KISA prüft 10 IP-Kameras: Drei ohne ausreichende Nutzer-Authentifizierung

Das Ergebnis im Detail

Geprüft wurden 37 Punkte in drei Bereichen: das Gerät selbst (Hardware, Netzwerk, Firmware), die steuernde Smartphone-App sowie Richtlinien und Management der Hersteller, etwa zu Sicherheitsupdates und Datenschutz. Auf Basis von Angriffsszenarien von Sicherheitsexperten kamen die Prüfer zu dem Schluss, dass insgesamt Verbesserungsbedarf besteht.

Bei den drei Kameras mit schwacher Authentifizierung konnten Angreifer fremde Bilder und Videos unbefugt herunterladen oder die Kamera zwangsweise aktivieren und manipulieren. Bei vier Geräten waren aktive, offen liegende Testanschlüsse vorhanden, die Systemzugriff und Datenabfluss ermöglichen können. Acht Modelle nutzten keine sicheren Kommunikationsprotokolle, sodass Daten auf dem Übertragungsweg abgegriffen werden konnten. Bei allen Modellen waren die Firmware-Sicherheitseinstellungen mangelhaft.

Fünf Modelle erzwangen keine sichere Passwortrichtlinie, etwa mindestens zehn Zeichen aus zwei Zeichenarten. Bei sechs Modellen ließ sich die Dauer der Sicherheitsupdates nicht feststellen.

Nachbesserungen und Ausblick

KISA forderte die Hersteller der drei betroffenen Kameras auf, die Schwachstellen rasch zu beheben. Bei RoboView und Fineview sind die Maßnahmen abgeschlossen, beim dritten Modell laufen sie noch. Alle zehn Hersteller erhielten die Ergebnisse samt Hinweisen zur Behebung und reichten bei der Verbraucheragentur Pläne zur Qualitätsverbesserung ein. KISA will die Umsetzung weiter überwachen.

Die Prüfung ist die zweite gemeinsame Sicherheitsuntersuchung alltagsnaher Digitalprodukte nach der Studie zu Saugrobotern 2025. KISA-Abteilungsleiter Lee Yong-pil forderte Hersteller und Händler auf, Sicherheit über den gesamten Produktlebenszyklus umzusetzen; Verbraucher sollten Sicherheitsgewohnheiten im Alltag pflegen.