Widevine und die Sicherheitsstufen L1, L2, L3

Widevine ist Googles Rechteverwaltungssystem für Streaming — nach der eigenen Beschreibung ein Schutzsystem für „premium media". Es entscheidet, bevor das erste Bild entsteht, ob ein Gerät einen geschützten Inhalt entschlüsseln darf und in welcher Qualität. Die Antwort darauf hängt an einer einzigen Frage: Wo im Gerät liegen Schlüsselverwaltung, Entschlüsselung und Dekodierung — in gewöhnlicher Software oder in einem hardwaregestützten, abgeschirmten Bereich? Darüber entscheiden die Bauweise des Geräts und die Prüfung durch seinen Hersteller. Ein schnellerer Prozessor verschiebt daran nichts.

Ausführliche Erklärung

Was ein Rechteverwaltungssystem im Signalweg tut

Der Anbieter legt seine Filme verschlüsselt ab und schickt sie auch so über das Netz. Der Schlüssel reist nicht mit. Will ein Gerät abspielen, fragt es für jede Sitzung eine Lizenz bei einem Lizenzserver an, und mit der Lizenz kommt eine Auflage zurück — die Lizenzpolitik. Sie sagt, was dieses eine Gerät mit dem Schlüssel anfangen darf. Genau hier entstehen Auflösungsgrenzen, und zwar bevor irgendein Kabel im Spiel ist.

Auf der Geräteseite steht dafür ein eigenes Bauteil, das Content Decryption Module. Die W3C-Schnittstelle für Browser, die Encrypted Media Extensions, beschreibt es als die Komponente im Endgerät, die die Entschlüsselung für ein oder mehrere Schutzsysteme übernimmt. Über sich selbst sagt sie ausdrücklich, dass sie nur eine gemeinsame Anfrageform für solche Systeme beschreibt. Welches System dahinter arbeitet und wie streng es ist, klärt die Schnittstelle nicht.

Widevine ist eines dieser Systeme. Seine Nutzung setzt eine eigene Lizenzvereinbarung mit Google voraus; Gebühren erhebt Google dafür nach eigener Angabe nicht. Ein Hersteller kann das System also nicht einfach mitliefern, weil sein Gerät Android nutzt — er schließt einen Vertrag darüber, und das ist der erste Grund, warum zwei technisch ähnliche Geräte verschieden weit kommen.

Was die Stufen unterscheidet — und was Google davon veröffentlicht

Im Handel, in Foren und in Datenblättern kursieren drei Kürzel: L1, L2 und L3. Sie sind Branchensprache, und für keines davon gibt es eine veröffentlichte Definition von Google. Wer nachschlägt, was sie bedeuten, landet in einer Schleife. Googles eigene Widevine-Hilfe hat eine Seite dazu — sie führt im Titel nur die Stufen 1 und 3 und erklärt auch dort nur, wie sich die Stufe eines Geräts feststellen lässt. Auf die Frage, was die Stufen sind, verweist sie weiter auf die DRM-Seite des Android Open Source Project. Diese Seite wiederum enthält weder das Wort „Widevine" noch „L1" noch den Begriff „security level" (nachgezählt am 5. September 2026). Die Verweiskette endet also, ohne die Stufen zu definieren.

Beschrieben ist stattdessen die Sache dahinter, und zwar an zwei Stellen sauber. Die AOSP-Seite nennt die Voraussetzungen im Gerät: ein hardwaregestützter Startvorgang, der eine Vertrauenskette aufbaut, Schutz der kryptografischen Schlüssel, Schutz der bereits entschlüsselten Bilder im Gerät und ein vertrauenswürdiger Ausgabeschutz. Und sie hält fest, dass nicht jede Hardwareplattform all das kann.

Die zweite Stelle ist die Android-Programmierschnittstelle für DRM. Sie kennt fünf benannte Stufen, und ihre Beschreibungen sagen genau, was worin liegt:

Der Zusammenhang zur Bildqualität steht in derselben Dokumentation, und er entscheidet die ganze Frage: Eine Sitzung darf auch unterhalb der Stufe eröffnet werden, die das Gerät selbst könnte — und das begrenzt den Inhalt dann typischerweise auf niedrigere Auflösungen, wie die Lizenzpolitik es festlegt. Die Auflösung folgt also aus einer Auflage des Anbieters, die an die Stufe geknüpft ist. Sie folgt nicht aus Rechenleistung, Bildschirmgröße oder Bandbreite.

Warum ein PC oder ein Browser oft unten bleibt

Am Rechner läuft das Content Decryption Module als Softwarebaustein im Browser. Die W3C-Schnittstelle kennt zwar eine Angabe zur geforderten Robustheit, überlässt deren zulässige Werte aber dem jeweiligen Schutzsystem und normiert sie nicht; eine leere Angabe heißt ausdrücklich, dass jede Fähigkeit zum Entschlüsseln und Dekodieren genügt. Der Browser kennt dieselben fünf Robustheitsbezeichnungen wie die Android-Schnittstelle, und ob ein hardwaregestützter Weg überhaupt zur Verfügung steht, entscheidet sich je Plattform.

Daraus wird der Befund verständlich, über den Kunden regelmäßig stolpern: Ein leistungsfähiger Arbeitsrechner spielt geschützte Inhalte im Browser häufig nur in kleiner Auflösung, während ein günstiger Fernseher daneben die volle Qualität bekommt. Ein Allzweckrechner ist auf Offenheit gebaut — Betriebssystem, Treiber und Bildschirmausgabe sind zugänglich, und genau diese Zugänglichkeit ist das Gegenteil dessen, was ein abgeschirmter Bereich leistet. Ein Fernseher oder ein Zuspieler ist auf diese eine Aufgabe zugeschnitten und dafür geprüft.

Was „Android-zertifiziert" darüber aussagt

Nichts — und das ist die beratungsrelevanteste Einzelheit dieses Themas. Die Android-Kompatibilitätsdefinition ist das Dokument, an dem sich entscheidet, ob ein Gerät als Android-kompatibel gilt. In der Fassung für Android 16 kommt das Wort „Widevine" null Mal vor (ausgezählt am 5. September 2026 über den abgerufenen Volltext).

Es gibt genau eine Anforderung mit Bezug auf das DRM-Rahmenwerk: Ein Gerät muss die strengste Stufe HW_SECURE_ALL nebst einer Reihe von Mindestwerten beherrschen. Diese Anforderung steht aber im Abschnitt „Handheld Media Performance Class" — einer freiwilligen Leistungsklasse, die ein Handgerät nur erfüllen muss, wenn es selbst eine solche Klasse ausweist. Fernseher, Projektoren und Zuspieler fallen von vornherein nicht darunter.

Ein Gerät kann demnach vollständig Android-kompatibel sein, die Play-Protect-Zertifizierung führen, die Google-TV-Oberfläche zeigen — und für geschütztes Streaming trotzdem nur die unterste Stufe mitbringen. Wer „zertifiziert" hört, sollte deshalb nachfragen, welche Prüfung gemeint ist.

Was Anbieter daraus machen

Welche Stufe ein Dienst für welche Auflösung verlangt, ist seine eigene Lizenzpolitik. Netflix beschreibt in seiner Hilfe, dass auf Android für HD die Stufe L1 nötig ist und bei L3 nur Standardauflösung möglich bleibt (Stand 5. September 2026). Diese Zuordnung gehört dem Anbieter und kann sich ändern, ohne dass am Gerät irgendetwas passiert. Verbindliche Auskunft für ein konkretes Modell gibt deshalb nur der Anbieter selbst; viele Dienste beschreiben in ihren Hilfebereichen auch, wie sich die Stufe eines Geräts nachsehen lässt.

Häufiges Missverständnis

„Ein schnelleres Gerät bekommt die höhere Stufe." Die Stufe beschreibt, wo Schlüssel und Bild im Gerät liegen und ob der Hersteller das hat prüfen lassen. Rechenleistung, Arbeitsspeicher und Bildschirmgröße kommen darin nicht vor. Ein teures Notebook kann unter einem günstigen Zuspieler liegen, und das ist kein Fehler des Notebooks.

„L1 heißt 4K." Die Stufe ist eine Voraussetzung, aus der die Lizenzpolitik ihre Auflage ableitet — ein Auflösungsversprechen ist sie nicht. Über die tatsächliche Qualität entscheiden zusätzlich der gebuchte Tarif, der verfügbare Codec, die Bandbreite und der Ausgabeweg. Die Stufe kann eine hohe Auflösung verhindern; garantieren kann sie sie nicht.

„Die Stufe steht fest, wenn das Gerät einmal gekauft ist." Sie hängt an der Umsetzung auf dem Gerät, und die ändert sich mit der Firmware. Ein Gerät kann nach einer Aktualisierung eine andere Stufe melden als vorher. In Bestandsanlagen begegnet einem das regelmäßig, und es erklärt, warum eine einmal geprüfte Kette später anders reagieren kann.

Nicht zu verwechseln mit

• HDCP: die häufigste Verwechslung überhaupt. HDCP verschlüsselt die Verbindung zwischen zwei Geräten und wird für jede Strecke neu ausgehandelt; Widevine schützt den Inhalt auf dem Weg vom Dienst in das abspielende Gerät und wird je Sitzung über eine Lizenz entschieden. Die Fehlerbilder sehen verschieden aus: Eine gescheiterte HDCP-Prüfung führt zum schwarzen Bild, eine Widevine-Auflage zu einem Bild, das läuft und dabei kleiner ist als erwartet. Berührungspunkt: Die Android-DRM-Schnittstelle kann den ausgehandelten HDCP-Stand der Ausgabe abfragen und den höchsten, den das Gerät beherrscht — bis hin zum Wert für „kein digitaler Ausgang, dadurch als sicher geltend". Eine Lizenzpolitik kann den Ausgabeweg also zur Bedingung machen. Zwei Mechanismen, ein gemeinsamer Hebel.
• PlayReady und FairPlay: Rechteverwaltungssysteme anderer Anbieter mit eigenen Abstufungen. Ein Dienst nutzt je Plattform verschiedene Systeme; die Kürzel sind untereinander nicht übertragbar.
• Play-Protect-Zertifizierung: betrifft den Zugang zu Googles Diensten und zum App-Store, nicht die Schutzstufe für Medien.
• App-Freigabe des Streaminganbieters: Ob ein Dienst seine Anwendung für eine Marke und ein Modell überhaupt freigibt, ist eine dritte, davon unabhängige Frage.
• Regionalcode: eine Beschränkung der Disc ohne Bezug zu Streaming.

In der Planung

Ein Kunde möchte im Kinoraum Streaming in der höchsten verfügbaren Qualität, im Wohnzimmer reicht ihm gute Alltagsqualität, und im Arbeitszimmer läuft ohnehin nur nebenbei etwas am Rechner. Vorgesehen sind ein Projektor mit eigener Streaming-Oberfläche, ein Fernseher und der vorhandene Arbeitsrechner.

Vor der Gerätefrage liegt die Konzeptfrage: In welchem Raum kommt es auf die volle Qualität an, und woher kommt dort der Inhalt? Sobald sie beantwortet ist, gilt die Anforderung für genau einen Raum und nicht für alle drei.

Daraus folgt die Verfahrenswahl. Das Streaming an ein eigenes, zertifiziertes Zuspielgerät zu binden, verlegt die Stufenfrage auf ein kleines, günstig austauschbares Gerät. Das Bildgerät wird dann nach Bildqualität ausgesucht, und beim nächsten Gerätewechsel bleibt die Streamingumgebung dieselbe. Für das Arbeitszimmer bleibt es beim Rechner, mit der Ansage, dass dort nur Alltagsqualität ankommt.

Erst am Schluss die Geräte — und hier hilft ein Datenblatt selten weiter, weil die Stufe dort meistens nicht steht. Auskunft geben der Hersteller und der Streaminganbieter, und beide Antworten gehören vor die Bestellung. Weil sich die Stufe mit einem Firmware-Stand ändern kann, ist sie außerdem ein Prüfpunkt bei der Übergabe und keine einmalige Recherche.

Verknüpfte Inhalte

Warum eine Kette auch ohne jede Streaming-Auflage schwarz bleiben kann und wie sich die beiden Ursachen auseinanderhalten lassen, erklärt HDCP. Dass die Freigabe einer Streaming-App je Marke und Modell noch einmal eine eigene Hürde ist, steht bei Google TV. Welches Gerät die Rolle des Zuspielers übernimmt und welche Anschlussfrage daran hängt, erklären Quellgerät und Zuspieler sowie HDMI.

Quellen

Die Lizenzpflicht und die Gebührenfreiheit stammen aus Googles Widevine-Übersicht. Dass Googles eigene Hilfeseite zu den Gerätestufen für deren Erklärung auf die DRM-Seite des Android Open Source Project weiterverweist und dass jene Seite die Kürzel nicht führt, wurde am 5. September 2026 an beiden Fundstellen geprüft. Die Voraussetzungen im Gerät — hardwaregestützter Startvorgang, Schlüsselschutz, Schutz der entschlüsselten Bilder, vertrauenswürdiger Ausgabeschutz — stehen auf der AOSP-Seite. Die fünf benannten Stufen, der Satz zur Auflösungsbegrenzung durch die Lizenzpolitik und die Abfragen zum HDCP-Stand stammen aus dem Quelltext der Android-DRM-Schnittstelle. Der Befund zur Kompatibilitätsdefinition wurde am Volltext der Fassung für Android 16 ausgezählt. Die Aussagen zur Browserschnittstelle stammen aus der W3C-Empfehlung zu den Encrypted Media Extensions und aus dem Chromium-Quelltext. Die Zuordnung von Stufe und Auflösung stammt von Netflix. Datenstand 2026-09-05.