Samsung Browser: Dein Monatspatch erreicht ihn nicht

Einmal im Monat dieselbe Meldung. Softwareupdate verfügbar, ein paar hundert Megabyte, Neustart. Danach steht im Menü ein frisches Datum neben dem Sicherheitspatch, und die Sache fühlt sich erledigt an.

Für den größten Teil des Systems stimmt das auch. Im Juli ging Samsungs Update zuerst an die neuesten Modelle.

Eine der wichtigsten Komponenten des Geräts erreicht dieser Patch trotzdem nicht. Der vorinstallierte Browser bekommt seine Updates woanders her, nämlich über den Play Store und den Galaxy Store. Das sind zwei getrennte Wege, und nur einer davon wird dir angekündigt.

Wie alt der Kern dieses Browsers gerade ist, lässt sich von außen nicht sagen. Nicht, weil es niemanden interessiert, sondern weil Samsung es für Android seit mehr als zwei Jahren nicht mehr veröffentlicht.

Warum diese Nummer überhaupt zählt, zeigt ein Blick darauf, was in so einem Browser steckt.

Samsungs Browser ist keine Eigenentwicklung von Grund auf, sondern setzt auf Chromium auf. Chromium ist das quelloffene Fundament, aus dem auch Google Chrome, Edge und Opera gebaut werden. Ein Teil davon heißt V8 und führt JavaScript aus, also den Programmcode, den fast jede Webseite mitbringt. Fehler in V8 sind deshalb besonders heikel, es reicht, eine präparierte Seite zu öffnen.

Solche Fehler werden gefunden und behoben, und nach der Behebung öffentlich dokumentiert, mitsamt Beschreibung. Wer ein Gerät angreifen will, dem die Korrektur fehlt, muss also nichts Neues entdecken. Er liest nach. In der Branche heißt das N-Day, im Unterschied zum Zero-Day, den noch niemand kennt.

Wie das praktisch aussieht, hat die Sicherheitsfirma OtterSec am 1. April 2026 gezeigt, gemeinsam mit der Gruppe Crusaders of Rust. Die Forscher mussten dafür genau das tun, was einem normalen Nutzer verwehrt bleibt. Sie zogen die Browser-App von einem Galaxy S25 herunter und suchten die Versionsnummer in den Programmdateien. Gefunden haben sie V8 13.6, zu diesem Zeitpunkt ein halbes Jahr alt.

Danach bauten sie einen Angriff aus einer Lücke, die Google in Chrome längst geschlossen hatte. Am Ende konnten sie eigenen Maschinencode im Browser ausführen und fremden Code im Namen beliebiger Webseiten laufen lassen. Eine präparierte Seite hätte so an die Inhalte anderer geöffneter Seiten kommen können, an das Postfach etwa oder an das Konto beim Onlinehändler.

Möglich wurde der letzte Schritt nur, weil Android den Browser schwächer abschottet als ein Rechner. Auf dem PC bekommt praktisch jede Webseite ihren eigenen Prozess, unter Android nur Seiten mit Anmeldung und einige besonders gekennzeichnete. Der Rest teilt sich einen.

In der Sicherheitsforschung hat dieser Abstand einen eigenen Namen. Patch Gap, also die Lücke zwischen dem Moment, in dem ein Fehler oben im Chromium-Projekt behoben wird, und dem Moment, in dem die Korrektur unten beim Nutzer ankommt. Solange dieser Abstand besteht, liegt eine Bauanleitung öffentlich vor, während das Gerät noch verwundbar ist. Bei Chrome selbst schrumpft dieser Zeitraum auf Tage, weil Google denselben Code baut und ausliefert. Bei einem Browser, der von einem anderen Hersteller gepflegt und über einen anderen Kanal verteilt wird, hängt er davon ab, wie schnell dieser Hersteller nachzieht.

Diese konkrete Lücke ist inzwischen geschlossen. Offen ist, wie es mit allen danach aussieht.

Für diesen Artikel haben wir versucht, die Frage selbst zu beantworten. Welche Chromium-Basis liefert Samsung heute auf ein Galaxy aus?

Eine klare Antwort gibt es nicht. Öffentlich gesammelte Browser-Kennungen, über die sich Geräte im Netz ausweisen, widersprechen sich für dieselbe App-Version. Manche nennen eine Basis vom Dezember 2025, andere eine deutlich neuere. Solche Sammlungen enthalten allerdings auch gefälschte und automatisch erzeugte Einträge, sie taugen also nicht als Beleg.

Bleibt der Hersteller selbst, und der schweigt für Android. Dass Samsung Korrekturen in die eigene Fassung übernimmt, legen die Änderungshinweise nahe, dort steht regelmäßig ein Satz über behobene Sicherheitslücken. Welche das sind, steht nicht dabei.

Das ist keine Kleinigkeit. Am 8. Juni 2026 behob Google einen Fehler in V8, eingestuft als hohes Risiko, und schrieb dazu, dass ein Angriff darauf bereits im Umlauf sei. Ob und wann diese Korrektur in Samsungs Browser landete, ist öffentlich nicht dokumentiert.

Bei der Windows-Fassung desselben Browsers wäre die Frage in zwei Minuten beantwortet. Da steht es auf Samsungs eigener Seite.

Für den Alltag heißt das nicht, dass jedes Galaxy angreifbar wäre. Es heißt, dass niemand außerhalb von Samsung prüfen kann, ob es das ist. Bei einem Programm, das täglich fremde Inhalte aus dem Netz öffnet und auf mehreren hundert Millionen Geräten vorinstalliert ist, ist dieser Unterschied größer, als er klingt.

Nachsehen, welche Fassung auf dem eigenen Gerät läuft, dauert eine halbe Minute. Auf dem Startbildschirm oder im App-Bildschirm das Symbol des Browsers gedrückt halten, dann meist auf ein kleines "i" tippen. In der App-Info steht die Versionsnummer. Denselben Wert zeigt der Eintrag im Play Store.

Ob ein Update bereitliegt, siehst du ebenfalls im Play Store oder im Galaxy Store. Steht dort ein Knopf zum Aktualisieren, hat sich etwas getan.

Was diese Nummer über den Chromium-Stand aussagt, bleibt allerdings offen. Genau das ist der Punkt.

Wem das zu unklar ist, der installiert einen zweiten Browser. Chrome und Firefox kommen direkt von ihren Herstellern, nennen ihre Versionsnummer im Menü und aktualisieren ihren Unterbau unabhängig von Samsungs Zeitplan. Als Standardbrowser lassen sie sich in den Android-Einstellungen unter den Standard-Apps festlegen.

Wer bei Samsungs Browser bleiben will, und dafür gibt es gute Gründe, etwa den eingebauten Werbeblocker und die Anbindung an Samsung Pass, sollte wenigstens die Automatik im Store eingeschaltet lassen. Dann kommt jede Fassung, die Samsung veröffentlicht, ohne Zutun auf das Gerät. Mehr Kontrolle hat man an dieser Stelle nicht.

Der Monatspatch bleibt trotzdem wichtig. Er schließt Lücken im System, an die kein Browser-Update herankommt. Er ist nur eben nicht für alles zuständig, was auf dem Gerät ins Netz geht.