haben. Achtung bei den Daten: Das sind die letzten Messungen, die die Hersteller veröffentlicht haben. Seitdem sind bereits iOS 27 (September 2026) und Android 17 erschienen, aber weder Apple noch Google haben neue Zahlen genannt.

• iOS 26: 79 % aller iPhones und 86 % der Modelle aus den letzten 4 Jahren (Apple, Juni 2026, 9 Monate nach dem Release).
• Android 16: 7,5 % der Geräte in Googles Stichprobe vom Dezember 2025 (6 Monate nach dem Release); im von StatCounter gemessenen Web-Traffic im September 2026 – 38 %. Unterschiedliche Methoden, aber keine kommt auch nur in die Nähe von Apple.
• Zimperium: Im Laufe eines Jahres waren 61 % der Android-Geräte und 49 % der iOS-Geräte zu irgendeinem Zeitpunkt auf einer veralteten Systemversion, und rund 25 % der Geräte in Unternehmen lassen sich überhaupt nicht auf die neueste Version aktualisieren.

Lektion Nr. 4: An der Quelle patchen Apple und Google in ähnlichem Tempo. Der Unterschied liegt im Weg in die Hosentasche: Ein Apple-Patch landet auf 4 von 5 iPhones, ein Google-Patch muss durch Hersteller, Mobilfunkanbieter und die Version der Oberfläche. Wenn du in der Firma Androids hast, muss die Richtlinie „wir aktualisieren innerhalb von 14 Tagen“ deshalb per MDM (Software zur Verwaltung von Firmenhandys) erzwungen und nicht den Nutzern überlassen werden.

Was ein Einbruch kostet – die Preisliste des Schwarzmarkts und Pwn2Own

Der ehrlichste Sicherheitsindikator ist der Preis. Nicht meine Meinung, kein Marketing – sondern das, was jemand bereit ist, für einen funktionierenden Angriff zu zahlen. Exploit-Broker (Firmen, die Zero-Days für Regierungen aufkaufen) veröffentlichen Preislisten:

• Zerodium, 2019: Android Zero-Click 2,5 Mio. $, iOS 2 Mio. $. Zum ersten Mal in der Geschichte war Android teurer. Die Begründung des Firmenchefs: Der Markt sei mit iOS-Exploits überschwemmt, vor allem für Safari und iMessage, während Google Android „in aller Ruhe“ so gehärtet habe, dass eine vollständige Zero-Click-Kette schwerer zu bauen sei.
• Operation Zero (Russland), aktuelle Preisliste: Android 2,5 Mio. $, iOS 2 Mio. $. Im September 2023 kündigte die Firma gelegentlich bis zu 20 Mio. $ für vollständige Ketten auf beiden Systemen an. 2025 gab ein Amerikaner, ehemaliger Abteilungsleiter bei L3Harris Trenchant, zu, ihnen Exploits verkauft zu haben – er bekam rund 7 Jahre.
• Crowdfense (VAE), 2024: iOS Zero-Click 5-7 Mio. $, Android bis zu 5 Mio. $, Chrome bis zu 3 Mio., Safari bis zu 3,5 Mio. Die Preisliste hat sich bis heute nicht geändert. Kommentar der Firma: „Die von den Herstellern eingeführten Schutzmaßnahmen wirken“ – ein Exploit, den früher eine Person schrieb, erfordert heute ein ganzes Team.

2019 war also Android teurer, 2024 ist es iOS. Die Schlussfolgerung? Beide Systeme sind heute ein so schwieriges Ziel, dass eine funktionierende Kette so viel kostet wie zehn Häuser in Warschau. Niemand gibt so eine Summe aus, um dir deine Urlaubsfotos zu klauen – das ist Geld für politische und nachrichtendienstliche Zwecke.

Die zweite unparteiische Messung ist Pwn2Own – ein Wettbewerb, bei dem die besten Teams der Welt Geräte live knacken, für Geld des Veranstalters (Zero Day Initiative):

• Irland 2024: Galaxy S24 geknackt (Kette aus 5 Fehlern, Preisgeld 50.000 $). Für das Pixel 8 und das iPhone 15 waren jeweils 250.000 $ ausgelobt. Niemand hat auch nur einen Versuch angemeldet.
• Irland 2025: Galaxy S25 zweimal geknackt (je 50.000 $). Für das Pixel 9 und das iPhone 16 gab es jeweils 300.000 $ – null Anmeldungen.
• Irland 2026: Hier kam der Durchbruch. Das Pixel 10 fiel dreimal am letzten Tag, und für eine dieser Ketten kassierte Ikotas Labs 300.000 $ – das höchste Preisgeld des ganzen Wettbewerbs. Das Galaxy S26 wurde 7-mal geknackt, meist mit „Kollisionen“ (Fehler, die der Hersteller schon kannte, daher niedrigere Preisgelder). Für das iPhone 17 (ebenfalls 300.000 $) hat sich im dritten Jahr in Folge niemand angemeldet. Der ganze Wettbewerb: 98 Zero-Days und 1,26 Mio. $ an Auszahlungen.

Warum versucht sich seit drei Jahren niemand für 300.000 Dollar am iPhone? Weil eine funktionierende Kette bei Brokern etwa 20-mal mehr wert ist – sie im Wettbewerb zu zeigen, wäre ein schlechtes Geschäft. Umso spannender ist das diesjährige Pixel: Drei Teams fanden, dass es sich lohnt, es vorzuführen. Was genau versagt hat, ist noch nicht bekannt – Details zu den Fehlern veröffentlicht die ZDI erst nach 90 Tagen, wenn der Hersteller sie gepatcht hat. Samsung mit eigener Oberfläche und eigenen Apps hat schlicht mehr Code, in dem man suchen kann – und fällt deshalb jedes Jahr. 😈

Lektion Nr. 5: iPhone und Pixel sind weiterhin „hard targets“ – Ziele, die sich bei einem echten Angriff vor allem Staaten leisten können. Aber das diesjährige Pixel erinnert daran, dass ein hartes Ziel kein unantastbares Ziel ist: Die Schwierigkeit eines Angriffs ist keine Konstante, sondern ein Wettlauf, den der Hersteller jedes Jahr aufs Neue gewinnen muss. Die übrigen Androids liegen darunter, proportional zur Menge an herstellereigenem Code und zu dessen Patch-Tempo. Wenn du eine Flotte für exponierte Personen auswählst (Vorstand, Finanzen, Juristen) – sollte dieses Kriterium mehr wiegen als der Preis des Mobilfunkvertrags.

Wie groß ist das Security-Team? Bug Bounty und die Verteidigung der App-Stores

Ich wollte hier zwei Zahlen einsetzen: wie viele Security-Ingenieure Apple hat und wie viele Google. Geht nicht – keines der Unternehmen veröffentlicht die Größe seiner Teams (Apple SEAR, Android Security, Project Zero). Jede Zahl, die du im Internet findest, ist geraten. Aber es gibt gute Ersatzindikatoren: wie viel beide Firmen Externen für das Finden von Lücken zahlen und wie viel Müll sie am Eingang des Stores aufhalten.

Bug Bounty, also was für Lücken gezahlt wird

• Apple: Seit November 2025 liegt die Höchstprämie bei 2 Mio. $ für eine Zero-Click-Kette (vorher 1 Mio.), mit Boni (Umgehung des Lockdown Mode, Fehler in Betaversionen) „über 5 Mio. $“. Seit dem Start des Programms im Jahr 2020 hat Apple über 35 Mio. $ an mehr als 800 Forschende ausgezahlt. Im Security Research Device Program (spezielle iPhones für Forschende) lag die mittlere Auszahlung 2024 bei rund 18.000 $, mehrmals wurden 500.000 $ gezahlt. 2026 verteilt Apple außerdem 1000 iPhone 17 an zivilgesellschaftliche Organisationen, die von Spyware bedroht sind.
• Google: 2025 zahlten alle VRP-Programme zusammen 17,1 Mio. $ an 747 Forschende aus (über 81 Mio. $ seit 2010). Davon Android und Google-Geräte – 2,9 Mio. $ (im Vorjahr 3,3 Mio.; Chrome bekam 3,7 Mio.). Seit Mai 2026 ist eine vollständige Zero-Click-Kette auf das Pixel mit Überwindung des Titan-M2-Chips und Persistenz 1-1,5 Mio. $ wert. Google erklärt ganz offen: KI hat das Programm mit langen Berichten geflutet, also fließen die Prämien dorthin, wo Fehler für KI am schwersten zu finden sind.
• Samsung: bis zu 1 Mio. $ für Remote Code Execution im Knox Vault; über 4 Mio. $ ausgezahlt seit 2017.
• Dazu unterhält Google Project Zero – ein Team, das auch bei Apple und Samsung nach Lücken sucht und alle öffentlich an der 90-Tage-Frist misst. Apple hat kein öffentliches Gegenstück.

Der Eingang zum Store, also wie viel Müll gar nicht erst aufs Smartphone kommt

• App Store, 2025: 9,1 Mio. geprüfte App-Einreichungen, über 2 Mio. abgelehnt, 193.000 geschlossene Entwicklerkonten, 2,2 Mrd. $ an blockierten betrügerischen Transaktionen, 28.000 Apps in Piraten-Stores blockiert.
• Google Play, 2025: 1,75 Mio. Apps, die gegen Richtlinien verstießen, vor der Veröffentlichung gestoppt, 80.000 gesperrte Konten, Play Protect scannt 350 Mrd. Apps pro Tag und hat 27 Mio. neue schädliche Apps außerhalb des Stores entdeckt.

Diese Zahlen messen Unterschiedliches (Apple zählt Dollar, Google Apps), zeigen aber die Größenordnung: Beide Giganten betreiben Aussortier-Fabriken auf einem Niveau, von dem keine polnische Bank und kein E-Commerce-Shop auch nur träumt. 😈

Lektion Nr. 6: Die Teamgröße ist nicht öffentlich, das Geld schon. Apple zahlt mehr für einen einzelnen Exploit, Google insgesamt mehr und breiter gestreut. Beides sagt dasselbe: Smartphone-Sicherheit kostet heute Hunderte Millionen Dollar pro Jahr. Deine mobile App, von einem Dienstleister in einem halben Jahr geschrieben, hat diese Größenordnung nicht – und genau deshalb finde ich bei meinen Aufträgen die Lücken meistens in ihr und nicht im System.

Malware und Phishing: wo wirklich Geld verloren geht

Zero-Days und Exploits für Millionen sind die Welt der Geheimdienste. Das Geld normaler Menschen und Firmen geht woanders verloren – durch schädliche Apps und Phishing. Und hier ist das Bild eindeutig, nur in jeder Kategorie andersherum.

Malware: Android

• Kaspersky, 2025: 14 Mio. blockierte Angriffe durch Malware, Adware und unerwünschte Software auf Smartphones (rund 1,2 Mio. pro Monat), 815.000 neue schädliche Installationspakete und 255.000 neue Banking-Trojaner – ein Vielfaches des Vorjahres. Fast vollständig Android.
• Lookout, Q3 2025: Malware-Funde auf Firmengeräten betreffen „mit überwältigender Mehrheit“ Android; innerhalb eines Quartals 71.000 schädliche Apps auf Firmenhandys.
• ESET, 2. Halbjahr 2025: Angriffe über NFC (das Smartphone des Opfers „reicht“ die Bankkarte an einen Kriminellen am Geldautomaten weiter) stiegen um 87 %.
• Polen: CERT Polska hat 2025-2026 weitere Kampagnen gegen Kunden polnischer Banken beschrieben: NGate (gibt sich als SGB, Santander, PKO, ING aus, stiehlt per NFC), FvncBot (SGB, Alior, Paribas; tarnt sich als „Play-Komponente“), Cifrat (Infrastruktur, die Booking imitiert). Der gemeinsame Nenner: Alles sind APK-Dateien, die manuell auf Android installiert werden, nachdem das Opfer den Bildschirm „Installation aus unbekannten Quellen zulassen“ durchgeklickt hat.
• Google schätzt, dass Apps, die außerhalb des Stores installiert werden, über 50-mal mehr Malware enthalten als Apps aus Play. Deshalb verlangt Android ab dem 30. September 2026 (Brasilien, Indonesien, Singapur, Thailand) und ab 2027 weltweit, dass jeder Entwickler verifiziert ist – auch außerhalb des Stores. Zimperium: In Unternehmen hat jedes vierte Android-Smartphone eine App von außerhalb des Stores installiert.

Der Vollständigkeit halber: iOS ist nicht sauber. Im Februar 2025 beschrieb Kaspersky SparkCat – die erste bekannte Malware im App Store, die Screenshots nach Wiederherstellungsphrasen von Krypto-Wallets durchsucht. Und in der EU erlaubt seit 2024 auch das iPhone alternative App-Stores (laut TechCrunch sind sechs in Betrieb), wobei jede App weiterhin Apples automatische und menschliche „Notarisierung“ durchläuft. Einen aufsehenerregenden Vorfall aus diesen Stores habe ich bisher nicht gesehen.

Phishing: iPhone

• Lookout, Q3 2025: Ein Phishing-Versuch wurde auf 16 % der iOS-Geräte und 7,8 % der Android-Geräte registriert. Im ganzen Jahr 2024: 26 % vs. 12 %. Lookout fügt fairerweise hinzu: iPhones bekommen in Unternehmen Führungskräfte und die Finanzabteilung, sie sind also schlicht ein wertvolleres Ziel.
• Zimperium, 2026: Phishing auf Firmenhandys ist seit Januar 2025 um 380 % gestiegen, und Spyware wurde auf fast 1 von 10 Geräten entdeckt (viermal mehr als im Vorjahr).
• Google wirbt mit einer Studie (YouGov, 5000 Personen in den USA, Indien und Brasilien), nach der Android-Nutzer mit 58 % höherer Wahrscheinlichkeit in einer Woche keine einzige Betrugs-SMS bekamen als iPhone-Nutzer. Die Studie hat Google in Auftrag gegeben, also behandle ich sie wie Werbung – aber das KI-Filtern von SMS und Anrufen ist heute tatsächlich auf Android-Seite stärker. ⚠️

Lektion Nr. 7: Android verliert bei Malware, das iPhone bei Phishing. Das Erste lässt sich per Richtlinie lösen („null Apps von außerhalb des Stores“, per MDM erzwungen), das Zweite lässt sich nicht mit einem Smartphone lösen – denn Phishing greift den Menschen an, nicht das System. Auf dem iPhone deines CFO sieht der Link zur „Rechnung“ genauso überzeugend aus wie überall sonst.

Pegasus, Graphite und Co.: wer im Visier steht

Kommerzielle Spyware spielt in einer eigenen Liga: Pegasus (NSO), Predator (Intellexa), Graphite (Paragon). Eine Tatsache solltest du dir merken: Jede davon gibt es für beide Systeme. 2025 bestätigte Citizen Lab Graphite auf den iPhones zweier Journalisten (Zero-Click über iMessage, CVE-2025-43200, iOS 18.2.1) und gleichzeitig auf den Androids zweier italienischer Aktivisten (Zero-Click über WhatsApp). Derselbe Kunde, beide Plattformen.

• Apple verschickt Warnungen vor Spyware-Angriffen in über 150 Ländern; allein die Welle vom August 2026 erreichte Nutzer in 110 Ländern. Die Zahl der Empfänger gibt Apple nicht bekannt.
• Lockdown Mode: Im März 2026 erklärte Apple, keinen einzigen erfolgreichen Angriff kommerzieller Spyware auf ein iPhone mit aktiviertem Lockdown Mode zu kennen. Unabhängig überprüft wurde das nicht, aber Google-Forschende haben Spyware gesehen, die sich nach dem Erkennen des Lockdown Mode einfach abschaltet.
• Android: Der vergleichbare Modus Advanced Protection kam mit Android 16 (2025). Ein Beispiel von der anderen Seite: Die Spyware LANDFALL nutzte eine Lücke in Samsungs Bildverarbeitung (CVE-2025-21042) rund 9 Monate lang aus, bevor ein Patch kam.
• Forensik-Tools: Laut Leaks bei Cellebrite aus dem Jahr 2024 waren iPhones mit iOS 17.4+ „in Prüfung“ (nicht entsperrbar), und laut einem Leak vom Oktober 2025 lässt sich ein Pixel 9 mit GrapheneOS überhaupt nicht auslesen – ein normales Pixel schon. Was sich aus einem beschlagnahmten Smartphone herausholen lässt, hängt also mehr von Systemversion und Konfiguration ab als vom Logo.

Lektion Nr. 8: Wenn jemand Millionen ausgibt, um genau bei dir einzubrechen, rettet dich das Betriebssystem nicht. Retten wird dich die Konfiguration – Lockdown Mode / Advanced Protection, Updates am Tag der Veröffentlichung, ein Neustart einmal täglich (die meiste mobile Spyware überlebt keinen Neustart) und das Bewusstsein, dass „nicht auf Links klicken“ nicht mehr reicht, weil Zero-Click keinen Klick braucht.

Mauern und Hintertüren: wie Schutzmechanismen funktionieren und wie Angriffe sie umgehen

Auf dem Papier verteidigen sich beide Systeme ähnlich. Jede App sitzt in einem eigenen „Zimmer“ (Sandbox) und sieht nicht, was die anderen tun. Code muss signiert sein. Beim Start prüft das Smartphone, ob niemand das System ausgetauscht hat. Den Speicher schützen Hardware-Mechanismen im Prozessor. Die gute Nachricht: Diese Mauern durchbricht praktisch niemand frontal. Die schlechte: Das muss auch niemand. Angreifer suchen nach Hintertüren – und jedes System hat andere.

iPhone: technische Hintertüren für Millionen

• BlastDoor gegen ein „GIF“, das ein PDF war. In iOS 14 sperrte Apple die Verarbeitung von iMessage-Nachrichten in eine spezielle Sandbox namens BlastDoor. 2021 schickte NSO (die Macher von Pegasus) den Opfern eine Datei mit der Endung .gif, die in Wirklichkeit ein PDF war. iMessage übergab GIFs an einen Prozess, der außerhalb von BlastDoor lief, und die Grafikbibliothek erkannte das echte Format und startete einen Decoder mit Lücke (CVE-2021-30860). In diesem Decoder baute der Exploit aus über 70.000 einfachen Operationen einen eigenen, virtuellen Computer. Google Project Zero nannte das einen der technisch raffiniertesten Exploits, die es je gesehen hat. Und die anschließende Flucht aus der Sandbox beruhte ausschließlich auf Logikfehlern, sodass hardwarebasierte Speicherschutzmechanismen, wie Project Zero einräumte, darauf keinerlei Einfluss hatten. Die Mauer war gut. Nur ging nicht alles durch sie hindurch. Apple patchte das in iOS 14.8, und seit iOS 15 werden GIFs innerhalb von BlastDoor verarbeitet.
• Operation Triangulation, oder: undokumentierte Hardware. 2023 entdeckte Kaspersky, dass die iPhones der eigenen Mitarbeitenden über eine unsichtbare iMessage-Nachricht infiziert worden waren. Die Kette hatte 4 Zero-Days, umging die Zeiger-Signierung (PAC – ein Mechanismus, der die Übernahme der Programmsteuerung verhindern soll) und – das Spannendste – den hardwarebasierten Schutz des Kernel-Speichers. Die Angreifer nutzten dafür Prozessorregister, die in keiner Dokumentation stehen und die nicht einmal Apples eigene Software verwendet (CVE-2023-38606). Kaspersky nannte es den raffiniertesten Angriff, den seine Experten je gesehen haben.
• Als die Mauer hielt: BLASTPASS. Im September 2023 erwischte Citizen Lab einen weiteren Zero-Click von NSO, diesmal über Apple-Wallet-Anhänge in iMessage. Und hier die gute Nachricht: Citizen Lab und Apple bestätigten übereinstimmend, dass der Lockdown Mode diesen Angriff blockierte. Der Modus deaktiviert u. a. die meisten Anhänge in Nachrichten, die JIT-Kompilierung im Browser (ein beliebter Einstieg für Exploits), Anrufe von Unbekannten, die Datenübertragung per Kabel bei gesperrtem Bildschirm sowie die Installation von Konfigurationsprofilen und MDM.
• Eine Hintertür ohne Exploit: das MDM-Profil. Wenn du dir keinen Zero-Day leisten kannst, kannst du einfach fragen. GoldPickaxe (Group-IB, Februar 2024) wurde zuerst über TestFlight verbreitet (Apples offizielle Plattform für App-Tests), und als Apple es entfernte, überredeten die Kriminellen Opfer in Vietnam und Thailand, ein MDM-Profil zu installieren – also das Smartphone der Verwaltung durch eine fremde „Firma“ zu übergeben. Die Malware bat außerdem um ein Video des Gesichts, aus dem Deepfakes zum Austricksen der biometrischen Bankverifizierung erstellt wurden. Beachte: Der Lockdown Mode blockiert genau die Installation von MDM-Profilen.

Android: Bedienungshilfen, die Hintertür für ein paar Cent

Android hat dieselben Mauern: Sandbox, SELinux, verifizierten Bootvorgang, Play Protect mit KI, die das Verhalten von Apps auf dem Gerät analysiert (seit 2024). Aber es hat auch etwas, das das iPhone Apps von Drittanbietern nicht gibt: Bedienungshilfen-Dienste (Accessibility Services).

Diese API entstand aus einem guten Grund – für blinde und sehbehinderte Menschen sowie für Menschen mit motorischen Einschränkungen. Damit ein Screenreader einem blinden Menschen vorlesen kann, was auf dem Bildschirm steht, und eine Schaltersteuerung für eine gelähmte Person klicken kann, muss die App alles auf dem Bildschirm sehen und für den Nutzer klicken können. In jeder App. Auch in der Banking-App.

Für einen Banking-Trojaner sind das die Schlüssel zum Königreich. Ein einziges „Zulassen“ und die App kann:

• alles lesen, was das Smartphone anzeigt – Logins, Kontostände, SMS-Codes – und jeden Tastendruck aufzeichnen,
• selbst auf „Zulassen“ in weiteren Fenstern tippen und sich weitere Berechtigungen geben,
• die echte App mit einem gefälschten Login-Bildschirm überdecken oder mit einem schwarzen Bildschirm, unter dem etwas passiert,
• und am Ende selbst eine Überweisung in deiner echten Banking-App auf deinem Smartphone ausführen. Für die Bank sieht das aus wie ein normaler Vorgang vom vertrauenswürdigen Gerät des Kunden. 😈

Das ist keine Theorie. Ein paar Beispiele aus den letzten Jahren:

• Anatsa: rund 150.000-200.000 Infektionen über gefälschte PDF-Reader und „Cleaner“ im offiziellen Google Play (ThreatFabric, Februar 2024). Den Zugriff auf die Bedienungshilfen erbaten sie unter dem Vorwand, „Apps schlafen zu legen, die den Akku leer saugen“. 2025 sammelte ein weiterer Dropper, der sich als PDF-Reader tarnte, über 50.000 Downloads in den USA.
• Crocodilus (ThreatFabric, März 2025): übernimmt das Smartphone und zeigt, damit das Opfer nicht sieht, wie sich das Gerät selbst bedient, einen schwarzen Bildschirm an und schaltet den Ton stumm.
• Herodotus (ThreatFabric, Oktober 2025): tippt Text Buchstabe für Buchstabe mit zufälligen Pausen von 0,3 bis 3 Sekunden, damit die Betrugserkennung der Banken glaubt, ein Mensch schreibe. Auf der Liste seiner gefälschten Bildschirme steht u. a. Polen.
• FvncBot – direkt vor meiner Haustür: gab sich als „mBank-Sicherheitsschlüssel“ aus (Intel 471, Dezember 2025). CERT Polska (März 2026) beschrieb, wie er nach der Installation einen Bedienungshilfen-Dienst mit dem harmlosen Namen „System Update“ registriert, mit dem Recht, Fensterinhalte zu lesen und Gesten auszuführen. Dann: Keylogging, gefälschte Bildschirme, Bildschirmübertragung und Fernsteuerung des Smartphones. Der Vollständigkeit halber: Nicht jeder polnische Trojaner funktioniert gleich – das oben beschriebene NGate stiehlt per NFC und braucht keine Bedienungshilfen.

Google weiß davon und spielt seit Jahren Katz und Maus mit den Kriminellen:

• Android 13 (2022): Eine aus einer heruntergeladenen APK-Datei installierte App kann keinen Zugriff auf die Bedienungshilfen anfordern – die Option ist ausgegraut.
• Die Antwort der Kriminellen (2023): ThreatFabric beschrieb SecuriDropper – eine Vermittler-App, die die eigentliche Malware mit derselben Methode installiert wie ein App-Store. Das System kann das eine nicht vom anderen unterscheiden, also greift die Sperre nicht. FvncBot machte 2025 genau dasselbe.
• Android 15 und 16: Die Einschränkungen wurden auf weitere sensible Berechtigungen ausgeweitet, und seit Dezember 2025 lehnt Google Play Apps ab, die sich als Werkzeuge für Menschen mit Behinderungen ausgeben, ohne es zu sein. Play Protect blockiert sie auch auf den Smartphones.
• Android 17: Das Aktivieren von Advanced Protection entzieht automatisch allen Apps den Zugriff auf die Bedienungshilfen, die keine echten Barrierefreiheits-Tools sind (Screenreader, Schalter-, Sprach- und Braille-Steuerung). Der Haken: nur, wenn du diesen Modus einschaltest. Den Zugriff verlieren dann z. B. auch Passwortmanager und Automatisierungs-Apps.

Das iPhone hat dieses Problem aus einem einfachen Grund nicht: Apps von Drittanbietern bekommen keine API, mit der sie andere Apps lesen und für den Nutzer klicken können. VoiceOver ist Teil des Systems. Das ist einer der Hauptgründe, warum mobile Banking-Trojaner fast ausschließlich Android betreffen.

Praxistest in 30 Sekunden: Geh in Einstellungen → Bedienungshilfen und prüf die Liste der heruntergeladenen/installierten Apps mit aktiviertem Zugriff. Wenn du dort irgendetwas siehst außer einem Tool, das du bewusst nutzt (Screenreader, Sprachsteuerung), und erst recht ein „Systemupdate“, einen „PDF-Reader“ oder einen „Sicherheitsschlüssel der Bank“ – trenn das Smartphone vom Internet und ruf deine Bank an. Eine Banking-App braucht diese Berechtigung nicht. ⚠️

Lektion Nr. 9: Die Mauern sind heute in beiden Systemen hoch. Ins iPhone kommt man durch technische Hintertüren, die Millionen wert sind – über exotische Dateiformate und undokumentierte Prozessorregister. In Android kommt ein Krimineller öfter durch eine menschliche Hintertür für ein paar Cent: Ein einziger Klick auf „Zulassen“ bei den Bedienungshilfen bringt ihm mehr als ein Exploit für eine Million Dollar. Deshalb sind auf Android Aufklärung und das Sperren von Installationen außerhalb des Stores wichtiger als das Smartphone-Modell.

Fazit: die Punktetabelle

Meine subjektive Bewertung – aber jede Zeile stützt sich auf die Zahlen oben. „Android“ bedeutet hier ein Pixel oder Samsung mit vollem Support; ein No-Name-Gerät aus dem Supermarkt verliert in jeder Zeile gegen beide.

Wenn ich es auf einen Satz eindampfen muss: Das iPhone ist „out of the box“ sicherer für Menschen, die nichts konfigurieren; ein gut verwaltetes Pixel oder Samsung mit MDM ist für Unternehmen, die konfigurieren, mindestens genauso sicher. Und die schlechteste Wahl ist ein Android ohne Update-Support – egal zu welchem Preis.

7 Dinge, die du unabhängig vom System tun solltest

1. Automatische Updates: eingeschaltet und überprüft. Der einzige Parameter in diesem Beitrag, bei dem sich die Plattformen um den Faktor zehn unterscheiden. Auf Android in der Firma: per MDM mit Frist erzwungen.
2. Null Apps von außerhalb des Stores. 50-mal mehr Malware. Wenn du kein MDM hast, deaktiviere „unbekannte Quellen“ und aktiviere Auto Blocker (Samsung) oder Play Protect. Prüf ab und zu, welche Apps Zugriff auf die Bedienungshilfen haben. Auf dem iPhone – installiere keine Konfigurations- oder MDM-Profile über Links.
3. Lockdown Mode / Advanced Protection für Vorstand, Finanzen, Juristen, HR. Ja, manches wird nicht mehr funktionieren. Das ist der Preis.
4. Einmal täglich neu starten. Klingt dumm, wirkt aber gegen die meiste mobile Spyware, die keine Persistenz hat.
5. Kauf nach Support-Dauer, nicht nach Kamera. 7 Jahre (Pixel, Galaxy S) oder iPhone. Ein Smartphone ohne Updates ist nach 2 Jahren ein Smartphone, für das die öffentliche Exploit-Preisliste gratis gilt.
6. Phishing-resistente Abläufe. Das iPhone des Geschäftsführers bekommt den Link genauso wie das Android des Lagermitarbeiters. Änderung der Kontoverbindung eines Geschäftspartners, ungewöhnliche Überweisung, „dringend“ vom Chef – immer ein zweiter Kanal und eine zweite Person.
7. Teste deine eigene mobile App. Wenn deine Firma eine App für iOS oder Android herausgibt, ist sie – nicht das System – das schwächste Glied. Apple und Google geben Hunderte Millionen pro Jahr für ihren Teil aus; dein Teil kostet ein paar Tage Tests. Wenn du wissen willst, wie viel genau, rechne es im Kalkulator aus, und wenn du lieber sprichst – melde dich.

FAQ

Ist das iPhone sicherer als Android?

„Out of the box“ – ja: Patches erreichen die Geräte schneller (79 % der iPhones auf iOS 26 gegenüber 7,5-38 % der Android-Geräte auf Android 16), es gibt keine Massen-Malware und nur einen geschlossenen App-Store. Aber ein gut verwaltetes Pixel oder Samsung mit 7 Jahren Support und MDM ist für Unternehmen genauso sicher, und günstigere Androids ohne Support verlieren gegen beide.

Wie viele Schwachstellen (CVEs) hat Android, wie viele iOS?

Laut Zimperium hatte Android im Jahr 2024 501 CVEs, iOS 317. Die Zahlen sind nicht voll vergleichbar: Zu Android zählen auch Komponenten von Qualcomm, MediaTek und anderen Firmen, und Android wird als Open Source von mehr Forschenden durchsucht.

Was kostet ein Exploit für iPhone und Android?

Crowdfense (Preisliste 2024, weiterhin aktuell) zahlt bis zu 5-7 Mio. $ für eine Zero-Click-Kette auf iOS und bis zu 5 Mio. $ für Android. Das russische Operation Zero zahlt 2 Mio. $ für iOS und 2,5 Mio. $ für Android. 2019 bewertete Zerodium Android höher (2,5 vs. 2 Mio. $).

Wie schnell patchen Apple und Google Schwachstellen?

Laut Google Project Zero (2019-2021) brauchte iOS im Schnitt 70 Tage von der Meldung bis zum Patch, Pixel und Samsung je 72. Der Unterschied liegt darin, wie der Patch zu den Nutzern kommt: Apple aktualisiert fast die gesamte Gerätebasis innerhalb weniger Monate, Android-Updates hängen vom Smartphone-Hersteller ab.

Kann man ein iPhone ohne Klick hacken?

Ja. Zero-Click-Angriffe (z. B. Graphite von Paragon über iMessage im Jahr 2025, CVE-2025-43200) gibt es für beide Systeme. Davor schützen der Lockdown Mode (iOS) und Advanced Protection (Android 16) sowie sofortige Updates. Apple gibt an, keinen erfolgreichen Spyware-Angriff auf ein Smartphone mit Lockdown Mode zu kennen.

Warum sind die Bedienungshilfen in Android gefährlich?

Die Bedienungshilfen-Dienste (Accessibility Services) wurden für Menschen mit Behinderungen entwickelt, deshalb erlauben sie einer App, alles auf dem Bildschirm zu lesen und für den Nutzer zu klicken. Banking-Trojaner wie Anatsa, Herodotus oder FvncBot, der auf Bankkunden in Polen zielt, bringen das Opfer dazu, diesen Zugriff zu aktivieren, und stehlen dann Passwörter und führen selbst Überweisungen in der echten Banking-App aus. Android 13 und neuer erschweren das für Apps von außerhalb des Stores, und Android 17 mit Advanced Protection entzieht diesen Zugriff allen Apps, die keine Barrierefreiheits-Tools sind. iOS gibt Apps von Drittanbietern keine solche API.

Welches Smartphone sollte man für die Firma wählen?

Ein iPhone oder ein Android mit garantiertem 7-Jahres-Support (Pixel 8+, Galaxy S24+), immer unter MDM, mit erzwungenen Updates und Installationsverbot für Apps von außerhalb des Stores. Für Vorstand und Finanzen – Lockdown Mode bzw. Advanced Protection.

Zusammenfassung

Jahrelang sah diese Diskussion aus wie Fankurven im Stadion. Die Zahlen zeigen etwas Langweiligeres und zugleich Spannenderes: An der Quelle spielen Apple und Google heute in derselben Liga – sie patchen in ähnlichem Tempo, zahlen Millionen für Lücken, und ihre Flaggschiffe sind zu Zielen geworden, die sich nur Staaten leisten können. Die Unterschiede liegen weiter hinten: darin, wie viele Smartphones den Patch tatsächlich bekommen, woher Nutzer ihre Apps installieren und wer das Smartphone in der Hand hält. Das iPhone gewinnt bei Menschen, die nicht konfigurieren. Android gewinnt bei Unternehmen, die konfigurieren – vorausgesetzt, sie haben ein Smartphone mit Support gekauft. Und verlieren tut immer, wer nicht aktualisiert. 🔓

Wenn du sehen willst, wie deine mobile App oder deine Smartphone-Flotte aus der Sicht eines Angreifers aussieht – du weißt, wo du mich findest.

Quellen der im Beitrag verwendeten Daten

• StatCounter – Anteile mobiler Betriebssysteme weltweit und in Polen (09.2026)
• Google – Update-Richtlinie für Pixel (support.google.com); Samsung / 9to5Google – 7 Jahre Support für das Galaxy S25 (01.2025); Apple – iOS 26 security content (09.2025)
• Zimperium – Global Mobile Threat Report 2025 (04.2025) und Mitteilung zum Bericht 2026 (07.2026)
• Google Security Blog – „Eliminating memory safety vulnerabilities at the source“ (09.2024); Google – „Rust in Android: move fast and fix things“ (11.2025)
• Apple Security Research – „Memory Integrity Enforcement“ (09.2025); „A major evolution of Apple Security Bounty“ (10.2025)
• Google Threat Intelligence Group – „2024 Zero-Day Trends“ (04.2025) und „2025 Zero-Day Review“ (03.2026); SecurityWeek – Zusammenfassung (03.2026)
• Google Project Zero – „A walk through Project Zero metrics“ (02.2022); Reporting Transparency 2025 (Stand 17.03.2026)
• Android Security Bulletin – Juli 2025 und Dezember 2025; Android Authority – risikobasiertes Update-System (09.2025); SecurityWeek (07.2025); BleepingComputer (12.2025)
• Help Net Security – erste Background Security Improvements von Apple (03.2026); Apple / 9to5Mac – iOS 26.7.1, CVE-2026-86950 (28.09.2026); Android Security Bulletin – Oktober 2026; MacRumors – Release von iOS 27 (09.2026)
• Apple / MacRumors – Verbreitung von iOS 26 (06.2026); Google / 9to5Google – Verteilung der Android-Versionen (01.2026); StatCounter – Android-Versionen (09.2026)
• Crowdfense – Exploit Acquisition Program; TechCrunch (04.2024); Operation Zero – Preisliste (opzero.ru); TechCrunch (09.2023); Threatpost – Zerodium (09.2019); CyberScoop / The Hacker News – der Fall Peter Williams (2025-2026)
• Zero Day Initiative – Ergebnisse von Pwn2Own Ireland 2024, 2025 und 2026; BleepingComputer (09.10.2026); Privacy Guides (13.10.2026); SecurityWeek (10.2024)
• Google – VRP 2024 (03.2025) und VRP 2025 (03.2026); SecurityWeek – Aufschlüsselung nach Programmen (03.2026) und Änderungen am Android VRP (05.2026); Samsung Newsroom (11.2024)
• Apple Newsroom – App Store fraud prevention 2025 (05.2026); Google – „How we kept Google Play safe in 2025“ (02.2026)
• Kaspersky Securelist – „Mobile malware evolution in 2025“ (03.2026) und 2024 (03.2025); Lookout – Q3 2025 Mobile Threat Landscape; Lookout / Business Wire (04.2025, 01.2026); ESET Threat Report H2 2025 (12.2025)
• CERT Polska – Analysen zu NGate (11.2025), FvncBot (03.2026), Cifrat (04.2026)
• Android Developers Blog – Entwicklerverifizierung (08.2025, 06.2026); TechCrunch – alternative App-Stores in der EU (03.2025); Apple – App-Vertrieb in der EU
• Google – „How Android provides the most effective protection…“ (10.2025, von Google beauftragte Studie)
• Citizen Lab – Report 186, Paragon Graphite (06.2025); Apple Support – Bedrohungsbenachrichtigungen; The Hacker News (08.2026); TechCrunch – Lockdown Mode (03.2026); The Record / Unit 42 – LANDFALL (11.2025)
• 404 Media / TechSpot – Cellebrite-Leaks (07.2024, 10.2025); Android Authority (10.2025)
• Google Project Zero – „A deep dive into an NSO zero-click iMessage exploit“ (12.2021) und „FORCEDENTRY: Sandbox Escape“ (03.2022); SecurityWeek (12.2021)
• Kaspersky – Operation Triangulation (06.2023); Securelist – „The last (hardware) mystery“ (12.2023)
• Citizen Lab – BLASTPASS (09.2023); Apple – Lockdown Mode (Newsroom 07.2022, Personal Safety User Guide)
• Group-IB – GoldPickaxe / GoldFactory (02.2024)
• ThreatFabric – SecuriDropper (11.2023), Octo (04.2022), Crocodilus (03.2025), Anatsa (07.2025), Herodotus (10.2025); BleepingComputer – Anatsa (02.2024); The Hacker News – Hook v3 (08.2025)
• Google Security Blog – Android 15 und Play Protect live threat detection (05.2024); Android Developers Blog – Schutz der Bedienungshilfen-API (12.2025); The Hacker News – Android 17 Advanced Protection und Bedienungshilfen (03.2026, 10.2026)
• Intel 471 – FvncBot (12.2025); CERT Polska – Analyse von FvncBot (03.2026)