Google hat mit mehreren Partnern Anfang November 2026 das Botnetz XCPE zerschlagen. Darin steckten mehr als 1,3 Millionen Android-TV-Boxen weltweit. Die Schadsoftware war ab Werk in der Firmware vorinstalliert, die Käuferinnen und Käufer konnten nichts dafür. Über die Boxen leiteten die Betreiber fremden Internetverkehr über die Anschlüsse ahnungsloser Haushalte und erzeugten gefälschte Werbeklicks. Das Botnetz ist gestoppt, die Schadsoftware bleibt aber auf den Geräten. Haben Sie eine günstige TV-Box einer unbekannten Marke im Einsatz, trennen Sie sie vom Internet und ersetzen Sie sie durch ein Gerät mit verlässlichen Updates.
Was passiert ist
| Punkt | Was bekannt ist |
|---|---|
| Umfang | Mehr als 1,3 Millionen Android-TV-Boxen. Laut Google wurden zusätzlich mindestens 10 Millionen weitere Geräte vom Netz abgeschnitten, darunter Set-Top-Boxen, Karaoke-Geräte und Telemedizin-Geräte. |
| Herkunft | Laut Google ab Werk in der Firmware eingebaut, nicht über eine Lücke oder eine falsche App. Google führt das Botnetz auf den chinesischen Gerätehersteller Videostrong zurück und hat ihm die Lizenz für Android-TV-Geräte mit Google-Diensten entzogen. |
| Was die Boxen taten | Fremden Internetverkehr über den Anschluss der Besitzer leiten («Residential Proxy»), Werbebetrug, unbemerkt Apps installieren, Bildschirmaufnahmen, Konto- und Gerätedaten abgreifen, Google Play Protect abschalten. |
| Hartnäckig | Die Schadsoftware installiert sich nach dem Löschen beim nächsten Neustart wieder. Sauber wird das Gerät nur mit neuer, sauberer Firmware. |
| Quellen | Netzwoche (4.11.2026), BleepingComputer (2.11.2026), Swiss IT Magazine (3.11.2026) |
Warum Sie das betrifft, auch wenn die Box «nur» Filme zeigt
- Ihr Anschluss wird missbraucht: Fremder Datenverkehr läuft über Ihre Internetadresse. Bei Betrug oder Angriffen taucht im schlimmsten Fall Ihr Anschluss in den Protokollen auf.
- Ihr Netz ist offen: Die Box steht im gleichen WLAN wie Computer, Handy, Drucker und NAS. Ein Gerät mit Hintertür ist ein Brückenkopf in Ihr Heim- oder Firmennetz.
- Ihre Konten sind gefährdet: Wer sich auf der Box mit einem Google- oder Streaming-Konto angemeldet hat, muss damit rechnen, dass Zugangsdaten abgeflossen sind.
- Langsames Internet: Der fremde Verkehr kostet Bandbreite, das merken Sie beim Streamen und im Homeoffice.
Was Sie jetzt tun sollten
- Box prüfen: Günstige Android-Box einer unbekannten Marke, oft aus einem Onlinemarktplatz? Dann gehen Sie vom Schlimmsten aus.
- Vom Internet trennen: Netzwerkkabel ziehen oder die Box aus dem WLAN entfernen. Ein Werksreset hilft nicht, weil die Schadsoftware in der Firmware sitzt.
- Passwörter ändern: Für alle Konten, die auf der Box angemeldet waren, von einem anderen Gerät aus. Wo möglich Zwei-Faktor-Anmeldung einschalten.
- WLAN-Passwort wechseln: Die Box kennt Ihr WLAN-Passwort. Ändern Sie es, sobald sie aus dem Netz ist.
- Ersatz wählen: Ein Streaming-Gerät eines grossen Herstellers mit regelmässigen Updates, zum Beispiel das Apple TV 4K, oder die Apps direkt auf dem Fernseher.
- Fernseher und Co. trennen: TV, Boxen, Kameras und Smart-Home-Geräte gehören in ein eigenes Gäste- oder Geräte-WLAN, getrennt von Computer und NAS.
Streaming ohne Hintertür – Apple-Partner seit 1986, Abholung in Burgdorf oder Hettiswil, Gratisversand ab CHF 100.–
Für Firmen und Arztpraxen
Betroffen waren nicht nur Wohnzimmer-Boxen, sondern auch Geräte für Bildschirmwerbung (Digital Signage) und Telemedizin. Prüfen Sie deshalb auch den Bildschirm im Wartezimmer, das Infodisplay am Empfang und günstige Zusatzgeräte im Sitzungszimmer. Solche Geräte gehören nie ins gleiche Netz wie Praxissoftware, Buchhaltung oder Fileserver. Eine Firewall mit getrennten Netzbereichen (VLAN) verhindert, dass ein unsicheres Gerät auf Ihre Daten zugreifen kann. Mehr dazu unter IT-Sicherheit für KMU und Private und CT Praxis-Care für Arztpraxen.
Wir prüfen Ihr Netzwerk
Wir schauen, welche Geräte in Ihrem Netz hängen, richten ein getrenntes Gäste- oder Geräte-WLAN ein und bringen den Router auf den aktuellen Stand. Per Fernwartung für CHF 128.–/h im 15-Minuten-Takt oder vor Ort (Private CHF 128.–/h, Firmen CHF 138.–/h), jeweils exkl. MwSt. und nach Aufwand.
Fazit
Das Botnetz XCPE zeigt, dass ein Gerät nicht erst durch einen Fehler der Nutzer unsicher wird. Bei sehr günstiger Elektronik unbekannter Herkunft kann die Hintertür schon ab Werk eingebaut sein. Wer so eine Box besitzt, trennt sie vom Netz, ändert die Passwörter und setzt auf ein Gerät mit verlässlichen Updates. Fernseher, Boxen und Smart-Home-Geräte gehören ausserdem in ein eigenes WLAN, getrennt von Computer und Datenspeicher.
Häufige Fragen
Woran erkenne ich, ob meine TV-Box betroffen ist?
Sicher erkennen lässt sich das von aussen kaum. Verdächtig sind günstige Android-Boxen unbekannter Marken, unbekannte Apps, ein abgeschaltetes Google Play Protect und ein spürbar langsameres Internet. Im Zweifel trennen Sie die Box vom Netz.
Hilft es, die Box auf Werkseinstellungen zurückzusetzen?
Nein. Die Schadsoftware steckt in der Firmware und installiert sich nach dem Neustart wieder. Nur eine saubere Firmware des Herstellers oder der Ersatz des Geräts hilft.
Ist ein Apple TV sicher?
Das Apple TV erhält regelmässig Updates von Apple und lädt Apps nur aus dem App Store. Absolute Sicherheit gibt es nie, das Risiko einer ab Werk eingebauten Hintertür ist bei einem grossen Hersteller aber deutlich kleiner.
Was ist ein Residential Proxy?
Ein Dienst, der fremden Internetverkehr über private Anschlüsse leitet. Für Webseiten sieht es dann so aus, als käme der Zugriff aus Ihrem Haushalt. Kriminelle nutzen das, um Betrug und Angriffe zu tarnen.
Muss ich auch meinen Fernseher prüfen?
Fernseher bekannter Marken mit aktuellen Updates sind weniger gefährdet. Trotzdem gehören Fernseher, Boxen und Smart-Home-Geräte in ein eigenes WLAN, getrennt von Computer und NAS.
Können Sie mir helfen, das Netzwerk zu trennen?
Ja. Wir richten ein Gäste- oder Geräte-WLAN ein, prüfen den Router und die angeschlossenen Geräte, per Fernwartung oder vor Ort, nach Aufwand.