CyberTVLab
← Alle Artikel

Leitfaden · Von CYBERTVLAB ·

Ist Ihre TV-Box zertifiziert? So prüfen Sie es — und warum das zählt

Zwei Streaming-Boxen können beide „Android TV“ auf der Verpackung tragen und darunter fast nichts gemeinsam haben. Der Unterschied hat einen Namen — Zertifizierung — und es dauert etwa zwei Minuten, um zu prüfen, auf welcher Seite Ihre steht.

Zwei Geräte, ein Etikett

„Android TV“ wird locker verwendet. Ein zertifiziertes Gerät ist ein bestimmter Hardware- und Software-Build, den Google getestet und lizenziert hat. Es kommt mit dem echten Play Store, dem Google-TV- oder Android-TV-Launcher und Google Play Protect — dem integrierten Malware-Scanner. Was die Zertifizierung bestätigt, ist der Build: Er hat Googles Kompatibilitätstests bestanden. Wie lange der Hersteller ihn aktuell hält, hängt weiterhin vom Hersteller ab.

Eine nicht zertifizierte Box läuft ebenfalls unter Android — aber als vom Anbieter zusammengestellter Open-Source-Build, mit einem Launcher, der das echte Vorbild nachahmt. Sie hat keine Lizenz von Google: Entweder kommt sie ohne Play Store, oder sie bringt eine Kopie mit, die nie für sie bestimmt war. Sie kann Android-Sicherheitspatches nicht über Googles Pipeline erhalten, und die „Updates“, die sie bekommt, stammen von dem, der die Firmware gebaut hat.

Um der Kategorie gerecht zu werden: Nicht jedes nicht zertifizierte Gerät ist eine billige Box. Google nennt entsperrte Bootloader, veränderte Systemsoftware und Rooting als Gründe, aus denen ein ansonsten legitimes Gerät als nicht zertifiziert erscheinen kann. Bei einer neu gekauften Box zählt, ob sie von Anfang an zertifiziert war.

Und der Zertifizierungsstatus deckt sich mit den größten Kampagnen, die wir kennen. In unserem Artikel von BadBox bis Kimwolf trafen die größten Operationen — BadBox und BadBox 2.0 — überproportional günstige Hardware ohne Markennamen; Googles eigene Beschreibung der betroffenen Geräte in seiner Klage gegen BadBox 2.0 ist Androids Open-Source-Software, „der Googles Sicherheitsschutz fehlt“. Zertifizierung senkt dieses Lieferkettenrisiko. Sie deckt nicht jeden Infektionsweg ab und ist keine Garantie, dass ein bestimmtes Gerät sauber ist.

Die Prüfung in zwei Minuten

Auf dem Gerät selbst zeigt der Play Store Googles Zertifizierungsstatus an:

  1. Öffnen Sie die App Google Play Store auf dem Fernseher.
  2. Wählen Sie Ihr Profilbild (oben rechts).
  3. Gehen Sie zu Einstellungen und dann zu Info.
  4. Suchen Sie nach Play-Protect-Zertifizierung.

Dort steht entweder „Das Gerät ist zertifiziert“ oder „Das Gerät ist nicht zertifiziert“. Fehlt die Play-Store-App ganz oder weigert sie sich, Sie anzumelden, ist das ein starkes Signal — für sich genommen aber nicht schlüssig, denn eine per Sideload installierte Kopie kann auf einer nicht zertifizierten Box existieren. Googles Liste unterstützter Geräte, unten, ist die nächste Prüfung.

Wenn Sie eher kaufen als prüfen — oder keinen Zugang zum Gerät haben —, veröffentlicht Google auch eine Liste unterstützter Geräte (suchen Sie die Seite nach Marke und Modell), und die Android-Website führt eine Übersicht zertifizierter Geräte.

Was Zertifizierung Ihnen wirklich bringt

  • Malware-Scans mit Play Protect, integriert in die Google-Play-Dienste und auf zertifizierten Geräten standardmäßig aktiv. Auf einer nicht zertifizierten Box kann selbst eine per Sideload installierte Kopie des Play Store Play Protect oft nicht richtig ausführen.
  • Die Apps, deren Funktion Sie erwarten, funktionieren weitaus wahrscheinlicher — einschließlich DRM-abhängiger Streaming-Dienste, die auf Hardware-Sicherheitsfunktionen angewiesen sind, welche nicht zertifizierte Firmware häufig nicht bietet. Einzelne Dienste können weiterhin eigene Anforderungen an Modell, Region und Hardware stellen.
  • Ein realistischer Update-Pfad — wenn auch kein garantierter. Zertifizierte Geräte erhalten Sicherheitspatches über die unterstützte Plattform des Anbieters; wie regelmäßig, hängt vom Anbieter ab. Eine nicht zertifizierte Box sieht möglicherweise nie einen.
  • Ein Anbieter, der etwas zu verlieren hat — eine Support-Seite, eine Garantie, Firmware-Downloads und ein Name, der an eine veröffentlichte Update-Richtlinie gehalten werden kann.

Der ehrliche Vorbehalt: Zertifizierung ist ein starkes Signal, kein Kraftfeld. Zertifizierte Geräte können trotzdem alte Software laufen lassen, wenn der Hersteller sie aufgibt, und Play Protect hilft nur, solange es eingeschaltet bleibt. Es hebt die Untergrenze; es ersetzt nicht die Gewohnheiten unten.

Risikosignale, die eine Prüfung wert sind

Nichts davon beweist, dass eine Box bösartig ist, und keines allein bedeutet, dass eine bestimmte Einheit betroffen ist — zusammen sind sie Gründe, das genaue Modell und den Build zu prüfen, bevor Sie ihr vertrauen:

  • Buchstabensuppen-Namen — X96, MX10 und ähnliche — oder buchstäblich „TV BOX“ als Produktname.
  • Ein Preis weit unter dem jedes vergleichbaren Markengeräts.
  • Marketing, das auf „kostenlose Premium-Sender“, „voll geladen“ oder „lebenslanges Abo inklusive“ setzt.
  • Einrichtungsanleitungen, die Sie auffordern, Play Protect zu deaktivieren oder einen „App-Store“ von einem Download-Link zu installieren.
  • Keine Hersteller-Website, keine Firmware-Downloads, keine angegebene Android-Version.

Wenn Ihre Box nicht zertifiziert ist

Nicht zertifiziert heißt nicht automatisch infiziert — es heißt, konstruktionsbedingt ungeschützt. Konkret:

  • Melden Sie sich auf diesem Gerät nicht bei Banken, Passwort-Managern oder Ihrer Haupt-E-Mail an.
  • Stellen Sie sie in ein separates WLAN (ein Gästenetz funktioniert — prüfen Sie, dass es den Zugriff auf Ihr lokales Netzwerk tatsächlich blockiert), damit sie sich kein Segment mit Telefonen, Computern und NAS-Laufwerken teilt.
  • Entfernen Sie jede App, die Sie nicht selbst installiert haben, und deaktivieren Sie niemals Play Protect, damit sich etwas installieren lässt.
  • Behandeln Sie unerklärliches Verhalten — ungewohnter Verkehr, Apps, die Sie nicht hinzugefügt haben, Trägheit ohne Ursache — als Grund, das Gerät nicht mehr für irgendetwas Sensibles zu nutzen.

Und wenn die Box Anzeichen einer Kompromittierung auf Firmware-Ebene zeigt — vorinstallierte Extras, die Sie nie installiert haben, unerklärlicher Verkehr —, hilft das Deinstallieren von Apps möglicherweise nicht: Solche Implantate leben in der Systempartition, und ein Werksreset entfernt sie womöglich nicht. Trennen Sie sie vom Netzwerk, nutzen Sie sie nicht mehr für sensible Konten, prüfen Sie, ob der Anbieter eine saubere, signierte Firmware veröffentlicht, und ersetzen Sie das Gerät, wenn die Vertrauenskette nicht wiederhergestellt werden kann.

Ein zertifizierter Streaming-Stick einer bekannten Marke kostet weniger, als die meisten erwarten, und ist der einfachste Weg, dieses ganze Kapitel zu schließen. Eine TV-Box ist ersetzbar; das, worauf sie Zugriff hat, nicht.

Quellen

Deltavant ist eine Antimalware-App, die direkt auf dem Gerät läuft, für Android TV und Google TV, derzeit in geschlossener Testphase bei Google Play. Mehr über Deltavant.