Welche Daten sammelt dein LG-Fernseher über dich?

Smarte Fernseher sammeln Daten über dich, um dir passende Werbung anzuzeigen. Wie weit sie dabei gehen und welche Sicherheitsrisiken noch in einem Smart-TV stecken, hat sich ein Team aus Testern und Sicherheitsforschern angeschaut.

Gamers Nexus testete zusammen mit Level1Techs und unabhängigen Sicherheitsforschern mehrere LG-OLED-Modelle, die sie selbst im Handel gekauft haben. Herausgekommen ist ein 135 Minuten langes Video.

Das Gerät war ausgeschaltet, im Standby, der Bildschirm schwarz. Dennoch nahm der Fernseher über das Mikrofon auf. Die Tester zogen daraufhin das Netzwerkkabel – und der Fernseher speicherte die Spracheingaben einfach lokal weiter. Als wieder Verbindung mit dem Internet bestand, lud er alles auf den Server.

Wollte LG gezielt abhören? Diese Absicht lässt sich damit nicht unterstellen. Wahrscheinlicher ist, dass die Mikrofone im Standby nicht vollständig abgeschaltet werden und die Aufnahme weiterläuft, obwohl niemand sie angefordert hat.

Das könnte man als eine Schwachstelle in webOS betrachten. LG erklärte jedenfalls im Juli gegenüber TechRadar, die eigenen Fernseher würden Umgebungsgespräche weder erfassen noch aufzeichnen oder speichern.

Den Testern fiel auch auf, dass die Mikrofone deutlich länger als erwartet anblieben, nachdem sie einen Sprachbefehl beendet hatten. Was in dieser Zeit auf dem Sofa vor dem Fernseher gesprochen wurde, fanden die Tester anschließend in den Logdateien wieder. Im Klartext und unverschlüsselt.

Dass so etwas passieren kann, ist LG bekannt. In Abschnitt 6(d) der Nutzungsbedingungen verpflichtet der Hersteller dich, die Einwilligung Dritter einzuholen und Haushaltsmitglieder wie Gäste darauf hinzuweisen, dass ihre Stimmen erfasst und verarbeitet werden können.

Dazu kommen Sicherheitslücken in webOS, über die Dritte an genau dieses Audio kommen könnten. Die Forscher haben sie dokumentiert und an LG gemeldet. Wie sie funktionieren, bleibt vorerst unter Verschluss, bis ein Update verteilt ist.

Ein Smart-TV benötigt eine Internetverbindung. Doch er braucht nicht zu wissen, welches Smartphone im Flur liegt. Dennoch erfasst er genau das.

Die Tester haben den Datenverkehr per Wireshark mitgeschnitten. Demnach klopft der LG-Fernseher das Heimnetz systematisch ab und registriert dabei alle Geräte, die er dort sieht: Smartphones, Smartwatches, Computer, Drucker, Thermostate. Nichts davon hat mit der Wiedergabe auf dem Bildschirm zu tun. Die Liste mit den Geräten meldet er der Werbeplattform von LG.

Neu ist das nicht. Nutzer mit eigenen DNS-Servern berichten seit rund zwei Jahren, dass ihr LG-Fernseher die komplette Adressbereiche des Heimnetzes durchgeht.

Neu ist der Umfang dessen, was dabei mitgesendet wird: interne IP-Adressen, dazu Namen und Signalstärken der WLAN-Netze in der Nachbarschaft und Standortdaten. Die Nachbarnetze allein genügen, um zu bestimmen, wo du wohnst. Deine Adresse musst du dafür nirgends eingeben.

Dein Profil bei LG ist nicht mehr das Profil eines Geräts und seiner Nutzung, sondern ein Profil deiner Wohnung – mit Fernseher, Smartphone, Laptop und allen Geräten, die sich eine öffentliche IP-Adresse teilen.

ACR steht für Automatic Content Recognition. Der Fernseher greift in kurzen Abständen Ausschnitte aus Bild und Ton ab, rechnet sie in einen kompakten Fingerabdruck um und schickt diesen an einen Server. Dort läuft der Abgleich mit einer Datenbank, bis identifiziert wird, was gerade läuft.

Laut den Testern registriert LG deshalb auch, was über HDMI von außen ins Gerät kommt. Deine Blu-ray-Sammlung, deine Konsole, dein Receiver. Der Gedanke, ein Fernseher ohne genutzte Smart-Funktionen sei ein stummes Display, ist falsch.

Branchenweit ist das Standard. LG nennt die Funktion "Live Plus", Samsung führt sie unter "Viewing Information Services". Abschalten lässt sie sich bei beiden – vorausgesetzt, du weißt, dass es sie gibt.

Die gesammelten Daten landen bei LG Ad Solutions, der Werbesparte des Konzerns. Sie gibt an, allein in den USA Zugriff auf 363 Millionen zusätzliche adressierbare Geräte zu haben – erfasst über das Netzwerk, in dem der Fernseher steht.

Die klare Empfehlung des Teams lautet, LG-Fernseher vollständig vom Internet zu trennen und das Streaming einem externen Gerät zu überlassen.

Das klingt drastisch, erledigt aber alle beschriebenen Punkte auf einmal: kein Scan, keine Telemetrie, kein ACR. Du brauchst dafür einen Zuspieler, aber Firmware-Updates bekommt der Fernseher dann nicht mehr. Bei Geräten, die auf ein LG-Konto bestehen, kann außerdem schon die Ersteinrichtung haken.

Wenn du die Apps auf dem Fernseher behalten willst, hilft es schon, ihn ins WLAN-Gastnetz zu hängen. Dort kommt er weiter ins Internet, sieht aber deine übrigen Geräte nicht – der Scan läuft ins Leere. Einrichten lässt sich das an jedem gängigen Router.

Ein DNS-Filter mit passenden Blocklisten sperrt stattdessen die Server, an die der Fernseher berichtet. Bisher brauchte es dafür einen Raspberry Pi mit Pi-hole oder AdGuard Home. Mit FRITZ!OS 8.50 soll die Funktion direkt in die FritzBox einziehen; derzeit läuft sie noch im Testbetrieb. Wirksam ist der Filter gegen die Uploads, nicht gegen den Scan im lokalen Netz.

Bleiben die Einstellungen im Gerät selbst. Live Plus, also ACR, findest du unter Allgemein, System, Zusätzliche Einstellungen. Die Einwilligungen zu Werbung, personalisierter Werbung, Sprachinformationen und Standort liegen an anderer Stelle und lassen sich einzeln widerrufen – bei der Ersteinrichtung wurde ihnen pauschal zugestimmt.

Die Werbe-ID kannst du zurücksetzen, die Mikrofon-Funktionen abschalten. Die Menüpfade unterscheiden sich je nach webOS-Version deutlich, plane also ein paar Minuten Suchen ein.

Was nichts bringt: den Fernseher gelegentlich vom Netz zu nehmen. Die Daten werden laut den Testern zwischengespeichert und nachgeliefert, sobald er wieder online ist.

Und zum Schluss noch eine Einordnung: Das ist letztlich kein LG-Problem. ACR läuft bei Samsung, Sony und TCL genauso, die Werbevermarktung ebenso. LG ist einfach nur der Hersteller, den sich die Tester gerade vorgenommen haben.