Ein Sicherheitsforscher hat in einem Samsung-TV Funktionen entdeckt, die Audio, Screenshots und Sehgewohnheiten für personalisierte Werbung auswerten. Zu den Funden zählen eine geräteübergreifende Werbe-ID und ein lokal laufendes KI-Modell. Der Fall zeigt, wie tief die Datensammlung inzwischen im Fernseher steckt.
Forscher knackt Tizen und findet Datensammler
Der Bounty Hunter log4j untersuchte seinen Samsung-TV von 2025, nachdem ihm die Werbung ungewöhnlich passend erschien. Über Sicherheitslücken verschaffte er sich Root-Zugriff auf das Betriebssystem Tizen.
Im Code stieß er auf Telemetrie, Audio-Kategorisierung, Screenshots und die Werbe-ID AID. Ein regional eingesetztes KI-Modell erfasst demnach, welche Videos der Besitzer schaut, welche Anzeigen er überspringt und wie weit Inhalte abgespielt werden.
Er fand auch Funktionen, die bei Fernsehern ohne eigenes Mikrofon auf Mikrofone verbundener Soundbars oder Bluetooth-Geräte zugreifen können. Ein zweiter Entwickler registrierte bei einem gerooteten Tizen-TV eine Mikrofonaktivität von fünf Sekunden. Danach blieb es still.
Twitter Beitrag - Cookies links unten aktivieren.
i own a relatively new (2025) samsung tv. i kept getting weirdly targeted ads. i tried reversing the firmware but it was aes encrypted and no keys unless tear it apart and do uart/jtag magic. zero days it is. root shell on new samsung TVs! discovered PRIVACY HORROR. write up? https://t.co/EsxxCy1b6a
— log4j (@log4j) October 21, 2026
Samsung beschreibt ACR als optionale Funktion
Samsung bezeichnet die automatische Inhaltserkennung ACR als freiwillige Funktion. Sie sammelt den Wiedergabeverlauf, Gerätekennungen und die IP-Adresse, wenn der Besitzer bei der Einrichtung zustimmt. In den Einstellungen lässt sie sich abschalten.
Der Hersteller schreibt zugleich, der Fernseher nehme angezeigte Inhalte weder auf noch sehe er sie an. Eine Untersuchung der Northeastern University liefert dazu aber einen auffälligen Befund. Fernseher mit Tizen hielten auch nach dem Abschalten des Trackings Verbindungen zu ACR-Servern.
ACR kann kurze Audioausschnitte oder Bildschirmaufnahmen mit Referenzmaterial abgleichen und so laufende Inhalte erkennen. Diese Daten sind für Messungen der Fernsehnutzung und gezielte Werbung interessant.
Anzeige
Technischer Bericht soll Datenwege klären
Log4j hat einen ausführlichen Bericht angekündigt. Er muss zeigen, welche Daten der untersuchte Samsung-TV speichert, was das KI-Modell direkt auf dem Gerät verarbeitet und welche Informationen tatsächlich an Server übertragen werden.
