- Tests zeigen: Bestimmte LG‑Smart‑TVs nehmen Gespräche auch im Stand‑by‑Modus auf, Mikrofone bleiben aktiv, obwohl der Bildschirm dunkel ist.
- Audio wird lokal gespeichert und später hochgeladen, sobald der Fernseher wieder online ist, kein reiner Live‑Stream, sondern persistentes Logging.
- Parallel scannen die Geräte das Heimnetzwerk, erfassen IP‑Adressen, Gerätenamen, WLAN‑Infos und Standortdaten und leiten Daten an LG Ad Solutions weiter.
- Die Funktionen hängen nicht an dubiosen Apps, sondern am Auslieferungszustand von webOS‑Smart‑TVs wie der OLED‑Serie G5.
- Einordnung: Der Fernseher wird zur stillen Überwachungsinstanz im Wohnzimmer, die Frage ist, ob Nutzer dem Gerät noch vertrauen können, wenn „aus“ nicht mehr wirklich „aus“ bedeutet.
Sicherheitsforscher von Gamers Nexus, Level1Techs und weiteren Teams haben dokumentiert, dass aktuelle LG-OLED-Fernseher mit webOS auch im Stand-by-Modus Sprachaufnahmen anfertigen, und diese Daten anschließend an externe Server übertragen. Getestet wurde unter anderem das Modell G5, an handelsüblichen Retail-Geräten. Keine Laborprototypen. Fernseher, wie sie in Wohnzimmern stehen.
Was die Forscher gefunden haben, ist methodisch sauber dokumentiert. Sie erzeugten Sprachsignale in der Nähe der Geräte, trennten zeitweise die Internetverbindung und zeichneten den Datenverkehr mit Wireshark auf. Ergebnis: Bei getrennter Verbindung speicherte der Fernseher Audiodaten lokal. Nach Wiederherstellung der Verbindung wurden die gespeicherten Sprachdaten automatisch hochgeladen. Das ist kein Live-Sprachdienst, der nur bei aktiver Verbindung arbeitet. Das ist ein persistentes Logging-System.
Das Mikrofon läuft. Der Bildschirm ist aus. Und niemand hat das sichtbar gemacht.
Parallel dazu stellten die Forscher fest, dass die Fernseher das lokale Heimnetz aktiv scannen. Interne IP-Adressen anderer Geräte, Smartphones, Smartwatches, Tablets, werden erfasst. Gerätenamen, WLAN-SSID, Signalstärken, daraus ableitbare Standortinformationen. Ein Teil dieser Daten fließt laut Auswertungen an LG Ad Solutions, die Werbesparte des Konzerns, die damit wirbt, "secondary addressable devices" zu erreichen, also Geräte, die gar nicht LG gehören, aber im selben Netzwerk hängen.
Der Fernseher schaut nicht nur zu. Er schaut sich um.
Die technische Grundlage dahinter ist Automatic Content Recognition, kurz ACR. LG-Fernseher übersetzen Bild- und Toninhalte in digitale Fingerabdrücke, auch über HDMI-Eingänge von Konsolen oder Streaming-Boxen. Screenshots und Audiomitschnitte werden protokolliert, um Nutzungsverhalten auszuwerten und Werbung zu personalisieren. Das ist kein Geheimnis, aber es ist auch kein Feature, das beim Kauf offen kommuniziert wird.
Dazu kommen Schwachstellen in webOS, die potenziell Remote-Code-Ausführung ermöglichen könnten. Details sind noch im Offenlegungsverfahren. Was feststeht: Ein Gerät, das Audio- und Netzwerkdaten sammelt, und ein Betriebssystem, das Angriffsfläche für externe Akteure bietet. Diese Kombination ist kein theoretisches Problem.
Was mich dabei am meisten beschäftigt, ist nicht die Technik. Es ist die Erwartung.
Menschen gehen davon aus, dass ein Gerät im Stand-by inaktiv ist. Das ist eine vernünftige Erwartung, eine, die auf dem Verständnis basiert, dass "aus" bedeutet: nicht aktiv, nicht lauschend, nicht kommunizierend. Diese Erwartung ist falsch, zumindest bei bestimmten LG-Modellen. Und sie ist falsch, ohne dass irgendjemand das klar kommuniziert hat.
Es ist nicht die Logik von Spionage, die hier am Werk ist. Es ist die Logik der Werbeindustrie: mehr Daten, mehr Profile, mehr adressierbare Geräte. Das klingt nüchterner. Es ist trotzdem ein Fernseher, der in einem privaten Wohnzimmer zuhört, während die Bewohner glauben, er schläft.
Die Forscher kritisieren, dass diese Aktivitäten nicht klar genug in den Datenschutzhinweisen erklärt werden, nicht an eine sichtbare Statusanzeige wie eine Mikrofon-LED gekoppelt sind, und für normale Nutzer faktisch nicht nachvollziehbar sind, es sei denn, man führt selbst eine Netzwerkanalyse durch. Letzteres tut niemand, der nicht explizit Sicherheitsforscher ist.
Ob LG gegen Datenschutzrecht verstößt, müssen Behörden klären. Die DSGVO hat klare Anforderungen an Einwilligung und Transparenz, und ob eine mehrseitige Datenschutzerklärung im Einrichtungsassistenten diese Anforderungen erfüllt, ist eine juristische Frage mit offenem Ausgang.
Wer handeln will, ohne auf Behörden zu warten, hat konkrete Optionen. In den webOS-Einstellungen lassen sich Mikrofon- und Sprachfunktionen deaktivieren, ACR-Funktionen und personalisierte Werbung abschalten, und die Option "Nutzungsdaten teilen" ausschalten. Wer bei sensiblen Gesprächen auf Nummer sicher gehen will, trennt das Gerät vom WLAN. Wer technisch versiert ist, kann mit einfachen Router-Tools prüfen, welche Geräte im Heimnetz ungewöhnlich viel Datenverkehr erzeugen.
Aber das ist die Arbeit, die Nutzer leisten müssen, damit ein Gerät das tut, was sie annehmen, dass es tut: nichts, wenn es aus ist.
Das ist keine Selbstverständlichkeit mehr.
Kommentare
Kommentar veröffentlichen
Kommentar