Das EngageLab SDK wurde entwickelt, um Entwicklern eine Plattform für personalisierte Push-Benachrichtigungen zu bieten. Das System analysiert Nutzerverhalten und ermöglicht es Appentwicklern, gezielte Mitteilungen in Echtzeit zu versenden. Dieses Geschäftsmodell führte zu einer weiten Verbreitung – besonders im sensitiven Bereich der Kryptowährungen und digitalen Wallets.
Die Sicherheitsforschung von Microsoft identifizierte eine sogenannte Intent-Redirection-Vulnerability in Version 4.5.4 des SDKs. Intents sind in Android ein zentrales Konzept – sie fungieren als Nachrichtenobjekte, die Aktionen zwischen App-Komponenten anfordern. Die Schwachstelle ermöglichte es Angreifern, diese Intents zu manipulieren und dabei das Vertrauen des Systems in die legitimale App auszunutzen. So konnte auf interne Verzeichnisse zugegriffen werden, ohne dass die üblichen Android-Berechtigungen beachtet werden mussten.
Besonders brisant: Ein Angreifer benötigte nur eine lokal installierte Malware auf dem Gerät, um die Lücke auszunutzen. Die Folge wäre ein direkter Zugriff auf hochsensible Daten von Krypto-Wallets gewesen – ein Alptraum für jeden Bitcoin- oder Ethereum-Nutzer. Microsoft bestätigte zwar, dass es keinen Hinweis auf eine tatsächliche Ausnutzung gibt, warnt aber deutlich vor den Konsequenzen.
Google und EngageLab reagierten schnell: Im November 2025 veröffentlichte EngageLab die Patch-Version 5.2.1, nachdem Microsoft das Sicherheitsteam verantwortungsvoll im April 2025 informiert hatte. Alle betroffenen Apps wurden aus dem Google Play Store entfernt. Entwickler sollten sofort auf die neueste Version aktualisieren.
Doch die eigentliche Botschaft geht tiefer: Der Vorfall illustriert ein strukturelles Problem der modernen Softwareentwicklung. Apps sind heute kaum mehr Monolithen, sondern Mosaike aus dutzenden Third-Party-SDKs. Diese schaffen komplexe Supply-Chain-Abhängigkeiten, die schwer zu durchschauen sind. Ein Bug in einer beliebigen Komponente kann sich über Millionen Geräte verbreiten – schneller, als Sicherheitsteams reagieren können. Für deutsche Unternehmen und Privatnutzer ist dies ein Weckruf: Nicht nur die eigene App-Sicherheit zählt, sondern auch jede einzelne Abhängigkeit, die mit integriert wird.