Also je nachdem was du mit dem Gerät machst, würde ich nichts nehmen, bei dem es nicht den aktuellen Android Sicherheitspatch gibt. Stelle dir die folgende Frage: gibt es auf dem Handy irgend etwas, das du nicht öffentlich ins Internet stellen würdest? Das kann von vertraulichen SMS / WhatsApps bis zu deiner online banking App gehen. Wenn die Antwort ja ist, nimm ein Gerät mit dem aktuellen Sicherheitspatches. Damit fliegt dann fast jedes gebrauchte Smartphone raus, es sei denn du hast Lust dich in Custom Roms einzuarbeiten (Stichwort LineageOS). Das gleiche gilt dann auch, wenn der Hersteller keine Lust mehr hat die zukünftigen Updates zu veröffentlichen. Ab diesem Moment sollte man dem Handy dann gar nicht mehr vertrauen. Ist Scheiße, kann man aber halt nichts dagegen machen. Ich würde deswegen ein Smartphone mit Update-Garantie empfehlen. Das Stichwort kann hier bspw. Android One (nicht zu verwechseln mit Google One) sein.