Die Bedrohungslage für Android-Nutzer hat sich spürbar verschärft: Mit DroidLock und NFCShare sorgen aktuell zwei besonders aggressive Schädlinge für Aufsehen, ergänzt durch einen Werbe-Trojaner in offiziellen App Stores und eine veraltete Bibliothek in beliebten Reise-Apps. Wer die Android Malware 2026-Welle verstehen will, muss wissen, wie die einzelnen Angriffe funktionieren, wen sie ins Visier nehmen – und wie man sich wirksam schützt.
NFCShare: Die Banking-Malware, die deine Kreditkarte über NFC ausliest
Besonders brisant ist aktuell NFCShare. Die Schadsoftware wurde bereits im Januar 2026 erstmals entdeckt und imitierte damals Apps der Deutschen Bank. Seit dem 14. Mai 2026 läuft eine deutlich ausgeweitete Kampagne, die gezielt Kunden italienischer und spanischer Banken angreift – darunter Intesa Sanpaolo, Banca Sella, Fideuram, Nexi, Mooney und CaixaBank.
Der Ablauf ist tückisch: Opfer landen über Phishing-Seiten, die täuschend echte Banking-Portale imitieren, geben dort ihre Zugangsdaten ein und werden anschließend aufgefordert, ihre Banking-App zu „aktualisieren“. Der Download-Button führt zu einer APK-Datei, die in einem GitHub-Repository namens „app-scuola“ liegt – mittlerweile mit über 56 unterschiedlichen schadhaften Versionen. Einmal installiert, zeigt die App eine gefälschte Kartenverifizierung an und nutzt die IsoDep-Schnittstelle von Android, um per EMV-Befehlen die Daten der Bankkarte auszulesen, sobald sie ans Smartphone gehalten wird – inklusive PIN. Die Daten werden per WebSocket in Echtzeit an die Angreifer übertragen, ähnlich wie bei bekannten NFC-Relay-Angriffen.
Wer regelmäßig kontaktlos bezahlt oder Banking-Apps nutzt, sollte besonders wachsam sein – mehr zur Funktionsweise moderner NFC-Bezahlverfahren findest du auch in unserem Beitrag zu Wero und den neuen Möglichkeiten für Abo-Zahlungen. Eine ausführliche technische Einordnung von NFCShare liefert BleepingComputer.
DroidLock: Wenn Ransomware dein komplettes Smartphone übernimmt
Während NFCShare gezielt Zahlungsdaten stiehlt, geht DroidLock noch einen Schritt weiter. Das Zimperium-Sicherheitsteam zLabs entdeckte die Schadsoftware bereits im Dezember 2025, sie kursiert seither vor allem unter spanischsprachigen Nutzern und wird über Phishing-Websites mit gefälschten Apps verbreitet. Die App tarnt sich zunächst als harmloser „Dropper“ und installiert anschließend die eigentliche Schadsoftware.
DroidLock verschlüsselt keine Dateien wie klassische Ransomware, erzielt aber denselben Effekt: Über missbrauchte Geräteadministrator- und Accessibility-Rechte kann die Malware den PIN-Code oder die biometrische Sperre ändern, das Gerät komplett blockieren oder per Fernzugriff auf Werkseinstellungen zurücksetzen. Eine Vollbild-Overlay fordert die Opfer auf, binnen 24 Stunden eine Lösegeldforderung per E-Mail zu begleichen – sonst würden angeblich alle Daten gelöscht. Zusätzlich kann die Malware den Bildschirminhalt per VNC live übertragen, über die Frontkamera Fotos aufnehmen und sogar das Entsperrmuster über eine gefälschte Overlay-Eingabemaske abgreifen. Insgesamt unterstützt DroidLock 15 verschiedene Befehle von seinem Kontrollserver.
Solche Methoden – gefälschte Apps, die sich Berechtigungen erschleichen, um anschließend Kontakte, Anrufe oder das Gerät selbst zu manipulieren – tauchen 2026 immer häufiger auf. Auch in unserem Artikel Crocodilus: Neueste Bedrohungen für Android-Nutzer haben wir eine vergleichbare Betrugsmasche vorgestellt. Die technische Analyse von DroidLock im Detail liefert Zimperium.
MagicAd & Co.: Auch offizielle App Stores sind nicht sicher
Nicht jede Android-Bedrohung 2026 zielt auf Geld oder Daten ab – manche wollen einfach nur Werbung ausspielen, allerdings auf besonders aggressive Weise. Sicherheitsforscher von Doctor Web fanden den Werbe-Trojaner Android.MagicAd in mehr als 50 Spielen und Tools, die über Xiaomis GetApps-Store und den Samsung Galaxy Store verbreitet wurden. Der Trick: MagicAd zeigt Werbebanner als sogenannte „Translucent Activity“ an und benötigt dafür keine der üblichen Overlay-Berechtigungen. Auf Xiaomi-Geräten missbraucht die Malware dafür Systemkomponenten wie den Mi Browser oder die MIUI-SystemUI, auf Vivo-Geräten den Android-Binder-Mechanismus, auf Amazon Fire TV die Startoberfläche.
Ein zweiter, eher unterschätzter Risikofaktor betrifft tausende Apps aus den Kategorien Reise, Flug und Wetter: Sie nutzen laut einer Analyse von Zimperium noch die seit 2023 archivierte Bibliothek libmapbox-gl.so, die intern eine veraltete SQLite-Version mit über 19 bekannten Schwachstellen einbindet. Konkrete Angriffe sind bislang nicht bekannt, Sicherheitsexperten raten Entwicklern aber dringend zum Umstieg auf das aktuelle Mapbox Maps SDK oder die Open-Source-Alternative MapLibre. Für Nutzer zeigt der Fall vor allem eines: Auch scheinbar harmlose Alltags-Apps können über veraltete Komponenten zum Sicherheitsrisiko werden. Wie groß dieses Problem mittlerweile auch bei anderer Software ist, zeigt unser Bericht über Schwachstellen in gängigen Passwort-Managern.
Android-Sicherheitsupdate Juni 2026: Was Google patcht
Parallel zur aktuellen Malware-Welle hat Google im Juni 2026 ein umfangreiches Sicherheitsupdate veröffentlicht, das 124 Schwachstellen in den Android-Versionen 14 bis 16 (inklusive QPR2) schließt, darunter 18 als kritisch eingestufte Lücken. Am brisantesten ist CVE-2025-48595, ein Integer-Overflow im Framework-Bereich mit einem CVSS-Wert von 8,4, der laut Google bereits in begrenztem, gezieltem Umfang aktiv ausgenutzt wird. Ebenfalls geschlossen wurde CVE-2026-0059, ein Bluetooth-Heap-Overflow, der eine Remote-Codeausführung ganz ohne Nutzerinteraktion ermöglichen würde.
Pixel-Geräte erhalten die Updates bereits seit dem 1. Juni 2026, andere Hersteller wie Samsung, Motorola, Xiaomi oder OnePlus sollen in den kommenden Wochen folgen. Die vollständigen technischen Details listet das offizielle Android-Sicherheitsbulletin für Juni 2026 auf.
So schützt du dein Android-Smartphone vor Malware
Die gute Nachricht: Gegen nahezu alle hier beschriebenen Angriffswege helfen dieselben Grundregeln.
Installiere Apps ausschließlich über den Google Play Store und lasse Google Play Protect aktiviert – es erkennt bereits bekannte Signaturen wie DroidLock.
Spiele Sicherheitsupdates zeitnah ein, sobald sie unter Einstellungen → System → Systemupdate verfügbar sind.
Aktualisiere Banking-Apps ausschließlich direkt über den Play Store – niemals über Links aus SMS, E-Mail oder von Phishing-Seiten.
Halte deine Bankkarte niemals zur „Verifizierung“ an eine App, die du nicht zweifelsfrei als deine offizielle Banking-App identifizieren kannst.
Sei besonders vorsichtig, wenn eine App Zugriff auf die Accessibility-Funktionen verlangt, ohne dass dies für ihre eigentliche Funktion notwendig wäre.
Eine zusätzliche mobile Sicherheitslösung kann bekannte Bedrohungen frühzeitig erkennen – wie gut sich das in der Praxis schlägt, zeigt unser Bitdefender Antivirus Plus Testbericht.
Was ist DroidLock und wie gefährlich ist die Malware?
DroidLock ist eine im Dezember 2025 von Zimperium entdeckte Ransomware, die dein Android-Gerät komplett übernehmen kann. Sie verschlüsselt keine Dateien, kann das Smartphone aber sperren, den PIN ändern oder es komplett zurücksetzen, während eine Lösegeldforderung angezeigt wird.
Wie erkenne ich NFCShare oder ähnliche Banking-Malware?
Typische Warnzeichen sind Aufforderungen, die Banking-App über einen Link aus einer SMS oder E-Mail zu „aktualisieren“, sowie Bildschirme, die dich bitten, deine Bankkarte zur „Verifizierung“ an dein Smartphone zu halten. Echte Banken fordern so etwas nie auf diesem Weg.
Wie installiere ich das Android-Sicherheitsupdate vom Juni 2026?
Öffne Einstellungen → System → Systemupdate. Pixel-Geräte erhalten das Update bereits seit dem 1. Juni 2026, bei anderen Herstellern kann der Rollout je nach Modell noch einige Wochen dauern.
Schützt mich Google Play Protect vor diesen Bedrohungen?
Play Protect erkennt bereits bekannte Schadsoftware-Signaturen, darunter auch DroidLock, und scannt installierte Apps automatisch. Vollständigen Schutz bietet es aber nicht – insbesondere beim Sideloading von Apps außerhalb des Play Stores bleibt eigene Vorsicht unverzichtbar.
Die aktuelle Android Malware 2026-Welle zeigt deutlich, dass sich Angreifer zunehmend auf Banking- und Zahlungsdaten spezialisieren, gleichzeitig aber auch klassische Ransomware- und Werbe-Tricks weiterentwickeln. Wer Apps ausschließlich aus offiziellen Stores installiert, Sicherheitsupdates zügig einspielt und bei NFC-„Verifizierungen“ sowie App-Update-Links grundsätzlich skeptisch bleibt, reduziert das eigene Risiko erheblich.
Sie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
