Sie haben dreißig Dollar für einen Streaming-Stick bezahlt, der „alles, ohne Abonnement“ versprach. Filme spielt er problemlos ab. Doch laut einer von Krebs on Security berichteten Untersuchung hat eine Kategorie dieser günstigen Android-TV-Boxen im Hintergrund noch einen zweiten Job: Sie geben sich als Mobiltelefon aus, rufen KI-generierte Websites auf und klicken auf Anzeigen, um Werbetreibende und Online-Händler zu betrügen – und das alles über Ihre Internetverbindung zu Hause und mit Ihrem Strom.

Was die Forscher tatsächlich herausfanden

Der Bedrohungsforscher Pedro Falé vom Sicherheitsunternehmen Bitsight erhielt einen seltenen Einblick in einen dieser Vorgänge, indem er eine abgelaufene Domain registrierte, die zuvor zur Koordinierung des Systems verwendet worden war. Diese Domain, so berichtete Krebs, hatte vollständige Hardwaredaten und die gesamte Liste der installierten Apps von mehreren zehntausend Streaming-Sticks gesammelt – und zwar von einer beliebten, weit verbreiteten Marke namens H96 –, die weltweit an Fernseher angeschlossen waren. Sobald Falé die Kontrolle über die Domain hatte, konnte er den weiterhin dorthin fließenden Datenverkehr sehen: Geräte, die sich als Mobiltelefone ausgaben und auf KI-generierten Websites auf Anzeigen klickten – als Teil eines größeren Netzwerks für Anzeigenbetrug.

Das baut auf etwas auf, wovor Sicherheitsforscher bei generischen Streaming-Boxen ohne bekannten Markennamen seit Jahren warnen: Viele von ihnen fungieren auch als „Residential Proxies“ und vermieten heimlich einen Teil Ihrer Internetverbindung zu Hause an Fremde, sodass der Datenverkehr anderer Personen – manchmal legitim, manchmal nicht – scheinbar von Ihrer Adresse kommt. Das von Bitsight dokumentierte Verhalten beim Anzeigenklicken ist eine spezifischere und aktivere Version desselben grundlegenden Problems: Die Box sitzt nicht einfach nur da und spielt Ihre Sendungen ab, sondern arbeitet auch für jemand anderen – auf Ihre Kosten und mit Ihrer IP-Adresse.

Warum die billigsten Boxen die wahrscheinlichsten Kandidaten sind

Nicht jedes Streaming-Gerät tut das. Das Muster, auf das Forscher immer wieder stoßen, ist typisch für eine bestimmte Kategorie: Android-Boxen ohne oder mit wenig bekannter Marke, die meist als „voll ausgestattet“ mit jeder Streaming-App vorinstalliert zu einem niedrigen Einmalpreis ohne Abonnement verkauft werden. Dieses Geschäftsmodell ist der entscheidende Hinweis. Seriöse Hardwarehersteller (Roku, Google, Amazons offizielle Fire-TV-Reihe) verdienen am Gerät, an ihrem App-Store oder an einer Beteiligung an den Diensten – sie brauchen keine zweite Einnahmequelle. Eine Box, die billig ist, alles kostenlos erledigt und trotzdem Gewinn abwerfen muss, wird per Definition von jemand anderem als Ihnen bezahlt. Anzeigenbetrug und der Weiterverkauf von Bandbreite sind die beiden Wege, auf denen Forscher dies dokumentiert haben.

Diese Geräte überspringen außerdem häufig die Zertifizierung durch Googles Play Protect, werden ohne regelmäßige Sicherheitsupdates ausgeliefert und verwenden per Sideload installierte Apps aus inoffiziellen APK-Stores statt aus dem Play Store – genau der Installationsweg, über den sich neben dem tatsächlich gewünschten Mediaplayer problemlos ein verborgenes Betrugs- oder Proxy-Modul einschleusen lässt.

Fünf Prüfungen, die Sie tatsächlich durchführen können

Für das meiste davon brauchen Sie keine speziellen Werkzeuge – lediglich Zugriff auf die Administrationsseite Ihres Routers und das Einstellungsmenü der Box.

  • Überprüfen Sie den Modellnamen. Sehen Sie auf der Box selbst oder im Einstellungs- beziehungsweise Info-Bildschirm nach der Marke. H96 ist das in der Bitsight-Untersuchung ausdrücklich genannte Modell; wenn Sie ein solches Gerät besitzen, sollten Sie den Rest dieser Liste als dringend und nicht als optional betrachten. Android-Boxen mit generischem Erscheinungsbild, die auf Marktplätzen wie Amazon-Angeboten von Drittanbietern, AliExpress oder eBay unter Ihnen unbekannten Markennamen gekauft wurden, verdienen dieselbe genaue Prüfung.
  • Sehen Sie sich die Datennutzung pro Gerät im Administrationsbereich Ihres Routers an. Die meisten Heimrouter (und alle Mesh-Systeme) zeigen die Datennutzung aufgeschlüsselt nach verbundenem Gerät an. Ein Streaming-Stick sollte während des aktiven Anschauens einen hohen Download aufweisen und in der restlichen Zeit nahezu keinen. Anhaltender Upload-Datenverkehr oder überhaupt jeglicher Datenverkehr, während der Fernseher ausgeschaltet ist und nichts abgespielt wird, sollte untersucht werden.
  • Öffnen Sie die Liste der installierten Apps. Bei Android-TV-Boxen finden Sie diese normalerweise unter Einstellungen > Apps > Alle Apps anzeigen; dort werden auch System-Apps aufgeführt. Suchen Sie nach allem, was Sie nicht erkennen und nicht selbst installiert haben – generischen Namen, leeren Symbolen oder Apps mit Berechtigungen (etwa Netzwerkzugriff), die nicht zu dem passen, was sie angeblich tun.
  • Rufen Sie sich ins Gedächtnis, wie Sie die Box ursprünglich eingerichtet haben. Wenn sie statt mit dem Google Play Store mit einem „App-Store“ eines Drittanbieters vorinstalliert war oder man Ihnen sagte, Sie sollten eine APK über einen Link oder QR-Code im Handbuch der Box per Sideload installieren, damit die Streaming-Apps funktionieren, handelt es sich um denselben Verbreitungsweg, den die Untersuchung als Auslieferungsweg für Betrugsmodule beschreibt.
  • Achten Sie auf Anzeichen für Auslastung, wenn nichts abgespielt wird. Eine Box, die sich warm anfühlt, einen laufenden Lüfter hat oder dauerhaft blinkende Aktivitätsleuchten zeigt, obwohl der Bildschirm ausgeschaltet und keine App geöffnet ist, tut etwas. Das kann völlig harmlos sein (Hintergrundaktualisierungen), ist in Verbindung mit einem der oben genannten Punkte jedoch ein Grund, genauer hinzusehen.

Wenn Sie etwas finden

Beschränken Sie sich nicht darauf, eine verdächtig aussehende App zu deinstallieren. Das von den Forschern beschriebene Verhalten ist häufig in die Telemetrie und die Systemebene des Geräts eingebaut und nicht in eine einzelne App, die Sie entfernen können – ein Zurücksetzen der Box auf die Werkseinstellungen beseitigt es daher möglicherweise nicht, da das Zurücksetzungsabbild dieselbe kompromittierte Firmware enthalten kann, mit der das Gerät ausgeliefert wurde. Die zuverlässige Lösung besteht darin, das Gerät nicht mehr zu verwenden: Ziehen Sie den Stecker, trennen Sie es von Ihrem WLAN (ändern Sie Ihr WLAN-Passwort, wenn Sie nicht sicher sind, dass Sie es anderweitig zuverlässig vom Netz nehmen können) und ersetzen Sie es durch Hardware einer etablierten Marke.

Was Sie stattdessen kaufen sollten

Sie müssen nicht viel mehr ausgeben, um diese Risikokategorie zu vermeiden – Sie müssen bei einem Unternehmen kaufen, dessen Geschäftsmodell keine verborgene zweite Einnahmequelle benötigt. Offizielle Geräte von Roku, Amazon Fire TV, Google TV/Chromecast und Apple TV verwenden allesamt eine standardmäßige App-Store-Verteilung und bieten eine Herstellerverantwortung, die „voll ausgestattete“ Boxen ohne bekannten Markennamen nicht bieten. Wenn ein Angebot für einen niedrigen Einmalpreis ohne Abonnement kostenlosen Zugang zu jedem Streamingdienst verspricht, stellen Sie die offensichtliche Frage, die die Untersuchung immer wieder beantwortet: Wenn Sie nicht mit Geld dafür bezahlen, womit bezahlen Sie dann?