Popcorn Time war einst die bequemste Art, Raubkopien zu streamen: eine App, die Torrents wie einen Katalog behandelte, ein Klick, ein Film. Das Projekt ist tot, doch die Installationen sind es nicht — und genau daraus wurde laut The Verge ein Sicherheitsproblem. Die verlassenen Apps mussten abgeschaltet werden, um zu verhindern, dass sie zu einer Zombie-Armee werden.
Der entscheidende Punkt steckt in der Formulierung. Eine App auf Millionen von Geräten lässt sich nicht abschalten, indem man eine Website vom Netz nimmt. Man muss die installierten Kopien erreichen — über denselben Kanal, dem diese Kopien noch immer vertrauen. Dass die Abschaltung überhaupt möglich war, ist der Beleg dafür, dass dieser Kanal noch offen stand. Und was sich abschalten lässt, lässt sich auch anders nutzen: Wer die Kontrolle über eine solche Fernsteuerung erlangt, verfügt über einen bereits installierten, bereits vertrauenswürdigen Klienten auf einer sehr großen Zahl von Rechnern.
Das ist der eigentliche Befund, und er reicht weit über Piraterie hinaus. Verlassene Software ist keine ruhende Last, sondern eine offene Angriffsfläche ohne Eigentümer. Ein Projekt wird eingestellt, aber die Update-Server, die Domain, das Zertifikat, der Remote-Config-Endpunkt und die Signaturschlüssel bleiben bestehen — oft jahrelang, oft bei jemandem, der längst etwas anderes macht. Jeder dieser Reste ist ein potenzieller Einstiegspunkt in einen Rechner, dessen Besitzer glaubt, ein Videoabspielprogramm installiert zu haben. Dass diese Apps selbst Raubkopien auslieferten, macht die Sache nicht besser, sondern nur schwerer zu melden: Nutzer eines Piraterie-Clients rufen selten den Support an, und sie erwarten ohnehin, dass etwas an der Sache faul ist.
Bemerkenswert ist auch die Richtung der Verantwortung. Eine Kill-Switch-Aktion ist defensiv: Sie nimmt Nutzern eine Funktion weg, um Schaden zu verhindern, den diese Nutzer nicht verursacht haben und nicht sehen können. Das ist die vernünftige Wahl, aber es ist eine Wahl mit Kosten — Millionen funktionierender Installationen werden stillgelegt, und zwar von Leuten, die dafür nie mandatiert wurden. Bei einem kommerziellen Produkt wäre das ein Skandal; bei einer verlassenen Piraterie-App gilt es zu Recht als Schadensbegrenzung. Diese Asymmetrie ist selbst ein Symptom: Wo kein Eigentümer haftet, entscheidet am Ende, wer noch Zugriff auf die Infrastruktur hat.
Die Lehre für alle anderen ist unbequem und einfach. Abhängigkeiten sterben nicht, sie verwaisen — und eine verwaiste Abhängigkeit mit Netzwerkzugriff und Selbstaktualisierung ist eine Hintertür, die niemand mehr bewacht. Für Unternehmen heißt das: Ein Inventar der installierten Software, die seit zwei Jahren kein Update mehr erhalten hat, ist keine Hygieneübung, sondern eine Risikoliste. Für Entwickler heißt es: Was man ausliefert, behält man für immer am Hals. Ein Kill Switch ist Teil des Produkts, nicht ein Zugeständnis an die Paranoia — man sollte ihn einbauen, solange man noch die Kontrolle über die Schlüssel hat, die ihn auslösen.
