Wie viele und welche Daten sammelt Vivo tatsächlich über den User? Spyware an Bord?

[jandroid]

Diese Frage betrifft in erster Linie Vivo-Geräte, die aus China importiert wurden, also mit Origin OS als Oberfläche ausgestattet sind.
Vorab: ich habe alle vorinstallierten Apps (Bloatware), die man deinstallieren konnte, per ADB deinstalliert.

Aufmerksam geworden bin ich auf das Thema zum einen durch den folgenden Beitrag von @extremecarver aus diesem Vivo-Thread.

[...]
Das würde dafür sprechen das doch wirklich Security Patches enthalten sind - und nicht nur angeblich. Weil bei jedem Security Update muss Vivo ja kompliziert überprüfen dass ihre ganzen Spyware Maßnahmen nicht ausgehebelt werden - und das läuft definitiv gegen Android Standards (etwa das wiederherstellen von Permissions die man System Apps entzieht - einzig Permissions bezüglich Zugriff auf persönliche Daten sind davon nicht betroffen - also Media/Contacts/usw ). Bzw das ihre Backdoors weiter offen bleiben.

Was Vivo Trial nennt ist nur ein schnellerer Zugriff auf staged Udates (um gut 1 Woche). Bisher ist jedes Trial Update beim X90PP schon gut 1-2 Wochen alt gewesen (Datum vom kompilieren) und kam dann gut eine Woche später als stable.

Zum anderen habe ich durch das Loggen von Netzwerkdaten selbst festgestellt, dass das Betriebssystem bzw. vorinstallierte Apps häufig Kontakt zu chinesischen Servern aufnehmen.

Es gibt ja einige Apps, die sich nicht deinstallieren lassen, die auffällig häufig Kontakt nach China aufnehmen wollen. Dazu gehören u.a. iManager, Sicherheitscenter, Globale Suche, Dienst für Sperrbildschirme und Vivo Store.

Hier sind einige Beispiele zu kontaktierten Seiten, die ich beim Loggen gesammelt habe:

Vivo:
vcode-od.vivo.com.cn
ort-stsdk.vivo.com.cn
onrt-stsdk.vivo.com.cn
accountinfo.vivo.com.cn
vmcs-lb.vivo.com.cn
stinmmtn.vivo.com.cn
avlstatic.vivo.com.cn
tdc.vivo.com.cn

Andere:
msch.f.360.cn
you.163.com
toblog.ctobsnssdk.com
cgicol.amap.com
aps.oversea.amap.com
yhd.com
tmall.com
taobao.com
pps.tv
kaola.com
jd.com
ifeng.com
boc.cn
ccb.com
cebbank.com
cmbchina.com
gome.com.cn
news.sina.com.cn
path3.xtracloud.net

Jetzt ist es als User schwer bis unmöglich herauszufiltern, was hinter den Anfragen steckt. Ob dies nun das einfache Sammeln von (anonymen) Nutzerdaten ist oder die (gerechtfertigte) Kontaktaufnahme zu speziellen Diensten (Wetter, Nachrichten, Update-Server, etc.) oder es um das gezielte Ausspionieren geht, vermag ich nicht zu beurteilen. Zumindest sollte man hellhörig werden, wenn ständig Kontakt zu China aufgenommen wird.

Wie denkt ihr darüber? Wie viel Spyware hat Vivo an Bord? Welche Daten werden über den User gesammelt?

 

[RA99]

Ist doch Wumpe, wie sich der Hersteller schimpft.
Daten werden gesammelt, jeeede Menge ... und dagegen kommt niemand an.

Es soll User geben, die schwören auf Custom-Roms ohne Google-Dienste und sind dann überzeugt,
daß keine App nach Hause telefoniert. Die können einem nur leid tun. Sicherlich wird der ungewollte Datentransfer (stark) reduziert.
Aber eben nur eingeschränkt, nicht komplett beendet. Vermutlich wird das niemals möglich sein.

 

[Germelein]

Diese Frage betrifft in erster Linie Vivo-Geräte, die aus China importiert wurden, also mit Origin OS als Oberfläche ausgestattet sind.

Zum anderen habe ich durch das Loggen von Netzwerkdaten selbst festgestellt, dass das Betriebssystem bzw. vorinstallierte Apps häufig Kontakt zu chinesischen Servern aufnehmen.

[...]

Es gibt ja einige Apps, die sich nicht deinstallieren lassen, die auffällig häufig Kontakt nach China aufnehmen wollen. Dazu gehören u.a. iManager, Sicherheitscenter, Globale Suche, Dienst für Sperrbildschirme und Vivo Store.

[...]

Jetzt ist es als User schwer bis unmöglich herauszufiltern, was hinter den Anfragen steckt. Ob dies nun das einfache Sammeln von (anonymen) Nutzerdaten ist oder die (gerechtfertigte) Kontaktaufnahme zu speziellen Diensten (Wetter, Nachrichten, Update-Server, etc.) oder es um das gezielte Ausspionieren geht, vermag ich nicht zu beurteilen. Zumindest sollte man hellhörig werden, wenn ständig Kontakt zu China aufgenommen wird.
[...]

Erstens: Mit welchen Tools hast du geloggt bzw. den Mitschnitt des Netzwerkverkehrs erledigt?:
- per tcpdump/Pcap auf der Fritzbox/deinem Router?
- per DNS-Log deines Pihole?
- per Firewall/Werbeblocker auf dem Handy?

Zweitens:
Du hast dir deine Antwort schon selbst gegeben:

Du hast ein Gerät aus China importiert, welches mit seiner China-FW nicht für die EU bestimmt ist.
In China existiert ein repressives System, das seine Bürger quasi auf Schritt und Tritt verfolgt und ihr jeweiliges Verhalten in einer Art "Sozialpunktesystem" digital erfasst, auswertet und die Bürger in einer Punktespektrum zwischen "systemfreundlich/sozial" und "systemfeindlich/asozial" einordnet, mit jeweiligen, entsprechenden Sanktionen.

Du kannst durch "gute Taten" auf- bzw. durch "schlechte Taten" absteigen, was z.B. mit Reiseverbot oder gar Zwangslager enden kann.

Damit China möglichst lückenlos diese Daten erheben kann, sind alle Technikfirmen gezwungen, ihre User:innen zu tracken und ihre Daten der großen Volks-DB zur Verfügung zu stellen.

Das Verhalten von Vivo ist somit in China vollkommen legal und staatskonform. Importierst du das Gerät in die EU, bist du sozusagen (ungewollt) ein "Systemling" (ein Unwort hier, was vorgeworfen in Deutschland, in keiner Relation zum chinesischen Status Quo steht).

Flashe das Teil mit der EU-Firmware (falls vorhanden) und das Tracking sollte weitestgehend eingeschränkter sein.

Quellen zum Thema:
- Chinas Sozialkreditsystem: Das gefährlichste Bonitätssystem der Welt

- Painting Tech Dystopia: How the West tells itself fairytales about Asia - and believes they are real

 

[RA99]

und das Tracking sollte weitestgehend eingeschränkter sein.

Noch jemand, der es verstanden hat - Danke !

 

[jandroid]

Mit welchen Tools hast du geloggt bzw. den Mitschnitt des Netzwerkverkehrs erledigt?:
- per tcpdump/Pcap auf der Fritzbox/deinem Router?
- per DNS-Log deines Pihole?
- per Firewall/Werbeblocker auf dem Handy?

Mit allen drei Methoden und dann die Überschneidungen abgeglichen. Ergebnisse waren bei allen drei Methoden nahezu identisch.

Ansonsten vielen Dank für deine ausführliche Antwort, die sehr aufschlussreich ist.

Auch, wenn es klar ist, dass die Anbieter/Hersteller Daten über einen sammeln, werde ich die Sache weiterhin im Blick behalten und mich so gut es geht versuchen dagegen abzuschotten.

Hier noch ein sehr interessanter Beitrag zu dem Thema: Datenkrake China - Wo Staat und Firmen alles speichern
Auszug aus dem Artikel:

Datenschutz nach westlich-demokratischer Definition existiert in China nicht. Erfasst und analysiert werden Lebens- und Konsumgewohnheiten, Bewegungsprofile, finanzielle Besonderheiten und vieles mehr. Die Daten werden analysiert und mit speziellen Computer-Algorithmen in Beziehung zueinander gesetzt. Fachleute sprechen von Big Data.
Das Besondere: Anders als in Europa oder den USA hat der chinesische Staat de facto relativ leicht Zugriff auch auf die Big-Data-Sammlung der Unternehmen.

 

[extremecarver]

Es gibt für die meisten Vivo Geräte eben keine Möglichkeit (da Exploit gefixed) eine EU Firmware aufzuspielen. Selbiges gilt für Oppo und Realme.

Interessanter ist übrigens zu loggen was passiert wenn du ein SMS bekommst, ein Telefonat usw. Ziemlcich sicher gehen alle SMS nach China. Und beim Telefonat dürfte in der eigenen Phone App ein logger auf keywords agieren.

Das Reviews von sämtlichen "China OS" Phones quasi nur auf Bloatware aber nicht Spyware hinweisen - ist das Hauptproblem an der Sache. BTW - bei Xiaomi.EU Rom wäre ich auch brutal skeptisch was da passiert. Denn das basiert ja auf dem China ROM und ist wahrscheinlich nur ein begrenzt angepasstes und debloatetes ROM - ergo hat man mit xiaomi.eu ROM weiterhin die China Spyware installiert.

Die Frequenz mit der Location Requests passieren zeigt auch das das Phone permanent seine Location nach China hochladen möchte. Mit China OS ohne block wird man permanent getracked.

Ich hab auf XDA ja beschrieben welche App für was zuständig ist. Mit AppOps kann man da recht viel tracken.
Stop vivo spyware with app ops

 

[Germelein]

Es gibt für die meisten Vivo Geräte eben keine Möglichkeit (da Exploit gefixed) eine EU Firmware aufzuspielen. Selbiges gilt für Oppo und Realme.

Bist du dir dabei Realme sicher? MeinesWissens war es möglich, beim Realme 5 Pro die indische Firmware auf dem global device zu installieren. Gut, für die China FW habe ich keine Infos.

 

[extremecarver]

Nein - geht es generell den bootloader zu öffnen bei Realme? Ich dachte das geht nur bei OnePlus - aber vielleicht irre ich mich.

 

[Observer]

Wenn so ein Gerät nun hier verwendet wird, dann fließen sicherlich die ein oder anderen Daten. Nur: welche direkte Auswirkung mag dies für die hier nutzende Person haben?
Die Frage stellt sich vor dem geschilderten Hintergrund der Rauf- oder Runterstufung, die für in Europa lebende Nicht-Chinesen wohl eher keine Bedeutung hat - oder übersieht man etwas? Wenn ja, dann freue ich mich über Erläuterung.

 

[extremecarver]

Könnte etwa bei deiner nächsten Einreise in China eine Rolle spielen. Zumindest wenn du viel pro Hong Kong oder Taiwan Independence Themen erwähnst.

Dazu aber auch einfach generell das die Batterie bei China OS deutlich schneller leer wird im Standby/leichter Nutzung als bei einer Firmware ohne die ganze Spyware.

Dazu dann halt nicht wundern sollten deine Kreditkartendaten auf eimal geklaut sein, usw - Ich vertraue China nicht wirklich dass die Daten sicher gespeichert werden. Haben ja nichtmal Viren die sie mutiert haben sicher verwalten können.....

 

[Observer]

Danke @extremecarver.

Gut, der erste Teil - nachvollziehbar - ist wegen Nichtzutreffens vernachlässigbar.
Den zweiten kann ich so nicht bestätigen oder ablehnen, da mir der Vergleich mit einem identischen HW-Gerät nur mit anderer SW fehlt.
Bei Nichtverwendung von Kreditkarten oder ähnlich sensiblen Daten sollte das Risiko beim dritten Teil überschaubar bleiben, richtig?

 

[extremecarver]

Bei GSMArena sieht man oft die Reviews von fast identen Phones einmal mit China OS, einmal mit global (meist Indien) OS. Bei Realme und Vivo sind da meist 20% Unterschied im Battery Score.
Das mit Kreditkarten ist natürlich nicht alzu wahrscheinlich - E2E Encryption macht das nicht so einfach - aber dem Security Keyboard würde ich eben nicht vertrauen bei China OS. Ebenso dem Secure Storage oder was auch immer. App Ops ist dazu so verbarrikardiert das man es dauernd neu starten muss - was App Ops basierte 3rd Party Secure Apps etwas aushebelt.

Dazu ist ja das eine was quasi an die chinesische Regierung geht, das andere was Vivo evtl an 3rd parties verkauft an Daten. Es gibt eben neben Konkurrenz auch noch andere Gründe warum Phones in China so billig sind - teils unter Hardwarepreis+Vertriebspreis. Die Hersteller verdienen eben inzwischen neben Bloatware auch viel mit Daten verkaufen - da ist man mit Import Gerät natürlich weniger betroffen weil falsche Zielgruppe und der Datensatz evtl zu gering um ihn zu verkaufen.
Der Grund warum ich persönlcih google viel mehr wie anderen vertraue - ist eben der das google selber die Daten verwendet und es ihr größtes Kapital ist - und daher unwahrscheinlich das sowas passiert wie bei Cambridge Analytica oder ähnlich mit Daten die google verwaltet. Bei BBK, Apple und Co habe ich da deutlich mehr Angst. Bei Chinesischen drittfirmen ist dann jeder Skrupel vorbei.

Was google mit den Daten erlaubt - ist ganz einfach einsehbar wenn man sich bei Adsense anmeldet und schaut wie spezifisch man seine Werbung verbreiten kann. Für mich ist der Rahmen absolut okay. Was bei Cambridge Analytica oder anderen Skandalen aufgedeckt wurde allerdings nicht mehr okay. Da zahle ich dann lieber etwas mehr und hoffe das meine Daten sicher(er) sind.

Gerade bei Budge Phones/Mittelklasse ist es für mich also komplett unverständlich warum man zum China Import greift. Der Preisvorteil ist da vs google oder Samsung oder zumindest ein China Phone mit global/EU Firmware sehr gering. Google Pixel 7a oder Samsung A54 kostet in Taiwan etwa 300€ , Pixel 7 kostet 400€. Ein Realme 10Pro+ ist da zu selbem Preis wie A54/7a schon schwer vertretbar. Der Import umso weniger. In der EU sind die Preise etwas anders aber außer bei Flagships macht der Import (und dann keine/kaum Garantie) auch einfach wenig Sinn. Erst recht weil Import nach Europa eh der halbe Preisvorteil weg ist (und dann weiß man nichtmal ob die Importshops bei der Mehrwertsteuer brutal tricksen/betrügen).

Wenn ich also je nochmal ein Import Gerät kaufe - dann nur eins mit globaler OS/offenem bootloader. Erst recht weil man X90PP nun ein Brick ist und ich es mangels offenem bootloader nicht reparieren kann, und Garantie wohl nur in China einfordern kann. Ergo 850€ Kaufpreis nach 6 Monaten futsch. Nie wieder Vivo/BBK Schrott. Die ~20% Preisvorteil sind es einfach nicht wert.