Eingebaute Überwachung auf chinesischen Android-Handys: was belegt ist und wie Sie sich schützen

Xiaomis Entwicklerplattform für HyperOS veröffentlicht eine Leistungsbeschreibung namens „Erkennung von Betrugsverhalten auf dem Gerät“ (Stand: 15. April 2026), die sich an Partnerunternehmen richtet. Die App eines Partners kann für ein Handy einen „Betrugsrisiko-Wert“ von 0 bis 100 abfragen; Partner mit weitergehendem Zugang können konkrete Vorgänge der letzten 72 Stunden abfragen: Screenshots, Bildschirmaufnahme oder -freigabe, Flugmodus, Rufumleitung, die Installation von Fernsteuerungs-, Finanz-, Kredit-, „nicht identifizierbaren“ oder „verdächtigen“ Apps, Auslandsanrufe und Aufrufe markierter URLs.

Laut dem Dokument funktioniert die Erkennung auch dann, wenn der Nutzer das Anrufprotokoll oder die App löscht, und eine installierte App zählt weiterhin, wenn sie innerhalb des Gültigkeitszeitraums deinstalliert wird. Das gilt für Geräte für Festlandchina mit HyperOS 3.1 oder neuer, Handys wie Tablets. Dass die Daten an die Polizei gehen, steht dort nicht – und auch nicht, wie man die Funktion abschalten kann.

• Tastaturen (Citizen Lab, April 2024): Bei acht von neun Pinyin-Tastaturen (die übliche Eingabemethode für Chinesisch) verschiedener Hersteller – Baidu, Honor, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo, Xiaomi – gab es Schwachstellen, durch die ein Lauscher im Netz mitlesen konnte, was Sie tippen. Betroffen waren fast eine Milliarde Nutzer. Die meisten Lücken sind inzwischen geschlossen; die Forscher raten trotzdem zu einer Tastatur, die Vorschläge nur auf dem Gerät berechnet.
• Vorinstallierte Apps (University of Edinburgh und Trinity College Dublin, 2023): Auf in China gekauften Handys von Xiaomi, OnePlus und OPPO/realme schickten vorinstallierte Apps Geräte-IDs, Standort, Telefonnummer und App-Nutzung an den Hersteller und an Dritte – auch wenn man bei der Einrichtung der Weitergabe von Nutzungsdaten widersprochen hatte, und auch im Ausland.
• Schlagwortliste (litauisches Verteidigungsministerium, 2021): Die System-Apps eines Xiaomi Mi 10T enthielten eine Liste mit 449 zu sperrenden Begriffen. Für die EU-Region war sie abgeschaltet, ließ sich aber aus der Ferne aktivieren. Xiaomi bestritt, die Kommunikation seiner Nutzer einzuschränken.

Ein auf GitHub veröffentlichter Bericht hat ein einzelnes Xiaomi-Handy mit HyperOS 3.0 untersucht. Die vorinstallierte China-Unicom-Komponente SystemHelper (Paketname com.mobiletools.systemhelper) erfasst alle 30 Minuten den Standort (auf sechs Nachkommastellen genau), die Funkzelle und WLAN-Netze in der Nähe und schickt das regelmäßig zusammen mit Geräte- und SIM-Kennungen sowie der Liste der installierten Apps und ihrer Nutzung an einen Server von Unicom – über einfaches HTTP, verschlüsselt mit einem Schlüssel, der aus dem Inhalt selbst abgeleitet wird. Sie hat kein Symbol, taucht in der App-Liste nicht auf und lässt sich nicht abschalten. Eine weitere Analyse zeigt, dass sie sich auch dann bei Unicom anmeldet, wenn die SIM-Karte von China Mobile stammt.

Betroffen ist nicht nur Xiaomi. In den Systemeigenschaften von vivo taucht der Paketname auf (ein öffentliches GitHub-Issue), und auf einem vivo X200S für Festlandchina ist die Komponente sichtbar, wobei „Deinstallieren“ und „Stopp erzwingen“ ausgegraut sind. Außerdem steht sie in Listen vorinstallierter Apps von OPPO und realme. Der Code der Komponente selbst nennt eine Reihe von Marken – Samsung, Motorola, Nubia, OnePlus, ZTE und weitere. Samsung-Handys für Festlandchina fallen also in ihren Geltungsbereich, auch wenn bisher niemand sie aus Samsung-Firmware veröffentlicht hat. Huawei und Honor stehen nicht auf der Liste.

Der Autor des Berichts weist darauf hin, dass nur ein Gerät getestet wurde, und trifft keine Aussage über die Absichten der Entwickler.

• „Die Sicherheitskomponente nimmt alle paar Sekunden den Bildschirm auf und lädt das hoch“: Das stammt aus dem Reverse-Engineering-Beitrag eines einzelnen Nutzers; der Bericht oben hat bei dieser Art von Komponente keinen solchen Upload festgestellt.
• „Samsung-Handys für Festlandchina haben sie schon ab Werk“: Bisher gibt es dafür nur die Markenliste im Code der Komponente, noch keinen Beleg aus Samsung-Firmware.
• „Wer X oder Telegram installiert hatte, bekam Anrufe von der Polizei mit der Aufforderung, die App zu löschen“: Das sind Berichte aus zweiter Hand; ob die Meldungen des Handys der Auslöser waren, lässt sich nicht überprüfen.
• Wir stellen diese Punkte nicht als Tatsachen dar. Das heißt nicht, dass sie falsch sind – es fehlt jeweils noch eine zweite, unabhängige Quelle.

Ein VPN verschlüsselt den Verkehr zwischen Ihrem Gerät und dem Server, sodass weder der Mobilfunkanbieter noch die Firewall sehen, was Sie aufrufen. Das Betriebssystem des Handys sitzt aber auf Ihrer Seite des Tunnels: Es weiß, welche VPN-App Sie installiert haben, wann Sie sie öffnen und wie lange. 2023 stufte Xiaomis Sicherheitscenter Telegram als „Sicherheitsprüfung nicht bestanden“ ein und blockierte die Installation.

Deshalb behebt keine Verbindung, so gut sie auch ist, was auf dem Handy selbst passiert. Was hilft: dem Handy weniger verraten.

1. Bewahren Sie Wichtiges auf einem System auf, das nicht von einem Hersteller aus Festlandchina betrieben wird: auf einem iPhone oder einem Android-Handy mit internationaler Firmware. Ein Android-Handy für Festlandchina ist für den Alltag in Ordnung – nur nicht für Dinge, bei denen es Sie stören würde, wenn jemand mitliest.
2. Schalten Sie in Ihrer Tastatur „Cloud-Eingabe“ bzw. „Cloud-Vorschläge“ aus, oder wechseln Sie zu einer Tastatur, die nur auf dem Gerät arbeitet.
3. Gehen Sie in den Einstellungen die App-Berechtigungen durch und entziehen Sie allen Apps, die das nicht brauchen, den Zugriff auf Standort, Kontakte und App-Liste. Schalten Sie in der Sicherheits- bzw. Telefonmanager-App des Handys „Betrugserkennung“ oder „Sicherheitsscan“ aus, wo das möglich ist.
4. Rooten oder flashen Sie das Handy nicht, um vorinstallierte Komponenten zu entfernen. Für die meisten kostet ein Fehler mehr, als es bringt, und die Sperrmodule aus der Community brauchen alle Root – wenn etwas kaputtgeht, hilft Ihnen niemand.
5. Lassen Sie die VPN-App ganz vom Handy weg: Nutzen Sie zu Hause einen Router, auf dem die Verbindung eingerichtet ist. Dann verbindet sich das Handy einfach mit dem WLAN und ist schon durch die Firewall, und das System sieht nur ein gewöhnliches WLAN.

Was wir können: Ihren Netzwerkverkehr verschlüsseln und nicht protokollieren, was Sie aufrufen. Unsere Clients sind Standard-Clients (Cisco, OpenVPN, Hiddify, Tailscale), unverändert. Und mit der Router-Lösung ist überhaupt keine VPN-App auf dem Handy.

Was wir nicht können: das Betriebssystem des Handys daran hindern, Daten zu melden. Dagegen helfen nur ein anderes Gerät, strengere Berechtigungen und der Grundsatz, Sensibles nicht auf Firmware für Festlandchina zu haben.