Russische Geheimdienste: Mehr als 87.000 falsch konfigurierte IP-Kameras spionieren Waffenlieferungen an die Ukraine aus

Ein gemeinsamer Bericht der niederländischen Geheimdienste AIVD/MIVD vom 10. Juli 2026 dokumentiert eine russische Kampagne, die Internet-exponierte IP-Kameras nutzt, um Waffenkonvois auf ihrem Weg nach Kyiv durch die EU und die NATO zu verfolgen.

Die Fakten

Eine gemeinsame Stellungnahme, die am 10. Juli 2026 von der AIVD (niederländischer ziviler Nachrichtendienst) und dem MIVD (militärischer Nachrichtendienst) veröffentlicht wurde, dokumentiert eine Spionagekampagne, die „mindestens einem russischen Nachrichtendienst“ zugeschrieben wird – ohne die betroffene GRU-Einheit öffentlich zu benennen. Die Analyse des Unternehmens Censys, die von The Hacker News übernommen wurde, beziffert die Exposition auf mehr als 87.000 Internet-verbundene Kameras, deren Version des ausgeführten Dienstes einer bekannten und ausgenutzten CVE entspricht, verteilt in der EU, den NATO-Mitgliedstaaten und in der Ukraine (darunter mehr als 4.000 anfällige Kameras in der Ukraine). In den Niederlanden allein wurden 45.386 exponierte Kameras gezählt, davon 1.992 mit anfälligen Diensten.

Zwei CVE werden als Haupthebel genannt:

• CVE-2016-7407 - Tool dropbearconvert von Dropbear SSH (Import von Schlüsseln) - 159 niederländische Hosts markiert.
• CVE-2021-39275 - Schreiben außerhalb der Grenzen in Apache - 112 niederländische Hosts markiert.

Die beschriebene Vorgehensweise ist nichts Sophistiziertes: Massenscan, Fingerprinting nach Marke, Ausnutzung von Standardpasswörtern, veralteten Firmware-Versionen und Werkeinstellungen. Das Ziel ist militärischer Natur: Lokalisierung von Transportrouten, Waffenlieferungen nach Kiew und Positionen ukrainischer Truppen. In der Ukraine geben die Behörden an, dass die erfassten Videoströme für Versuche zur Eliminierung von Personal und zur Zerstörung von Material verwendet wurden.

Was das über das Gelände aussagt

Keine 0-day hier. Die ausgenutzten Schwachstellen sind jeweils 10 Jahre und 5 Jahre alt. Das ist eine nützliche Erinnerung: Der gegnerische Nachrichtendienst benötigt keine exotischen Exploits, wenn ein erheblicher Teil des IoT-Parks in Werkseinstellungen läuft und vom ersten Shodan-Scan aus erreichbar ist. Die Lektion ist nicht neu, aber sie ist grausam: Jede Kamera, die aus der Verpackung genommen, hinter einem falsch konfigurierten Router angeschlossen und seitdem unangetastet gelassen wird, wird zu einem Sensor für den Gegner.

Was jetzt zu tun ist

Für jede Organisation, die IP-Videouberwachung betreibt oder verteilt (öffentlich, Logistik, Verteidigung, aber auch Einzelhandel und Immobilien):

1. Internet-Exposition auditieren: shodan search, censys search auf Ihren öffentlichen IPs (services.software.vendor + services.software.version).
2. Aus dem Internet entfernen, was dort nichts zu suchen hat: Die meisten kompromittierten Kameras sollten nicht exponiert sein. Hinter einem VPN oder einem authentifizierten Reverse-Proxy platzieren.
3. Standard-Anmeldedaten ändern (immer wieder) und eine Rotationspolitik erzwingen.
4. Firmware überprüfen: Patches für Dropbear (>= 2016.75) und Apache für CVE-2021-39275 anwenden.
5. Videonetzwerk vom IT/OT-Netzwerk segmentieren, um die seitliche Bewegung zu begrenzen.

Primäre Quellen: Die AIVD/MIVD-Stellungnahme (über ncsc.nl) und der Censys-Bericht sind die zu konsultierenden Dokumente – nicht die Presseberichterstattung.