Kurzfassung

Die Schwachstelle CVE-2026-75940 betrifft die Android-Anwendung Lenovo Health. Laut NVD kann ein Angreifer dadurch auf sensible gesundheitsbezogene Informationen zugreifen. Betroffen ist eine App, die ausschließlich im chinesischen Markt vertrieben wird.

Was ist passiert?

Für die Android-App Lenovo Health wurde unter der Kennung CVE-2026-75940 eine kritische Sicherheitslücke veröffentlicht. Die bislang öffentlich bekannte Beschreibung bleibt knapp: Unbefugte könnten auf sensible Gesundheitsdaten zugreifen.

Lenovo Health ist nach den verfügbaren Angaben nur im chinesischen Markt verbreitet. Für Unternehmen im DACH-Raum reduziert das die Breitenwirkung deutlich. Relevant wird der Fall trotzdem dort, wo importierte Geräte, regionale App-Stores, Auslandsniederlassungen in China oder dienstlich genutzte Privatgeräte mit entsprechender Software im Einsatz sind.

Technische Details

NVD führt die Schwachstelle als kritisch. Eine technische Detailbeschreibung zum genauen Fehlerbild wurde bislang nicht veröffentlicht. Offen ist damit unter anderem, ob die Ursache in fehlerhaften Zugriffsrechten, unsicherer Datenspeicherung, einer exportierten Android-Komponente oder einer Schwäche bei der Authentisierung liegt.

Ein CVSS-Vektor ist in den vorliegenden Informationen nicht genannt. Ebenso fehlt eine belastbare Eingrenzung dazu, unter welchen Voraussetzungen ein Angriff möglich ist und ob lokale Interaktion, eine weitere App auf dem Gerät oder besondere Berechtigungen erforderlich sind.

Fest steht nur die mögliche Auswirkung: der Zugriff auf gesundheitsbezogene Informationen. Solche Daten sind aus Datenschutzsicht besonders sensibel, weil sie Rückschlüsse auf Aktivität, Vitaldaten oder andere persönliche Gesundheitsmerkmale zulassen können.

Wer ist betroffen?

Direkt betroffen sind Nutzer der Android-App Lenovo Health. Nach der bekannten Produktbeschreibung wird die Anwendung ausschließlich im chinesischen Markt vertrieben.

Für die meisten Unternehmen in Deutschland, Österreich und der Schweiz ist das Risiko daher eher begrenzt. Eine Prüfung lohnt sich dennoch in diesen Fällen:

  • Unternehmensstandorte oder Tochtergesellschaften in China
  • Beschäftigte mit importierten Lenovo-Geräten oder regionalen App-Installationen
  • Bring-your-own-device-Umgebungen ohne klare App-Kontrolle
  • Mobile-Fleet-Management mit international beschafften Android-Geräten

Konkrete betroffene Versionsstände hat NVD bislang nicht genannt. Ob nur einzelne Versionen oder die App grundsätzlich betroffen sind, ist derzeit offen.

Empfohlene Maßnahmen

Administratoren sollten zuerst klären, ob Lenovo Health überhaupt in ihrer Umgebung vorhanden ist. In typischen DACH-Umgebungen ist genau dieser Schritt meist schon die wichtigste Priorisierung.

  1. Bestandsaufnahme durchführen: Über MDM-, EMM- oder UEM-Systeme nach installierten Paketen der Lenovo-Health-App suchen.
  2. China-bezogene Geräte gesondert prüfen: Besonders Endgeräte aus regionaler Beschaffung, Dienstreisen oder Auslandsniederlassungen einbeziehen.
  3. Zugriff auf sensible Daten minimieren: Falls die App im Einsatz ist, Berechtigungen und Datensynchronisation prüfen und wenn möglich vorübergehend einschränken.
  4. App bis zur Klärung isolieren oder entfernen: Wenn die Anwendung nicht geschäftskritisch ist, ist eine Deinstallation die sicherste Zwischenmaßnahme.
  5. Mobile Threat Defense und App-Kontrolle nutzen: Nicht freigegebene Apps in BYOD- oder COPE-Szenarien stärker überwachen.
  6. Auf Herstellerinformationen achten: Ob ein Patch bereitsteht, hat Lenovo in den hier vorliegenden Informationen nicht mitgeteilt.

Für Privatnutzer im DACH-Raum ist das Thema nur dann relevant, wenn die App tatsächlich installiert wurde, etwa über importierte Geräte oder alternative Bezugsquellen. In diesem Fall sollten Sie die App aktualisieren, falls ein Update angeboten wird, oder sie bis zur Klärung entfernen.

Einschätzung von CyberSecurity-News.de

Die Einordnung ist zweigeteilt. Inhaltlich ist der mögliche Zugriff auf Gesundheitsdaten ernst zu nehmen, weil es um besonders sensible Informationen geht. Operativ bleibt der Fall für viele Leser aber vorerst von überschaubarer Relevanz, da die App ausschließlich für den chinesischen Markt genannt wird.

Problematisch ist die dünne Informationslage. Ohne technische Details, betroffene Versionen oder klare Aussagen zu Voraussetzungen und Gegenmaßnahmen können Sicherheitsteams nur begrenzt priorisieren. Das erschwert die praktische Bewertung deutlich mehr als die Einstufung „kritisch“ allein hilft.

Andere Medien dürften den Fall wegen des Schweregrads leicht größer spielen, als es für den DACH-Alltag gerechtfertigt ist. Wer jedoch Lenovo-Mobilgeräte international beschafft oder Niederlassungen in China betreibt, sollte die Lücke nicht abtun, sondern gezielt nach der App suchen.

Fazit

Für die meisten Organisationen im DACH-Raum ist CVE-2026-75940 kein flächendeckender Krisenfall, sondern ein Spezialthema mit regionalem Bezug. Handlungsbedarf besteht vor allem dort, wo Lenovo-Health-Installationen realistisch sind: App-Bestand prüfen, betroffene Geräte identifizieren und die Anwendung bis zu klaren Herstellerinformationen möglichst entfernen oder einschränken.

Quellenangabe

Weiterführende Informationen: NVD-Eintrag zu CVE-2026-75940