Manic Android-Malware klaut Daten über Handys in der Nähe

Die Manic Android-Malware hat einen Trick, den es in dieser Form bisher kaum gab: Findet sie keinen Weg ins Internet, schickt sie die gestohlenen Daten über andere infizierte Handys in der Nähe weiter. Das Sicherheitsunternehmen ThreatFabric hat die Schadsoftware am 20. August 2026 analysiert. Auf der Zielliste stehen auch Apps deutscher und österreichischer Banken.

Was die Manic Android-Malware kann

Manic vereint drei Dinge, die sonst getrennt auftreten: Spyware, Banking-Betrug und Fernsteuerung. Die zugehörige Infrastruktur wurde laut ThreatFabric bereits im Februar 2026 registriert, die ersten Samples tauchten aber erst Ende Mai auf. Im Visier stehen mindestens 169 Anwendungen – Banking-Apps, Behörden- und eID-Apps, Bezahldienste, Krypto-Wallets, Messenger, Browser, E-Mail-Clients sowie Authenticator- und 2FA-Apps.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Der Schwerpunkt liegt auf Nutzern in der Ukraine. Für den deutschsprachigen Raum ist aber ein Detail aus der Zieltabelle des Reports entscheidend: Neben ukrainischen, polnischen, tschechischen und slowakischen Instituten führt ThreatFabric bei den Banking-Apps ausdrücklich auch Deutschland und Österreich auf, bei den Behörden- und eID-Apps zusätzlich Deutschland. Wichtig zur Einordnung: Das belegt, dass diese Apps auf der Zielliste stehen – nicht, dass es bestätigte Infektionen in Deutschland oder Österreich gibt.

Wie der Angriff technisch funktioniert

Manic arbeitet über die Android-Bedienungshilfen. Die Malware legt durchsichtige Overlays über die Zifferntastaturen echter Apps, greift die Tippeingaben ab und spielt sie über die Accessibility-Funktion an die eigentliche App weiter. Es gibt also keine gefälschte Bankoberfläche, die man an Kleinigkeiten erkennen könnte – für den Nutzer sieht alles normal aus, die App funktioniert ja.

Eine zweite Funktion ist noch unangenehmer: Sie greift die Eingabe am Sperrbildschirm ab und kann ein gesperrtes Gerät anschließend für die Betreiber öffnen. Ein im Juli beobachtetes Update ergänzte das um sogenanntes Lock-Secret-Phishing, bei dem eine gefälschte Abfrage der PIN oder des Musters vorgeschaltet wird.

Hat Manic Zugriff auf Bedienungshilfen und Benachrichtigungen, kann sie Benachrichtigungen und SMS abfangen, Dateien und Standortdaten sammeln, den Bildschirm überwachen und den Betreibern per WebRTC eine Fernsteuerung öffnen. Der eingebaute Keylogger sortiert die Beute dabei vor. ThreatFabric beschreibt das so, dass die Malware erfassten Text vor der Speicherung klassifiziert und dabei unter anderem Sperrbildschirm-Eingaben, mögliche Wallet-Wiederherstellungsphrasen, vier- bis sechsstellige SMS-Codes, Passwörter und E-Mail-Logins auseinanderhält.

Der eigentliche Clou: Datenabfluss über die Nachbargeräte

Erreicht ein infiziertes Gerät den Steuerungsserver nicht, gibt Manic nicht auf. Die Daten werden verschlüsselt in eine Warteschlange gelegt; anschließend sucht die Malware per Wi-Fi Direct, Bluetooth RFCOMM oder BLE nach anderen infizierten Geräten in Reichweite. Findet sie eines mit Internetverbindung, reicht sie das Paket weiter – standardmäßig über bis zu vier Zwischenstationen, konfigurierbar auch mehr.

Das heißt in der Konsequenz: Ein Handy vom Netz zu nehmen, stoppt den Datenabfluss nicht zwingend. Solange ein weiteres infiziertes Gerät in WLAN- oder Bluetooth-Reichweite ist, wird es zum Gateway.

Was das für dich bedeutet

Drei Dinge fallen mir aus der Praxis auf. Erstens zielt das Relaisverfahren weniger auf Privatleute als auf Umgebungen, in denen viele Geräte nebeneinanderliegen – Büros, Behörden, Feldlager. Wer bisher darauf gesetzt hat, kritische Geräte durch Netztrennung zu isolieren, sollte diese Annahme überdenken: „Offline” ist keine belastbare Schutzmaßnahme mehr, wenn die Umgebung selbst kompromittiert ist.

Zweitens, und das ist der Punkt, der mir bei Awareness-Themen seit Jahren begegnet: Der eigentliche Schwachpunkt ist nicht Android, sondern die Berechtigung für die Bedienungshilfen. Diese Freigabe ist der Generalschlüssel des Systems – wer sie hat, sieht und steuert praktisch alles. Trotzdem wird sie in Dialogen wie eine Formalität abgefragt, und genau darauf baut Manic. Eine App, die nur eine Rechnung anzeigen oder ein Video abspielen soll, braucht keine Bedienungshilfen. Punkt.

Drittens die Zwei-Faktor-Authentifizierung. Manic greift gezielt SMS-Codes und Authenticator-Apps auf demselben Gerät ab. Wer sein zweites Element auf dem Handy hat, das gerade kompromittiert wird, hat keinen zweiten Faktor mehr – sondern zwei Passwörter am selben Ort.

Empfehlungen der Analysten

ThreatFabric und BleepingComputer raten Android-Nutzern zu drei Maßnahmen:

• Keine APKs aus obskuren Quellen oder von inoffiziellen Portalen installieren.
• Bedienungshilfen-Berechtigungen verweigern, wenn sie nicht von einer vertrauenswürdigen Anwendung wirklich gebraucht werden.
• Regelmäßig Play Protect scannen lassen, um bekannte Schadsoftware zu erkennen und zu entfernen. Einschränkend dazu: ThreatFabric dokumentiert einen Bot-Befehl disable_gp, mit dem Manic versucht, Play Protect per Oberflächen-Automatisierung abzuschalten. Der Scan ist sinnvoll, aber kein Garant.

Meine Ergänzungen aus der Praxis

Die folgenden Punkte stehen so nicht in den Analysen, halte ich aber für den wirksameren Teil:

• Bedienungshilfen aktiv aufräumen. Unter Einstellungen → Bedienungshilfen nachsehen, welche Apps dort eingetragen sind, und alles entziehen, was keine echte Hilfstechnologie ist. Das ist die Kontrolle, die niemand macht – dabei dauert sie zwei Minuten.
• Zweiten Faktor vom Handy trennen. Der wirksamste Schritt gegen genau diese Angriffsklasse ist ein Hardware-Schlüssel, der die Anmeldung an die Domain bindet und sich weder abtippen noch per Overlay abgreifen lässt. Welche FIDO2-Modelle dafür taugen, habe ich im Ratgeber zu Hardware-Security-Keys zusammengestellt.
• Bluetooth und Wi-Fi Direct deaktivieren, wenn sie nicht gebraucht werden. Ehrlich dazugesagt: Das trifft nur den Ausweichweg. Der Normalfall ist die direkte Verbindung zum Steuerungsserver, und die stoppt man damit nicht.
• Bei Verdacht nicht aufräumen, sondern neu aufsetzen. Wurde die PIN mitgeschnitten, hilft kein Deinstallieren. Werksreset, danach alle Passwörter und Wiederherstellungsphrasen von einem sauberen Gerät aus ändern.

Wie Manic auf die Geräte kommt

Hier widersprechen sich die Berichte, und das gehört offengelegt: BleepingComputer schreibt, der genaue Infektionsweg sei weiterhin unbekannt. The Hacker News berichtet dagegen unter Berufung auf ThreatFabric von einer Verbreitung über Phishing-Seiten und Dropper-Apps, die sich als Hilfsprogramme tarnen – der erste beobachtete Wrapper soll einen Buchungs-App-Köder verwendet haben. Gesichert ist der Verlauf: Ende Mai tauchte der Wrapper auf, im Juli folgte eine überarbeitete Fassung mit stärkeren Anti-Analyse-Prüfungen und Nachladen des Codes direkt im Arbeitsspeicher.

Das ist typisch für professionell betriebene Banking-Malware: Sie wird gepflegt wie ein Produkt. Wie ähnlich gelagerte Angriffe auf anderen Plattformen aussehen, zeigt mein Beitrag über die ClickFix-Masche unter macOS.

Ein Hinweis zur Quellenlage: Alle drei unten verlinkten Berichte gehen auf dieselbe Analyse von ThreatFabric zurück. Es handelt sich also nicht um drei unabhängige Bestätigungen, sondern um eine Primärquelle und zwei Fachmedien, die sie aufgreifen.

Quellen

• ThreatFabric: Manic – blend between banking malware and spyware (20.08.2026)
• BleepingComputer: New Manic Android malware can exfiltrate data through nearby devices (20.08.2026)
• The Hacker News: Manic Android Malware Exfiltrates Data From Offline Phones via Nearby Infected Devices (20.08.2026)