2 hours ago
1
Sicherheitsforscher haben eine Schwachstelle im Ökosystem von Google Fast Pair aufgedeckt, die auf den Namen WhisperPair getauft wurde. Diese Lücke erlaubt es Angreifern in Reichweite, die Kontrolle über Bluetooth-Zubehör wie Kopfhörer zu übernehmen oder diese sogar für das Tracking von Personen zu missbrauchen. Betroffen sind dabei nicht nur Android-Nutzer, sondern potenziell auch Anwender anderer Systeme, sofern das Zubehör die fehlerhafte Implementierung nutzt. Das Problem liegt hierbei nicht im Bluetooth-Standard selbst, sondern in der Art und Weise, wie viele Hersteller die Fast-Pair-Funktionalität integriert haben.
Der Kern des Angriffs beruht laut Bericht darauf, dass viele Zubehörteile einen entscheidenden Schritt im Kopplungsprozess vernachlässigen. Normalerweise sendet ein Smartphone eine Anfrage an das Zubehör, woraufhin dieses prüfen müsste, ob es sich überhaupt im Kopplungsmodus befindet. Die Forscher stellten fest, dass viele Geräte diese Prüfung ignorieren und die Verbindungsanfrage eines Angreifers akzeptieren, auch wenn der Nutzer gar keine Kopplung initiiert hat. Ein solcher Angriff lässt sich laut der Studie mit handelsüblicher Hardware innerhalb weniger Sekunden und auf eine Distanz von bis zu 14 Metern durchführen. Ist die Verbindung einmal durch, hat der Angreifer Vollzugriff auf Audioausgabe und Mikrofon.
Ein weiterer Aspekt betrifft wohl das Tracking über Googles „Find My Device“-Netzwerk. Wenn ein Bluetooth-Zubehör noch nie mit einem Android-Gerät verbunden war, kann ein Angreifer sich selbst als Eigentümer registrieren. Dies ist besonders für Nutzer relevant, die ihre Kopfhörer ausschließlich mit Nicht-Android-Geräten verwenden. Da Android-Geräte beim ersten Verbinden einen „Account Key“ schreiben, bleibt dieses Feld bei reiner Nutzung im Apple-Ökosystem oft leer. Ein Angreifer kann diese Lücke füllen und den Standort des Opfers über das Google-Netzwerk verfolgen. Zwar erhalten Opfer unter Umständen eine Warnung über unbekannte Tracker, diese wird jedoch oft als Fehlalarm interpretiert, da sie das eigene Gerät anzeigt.
Das Problem wurde Google bereits im August 2025 gemeldet und unter der Kennung CVE-2025-36911 geführt. Google zahlte im Rahmen des Bug-Bounty-Programms 15.000 Dollar an die Entdecker aus. Da die Schwachstelle direkt in der Firmware der Zubehörteile liegt, lässt sie sich nur durch Software-Updates der jeweiligen Hersteller beheben. Nutzer sollten daher prüfen, ob für ihre Bluetooth-Geräte Aktualisierungen verfügbar sind, da die fehlerhaften Implementierungen trotz Zertifizierungsprozessen in den Handel gelangten.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
