Slowakei findet SMS-Backdoor in Blitzern: Russische Hardware hinter EU-Label
Als die slowakische Nationale Sicherheitsbehörde, bekannt als NBÚ, beschloss, eine der neuen Blitzerkameras des Landes physisch zu zerlegen, erwartete sie, ein europäisches Verkehrsgerät zu inspizieren. Stattdessen fanden die Analytiker Hardware des St. Petersburger Herstellers Simicon, verkauft unter einem anderen Namen und mit einem versteckten Mechanismus ausgestattet, der jedem, der eine SMS von einer von zwölf bestimmten russischen Telefonnummern schickte, Shell- und Netzwerkzugriff hätte geben können. Der Fund hat einen mit 30 Millionen Euro aus EU-Mitteln finanzierten Ausbau von 279 Kameras eingefroren und eine Sicherheitswarnung ausgelöst, die drei getrennte Produktlinien in ganz Europa betrifft.
Eine umgelabelte Kamera mit undokumentierten Funkmodulen
Das betreffende Gerät wurde als Teil der NERO R-ONE-Ausstattung der Slowakei installiert, vertrieben von SODASUS, einem auf Zypern registrierten Lieferanten. Als NBÚ-Techniker es öffneten, erzählte das Innere eine andere Geschichte: Es war ein Simicon CORDON PRO.M, eine in St. Petersburg in Russland gefertigte Produktlinie. Laut Berichten von Niebezpiecznik enthielt das Gerät zwei 3G/4G-Mobilfunkmodems, aber nur eines davon war in den Produktspezifikationen oder im Verwaltungsinterface dokumentiert. Das zweite Modem war für Administratoren unsichtbar und gab jedem, der es kontrollierte, einen stillen Out-of-Band-Kanal direkt ins Gerät. Genau diese Art undokumentierter Konnektivität suchen Supply-Chain-Auditoren - und genau sie wird selten geprüft, wenn die Beschaffungsunterlagen auf der Rechnung einen europäischen Anbieter zeigen. Die physische Lücke zwischen dem Unternehmen, das ein Gerät verkauft, und der Fabrik, die es baut, ist der Ort, an dem Vertrauen leise erodiert. Die Backdoor: zwölf Nummern und ein achtstelliger Code
Der alarmierendste Fund steckte in der Firmware-Logik statt in der Hardware. Die Kamera führte eine versteckte Liste von Administrator-Telefonnummern, die nie im Verwaltungspanel auftauchte: neun Mobilfunknummern auf St. Petersburg registriert, zwei Festnetznummern derselben Stadt und eine Mobilfunknummer aus Kemerowo in Sibirien. Eine SMS von irgendeiner Nummer dieser Liste, gefolgt von einem achtstelligen Authentifizierungscode, hätte den Fernzugriff auf die Shell des Geräts und sein umliegendes Netzwerk geöffnet. Weil der Trigger über das Mobilfunknetz durch das undokumentierte Modem eintrifft, umgeht er Firewalls, VPNs und jede andere Perimeter-Kontrolle, die ein Betreiber konfiguriert haben könnte. Wie Security Affairs anmerkt, könnte der Mechanismus jahrelang schlafend bleiben und dabei still Befehle annehmen, was die forensische Aufklärung im Nachhinein extrem erschwert. Niemand muss einen Memory-Corruption-Bug ausnutzen oder ein Passwort erraten; man muss nur die richtige Nummer wissen, an die man textet. Ausbau gestoppt und Secure Boot abgeschaltet
Die Reaktion des NBÚ kam schnell. Der Ausbau aller 279 Kameras im EU-finanzierten Projekt ist bis auf Weiteres gestoppt, die betroffenen Geräte wurden deaktiviert. Die Behörde meldete zwei weitere Befunde, die die Sorge vergrößern: Secure Boot war auf den Geräten deaktiviert, ihre Boot-Kette konnte also kryptographisch nicht prüfen, ob die beim Start ladende Firmware manipuliert war, und die Live-Videoströme der Kameras waren ohne ausreichenden Schutz erreichbar. Eine Kamera, die öffentliche Straßen überwacht, ist selbst ein Geheimdienstobjekt; unauthentifizierte Ströme bedeuten, dass Dritte Aufnahmen hätten ansehen können, die für die Verkehrsüberwachung bestimmt sind. Wie Tom's Hardware berichtet, gab der NBÚ eine Warnung heraus, die nicht nur den slowakischen Ausbau, sondern drei verwandte Produktlinien betrifft: das von Zypern aus vertriebene SODASUS NERO R-ONE, Simicons eigene Cordon-Serie und Kroatiens NEROline-Geräte auf derselben Cordon-Plattform. Jeder Betreiber von Geräten dieser Familien wurde damit faktisch gewarnt, bis zum Gegenbeweis von einer Kompromittierung auszugehen. Die Supply-Chain-Lektion, die vor aller Augen verborgen bleibt
Dieser Vorfall ist ein Lehrbuchbeispiel dafür, warum Hardware-Herkunft genauso viel wiegt wie Software-Updates. Die Kameras wurden über legale Kanäle gekauft, von einer europäischen Einrichtung fakturiert und mit öffentlichen Mitteln ausgebaut. Nirgendwo offenbarten die Unterlagen, dass das Kernprodukt von einem Hersteller aus dem Land stammte, dessen Geheimdienste europäische Regierungen aktiv abwehren. Umlabeln unterläuft jede Beschaffungsprüfung, die allein auf Markennamen setzt. Für Betreiber vernetzter Infrastruktur sind die praktischen Lehren konkret. Verlange vor dem Kauf vollständige Komponentenoffenlegung und dokumentierte Funkinterfaces. Prüfe, ob Boot-Integritätsfunktionen wie Secure Boot tatsächlich aktiviert sind, nicht bloß verfügbar. Behandle jedes undokumentierte Modem, jeden seriellen Port oder jede Funk-Schnittstelle als Ausschlusskriterium, bis es erklärt ist. Und prüfe Verwaltungspanels gegen die Realität: Wenn das Gerät Befehle annimmt, die sein eigenes Interface nicht zeigt, kontrollierst du deine Hardware nicht vollständig. Warum das über die Verkehrsüberwachung hinaus zählt
Eine Blitzerkamera klingt trivial neben Stromnetzen oder Telekom-Switches, aber die Architektur ist identisch: Embedded Linux, Mobilfunkanbindung, dauerhafte Internetverbindungen und Aufstellung an physisch zugänglichen öffentlichen Orten. Eine kompromittierte Flotte von Straßenrand-Geräten bietet Einstiegspunkte in kommunale Netze, eine Plattform zur Überwachung vorbeifahrender Fahrzeuge oder schlicht den Beweis, dass kritische Infrastruktur nach Belieben erreichbar ist. Die 30-Millionen-Euro-Frage, vor der die Slowakei jetzt steht, lautet, ob weitere Geräte der Flotte dieselben versteckten Lauscher enthalten - und ob die Antwort kommt, bevor die Kameras jemals wieder einen Strafzettel ausstellen. Hardware, die du nicht auditieren kannst, ist Hardware, die vielleicht schon jemand anderer kontrolliert. Diese Geschichte bekräftigt ein Prinzip, zu dem wir immer zurückkehren: Sicherheit beginnt damit, genau zu wissen, was auf den Maschinen läuft, von denen man abhängt - ein Thema, das wir in unserem Guide zu Gerätesicherheit vor Tor behandelt haben.
