Google hat Anfang November 2026 ein Botnetz aus laut Berichten über 1,3 Millionen Android-TV-Boxen lahmgelegt, bei dem die Schadsoftware schon ab Werk auf den Geräten war. Die Abschaltung der Steuerserver entfernt die Software nicht von der Box. Prüfen Sie Hersteller und Zertifizierung Ihrer Box, nehmen Sie auffällige Geräte vom Netz und trennen Sie Smart-Geräte per Gastnetz von Laptop und Handy.
Was ist passiert?
Nach Berichten mehrerer Fachmedien hat Google gemeinsam mit Partnern ein Botnetz mit dem Namen XCPE zerschlagen. Es bestand aus mehr als 1,3 Millionen Android-TV-Boxen. Laut Google war die Schadsoftware bereits ab Werk installiert, der Zugang wurde Kriminellen angeboten. Google macht einen chinesischen Hersteller dafür verantwortlich. Die Software lief mit Systemrechten, konnte laut Analyse die Prüfungen von Google Play Protect abschalten, Apps nachladen und die Geräte als Zwischenstation für Werbebetrug nutzen. Die Boxen wurden nach den Berichten auch in Deutschland verkauft.
Wichtig für Betroffene: Google hat die Steuerserver abgeschaltet, die Schadsoftware liegt aber weiter auf den Geräten. Ein Zurücksetzen auf Werkseinstellungen entfernt sie nach den Berichten nicht zuverlässig. Zahlen und Details stammen aus Medienberichten und Angaben von Google; eine Meldung des BSI zu diesem konkreten Fall haben wir nicht gefunden.
Neu ist das Muster nicht: Das BSI hatte bereits 2024 bei bis zu 30.000 Geräten in Deutschland die Verbindung der Schadsoftware „BadBox“ zu den Tätern unterbrochen. Auch dort war die Software beim Kauf schon auf den Geräten.
Bin ich betroffen? Der Fünf-Minuten-Check
- Gerät finden: Alle Boxen, Stick-Player, Projektoren, günstigen Smart-TVs und digitalen Bilderrahmen im Haus aufschreiben, die am WLAN oder LAN hängen.
- Marke und Modell lesen: Steht der Hersteller auf dem Gerät und in den Einstellungen? Ist die Marke unbekannt oder gar nicht angegeben, ist das ein Warnzeichen.
- Zertifizierung prüfen: Auf Geräten mit Google-Zulassung finden Sie in den Einstellungen unter Info den Hinweis „Play Protect zertifiziert“. Fehlt er, ist das Gerät nicht von Google geprüft.
- Update-Stand ansehen: Ein Sicherheitsupdate-Datum, das Jahre zurückliegt, ist ein schlechtes Zeichen.
- Im Router nachsehen: Die Geräteliste der Fritz!Box oder des Routers zeigt, welche Geräte ungewöhnlich viel Datenverkehr verursachen oder unbekannte Namen tragen.
Das FBI hat in seiner Warnung zu verwandter Schadsoftware (BadBox 2.0) als Risikomerkmale genannt: Geräte, die als „freigeschaltet“ oder für kostenlose Inhalte beworben werden, Geräte unbekannter Marken und Android-Geräte ohne Play-Protect-Zertifizierung.
Auffälligkeiten und was dann zu tun ist
| Beobachtung | Einschätzung | Was Sie tun |
|---|---|---|
| Unbekannte Marke, kein „Play Protect zertifiziert“ | Erhöhtes Risiko, besonders bei Billigangeboten | Gerät nicht weiter im Hauptnetz betreiben, Austausch planen |
| Als „frei für alle Sender“ oder „ohne Abo“ beworben | Typisches Warnzeichen laut FBI-Hinweis | Vom Netz nehmen |
| Letztes Sicherheitsupdate liegt Jahre zurück | Bekannte Lücken bleiben offen | Im Gastnetz betreiben oder ersetzen |
| Marken-Gerät mit Zulassung und aktuellen Updates | Nach heutigem Wissen kein Hinweis auf diesen Fall | Updates einschalten, Gastnetz trotzdem sinnvoll |
| Gerät ist auffällig langsam oder der Router zeigt dauernd Datenverkehr | Kann harmlos sein, ist aber ein Anlass zur Prüfung | Stecker ziehen und Datenverkehr beobachten |
Was Sie jetzt tun
Wenn Ihre Box auffällig ist
- Gerät vom Netz nehmen: Netzwerkkabel ziehen oder im Router sperren.
- Auf der Box keine Passwörter mehr eingeben. Wenn Sie dort Streaming- oder Google-Konten angemeldet hatten, ändern Sie die Passwörter am Handy oder Laptop und schalten die Zwei-Faktor-Anmeldung ein.
- Nicht auf einen Werksreset verlassen. Nach den Berichten ist er bei diesem Fall kein sicherer Weg. Besser ersetzen.
- Ersatz nur von bekannten Herstellern mit Zulassung und regelmäßigen Sicherheitsupdates kaufen.
Auch wenn alles unauffällig wirkt
- Smart-TV, Boxen, Kameras und Lautsprecher in ein Gastnetz verlegen, damit sie Laptop, Handy und Netzlaufwerk nicht sehen. Die meisten Fritz!Boxen und Router bieten das in den WLAN-Einstellungen.
- Router-Passwort und WLAN-Passwort ändern, wenn Sie noch die Werkseinstellung nutzen.
- Router-Firmware aktualisieren. Mehr dazu im Ratgeber WLAN im ganzen Haus.
Warum ein Gastnetz so viel bringt
Ein infiziertes Gerät im selben Netz wie Ihr Computer kann Verbindungen zu anderen Geräten versuchen. Im Gastnetz sind Geräte voneinander getrennt und kommen nur ins Internet. Das ersetzt keinen Austausch eines verseuchten Geräts, begrenzt aber den Schaden. Prüfen Sie nach dem Umstellen, ob Streaming und Casting noch funktionieren: Manche Geräte müssen sich mit dem Handy im selben Netz befinden, dann hilft ein getrenntes Netz nur für Geräte ohne Steuerung per Handy.
Betriebe, Praxen und Gastronomie
Läuft im Wartezimmer, im Gastraum oder im Pausenraum ein Fernseher mit Streaming-Box im Firmennetz? Dann gilt dasselbe wie zu Hause, nur mit mehr Folgen: Das Gerät gehört in ein eigenes Netz ohne Zugriff auf Kasse, Praxisverwaltung und Dateiablage. Eine saubere Trennung planen wir im Rahmen von Netzwerk und Server; Hintergründe finden Sie im Ratgeber Netzwerk im Büro planen.
So helfen wir
Wir sehen uns Ihr Heimnetz an, prüfen die Geräteliste im Router, richten ein Gastnetz ein und sagen Ihnen ehrlich, welche Geräte Sie behalten können. Per Fernwartung oder bei Ihnen vor Ort in Bad Orb und Umgebung: WLAN und Internet, Computerhilfe und IT-Service in Bad Orb. Für Betriebe: IT-Sicherheit und Backup. Rufen Sie an oder schreiben Sie uns per WhatsApp oder über das Kontaktformular.
Quellen
- BleepingComputer: Google disrupts million-device XCPE Android malware botnet
- All About Security: XCPE-Botnetz zerschlagen
- test.de: Behörde legt 30.000 vernetzte Geräte lahm (BSI, BadBox)
- heise: Badbox 2.0, über eine Million infizierte Geräte
