Zehntausende Überwachungskameras streamen ungeschützt ins Netz

Überwachungskameras sind überall – in U-Bahnen, an Türklingeln und in Fahrstühlen. Oft bemerkt man sie gar nicht, weil es mittlerweile so kleine und unscheinbare Modelle gibt. Amerikanische Sicherheitsforscher warnen nun aber davor, wie einfach es für Dritte ist, sich Zugriff auf die Feeds solcher Überwachungskameras zu verschaffen. Bei einem Test konnten die Experten von Bitsight Live-Feeds von insgesamt 40.000 Kameras abrufen, die mit dem Internet verbunden waren.

➤ Mehr lesen: Wie sicher sind vernetzte Überwachungskameras?

14.000 der abgerufenen Kameras haben ihren Standort in den USA. Unter den gehackten Kamera-Standorten waren sensible Bereiche wie Rechenzentren, Fabriken und Gesundheitseinrichtungen.

Beunruhigend sei, wie einfach der Zugang war: „Manche erfordern nicht einmal ausgefeilte Hackertechniken oder spezielle Tools, um auf unbeabsichtigte Weise auf ihre Live-Aufnahmen zuzugreifen. In vielen Fällen genügt es, einen Webbrowser zu öffnen und zur Benutzeroberfläche der exponierten Kamera zu navigieren“, heißt es in einem Bericht von Bitsight, wie The Register mitteilt.

Spionage, Stalking und Raubzüge

Die Sicherheitsexperten von Bitsight warnen, dass die Kamerafeeds von China zu Spionagezwecken abgerufen werden könnten. Über die Live-Aufnahmen, die im Internet abrufbar sind, könnten feindliche Akteure ihr Bild von geheimen Orten schärfen. Sie könnten damit etwa in Wirtschaftsbetrieben Geschäftsgeheimnisse ausspähen oder mehr über geschützte Lokalitäten erfahren, über die sie bisher nur wenig Informationen haben, warnen die Experten von Bitsight. Bereits in der Vergangenheit sollen sich chinesische Spione Zugriff auf Kameras in den USA verschafft haben.

Aber auch Kriminelle könnten sich die Kamerafeeds zunutze machen: etwa, indem sie Geschäftstätigkeiten oder Privathaushalte beobachten, um sich damit auf einen Raubüberfall vorzubereiten. Auch Stalking oder Erpressung könnten ungeschützte Kamerafeeds erleichtern. Bitsight fand im Internet sogar Foren, in denen Personen IP-Adressen von Kamera-Systemen teilten.

2 Kameratypen im Fokus

Konkret zielte die Bitsight-Überprüfung auf 2 verschiedene, häufig gebrauchte Arten von Überwachungskameras ab. Einerseits auf solche, die auf HTTP-Technologie basieren, andererseits auf RTSP. 78,5 Prozent waren HTTP-Kameras und 21,5 Prozent RTSP.

All ihre Ziele konnten sie über einen einfachen Webbrowser und einen sogenannten Uniform Resource Identifier (URI) aufrufen. Zwar sei das Aufspüren der Kameras kein Kinderspiel, für erfahrene oder motivierte Angreifer jedoch insgesamt durchaus machbar.

So würden die meisten Kamera-Hersteller von HTTP-Systemen eine API implementieren, die ein Bild aus dem Live-Feed liefert, wenn man die richtigen URI und Parameter bei der Suche verwendet. Entscheidende Infos bekäme man aus den entsprechenden technischen Dokumentationen.

➤ Mehr lesen: Darf ich mir eine Video-Türklingel installieren?

Bei RTSP-Kameras sei es hingegen schwieriger gewesen, sie konnten aber mithilfe von Kennungen wie HTML-Formatierungen oder Headern aufgespürt werden. Weil die darin enthaltenen entsprechenden Infos allerdings geheim sind, sei die Anzahl der aufspürbaren Kameras begrenzt gewesen.