Mein Samsung Diensthandy wurde mit vorinstallierter Spyware geliefert

Wenn man an der Universität Helsinki arbeitet, könnte man den Eindruck gewinnen, dass die IT-Abteilung den Schutz der digitalen Sicherheit ernst nimmt. Beispielsweise zwingt die IT-Abteilung alle Mitarbeiter der UH, an einer jährlichen „Prüfung“ teilzunehmen, um zu beweisen, dass wir uns noch an die Grundlagen von Computersicherheit und Datenschutz erinnern. Sie zwingen die Benutzer außerdem weiterhin – entgegen dem Rat aller Experten – dazu, ihre Passwörter jährlich zu aktualisieren. Studien haben gezeigt, dass die beiden oben genannten Praktiken die Sicherheitslage eher verschlechtern als verbessern [1,2]. Privatsphäre ist in der heutigen digitalen Welt eher ein Theater als Realität [3]. Hätte es mich also überraschen sollen, dass das Android-Handymodell, das offiziell von meiner eigenen IT-Abteilung empfohlen wurde, mit vorinstallierter Spyware geliefert wurde?

Zum Upgrade gezwungen Anfang dieses Jahres musste ich mein Diensthandy aktualisieren, da mein altes (ein OnePlus Nord) seit November 2023 keine Sicherheitsupdates mehr erhalten hatte. Das Telefon funktionierte noch perfekt und der Akku reichte problemlos für den Arbeitstag. Um zu vermeiden, dass ich mein Telefon nach nur vier Jahren wieder ersetzen muss, erkundigte ich mich bei der IT, welches Modell sie empfehlen würden, wobei ich ein langes Zeitfenster für Sicherheitsupdates im Sinn hatte. Die Standardempfehlung war ein Samsung Galaxy A35 5G. „Lang“ bedeutete in diesem Fall 4 Jahre [4], was deutlich weniger ist als bei den High-End-Modellen von Google oder Apple, die heutzutage 7 Jahre lang Sicherheitsupdates erhalten [5].

Die Neugier war der Katze Tod Letzten Monat las ich einen Artikel über AppCloud: eine Spyware, die auf preisgünstigen Samsung-Handys für die Region Naher Osten und Afrika vorinstalliert ist [6]. Die Neugier war der Katze Tod und kostete mich einen ganzen Monat meines Seelenfriedens. Natürlich fand ich genau diese Software auf meinem neuen Diensthandy, das meine Uni vom finnischen Mobilfunkanbieter Telia [7] gekauft hatte.

AppCloud AppCloud ist eine vorinstallierte, nicht (einfach) entfernbare Anwendung, die von dem israelisch/US-amerikanischen Unternehmen ironSource (jetzt Teil von Unity) entwickelt wurde und in mehreren Cybersicherheits-Nachrichtenportalen als Spyware beschrieben wird [8, 9, 10]. Berichten zufolge kann die Anwendung sensible Benutzerdaten sammeln, einschließlich biometrischer Informationen und Geräte-Fingerabdrücke, und findet sich typischerweise auf kostengünstigen Samsung-Geräten [11]. Ich erledige eindeutig sensible Arbeiten auf diesem Handy, einschließlich der Nutzung für die Multi-Faktor-Authentifizierung (MFA), dem Zugriff auf E-Mails mit vertraulichen Studenteninformationen und auch die meisten Arbeiten, die ich nicht in meinem Büro an meinem Desktop-Computer erledige. Wie kann es sein dass ich vom Hersteller vorinstallierte Spyware auf einem von meiner IT-Abteilung empfohlenen Gerät finde? Ich kontaktierte also meinen eigenen IT-Helpdesk, und auch den von Telia und von Samsung und setzte damit einen wochenlangen Austausch in Gang, der sowohl aufschlussreich als auch entmutigend war.

„Nichts, worüber man sich Sorgen machen müsste“ Die anfängliche Reaktion der IT war nahe an “Wen interessiert’s?”. Meine Bedenken wurden als Teil einer “lauten” Diskussion charakterisiert, mit der Implikation, dass die Berichte von einer politisch motivierten Aktivistengruppe stammten und es an überprüfbaren Beweisen fehle. Das Herunterspielen von Benutzerbedenken ist ein kritisches Problem in der institutionellen Sicherheit. Eine ähnliche Ablehnung erfuhr ich von allen drei Helpdesks. Als ich Telia zum ersten Mal kontaktierte, wurde mir sogar gesagt, dass, selbst wenn es sich um Spyware handele, diese von unseren Freunden (den USA und Israel) stamme und dass es in Finnland keinen Grund zur Sorge gäbe. Nicht jeder, der an der Diskussion beteiligt war, war gleichermaßen abweisend. Ich habe also meiner IT Screenshots und detaillierte Informationen für die Untersuchung bereitgestellt. Unwohl wurde mir, als die IT-eigenen Prüfungen ergaben, dass mein Gerät eine Anomalie darstellte. Unter den anderen von der Universität beschafften Samsung-Geräten (Galaxy A35s?), die stichprobenartig überprüft wurden, war auf keinem AppCloud installiert. Mein Telefon scheint zudem ein EU-spezifisches Modell zu sein und kein „Graumarkt“-Gerät aus der MENA-Region, wie ein Kollege spekuliert hatte. Dies führte zu einer neuen Theorie der IT: dass ich die Spyware versehentlich selbst installiert hätte, indem ich mich während der Ersteinrichtung des Telefons für das Samsung-Ökosystem (Samsung Account oder Samsung Cloud) entschieden hätte.

Die „Lösung“ Die vorgeschlagene Lösung bestand darin, das Gerät vollständig auf die Werkseinstellungen zurückzusetzen und sich vor allem von allen Samsung-bezogenen Funktionen abzumelden und zu vermeiden, irgendetwas aus Cloud-Backups wiederherzustellen, da beides die unerwünschte Anwendung erneut installieren könnte. Während die IT vorschlug, dass die Deaktivierung der App ausreichen sollte, räumten sie auch ein, dass ein zukünftiges Software-Update sie möglicherweise wieder aktivieren könnte. Die Verantwortung für die Bereinigung des Geräts und die Gewährleistung seiner zukünftigen Sicherheit wurde vollständig auf meine Schultern abgewälzt. Ich bezweifelte, dass ein Zurücksetzen auf die Werkseinstellungen die Spyware beseitigen würde. Wenn überhaupt, dann kennen israelische Unternehmen die Sicherheit (oder Unsicherheit) von Mobiltelefonen besser als jeder andere [12]. Mit dem Zurücksetzen auf die Werkseinstellungen musste ich bis zu meinen Weihnachtsferien warten, da ich das Telefon täglich dutzende Male benötige, um mich bei den digitalen Diensten der Universität zu authentifizieren. Wie ich erwartet hatte, funktionierte das Zurücksetzen auf die Werkseinstellungen nicht, und ich wandte mich erneut an Samsung Finnland, die vorschlugen, ich solle ein Samsung-Servicecenter aufsuchen und die Original-Samsung-Firmware auf das Gerät flashen lassen, da AppCloud möglicherweise vom Netzbetreiber/Verkäufer (d. h. Telia) installiert worden sei. Sie sagten deutlich, dass die App nicht von Samsung vorinstalliert sei. Also nutzte ich einen meiner Urlaubstage, um nach Pitäjänmäki zum nächsten autorisierten Samsung-Servicecenter zu radeln. Nachdem das Original-Samsung-Image auf das Telefon geflasht worden war, war AppCloud immer noch da. Haben sie mich angelogen?

Weitere Tests Technisch gesehen haben sowohl Telia als auch Samsung die Wahrheit gesagt. Schliesslich habe ich durch Experimentieren (einschliesslich etwa eines Dutzends Hardware-Resets) herausgefunden, was wirklich passiert. Die Ergebnisse: Wenn WiFi während der Einrichtung nicht aktiviert ist, gibt es nie eine AppCloud. Aber sobald WiFi oder irgendine eine andere Kommunikationsmöglichkeit aktiviert wird (entweder während oder nach der Installation), wird AppCloud nach einiger Zeit von selbst installiert. Samsung hat technisch gesehen Recht, wenn sie sagen, dass sie nicht von Samsung vorinstalliert ist, weil sie erst auf das Gerät gepusht wird, nachdem der Benutzer begonnen hat, es zu benutzen.

AppCloud nicht vorinstalliert, sondern nach Geräteaktivierung heruntergeladen Samsung ist unehrlich, denn sobald sich AppCloud auf magische Weise im Hintergrund installiert hat, behauptet die Info “App aus dem Galaxy Store heruntergeladen”. Ich habe Samsung jedoch nie die Erlaubnis gegeben, etwas aus dem Galaxy Store herunterzuladen. Wenn ich auf “App-Details im Store” klicke, gelange ich auf dieselbe Seite, die ich auch bei der Ersteinrichtung des Telefons sehe, wo ich mich geweigert hatte, Downloads aus dem Galaxy Store zuzustimmen. Dennoch ist keines der Elemente angekreuzt, aber laut Telefon wurde diese App dennoch aus dem Galaxy Store heruntergeladen. Ich bin mir sicher, dass dies rechtlich irgendwie korrekt ist. Schließlich muss ich Google die Erlaubnis geben, Updates und Apps auf das Telefon zu pushen. Es ist unmöglich, das Telefon zu benutzen, ohne dies zu tun, und vielleicht ist Google auch irgendwie involviert.

Samsung ignoriert die Wünsche der Endbenutzer Das bedeutet, dass es irrelevant ist, ob ich während der Einrichtung dem Herunterladen von Apps/Updates aus dem Galaxy Store zustimme oder nicht, denn Samsung hat es so eingerichtet, dass bestimmte Apps gepusht werden, ohne dass irgendjemand irgendetwas zustimmen muss. Das Verbergen dieser Tatsache und die Unfähigkeit zur Deinstallation sind für mich Warnsignale. Offiziell wird die Software verwendet, um Werbung und App-Erkennung maßzuschneidern, aber um Werbung maßzuschneidern, muss sie einen gewissen Einblick in das haben, was ich auf dem Gerät tue. Obwohl die einzige sichtbare Berechtigung “Benachrichtigungen” ist, scheint dies wahrscheinlich nicht die ganze Wahrheit zu sein. Anscheinend legt die Software Gerätekennungen, IP-Adressen und Verhaltensmuster gegenüber ihren Kunden offen [11] – obwohl die genauen Datenpraktiken nicht transparent gemeldet werden. Selbst wenn es keine Spyware ist, verletzt es wahrscheinlich trotzdem meine Privatsphäre.

Samsung ist nicht freundlich zu nachträglichen Betriebssystemen Leider kann ich LineageOS  , crDroidOS  oder GrapheneOS  nicht ohne Weiteres auf diesem Gerät installieren, weil Samsung das nicht möchte. Ansonsten wäre das die Lösung. Hätte ich ein OnePlus- oder Google Pixel-Handy gekauft, wäre die Installation einer Version von Android, die Freiheit und Privatsphäre respektiert, einfach.

Irgendwelche Erkenntnisse zum Mitnehmen?

• Der Endnutzer als letzte Verteidigungslinie: In einem chronisch unterfinanzierten modernen digitalen Arbeitsplatz ist Sicherheit keine Selbstverständlichkeit. Es ist ein Kampf, der ständige Wachsamkeit und – bei Fehlen einer proaktiven IT-Abteilung – eine erhebliche Investition des Endnutzers erfordert. Die institutionelle IT scheint sich den neuesten Bedrohungen nicht immer bewusst zu sein, einschließlich derer, die in den von ihnen empfohlenen Geräten eingebettet sind. Sie scheinen auch nicht auf dem neuesten Stand der modernen Handhabung von IT-Sicherheit zu sein. In dem veralteten IT-Sicherheitsmodell, das viele Aktionen der IT-Abteilung zu dominieren scheint, sind wir - die Benutzer - paradoxerweise die Feinde. Stattdessen sollte die IT uns zu Verbündeten machen, aber dies würde ein bedeutungsvolles Engagement über obligatorische Vorträge und erzwungene Passwortänderungen hinaus erfordern. Gebe ich der IT die Schuld? Meiner Meinung nach ist es die Aufgabe der Firmenleitung, die Vision, die Mittel und die Kultur bereitzustellen, die echte Sicherheit und Privatsphäre ermöglichen. Bis dahin müssen wir Nutzer unsere eigenen Sicherheitsanwälte sein.
• Die Illusion der Wahl: Wenn Samsung den Benutzer auffordert, sich in das Samsung-Überwachungs-Ökosystem einzuwählen (Opt-in) oder sich davon abzumelden (Opt-out), ist die Wahl eine Illusion, zumindest im Fall von AppCloud und für bestimmte Benutzergruppen.
• Die Notwendigkeit institutioneller Rechenschaftspflicht: Die Tatsache, dass die IT-Abteilung meiner Universität immer noch auf veraltete Sicherheitspraktiken angewiesen ist, wie z. B. obligatorische Passwortänderungen [1] und obligatorische „Sicherheitsschulungen“ für Mitarbeiter, von denen bekannt ist, dass sie Sicherheitsermüdung verursachen [2], weist auf ein größeres kulturelles Problem hin, das angegangen werden muss. Die Sicherheitsermüdung hat anscheinend auch genau die Personen erreicht, die uns eigentlich schützen sollten. Auf meine jährliche Anfrage, warum die UH trotz des Rats aller Experten weiterhin regelmäßige Passwortänderungen vorschreibt, bekomme ich nicht einmal mehr eine wirkliche Erklärung. Letztes Jahr wurde mir gesagt, “dass solche Änderungen Zeit brauchen”, aber dieses Jahr wurde mir nur gesagt: “Die Anforderung zur jährlichen Passworterneuerung basiert auf der Sicherheitsrichtlinie der Universität und bleibt vorerst in Kraft.” Ich bin sprachlos angesichts eines solchen Rückgangs der intellektuellen Fähigkeiten, über die eigenen Handlungen zu reflektieren, und/oder der Faulheit, sich in irgendeiner bedeutungsvollen Weise mit genau den Menschen auseinanderzusetzen, die der Grund dafür sind, dass die IT-Abteilung überhaupt existiert!

Verbleibende Fragen Warum war mein Gerät das einzige betroffene unter den untersuchten? Während die überwiegende Mehrheit der AppCloud-Installationen außerhalb Europas stattfindet, wurden Einzelfälle aus einigen europäischen Ländern gemeldet. Einzelfälle mahen keinen Sinn für Nutzerprofilierung und für Marketing. Handelt es sich bei diesen Fällen um Unfälle oder um gezieltes Targeting? Schliesslich habe ich eineMethode zum Entfernen der AppCloud App gefunden, die auf YouTube veröffentlicht worden war (wobei wahrscheinlich die Garantie des Telefons erlischt) [13]. Ich habe sie schließlich an Heiligabend ausprobiert. Die Software verschwand zumindest aus der Liste der installierten Apps, aber ob sie wirklich und für immer weg ist, bleibt abzuwarten. Das wäre ein schönes Weihnachtsgeschenk.

Referenzen

[1] NIST rät von regelmäßigen Passwortänderungen ab: https://pages.nist.gov/800-63-4/sp800-63b.html 

[2] Warum uns verpflichtende Sicherheitsschulungen weniger sicher machen: https://medium.com/deeptempo/why-most-security-awareness-training-is-actually-making-you-less-secure-5f4770d8f4e0 

[3] Der berühmte Verge-Artikel „Privacy is Dead“: https://www.theverge.com/internet-culture/775740/anonymity-privacy-filming-viral-tiktok 

[4] Lebensdauer von Samsung-Geräten: https://endoflife.date/samsung-mobile 

[5] Die ökologischen Kosten einer vorzeitigen Aktualisierung Ihres Smartphones: https://en.reset.org/ecological-problem-mobile-phone/?utm_source=chatgpt.com 

[6] Malwarebites.com berichtet über AppCloud: https://www.malwarebytes.com/blog/news/2025/11/budget-samsung-phones-shipped-with-unremovable-spyware-say-researchers 

[7] Finnischer Mobilfunkanbieter Telia: https://telia.fi 

[8] Weitere Online-Berichterstattung: https://www.androidheadlines.com/2025/11/unremovable-appcloud-app-samsung-phones-privacy-fears-controversy.html 

[9] Der Thread über AppCloud auf X: https://x.com/IntCyberDigest/status/1989374273878630761 

[10] Diskussions-Thread auf Samsungs eigener EU-Benutzer-Community-Website https://eu.community.samsung.com/t5/galaxy-a-series/how-do-i-get-rid-of-appcloud/td-p/7918282 

[11] Der offene Brief von SMEX an Samsung: Ende erzwungener israelischer App-Installationen in der WANA-Region: https://smex.org/open-letter-to-samsung-end-forced-israeli-app-installations-in-the-wana-region/ 

[12] Das israelische Unternehmen Cellebrite, das dem FBI hilft, in iPhones zu gelangen; https://en.wikipedia.org/wiki/Apple%E2%80%93FBI_encryption_dispute 

[13] Das YouTube-Video, in dem erklärt wird, wie AppCloud deinstalliert wird: https://www.youtube.com/watch?v=qBU6kqS1vuY