Ihr Monitor ist jetzt ein Softwareanbieter, und er hat nie um Erlaubnis gefragt
Die Beschaffung prüft am Kaufdatum, ob ein Gerät seinem Zweck entspricht. Sie stellt nie die eine Frage, die inzwischen zählt: Wer darf nachträglich ändern, was dieses Gerät tut, und wozu kann er Sie damit verpflichten?
Jeder Beschaffungsprozess hat einen Prüfpunkt, den er nie durchführt. Er bestätigt am Tag der Auslieferung, dass ein Gerät seinem Zweck entspricht, zeichnet die Risikobewertung ab und legt die Unterlagen zum Anlagegut ab. Was er nie festhält, ist, wer danach die Feder führt: wer Code installieren, Nutzungsbedingungen umschreiben und verändern darf, was die Hardware Ihnen im nächsten Quartal antut. Der Bestellvorgang behandelt den Kauf als Ende der Verhandlung. Bei allem mit Firmware-Update-Pfad hat die Verhandlung gerade erst begonnen.
Nehmen Sie das passivste Objekt auf dem Schreibtisch. Unabhängigen Berichten zufolge installierte Windows Update still und leise einen LG Monitor App Installer, nachdem ein LG-Display angeschlossen wurde, und zwar über den Geräte-Metadaten-Kanal, nicht über einen Store oder eine Freigabeabfrage. Niemand hat auf „Zustimmen“ geklickt, weil niemand gefragt wurde. Die Berechtigungen, die normalerweise eine Prüfung auslösen würden, sämtliche Systemressourcen plus Netzwerkzugriff, wurden von der Sanitärtechnik des Betriebssystems erteilt, während die Endpoint-Policy wegsah. Ein Bildschirm verhielt sich wie ein Softwareanbieter mit aktivem Installationspfad in die Maschine, und kein einziger Schritt im Beschaffungsprozess hat das kommen sehen.
Wer darf nach dem Kauf ändern, was dieses Gerät tut?
Die Belege sind öffentlich, und sie lesen sich weniger wie eine Chronik als wie eine eingespielte Gewohnheit. FlatpanelsHD dokumentierte, wie LG Werbung in Bildschirmschonern von Fernsehern platzierte, zunächst bei Modellen aus 2024, dann per späterem Update auch bei älteren OLED-Generationen, die auf den Markt kamen, bevor es das Werbegeschäft überhaupt gab. Tom's Hardware berichtete, dass ein Microsoft-Assistent nach einem Update auf webOS-Fernsehern auftauchte, was LG als Browser-Verknüpfung statt als eingebettete App darstellte, mit einer für eine künftige Version versprochenen Entfernbarkeit. Gehen Sie mehr als ein Jahrzehnt zurück, und das Verhalten ist bereits da: 2013 fand ein Gerätebesitzer per Netzwerkmitschnitt heraus, dass LG-Fernseher trotz deaktivierter Erfassungseinstellung weiterhin Sehgewohnheiten übermittelten und dabei sogar die Dateinamen von Videos auf angeschlossenen USB-Laufwerken weitergaben, wozu LG Ermittlungen ankündigte. Ein Gerät, das Sie als Display eingestuft haben, wird per Firmware zu einem Gerät, das wirbt und über Sie berichtet. Nichts davon existierte, als Sie die Bestellung unterschrieben haben, und ein Verfallsdatum für Ihre Risikobewertung wurde nie vorgesehen.
Kann ein Hersteller Ihren Konferenzraum zum Haftungsrisiko machen?
Der kommerzielle Mechanismus dahinter ist nicht subtil. Hersteller nutzen den Endpunkt längst als Vertriebskanal; McAfees eigene Ankündigung beschreibt eine 2021 getroffene Vereinbarung, um eine Sicherheits-Testversion auf LG-PCs vorzuinstallieren. Software zu bündeln ist alter Hut; neu ist der Vertrag, der jetzt um diese Software gewickelt wird.
Lesen Sie die aktuellen Bedingungen. LGs Servicebedingungen legen fest, dass bei Produkten mit Sprachfunktion, die Dritte aufzeichnen können, allein der Nutzer für die Einholung der Einwilligung verantwortlich ist und für die Information von Haushaltsmitgliedern und Gästen gemäß geltendem Datenschutz- und Abhörrecht. Im Wohnzimmer liest sich diese Klausel wie Theater, meist ungelesen und nie in Anspruch genommen. Stellen Sie dasselbe Gerät in einen Konferenzraum, hört es auf, Theater zu sein. Ihre Organisation hat, durch stillschweigende Annahme, zugestimmt, eine Einwilligungspflicht für jeden zu übernehmen, dessen Stimme das Gerät hört. Ob ein Anbieter gesetzliche Haftung auf diese Weise tatsächlich abwälzen kann, ist eine offene Rechtsfrage und keine feststehende Tatsache, und genau diese Unsicherheit ist das Risiko: Sie haben eine Klausel akzeptiert, deren Durchsetzbarkeit niemand geprüft hat, auf Hardware, die Sie nie als datenverarbeitendes Risiko eingestuft haben.
Der naheliegende Reflex ist, Updates zu verweigern. Genau dieser Reflex wurde herauskonstruiert. Hersteller bündeln Sicherheitspatches mit Änderungen der Nutzungsbedingungen, sodass eine Ablehnung der neuen Vereinbarung auch den Verzicht auf die Fixes bedeutet. Datenschutz und aktueller Patchstand werden absichtlich gegenseitig ausgeschlossen. Sie können das Gerät nicht sicher halten und gleichzeitig den ursprünglich unterschriebenen Vertrag behalten, und kaum eine Beschaffungsrichtlinie hat für diesen Zielkonflikt ein Budget.
Greifen Regulierungsbehörden ein, bevor es Sie trifft?
Verlassen Sie sich nicht darauf, dass die Durchsetzung nach Ihrem Zeitplan läuft. Der Vergleich des Attorney General von Texas mit LG wegen automatisierter Inhaltserkennung, nach einem Vergleich mit Samsung und mit als laufend beschriebenen Verfahren gegen weitere Hersteller, zeigt das Muster: Verbraucherschutzverfahren greifen Jahre, nachdem sich eine Praxis etabliert hat, und das übliche Ergebnis ist bessere Offenlegung, nicht Unterlassung. Dasselbe Muster kennt man aus der DSGVO-Durchsetzung durch den BfDI und die Landesdatenschutzbehörden: Ein Verfahren, das erst in einigen Jahren zu einer Entscheidung kommt, hilft Ihnen bei dem Risiko, das Sie heute tragen, überhaupt nicht, und wenn es kommt, bestätigt es lediglich, dass Sie die ganze Zeit exponiert waren.
Die Lösung ist also nicht eine strengere Prüfung zum Kaufzeitpunkt, denn der Kauf ist der falsche Prüfpunkt. Behandeln Sie jedes netzwerkfähige Gerät als Lieferantenbeziehung mit aktivem Änderungskanal. Beginnen Sie mit einer Inventur, welche Hardware selbstständig Software installieren oder neue Bedingungen akzeptieren kann, Monitore und Konferenzraum-Displays eingeschlossen, nicht nur die Assets, die Ihr CMDB ohnehin als Computer führt. Schließen Sie den Betriebssystem-Pfad per Richtlinie, nicht per Nutzeraufmerksamkeit: Microsoft dokumentiert eine Gruppenrichtlinien-Einstellung, Prevent automatic download of applications associated with device metadata, und diese zentral durchzusetzen schlägt die Hoffnung, dass jeder Nutzer selbst ablehnt. Ergänzen Sie dann die Spalte, die kein Anlagenregister führt: was jedes Gerät Ihnen vertraglich im nächsten Jahr antun darf, statt was es am Tag der Auslieferung getan hat. Genau diese Lücke hält das Risiko unsichtbar.
Die Lehre gilt über eine Marke hinaus. Jedes Gerät mit Firmware-Update-Pfad ist ein Lieferant mit einem dauerhaften Recht, Code zu installieren und den Vertrag neu zu schreiben, und das langweilige, passive Peripheriegerät ist der weiche Einstiegspunkt, gerade weil Ihre Kontrollen unterstellen, es sei träge. Wir helfen Mandanten, diesen aktiven Änderungskanal in ihr Beschaffungs- und Governance-Modell für Technologie einzubauen, als Teil unserer technischen Strategiearbeit, und darüber nachzudenken, wo autonome Software im Netzwerk sitzen sollte und wo nicht. Die entscheidende Frage ist, wer nach der Zahlung die Feder führt, nicht ob man dem Monitor vertrauen kann.
Häufige Fragen
Kann ein Monitor tatsächlich ohne Freigabe Software auf einem Firmen-PC installieren?
Unabhängige Berichte beschreiben, wie ein LG-Monitor über den Geräte-Metadaten-Kanal von Windows Update die Installation einer LG-Anwendung auslöste, nachdem das Display angeschlossen wurde, ohne separaten Freigabeschritt. Genau deshalb gehören netzwerkfähige Peripheriegeräte in Ihre Inventur der installationsfähigen Hardware.
Schützt es uns, Firmware- oder Treiber-Updates zu verweigern?
Nicht zuverlässig. Hersteller bündeln Sicherheitspatches häufig mit Änderungen der Nutzungsbedingungen, sodass eine Ablehnung der neuen Vereinbarung auch die Fixes kostet und Sie zwischen Patchstand und ursprünglichem Vertrag wählen müssen.
Sind solche Praktiken nach deutschem oder europäischem Datenschutzrecht rechtswidrig?
Das ist eine offene Rechtsfrage, keine feststehende Tatsache. Bedingungen, die den Käufer für die Einwilligung Dritter verantwortlich machen, schaffen ein diskutables Risiko, und Verbraucherschutzbehörden klagen bereits gegen die Datenerhebung von Geräteherstellern, aber Ausgang und Durchsetzbarkeit sind noch nicht geklärt.
Verwandte Artikel
- Die Souveränitätsprämie: Warum souveräne KI-Lösungen für Unternehmen nicht wegen Tempo gewinnen, sondern wegen Zugriffssicherheit
- Man sieht die Kamera nicht mehr: Warum smarte Brillen die Vertraulichkeitsregeln im Büro aushebeln
- KI-Sicherheitsmarketing als Bumerang: Wie die Weltuntergangs-Rhetorik ihren eigenen Käfig baute
- Security & Trust
Verfasst von einer KI-Redaktionspersona des proprietären Redaktionssystems von Abyshire und von unserem Team geprüft.