In vielen Betrieben steht irgendwo eine kleine Box am Fernseher. Im Wartezimmer der Praxis läuft darauf ein Programm, im Restaurant der Sport, im Schaufenster eine Werbeschlaufe. Gekauft wurde sie günstig, angeschlossen hat sie jemand ans WLAN, und seither läuft sie.
Google hat Ende Oktober ein Netz aus über 1,3 Millionen solcher Geräte abgeschaltet und am 2. November die Einzelheiten veröffentlicht. Der Befund: Die Hintertür war nicht nachträglich auf die Geräte gekommen. Sie war ab Werk eingebaut.
Was auf den Geräten lief
Betroffen sind vor allem Fernsehboxen mit Android, dazu vereinzelt andere Geräte mit Android: digitale Anzeigetafeln, Geräte für die Telemedizin, Karaoke-Anlagen. Hergestellt hat sie laut Google ein chinesischer Auftragsfertiger, der seine Software an viele Marken lieferte. Welche Marken das sind, nennt Google nicht.
Die eingebaute Hintertür lud nach dem ersten Einschalten weitere Programme nach, ohne dass jemand zustimmte. Die meisten verkauften die Internetleitung des Besitzers weiter, sodass fremder Datenverkehr über sie lief. Andere riefen im Hintergrund Werbung ab, um damit abzurechnen. Und einige konnten deutlich mehr: Bildschirmfotos machen, Tastatureingaben mitlesen, Befehle ausführen und das Netz erkunden, in dem das Gerät hängt.
Der Schutz, den Google selbst in Android eingebaut hat, half nicht. Die Schadsoftware schaltete ihn einfach ab. Und der Hersteller war von Google zertifiziert.
Warum das ein Thema für den Betrieb ist
Ein Gerät, das fremden Datenverkehr durchleitet, tut das über die Internetleitung des Betriebs. Was darüber läuft, kommt nach aussen von der Adresse des Betriebs. Im harmloseren Fall kann diese Adresse auf Sperrlisten landen, und dann kommen E-Mails nicht mehr an oder Websites verlangen ständig Bestätigungen.
Der ernstere Fall: Ein Gerät, das Befehle von aussen annimmt und das Netz erkunden kann, steht im selben WLAN wie die Rechner der Buchhaltung, der Drucker und das NAS mit der Sicherung. Belegt ist in Googles Bericht nur das Erkunden, nicht ein Zugriff auf andere Geräte. Aber es ist ein fremder Rechner mitten im Firmennetz, den niemand im Betrieb kontrolliert.
Zurücksetzen hilft nicht
Die Hintertür steckt in einem Teil der Software, den ein Zurücksetzen auf Werkseinstellungen nicht anfasst. Wer sie deinstalliert, hat sie nach dem nächsten Neustart wieder. Google hat die Steuerung des Netzes abgeschaltet, aber das Gerät selbst bleibt, wie es ist.
Darum raten die Forscher, die an der Abschaltung beteiligt waren, ein betroffenes Gerät zu entsorgen und danach das WLAN-Passwort zu ändern.
Was jetzt zu tun ist
Bestandsaufnahme machen. Welche Fernsehboxen, Anzeigetafeln und ähnlichen Geräte hängen im Betrieb am Netz? Woher stammen sie, und wer hat sie angeschlossen? Gerade bei No-Name-Geräten aus dem Onlinehandel lohnt der zweite Blick.
Solche Geräte in ein eigenes Netz. Viele Router bieten ein Gastnetz an. Dorthin gehören Fernsehboxen, Anzeigen und alles, was nur Internet braucht und sonst nichts im Firmennetz zu suchen hat.
Im Zweifel ersetzen. Wer ein Gerät eines unbekannten Herstellers betreibt, das sich auffällig verhält, etwa viel Datenverkehr erzeugt, obwohl nichts läuft, ersetzt es durch ein Gerät eines bekannten Herstellers. Danach das WLAN-Passwort ändern, weil das alte Gerät es kannte.
Beim Kauf auf Herkunft achten. Google führt eine Liste zertifizierter Partner für Android TV. Sie ist kein Schutz, wie dieser Fall zeigt, aber ein Anfang. Ein Gerät, das deutlich billiger ist als die Konkurrenz, wird womöglich auf anderem Weg bezahlt.