Eine Überwachungskamera soll dein Zuhause sicherer machen. Manchmal macht sie genau das Gegenteil. Sicherheitsforscher von Hunt.io haben eine Kampagne rekonstruiert, die in nur 35 Tagen über 14.530 Dahua-Geräte übernommen hat. Der Name der Operation: CameraSwarm.
Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.
EIN VERGESSENER ORDNER VERRIET ALLES
Aufgeflogen ist die Sache durch einen klassischen Anfängerfehler. Der Angreifer ließ auf einem Webserver ein Arbeitsverzeichnis offen im Netz stehen — 407 Megabyte, 2.616 Dateien in 234 Unterordnern.
Drin lag praktisch das komplette Werkzeugregal: Skripte, Protokolldateien, die Kommandozeilen-Historie und Listen der erfolgreich übernommenen Geräte. Damit ließ sich die Kampagne nachbauen wie ein Tatort mit Bauplan.
Der Zeitraum: 17. Juni bis 22. Juli 2026. Die bestätigten Treffer konzentrieren sich auf die Ukraine und Russland. Die Forscher beschreiben den Betreiber als russischsprachig — abgeleitet aus Sprachspuren in den Dateien. Eine Zuordnung zu einer bekannten Gruppe oder einer staatlichen Stelle gibt es ausdrücklich nicht.
DREI WEGE INS GERÄT
Weg 1 — Passwörter durchprobieren. Der Klassiker. Viele Kameras laufen jahrelang mit dem Kennwort, das bei der Installation gesetzt wurde. Oder mit gar keinem.
Weg 2 — zwei Lücken zur Anmelde-Umgehung. Zwei bekannte Schwachstellen erlaubten es, den Login schlicht zu überspringen. Wer die Firmware nie aktualisiert hat, war offen wie ein Scheunentor.
Weg 3 — der P2P-Dienst. Das ist der unangenehmste Teil. Damit du deine Kamera bequem per App von unterwegs siehst, verbindet sie sich selbstständig mit einem Cloud-Vermittlungsdienst. Der Angreifer nutzte genau diesen Weg — und erreichte darüber 283 Kameras, die von außen eigentlich gar nicht erreichbar waren. Für Geräte, die in der Cloud registriert waren, ließen sich zudem Wiederherstellungscodes aus der Seriennummer errechnen.
DIE FIESE POINTE: DAUERGAST IM WOHNZIMMER
Es blieb nicht beim Reinschauen. Auf 1.923 Kameras richtete der Angreifer ein eigenes, dauerhaftes Benutzerkonto ein.
Das bedeutet: Selbst wer sein Admin-Passwort später geändert hat, hatte den fremden Zugang möglicherweise weiterhin im Gerät. Ein Passwortwechsel allein räumt hier nicht auf.
SO PRÜFST DU DEINE EIGENE KAMERA
1. Benutzerliste kontrollieren. Melde dich an der Kamera an und schau dir an, welche Konten existieren. Kennst du jedes davon? Alles Unbekannte fliegt raus.
2. Firmware aktualisieren. Hol dir die Datei ausschließlich von der offiziellen Download-Seite des Herstellers und vergleiche die Versionsnummer mit der installierten.
3. P2P abschalten. Wenn du den Fernzugriff nicht wirklich brauchst, deaktiviere ihn. Brauchst du ihn doch, ist ein VPN in dein Heimnetz der deutlich sauberere Weg als der Cloud-Vermittler.
4. Netz aufteilen. Kameras gehören in ein eigenes Netzsegment — ein VLAN — ohne Zugriff auf deinen NAS, deine Rechner und ohne freien Weg ins Internet. Wenn ein Gerät dann doch fällt, fällt eben nur dieses Gerät.
5. Portweiterleitungen aufräumen. Schau im Router nach, ob du irgendwann mal Port 80, 554 oder 37777 nach außen geöffnet hast. Solche Regeln überleben erstaunlich lange.
EXTRA-TIPP: WER NEU KAUFT, KAUFT ANDERS
Wenn ohnehin ein Austausch ansteht, lohnt der Blick auf Systeme, die ohne Cloud-Zwang auskommen und deren Aufnahmen im eigenen Netz bleiben. Im Homelab-Umfeld ist die UniFi G6 Bullet* ein typischer Vertreter: Sie speichert auf eine lokale Aufzeichnungseinheit, der Fernzugriff läuft über das eigene Gateway statt über einen fremden Vermittlungsdienst. Das ist kein Zauberschutz — aber es reduziert genau die Angriffsfläche, die CameraSwarm so groß gemacht hat.
FAZIT: Kameras sind kleine Computer. Sie brauchen Updates, ein eigenes Netz und einen kurzen Blick alle paar Monate. Wer das einmal einrichtet, hat lange Ruhe.