Es gibt eine Version dieser Geschichte, in der AceMagic gut dasteht. Es lohnt sich, diese Version zuerst zu erzählen, denn sie ist wahr. Im Februar 2024, nachdem unabhängige Forscher und YouTuber nachgewiesen hatten, dass fabrikneue Mini-PCs AceMagic AD08, AD15 und S1 mit Malware im Windows-Werksimage ankamen, tat das Unternehmen etwas für die Branche Ungewöhnliches: Es gab eine schriftliche Erklärung ab, nannte die betroffenen SKUs und übernahm die Verantwortung. In einer Branche, in der Marken aus China auf Mängel routinemäßig mit einer einzigen höflichen E-Mail und einem stillen Umtausch reagieren, ist „wir haben Malware ausgeliefert, und hier ist die Liste” kein Standardverhalten. AceMagic hat es getan. The Register veröffentlichte die Erklärung im vollen Wortlaut, und der Satz, der die meiste Aufmerksamkeit erregte, lautet sinngemäß: „Um die Bootzeit der Software zu verbessern, haben unsere Entwickler ohne meine Zustimmung Anpassungen an der Microsoft-Software vorgenommen.”
Dieser Satz ist der Höhepunkt der AceMagic-Malware-Geschichte. Alles, was danach kommt, ist weniger schmeichelhaft.
Was tatsächlich auf den Geräten war
Die Malware war nicht subtil. Laut Bericht von BleepingComputer enthielt das Windows-Werksimage betroffener Geräte zwei unterschiedliche Familien von Software zum Diebstahl von Zugangsdaten (Varianten, identifiziert als Bladabindi und Redline), so eingebettet, dass sie eine normale Ersteinrichtung überstanden. Bladabindi ist eine seit Langem kursierende Backdoor, die Zugangsdaten abgreift und Fernzugriff ermöglicht; Redline ist einer der meistverbreiteten Massen-Infostealer der letzten Jahre, darauf ausgelegt, innerhalb von Minuten nach dem Start Browser-Passwörter, Autofill-Daten und Krypto-Wallet-Dateien abzusaugen.
Die Entdeckung stammte nicht aus AceMagics eigener Qualitätssicherung. Sie kam von außen. Der YouTuber Jon Bringus und ein weiterer Kanal, The Net Guy Reviews, wiesen unabhängig voneinander Funde auf selbst gekauften Geräten nach, bevor es überhaupt eine Herstellerwarnung gab. Als AceMagic seine Erklärung veröffentlichte, waren die Videos bereits öffentlich, und Tom’s Hardware, PCMag und XDA Developers hatten alle darüber berichtet. Das Eingeständnis war faktisch der zweite Zug, nicht der erste.
Was die Erklärung tatsächlich sagt und was nicht
Bei genauer Lektüre enthält AceMagics Erklärung eine konkrete Behauptung: Die Malware sei ein Nebeneffekt davon gewesen, dass hauseigene Entwickler das Microsoft-Windows-Image verändert hätten, um „die Bootzeit zu verbessern”, und dies sei „ohne meine Zustimmung” geschehen (das „meine” bezieht sich auf den Firmenverantwortlichen, der die Erklärung unterzeichnete). Diese Darstellung verortet die Ursache innerhalb des Unternehmens, aber außerhalb des Wissens der Führungsebene, und deutet die Malware als unbeabsichtigte Folge von Optimierungsarbeit statt als Kompromittierung der Lieferkette.
Das ist eine saubere Geschichte. Sie ist aber auch eine, die die Öffentlichkeit nicht überprüfen kann. Die Erklärung nennt die Entwickler nicht, veröffentlicht nicht den exakten Hash des Images vor der Auslieferung und erklärt nicht, wie eine routinemäßige „Bootzeit-Optimierung” eine Binärdatei hervorbringen konnte, die Browser-Zugangsdaten an einen entfernten Server schickt, ein Verhalten, das bei ehrlicher Betrachtung nichts mit Arbeit an der Startleistung zu tun hat. The Register wies höflich auf diese Lücke hin; BleepingComputer weniger höflich. Keines der beiden Medien erhielt Einblick in eine forensische Zeitleiste.
Es gibt ein zweites Schweigen. AceMagic bestätigte, dass „einige” Geräte der Modelle AD08, AD15 und S1 betroffen waren, veröffentlichte aber weder einen Seriennummernbereich noch einen Produktionszeitraum oder eine absolute Zahl kompromittierter Rechner. Wer eines dieser Modelle Ende 2023 oder Anfang 2024 gekauft hat, kann aus erster Hand nicht feststellen, ob sein konkretes Gerät betroffen war. Die Empfehlung zur Behebung (Windows aus einem sauberen Microsoft-Image neu installieren) ist richtig, sie ist aber auch derselbe Rat, den ein nicht betroffener Besitzer bekäme. Die Grenze des Vorfalls liegt also nicht dort, wo AceMagic sie gezogen hat, sondern dort, wo Käufer jeweils für sich entschieden, vom Schlimmsten auszugehen.
Wie die „Behebung” in der Praxis aussah
AceMagics veröffentlichte Lösung war eine saubere Windows-Neuinstallation mit einem ISO von Microsoft, verbunden mit der Zusicherung, dass spätere Produktionschargen neu bespielt worden seien. Das ist die technisch richtige Antwort auf ein infiziertes Boot-Image. Es ist aber auch eine Behebung, die die Arbeit dem Kunden aufbürdet.
Eine Neuinstallation ist für den typischen Mini-PC-Käufer keine Kleinigkeit. AD08, AD15 und S1 werden an Heimanwender, kleine Büros, Betreiber von Kiosk- und Beschilderungssystemen und als Geschenk verkauft: Käufergruppen, die sich gerade deshalb für ein Fertiggerät entschieden haben, um einen Windows-Rechner nicht selbst aufsetzen, bespielen oder konfigurieren zu müssen. Für sie bedeutet „ISO herunterladen, Installationsmedium erstellen, Laufwerk löschen, neu installieren, neu aktivieren, Daten wiederherstellen” einen halben Arbeitstag, den sie nicht eingeplant hatten und vor dem sie beim Kauf nicht gewarnt wurden.
Es gibt keinen öffentlichen Beleg dafür, dass AceMagic betroffenen Käufern Erstattungen, verlängerte Garantien oder Unterstützung bei der Kreditüberwachung angeboten hat, also das übliche Paket an Abhilfen, das Hardwarehersteller in regulierten Märkten nach einem bestätigten Vorfall mit Credential-Stealern typischerweise gewähren. Die Berichterstattung von PCMag und die Berichte von XDA wiesen beide auf diese Asymmetrie hin: Das Unternehmen übernahm in Worten die Verantwortung und überließ die Aufräumarbeit in der Praxis dem Käufer.
Die Anerkennung und ihr Preis
AceMagic verdient Anerkennung dafür, die betroffenen Modelle schriftlich benannt und nicht so getan zu haben, als handle es sich um den Fehler eines externen Testers. In einer Branche, in der die Standardreaktion auf einen Mangel Schweigen und anschließender Geräteumtausch ist, zählt das; es ist die Nuance, mit der dieser Artikel begann, und sie ist echt.
Der Preis ist das, was die Erklärung nicht enthielt. Es gibt keine veröffentlichte forensische Zeitleiste, keinen Produktionszeitraum, keine Zahl betroffener Geräte, keine proaktive Benachrichtigung registrierter Käufer und kein Angebot zur Kreditüberwachung für Besitzer, deren Browser-Passwörter womöglich Wochen oder Monate vor der öffentlichen Erklärung abgeflossen sind. Eine faire Bilanz des AceMagic-Malware-Vorfalls lautet nicht „AceMagic hat das Richtige getan”, sondern „AceMagic hat das Richtige gesagt, und die Käufer haben den Rest der Arbeit erledigt”. Wenn Sie einen AD08, AD15 oder S1 im betroffenen Zeitraum gekauft und Windows nie neu installiert haben, gilt auch zwei Jahre später die vorsichtige Annahme, dass die Zugangsdaten auf diesem Rechner geändert werden sollten. Das ist die Version der Geschichte, die die meisten Berichte nicht zu Ende erzählt haben, und sie gehört neben der Entschuldigung ins Protokoll.