150.000 Überwachungskameras in den USA angezapft

Hacker haben laut einem Medienbericht 150.000 Überwachungskameras einer US-Firma unter anderem in Krankenhäusern, Gefängnissen, Schulen und Polizeirevieren angezapft.

Betroffen waren auch Unternehmen wie der Elektroauto-Hersteller Tesla und die IT-Sicherheitsfirma Cloudflare, wie der Finanzdienst Bloomberg in der Nacht zum Mittwoch berichtete. So hätten die Hacker Aufnahmen vom Tesla-Standort Shanghai vorgeführt. Das kalifornische Start-up Verkada, von dem die Kameras stammen, teilte Bloomberg in einer ersten Reaktion mit, man untersuche «das Ausmaß des potenziellen Problems».

Es passiert zwar immer wieder, dass Bilder von günstigen Sicherheitskameras für den Haushalt abgegriffen werden – vor allem wenn die Nutzer nicht die voreingestellten Standard-Passwörter der Geräte ersetzen. Dass eine Firma mit großen Kunden gehackt wurde, die speziell mit mehr Sicherheit durch Gesichtserkennung warb, ist dagegen außergewöhnlich.

Das System kann laut Verkada zum Beispiel warnen, wenn eine bestimmte Person ins Blickfeld der Kameras gerät. Die Kunden könnten die Bilder bei Ermittlungen zu Zwischenfällen auch etwa nach der Farbe von Bekleidung oder Geschlechtsmerkmalen durchsuchen, erläutert Verkada auf der Firmen-Website. Die Bilderkennung könne zum Beispiel in Parkhäusern Autokennzeichen auslesen. In der Corona-Pandemie führte die Firma eine Funktion ein, die Alarm schlägt, wenn sich mehr Menschen als erlaubt an einem Ort versammeln.

Die Hacker fanden nach eigenen Angaben Zugangsdaten für einen Administrator-Account mit weitreichendem Zugriff öffentlich erreichbar im Internet. Als «Super-Administrator» habe man eine Vielzahl von Kameras anzapfen können. Die Hacker hätten den Zugang verloren, nachdem Bloomberg eine Anfrage beim Unternehmen zu dem Thema gestellt hatte. Twitter sperrte am Mittwoch den Account eines mutmaßlichen Mitglieds der Hacker-Gruppe – weil es auf der Plattform untersagt sei, durch Hacking erbeutetes Material zu verbreiten.

Die Hacker demonstrierten Bloomberg dem Bericht zufolge Aufnahmen aus einem Polizeirevier im US-Bundesstaat Massachusetts, einem Gefängnis in Alabama und einem Krankenhaus in Florida. In dem Gefängnis sei es ihnen gelungen, 330 Kameras anzuzapfen. Bei Tesla seien es 222 Kameras gewesen. Sie hätten sich auch Zugang zum Videoarchiv der Verkada-Kunden verschafft.

Cloudflare teilte Bloomberg mit, man habe die Kameras nach dem Hinweis auf den Hack abgeschaltet. Sie seien in einer Handvoll Büros installiert gewesen, die angesichts der Corona-Pandemie geschlossen gewesen seien.

Dem Magazin «Vice» stellten die Hacker eine Liste von Verkada-Kunden zur Verfügung. Unter den 24.000 Einträgen fänden sich auch Bars, Geschäfte, Wohnhäuser, Kirchen, Flughäfen sowie Universitäten in den USA und Kanada, schrieb «Vice».

Videoüberwachung ist in den vergangenen Jahren generell immer mehr durch Software mit Bilderkennung ergänzt worden. Verkada wurde 2016 gegründet und holte sich laut Medienberichten zuletzt Geld bei Investoren zu einer Gesamtbewertung von 1,6 Milliarden Dollar.