Google steht mal wieder für seine Update-Politik beim Mobil-Betriebssystem Android in der Kritik. Diesmal geht es um Sicherheitslücken in der WebView-Komponente. Das ist ein Werkzeug für die Darstellung von Web-Inhalten in Apps. Das Problem betrifft die Android-eigenen WebView-Varianten in den Versionen 4.3 (Jelly Bean) und früher.

Wenn bislang WebView-Lücken gemeldet wurden, die Versionen vor Android 4.4 betrafen, seien diese meist schnell geschlossen worden, schreibt Sicherheitsexperte Tod Beardsley im Blog "Metasploit" . Kürzlich habe das Android-Sicherheitsteam aber anders reagiert: "Wenn die betroffene Version [von WebView] eine vor 4.4 ist, entwickeln wir grundsätzlich keine eigenen Patches", zitiert Beardsley eine Support-Antwort. "Wir freuen uns aber über Patches, die uns zur Begutachtung übermittelt werden." In anderen Worten: Google selbst bietet offenbar keine Patches für WebView-Probleme in den Android-Versionen vor 4.4 mehr an.

Experte Beardsley schreibt, dass derzeit elf WebView-Sicherheitslücken bekannt sind, die nun wohl langfristig ein Risiko darstellen. In einer Klarstellung soll das Android-Sicherheitsteam zumindest bestätigt haben, dass andere ältere Komponenten wie Multimedia-Player weiter Updates erhalten - der Support scheint nur für WebView eingeschränkt zu werden. Das Team begründet die Entscheidung damit, dass Google keine Geräte von Drittanbietern mehr zertifiziert, auf denen der Android-Browser läuft. Der beste Weg, die Sicherheit des eigenen Geräts sicherzustellen, sei es, die jeweils neueste Version des Betriebssystems zu nutzen.

Viele Geräte laufen noch mit Android 4.3

Praktisch ist das allerdings nicht auf jedem Mobilgerät möglich. Dies liegt unter anderem daran, dass sich auf den meisten Android-Geräten Betriebssystem-Updates nur aufspielen lassen, wenn sie der Gerätehersteller anbietet. Eine Ausnahme sind die Nexus-Geräte, die Google direkt mit Updates versorgt.

Durch den Umweg über die Hersteller dauert es selbst bei aktuellen Smartphones mitunter Monate, bis die neueste Android-Version tatsächlich verfügbar ist - manchmal wird sie auch gar nicht angeboten . Die sogenannte Fragmentierung ist ein Android-Problem, das zahlreichen Handynutzern, aber auch Google selbst seit Jahren Ärger macht.

Google-Statistiken zufolge liefen im Januar auf rund 45 Prozent  der Android-Geräte Jelly-Bean-Versionen, das entspricht vielen Millionen Geräten. Die letzte Jelly-Bean-Version 4.3.1 hatte Google im Oktober 2013 veröffentlicht. Anders als etwa Microsoft mit seinem "Lebenszyklus für Windows " veröffentlicht das Unternehmen keine Daten dazu, wann der Support für eine bestimmte Betriebssystem-Version endet.

WebView-Updates per Play Store bei Lollipop

Die Folge ist, dass es Nutzern mitunter schwerfällt einzuschätzen, wie veraltet und damit gefährdet ihre Android-Version ist. Das Tech-Magazin "Golem" verweist darauf , dass noch Ende 2014 diverse Geräte mit Android 4.3 oder älteren Versionen auf den Markt kamen, vor allem Mittelklasse- und Einsteiger-Smartphones.