Google hat Anfang November 2026 ein Botnetz aus mindestens 1,3 Millionen Android-TV-Boxen lahmgelegt – verteilt auf mehr als 200 Länder. Das eigentlich Bemerkenswerte daran ist nicht die schiere Zahl, sondern wie die Geräte überhaupt infiziert wurden: nicht durch eine verdächtige App, einen Klick auf einen falschen Link oder ein vergessenes Update, sondern bereits werkseitig, direkt bei der Herstellung.

Genau das ist der Punkt, den ich hier aufgreifen möchte. Denn er zeigt sehr deutlich, warum "das Gerät sieht doch seriös aus" oder "das ist doch ein bekannter Shop" allein überhaupt nichts über die tatsächliche Sicherheit eines internetfähigen Geräts aussagt.

Was genau passiert ist

Laut Google steckt hinter dem Botnetz der chinesische Hersteller Videostrong Technology, ein zertifizierter Android-Original-Equipment- und -Design-Hersteller, der unter anderem Set-Top-Boxen für Streaming und Android TV produziert. Die Schadsoftware war nicht nachträglich auf die Geräte gelangt, sondern bereits in die Firmware eingebaut – bevor die Boxen überhaupt beim Kunden ankamen. Sie war außerdem so konzipiert, dass sie die eigentlich vorgesehenen Sicherheitsprüfungen vor der Zertifizierung unterlief.

Google zufolge hat Videostrong den Zugang zu dieser Hintertür an Kriminelle verkauft, die darüber weitere Schadmodule auf fremden Geräten nachladen konnten. Eine Einwilligung, eine Benachrichtigung oder eine Möglichkeit, das abzulehnen, gab es für die Käufer nicht.

Der eigentliche Kern der Geschichte: Die betroffenen Geräte wurden als ganz normale, legitime Produkte verkauft. Wer eine solche Box gekauft hat, konnte zu keinem Zeitpunkt irgendetwas falsch gemacht haben – die Infektion kam direkt ab Werk.

Wofür die Geräte missbraucht wurden

Das Botnetz diente unter anderem dazu, die Internetverbindung der Geräte als sogenanntes residentielles Proxy-Netzwerk weiterzuverkaufen – also Bandbreite und IP-Adressen gewöhnlicher Haushalte an Dritte zu vermieten, oft für zweifelhafte Zwecke. Daneben wurde über die Boxen Werbebetrug begangen, es wurden weitere Hintertüren nachgeladen, und die Geräte sammelten Informationen zu Nutzung, Netzwerk und teilweise verknüpften Konten. Die Verbindung blieb dauerhaft bestehen, im Hintergrund, ohne dass auf dem Fernseher irgendetwas davon zu sehen war.

Google hat inzwischen die Kontroll-Domains für mehr als ein Dutzend zugehöriger Schadsoftware-Familien abgeschaltet, Videostrong von der eigenen Plattform ausgeschlossen und dem Unternehmen samt Tochterfirmen und Partnern untersagt, künftig Geräte mit vorinstallierten Google-Diensten herzustellen. An der Aktion beteiligt waren unter anderem die japanische Nationalpolizei sowie die Sicherheitsfirmen Lumen, HUMAN Security, Plume, Synthient und TrendAI.

Was Googles Maßnahme ausdrücklich nicht leistet: Die Hintertür auf den bereits verkauften 1,3 Millionen Geräten ist damit nicht verschwunden. Wer eine betroffene Box besitzt, hat sie nach wie vor im Wohnzimmer stehen – nur dass die ursprüngliche Steuerungsinfrastruktur der Angreifer abgeschaltet wurde. Solche Geräte, gerade günstige Android-TV- und Streaming-Boxen abseits der bekannten Markenhersteller, dürften auch in Deutschland verbreitet im Einsatz sein.

Warum das weit über eine einzelne Box hinausgeht

Genau hier setzt mein eigentlicher Punkt an: Dieser Fall betraf Android-TV-Boxen. Er hätte genauso gut eine IP-Kamera, einen smarten Lautsprecher, einen WLAN-Stecker, einen Drucker, eine Smart-Home-Zentrale oder irgendein anderes Gerät mit Internetzugang treffen können. Niemand kann von außen wissen, was ein Gerät, das dauerhaft mit Strom versorgt wird und eine Internetverbindung hat, im Hintergrund tatsächlich tut – auch nicht bei Geräten, die auf den ersten Blick völlig normal und seriös wirken.

Genau deshalb reicht es aus meiner Sicht nicht, nur "verdächtige" oder "billige No-Name-Geräte" in ein separates Netz zu packen. Die Konsequenz aus einem Fall wie diesem ist eine andere: Jedes Gerät, das nicht zwingend im selben Netz wie die eigenen wichtigen Geräte stehen muss, sollte auch nicht dort stehen – unabhängig davon, wie vertrauenswürdig Marke oder Verkäufer wirken.

Mein Praxistipp: Die meisten aktuellen Router erlauben mehrere getrennte WLAN-Netze oder zumindest ein Gäste-WLAN. Ich empfehle, mindestens zwei Netze einzurichten: eines für die Geräte, bei denen wirklich etwas auf dem Spiel steht – PC, Laptop, Smartphone mit Online-Banking, NAS mit Familienfotos – und ein zweites, komplett getrenntes Netz für alles andere: Streaming-Boxen, Smart-TVs, smarte Steckdosen, Kameras, Drucker, Saugroboter und ähnliches. Geräte im zweiten Netz können dann zwar selbst Schaden anrichten oder missbraucht werden, kommen aber nicht an die Geräte und Daten im ersten Netz heran.

Was das konkret bedeutet – auch für vermeintlich "sichere" Geräte

Der Fall Videostrong zeigt etwas, das ich im Alltag immer wieder erkläre: Eine offizielle Zertifizierung, ein bekannter Markenname auf der Verpackung oder ein seriös wirkender Online-Shop sind keine Garantie dafür, dass ein Gerät tatsächlich sauber ist. Hier handelte es sich um einen zertifizierten Android-Hersteller, dessen Geräte offiziell mit Google-Diensten ausgeliefert wurden – und trotzdem steckte die Hintertür bereits ab Werk drin.

Wie eine sinnvolle Netzwerktrennung auch für Privathaushalte konkret aussehen kann, habe ich bereits im Artikel Hacker drehen Supermarkt-Kühlsysteme auf 50 Grad hoch: Warum IT-Sicherheit heute wirklich alle angeht angesprochen. Dieser aktuelle Fall zeigt noch einmal, wie wichtig dieser Punkt gerade bei unscheinbaren Alltagsgeräten ist. Eine konkrete Schritt-für-Schritt-Anleitung, wie ein separates Gäste- oder IoT-WLAN je nach Routerhersteller eingerichtet wird, finden Sie in unserem Artikel WLAN im Büro: Die häufigsten Fehler bei der Einrichtung – die dortigen Anleitungen funktionieren genauso gut im heimischen Netz.

Wenn Sie unsicher sind, wie Sie Ihr Heim- oder Firmennetz sinnvoll in getrennte Bereiche aufteilen, oder wissen möchten, welche Geräte in Ihrem Netzwerk überhaupt aktiv sind, unterstützt Sie KLISYSTEMS gerne dabei – von der kurzen Bestandsaufnahme bis zur vollständigen Einrichtung getrennter Netzwerke.

Quelle und weitere Informationen: heise online, borncity.com