Daten nach China: Was Chinahandys wirklich senden

Xiaomi 18 Pro Max, Oppo Find X10 Pro Max, Vivo X500 Pro Max und Honor Magic 9 Pro Max: Diese vier Top-Smartphones hatten wir in den letzten Wochen als China-Version im Test. Viele von euch kaufen solche Importe, weil sie früher erscheinen oder günstiger sind als die Global-Version. Eine häufige Frage von euch dazu: Schicken diese Geräte eure Daten nach China? Wir haben nachgemessen, den Datenverkehr des Oppo 25 Stunden lang komplett mitgeschnitten und zusätzlich Untersuchungen zu diesem Thema ausgewertet.

Wir ordnen unseren Mitschnitt anhand der vorhandenen Studien ein, zeigen den Unterschied zur Global-Version sowie zu Google, Samsung und Apple und geben Tipps zur datensparsamen Nutzung. Wie ihr eine China-Version mit deutscher Sprache und Google-Diensten einrichtet, erfahrt ihr in unseren Anleitungen für Xiaomi, Oppo und OnePlus, Vivo und Honor.

Der größte einzelne Upload in unserem Test ging übrigens gar nicht nach China.

Unser 25 Stunden Mitschnitt auf dem Oppo Find X10 Pro Max

Getestet haben wir ein Oppo Find X10 Pro Max in der China-Version mit ColorOS 17 und dem Sicherheitspatch vom September 2026. Das Gerät hing im WLAN in Deutschland, die Systemsprache war Deutsch, ein Google-Konto war angemeldet und der Google Play Store eingerichtet. Wichtig für die Einordnung: Wir hatten das Gerät vorher entrümpelt, also überflüssige System-Apps entfernt oder abgeschaltet sowie alle Werbe- und Personalisierungsoptionen deaktiviert. Ein Oppo-Konto war nicht angemeldet. Unser Mitschnitt zeigt damit eher das Minimum dessen, was eine China-ROM sendet. ROM steht hier für das vorinstallierte Betriebssystem des Herstellers.

Die Aufzeichnung übernahm die Open-Source-App PCAPdroid. Sie schneidet den gesamten Datenverkehr ohne Root mit und ordnet jede Verbindung einer App zu. Die Serverstandorte haben wir anhand der IP-Adressen bestimmt. Eine Einschränkung bleibt: Die Inhalte sind verschlüsselt. Wir sehen, welche App wann wie viel an welchen Server schickt, aber nicht, was in den Paketen steht.

Der Mitschnitt lief 25 Stunden, vom Nachmittag des 15. Oktober bis zum Nachmittag des 16. Oktober 2026. Das Gerät lag dabei fast die ganze Zeit unbenutzt herum. Beim Upload, also bei den Daten, die das Gerät verschickt, gingen rund 1,7MB über gut 200 Verbindungen nach China. Zu den Empfängern zählten Ortungsdienste und Werbeserver von Oppo, obwohl wir die Anzeigenpersonalisierung abgeschaltet hatten.

Die Ortung lief über die System-App „Location Service“ und ging an die chinesischen Kartendienste Baidu, AMap (gehört zu Alibaba) und Tencent, auch hier in Deutschland. Zudem kontaktierte das Gerät einen Server von China Mobile, obwohl gar keine chinesische SIM-Karte darin steckte.

An Google in den USA gingen rund 3,3MB. Allein 1,75MB davon entfielen auf den Standortverlauf von Google Maps, dessen Zeitachse auf dem Gerät nicht eingerichtet war. Auf chinesischen Geräten funktioniert die Zeitachse nicht einmal! Das war der größte einzelne Upload im gesamten Mitschnitt, größer als alle Statistik-Uploads nach China zusammen. Nach Europa (Deutschland, Belgien, Frankreich) und Singapur flossen nur wenige hundert Kilobyte, fast alles an Google-Server und den Oppo App Market.

Zeitlich verteilten sich die Verbindungen ungleichmäßig: Die meisten Kontakte nach China gab es in der ersten Stunde, nachts herrschte fast Ruhe, und am Morgen zwischen 5 und 9 Uhr zeigten sich wieder Spitzen.

Der Oppo App Market lud am Morgen des 16. Oktober ungefragt rund 280MB von einem Server in China und aktualisierte damit zwei System-Apps, darunter den Oppo-Browser auf eine Beta-Version. Der Hersteller kann Software auf dem Gerät also jederzeit selbst austauschen.

Was die Forschung zeigt

Die gründlichste Studie zu China-Firmware stammt vom Trinity College Dublin und der University of Edinburgh aus dem Jahr 2023 („Android OS Privacy Under the Loupe: A Tale from the East“, Haoyu Liu, Douglas Leith, Paul Patras). Die Forscher untersuchten ein Xiaomi Redmi Note 11, ein OnePlus 9R und ein Realme Q3 Pro mit China-Firmware, die beiden Letztgenannten mit Oppos System ColorOS 11. Die Messungen stammen aus dem Jahr 2022, die Systemversionen sind also älter als die heutigen.

Die Ergebnisse: Auf ColorOS schickte die vorinstallierte Ortungskomponente von AMap rund 13-mal am Tag GPS-Koordinaten an AMap, dazu die Kennungen der WLAN-Netze in der Umgebung und der Mobilfunkzellen. Die Telefon- und SMS-App übermittelte Daten zu Anrufen (eigene Nummer, Nummer der Gegenseite, Gesprächsdauer) an einen Oppo-Server. Gerätekennungen gingen an die chinesischen Netzbetreiber China Mobile und China Unicom, auch mit britischer SIM-Karte. Alle Server standen in China. Laut Studie änderte sich das Verhalten auch außerhalb Chinas nicht. Ablehnen ließ sich das nicht. Beim Xiaomi mit China-Firmware gingen detaillierte App-Nutzungsdaten und GPS-Daten an Xiaomi sowie GPS-Daten an Baidu, selbst wenn die Ortung bei der Einrichtung abgewählt war. Zudem zählten die Forscher auf der China-Firmware drei- bis viermal so viele vorinstallierte Drittanbieter-Apps wie auf der Global-Version. Das lässt sich mit unseren Anleitungen von oben leicht beheben.

Mehrere Server aus dieser Studie tauchen auch in unserem Mitschnitt auf, darunter der AMap-Ortungsserver, der China-Mobile-Server und genau der Oppo-Server, an den die SMS-App damals Anrufdaten schickte. Bei uns sprach ihn die Nachrichten-App an. Über den Inhalt können wir nichts sagen, denn wir haben in den 25 Stunden weder telefoniert noch SMS geschrieben. Ableiten lässt sich daraus nur eines: Die Infrastruktur ist dieselbe.

2021 prüfte das litauische nationale Cyber-Sicherheitszentrum Geräte von Xiaomi, Huawei und OnePlus in der Global-Version. Bei Xiaomi fand es unter anderem eine regelmäßig geladene Liste mit 449 zensierbaren Begriffen, die in der EU deaktiviert war, sowie Statistiken, die an Server in Singapur gingen. Bei OnePlus fand es nichts. Nach dem Litauen-Bericht prüfte das BSI Anfang 2022 mehrere Monate lang Xiaomi-Smartphones und fand keine Auffälligkeiten. Allerdings ging es dabei um Geräte für den deutschen Markt, nicht um China-Importe. 2024 deckte das Citizen Lab Schwächen bei Cloud-Tastaturen für chinesische Schriftzeichen auf: Bei acht von neun großen Anbietern, darunter Oppo, Xiaomi, Vivo, Honor und Samsung, war die Verschlüsselung so schwach, dass Lauscher im Netz die Eingaben mitlesen konnten. Viele der Lücken haben die Anbieter inzwischen geschlossen. Relevant ist das vor allem für Nutzer der chinesischen Tastatur, die auf China-ROMs oft die Standard-Tastatur ist. 

Wenn ihr euer Import-Gerät hierzulande nutzen wollt, ist der Wechsel dieser Tastatur aber wohl der erste Schritt. Die chinesischen Tastaturen sind für unsere Gefilde schlichtweg unbrauchbar.

China-Version und Global-Version

Die China-Firmware spricht Server in China an, bringt mehr vorinstallierte Drittanbieter-Komponenten mit (chinesische Kartendienste, Netzbetreiber-Module), ortet über Baidu, AMap oder Tencent statt über Google und bietet kaum Möglichkeiten, das abzuschalten.

Die Studie von 2023 liefert auch den Vergleich: Das Realme mit Global-Firmware schickte im Ruhezustand nur Netzbetreiber-Kennungen an einen Oppo-Server. Die Server standen in Paris (Oppo) und Singapur (Xiaomi). Drittanbieter, die Standort- oder Kontaktdaten erhielten, fanden die Forscher dort nicht.

Die Hersteller verweisen auf eigene Speicherorte. Oppos Dienste-Tochter HeyTap speichert Daten europäischer Nutzer laut eigener Datenschutzerklärung „grundsätzlich“ in der EU. Xiaomi speichert Daten aus der EU in den Niederlanden, schreibt aber selbst, dass ein Zugriff aus China über begrenzte, gesicherte Kanäle möglich ist. Rechtlich relevant: Chinesische Gesetze verpflichten Unternehmen zur Zusammenarbeit mit Nachrichtendiensten und Behörden (Nationales Geheimdienstgesetz von 2017, Datensicherheitsgesetz von 2021). Daten auf Servern in China unterliegen diesem Zugriff. Ob und wie die Behörden ihn bei Smartphone-Daten nutzen, ist nicht belegt.

Google, Samsung und Apple

Eine weitere Studie des Trinity College Dublin von 2021 untersuchte den Datenverkehr von Global-Versionen in Europa. Auf allen untersuchten Android-Geräten (Samsung, Xiaomi, Huawei, Realme) lud Google mindestens zehnmal so viele Daten hoch wie der Gerätehersteller, bei Xiaomi, Huawei und Realme rund 30-mal so viel. Abschalten lässt sich das nicht. Samsung schickte Daten unter anderem an Microsoft und an den Anrufdienst Hiya.

Eine zweite Untersuchung desselben Instituts, ebenfalls aus dem Jahr 2021, verglich iPhone und Pixel: Beide melden sich im Ruhezustand etwa alle 4,5 Minuten bei ihrem Hersteller. Ein Pixel schickte in 12 Stunden Ruhe rund 1MB an Google, ein iPhone rund 52kB an Apple. Google sammelt laut Studie etwa 20-mal so viele Gerätedaten wie Apple. Auch das iPhone übermittelt die Kennungen umliegender WLAN-Router an Apple.

Auch bei unserem Oppo ging das meiste Volumen an Google. Die Menge allein sagt also wenig aus. Der Unterschied liegt beim Empfänger, beim Rechtsrahmen und bei den Dritten, die mitlesen dürfen.

China-Version datensparsamer nutzen

Nutzt ihr eine China-Version oder habt das vor, könnt ihr einige Datenflüsse verringern:

• Kein Herstellerkonto (Oppo-, Xiaomi-, Vivo-, Honor-Konto) anmelden, wenn es nicht nötig ist.
• Statt der vorinstallierten chinesischen Tastatur Gboard oder eine andere Tastatur aus dem Play Store nutzen. Das versteht sich fast von selbst, denn die chinesischen Tastaturen sind für uns de facto unbenutzbar.
• System-Apps, die ihr nicht braucht, entfernen oder abschalten (siehe unsere Anleitungen oben).
• Bei der Einrichtung alle optionalen Programme ablehnen (Nutzererfahrung, Personalisierung, Werbung).
• Automatische Updates im App Market des Herstellers abschalten und Apps aus dem Play Store beziehen.

Früher gab es noch einen anderen Weg: Projekte wie xiaomi.eu ersetzten die China-ROM durch eine bereinigte Version mit deutscher Sprache und ohne China-Dienste. Diese Custom-ROMs sind faktisch tot, denn der Bootloader lässt sich fast nirgends mehr entsperren. Der Bootloader ist der Startmechanismus des Smartphones. Solange er gesperrt ist, akzeptiert er nur vom Hersteller signierte Software, eine andere ROM könnt ihr dann nicht installieren. Kauft ihr eine China-Version, bleibt ihr also bei der China-ROM des Herstellers. Das ist heutzutage der Standard. Die einzige Ausnahme ist OnePlus, dort lässt sich der Bootloader auf Antrag noch entsperren. Ob es dafür künftig eine passende Global-ROM gibt, ist aber fraglich, denn OnePlus zieht sich aus Europa zurück und konzentriert sich auf China und Indien. Indien-ROMs liefen auf China-Geräten in der Vergangenheit nicht gut.

Unsere Einschätzung

Belegt ist: China-Versionen senden regelmäßig Daten an Server in China, auch hier in Deutschland, und geben Standortdaten an chinesische Kartendienste weiter. Abschalten lässt sich das nur teilweise. Belegt ist auch: Die Mengen sind klein, in unserem Mitschnitt rund 1,7MB in 25 Stunden, und Google sammelt auf jedem Android-Smartphone mehr. Nicht belegt ist ein gezieltes Ausspähen einzelner Nutzer über diese Kanäle.

Unsere Empfehlung: Kauft ihr eine China-Version wegen des Preises oder der früheren Verfügbarkeit, solltet ihr wissen, dass Standort- und Nutzungsdaten nach China gehen. Setzt die Tipps oben um, denn eine andere ROM lässt sich wegen des gesperrten Bootloaders außer bei OnePlus ohnehin nicht mehr installieren. Für Firmen-Mail oder vertrauliche Arbeit ist die Global-Version die bessere Wahl, zumal sie im Wesentlichen dieselbe Hardware hat.

Insgesamt schickt eine China-ROM nicht mehr Daten als Google, aber an Empfänger, denen ihr als europäische Nutzer kaum widersprechen könnt.