TV-Box-Botnetz XCPE: Hintertür ab Werk, das sollten Sie tun

Das Wichtigste zuerst: Google hat das Botnetz XCPE Ende Oktober abgeschaltet und den Fall am 2. November öffentlich gemacht. Mehr als 1,3 Millionen Android-Geräte, vor allem TV-Boxen, trugen eine Hintertür ab Werk, auch in Deutschland. Google macht den Hersteller Videostrong (Marke MECOOL) verantwortlich. Wer eine günstige Android-Box nutzt, sollte sie prüfen: Ein Werksreset genügt nicht.

Der Vorfall in vier Zahlen

1,3 Mio. Geräte hingen laut Google mindestens am Botnetz XCPE, die meisten davon TV-Boxen
26.000+ infizierte Geräte standen laut TrendAI von Juni bis Oktober mindestens in Deutschland, die genannte Spanne reicht bis 42.000
182 Modellnamen veröffentlicht Synthient, ein Treffer allein beweist aber keine Infektion
10 Mio. weitere Geräte verloren laut Googles Schätzung den Kontakt zu den Tätern

Der Vorfall im Zeitverlauf

3. Juni bis 1. Oktober TrendAI misst die Verbreitung Gezählt werden 1.472.554 Geräte in mehr als 170 Ländern, als Untergrenze.
Ende Oktober Steuerung wird abgeschaltet Google und Partner gehen gegen Domains und Server vor.
2. November Der Fall wird öffentlich Google beschuldigt Videostrong, Synthient nennt Modellnamen.
Jetzt Box einordnen, Konten sichern Die Hintertür bleibt auf dem Gerät, die Abschaltung entfernt sie nicht.

Was beim XCPE-Botnetz passiert ist

Ein Botnetz ist ein Verbund fremdgesteuerter Geräte, deren Besitzer davon meist nichts mitbekommen. Laut Bericht der Google Threat Intelligence Group waren in XCPE mehr als 1,3 Millionen Set-Top-Boxen zusammengeschlossen, also kleine Zusatzgeräte, die einen Fernseher mit Apps und Streaming versorgen. Daneben fanden sich infizierte Telemedizin-Geräte, Karaoke-Anlagen und digitale Anzeigetafeln.

Ungewöhnlich ist der Vorwurf: Google geht mit hoher Sicherheit davon aus, dass der chinesische Hersteller Videostrong Technology die Hintertür selbst entwickelt, eingebaut und aus Gewinnstreben betrieben hat. Zugang zu den Geräten sei an kriminelle Abnehmer verkauft worden. Auf eine Anfrage von heise online reagierte das Unternehmen nicht, eine Gegendarstellung liegt uns daher nicht vor. Google hat Videostrong und künftige Tochterfirmen vom Bau zertifizierter Android-Geräte ausgeschlossen.

Der Bezug zum DACH-Raum: Die meisten Geräte stehen nach der Auswertung von TrendAI in Malaysia, Brasilien, dem Irak, Mexiko und Taiwan. Deutschland gehört aber zu einer Gruppe von fünf Ländern mit jeweils rund 26.000 bis 42.000 Geräten. Eine genaue Zahl für Deutschland nennt TrendAI nicht, die Werte gelten als Untergrenze. Für Österreich und die Schweiz liegen uns keine Zahlen vor. Eine Betroffenheit lässt sich dort deshalb weder belegen noch ausschließen.

Was offen ist: Eine vollständige Markenliste gibt es nicht. Google nennt in seinem Bericht keine einzelnen Modelle. Die Marke MECOOL und das Modell KM9PRO Max stammen aus der Untersuchung des Forschungsunternehmens Synthient, wie BleepingComputer berichtet. Dass gezielt Daten einzelner Besitzer ausgewertet wurden, ist nach den bisherigen Berichten nicht belegt. Technisch möglich gewesen wäre es.

Sollten über eine solche Box Zugangsdaten abgeflossen sein, tauchen sie womöglich erst viel später in einem Datenpaket auf. Benachrichtigt werden, falls Ihre E-Mail-Adresse in einem neuen Leak erscheintEigenwerbung

Was die Hintertür kann und was das für Sie bedeutet

Anders als bei einem Datenleck wurde hier keine Kundendatei kopiert. Das Risiko sitzt im Gerät selbst, und es besteht aus mehreren Fähigkeiten, die Google und BleepingComputer beschreiben:

Fähigkeit	Mögliches Risiko	Was Sie daraus ableiten
Residential Proxy	Fremde surfen über Ihren Anschluss, nach außen erscheint Ihre IP-Adresse	Google nennt rechtliche und Sicherheitsrisiken. Die Box gehört bei Verdacht nicht ins Heimnetz
Kontoinformationen auslesen	Angaben zu den auf der Box genutzten Konten könnten abfließen	Google-Konto und Streaming-Dienste von einem anderen Gerät aus absichern
Screenshots, Fernbefehle, simulierte Eingaben	Alles, was Sie auf der Box sehen oder eintippen, wäre einsehbar oder steuerbar	Kein Online-Banking und keine Zahlungsdaten auf einem verdächtigen Gerät
Heimnetz erkunden	Router, Netzwerkspeicher und Kameras im selben Netz könnten sichtbar werden	WLAN-Schlüssel wechseln, vernetzte Geräte künftig im Gastnetz betreiben
Weitere Schadsoftware nachladen, Play Protect abschalten	Der Schutz von Google greift nicht mehr, Apps landen ohne Rückfrage auf dem Gerät	Ein Virenscan oder das Löschen einzelner Apps schafft keine Klarheit
Werbebetrug	Die Box könnte im Hintergrund Werbeaufrufe erzeugen und Ihren Anschluss mitnutzen	Für Sie vor allem lästig, aber ein weiteres Indiz für fremde Kontrolle

Security Alert

Ein Werksreset stellt den Zustand der Auslieferung wieder her, und genau dieser Zustand ist hier das Problem. Die Hintertür liegt in der Firmware, also in der Grundsoftware des Geräts. Wer sie löscht, findet sie nach Angaben von Google nach dem nächsten Neustart wieder vor. Eine frisch zurückgesetzte Box wirkt sauber, ohne es sein zu müssen.

Bin ich betroffen? Die Prüfung in vier Fragen

Einen Test, den Privatpersonen einfach durchführen können, gibt es nicht. Die technischen Prüfmerkmale von Google und Synthient, etwa Kontrolldomains und IP-Adressen, richten sich vor allem an Organisationen. Diese Fragen helfen Ihnen trotzdem, die Lage einzuordnen. Die Menüpfade können je nach Box abweichen.

Bin ich betroffen? In vier Fragen

Hängt an Ihrem Fernseher oder Beamer eine separate Android-Box oder ein Android-Stick?

Ja: weiter zu Frage 2. Nein: Die Berichte drehen sich vor allem um solche Boxen, Sie können hier aufhören. Prüfen Sie nur andere günstige Android-Geräte im Haushalt, etwa Karaoke-Anlagen.

Steht auf Gerät, Verpackung oder unter Einstellungen, Info der Name MECOOL oder ein Modell aus der Synthient-Liste?

Ja: Das ist noch kein Beweis, aber ein ernster Verdacht. Trennen Sie die Box vom Netz, weiter zu Frage 3. Nein: Das ist keine Entwarnung, weil Videostrong auch für andere Marken fertigt. Weiter zu Frage 3.

Finden Sie unter Apps (mit Systemapps) einen der Paketnamen x.cpe, com.oemservice oder com.abc.nexus, oder ist Play Protect ohne Ihr Zutun aus?

Ja: Behandeln Sie die Box als infiziert und folgen Sie den Schritten unten. Nein: Schadsoftware kann sich tarnen, ein leeres Ergebnis ist also kein Freibrief. Weiter zu Frage 4.

Meldet der Play Store unter Einstellungen, Info "nicht zertifiziert", oder ist der Hersteller unklar und ohne Updates?

Ja: Betreiben Sie die Box nicht mehr im Heimnetz, auch ohne konkreten Fund. Nein: Das spricht für das Gerät, ist nach diesem Fall aber kein Beweis. Halten Sie es aktuell und vom restlichen Netz getrennt.

Keine dieser Fragen beweist, dass ein Gerät sauber ist. Sie zeigen nur, wie groß der Verdacht ist. Eine Box, der Sie nicht mehr trauen, kostet weniger als ein Vorfall im Heimnetz.

Die vollständige Liste mit 182 Modellnamen hat Synthient auf GitHub veröffentlicht. Dort stehen unter anderem KM1, KM2, KM3, KM6, KM7, KM8, KM9, KM9PRO und KM9PRO_MAX, KD1 bis KD3 und KD5 sowie der Eintrag "MECOOL" selbst. Einträge wie "TV_Stick", "mbox" oder "PRO" sind dagegen so allgemein, dass sie allein kaum etwas aussagen. Google nennt zusätzlich die Paketnamen com.android.system.ntp und com.android.sso.auth.handler als verdächtig. Sie klingen bewusst nach gewöhnlichen Systemdiensten.

Warum das Zertifikat diesmal wenig aussagt

Google empfiehlt in solchen Fällen eigentlich den Blick auf die Liste zertifizierter Android-Partner. Hier stößt der Rat an eine Grenze: Videostrong war laut heise online selbst zertifiziert. Der Schadcode wurde erst nachgeladen und entging so den Tests. "Nicht zertifiziert" bleibt ein klares Warnzeichen, "zertifiziert" ist aber kein Gütesiegel mehr. Google hat nach eigenen Angaben die Firmware-Prüfung für zertifizierte Android-TV-Geräte verschärft.

Ob Ihre Adresse bereits in anderen veröffentlichten Leaks steckt, klärt ein zweiter, unabhängiger Blick. Mit der Box hat das nichts zu tun, es zeigt aber, welche Konten ohnehin Vorrang haben. Kostenlos prüfen, in welchen bekannten Datenlecks Ihre E-Mail-Adresse stehtEigenwerbung

Was Sie jetzt konkret tun sollten

Die Reihenfolge ist wichtig: erst die Box aus dem Netz nehmen, dann die Zugänge ändern. Die Empfehlungen von Google, TrendAI und Synthient haben wir dafür zu einem Ablauf für Privathaushalte zusammengeführt.

1. Box vom Netz nehmen: Ziehen Sie den Strom und das Netzwerkkabel. Ein Gerät im Standby kann weiter aktiv sein. Dass die Täter nicht mehr an die Box herankommen, sollten Sie nicht voraussetzen: Google warnt selbst, dass die Beteiligten schnell auf neue Wege umsteigen können.
2. Konten von einem anderen Gerät aus sichern: Ändern Sie die Passwörter aller Dienste, die auf der Box angemeldet waren, zuerst das Google-Konto, dann Streaming-Dienste. Melden Sie die Box dort unter den verbundenen Geräten ab und aktivieren Sie, wo möglich, die Zwei-Faktor-Authentifizierung, also einen zusätzlichen Code beim Anmelden. Haben Sie eines dieser Passwörter auch woanders genutzt, ersetzen Sie es auch dort.
3. WLAN-Schlüssel wechseln: Die Box kannte ihn, und Synthient rät laut heise online ausdrücklich dazu. Ändern Sie ihn im Router und verbinden Sie Ihre übrigen Geräte neu. Nutzen Sie für den Router-Zugang ein eigenes Kennwort.
4. Auffälligkeiten im Haushalt prüfen: Schauen Sie die Anmeldeaktivität Ihres Google-Kontos und der Streaming-Dienste durch. Unbekannte Geräte oder Orte beenden Sie dort. Prüfen Sie auch, ob Sie Bezahldaten hinterlegt oder auf der Box eingegeben haben, und behalten Sie die entsprechenden Abbuchungen im Blick.
5. Beim Händler reklamieren: Solange Sie den Kaufbeleg haben, lohnt der Versuch. Was Sie dabei beachten sollten, steht im nächsten Abschnitt.
6. Nicht verkaufen, nicht verschenken: Synthient rät Verbrauchern zur Entsorgung. Eine verdächtige Box sollte auch nicht bei Verwandten oder auf dem Gebrauchtmarkt landen, denn das Problem wandert mit. Geben Sie das Gerät beim Wertstoffhof als Elektroschrott ab, sofern es nicht an den Händler zurückgeht.
7. Ersatz mit Bedacht wählen: Achten Sie auf einen klar benannten Hersteller und nachvollziehbare Sicherheitsupdates. Meiden Sie Apps, die Geld für "ungenutzte Bandbreite" versprechen, denn sie machen Ihren Anschluss freiwillig zu dem, wozu die Hintertür ihn gemacht hat. Betreiben Sie vernetzte Unterhaltungsgeräte möglichst im Gastnetz des Routers. Wer stattdessen die Apps des Fernsehers nutzt, sollte dort aber auf eine andere Datenspur achten: Unsere Anleitung zeigt, wie Sie das ACR-Tracking je nach Smart-TV-Marke abschalten.

Bei neuen Kennwörtern lohnt ein kurzer Abgleich, denn ein bereits geleaktes Passwort hilft Ihnen nicht weiter, auch wenn es neu für dieses Konto ist. Neues Passwort anonym mit Leak-Datenbanken abgleichenEigenwerbung

Reklamation: Geld zurück für eine manipulierte Box?

Nach deutschem Kaufrecht könnte eine bei Übergabe vorhandene Hintertür ein Sachmangel sein. Verbraucher können bei einem Mangel grundsätzlich zunächst Nacherfüllung verlangen und, wenn das scheitert, unter Umständen vom Vertrag zurücktreten (§ 437 BGB). Die Ansprüche verjähren bei Neuware in der Regel nach zwei Jahren. Zeigt sich ein Mangel im ersten Jahr nach dem Kauf, wird grundsätzlich vermutet, dass er schon bei Übergabe vorlag (§ 477 BGB).

Ob das in Ihrem Fall greift, ist offen, denn ein Modellname allein beweist keine Infektion. Praktisch empfiehlt sich: Schreiben Sie dem Verkäufer mit Kaufbeleg, Modell und Kaufdatum und verweisen Sie auf die Berichte zum XCPE-Botnetz. Fotografieren Sie Modellangabe und auffällige Paketnamen, bevor Sie etwas entsorgen. Bei einem Kauf über einen Online-Marktplatz kann Ihr Vertragspartner ein Drittanbieter sein, das steht auf der Bestellbestätigung. In Österreich und der Schweiz gelten eigene Regeln. Eine Einschätzung bekommen Sie bei einer Verbraucherzentrale oder Verbraucherschutzstelle. Datenputzer bietet keine Rechtsberatung.

Häufige Fragen zum XCPE-Botnetz

Google hat das Botnetz doch abgeschaltet. Ist meine Box damit wieder sicher?

Nein, das lässt sich daraus nicht ableiten. Abgeschaltet wurden Domains und Server, über die das Botnetz gesteuert wurde. Die Hintertür selbst bleibt auf den Geräten. Google betont außerdem, dass die Aktion keine endgültige Lösung ist und seit August 2026 neue, als Systemapps getarnte Schadprogramme beobachtet wurden.

Hilft ein Werksreset gegen die XCPE-Hintertür?

Darauf sollten Sie sich nicht verlassen. Die Hintertür liegt in der Firmware, und entfernte Komponenten installieren sich nach Angaben von Google nach einem Neustart erneut. TrendAI hält eine Bereinigung durch Besitzer für nicht möglich. Hilfe bieten demnach nur der Hersteller, Plattformschutz oder ein Austausch des Geräts.

Mein Modell steht in der Liste. Ist die Box damit sicher infiziert?

Nein. Synthient weist ausdrücklich darauf hin, dass ein Modellname allein keine Infektion belegt. Manche Einträge sind zudem so allgemein, dass sie auf ganz unterschiedliche Geräte passen könnten. Ein Treffer ist aber ein guter Grund, die Box vom Heimnetz zu trennen, bis Sie die weiteren Punkte geprüft haben.

Mein Modell steht nicht in der Liste. Kann ich beruhigt sein?

Nur bedingt. Die Liste nennt 182 Modellnamen, TrendAI zählt 206 Gerätemodelle und versteht seine Zahlen als Untergrenze. Außerdem baut Videostrong nach Angaben von Google auch für andere Marken. Ohne verlässliche Herstellerangaben und Sicherheitsupdates bleibt eine Box ein Risiko, auch ohne Listentreffer.

Sind Fire TV, Apple TV oder der eingebaute Smart-TV betroffen?

In den von uns ausgewerteten Berichten werden sie nicht als betroffen genannt. Das ist kein Sicherheitsversprechen, aber auch kein Anlass, solche Geräte vorsorglich auszutauschen. Im Fokus stehen Android-TV-Boxen von Videostrong und Marken, für die das Unternehmen fertigt.

Bekomme ich mein Geld für die Box zurück?

Das hängt vom Einzelfall ab. Eine bei Übergabe vorhandene Hintertür könnte in Deutschland ein Sachmangel sein, sodass Rechte aus § 437 BGB in Betracht kämen. Schildern Sie dem Händler schriftlich Modell und Kaufdatum und verweisen Sie auf die Berichte. Einschätzen kann das eine Verbraucherzentrale oder eine Fachanwältin oder ein Fachanwalt. Datenputzer bietet keine Rechtsberatung.

Warum ein einmaliger Check hier nicht ausreicht

Wer von XCPE betroffen war, wird das vermutlich nie aus einer Benachrichtigung erfahren: Es gibt keine Betroffenenliste und keinen Hersteller, der Kunden anschreibt. Selbst wenn über eine Box Zugangsdaten abgeflossen sein sollten, tauchen solche Daten in der Regel nicht unmittelbar offen im Darknet auf. Häufig wechseln sie zunächst im kleinen Kreis den Besitzer und werden erst Wochen oder Monate später breit gehandelt oder als Paket veröffentlicht. Der kostenlose Check zeigt nur bereits bekannte Leaks, ein unauffälliges Ergebnis von heute beweist also wenig.

Unser Darknet-Radar gleicht Ihre E-Mail-Adresse fortlaufend mit neu bekannten Datenpannen abEigenwerbung, zweimal täglich, und benachrichtigt Sie beim nächsten Abgleich nach einem neuen Treffer. Wichtig für diesen Fall: Ob auf Ihrer Box eine Hintertür sitzt, erkennt der Radar nicht, denn er prüft keine Geräte. Er hilft bei der Folgefrage, ob Ihre Adresse später in einem Leak auftaucht. Leak-Hinweise für Ihre E-Mail-Adresse einrichtenEigenwerbung

Hinweis der Redaktion: Die Redaktion setzt bei der Erstellung und sprachlichen Verbesserung ihrer Artikel KI-Systeme ein. Verantwortlich für den Inhalt: Kevin Pabst, Datenputzer. Die Artikel werden mit synthetischen Stimmen vertont, um sie einem breiteren Publikum zugänglich zu machen.

TV-Box-Botnetz XCPE: Hintertür ab Werk in 1,3 Millionen Android-Geräten