Im Januar 2016 hat der renommierte Heise Verlag Käufer von verschiedenen Aldi-Webcams mit dem Hinweis auf einen „Sicherheits-GAU“ aufgeschreckt. Hunderte dieser Webcams sind über das Internet ohne Passwortschutz erreichbar. Ist es um die Sicherheit von Netzwerk-Kameras wirklich so schlimm bestellt? Wir forschen nach.
IP-Webcams werden direkt per LAN-Kabel oder kabellos per WLAN an den heimischen Router angeschlossen. Sie übertragen Bilder und Live-Videostreams auf den PC, mitunter aber auch direkt ins Netz. Dafür sorgt die „Internetübertragungs-Software“, die in der Firmware der Kamera verborgen ist. . Zum Abruf der Kamerabilder muss der Betrachter nur die IP-Adresse der Kamera kennen – und schon kann auf die Kamera mit einem Internet-Browser zugegriffen werden. Für diesen Zugriff muss man sich jedoch im lokalen Netzwerk befinden. Dies setzt ein Eindringen mittels WLAN oder ein frei zugänglicher LAN-Anschluss durch den Angreifer voraus. Hat man diese Voraussetzungen erfüllt, ist das Aufspüren der Kamera im LAN-Netzwerk schnell erledigt und der Zugriff auf die Kamera kann erfolgen. Hier sollte man nun durch eine Passwortabfrage aufgehalten werden. Hat der Besitzer das Standardpasswort der Kamera nicht geändert, dürfte das Ausprobieren von „admin“ ohne Passwort, von „admin“ mit Passwort „admin“ oder „admin“ mit Passwort „123456“ schon in den meisten Fällen Zugriff auf die Kamera gewähren.
in Polen. Jeder kann über das Internet einen Kauf verfolgen.
Jeder kann den öffentlichen Bereich beobachten.
und vergisst den Kunden zu einer Passwortvergabe zu zwingen.
kameraspezifischer Parameter unzählige ungeschützte Kameras im Netz.
von Jedermann über das Internet gesteuert werden.
UPnP – die Schwäche vieler Kameras
Im soeben beschriebenen Szenario muss sich der Hacker Zugriff auf das lokale Netzwerk verschafft haben. Noch viel einfacher wird es, wenn sich die Kamera selbstständig einen Weg in das Internet verschafft hat. Somit kann weltweit auf die Kamera zugegriffen werden. Oftmals – wie im Fall der Kamera von Aldi – auch ohne Passwortschutz.
UPnP macht das Leben ein bisschen leichter und unsicherer
Sicherheitsrisiko: Zugriff über das Internet auf die Kamera
Viele Käufer von Netzwerkkameras sind speziell daran interessiert, auch von unterwegs über das Smartphone oder über einen Laptop auf die heimische Kamera zugreifen zu können. Diese Funktion kann sinnvoll sein. Bedeutet aber, dass man sein heimisches Netzwerk nach außen öffnet und somit angreifbar macht. Wie der Zugriff und die Konfiguration genau funktioniert, beschreiben wir im Artikel „XXX“.
Aldi-Kamera-GAU: Warum ist das Sicherheitsrisiko so hoch?
Die betroffenen Aldi-Kameras IPC-10 AC, IPC-100 AC und IPC-20 C richten automatisch mittels UPnP eine Portweiterleitung auf Port 80 ein. Somit kann jeder, der die zugewiesene IP-Adresse des ISP (Internet-Service-Provider) kennt, mit http://[zugewiesene IP]:80 auf die Kamera zugreifen. Da die Kamera im Auslieferungszustand kein Passwort besitzt und den Benutzer auch nicht dazu drängt, ein Passwort zu vergeben, ist die Kamera offen im Internet zugänglich.
Doch es kommt noch schlimmer: Hat der Kunde die Kamera per WLAN angebunden, kann über das nun frei zugängliche Webinterface der Kamera das WLAN-Passwort ausgelesen werden. Und nicht nur dieses Passwort ist ersichtlich: Lädt der Besitzer der Kamera die Bilder auf einen FTP-Server hoch, sind auch die Login-Daten des FTP-Server offen im Netz.
Tägliche neue IP-Adresse des ISP: Auch keine Linderung
Wer der Meinung ist, dass die Zwangstrennung des ISP nach 24 Stunden hier Linderung verschafft, der irrt. Diese Trennung ist bei Privatkunden in der Bundesrepublik üblich und führt dazu, dass der Kunde und somit seine Kamera in der Regel nach 24 Stunden eine neue IP-Adresse hat. Doch sind im tiefen und dunklen Internet zahlreiche Programme erhältlich, die einschlägige IP-Adressen nach speziellen Mustern absuchen und so offene Kamera-Zugänge interessierten Cyber-Ganoven in die Hände spielen.
Ungeschützte Kameras über Google finden
Dank der Suchmaschine Google sind ungeschützte Webcams ganz einfach zu finden. Entsprechende Suchmuster zeigen zu vielen ungeschützten Kameras, deren Webinterface sich ohne Passwort aufrufen lässt. Je nach Kamera-Modell lässt sich die Kamera aus der Ferne durch den Eindringling sogar steuern. Wenn sich auch die Position einer Kamera verändern lässt, sollte es dem Besitzer auffallen, dass seine Kamera durch fremde Personen gesteuert wird. So stellt sich unweigerlich die Frage, ob manche Besitzer nicht wissen, dass ihre Kamera offen über das Internet erreichbar ist oder ob sie dies einfach ignorieren.
So sichert man seine IP-Kamera
Bereits vor dem ersten Anschluss einer neuen Kamera sollte man einen Blick auf den heimischen Router werfen. Welche Port-Weiterleitungen sind aktuell definiert? Ein Abgleich der Port-Weiterleitungen nach der Installation zeigt, ob sich die Kamera vielleicht unbemerkt einen Zugang zum Internet verschafft hat. Bei dieser Gelegenheit sollte man auch gleich alle weiteren definierten Port-Weiterleitungen kritisch bewerten.
Merke: Eine Port-Weiterleitung ist nur sinnvoll, wenn auf die Kamera über das Internet zugegriffen werden muss. Wenn dies nicht gewünscht ist, wird auch die Weiterleitung nicht benötigt.
Das Passwort der Kamera ist in jedem Fall zu ändern. Es empfiehlt sich zunächst einen weiteren Administrator anzulegen, dessen Benutzername nicht „admin“ lautet. Bereits einfache Benutzernamen wie „Hans“ und „Klaus“ sind allemal besser als „admin“ oder „administrator“. Das Passwort sollte so kryptisch wie möglich sein und in keinem Wörterbuch stehen. Wenn nach der Einrichtung des neuen Administrator-Kontos der Zugang funktioniert, muss das ursprüngliche Administrator-Konto gelöscht oder zumindest gesperrt werden. Achtung: Wird eine neue Firmware auf die Kamera eingespielt oder die Kamera auf Werkseinstellung zurückgesetzt, so ist diese Einstellung zu prüfen und die Änderung gegebenenfalls zu wiederholen.
