Neu auspacken, einschalten, loslegen. Es könnte so schön sein, doch manche Handys sind weniger „sauber“, als es auf den ersten Blick scheint. Bei einigen Billig-Smartphones ist das Gerät schon ab Werk kompromittiert. Davor warnen Sicherheitsforscher von Bitdefender. Sie haben eine Schadsoftware-Kampagne aufgedeckt, die sie „Midnight Mimosa“ nennen. Das Perfide daran: Sie steckt nicht in einer heruntergeladenen App, sondern in der Systempartition. Sie ist also Teil des Betriebssystems, das der Kunde mitkauft.
Was die Malware auf deinem Handy treibt
Kern der Kampagne ist eine unscheinbare System-App. Sie heißt schlicht „System“, hat kein Icon und läuft mit denselben Rechten wie Android selbst. Je nach Gerät taucht sie unter Paketnamen wie com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot oder com.android.sys.bcprot auf.
Mit diesen Rechten kann sie ohne Rückfrage Apps installieren und löschen, Berechtigungen vergeben und weiteren Code von einem Server nachladen. Laut Bitdefender schleust sie so mindestens 32 getarnte Apps aufs Handy: angebliche Wetter-Apps, App-Sperren, Dateimanager, Texterkennungs-Tools und Audio-Editoren.
Das Geschäftsmodell dahinter:
- Werbebetrug: Unsichtbare Fenster laden echte Werbung und täuschen Klicks vor, die du nie gemacht hast.
- Dein Internetanschluss wird vermietet: Das Handy wird zum Proxy-Knoten. Fremde leiten ihren Datenverkehr über deine Verbindung, solche Netzwerke lassen sich auch für DDoS-Angriffe nutzen.
- Tarnung vor Google: Kurz bevor die Malware eine neue App installiert, schaltet sie den Play Store ab. Damit läuft auch der Scanner von Play Protect nicht. Danach wird der Store wieder aktiviert.
Besonders heikel: Die System-App gibt sich selbst Zugriff auf die Bedienungshilfen, auf Benachrichtigungen und auf SMS. Bitdefender hat nicht beobachtet, dass diese Rechte bereits missbraucht werden. Die Tür steht aber offen. Wer die Bedienungshilfen kontrolliert, kann Bildschirminhalte mitlesen, und wer SMS lesen darf, kommt – zumindest theoretisch – an Einmal-Codes für Online-Banking und andere Logins. Zumindest auf dem Papier ist das brandgefährlich.
Diese Handys sind betroffen
Am häufigsten fanden die Forscher die Malware auf zwei Outdoor-Smartphones bekannter Budget-Marken: dem Doogee S200 X und dem Cubot KingKong X. Dazu kommen zahlreiche Billig-Klone, die sich als Flaggschiffe ausgeben, etwa als „S24 Ultra“, „S25 Ultra“, „S26 Ultra“ oder „i17 Pro Max“. Mit echten Samsung– oder Apple-Geräten haben diese Nachbauten nichts zu tun. Gemeinsam ist fast allen betroffenen Modellen ein Chip von MediaTek.
Bitdefender hat die Kampagne nach eigenen Angaben über rund zwei Jahre auf Tausenden Geräten in mehr als 150 Ländern nachgewiesen. Deutschland zählt zu den am stärksten betroffenen Ländern, neben Mexiko, Frankreich, Italien, den USA, Brasilien und Spanien.
Wer die Malware einschleust, ist nicht bekannt. Die Firmware betroffener Geräte ist teils mit Zertifikaten signiert, die auf den chinesischen Hersteller Shenzhen Zediel verweisen. Bitdefender betont aber, dass das kein Beweis für eine Beteiligung ist. Infrage kommen auch Auftragsfertiger, Firmware-Dienstleister oder andere Glieder der Lieferkette.
Und es wird noch kurioser: In Foren berichten Besitzer von Cubot- und Doogee-Geräten, dass sich gelöschte Apps von selbst wieder installieren. Auf XDA beschreiben Nutzer eines KingKong X ein verstecktes System-Paket, das nach dem Entfernen unter neuem Namen zurückkam. Ein Nutzer eines Doogee Fire 3 Max schildert laut PC-Welt sogar, dass er sich die Malware erst mit einem offiziellen Firmware-Update eingefangen habe. Andere berichten dagegen von Updates, die das Problem beheben.
So prüfst du, ob dein Handy betroffen ist
Ein hundertprozentiger Selbsttest ist schwierig, weil die Malware gezielt auf Tarnung setzt. Diese Schritte helfen dir trotzdem weiter:
- Systemapps einblenden: Öffne in den Einstellungen die App-Liste und lass dir über das Menü auch Systemprozesse anzeigen. Verdächtig ist ein Eintrag namens „System“ ohne Icon. Den Paketnamen zeigt dir die App-Info oder ein kostenloser Paketnamen-Viewer aus dem Play Store.
- Auf Warnzeichen achten: Apps, die du nie installiert hast, primär Wetter-, App-Lock- oder Texterkennungs-Apps. Apps, die nach dem Löschen zurückkommen. Werbung, die über anderen Apps oder auf dem Sperrbildschirm aufploppt. Ein Play Store, der plötzlich deaktiviert ist.
- Sicherheits-App mit Verhaltenserkennung nutzen: Bitdefender selbst ist über die Verhaltensanalyse seiner Mobile-Security-App auf die Kampagne gestoßen. Klassische Scanner, die nur Apps beim Installieren prüfen, greifen hier zu kurz.
- Beweise sichern: Mach Screenshots der App-Liste und der verdächtigen Einträge, notiere das Datum und leg dir deinen Kaufbeleg bereit. Alles benötigst du, um dich passend zu wehren.
Solange der Verdacht nicht ausgeräumt ist, solltest du auf dem Gerät kein Online-Banking nutzen und auch keine Zwei-Faktor-Codes per SMS empfangen. Eine einfache Lösung für das Problem gibt es nicht. Laut Bitdefender hilft nur eine bereinigte Firmware oder das Abschalten der Komponente per Entwickler-Werkzeug (ADB) am Rechner. Beides ist für die meisten Nutzer keine realistische Option. Denn deaktiviert man per ADB versehentlich eine kritische System-App, kann das Telefon instabil werden oder nicht mehr starten. Hier ist also auch Vorsicht geboten.
Dein Recht: Der Händler muss liefern, nicht der Hersteller
Wer ein betroffenes Gerät besitzt, sollte es nicht einfach in die Schublade legen. Nach unserer Einschätzung spricht viel dafür, dass ab Werk installierte Malware einen Sachmangel darstellt. Ein Smartphone muss die Eigenschaften haben, die du bei einem solchen Gerät erwarten darfst. Dass es heimlich Apps nachlädt und deinen Anschluss an Fremde vermietet, gehört sicher nicht dazu. Seit 2022 müssen Verkäufer bei Geräten mit digitalen Elementen zudem für die nötigen Sicherheitsupdates sorgen.
Wichtig ist, an wen du dich wendest. Deine Gewährleistungsrechte hast du gegenüber dem Verkäufer, also deinem Vertragspartner. Doogee und Cubot kannst du zusätzlich um eine saubere Firmware bitten, rechtlich zuständig sind sie aber nicht. Ein Händler darf dich auch nicht einfach an den Hersteller abschieben. Das hat das Landgericht Ingolstadt im Juli in einem Verfahren des Verbraucherzentrale Bundesverbands gegen den Betreiber des MediaMarkt-Onlineshops klargestellt (Urteil vom 24.07.2026, Az. 1 HK O 1352/25). Im konkreten Fall ging es zwar um ein Kühlgerät, das Prinzip gilt aber für jeden Kauf: Ein solcher Verweis ist laut Gericht irreführend.
So gehst du jetzt am besten vor
- Kürzlich online gekauft? Innerhalb von 14 Tagen kannst du ohne Angabe von Gründen widerrufen. Das ist der schnellste Weg, dein Geld zurückzubekommen.
- Mangel melden: Schreib dem Verkäufer, dass dein Gerät von der Midnight-Mimosa-Kampagne betroffen ist, häng deine Screenshots an und verlange Nacherfüllung. Du hast die Wahl zwischen Reparatur, hier also einer nachweislich bereinigten Firmware, und einem Ersatzgerät. Vorsicht: Ein Austauschgerät mit derselben Firmware hilft dir nicht.
- Frist setzen: Gib dem Händler eine angemessene Frist, etwa zwei Wochen.
- Geld zurück: Passiert in dieser Zeit nichts oder scheitert die Nachbesserung, kannst du vom Kauf zurücktreten und bekommst den Kaufpreis zurück. Alternativ ist eine Minderung möglich.
Die Gewährleistung läuft zwei Jahre ab Lieferung. Zeigt sich ein Mangel im ersten Jahr, darf man davon ausgehen, dass er schon beim Kauf da war.
Gekauft bei Amazon: Wer ist dein Vertragspartner?
Viele der betroffenen Geräte gehen über Marktplätze wie Amazon über die Theke. Hier kommt es auf ein Detail an: Steht in der Bestellung „Verkauf durch Amazon“, ist Amazon dein Verkäufer und muss den Mangel beheben. Hast du bei einem Drittanbieter gekauft, ist dieser Händler dein Vertragspartner, auch wenn Amazon den Versand übernommen hat.
Kontaktiere den Drittanbieter über dein Amazon-Konto. Reagiert er nicht oder lehnt ab, kannst du über die Bestellung die A-bis-z-Garantie von Amazon in Anspruch nehmen. Bleibt der Streit ungelöst, helfen in Deutschland zum Beispiel die Verbraucherzentralen weiter.
Unsere Einschätzung: Niemand prüft, was in der Firmware steckt
Der jetzt von Bitdefender aufgedeckte Fall zeigt eine Lücke, die weit über Doogee und Cubot hinausgeht. Ein Billig-Handy durchläuft Auftragsfertiger, Firmware-Dienstleister und Händler, bevor es auf einem Marktplatz landet. Keiner davon muss heute nachweisen, dass die vorinstallierte Software sauber ist. Marktplätze verdienen an jedem Verkauf mit, lassen aber Klone mit erfundenen Namen wie „S26 Ultra“ zu. Die Rechnung zahlt am Ende der Käufer. Mit seiner Bandbreite und im schlimmsten Fall mit seinen Daten.
Die Sachlage für Betroffene ist klar. Das Handy einfach nur zu ersetzen, wäre zu kurz gedacht. Wer sich wehrt, holt im besten Fall sein Geld zurück und sorgt dafür, dass Händler genauer hinsehen, was sie verkaufen. Das kann im Sinne eines gesunden Verbraucherschutzes nur die richtige Herangehensweise sein.
Die hier dargestellte Schwachstelle ist doppelt ärgerlich. Wer zu einem günstigen Outdoor-Handy greift, will ein robustes Gerät und keinen Untermieter, der heimlich Werbung klickt und den Anschluss an Fremde vermietet. Und der verbreitete Rat, das Handy einfach zu ersetzen, nimmt alle aus der Pflicht, die daran verdient haben. Ich würde ein betroffenes Gerät konsequent beim Händler reklamieren und es bis dahin nicht fürs Banking nutzen. Erst wenn das massenhaft passiert, prüfen Marktplätze genauer, was sie verkaufen.