- Eine Allianz aus Verbraucherorganisationen, Aktivisten und Abgeordneten fordert die FTC auf, gegen Hersteller smarter Geräte vorzugehen, die Funktionen nachträglich beschneiden, Support einstellen oder auf Abos umstellen
- Im Zentrum steht das sogenannte „software tethering“: Firmware-Updates, die Hardware später unbrauchbar machen oder weniger nützlich, sowie die plötzliche Verlagerung wichtiger Funktionen hinter eine Paywall
- Ein Schreiben von 17 Organisationen wie Consumer Reports, iFixit und US PIRG nennt als Beispiele Pelotons Gebühr von 95 US-Dollar für gebrauchte Fahrräder und die Paywallisierung beliebter Funktionen beim SNOO
- Vernetzte Geräte bleiben auch nach dem Kauf an Herstellerpolitik und Server-Support gebunden, sodass Verbraucher Funktionen, für die sie bezahlt haben, ohne klare Vorabinformation verlieren können
- Die FTC hatte früher das Abschalten von Google Revolv untersucht, doch daraus folgten keine wirksamen Maßnahmen; für smarte Hardware braucht es deutlichere Leitlinien und Warnungen
Das Problem, dass gekaufte Geräte nicht dauerhaft dasselbe Produkt bleiben
- Smart-Home-Hardware kann nutzlos werden, wenn der Hersteller verschwindet oder den Support einstellt
- Firmware-Updates nach dem Kauf können den Funktionsumfang eines Geräts verringern, sodass schwer vorherzusagen ist, ob ein heute gekauftes Produkt morgen noch genauso funktioniert
Die Allianz, die die FTC zum Eingreifen auffordert
- Eine Allianz aus Verbraucherorganisationen, Aktivisten und Abgeordneten drängt die FTC, verbraucherfeindliche Praktiken von Herstellern smarter Geräte ins Visier zu nehmen
- Gemeint sind Hersteller, die Produktsupport abrupt einstellen, Funktionen entfernen oder bestehende Features hinter neue Abo-Paywalls verschieben
- Das Schreiben wurde an zentrale FTC-Verantwortliche übermittelt; beteiligt sind 17 Organisationen, darunter Consumer Reports, iFixit und US PIRG
„software tethering“ und Abo-Paywalls
- Das Schreiben beschreibt „software tethering“ als Praxis, Hardware später unbrauchbar zu machen oder weniger nützlich zu machen
- Auch das plötzliche Sperren zentraler Funktionen hinter einem Abo wird als Teil desselben Problems eingeordnet
- Beide Praktiken nutzen die Softwareabhängigkeit von Geräten aus und erschweren es Verbrauchern, die von ihnen gekauften Produkte tatsächlich vollständig zu besitzen
- Ohne klare Leitlinien und Durchsetzung könnte sich ein Ökosystem verfestigen, in dem Verbraucher der Lebensdauer vernetzter Produkte nicht mehr vertrauen können
Jüngste Beispiele aus dem Schreiben
- Peloton will Besitzern gebrauchter Fahrräder eine Gebühr von 95 US-Dollar auferlegen und wurde dafür mangels klarer Begründung kritisiert
- Die smarte Babywiege SNOO will einen erheblichen Teil ihrer beliebten Funktionen hinter eine Paywall stellen
- Diese Fälle zeigen, dass teure Geräte später Funktionen verlieren oder weniger nützlich werden können
- In manchen Fällen werden die Änderungen den Endnutzern nicht klar vermittelt
Frühere Reaktionen der FTC und ihre Grenzen
- Die FTC untersuchte Googles Entscheidung, die Smart-Home-Hardware Revolv unbrauchbar zu machen, doch daraus folgten weder konkrete Maßnahmen noch bedeutende Reformen zum Verbraucherschutz
- Die FTC steht weiterhin unter Druck und leidet unter knappen Budgets und Personalmangel
- Schon bei dringenderen Themen wie weitreichender Monopolisierung oder Datenschutzverstößen hat sie Mühe, ausreichend zu reagieren
- Dennoch könnten im Bereich smarter Hardware im Zeitalter des Cloud Computing schon bundesweite Leitlinien und einige Warnungen erhebliche Wirkung entfalten
1 Kommentare
Meinungen auf Hacker News
Gegen Unternehmen, die Hardware unbrauchbar machen, sobald der Hersteller den letzten Cloud-Server abschaltet, sollte vorgegangen werden
Es gibt keine Entschuldigung dafür, dass Haushaltsgeräte durch eine Remote-Maßnahme des Herstellers zu Elektroschrott werden oder Funktionen verlieren. Nur weil ich ein Gerät gekauft habe, will ich nicht dauerhaft an den Hersteller gebunden sein, nicht täglich eine Ausführungserlaubnis einholen, kein Konto anlegen, mich nicht bei einem Server anmelden und weder meine IP- noch meine Wohnadresse preisgeben müssen.
Hardware sollte am 10.000. Tag genauso funktionieren wie am ersten. Wenn ein Unternehmen das nicht leisten kann, sollte es nicht verkaufen dürfen oder zumindest deutlich mit „abhängig von Herstellerservern“ gekennzeichnet werden.
Meiner Ansicht nach sollte sich das Recht auf Reparatur auch auf Software erstrecken. Man sollte auf alten Smartphones ein neues Betriebssystem installieren, Hardwaretreiber modernisieren, um alte Geräte wiederzubeleben, oder alte Videospiele wieder lauffähig machen können.
Quellcode ist zwar geistiges Eigentum, aber wie bei Arzneimitteln sollte es eine Art Ablaufregelung geben: Wenn der offizielle Support für ein Produkt oder einen Dienst endet, sollten Regulierungsbehörden die Veröffentlichung von Treibern und Service-Quellcode erzwingen können.
Am Ende wäre es wahrscheinlich nur ein weiteres Label neben dem kalifornischen Krebswarnhinweis.
Allerdings gibt es Geräte wie Garagentoröffner, bei denen ein Unternehmensserver faktisch nötig ist, um durch die Firewall zu kommen. Die App kommuniziert mit dem Server des Unternehmens, und der Öffner verbindet sich ebenfalls mit demselben Server und wartet auf Befehle.
Eine Remote-Sperrfunktion ist eine Grauzone und sollte vorab offengelegt werden; außerdem sollte das Unternehmen bei der FTC eine einfache Kaution für einen „Überlebensserver“ hinterlegen müssen. Stellt das Unternehmen den Dienst ein, könnte eine Kopie aufseiten der FTC gestartet werden, sodass noch nicht gesperrte Geräte weiter funktionieren.
Wird ein Produkt vor Ablauf dieses Zeitraums eingestellt, sollten Leistungen zum Ende der Laufzeit wie eine teilweise Rückerstattung oder Entsorgung enthalten sein, damit Verbraucher eine informierte Entscheidung treffen können. Bei solchem Abo-Müll würde man sich dann nach einem anderen Produkt umsehen.
Die beiden Waren sollten separate Produkte in unabhängigen Märkten sein; beim Gerät sollte sich leicht einstellen lassen, welcher Server oder Dienst genutzt wird, und das Protokoll sollte öffentlich dokumentiert sein.
Statt pauschaler Regulierung braucht es mehrere von der FTC durchgesetzte Zertifizierungsprogramme.
Man könnte Sticker vorsehen, die nur Produkte tragen dürfen, die bestimmte Bedingungen erfüllen; wenn nicht konforme Produkte sie tragen, wäre das illegal. Beispiele wären Zertifizierungen für Open Source, keine Cloud erforderlich, Firmware-Rollback, keine Telemetrie, Ende-zu-Ende-Verschlüsselung oder zehn Jahre Ersatzteile.
Da verschiedene Menschen unterschiedliche Punkte wichtig finden, ist es besser, wenn es Zertifizierungen gibt, die niemand nutzt, als dass die FTC falsch urteilt und eine ganze Produktkategorie vom Markt verschwindet.
Wenn auch die Konkurrenz keine Sticker hat oder es von vornherein keinen tragfähigen Wettbewerber gibt, müssen Unternehmen einen Mangel an Stickern nicht fürchten.
In Europa gibt es die CE-Kennzeichnung, die besagt, dass ein Produkt die Sicherheits-, Gesundheits- und Umweltanforderungen der EU erfüllt. China hat jedoch ein fast identisch aussehendes „CE“-Zeichen („China Export“) geschaffen, das keinerlei Regulierung bedeutet.
Deshalb kann man beim Kauf eines chinesischen Netzteils wegen eines „gefälschten“ CE-Zeichens fälschlich annehmen, es sei sicher.
1: https://www.kimuagroup.com/news/differences-between-ce-and-c...
2: https://en.wikipedia.org/wiki/CE_marking
Schon jetzt sind viele Produktverpackungen mit Stickern und Logos überladen, die meist eher Dekoration sind. Man kann sich auch leicht vorstellen, wie Politiker fragen, warum mit Steuergeld Produkte beworben werden, die „innovationsfeindlich“ sind (keine Telemetrie) oder „Kriminalität unterstützen“ (Ende-zu-Ende-Verschlüsselung).
Das müsste so streng überwacht werden, wie die FDA Nährwertangaben kontrolliert.
Wenn man über die Nachteile staatlicher Regulierung spricht, sollte man auch anerkennen, dass manche Probleme viel leichter zu lösen sind als andere.
Nicht alles ist eine libertäre Debatte über vollständig rationale Akteure nach dem Motto: „Vielleicht wollten Verbraucher ja absichtlich kaputtgehende Hardware.“
Verbraucher können ein Produkt kaufen, ohne die Bedeutung eines magischen Zertifizierungszeichens oder langer AGB zu verstehen, und dann komplett über den Tisch gezogen werden. Dieses Argument nur auf extrem eindeutige Fälle anzuwenden, ist völlig vernünftig.
Ich muss an den Fall denken, als Sony per Update die offiziell unterstützte Funktion OtherOS deaktivierte.
Mit dieser Funktion konnte man Linux und andere Betriebssysteme im Dual-Boot nutzen; wenn man das Update nicht installierte, wurde der Zugriff auf den Sony Store gesperrt, und Spiele, die die aktuelle PS3-Firmware verlangten, liefen ebenfalls nicht mehr.
Am Ende bekamen Nutzer, die diese Funktion verwendet und dann verloren hatten, 10,07 US-Dollar.
Danach untersuchten mehrere Forscher, wie sich Drittanbieter-Code auf dem Gerät ausführen lässt, und hatten Erfolg damit. [1] Sony versuchte daraufhin, einige Personen unter anderem mithilfe des DMCA strafrechtlich zu verfolgen [2], mit je nach Land und Beklagtem unterschiedlichem Erfolg.
[1] https://media.ccc.de/v/27c3-4087-en-console_hacking_2010
[2] https://en.wikipedia.org/wiki/Sony_Computer_Entertainment_Am...
Ehrlich gesagt gibt es sehr viele Geräte, die ich wegen solcher potenziellen Risiken und Abhängigkeiten nicht gekauft habe.
Der Aufwand ist es nicht wert.
Aus ähnlichen Gründen meide ich auch moderne Autos weitgehend. Mein Auto hat keinen nervigen Bildschirm; ich muss nur per Bluetooth eine Verbindung zum Werksradio oder zu einem einfach nachgerüsteten Radio herstellen. Die meisten Reparaturen kann ich selbst erledigen, ich muss nicht mit einem Händler sprechen, und seit dem Kauf bin ich 100.000 bis 200.000 Meilen gefahren, bei gutem Verbrauch. Ein neues Auto zu kaufen wäre fast schon Wahnsinn.
Für alles andere reicht ein Smartphone. Wenn es dringend ist, funktioniert auch ein altes Autotelefon über den Hotspot meines aktuellen Smartphones einwandfrei.
Bei Musik habe ich alles, was ich brauche, auf einem Speichermedium, und ich kann auch eine CD einlegen. Ich mag CDs als Medium, und dieses Jahr lagen sie vor digitalen Downloads. Vinyl mag ich auch.
Ich sehe, wie Leute mit solchen Dingen Probleme haben, aber ich verzichte dankend. Gemessen an Kosten und Risiken bereichern sie mein Leben nicht entsprechend.
Ich habe versucht, alle WLAN-IoT-Geräte aus meinem Haus zu entfernen.
Vor ein paar Jahren hatte ich sie noch in ein separates Gastnetz/VLAN gepackt und ihnen nur 5 Mbit Bandbreite gegeben.
Übrig sind jetzt nur noch ein paar IP-Kameras und ein Roborock-Staubsauger. Wir brauchen wirklich ein Local-First-Gesetz, das vorschreibt, dass solche Geräte zu 100 % im lokalen WLAN funktionieren.
Auf dem Smartphone gibt es eine App zur Hausverwaltung, und es gibt kaum einen Grund, warum man IoT-Geräte nicht ohne Internetverbindung direkt per Bluetooth oder über ein anderes Protokoll verwalten können sollte.
Es gibt auch eine an die App gekoppelte IoT-Cloud, aber man kann die Cloud abschalten oder eine eigene Cloud-URL verwenden; unterstützt werden HTTP- oder UDP-RPC, MQTT, ein lokaler Webserver im Schalter und das Schreiben von eigenem Code. Die Steckdose ist zwar nur ein Relais, misst aber auch Laststrom und Spannung.
Eine Ersteinrichtung über die App ist nicht nötig; alles lässt sich über HTTP-Aufrufe im Browser oder per
curlerledigen, sodass man jedes Betriebssystem verwenden und es auch skripten kann.Allerdings stört mich bei den Wandschaltern, dass es keine Möglichkeit gibt, sie in die bei Treppen- und Flurbeleuchtung üblichen 3/4-way-Schaltungen einzubauen.
Dimmer-API als Referenz: https://shelly-api-docs.shelly.cloud/gen2/Devices/Gen2/Shell...
Dann ist lokale Steuerung über eine Webseite oder eine freie Open-Source-App möglich.
https://valetudo.cloud/pages/general/supported-robots.html
Sie nutzen Open-Source-Software, integrieren sich gut mit Home Assistant und sind im wahrsten Sinne local-first.
Eine Achse sind Geräte mit einer lokalen API, egal ob binär oder HTTP; Systeme wie ESPhome gehören dabei zur Spitzengruppe.
Die andere Achse ist ein vernünftiger Router und eine WLAN-Infrastruktur, die damit umgehen kann. Die meisten Consumer-Router machen ab etwa 30 Geräten nicht mehr mit.
Früher war ich strikt gegen WLAN-IoT, aber beim Einrichten meines neuen Hauses setze ich auf einen hybriden Ansatz. Lichtlasten steuere ich mit Lutron, Nicht-Lichtlasten mit einer Mischung aus Z-Wave, Zigbee und WLAN-Geräten mit ESPhome. Die Netzwerkinfrastruktur ist Unifi und läuft nahezu problemlos.
Das Brennen von eFuses in Geräten sollte illegal sein.
Das Gerät gehört nicht mehr dem Hersteller, daher sollte der Hersteller weder das Recht haben, es physisch zu beschädigen, noch das Recht, mich als Nutzungsbedingung dazu zu zwingen, diese Beschädigung zuzulassen.
eFuses ermöglichen furchtbare verbraucherfeindliche Funktionen wie das Verhindern von Firmware-Downgrades, Blacklists für geleakte Kryptoschlüssel und Remote-Bricking.
Die meisten modernen CPUs funktionieren genau so. Man packt viele Funktionen auf einmal in einen Chip und fertigt sie auf dieselbe Weise, aber wegen Defekten entstehen Chips, bei denen einige Funktionen nicht funktionieren; dann brennt man interne eFuses durch, deaktiviert die defekten Bereiche und verkauft sie als Varianten ohne diese Funktionen.
Statt dass eine dumme Sicherung im Sicherungskasten durchbrennt und man Zeit und Geld für Ersatz aufwenden muss, kann man nach Behebung des Fehlers per Software zurücksetzen, was Kosten senkt und die Systemeffizienz erhöht.
Microsoft hat in Windows 11 24H2 die Unterstützung für Mixed Reality entfernt und damit alle Windows-VR-Headsets außer den Microsoft-Headsets unbrauchbar gemacht.
Ich frage mich, ob das unter diesen Fall fällt.
Entscheidend dürfte sein, ob Microsoft geplante Obsoleszenz beabsichtigt und entsprechend konstruiert hat, oder ob sie praktisch nur sehr schwer zu vermeiden war.
Gesetze gegen solche Praktiken werden seit mindestens 20 Jahren gefordert.
Frühe Beispiele sind das Unbrauchbarmachen der Linux-Unterstützung auf der PS3 und HP-Druckermodule. Gerade jetzt, wo es so viele Cloud-verbundene IoT-Geräte gibt, muss sich daran etwas ändern.
Das Gesetz sollte nicht nur den Verlust von Remote-Funktionen oder das Bricking abdecken, sondern auch Komponenten, die lokal auch ohne Cloud funktionieren können.
Eine Lösung, die nicht viel staatliche Kosten oder Durchsetzung erfordert, wäre eine Gesetzesänderung.
Unternehmen, die Produkte auf den Markt bringen, die eine Verbindung zu ihrem eigenen Dienst benötigen, müssen den gleichen oder einen besseren Nutzen und Funktionsumfang für mindestens 7 Jahre aufrechterhalten, nachdem dieses Hardwareprodukt zuletzt im Einzelhandel verkauft wurde.
Sobald sie Funktionen reduzieren oder die Kosten schneller als die Inflation erhöhen, müssen sie den aktuellen Quellcode, Kommentare, Dokumentation, Testsuites usw., die nötig sind, um alle Produktfunktionen nutzbar zu machen, in die Public Domain stellen.
Ab diesem Zeitpunkt sollten alle Parteien sämtliche Mittel vollständig nutzen dürfen, um Quellcode und Firmware per Reverse Engineering zu analysieren oder zu hacken.
Kurz gesagt: Wenn das Unternehmen es wartet, bleibt es seins; wenn nicht, sollten alle anderen es stattdessen warten können. Dann kann man die Buchhalter, die die Kosten für diesen Monat senken wollen, und die IP-Anwälte, die alles für immer geheim halten wollen, gegeneinander antreten lassen.
In der Praxis ist Open Source dann möglicherweise keine Option.
Mir fällt auch der häufige Fall komplexer Integrationen mit mehreren Drittanbietern wie OpenAI ein; das könnte für Nutzer schwer selbst zu handhaben sein.
Warum sollte ein Unternehmen ein Produkt als Geisel halten dürfen, das es weder weiter verkauft noch wartet? Kunden gewinnen, und das Unternehmen verliert praktisch nichts. Schließlich verkauft oder wartet es das Produkt ohnehin nicht mehr.