Das Handy läuft. Akku noch okay, Kamera reicht, alle Apps starten. Und dann steht in den Einstellungen unter „Sicherheitsupdate“ ein Datum, das zwei Jahre alt ist. Bei mir war es ein Zweitgerät, das ich als Navigationshandy im Auto benutzt habe, und ich habe ein Vierteljahr gebraucht, um mir eine ehrliche Antwort auf die Frage zu geben: Ist das noch in Ordnung, oder benutze ich hier ein Gerät, das ich nicht mehr benutzen sollte?
Die Antwort ist unbequem, weil sie nicht „sofort wegwerfen“ lautet und auch nicht „völlig unproblematisch“. Sie hängt davon ab, was du mit dem Gerät machst. Dieser Beitrag sortiert das: wie du herausfindest, woran du bist, was ein fehlendes Update technisch bedeutet, welche Optionen es gibt – und welche Gerätenutzung auch ohne Updates vertretbar bleibt.
Zwei Dinge, die gern verwechselt werden
Ein Android- oder iOS-Versionsupdate bringt neue Funktionen und eine neue Oberfläche. Wenn es ausbleibt, verpasst du Features. Das ist ärgerlich und nicht gefährlich.
Ein Sicherheitsupdate schließt bekannte Lücken im Betriebssystem. Wenn es ausbleibt, bleiben diese Lücken offen – und sie sind öffentlich dokumentiert, weil die Veröffentlichung Teil des Prozesses ist. Das ist der Teil, der zählt.
Diese beiden Zyklen sind entkoppelt. Ein Gerät kann noch Sicherheitsupdates bekommen, obwohl es keine neue Hauptversion mehr erhält – das ist der Normalfall am Ende des Supportzeitraums und aus Sicherheitssicht völlig ausreichend. Umgekehrt gibt es Geräte, die nominell eine aktuelle Version haben, deren Patch-Stand aber Monate hinterherhängt, weil der Hersteller die Updates nur unregelmäßig durchreicht.
Bei Android findest du den entscheidenden Wert unter „Einstellungen → Über das Telefon → Android-Version“; dort steht das Datum des Sicherheitspatches. Bei iPhones gibt es das so nicht – dort ist die iOS-Version der Indikator, und Apple liefert für ältere Geräte teils separate Sicherheitsupdates einer älteren Hauptversion nach.
Wie lange ein Gerät versorgt wird
Das hat sich in den letzten Jahren erheblich verbessert, und zwar nicht nur aus Freundlichkeit. Für Smartphones, die in der EU verkauft werden, gibt es inzwischen regulatorische Vorgaben für die Mindestdauer der Update-Versorgung – sie stehen im Zusammenhang mit der Ökodesign-Verordnung für Smartphones und Tablets und tauchen auch auf dem Energielabel auf, das mit jedem Neugerät ausgewiesen wird. Wie man dieses Label liest und welche Angaben dort wirklich relevant sind, steht im Beitrag zum EU-Energielabel für Smartphones.
Praktisch heißt das: Neuere Mittelklasse- und Oberklassegeräte werden deutlich länger versorgt als noch vor fünf Jahren, mit Zusagen von fünf bis sieben Jahren bei einigen Herstellern. Wer ein Gerät aus der Zeit davor nutzt oder ein günstiges Modell gekauft hat, bei dem nur zwei Jahre versprochen wurden, sitzt dagegen genau in der Situation, um die es hier geht. Welche Modelle bei der aktuellen Version dabei sind, listet der Beitrag zum Android-17-Update.
Ein Detail, das beim Kauf hilft: Die Zusage läuft in der Regel ab Markteinführung des Modells, nicht ab deinem Kaufdatum. Ein Gerät, das zwei Jahre im Handel war und „vier Jahre Updates“ verspricht, hat für dich nur noch zwei. Bei einem Abverkaufsangebot ist das der Rabatt, den du nicht bekommst.
Was ein fehlendes Update tatsächlich bedeutet
Hier lohnt es, die Panik ebenso zu vermeiden wie die Gleichgültigkeit. Ein Smartphone ohne aktuelle Patches wird nicht automatisch am nächsten Tag übernommen – die realistische Bedrohungslage für Privatpersonen sieht anders aus.
Was tatsächlich passiert: Angriffe auf Endgeräte laufen fast immer über einen von drei Wegen. Erstens über Apps, die man selbst installiert – aus zweifelhaften Quellen oder mit zu vielen Berechtigungen. Zweitens über Phishing, also über die Bedienperson und nicht über das System. Drittens über die Verarbeitung von Inhalten: eine manipulierte Bilddatei, eine Webseite, ein Video, ein Dokument. Die dritte Kategorie ist die, bei der fehlende Updates wirklich zählen, weil dort Lücken in Systembibliotheken ausgenutzt werden – im Browser-Rendering, in Bild- und Videodecodern, in Schriftarten-Verarbeitung.
Daraus folgt eine brauchbare Risikoabschätzung: Je mehr fremde Inhalte auf dem Gerät verarbeitet werden, desto relevanter sind Updates. Ein Handy, mit dem du im Web surfst, Mails liest, Messenger nutzt und Banking machst, ist ein anderer Fall als ein Gerät, das ausschließlich Musik im Auto abspielt.
Die drei Wege, die es gibt
Weg eins: absichern und weiternutzen. Das ist die pragmatische Variante für ein Gerät, das noch ein bis zwei Jahre laufen soll. Was dabei wirklich hilft:
- Apps aktuell halten. Browser, Messenger, Mail-Client und Banking-App bekommen ihre Updates über den Store und sind unabhängig vom Systemstand. Der Browser ist dabei der wichtigste, weil er die meisten fremden Inhalte verarbeitet.
- App-Bestand ausdünnen. Jede App ist Angriffsfläche und jede Berechtigung ein Zugang. Was ein Jahr nicht geöffnet wurde, kommt weg.
- Keine Installationen außerhalb des Stores und keine APK-Sammelseiten. Das ist der mit Abstand häufigste reale Infektionsweg.
- Berechtigungen durchgehen: Standort, Mikrofon, Kamera, Benachrichtigungszugriff, Bedienungshilfen. Der Zugriff auf Bedienungshilfen ist der mächtigste und der, den Schadsoftware am liebsten will.
- Zwei-Faktor-Absicherung nicht auf dieses Gerät legen. Wenn das Handy der zweite Faktor für alles ist, ist es der Schlüssel zum digitalen Leben – dann gehört es zu den Geräten, die aktuell sein müssen.
- Sensible Anwendungen auslagern. Banking und Behördenzugänge auf ein aktuelles Gerät, alles andere darf auf dem alten bleiben.
Was nicht hilft, ist ein Virenscanner auf dem Handy. Er kann auf Android keine Systemlücken schließen und hat selbst nur begrenzten Einblick; was er liefert, ist ein Gefühl von Sicherheit und Akkuverbrauch. Ein aktueller Browser ist mehr wert als drei Sicherheits-Apps.
Weg zwei: ein alternatives System aufsetzen. Für eine Reihe von Android-Geräten gibt es Custom-ROMs, die Sicherheitspatches deutlich länger nachliefern als der Hersteller. Das ist technisch die eleganteste Lösung und in der Praxis mit Bedingungen verbunden: Der Bootloader muss entsperrbar sein, für dein genaues Modell muss ein aktiv gepflegtes Abbild existieren, und der Vorgang löscht das Gerät. Dazu kommen Einschränkungen, die man vorher kennen sollte – Banking-Apps und Streaming-Dienste prüfen die Geräteintegrität und verweigern teilweise den Dienst, und Kamerafunktionen sind auf Custom-ROMs oft schlechter als im Original, weil die Bildverarbeitung des Herstellers fehlt. Was der Betrieb ohne die Standard-Dienste im Alltag bedeutet, beschreibt der Beitrag zu Smartphones ohne Google.
Mein Rat dazu: Wenn du Spaß daran hast, ist es ein gutes Projekt für einen Samstag und verlängert die Lebensdauer eines Geräts um Jahre. Wenn du ein Handy brauchst, das morgen im Beruf funktioniert, ist es der falsche Weg.
Weg drei: die Rolle des Geräts ändern. Das ist die Option, die am seltensten bedacht wird und am häufigsten die richtige ist. Ein Handy ohne Updates ist ein hervorragendes Gerät für alles, was ohne Netz oder in einem abgegrenzten Netz läuft: als Wanddisplay für das Smart Home, als Kamera, als Musikplayer im Auto, als Wecker, als Fernbedienung, als Dashcam, als Ersatzgerät in der Schublade. Wenn es dabei in einem eigenen Netzsegment ohne Zugriff auf die Rechner im Haushalt hängt, ist das Risiko nahe null. Wie man solche Geräte sauber abtrennt, steht im Beitrag zum Segmentieren des Heimnetzwerks, und konkrete Verwendungen sammelt der Beitrag zu Upcycling-Ideen für alte Handys.
Wann ich das Gerät ersetzen würde
Es gibt Punkte, an denen die Absicherungsstrategie an ihre Grenzen kommt. Meine persönlichen Schwellen:
Wenn der Browser keine Updates mehr bekommt. Das ist der eigentliche Stichtag, und er kommt nach dem Systemende: Ab einem bestimmten Punkt unterstützt auch der Browser die alte Android-Version nicht mehr, und dann verarbeitet dein Gerät fremde Webinhalte mit veralteter Software. Ab hier würde ich mit dem Gerät nicht mehr surfen.
Wenn Banking oder Behördenzugang nicht mehr laufen. Diese Apps setzen Mindestversionen und Integritätsprüfungen – wenn sie den Dienst verweigern, ist das ein ziemlich deutliches Urteil über den Zustand des Geräts.
Wenn der Akku so weit abgebaut hat, dass das Gerät am Nachmittag ausgeht. Ein Akkutausch ist oft die vernünftigere Investition als ein neues Gerät – aber nur, wenn das System noch versorgt wird. Bei einem Gerät ohne Updates würde ich das Geld nicht mehr in den Akku stecken.
Und wenn der Wechsel dann kommt: Er ist unkomplizierter, als viele fürchten – vorausgesetzt, die Reihenfolge stimmt und die Authenticator-Apps werden übertragen, bevor das alte Gerät gelöscht wird. Die vollständige Abfolge steht im Beitrag zum Umzug aufs neue Handy, und was beim Weiterverkauf zu beachten ist, klärt der Beitrag zum sicheren Handyverkauf. Ein Punkt daraus ist hier besonders relevant: Ein Gerät ohne Sicherheitsupdates bringt beim Verkauf spürbar weniger – der Update-Stand ist inzwischen ein Preisfaktor auf den Ankaufportalen.
Der Punkt, der beim nächsten Kauf zählt
Meine Konsequenz aus der Sache mit dem Zweitgerät: Beim Kauf schaue ich zuerst auf die zugesagte Update-Dauer und erst danach auf Kamera und Prozessor. Ein Gerät für 400 Euro mit sechs Jahren Versorgung ist über die Nutzungsdauer günstiger als eines für 250 Euro mit zwei – und das ist keine Rechnung, die man bei der Kaufentscheidung im Kopf hat, weil die Update-Dauer nicht auf dem Aufsteller im Laden steht.
Das Navigationshandy übrigens liegt jetzt dauerhaft im Auto, hat WLAN und Mobilfunk aus, spielt Musik von der Speicherkarte und zeigt Offline-Karten. Kein Konto darauf, kein Browser, keine Mails. In dieser Rolle ist ein Gerät ohne Updates kein Problem mehr – und das war die Antwort, die ich ein Vierteljahr lang nicht sehen wollte, weil sie so unspektakulär ist.
