Seit einiger Zeit brodelt es in der Gerüchteküche, weil Samsung-Smartphones offenbar keine Google-Play-Dienstupdates mehr erhalten. Spekulationen über die Gründe gibt es reichlich. heise online hat bei Samsung nachgefragt – und nun hat der Hersteller das beobachtete Phänomen erklärt.

Samsung sagte gegenüber heise online: „Bei der Einführung neuer Geräte oder größerer One UI-Updates spielt Samsung ausschließlich Software aus, die das Unternehmen verifiziert hat. Samsung hat die Verteilung von Google-Updates vorübergehend ausgesetzt, um mögliche Probleme zu vermeiden.“ Es sei derzeit geplant, „das Google-Update im Januar 2026 aufzunehmen.“

Es handelt sich demnach um eine bewusste Entscheidung und um einen kontrollierten Vorgang. Aus IT-Sicherheitssicht stellt das anscheinend kein Problem dar, andernfalls würde Samsung die Aktualisierungen von Google sicherlich verteilen. Das Unternehmen achtet bei den Galaxy-Smart-Devices sehr auf die Gerätesicherheit, da diese der Grund dafür ist, dass die Geräte auch im Business-Umfeld häufig eingesetzt werden.

Temporäre Aussetzung der Google-Play-Dienstupdates

Smartphones mit Android-Betriebssystem erhalten allgemein mehrere Aktualisierungen, bei Samsung die größeren Systemupdates etwa ein- bis zweimal im Jahr. Dazu die inzwischen nur noch quartalsweise bereitgestellten Sicherheitsaktualisierungen von Google für Android. Für die zeichnen die Gerätehersteller selbst verantwortlich. Unabhängig davon gibt es schließlich die Google-Play-Updates, die Google selbst eigentlich monatlich bereitstellt und verteilt.

Besitzer von Samsung-Smartphones haben zuletzt häufiger beobachtet, dass zum Beispiel das Android-Systemupdate auf ihrem Gerät angeboten wurde und damit der Sicherheitslevel auf dem aktuellen Stand 1. Dezember 2025 landet. Jedoch verharrt die Google-Play-Systemupdate-Fassung beispielsweise auf dem Stand 1. Juli 2025, 1. August 2025 oder 1. September 2025 und führt damit zu Irritationen.

Gerüchte zu den Gründen sind mit der offiziellen Stellungnahme hinfällig. Samsung-Gerätebesitzer müssen sich offenbar keine Sorgen machen, da das Unternehmen dieses Verhalten bewusst hervorruft und dabei die (Sicherheits-)Lage im Blick hat.

(dmk)

Dieser Artikel erschien zuerst in längerer Form und auf Englisch bei BIKEPACKING.com

Der Verkauf der beliebten Outdoor-App Komoot im März diesen Jahres traf die europäische Outdoor-Community aus heiterem Himmel. Entgegen aller Beteuerungen der Komoot-Chefs wurde die Plattform, mit der sich Wanderungen oder Radausflüge planen lassen, ohne Vorwarnung an das Tech-Konglomerat Bending Spoons aus Italien übertragen. Die sechs Gründer zogen sich mit dem Löwenanteil des 300-Millionen-Euro-Deals zurück, während die etwa 150 Angestellten und 45 Millionen Nutzer:innen um ihren bisherigen Traumjob und ihre Plattform bangten.

Über 80 Prozent der Angestellten wurden umgehend entlassen, was langjährige Mitarbeitenden mir gegenüber als „grausamen Verrat“ bezeichneten. Viele hatten Abstriche beim Gehalt hingenommen und waren aufs Land oder in die Berge gezogen, um sich der Arbeit in der „Komoot-Familie“ voll hinzugeben. Geschockt, wütend und traurig mussten sie sich nun im schlechten Arbeitsmarkt nach neuer Lohnarbeit umschauen – teils auch um ihre Aufenthaltstitel zu behalten.

Die Nutzer:innen meldeten ihre Empörung in Kommentarspalten und den sozialen Medien. Denn für viele war Komoot kein austauschbares Tool, sondern ein liebgewonnenes Erinnerungsbuch für ihre besonderen Naturerlebnisse und Urlaube. Und auch sie waren maßgeblich am Erfolg von Komoot beteiligt, denn es waren ihre Planungen, GPS-Aufzeichnungen, und Reisedokumentation, die die Plattform mit Leben füllten.

Komoots Erfolg basiert auf diesem Nutzerdatenschatz: aufgezeichnete Routen, Punkte, Fotos und Notizen, sogenannter User-Generated Content, werden verarbeitet und anderen Menschen auf der globalen Karte, in Collections und in persönlichen Feeds dargestellt. So werden kurze oder auch längere Abenteuer ins Grüne vereinfacht, was wieder zu mehr Nutzer:innenaktivität führt und die Plattform somit attraktiver macht.

Kaltes Business hinter freundlichem Grün

Spätestens mit dem Verkauf offenbarte sich jedoch hinter Komoots freundlichem Grün kaltes Business As Usual. In der offiziellen Pressemeldung zu dem Verkauf beschreibt Ex-CEO Markus Hallermann Bending Spoons als „perfekten Partner, um Komoot in die Zukunft zu führen“ – eine Zukunft, die ohne die Angestellten und der Community entschieden wurde, die die Plattform groß gemacht haben und an ihrem Fortbestand interessiert waren. Die neuen Eigner in Mailand äußerten sich „enthusiastisch über das zukünftige Wachstumspotenzial“, sprich den Ausblick auf noch größere Profite. Die Angestellten wurden in der Pressemitteilung nicht erwähnt. Der Ausverkauf offenbart die Prekarität von Angestellten und Community, wenn diese nicht die Kontrolle über ihr Unternehmen und ihre Plattform haben.

Der Fall Komoot ist jedoch weder einzigartig, noch ist er als moralisches Versagen gieriger Gesellschafter zu verstehen. Vielmehr ist er Ausdruck eines kapitalistischen Systems, das solche Verrate an der Community laufend und unweigerlich wiederholt. Die Nutzer:innen von Couchsurfing, Reddit und Twitter können ein Lied davon singen. Und ob nun Komoot, Strava, AllTrails, RideWithGPS: Alle kommerziellen Anbieter im umkämpften Markt sind gezwungen, mittels ihrer Nutzer:innen und deren Inhalten maximalen Profit zu machen.

Wie genau beuten kommerzielle Plattformen wie Komoot ihre Nutzer:innen aus? Und was können wir aus dem Fall Komoot lernen für den Aufbau nachhaltiger digitaler Plattformen, die tatsächlich langfristig für die Community funktionieren?

Die unnachhaltige Datenmühle

Komoot ist ein Paradebeispiel des perfiden Wirkprinzips geschlossener, kommerzieller Plattformen. Komoot zieht Wanderer, Radsportler:innen, und Radreisende an, indem es vorgefertigte „Inspiration“, praktische Routenempfehlungen, und Turn-by-Turn-Anweisungen in einem Google-Maps-ähnlichen Dienst vereint.

Viele mächtige Funktionen der App ließen sich kostenfrei nutzen, die Weltkarte ließ sich mit einer Einmal-Zahlungen von 30 Euro dauerhaft freischalten. Ein Abo gab es auch, es schaltete lediglich Zusatz-Features wie Wetter-Infos und 3D-Karten frei.

In einem Interview offenbarte Hallerman 2023, dass Komoots Umsatz sich zu etwa gleichen Anteilen aus Abos und Einmalzahlungen von neuen Nutzer:innen zusammensetzte, während Einnahmen durch Fremdwerbung nur einen geringen Anteil ausmachten. Somit musste Komoot ständig neue Nutzer:innen anziehen und neue Märkte erschließen, um im Geschäft zu bleiben. Wachstum ist also nicht bloß kapitalistische Ideologie, sondern finanzieller Zwang.

Entsprechend setzten die Komoot-Chefs, wie so oft bei Tech-Plattformen, den Fokus der Entwicklung darauf, die Nutzer:innenzahl und das Engagement auf der Plattform zu steigern. Das hat jedoch Grenzen, irgendwann sind alle möglichen Nutzer:innen einer Zielgruppe erreicht. 2024 hatte Komoot bereits 40 Millionen registrierte Nutzer:innen, das Wachstum des Unternehmens verlangsamte sich bedrohlich. Ein weiterer Grund für die Gründer, die unnachhaltige Firma abzustoßen?

Community oder „Community“?

Um Engagement zu fördern und ganze Nutzer:innengruppen einzufangen, manipulieren Tech-Firmen besonders gern das menschliche Bedürfnis, Teil einer Gemeinschaft zu sein und ihr beizutragen. So auch bei Komoot. Aber wenn wir etwas zu einer „Community“ oder besser gesagt einem Kundenstamm wie auf Komoot beisteuern, leisten wir vor allem auch unbezahlte Arbeit für das Wachstum der Plattform. Ein Mitbestimmungsrecht darüber, wie die Plattform funktioniert, haben wir nicht. Nutzer:innen zahlen sogar für das Vergnügen. Daran verdienen, das tun andere.

Das und der Ausverkauf von Komoot verdeutlichen unmissverständlich, dass eine solche „Community“ mehr Schein als Sein ist. Diese ausbeuterische Beziehung zwischen Nutzer:innen und Plattform ähnelt der Beziehung zwischen Arbeitskräften und Kapital, in der Bosse private Profite erwirtschaften, indem sie enormen Mehrwert von Arbeiter:innen abschöpfen.

Eine echte Community kann als Gruppe verstanden werden, die durch ein Commons verbunden ist, ein gemeinsames materielles oder immaterielles Gut. Bei Wanderern, Radsportlern, und Radreisenden stellen geteilte Strecken, bemerkenswerte Landmarken, Fotos und Ortswissen ein wichtiges Commons dar. Sie sind Grundlage für neue Unternehmungen und Veranstaltungen, die Menschen zusammenbringen, menschliche Beziehungen gedeihen lassen und zum Beitragen motivieren.

Plattformen wie Komoot stellen aber kein Commons dar, da keine gemeinschaftliche Kontrolle über die Plattform besteht. Kein Commons, keine echte Community. Kapital eignet sich das produktive Commons an und macht das gemeinschaftliche Gut zu privatem Profit. Dieser Vorgang bei Komoot und anderen digitalen Plattformen kann als digitale Einhegung betrachtet werden.

Ob digital oder physisch, die Einhegung ist oft fatal für die Vielfalt des Commons und schwächt das gesamte Ökosystem. Geschlossene Plattformen wie Komoot verhindern, dass der kommunale Datenschatz kreativ umgenutzt wird, beispielsweise für spezialisierte Tools und Datensätze für bestimmte Sportarten und Regionen. Er kann nicht in große digitale Commons wie Wikipedia oder OpenStreetMap einfließen, wovon noch viel mehr Menschen profitieren würden.

Zwischen der erklärten Mission, leichten Zugang zur freien Natur zu ermöglichen, und der exklusiven Nutzung entstandener Daten liegt ein eklatanter Widerspruch.

Ähnlich sieht es bei Komoots Kerntechnologie aus, die hauptsächlich auf Open-Source-Projekten beruht. Ohne die Leaflet-Karte, die Graphhopper-Routing-Engine und OpenStreetMap-Daten würde Komoot nicht existieren, jedoch werden die internen Weiterentwicklungen nicht grundsätzlich veröffentlicht. So bedient sich der Tech-Sektor immer gerne am Open-Source-Commons, ohne nennenswert zurückzugeben. Projekte, deren Bestand kritisch für allerlei Infrastruktur ist, bleiben oft chronisch unterfinanziert.

Operation Enshittification

Dem Ausverkauf der Komoot-Nutzerschaft wurden eigentlich schon mit der Aufnahme von Wagnis- und Bankkapital bei der Firmengründung die Weichen gestellt. Damit sind maximale Rendite und lukrativer Exit für die Investoren als oberste Ziele festgelegt. Der Zwang zur kurzfristigen Steigerung des Unternehmenswert seitens des Managements stellt einen fundamentalen Widerspruch mit langfristiger Stabilität und Nutzwert für Angestellte und Nutzer:innen dar.

Der Verlauf dieses Konflikts wird gut durch die Enshittification-Theorie nach Cory Doctorow erklärt. Sie beschreibt den Verlauf kommerzieller Plattformen von nutzerfreundlichen Anfängen bis hin zum Raubbau der Plattform zur Maximierung von Profit und Unternehmenswert.

In der Anfangsphase hatten es Komoot-Nutzer:innen verhältnismäßig gut. Eine erschwingliche Einmalzahlung für ein Kartenpaket, subventioniert durch ihre Daten, schaltete nützliche Funktionen dauerhaft frei. Die Leidenschaft der Angestellten für die Mission hinderte die Bosse daran, Features durchzusetzen, die die Nutzererfahrung sehr beeinträchtigen würden. Es gab zwar Ausnahmen wie die Flutung von Suchergebnissen mit zehntausenden KI-generierten Routen fragwürdiger Qualität. Es wurden jedoch keine Nutzerdaten verkauft und die Werbung im Feed war moderat.

Mit der Entlassung der meisten Angestellten fällt diese Gegenmacht weg. Die neuen Eigner können die Plattform auf pures Rent-Seeking ausrichten – die direkte Ausbeutung der gefangenen Nutzer:innen. Eine implizite Übereinkunft zwischen Plattform und Nutzer:innen wird zunehmend zugunsten der Eigner verändert, während sich die Nutzererfahrung auf der Plattform immer weiter verschlechtert.

Komoot ist im Zuge der Enshittification wie schon die Bending-Spoons-Zukäufe WeTransfer und Evernote. Kern-Features wie die Integration mit Garmin- und Wahoo-Navigationsgeräten sind für Neukunden nun hinter einer Bezahlschranke. Überall in der App und auf der Webseite wird die kostenfreie Nutzung mit „kreativer“ Reibung verschlechtert, wie es schon bei WeTransfer geübt wurde. Komoot-Nutzer:innen werden zu teureren wöchentlichen Abos getrieben. Das überfällige UI-Facelift, das in den letzten Monaten ausgerollt wurde, kann den Abbau nicht kaschieren.

Für viele Nutzer:innen dürfte der Abbau noch nicht zu belastend sein. Aber der Zwang zur Rendite bleibt und die Endphase, in der die Plattform bis auf den letzten Cent ausgequetscht wird, steht wohl noch bevor. Bei Evernote stieg der Preis nach der Übernahme schrittweise fast auf das Doppelte. Mehr gesponsorte Inhalte und Werbung im Produkt sind bewährte Mittel, um mehr Gewinn zulasten der Nutzererfahrung zu erwirtschaften. KI-generierte Inhalte – die weitere Entfremdung von anderen Menschen und der Natur liegen auf der Hand.

Im Endstadium der Enshittfication versuchen das Unternehmen, die Nutzer:innen so lange wie möglich am Abwandern zu hindern, um ihren Profit zu maximieren. Soziale Medien nutzen dafür Netzwerkeffekte, die bei Komoot aber weniger stark ausgeprägt sind. Stattdessen hält Komoot die persönlichen, teils umfangreichen Planungen und Dokumentationen von Reisen effektiv zurück. Ein nativer Batch-Datenexport wurde nach der Übernahme entfernt. Der Datenexport nach DSGVO ist praktisch unbrauchbar, da nicht im menschenlesbaren Format. Nutzer:innen müssen sich mit Export-Tools aus der Community behelfen, um ihre Daten aus den Klauen der Plattform zu retten.

Der Weg nach vorne

Komoot ist kein Einzelfall, sondern eine erneute Mahnung, dass geschlossene Plattformen unter der Kontrolle weniger Bosse langfristig nicht für echte Gemeinschaften funktionieren. Denn Unternehmen hegen ein, beuten aus und verkaufen die Community, trotz bester Absichten von Angestellten und möglicherweise manchen Eignern. Von der nächsten kommerziellen Routen-Plattform, die Komoot den Rang ablaufen will, ist nichts anderes zu erwarten. Tech-Kapital hat in unseren Gemeinschaften nichts zu suchen.

Stattdessen benötigen wir quelloffene, unkommerzielle Routen-Plattformen. Echte Community-Plattformen müssen sich der Profitlogik entziehen und vollständig unter der Kontrolle der Betreiber:innen, Entwickler:innen und Nutzer:innen stehen, damit ein Ausverkauf niemals möglich ist und die Plattform langfristig und nachhaltig gedeihen kann. Das Fediverse mit Mastodon, Matrix, Pixelfed und Co. macht es vor: ein wachsendes Ökosystem offener Protokolle und verteilter Diensten, das sich der Einhegung durch das Tech-Kapital widersetzt. Die dezentralisierte Routen-Plattform Wanderer.to ist ein Vorreiter in diesem Sinne, zwar noch unausgereift, aber Komoot wurde auch nicht an einem Tag gebaut. Wir brauchen diverse offene Werkzeuge und Plattformen für viele Nischen, die zusammen durch Föderation und Interoperabilität aufblühen.

Der Kampf um die Datenhoheit und unsere Plattformen ist freilich nicht wichtiger als andere Kämpfe wie gegen die Klimakatastrophe und weitere Krisen. Aber wie Cory Doctorow auch schreibt: „Freie, faire, offene Technologie ist notwendig, um diese anderen Kämpfe zu gewinnen. Den Kampf für bessere Technologie zu gewinnen wird nicht diese anderen Probleme lösen, aber den Kampf für bessere Technologie zu verlieren löscht jede Hoffnung aus, diese wichtigeren Kämpfe zu gewinnen.“

Als erfahrener Radreisender schreibt Joshua Meissner unter anderem für BIKEPACKING.com. Seine Recherchen, Profile und Essays begleitet er mit seiner Fotografie. Er studiert Mensch-Technik-Interaktion im Master Human Factors an der TU Berlin. Erreichbar ist Josh unter hello@joshuameissner.de.

Das Sicherheitsteam der NoSQL-Datenbank-Software MongoDB hat am Freitag in eine schwerwiegende Sicherheitslücke dokumentiert: „Ein clientseitiger Exploit der zlib-Implementierung des Servers kann nicht initialisierten Heap-Speicher zurückgeben, ohne dass eine Authentifizierung am Server erforderlich ist. Wir empfehlen dringend, so schnell wie möglich auf eine korrigierte Version zu aktualisieren.“

Angreifer können einen Fehler in der Kompressionssoftware zlib ausnutzen, um auf nicht zurückgesetzten dynamischen Arbeitsspeicher (heap memory) zuzugreifen, wo möglicherweise noch alte Daten, etwa Passwörter, Schlüssel oder andere sensible Daten liegen. Die Zugangsdaten für die Datenbank bräuchte ein Angreifer dafür nicht. Eine Benutzerinteraktion ist dafür laut BleepingComputer nicht nötig.

Die Schwachstelle betrifft die folgenden MongoBB-Server-Versionen:

MongoDB 8.2.0 bis 8.2.3
MongoDB 8.0.0 bis 8.0.16
MongoDB 7.0.0 bis 7.0.26
MongoDB 6.0.0 bis 6.0.26
MongoDB 5.0.0 bis 5.0.31
MongoDB 4.4.0 bis 4.4.29

Sowie jeweils alle

MongoDB Server v4.2 Versionen
MongoDB Server v4.0 Versionen
MongoDB Server v3.6 Versionen

Diese sind jeweils auf MongoDB 8.2.3, 8.017, 7.0.28, 6.0.27, 5.0.32 oder 4.4.30 upzugraden.

Die unter CVE-2025-14847 veröffentlichte Sicherheitslücke gilt als kritisch und hat einen CVSS-Score von 8,7.
Wer nicht sofort auf eine der gepatchten Versionen upgraden kann, soll die zlib-Komprimierung auf dem MongoDB-Server deaktivieren. Das geht laut der MongoDB-Warnung, „indem man mongod oder mongos mit einer networkMessageCompressors – oder net.compression.compressors -Option startet, die zlib explizit ausschließt.“

MongoDB wird weltweit von mehr als 62.000 Kunden genutzt. Das Datenbankmanagementsystem sichert Daten in BSON-Dokumenten (Binary JSON) statt in wie klassische relationale SQL-Datenbanken wie MySQL oder PostgreSQL in Tabellen.

(kst)