Mit dem Android Security Bulletin für April 2025 dokumentiert Google, wie üblich am ersten Montag des Monats, die Schwachstellen des Mobilbetriebssystems, die dessen Entwickler in den offenliegenden Quelltexten beseitigt haben. Hinzu kommen Sicherheits-Patches aus dem Linux-Kernel sowie sicherheitsrelevante Bugfixes der Chiphersteller. Für seine Pixel-Geräte veröffentlicht Google einen separaten Bericht mit gestopften Sicherheitslücken – oft jedoch mit einigem Verzug.
Zwei Patch Level im Security Bulletin
Die geschlossenen Sicherheitslücken verteilen sich üblicherweise auf zwei so genannte Patch Level. Das erste, 2025-04-01, enthält die geschlossenen AOSP-Lücken (Android Open Source Project). Im Patch Level 2025-04-05 sind die behobenen Lücken im Linux-Kernel (soweit sie Android betreffen) und in den Chipsätzen verschiedener Zulieferer dokumentiert. Letztere betreffen stets nur einen Teil der Android-Geräte, da deren Hersteller unterschiedliche Hardware-Komponenten verbauen. Dementsprechend verpflichtet Google die Hersteller zur Implementierung der jeweils passenden Sicherheits-Patches. Seit April 2025 gibt es für Android 12 keine Sicherheits-Updates mehr.
Patch Level 2025-04-01 mit drei kritischen Lücken
Für das Patch Level 2025-04-01 weist das Security Bulletin im April 28 beseitigte Sicherheitslücken in den Kernkomponenten des Betriebssystems aus. Davon stecken je 14 im Framework und im System. Google stuft drei Schwachstellen als kritisch ein: je ein Datenleck, eine EoP-Lücke (elevation of privilege) und eine DoS-Lücke (denial of service). Die übrigen Sicherheitslücken sind als hohes Risiko ausgewiesen.
▶Die neuesten Sicherheits-Updates
Über Google Play werden im Rahmen des Projekts Mainline im April Sicherheits-Updates verteilt, um drei EoP-Lücken im System zu schließen. Diese Updates sind für Geräte gedacht, die keine Herstellerunterstützung mehr erhalten.
Patch Level 2025-04-05 mit zwei 0-Day-Lücken und einer kritischen Schwachstelle
Für das Hardware-nahe Patch Level 2025-04-05 führt das April-Bulletin 31 gestopfte Lücken auf. Alle bis auf eine sind als hohes Risiko eingestuft. Die als kritisch ausgewiesene Schwachstellen CVE-2024-45551 steckt in einer nicht näher bezeichneten Closed-Source-Komponente des Chip-Herstellers Qualcomm. Weitere 12 Lücken sind ebenfalls Qualcomm-Chips zugeordnet. Neun Lücken gehen auf das Konto des Zulieferers Imagination Technologies (PowerVR GPU), vier steuert Mediatek bei und eine in den Mali-GPUs von ARM.
Vier Kernel-Schwachstellen erbt Android von Linux („upstream kernel“). Darunter sind auch die beiden USB-Schwachstellen (CVE-2024-53150, CVE-2024-53197), die laut Google bereits für Angriffe ausgenutzt werden. Google spricht hier üblicherweise von „Anzeichen für begrenzte, gezielte Ausnutzung“ („limited, targeted exploitation“). Damit will das Unternehmen sagen, dass es keine Welle mit massenhaften Attacken auf alles gibt, was nicht bei „drei“ auf dem Baum ist. Genauere Angaben macht Google dazu nicht.
Tipp: Antivirus für Android und Windows – Wir haben für Sie die neuesten Testberichte zu Schutz-Apps für Android sowie die besten Antivirus-Programme 2025 im Test: So schützen Sie Ihren Windows-PC.
Noch kein Pixel Update Bulletin
Das separate Bulletin für Googles Pixel-Geräte ist noch nicht erschienen. Google veröffentlicht es oft erst Tage nach dem Android Security Bulletin, zuweilen auch nur einen Tag später.
Update 11. April – das Pixel Update Bulletin ist da
Am Abend des 10. April hat Google das Pixel Update Bulletin veröffentlicht. Darin sind ganze drei Sicherheitslücken dokumentiert, die Google in seinen Pixel-Geräten zusätzlich zu den im Android Security Bulletin genannten Schwachstellen beseitigt hat. Es handelt sich um eine als kritisch eingestufte EoP-Lücke im Google Assistenten (CVE-2025-26415) sowie zwei als hohes Risiko ausgewiesene Schwachstellen im Broadcom WLAN-Treiber (CVE-2024-56190) und im Modem (CVE-2024-56189). Die meisten Besitzer eines Pixel 9 dürften den überraschenden Pixel Feature Drop im April spannender finden. [/Update]
▶Android 16: Mit diesem Trick werden auch alte Geräte deutlich schneller
Die Zahl der Smartphone- und Tablet-Hersteller, die mehr oder weniger regelmäßig Sicherheits-Updates für ihre Geräte bereitstellen, hat zwar in den letzten Jahren zugenommen, da ist jedoch noch immer viel Luft nach oben. Umso mehr, als manche Hersteller nur für ihre teuren Top-Modelle monatliche Updates anbieten. Während Samsung die Updates zeitnah ausliefert, zuweilen sogar noch vor Google, hinken andere Hersteller teilweise mehrere Wochen (oder länger) hinterher.
Informationen zu Geräte-Updates nach Hersteller:
Autor: Frank Ziemann, Autor, PC-WELT
Frank Ziemann ist seit 2005 als freier Autor für die PC-WELT tätig, schreibt News und Testberichte. Seine Themenschwerpunkte sind IT-Sicherheit (Malware, Antivirus, Sicherheitslücken) und Internet-Technik.