Sie spielen Pac-Man auf dem Fernseher. Das Spiel ist kostenlos, und Samsung hat es im Bereich „Editor's Choice" direkt auf dem Bildschirm empfohlen. Nirgends sichtbar steht dagegen: Von dem Moment an, in dem Sie auf Zustimmen tippen, wird Ihre Heiminternetleitung zum Tunnel, durch den jemand Unbekanntes am anderen Ende der Welt seinen Datenverkehr leitet.

Das ist der Befund der norwegischen Cybersicherheitsfirma Mnemonic, veröffentlicht am Montag. Mehrere beliebte Apps für Samsung-Smart-TVs enthalten Code für sogenannte Residential-Proxy-Netzwerke, die den Anschluss des Nutzers als Ausgangspunkt für fremden Web-Traffic verwenden. Nach Angaben der Entwickler selbst sind einige dieser Apps auf Hunderten Millionen Fernsehern installiert.

Das unangenehmste Detail ist, wie das durch die Prüfung kam. Viele dieser Apps sind leere Hüllen aus wenigen Codezeilen, deren einzige Aufgabe darin besteht, Inhalte von einem anderen Server zu holen. Wer die App prüfte, sah nur diese paar Zeilen - nicht das, was der Server danach schickt. „Was geprüft wurde, ist nicht zwangsläufig das, was läuft", schrieb Harrison Sand, Berater für offensive Sicherheit bei Mnemonic. Damit ist alles über den Wert der Prüfung gesagt.

Sand öffnete das Innenleben eines Samsung-Fernsehers und analysierte den gesamten ein- und ausgehenden Datenverkehr. Im Pac-Man-Spiel fand er Code von Bright Data, einer israelischen Firma, die Zugang zu Millionen Heimnetzwerken weltweit verkauft und einen Marktplatz für gesammelte Datensätze betreibt. Der Code, sagt er, schlafe, bis der Nutzer einen Einwilligungsbildschirm akzeptiert - danach laufe er im Hintergrund, bis die App gelöscht wird. Man schaltet den Fernseher also aus, und der Tunnel bleibt offen.

Vom beobachteten Datenverkehr sah ein großer Teil nach massenhaftem Abgreifen von LinkedIn-Profilen und Trainingsdaten für KI-Modelle aus. Sand warnt auch vor etwas Gewichtigerem: Eine „simple Codeänderung auf einem Webserver" könnte Hunderte Millionen Fernseher schlagartig in ein potenziell bösartiges Botnetz verwandeln. Bright Data reagierte nicht auf eine Bitte um Stellungnahme.

Samsung reagierte nach der Kontaktaufnahme. Das Unternehmen erklärte, es habe Neuregistrierungen von Apps mit Proxy-Funktionalität bereits eingeschränkt und arbeite daran, alle solchen Apps zu identifizieren und zu entfernen, die noch im Store sind. Einen Monat zuvor kündigte LG dasselbe an, nachdem ein Bericht zeigte, dass rund 42 Prozent der Apps auf ihrer Plattform den Fernseher in ein Proxy-Netz einschrieben. Wenn fast jede zweite App einer Plattform dasselbe tut, ist das kein Versäumnis eines einzelnen Entwicklers mehr.

Residential-Proxy-Netze sind für sich genommen nicht illegal - sie dienen auch dem Umgehen von Zensur, und KI-Firmen nutzen sie massenhaft zur Datensammlung. Das Problem ist, dass der Verkehr aussieht, als käme er aus einem gewöhnlichen Haus, verschlüsselt und praktisch nicht auseinanderzuhalten ist - ein Hacker von einem anderen Kontinent kann also von Ihrer Adresse aus arbeiten. Wenn Ihnen das nächste Mal jemand erklärt, warum ein Fernseher einen App-Store braucht, wissen Sie genau, worauf Sie klicken.