Googles Videostrong-Sperre zeigt: Das Siegel „zertifiziert“ reicht nicht aus

Die bequeme Lehre aus dem größten Android-TV-Botnetz des Jahres lautet: „Kauf keine zwielichtigen Boxen.“ Das ist ein guter Rat. Doch er erzählt nicht die ganze Geschichte und entlastet diejenigen, die das hätten bemerken müssen.

Das ist passiert. Wie BGR berichtet, hat Google die Zusammenarbeit mit Videostrong Technology, einem Hersteller aus China, beendet, nachdem bei mehr als 1,3 Millionen seiner Android-TV-Boxen eine Hintertür namens XCPE entdeckt worden war. Die Threat Intelligence Group von Google erklärt, sie sei sich sehr sicher, dass Videostrong die Hintertür gebaut und absichtlich installiert und den Zugang anschließend an kriminelle Gruppen verkauft habe. Google und mehrere Sicherheitsfirmen haben das Botnetz in der vergangenen Woche abgeschaltet.

Die Einzelheiten sind unerfreulich. Die Schadsoftware steckte in der Firmware, lief mit Systemrechten und wurde laut Google unter anderem für Werbebetrug und Residential-Proxy-Netzwerke genutzt. In einigen Fällen machten die Betreiber sogar Live-Screenshots und griffen Kontodaten ab. Brasilien gehört zu den am stärksten betroffenen Ländern; O Globo nennt es in der Schlagzeile das am zweitstärksten betroffene Land, doch auch in den USA tauchten infizierte Boxen auf.

Das Zertifikat sollte genau das verhindern

Das Detail, das alle beunruhigen sollte: Videostrong war kein dubioser Klonhersteller, der über Nacht verschwindet. Das Unternehmen war zertifizierter Android-Partner. Google verpflichtet solche Hersteller, ihre Geräte Kompatibilitäts- und Sicherheitstests zu unterziehen, bevor sie mit Googles Apps ausgeliefert werden dürfen. Laut BGR versteckte Videostrong seinen Code so, dass die Tests ihn nicht erfassten, und lud ihn erst nach dem ersten Start.

Die saubere Erzählung „zertifiziert ist sicher, nicht zertifiziert ist eine Falle“ hält den Fakten also nicht stand. Unsere Einschätzung: Die Zertifizierung bleibt die bessere Wahl, denn sie liefert zumindest einen Verantwortlichen und ein Unternehmen, das den Stecker ziehen kann, wie Google es gerade getan hat. Aber sie ist ein Filter, keine Garantie. Ein Test, der am ersten Tag bestanden wird und sich durch Warten bis zum zweiten Start austricksen lässt, ist ein Test für ehrliche Hersteller.

Google zugutehalten muss man, dass das Unternehmen sein Prüfverfahren nach eigenen Angaben angepasst hat, damit andere Schadsoftware nicht auf dieselbe Weise an den Tests vorbeischleusen können. Das ist der richtige Schritt. Es ist aber auch das Eingeständnis, dass das alte Verfahren eine Lücke hatte und es mehr als eine Million Geräte brauchte, um sie zu finden.

Bei billigen Boxen laufen die Anreize schief

Nichts davon macht Billig-Hardware zu einer sicheren Wahl. Es macht sie zu einer schlechteren. Wenn eine Box für sehr wenig Geld verkauft wird, muss die Marge irgendwoher kommen, und Videostrong fand eine Quelle: die Geräte seiner Kunden und deren Internetanschlüsse zu vermieten. Synthient, eine der beteiligten Sicherheitsfirmen, gibt an, Ende 2025 eine Mecool KM9PRO Max gekauft zu haben und die Hintertür bereits darauf vorgefunden zu haben. Außerdem heißt es dort, solche Boxen seien bei Leuten beliebt, die Apps von Drittanbietern installieren wollen, um DRM zu umgehen.

Das möchten wir als Meinung und nicht als Tatsache unterstreichen: Wer eine Box sucht, die das tut, was gängige Geräte nicht tun, achtet wohl kaum auf eine Zertifizierung. Niemand sollte dafür getadelt werden, dass er eine günstige TV-Box möchte. Aber der Preis, den man nicht sieht, ist, dass das eigene Netzwerk und möglicherweise die eigenen Konten Teil des Geschäfts eines anderen werden.

Die Bereinigung ist unangenehm. Google stellte fest, dass XCPE die App-Überprüfung von Play Protect abschalten kann und dass sich die Hintertür beim nächsten Neustart aus der Firmware neu installiert, wenn man sie entfernt. Synthient rät, die Geräte vom Netzwerk zu nehmen, das WLAN-Passwort zu ändern und die Router-Firmware zu aktualisieren. Laut BGR schätzt das Unternehmen, dass etwa eine halbe Million der 1,3 Millionen Boxen täglich weiterhin die Server der Betreiber kontaktieren. Synthient hat außerdem eine Liste mit mehr als 180 Gerätemodellen veröffentlicht, die mit der Kampagne in Verbindung stehen; dass ein Modell auf der Liste steht, bestätigt aber nicht, dass ein bestimmtes Gerät kompromittiert ist.

Was Käufer tun sollten und was Google ihnen schuldet

Für Käufer: Wer eine Box eines No-Name-Herstellers besitzt, sollte prüfen, ob das Modell auf der Liste von Synthient steht, und es gegebenenfalls vom Strom trennen. Beim Kauf sollten Geräte von Herstellern bevorzugt werden, die einen echten Ruf zu verlieren haben; ein auffallend niedriger Preis ist ein Warnsignal, kein Schnäppchen. Und „von Google zertifiziert“ heißt nicht „dauerhaft geprüft“.

Für Google: Videostrong den Bau zertifizierter Geräte und die Lieferung von Software an andere zertifizierte Hersteller zu untersagen, ist eine deutliche Reaktion, und auch das gerichtliche Vorgehen gegen die Domains und Server ist wichtig. Doch die Reihenfolge stimmt nicht. Die Sperre kam nach dem Schaden. Verhaltensprüfungen nach dem Start, stichprobenartige Audits ausgelieferter Geräte und mehr Kontrolle bei Firmware, die privilegierten Zugriff behält, sollten bei einem Programm Standard sein, das einem Unternehmen erlaubt, Googles Namen auf den Karton zu setzen.

Unser Fazit: Bleiben Sie bei zertifizierten Geräten, aber betrachten Sie das Zertifikat nicht als Ende der Diskussion. Der Fall Videostrong zeigt, dass in der Lieferkette Vertrauen gewonnen oder verspielt wird, und Google als Herausgeber des Siegels muss dort früher hinschauen als dieses Mal.