LuxHawk.lu (+352) 27 52 67 45

← Zurück zu Wissen

Die Kameras des Gebäudes gegen das Gebäude

Gebäude und Miteigentum 11 min Autor : Arnaud Colin Aktualisiert : 19/09/2026

Zusammenfassung

Eine Kamera oder eine Video-Türsprechanlage ist ein an das Netzwerk angeschlossener Computer: Mit einem Werkspasswort ausgeliefert und nie aktualisiert, kann sie dazu dienen, Dritte anzugreifen (Mirai, Hikvision), ein verstecktes Konto aufnehmen, das das Zurücksetzen auf Werkseinstellungen übersteht (Dahua), oder über den Cloud-Anbieter eingesehen werden (Verkada). Die Miteigentümergemeinschaft bleibt für die Bilder der Gemeinschaftsflächen verantwortlich, und der Syndic ist ihr Auftragsverarbeiter. Individuelle Passwörter, keine direkte Exposition im Internet, Inventar und Aktualisierungen in der Hand einer im Vertrag mit dem Dienstleister benannten verantwortlichen Person: Das sind die Maßnahmen, die sich aus den vier Fällen ergeben.

Für wen filmen die Kameras im Hausflur?

Eine Kamera im Eingangsbereich, ein Rekorder im Technikraum, eine Video-Türsprechanlage an der Einfahrt zur Tiefgarage: Diese Geräte sind in Wohnanlagen und Bürogebäuden alltäglich geworden. Es sind zugleich kleine, an das Netzwerk angeschlossene Computer, die mit einem Werkspasswort ausgeliefert werden, einen eigenen Webserver besitzen und nach der Abnahme der Anlage nur selten aktualisiert werden.

Vier zwischen 2016 und 2026 dokumentierte Fälle zeigen, was das bedeutet. In zwei davon dienten Kameras ohne Wissen ihrer Eigentümer dazu, Dritte anzugreifen. In einem weiteren öffnete eine Schwachstelle in Kameras die Türsprechanlagen von Gebäuden. Im letzten lag die Schwäche beim Cloud-Anbieter, der die Bilder hostete. Die Frage, die sich daraus für einen Syndic, einen Immobilienverwalter oder einen Geschäftsführer ergibt, ist zunächst keine technische: Filmen meine Kameras für mich oder für jemand anderen, und wer haftet für das, was sie sehen?

Mirai, 2016: Kameras, mit ihrem Werkspasswort rekrutiert

Am 20. September 2016 trifft ein Überlastungsangriff (DDoS) mit 620 Gbit/s die Website KrebsOnSecurity; im selben Monat muss der Hoster OVH einen Angriff mit mindestens 1,1 Tbit/s verkraften. Am 14. Oktober veröffentlicht das amerikanische CERT eine Warnung vor dem Botnetz Mirai. Am 21. Oktober macht ein Angriff auf das Unternehmen Dyn Twitter, Netflix und Reddit unerreichbar; da der Quellcode Ende September veröffentlicht worden war, schreibt Krebs diesen Angriff nicht den ursprünglichen Urhebern zu.

Mirai durchsucht das Internet nach Kameras, Rekordern und Routern, deren Telnet-Dienst (Ports 23 und 2323) erreichbar ist, und probiert dann eine Liste von 62 Standard-Zugangsdaten durch. Der dokumentierte Angriffsweg ist keine Softwareschwachstelle, sondern nie geänderte Werkspasswörter; eine CVE gibt es dafür nicht. Die Warnung stellt klar, dass das Programm nur im Arbeitsspeicher lebt – ein Neustart löscht es –, das Gerät aber rasch erneut infiziert wird, solange das Passwort dasselbe bleibt.

Laut der Pressemitteilung des amerikanischen Justizministeriums vom 13. Dezember 2017 bekannten sich die drei Urheber, Paras Jha, Josiah White und Dalton Norman, am 8. Dezember 2017 schuldig. Auf dem Höhepunkt seiner Aktivität zählte das Netz „Hunderttausende“ Geräte; Krebs zitiert eine Studie, die mehr als 300.000 zählt, davon 175.000 allein für den Angriff vom 20. September. Am 18. September 2018 lauteten die verhängten Strafen auf fünf Jahre Bewährung, 2.500 Stunden gemeinnützige Arbeit, 127.000 Dollar Wiedergutmachung und eine fortgesetzte Zusammenarbeit mit dem FBI. Hunderttausende Kamerabesitzer hatten, ohne es zu wissen, an Angriffen auf Dritte teilgenommen.

Hikvision, 2021–2024: ein veröffentlichter Patch, Zehntausende nie aktualisierte Kameras

Hikvision zählt zu den größten Herstellern von Videoüberwachung weltweit und ist in Gemeinschaftsflächen und Tiefgaragen stark vertreten. Am 18. September 2021 macht ein Forscher unter dem Namen „Watchful IP“ die Schwachstelle CVE-2021-36260 öffentlich, bewertet mit 9,8 von 10: Eine manipulierte Webanfrage, die einen Befehl in einem Sprachparameter versteckt, verschafft ohne Passwort und ohne jedes Zutun eines Benutzers vollen Zugriff auf die Kamera. Der Hersteller veröffentlicht am Folgetag einen Hinweis und noch im selben Monat einen Patch; die CISA warnt am 28. September und nimmt die Schwachstelle am 10. Januar 2022 in ihren Katalog der ausgenutzten Schwachstellen auf.

Am 6. Dezember 2021 beschreibt FortiGuard Moobot, einen Mirai-Ableger, der diese Schwachstelle nutzt, um sich auf der Kamera einzunisten und Datenfluten auszulösen. Am 22. August 2022, elf Monate nach dem Patch, gibt BleepingComputer eine Zählung des Unternehmens CYFIRMA wieder: Von 285.000 untersuchten Servern bleiben mehr als 80.000 Kameras verwundbar, in 2.300 Organisationen und rund hundert Ländern; auf Frankreich entfallen 2.377. Es handelt sich um verwundbare, nicht um kompromittierte Kameras; dieser Unterschied ist wichtig.

Die Schwachstelle erlebte anschließend ein zweites Leben. Die gemeinsame Warnung von FBI, CNMF und NSA vom 18. September 2024 führt sie unter den Schwachstellen auf, die das Botnetz „Raptor Train“ ausnutzt. Im März 2024 durchsuchte die Kampagne HiatusRAT laut einer Mitteilung des FBI vom 16. Dezember 2024 noch immer Kameras und Rekorder nach dieser Schwachstelle, ohne dass eine Kompromittierung auf diesem Weg bestätigt wurde. Wenn die Ausnutzung drei Jahre nach dem Patch weitergeht, dann deshalb, weil die Kameras nicht aktualisiert werden – und eine Aktualisierung setzt voraus, dass jemand damit beauftragt wurde.

Dahua, 2021–2026: die Schwachstelle der Kamera öffnet die Türsprechanlage

Bei Dahua, einem weiteren großen Hersteller, gehören die Türstationen VTO und die Innenmonitore VTH zur selben Firmware-Familie wie die Kameras und Rekorder. Zwei Schwachstellen, CVE-2021-33044 und CVE-2021-33045, vom Forscher Bashis entdeckt und im Juni und Juli 2021 behoben, erlauben es, ohne Passwort eine Administratorsitzung zu öffnen, indem ein manipuliertes Anmeldepaket an den Dienstport des Geräts (TCP 37777) oder an dessen Weboberfläche gesendet wird. Der Hersteller bewertet sie in seinem Hinweis vom 1. September 2021 mit 8,1 von 10, die amerikanische Datenbank NVD mit 9,8; die Abweichung liegt an der geschätzten Schwierigkeit der Ausnutzung.

Diese Schwachstellen dienten zunächst einem staatlichen Akteur. Die CISA nimmt sie am 21. August 2024 in ihren Katalog auf, und die gemeinsame Warnung AA24-249A vom 5. September 2024 stellt fest, dass die Einheit 29155 des russischen Militärgeheimdienstes (GRU) sie gegen Dahua-Kameras kritischer Infrastrukturen ausgenutzt hat.

Zwischen dem 17. Juni und dem 22. Juli 2026 hat eine Operation namens „CameraSwarm“, die das Unternehmen Hunt.io anhand eines von ihren Betreibern offen zugänglich gelassenen Arbeitsverzeichnisses rekonstruiert und in einem am 18. August 2026 veröffentlichten Bericht beschrieben hat, in 35 Tagen mehr als 14.530 Dahua-Geräte kompromittiert, auf drei Wegen: Brute-Force-Angriffe auf Passwörter (12.324 Adressen), die Umgehung der Authentifizierung über die beiden Schwachstellen von 2021 (1.923 Kameras) und der Missbrauch des „P2P“-Cloud-Relais des Herstellers über Seriennummern (283 Geräte, die gar nicht direkt exponiert waren). Unter den betroffenen Geräten befinden sich Türstationen an Gebäudeeingängen; die Kompromittierungen konzentrieren sich auf die Ukraine und Russland, und The Hacker News berichtete am Tag darauf darüber.

Auf den 1.923 über die Schwachstellen übernommenen Kameras legten die Angreifer ein verstecktes Konto namens „p2pwn“ an, das eine Passwortänderung und auf den meisten Firmware-Versionen auch das Zurücksetzen auf Werkseinstellungen übersteht. Ein Verwalter, der die Kamera nach einem Verdacht „auf null zurückgesetzt“ hätte, hätte sie dem Angreifer unversehrt zurückgegeben. Hunt.io nimmt keine Zuordnung zu einem Urheber vor; seine Empfehlung umfasst drei Punkte: nach dem Konto „p2pwn“ suchen, P2P deaktivieren, die Firmware aktualisieren. Die Schwachstellen sind seit Juli 2021 behoben; die festgestellten Fälle betreffen Geräte, die nie aktualisiert wurden.

Verkada, 2021: wenn die Schwäche beim Cloud-Anbieter liegt

Wer seine Kameras und Zutrittsausweise (Badges) einem Cloud-Dienst anvertraut, verlagert das Problem, ohne es zu beseitigen: Das Gebäude erbt die Schwachstellen seines Anbieters. Verkada, ein amerikanisches Unternehmen für Kameras und Ausweisleser, die über seine Plattform gesteuert werden, hat das vorgeführt. Eine im Februar 2021 durchgeführte Sicherheitsbewertung hatte kritische Lücken festgestellt, die am 8. März noch nicht behoben waren.

Am 8. und 9. März 2021 verschafft sich ein Eindringling Zugang zu einem falsch konfigurierten und im Internet erreichbaren Kundensupport-Server, findet dort Administrator-Zugangsdaten und nutzt das interne Werkzeug, mit dem der Support die Plattform aus Sicht eines beliebigen Kunden sehen kann, über ein sogenanntes „Super-Admin“-Konto. Keine Produktschwachstelle, keine CVE: eine versäumte Vorsichtsmaßnahme bei einer geplanten Aktualisierung. Verkada bemerkt den Vorfall nicht selbst: Laut der Klageschrift der Federal Trade Commission erfährt das Unternehmen am 9. März davon, weil sich der Eindringling bei einem Medium gemeldet hatte, das Verkada daraufhin kontaktierte. Der Zugang wird in weniger als zwei Stunden gekappt, die Kunden werden binnen sechs Stunden informiert.

Bilanz laut dem von Verkada am 7. April 2021 veröffentlichten Vorfallsbericht: 97 Kunden, also weniger als 2 % von rund 6.000, deren Kameras eingesehen wurden; bis zu 4.530 betroffene Kameras; 87 eingesehene Videoarchive; die Badge-Daten von 8 Kunden. Die FTC macht darüber hinaus geltend, dass Passwort-Hashes abgeflossen seien, was Verkada bestreitet. Die Presse, wiedergegeben von Threatpost, nannte unter den Zielen Tesla (Werk Shanghai, 222 Kameras), Cloudflare, Halifax Health, das Gefängnis des Madison County und die Schule von Sandy Hook. Die FTC ihrerseits hält fest, dass der Eindringling die Möglichkeit hatte, auf „mehr als 150.000 Live-Kameras“ zuzugreifen, darunter in psychiatrischen Kliniken und Frauengesundheitskliniken.

Till Kottmann, 21 Jahre alt, aus Luzern, dessen Name mit diesem Einbruch verbunden ist, wurde am 18. März 2021 in den Vereinigten Staaten angeklagt; die Pressemitteilung des Justizministeriums nennt Verkada nicht. Die Sanktion gegen den Anbieter kam drei Jahre später: Die mit der FTC ausgehandelte Verfügung, angekündigt am 30. August 2024 und der Genehmigung durch einen Richter unterworfen, sieht ein zwanzig Jahre lang von einem Dritten geprüftes Sicherheitsprogramm und eine Geldbuße von 2,95 Millionen Dollar vor, verhängt wegen des Versands von mehr als 30 Millionen unerwünschten E-Mails und nicht wegen des Datenlecks selbst.

Was ein Gebäude oder eine Miteigentümergemeinschaft in Luxemburg daraus lernen kann

Keiner dieser Fälle hat sich in Luxemburg ereignet, und kein Fall einer gehackten Gegensprechanlage in einem luxemburgischen Gebäude findet sich am 18. September 2026 in einer erstrangigen Quelle. Dieselben Geräte sind dort dennoch installiert.

  • Das Werkspasswort ändern, bei jeder Kamera, jedem Rekorder und jeder Türsprechanlage, ein eigenes je Gerät. Das ist der Angriffsweg von Mirai, und Brute-Force bleibt zehn Jahre später der erste Weg von CameraSwarm.
  • Die Geräte vom Internet trennen und isolieren. Keine Portweiterleitung auf dem Router und, wenn irgend möglich, kein P2P-Relais des Herstellers: Dieses Relais ist eine verkappte Exposition im Internet. Der Fernzugriff läuft über ein VPN, und das Videonetz bleibt von dem des Syndic und der Bewohner getrennt, denn eine kompromittierte Kamera fällt nicht aus: Sie filmt weiter und greift Dritte an.
  • Ein Inventar führen: jedes Gerät, seine Firmware-Version und der Name der Person, die für die Aktualisierung zuständig ist. Die 2021 behobenen Schwachstellen von Hikvision und Dahua wurden 2024 noch ausgenutzt, jene von Dahua noch 2026.
  • Diese Anforderungen in den Vertrag mit dem Dienstleister für Videoüberwachung schreiben: geliefertes Inventar, an die Miteigentümergemeinschaft übergebene individuelle Passwörter, Aktualisierungsplan, protokollierter Fernzugriff, Entzug aller Zugänge bei Vertragsende.
  • Sich nach einem Verdacht nicht mit dem Zurücksetzen auf Werkseinstellungen begnügen. Das versteckte Konto von CameraSwarm übersteht es: die Firmware aktualisieren, dann die Kontenliste prüfen; ein Neustart allein heilt nichts, solange die Ursache bestehen bleibt.
  • Den Cloud-Anbieter befragen, bevor Sie unterschreiben: Gibt es ein Support-Konto, das alle Kunden einsehen kann, und wie ist dieser Zugang abgeschottet und protokolliert? Bei Verkada öffnete ein einziges kompromittiertes Konto alle Standorte.
  • In der Generalversammlung entscheiden und den Rahmen setzen. Die CNPD erinnert daran, dass die Videoüberwachung einer Wohnanlage in der Generalversammlung mit der Mehrheit der Mitglieder, die mindestens drei Viertel der Stimmen vertreten, beschlossen wird, dass nur die Gemeinschaftsflächen gefilmt werden dürfen, dass die Miteigentümergemeinschaft für die Verarbeitung verantwortlich ist und dass der Syndic als Auftragsverarbeiter im Sinne von Artikel 28 der DSGVO handelt.
  • Die Meldung vorbereiten. Die Bilder aus dem Hausflur sind personenbezogene Daten: Konnte ein Dritter sie einsehen, kann es sich um eine Verletzung handeln, die der CNPD innerhalb der von der DSGVO vorgesehenen 72 Stunden zu melden ist. Die Miteigentümergemeinschaft und ihr Syndic müssen im Voraus festgelegt haben, wer das beurteilt und wer die Bewohner informiert.

Eine kompromittierte Kamera fällt nicht aus: Sie filmt weiter, und im Hausflur ist nichts davon zu sehen. Diese Vorfälle fallen nicht auf; man beugt ihnen vor.

Quellen