- Auf Smartphones der A- und M-Serie von Samsung wird ohne Zustimmung der Nutzer vorinstallierte Bloatware namens AppCloud ausgeliefert
- AppCloud wurde von ironSource (in Israel gegründetes Unternehmen, heute im Besitz von Unity) entwickelt und ist wegen der Erfassung sensibler Informationen sowie seiner Nicht-Entfernbarkeit umstritten
- Die Datenschutzrichtlinie ist intransparent, und Nutzer werden nicht darüber informiert, welche Daten erfasst werden und wie sie verwendet werden
- Die erzwungene Installationsmethode könnte gegen regionale Datenschutzgesetze und die DSGVO verstoßen
- Gruppen wie SMEX fordern von Samsung Transparenz, eine Löschoption und ein Ende der Vorinstallation in Zukunft
Problemaufriss: Kontroverse um zwangsweise installierte Bloatware auf Samsung-Handys in der WANA-Region
- In jüngster Zeit wurden zahlreiche Berichte von Nutzern aus Westasien und Nordafrika (WANA) gesammelt, wonach auf Samsung-Smartphones die kaum bekannte intrusive Bloatware AppCloud vorinstalliert ist
- Die Installation erfolgt ohne Zustimmung oder vorherige Benachrichtigung der Nutzer; es bestehen erhebliche Bedenken wegen der Erfassung sensibler personenbezogener Daten, der fehlenden Deinstallierbarkeit und der Intransparenz der Datenschutzrichtlinie
AppCloud und ironSource
- AppCloud wurde von ironSource (in Israel gegründet, heute im Besitz von Unity) entwickelt; die Natur des Unternehmens und regionale rechtliche Einschränkungen führen zu zusätzlichen rechtlichen und ethischen Kontroversen
- Samsung bietet keinerlei Transparenz zu den Funktionen von AppCloud, den erfassten Daten oder den Wahlmöglichkeiten der Nutzer
Forderungen im offenen Brief von SMEX
- Samsung wird dringend aufgefordert, die Datenschutzrichtlinie von AppCloud, die Datenverarbeitung sowie Methoden zum Löschen/Deaktivieren offenzulegen
- Zudem wird empfohlen, bei künftigen Vorinstallationen auf Geräten das Recht auf Datenschutz zu berücksichtigen, und es wird ein Treffen zur Erörterung des Themas gefordert
Verbreitung der AppCloud-Installation und Bedenken
- Seit der Ausweitung der Zusammenarbeit zwischen Samsung und ironSource im Jahr 2022 wird AppCloud auf neuen Modellen der A- und M-Serie standardmäßig installiert
- Laut einer Analyse von SMEX ist diese Software tief in das Betriebssystem (O/S) integriert, sodass sie mit normalen Nutzerrechten nicht entfernt werden kann
- Ohne Rooting ist eine Entfernung nicht möglich; selbst nach einer Deaktivierung wird sie bei Systemupdates wiederhergestellt
Intransparenz der Datenschutzrichtlinie
- Die Datenschutzrichtlinie von AppCloud scheint nicht zu existieren oder ist nicht zugänglich
- Es wird nicht transparent erklärt, welche Daten erfasst und genutzt werden und wie diese geschützt werden
- Dabei werden personenbezogene Daten einschließlich sensibler Nutzerdaten erfasst, etwa biometrische Informationen, IP-Adressen und Gerätekennungen
Installation ohne Einwilligung und mögliches Gesetzesrisiko
- AppCloud wird ohne Einwilligung der Nutzer automatisch installiert, was möglicherweise gegen die DSGVO und Datenschutzgesetze von WANA-Staaten verstößt
- Mit Verweis darauf, dass ironSource nach regionalen Vorschriften in einigen Ländern (z. B. im Libanon) geschäftlich nicht tätig sein darf, werden zusätzliche rechtliche und ethische Probleme hervorgehoben
Problematische Punkte in Samsungs Nutzungsbedingungen
- Die Nutzungsbedingungen des Dienstes erwähnen lediglich allgemein Drittanbieter-Apps, enthalten jedoch keine konkreten Hinweise zu ironSource oder AppCloud
- Für AppCloud, das weitreichende Zugriffs- und Kontrollrechte über Daten besitzt, fehlt eine gesonderte Mitteilung, was auf mangelnde Transparenz hinweist
Verletzung von Nutzerrechten und Marktauswirkungen
- Die erzwungene Installation von AppCloud stellt einen Eingriff in die Datenschutz- und Sicherheitsrechte der Nutzer dar; angesichts von Samsungs überwältigendem Marktanteil in der Region werden erhebliche gesellschaftliche Auswirkungen befürchtet
- Vor diesem Hintergrund fordern die Gruppen Folgendes
- Vollständige Offenlegung und Zugänglichkeit der Datenschutzverarbeitung und Datennutzung von AppCloud
- Klare Hinweise zu Opt-out und vollständiger Entfernung sowie Unterstützung, damit dies ohne Beeinträchtigung der Gerätestabilität möglich ist
- Eine klare Erklärung, warum AppCloud auf Geräten der A- und M-Serie in der WANA-Region vorinstalliert wurde
- Eine vollständige Neubewertung künftiger Vorinstallationen auf neuen Geräten und die Gewährleistung von Datenschutzrechten (gemäß Artikel 12 der Allgemeinen Erklärung der Menschenrechte)
- Ein konkretes Treffen mit den zuständigen Samsung-Verantwortlichen zu Richtlinien für den Schutz der Privatsphäre und personenbezogener Daten
- Zum Schutz der Privatsphäre und Sicherheit der Nutzer wird eine schnelle Antwort und Zusammenarbeit von Samsung erwartet
1 Kommentare
Hacker-News-Kommentare
Ich vermute, dass die großflächige Überwachung durch Unternehmen zu Werbezwecken und die Überwachung durch staatliche Nachrichtendienste eng mit den jüngsten Fällen zusammenhängen, in denen hochrangige iranische Nuklearwissenschaftler und Militäroffiziere in ihren Häusern gezielt angegriffen wurden. Unabhängig von Land oder Lager dürfte heute jeder darin übereinstimmen, dass sich allein aus „halböffentlichen“ Daten – etwa von Unternehmen verkauften Kundendaten oder Apps mit eingebauten Spyware-Funktionen – bereits viel zu viele Informationen über eine Person ableiten lassen. Nachrichtendienste können die Informationsbeschaffung inzwischen an den Markt auslagern, was deutlich billiger und bequemer ist als traditionelle Methoden. Der Ruf „Privatsphäre ist ein Menschenrecht“ wurde lange ignoriert, aber hoffentlich erkennen Politiker bald, dass Privatsphäre auch eine Frage der nationalen Sicherheit ist
Die Wahrheit ist eine Realität außerhalb des Overton Window. Im Zeitalter der Drohnen ist Privatsphäre eine Frage der zivilen Verteidigung, und doch tragen die Strukturen bestehender Staaten mit ihren massiven PII-Datenbanken genau diese Verwundbarkeit in sich. Aufständische könnten solche Datenbanken stehlen und zur Zielauswahl nutzen, während Staaten am Ende nur noch an der überholten Illusion territorialer Kontrolle festhalten. Im Vergleich zu früher wird sich Kontrolle auf einige wenige befestigte geheime Anlagen verengen, und ich habe das Gefühl, dass die Lage künftig äußerst unvorhersehbar und extrem gewaltsam eskalieren wird
Wir stellen uns oft spionagefilmreife Operationen vor, bei denen jemand per Smartphone-Hacking heimlich Menschen verfolgt, die eine Nuklearanlage besucht haben. Aber die viel logischere Erklärung ist wohl ein realistisches Szenario: Man nimmt Kontakt zu einem niedrig eingestuften Mitarbeiter der MEAF auf, bekommt von ihm einen USB-Stick mit Regierungsorganigramm und Gehaltsdaten und sorgt im Gegenzug dafür, dass sein Kind ein Stipendium an einer bekannten ausländischen Universität erhält
Soweit ich gehört habe, wurden die zellularen Kommunikationsnetze im Iran anfangs größtenteils von koreanischen Unternehmen aufgebaut; später wurde ein Teil durch chinesische Marken ersetzt, aber problematische koreanische Ausrüstung soll dort immer noch im Einsatz sein
Solche hochrangigen Ziele (iranische Generäle/Wissenschaftler usw.) muss man nur einmal identifizieren, danach lassen sie sich per Satellit dauerhaft verfolgen. Dafür braucht man keine punktgenaue Position, es reicht zu wissen, welches Gebäude bombardiert werden soll
Wetter-Apps gehören zu den schlimmsten Übeltätern, wenn es darum geht, Standortdaten an Broker weiterzugeben. Wir leben in einer Zeit, in der ein Blick aufs heutige Wetter das Risiko erhöht, morgen bombardiert zu werden
Ich teile den Originallink (https://web.archive.org/web/20250506145643/…), weil er down ist. Der Artikel erklärt nicht richtig, was AppCloud eigentlich ist, aber im Kern ist es eine Methode, mit der Samsung Nutzer von Nicht-Flaggschiff-Geräten monetarisiert; es kann Werbung in Benachrichtigungen einschleusen oder heimlich Apps installieren. Wenn ich so etwas auf meinem Gerät entdecken würde, wäre für mich Schluss und ich würde zu Apple wechseln
Da denkt man sich doch: Dann kauft man eben einfach kein Samsung. Natürlich könnte meine Handy-Marke theoretisch Ähnliches tun, aber bisher war sie nicht in den Nachrichten, deshalb fühlt es sich relativ sicherer an
Ich kann aus Erfahrung sagen, dass dasselbe auch bei Flaggschiffmodellen passiert, besonders bei Carrier-Versionen. Ständig kommen Benachrichtigungen von Apps, die ich noch nie gesehen habe, und seit Samsung Galaxy AI aufgezwungen hat (verschwindet beim Markieren von Text im Browser absolut nicht) sowie wegen diverser UI-Probleme bereue ich meine Entscheidung jeden Tag
Wenn man ein fünf Jahre altes iPhone gebraucht kauft, ist es günstig, bekommt lange Support und läuft besser als Billig-Smartphones. Ich bin von einem XS auf ein neueres Modell umgestiegen, aber selbst das 16 fühlt sich gar nicht so anders an, und ich war überrascht, wie niedrig selbst dafür die Gebrauchtpreise inzwischen sind. Alte iPhones laufen deutlich flüssiger als die meisten Android-Geräte der Mittelklasse
Man muss Android nicht aufgeben. Es gibt auch Fairphone (https://fairphone.com). Das Standard-Android ist okay, und wenn man Privatsphäre will, ist e/OS/ zu installieren kinderleicht. Ich kann überhaupt nicht nachvollziehen, wie man noch zu dem Schluss kommen kann, dass sich der Kauf eines Samsung-Geräts lohnt
Der Teil mit „nicht entfernbar“ ist nicht ganz präzise. Komplett löschen geht zwar nicht, aber weil es auf der Systempartition liegt, kann man es in den meisten Fällen per adb-Befehl deaktivieren. Ich habe damit sogar schon den Galaxy Store deaktiviert
Wenn etwas „unremovable“ ist, aber „nicht vollständig gelöscht werden kann“, dann ist das meiner Meinung nach genau die Definition von nicht entfernbar
Diese Methode funktioniert nicht bei allen Handys. Hersteller wie Motorola nutzen die Funktion „nodisable“, um das Deaktivieren von APKs komplett zu verhindern. Auf meinem Motorola RAZR 5G aus dem Jahr 2025 gibt es unter
/product/etc/nondisableXML-Dateien, in denen die Namen von Apps für Carrier und Finanzunternehmen eingetragen sindIch habe auf einem Samsung-Handy dasselbe per adb-Befehl entfernt und die Methode hier dokumentiert: https://harigovind.org/notes/removing-samsung-android-bloatware/. Aber diese Apps kommen bei jedem Systemupdate wieder, deshalb habe ich Samsung letztlich aufgegeben und bin zu Moto mit weniger Bloatware gewechselt
Samsung wird sicher Geld für ein PR-Team ausgeben, das die Tatsachen schönredet; wenn du das hier schon abdeckst, solltest du dafür wenigstens auch bezahlt werden. Du hast selbst eingeräumt, dass man es nicht direkt löschen kann, und wenn man Shell-Befehle einsetzen muss, um es abzuschalten, dann ist es letztlich ein Konstrukt, das bei jedem Update wiederkehrt
Die Bedeutung eines Wortes muss nicht zwingend nur technisch und wörtlich gelten. Wenn normale Nutzer eine App nicht einfach und intuitiv löschen können, dann ist sie in der Praxis eben „nicht entfernbar“. adb-Befehle erfordern einen PC, ein Kabel, eine installierte adb-Umgebung, Debugging-Modus usw. – für normale Menschen ist das praktisch auf dem Niveau eines Servicecenters, ähnlich wie Chiptuning beim Auto
Dieser Beitrag verbreitet sich schneller als erwartet, daher noch eine Ergänzung. Ähnliche Fälle wurden in der gesamten MENA-Region beobachtet. Der SMEX-Artikel konzentriert sich auf WANA, aber im MENA-Raum ist das Ganze teils auch unter dem Namen „Aura“ bekannt. Dazu gibt es diesen Artikel: https://moroccoworldnews.com/2025/06/…
SMEX ist eine im Libanon ansässige Organisation, und (S)WANA ist wohl ein neuerer Begriff, der heutzutage als Ersatz für die Bezeichnung MENA verwendet wird
WANA und MENA bezeichnen im Grunde dieselbe Region
Ich habe früher Mobile Device Management für Unternehmen gemacht. Diese AppCloud war auf breiter Front installiert, auch auf europäischen Open-Market-Geräten. Vor allem auf Enterprise-Geräten dürfte sie absolut nicht vorhanden sein (einschließlich Geräten mit Enterprise-MDM und E-FOTA-Verwaltung). Ich hatte deswegen auch unangenehme Gespräche mit Samsung
Auf meinem in Australien gekauften Gerät war sie ebenfalls installiert
AppCloud wurde von dem umstrittenen israelischen Startup ironSource entwickelt und kürzlich vom US-Unternehmen Unity übernommen
Dann kann man jetzt also auch Witze darüber machen, dass Unity mit Malware in Verbindung steht
Das Merkwürdigste an der Fusion ist, dass Unity ironSource für ganze 4,4 Milliarden Dollar übernommen hat
Ich hatte Samsung in Betracht gezogen, weil ich dachte, es sei der einzige nichtchinesische Smartphone-Hersteller im Bereich unter 150 Dollar ohne Spyware-Kontroverse, aber jetzt sind die verbleibenden Optionen unklar. Wenn es ein Handy gibt, auf dem sich Open-Source-Firmware installieren lässt, würde ich das in Erwägung ziehen. Ich vertraue meinem Handy ohnehin nicht, speichere daher überhaupt keine wichtigen Informationen darauf und logge mich auch nirgendwo ein oder installiere Apps. Geräten, auf denen kein Linux läuft, vertraue ich grundsätzlich nicht
Auch in Europa und Nordamerika ist AppCloud auf Samsung-Handys installiert. Es wird nach dem Zurücksetzen, nach Systemupdates und sogar nach Sicherheitsupdates installiert (paradoxerweise!). Das gilt unabhängig davon, ob das Gerät einen Carrier-Lock hat, und manchmal erscheint es erst, wenn man in den Einstellungen „System-Apps anzeigen“ aktiviert. Viele Nutzer berichten das, auch bei Geräten der Galaxy-S-Serie. Ich finde die ganze AppCloud-Sache völlig absurd
Supply-Chain-Probleme sind die wohl „cyberpunkigste“ Realität moderner Sicherheit. Es geht nicht um Mathematik, sondern um Vertrauen, Macht und Geld. Ich frage mich, ob es noch eine Chance gibt, kryptografische Verifikation so in Lieferketten einzuführen, dass Kunden wirklich sicher sein können, oder ob es bereits zu spät ist und nur noch eine cyberpunkige dystopische Zukunft bleibt. Ich frage mich, ob Mathematik diese Dynamik überhaupt noch verändern kann
Die Behauptung „ohne Root nicht entfernbar, mit Root erlischt die Garantie und es entstehen Sicherheitsrisiken“ ist genau die Wortwahl der Unternehmenspropaganda, die uns überhaupt erst in diese absurde Lage gebracht hat. Wenn ich Eigentümer des Geräts bin, sollte Root-Zugriff selbstverständlich dazugehören, sonst ist es kein echtes Eigentum
Rechtlich sollte jede Hardware, auf der sich beliebige Drittsoftware ausführen lässt, als universelles Computing-Gerät gelten, und kryptografische oder sonstige Beschränkungen für vom Nutzer ausgeführte Software (z. B. Secure Boot, Remote Attestation usw.) sollten verboten sein. Das sollte auch für alle Komponenten eines Geräts gelten. Ebenso sollte es Anbietern untersagt sein, Dienste wegen fehlgeschlagener Remote Attestation zu verweigern (abgesehen vom Schutz des Dienstanbieters selbst). Solche Beschränkungen nützen am Ende nur Werbetreibenden statt Nutzern, etwa indem Modifikationen an Videoplayern zum Überspringen von Werbung verhindert werden
In der aktuellen Struktur führt Rooten tatsächlich zwangsläufig zu Sicherheitsverlusten. Dass man Verified Boot nicht nutzen kann und Attestation an Unternehmen gebunden ist, sind alles Strukturprobleme
Inzwischen ist es eher ein „Nutzungsrecht für Hardware“, wodurch uns sogar die Freiheit genommen wird, unsere eigenen Geräte frei zu verwenden. Besonders außerhalb der USA und Europas, etwa in Afrika, sind Konzepte wie Privatsphäre und Verbraucherrechte noch schwach ausgeprägt
Die derzeitige Rechtslage ist das Ergebnis von Unternehmenspropaganda, aber zugleich auch eine reale Tatsache. „root access voids warranty“ ist in vielen Regionen tatsächlich die Rechtsrealität. Es ist also weniger bloße Wiederholung von Propaganda als eine Beschreibung der realen Lage
An dem Satz „Rooten macht die Garantie ungültig und ist ein Sicherheitsrisiko“ ist für sich genommen nichts falsch, aber wenn man Tatsachenbeschreibung und Werturteil gleichsetzt, wird ein komplexes Problem zu stark vereinfacht. Ähnlich wie die Warnung „An Feuer kann man sich verbrennen“ ausblendet, dass Menschen Feuer tatsächlich zum Kochen und Heizen brauchen
Ich komme nicht aus diesem Bereich, aber wenn man rein auf Sicherheit setzen würde – selbst auf Kosten der Leistung und unter Ausschluss geschlossener westlicher Hardware –, frage ich mich, wie machbar es wäre, wenn hochqualifizierte Hardware- und Softwareleute gemeinsam ein vollständig sicheres Smartphone bauen würden. Schon Dinge wie ein verifizierter Microkernel, standardmäßig vollständig verschlüsselte Nachrichtenübermittlung, verschlüsselter Speicher, verschlüsselte Interprozesskommunikation und Hardware-Schalter für Modem, Peripherie und Akku wären wohl ziemlich bedeutend
Aber ob etwas technisch möglich ist, spielt gegenüber der Macht des Kapitals keine Rolle. Kapital wird niemals Geräte zulassen, die sich seiner Kontrolle entziehen. Ein wirklich sicheres Gerät bleibt am Ende nur ein Traum
Man sollte darauf hinweisen, dass ein verifizierter Microkernel auf einem Niveau, das sich für die tatsächliche Produktion eignet, eine enorme Engineering-Aufgabe wäre