Ausgabe

Dies ist eine dauerhafte Ausgabe. Sie enthält das Briefing genau so, wie es an diesem Tag veröffentlicht wurde, und ändert sich nicht.

Ukraine warnt: Hacker dringen über die Cloud in Dahua-Überwachungskameras ein

CERT-UA, das ukrainische Computer-Notfallteam, teilte am 24. Oktober mit, dass Angreifer sich unbefugt Zugang zu Kameras und Videorekordern von Dahua verschafft, deren Einstellungen geändert und eigene Benutzerkonten angelegt haben. Gefährdet sei jedes Gerät mit eingeschalteter Easy4IP-Fernzugriffsfunktion, auch wenn es aus dem Internet nicht direkt erreichbar ist.

Laut Sicherheitsforschern folgen die Seriennummern von Dahua einem vorhersehbaren Muster. Angreifer können sie daher massenhaft erraten und Kameras über den Cloud-Dienst von Dahua sogar hinter einem Router erreichen. Anschließend melden sie sich mit schwachen oder bekannten Passwörtern an oder nutzen zwei Anmeldelücken in älterer Firmware.

Wer Kameras von Dahua oder auf Dahua basierende Geräte betreibt, sollte die Cloud-Funktion abschalten, sofern sie nicht gebraucht wird, die Geräte vom offenen Internet fernhalten und die Firmware aktualisieren. Ein Passwortwechsel oder ein Zurücksetzen auf Werkseinstellungen reicht nicht: Auf den meisten nicht gepatchten Geräten übersteht das versteckte Konto der Angreifer beides, deshalb nach dem Update auf fremde Konten prüfen.

Dahua hat beide Lücken im Oktober 2021 geschlossen, dennoch zählten Sicherheitsforscher mehr als 14.500 kompromittierte Dahua-Kameras in einer einzigen Kampagne zwischen Juni und Juli 2026.

Wen das bindet
Alle, die Kameras oder Videorekorder von Dahua mit eingeschalteter Easy4IP-Cloud-Funktion betreiben.
Was sich geändert hat
CERT-UA stellt klar: Eine Kamera ist nicht schon deshalb sicher, weil niemand sonst ihre Seriennummer kennen sollte.
Was zu prüfen ist
Überprüfen Sie alle installierten Dahua-Videorekorder und Überwachungsgeräte daraufhin, ob Easy4IP-Cloud-Funktionen aktiviert sind, und stellen Sie sicher, dass Firmware-Patches CVE 2021 33044 beheben.
Was das nicht bedeutet
Dieser technische Hinweis ordnet kein unmittelbares Betriebsverbot für Dahua-Geräte im Privatsektor an und schreibt auch keinen Hardware-Austausch vor, sofern die Firmware ordnungsgemäß aktualisiert wurde.

Noch offen: Die Urheberschaft der aktuellen Angriffe bleibt unbestätigt, womit das genaue Ausmaß zwischen staatlich gelenkter nachrichtendienstlicher Ausspähung und automatisierten Scans unklar ist.

An Ihr Team weiterleiten

Angreifer verschaffen sich über den hauseigenen Cloud-Dienst Zugang zu Dahua-Kameras, warnt das ukrainische Notfallteam für Computersicherheit.

Die Frage des Tages

Ein IT-Sicherheitsbeauftragter stellt fest, dass unberechtigte Profile auf mit dem Internet verbundenen Dahua-Videoüberwachungsgeräten über einen Cloud-Dienst eingerichtet wurden. Welche Maßnahme ist gemäß den technischen Erkenntnissen zwingend erforderlich, um diese Hintertüren vollständig zu schließen?

  1. Die manuelle Bereinigung der betroffenen administrativen Benutzerkonten im System.
  2. Die direkte Installation validierter Firmware-Upgrades des Herstellers auf den Geräten.
  3. Die Ausführung eines regulären Zurücksetzens der Hardware auf die Werkseinstellungen.
  4. Die zyklische Rotation sämtlicher lokaler Passwörter auf den betroffenen Netzknoten.

Diese Frage auf der Website beantworten

Ebenfalls wissenswert

  1. Loblaw verpflichtet sich nach Kontokompromittierung von zwei Millionen Kanadiern zu externen Sicherheitsprüfungen

    Die Compliance-Vereinbarung des OPC belegt, dass kanadische Behörden eine formelle Überprüfung durch Dritte erwarten, wenn Treueprogramme von Unternehmen Opfer von Credential Stuffing oder unbefugten Kontozugriffen werden.

  2. Citizen Lab deckt Verbreitung von Zero-Click-Spyware über verhaltensbasierte Werbenetzwerke auf

    Webseitenbetreiber, die Netzwerken für Real-Time-Bidding die Ausführung von Skripten Dritter gestatten, setzen sich unmittelbaren Haftungsrisiken nach Artikel 32 DSGVO aus, wenn Überwachungsakteure granulare Verhaltensprofile zweckentfremden, um Journalisten mit Zero-Click-Spyware zu infizieren.

  3. Noyb reicht DSGVO-Beschwerden gegen Scale AI wegen Überwachung auf Outlier-Plattform ein

    Scale AI sieht sich Prüfungen nach der DSGVO ausgesetzt, weil das Unternehmen invasive Gesichtsabgleiche und Aktivitätsüberwachungen bei externen Gigworkern einsetzt, was aufzeigt, wie europäische Datenschutzbehörden US-amerikanische KI-Lieferketten kontrollieren.

  4. Bürgerinitiative in Huntington wendet sich gegen städtischen Einsatz von Flock-Überwachungskameras

    Kommunale Auseinandersetzungen über Verträge mit Flock verdeutlichen den wachsenden zivilgesellschaftlichen Widerstand gegen automatisierte Kennzeichenerfassungssysteme, die ohne spezifische gesetzliche Beschränkungen regionale Bewegungsprofile für polizeiliche Zugriffe erzeugen.

An jenem Morgen aus Behörden, Gerichts und Aufsichtsquellen zusammengestellt. Primärquellen sind bei jeder Meldung verlinkt.