Signal-Anrufe konnten nach dem Auflegen weiterlaufen, die gefixten App-Versionen sind offen

Theoretisch ja, aber nur durch die Gegenseite eines laufenden Anrufs: Die Lücke CVE-2026-113380 in Signals Anrufbibliothek RingRTC vor Version 2.72.0 konnte verhindern, dass Ihr Auflegen den Anruf vollständig beendet. Die Verschlüsselung ist nicht betroffen, eine Ausnutzung ist nicht bekannt. Das Risiko betrifft also Gespräche mit jemandem, der Ihnen bewusst schaden will, nicht Fremde ohne Kontakt zu Ihnen. Was hilft, ist ein Update von Signal auf allen Ihren Geräten. Welche App-Versionen den Fix enthalten, hat Signal bislang öffentlich nicht bestätigt.

Wie die RingRTC-Lücke das Auflegen aushebeln konnte

RingRTC ist die Open-Source-Bibliothek hinter den Sprach- und Videoanrufen in Signal, auf Mobilgeräten wie auf dem Desktop. Eine Bibliothek ist ein Baustein, den eine App einbindet, statt die Funktion selbst zu schreiben. In diesem Baustein steckt die Logik, die einen Anruf aufbaut, steuert und beendet. Genau dort liegt der Fehler.

Das GitHub-Advisory GHSA-5c63-xm6f-r368 beschreibt ihn knapp. Ein Advisory ist eine Sicherheitsmeldung zu einer Software, in der Betreuende eines Projekts eine Schwachstelle öffentlich und strukturiert dokumentieren. Dort heißt es sinngemäß: In RingRTC vor 2.72.0 kann ein Gegenüber, das die Warteschlange der Anrufsteuerung überlastet, das lokale Auflegen stören. Dann wird der Anruf samt Audiospur und möglicherweise auch Videospur nicht sauber abgebaut. Die Ereigniswarteschlange ist die Liste der Aufgaben, die die Anrufsteuerung abarbeitet. Ist sie überlastet, kann der Befehl zum Beenden untergehen.

Sie tippen auf „Auflegen“, die Oberfläche zeigt womöglich ein Ende an, doch die Audioverbindung im Hintergrund wird nicht vollständig abgebaut.

Entscheidend ist die Unterscheidung zwischen Schwachstelle und Angriff. Das Advisory belegt, dass der Fehler existierte und im Code behoben wurde. Es belegt nicht, dass jemand ihn in der Praxis genutzt hat. Auch die Reichweite ist begrenzt beschrieben: Audio ist genannt, Video steht nur als „perhaps also“, also als Möglichkeit, im Text. Ob ein Videobild tatsächlich weiterlief, ist offen. Malwarebytes, das die Meldung am 21. Oktober 2026 aufgegriffen hat, nennt die Dauer ausdrücklich unbekannt.

Als Hauptsorge nennt Malwarebytes das ungewollte Mithören nach einem vermeintlichen Ende, etwa bei einer Bemerkung nebenbei, einem Gespräch mit Anwesenden oder bloßen Hintergrundgeräuschen. Ein belegter Vorfall ist das nicht.

Wer ein Risiko hat und wer nicht

Die Voraussetzung ist eng: Es braucht einen laufenden Signal-Anruf, und die Gegenseite muss dabei böswillig handeln. Ein Fremder, der Ihre Nummer nicht kennt oder mit dem Sie nie telefoniert haben, ist von dieser Konstellation nicht erfasst. Ebenso wenig reicht es, dass jemand Ihre Kontaktdaten besitzt. Das Gegenüber muss Teilnehmerin oder Teilnehmer des Anrufs sein, den Sie selbst angenommen oder gestartet haben.

Damit verschiebt sich die Frage. Nicht „Wer könnte mich abhören?“ ist relevant, sondern „Mit wem führe ich heikle Gespräche, und was sage ich, solange ich glaube, aufgelegt zu haben?“. dm-Einordnung: Für die meisten Menschen im Alltag ist das Risiko dadurch gering. Höher liegt es dort, wo das Gegenüber ein Interesse hat, Sie weiter zu hören: in Streitfällen, bei Verhandlungen oder in Konflikten, in denen Vertrauen schon verloren ist.

Was nicht betroffen ist, benennt Malwarebytes klar. Die Lücke betrifft, wie ein Anruf beendet wird, nicht die Verschlüsselung. Die Ende-zu-Ende-Verschlüsselung bleibt also das, was sie war: Der Inhalt des Anrufs ist weiterhin nur für die Beteiligten lesbar, nur dass eine beteiligte Person womöglich länger zuhören konnte, als Sie dachten. Ebenso gibt es laut Malwarebytes keine Hinweise auf gestohlene Passwörter, übernommene Konten oder abgegriffene Nachrichtenverläufe. Ein Passwortwechsel ist deshalb aus dm-Sicht nicht nötig.

Zur Einordnung des Schweregrads: Das Advisory führt die Lücke als „Critical“ mit einem CVSS-v4-Wert von 9,3. CVSS (Common Vulnerability Scoring System) ist ein Bewertungsschema, das technische Eigenschaften einer Schwachstelle in eine Zahl von 0 bis 10 übersetzt. CVE bezeichnet dagegen die eindeutige Kennnummer einer Lücke, hier CVE-2026-113380. Die hohe Zahl stützt sich auf die Angriffsparameter: Der Angriff läuft über das Netzwerk, benötigt keine Privilegien und setzt nur eine passive Nutzerinteraktion voraus, nämlich dass Sie den Anruf führen.

Der Wert sagt jedoch nichts darüber, wie wahrscheinlich ein Missbrauch ist oder wie sensibel ein belauschter Moment wäre. Er bewertet das Potenzial, nicht den Schaden im Einzelfall. Wer die Zahl liest, sollte sie daher neben die beiden anderen belegten Punkte legen: keine bekannte Ausnutzung und eine Voraussetzung, die einen aktiven Anruf mit böswilligem Gegenüber verlangt. dm-Einordnung: Signal-Anrufe sind damit nicht grundsätzlich unsicher geworden, es bestand ein konkreter Fehler im Anrufabbau.

Fix im September, Veröffentlichung im Oktober

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptPerson updating apps on a smartphone and a laptop side by side, abstract progress bars on screens, bright home office. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

Der zeitliche Ablauf ist aus öffentlichen Einträgen rekonstruierbar. Am 4. September 2026 wurde im RingRTC-Repository auf GitHub ein Commit mit dem Titel „Ensure calls terminate completely in corner cases“ eingetragen, sinngemäß: Anrufe sollen auch in Sonderfällen vollständig enden. Ein Commit ist ein einzelner, dokumentierter Änderungsschritt im Quellcode. Der Vergleich der Versionen 2.71.0 und 2.72.0 enthält diese Änderung. Die Schwachstelle war damit in der Bibliothek spätestens Anfang September behoben, jedenfalls im Code.

Die öffentliche Kennung kam deutlich später. Am 20. Oktober 2026 wurde CVE-2026-113380 veröffentlicht, zu finden im GitHub Advisory und in der National Vulnerability Database. Zwischen Korrektur und Bekanntmachung lagen also rund sechs Wochen. dm-Einordnung: Das ist bei Sicherheitslücken nicht ungewöhnlich, weil Hersteller und Projekte Fixes oft ausliefern, bevor sie die Details dokumentieren. Es erklärt aber, warum die Nachricht im Oktober erscheint, obwohl der Fehler im September bereinigt wurde.

Hier lohnt die Unterscheidung zwischen Fix-Commit und App-Release. Der Commit zeigt, dass der Code geändert wurde. Ob und wann diese Bibliotheksversion in eine veröffentlichte Signal-App für Android, iOS oder den Desktop einfloss, ist eine andere Frage. Zwischen beidem liegen Tests, Zusammenführung und Auslieferung über die App-Stores. Das Advisory selbst führt betroffene und gefixte Paketversionen als „Unknown“.

Malwarebytes hält deshalb fest, dass betroffene Versionen und die ersten gefixten App-Versionen bisher nicht öffentlich bestätigt wurden. Der Autor Pieter Arntz hat bei Signal um Klärung gebeten. Eine öffentliche Antwort von Signal ist bislang nicht bekannt. Die in seinem Beitrag erwähnten Versionsnummern seiner eigenen Geräte sind eine persönliche Beobachtung und kein Nachweis dafür, dass diese Stände den Fix enthalten.

Die Lage ist damit klar umrissen: Der Fehler ist im Code adressiert, die Zuordnung zu konkreten App-Ständen steht aus. Wer jetzt fragt, ob die eigene App „sicher“ ist, bekommt bislang keine Versionsschwelle, sondern nur den allgemeinen Rat, verfügbare Updates einzuspielen.

Ähnlich gelagert war zuletzt der Fall bei WhatsApp-Gastanrufen, bei dem ebenfalls Funktionen rund um Anrufe im Mittelpunkt standen. Der hier beschriebene Signal-Fehler liegt jedoch an einer anderen Stelle, nämlich beim Beenden eines laufenden Gesprächs.

So halten Sie Signal auf allen Geräten aktuell

Die einzige belegte Gegenmaßnahme ist die Aktualisierung. Malwarebytes rät, verfügbare Signal-Updates auf allen Geräten zu installieren. „Alle“ ist dabei wörtlich zu nehmen: Wer Signal auf dem Smartphone, einem Tablet und dem Desktop nutzt, hat drei getrennte Installationen, die jeweils eigene Updatewege haben. Ein aktuelles Handy hilft wenig, wenn ein Gespräch am Laptop mit einer älteren Desktop-Version geführt wird.

Unter Android öffnen Sie dafür den Play Store, rufen Ihr Profil auf und prüfen unter „Apps und Gerät verwalten“, ob für Signal ein Update bereitsteht. Unter iOS und iPadOS finden Sie die Updates im App Store über Ihr Profilbild. Die Desktop-Version bietet je nach Betriebssystem eigene Hinweise zur Aktualisierung an. Die genaue Menüführung unterscheidet sich je nach Gerät und Systemversion.

dm-Einordnung: Praktisch ist die automatische Aktualisierung in den Store-Einstellungen. Sie stellt sicher, dass Korrekturen ankommen, ohne dass Sie daran denken müssen. Das ist eine allgemeine Hygiene-Empfehlung und keine Besonderheit dieser Lücke. Gerade bei Fehlern, deren Fix-Stand sich nicht an einer öffentlich bestätigten Versionsnummer festmachen lässt, ist sie die verlässlichste Variante, weil Sie nicht selbst beurteilen müssen, welcher Stand genügt.

dm-Einordnung, bis Signal Klarheit schafft: In heiklen Gesprächen lohnt ein Blick auf die Bildschirmanzeige: Ist der Anruf wirklich beendet, verschwindet die Anrufansicht, und auch der Mikrofonhinweis des Betriebssystems sollte erlöschen. Bleibt etwas davon stehen, ist Vorsicht angebracht. Wenn Sie ganz sicher gehen wollen, sprechen Sie nach vertraulichen Gesprächen mit Gegenübern, denen Sie nicht trauen, erst weiter, wenn die Verbindung sichtbar beendet ist.

Auch für Organisationen gibt es eine nüchterne Folgerung, ebenfalls als dm-Einordnung: Setzt ein Unternehmen Signal auf verwalteten Geräten ein, sollte die IT über ihr Mobile Device Management, also die zentrale Geräteverwaltung, den Updatestand der Signal-Apps prüfen und veraltete Installationen nachziehen. Das kostet wenig und deckt auch Geräte ab, die privat genutzt und selten angefasst werden.

Wie eng Sicherheit und Datenschutz bei Kommunikationswerkzeugen zusammenhängen, zeigt auch die Diskussion um verschlüsselte KI-Chats bei Brave Leo. Dort geht es um den Schutz von Inhalten, hier um den sauberen Abbau einer Verbindung. Beides erfordert, dass die Software tatsächlich tut, was ihre Oberfläche verspricht, und genau dafür sind Updates da.