Wer eine bereits manipulierte TV-Box anschließt, muss keine verdächtige App installieren, um Teil eines Botnetzes zu werden. Beim XCPE-Netzwerk steckte die Hintertür schon im ausgelieferten System. Nach Angaben von Google wurden mehr als 1,3 Millionen Android-TV-Boxen darüber eingebunden. Für Betroffene ist deshalb entscheidend, ob ihr Gerät wieder vertrauenswürdig betrieben werden kann – auch nachdem die Infrastruktur des Botnetzes nach Angaben der Beteiligten gestört wurde.
Google und Sicherheitspartner haben nach Angaben der Google Threat Intelligence Group die Infrastruktur des XCPE-Botnetzes gestört. Der GTIG-Bericht dazu wurde am 2. November 2026 veröffentlicht. Die Veröffentlichung zeigt jedoch weder, dass sämtliche betroffenen Geräte bereinigt wurden, noch, dass die vorinstallierte Schadsoftware dadurch aus ihrer Firmware verschwunden ist.
Der Einstieg lag vor der ersten Nutzung
Das Sicherheitsunternehmen Synthient entdeckte die Schadsoftware X.CPE Ende 2025 auf einer Mecool KM9Pro Max Android-TV-Box. Sie trug den Paketnamen com.oemservice. Ein solcher Name kann wie eine gewöhnliche Herstellerkomponente wirken; für sich genommen ist er allerdings kein hinreichender Nachweis einer Infektion.
Botnetz abschalten ist nicht Firmware bereinigen
Die Grafik trennt die vorinstallierte Hintertür auf der TV-Box von der angebundenen Botnetz-Infrastruktur. Eine gestörte Verbindung entfernt die Hintertür nicht automatisch.
Die technische Ursache des hier beschriebenen Risikos ist die vorinstallierte Hintertür. Der Angriff setzt damit an einem Punkt an, den Käufer normalerweise nicht kontrollieren: dem Softwarezustand, in dem ein Gerät ausgeliefert wird. Vorsicht beim Herunterladen zusätzlicher Apps hilft gegen andere Gefahren, beseitigt aber keine bereits vorhandene Systemkomponente.
Google nennt den chinesischen Hersteller Videostrong Technology Co. als mutmaßlichen Verursacher. Diese Zuschreibung muss als solche stehen bleiben. Sie rechtfertigt weder eine pauschale Aussage über alle Geräte des Unternehmens noch über sämtliche Android-TV-Boxen. Auch der konkrete Fund auf einem Mecool-Modell ist keine vollständige Liste betroffener Produkte.
Firmware ist Software. Der Fall belegt deshalb keinen manipulierten Chip oder einen physischen Hardwareimplantat-Angriff. Das Lieferkettenproblem ist trotzdem erheblich: Wenn der ausgelieferte Softwarestand bereits eine Hintertür enthält, beginnt die Kompromittierung vor jeder bewussten Installationsentscheidung des Nutzers.
Was die Störung leistet – und was offenbleibt
Ein Botnetz verbindet kompromittierte Geräte mit einer Infrastruktur, über die Betreiber sie für ihre Zwecke einsetzen können. Wird diese Infrastruktur ausgeschaltet oder ihre Erreichbarkeit unterbrochen, kann das den Betrieb des Netzwerks erheblich beeinträchtigen. Auf den Endgeräten zurückgebliebener Schadcode ist damit jedoch nicht automatisch gelöscht.
Die Unterscheidung hat praktische Folgen. Ein Gerät kann zunächst keine Befehle mehr erhalten und trotzdem einen unsicheren Softwarestand behalten. Ob die konkrete XCPE-Hintertür anschließend erneut erreichbar wäre, hängt von ihrer Implementierung und den getroffenen Gegenmaßnahmen ab. Aus der Meldung über die gestörte Infrastruktur allein lässt sich das nicht ableiten.
Ebenso wichtig ist die Trennung verschiedener Einsätze. Am 19. März 2026 gingen das BKA, die Generalstaatsanwaltschaft Köln und internationale Partner gegen Aisuru und Kimwolf vor. Kimwolf umfasste ebenfalls infizierte Android-TV-Boxen. Dieser Polizeieinsatz ist ein anderer Vorgang als die im November veröffentlichte XCPE-Meldung von Google. Die ähnlichen Gerätetypen machen daraus keine gemeinsame Operation.
Das Risiko betrifft auch den Internetanschluss
Vernetzte TV-Boxen sind für Botnetzbetreiber grundsätzlich brauchbare Ressourcen: Sie verfügen über Rechenleistung und einen Internetzugang. Kompromittierte IoT-Geräte können etwa für Überlastungsangriffe oder zur Weiterleitung fremden Datenverkehrs eingesetzt werden. Welche Funktionen ein bestimmtes Netzwerk tatsächlich nutzt, muss jeweils gesondert belegt werden.
Für den Anschlussinhaber kann missbrauchter Datenverkehr unter seiner öffentlichen IP-Adresse nach außen erscheinen. In Unternehmensnetzen kommt eine weitere Frage hinzu: Welche internen Systeme kann die Box überhaupt erreichen? Die Einbindung in ein Botnetz beweist noch keinen Zugriff auf andere Geräte. Fehlende Netztrennung würde den möglichen Handlungsspielraum eines Angreifers aber vergrößern.
Ein unauffälliges Fernsehbild liefert dabei keine Entwarnung. Die vorgesehene Wiedergabefunktion und unerwünschte Hintergrundaktivitäten können nebeneinander bestehen. Aus Sicht der Sicherheit zählt daher die Integrität des Systems, nicht allein, ob die Box weiterhin zuverlässig Videos abspielt.
Bereinigung braucht einen vertrauenswürdigen Ausgangspunkt
Wer einen begründeten Verdacht auf ein betroffenes Gerät hat, sollte es zunächst vom Netzwerk trennen und Modellbezeichnung sowie Firmwareversion festhalten. Danach braucht es belastbare, modellspezifische Hinweise des Herstellers oder der untersuchenden Sicherheitsstellen. Ein ähnlich klingender Produktname oder ein einzelner Paketname reicht nicht für eine sichere Diagnose.
Bei einer vorinstallierten Hintertür ist ein Werksreset keine verlässliche Standardlösung. Ein Reset kann Nutzerdaten und nachträglich installierte Apps entfernen, während Komponenten des ausgelieferten Systems erhalten bleiben. Auch die Installation irgendeiner Ersatz-Firmware aus unbekannter Herkunft schafft keinen belastbaren Vertrauensgewinn.
Entscheidend wäre eine nachweislich bereinigte Firmware aus vertrauenswürdiger Quelle samt nachvollziehbarem Installationsweg. Fehlt eine solche Möglichkeit, ist es aus Sicherheitsgründen sinnvoller, das verdächtige Gerät außer Betrieb zu lassen. Ein separates Gerätenetz kann den Zugriff auf andere lokale Systeme begrenzen. Es beseitigt aber keine Hintertür und verhindert nicht zwangsläufig den Missbrauch des Internetanschlusses.
Für Unternehmen ergibt sich daraus eine konkrete Beschaffungsanforderung: Auch kleine Streaming- und Anzeigegeräte brauchen einen Verantwortlichen, dokumentierte Softwarestände und einen überprüfbaren Updateweg. Bei XCPE lag die entscheidende Schwäche bereits im ausgelieferten System. Die Abschaltung des Botnetzes beantwortet deshalb noch nicht die Frage, welche dieser Boxen wieder sicher ans Netz dürfen.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
