MediaTek-Lücke CVE-2026-20499: Über 80 Chipsätze betroffen und was Android-Nutzer in Deutschland jetzt tun sollten

Eine schwerwiegende Sicherheitslücke in Chipsätzen des Herstellers MediaTek gefährdet nach Angaben von Sicherheitsbehörden zahlreiche Android-Geräte. Unter der Kennung CVE-2026-20499 sind mehr als 80 verschiedene MediaTek-Chipsätze betroffen, von der Modellreihe MT2716 bis hin zum MT8893. Die Lücke sitzt in der Modem-Software der Chips, also in der Komponente, die das Handy mit dem Mobilfunknetz verbindet. Das Besondere an dieser Schwachstelle ist der Angriffsweg: Ein Angreifer kann sie laut Berichten über das Mobilfunknetz ausnutzen, indem er eine manipulierte Funkzelle einsetzt. Für Nutzer in Deutschland heißt das: Prüfen Sie den Sicherheitsstand Ihres Handys und installieren Sie das November-Update, sobald es für Ihr Gerät angeboten wird.

Was die Lücke so gefährlich macht

Die meisten Sicherheitslücken in Handys brauchen einen Klick auf einen schädlichen Link oder eine manipulierte App, damit ein Angriff gelingt. Bei CVE-2026-20499 sieht das anders aus. Die Schwachstelle liegt im Modem, also in der Funkkomponente, die ständig mit den Mobilfunkmasten in der Umgebung kommuniziert. Ein Angreifer, der eine gefälschte Funkzelle betreibt, kann sich laut den veröffentlichten Berichten als Mobilfunkmast ausgeben und so gezielt Geräte in seiner Nähe angreifen. Das Handy muss dafür nichts tun, außer in Reichweite zu sein und sich wie üblich mit dem Netz zu verbinden.

Genau diese Eigenschaft macht die Lücke für Sicherheitsforscher so bedenklich. Das Modem arbeitet weitgehend unsichtbar im Hintergrund und lässt sich nicht wie eine App deinstallieren. Angreifer, die eine solche Lücke ausnutzen, können im schlimmsten Fall Kontrolle über das Modem erlangen und von dort aus weiter in das Gerät vordringen.

Wie die Lücke eingestuft wird

Die US-Cybersicherheitsbehörde CISA hat CVE-2026-20499 im Eintrag der National Vulnerability Database (NVD) mit 7,5 von 10 Punkten bewertet und das Risiko damit als hoch eingestuft. Google geht in seinem Android-Sicherheitsbulletin vom 2. November 2026 noch einen Schritt weiter und stuft die MediaTek-Lücke als kritisch ein. Das Bulletin führt neben CVE-2026-20499 noch weitere kritische Modemlücken von MediaTek auf, die die Bezeichnungen CVE-2026-20545 bis CVE-2026-20549 tragen.

Auch die indische Behörde CERT-In hat die Bedrohungslage aufgegriffen. In der Sicherheitsnotiz CIVN-2026-0536 vom 6. November 2026 werden kritische Lücken in der Modem-Software von MediaTek sowie in einer Komponente von Qualcomm benannt. Dass mehrere Behörden zeitnah vor denselben Lücken warnen, unterstreicht, wie viele Geräte weltweit betroffen sein können. MediaTek-Chips stecken in Handys vieler Hersteller, von günstigen Einsteigergeräten bis zu Modellen der Mittelklasse.

Der Patch ist da, aber er muss ankommen

Die gute Nachricht ist, dass eine Lösung für die Schwachstelle bereits bereitsteht. Nach den vorliegenden Berichten ist der Schutz ab dem Sicherheits-Patch-Level 2026-11-05 verfügbar, also mit dem Android-Sicherheitsupdate vom 5. November 2026. Das entsprechende Patch-Level von Google umfasst ein breites Paket an Sicherheitskorrekturen, zu dem auch die MediaTek-Modemlücken gehören. Wer sein Handy auf diesem Stand oder neuer betreibt, ist nach den vorliegenden Informationen gegen CVE-2026-20499 geschützt.

Die schlechte Nachricht ist, dass Android-Updates nicht bei allen Nutzern gleich schnell ankommen. Google stellt die Patches bereit, aber die Hersteller müssen sie für ihre eigenen Geräte anpassen und ausliefern, und bei vielen Modellen dauert das Wochen oder Monate. Günstige Geräte und ältere Modelle erhalten Updates oft spät oder gar nicht mehr.

So prüfen Sie den Sicherheitsstand Ihres Handys

Auf einem Android-Handy finden Sie den Sicherheitsstand in den Einstellungen. Öffnen Sie die Einstellungen und tippen Sie auf Über das Telefon oder, je nach Hersteller, auf System und dann auf Softwareinformationen. Dort steht ein Eintrag wie Sicherheits-Patch-Level mit einem Datum. Steht dort der 5. November 2026 oder ein späteres Datum, ist der Schutz gegen CVE-2026-20499 nach den vorliegenden Berichten enthalten. Steht dort ein älteres Datum, ist Ihr Gerät noch nicht geschützt.

Um nach einem Update zu suchen, öffnen Sie die Einstellungen, tippen auf System und dann auf Systemupdate oder Software-Update. Tippen Sie auf Nach Updates suchen und installieren Sie das Update, falls eines angeboten wird. Bei Samsung-Geräten finden Sie die Update-Suche unter Einstellungen und dann Software-Update. Wichtig ist, dass das Handy für das Update geladen oder am Ladegerät angeschlossen ist und über WLAN verbunden ist, damit der Download nicht das mobile Datenvolumen verbraucht.

Was Nutzer tun können, wenn kein Update kommt

Nicht jeder erhält das November-Update sofort. Wenn Ihr Hersteller noch kein Update für Ihr Modell anbietet, gibt es einige Vorsichtsmaßnahmen, die das Risiko verringern, auch wenn sie keinen vollständigen Ersatz für den Patch bieten. Schalten Sie mobiles Internet ab, wenn Sie es gerade nicht brauchen, etwa über Nacht. Nutzen Sie den Flugmodus, wenn Sie keine Verbindung benötigen. Achten Sie außerdem darauf, dass Ihr Handy die neueste verfügbare Softwareversion nutzt, auch wenn sie noch nicht den Patch-Level vom 5. November 2026 erreicht.

Warum Modemlücken immer wieder auftauchen

Modemlücken wie CVE-2026-20499 sind kein Einzelfall. In den vergangenen Jahren gab es immer wieder kritische Fehler in der Funksoftware von Handychips. Der Grund liegt in der Bauweise: Das Modem ist eine eigene kleine Recheneinheit im Handy, die mit unzähligen Mobilfunknetzen auf der Welt zusammenarbeiten muss, und genau diese Vielfalt macht sie anfällig für Fehler. Für Nutzer heißt das, dass Sicherheitsupdates der wichtigste Schutz sind, den ein Handy überhaupt hat. Wer ein neues Handy kauft, sollte deshalb nicht nur auf Kamera und Akku schauen, sondern auch darauf, wie lange der Hersteller Sicherheitsupdates verspricht. Viele Hersteller geben inzwischen drei bis fünf Jahre an.

Frequently Asked Questions

Ist mein Handy von der MediaTek-Lücke betroffen?

Das hängt vom verbauten Chipsatz ab. Betroffen sind nach den vorliegenden Berichten mehr als 80 MediaTek-Chipsätze von der Modellreihe MT2716 bis zum MT8893. Welcher Chip in Ihrem Handy steckt, erfahren Sie in den Einstellungen unter Über das Telefon oder mit einer kostenlosen Systeminfo-App aus dem Play Store. Entscheidend ist der Sicherheits-Patch-Level: Ab dem Stand vom 5. November 2026 ist die Lücke nach den vorliegenden Berichten geschlossen.

Muss ich mir Sorgen machen, wenn ich in Deutschland wohne?

Die Lücke betrifft Geräte weltweit, auch in Deutschland. Berichte über konkrete Angriffe in Deutschland gibt es nach den vorliegenden Informationen nicht. Das Risiko entsteht vor allem durch die Möglichkeit, dass ein Angreifer in der Nähe eine gefälschte Funkzelle betreibt. Das ist kein Angriff, den ein Fremder aus der Ferne über das Internet startet, sondern einer, der Nähe zum Gerät erfordert.

Was mache ich, wenn mein Hersteller kein Update anbietet?

Prüfen Sie zuerst in den Einstellungen unter Systemupdate, ob doch ein Update bereitsteht. Wenn nicht, wenden Sie sich an den Hersteller und fragen Sie nach, ob ein Sicherheitsupdate für Ihr Modell geplant ist. Schalten Sie mobiles Internet ab, wenn Sie es nicht brauchen, und nutzen Sie den Flugmodus, wenn Sie keine Verbindung benötigen. Wenn Ihr Gerät schon seit Jahren keine Updates mehr erhält, ist ein Wechsel auf ein Gerät mit längerer Update-Versorgung die sicherste Lösung.