Am 24. Juli 2026 kaufte ein unabhängiger Sicherheitsforscher eine Überwachungskamera des Herstellers Hanwha (Modell Wisenet XNP-9300RW), um deren Firmware auf Schwachstellen zu untersuchen. Nach wenigen Stunden stellte er fest, dass er den Generalschlüssel zum gesamten privaten Quellcode des Unternehmens in den Händen hielt: ein vollständiges, valides GitHub-Administrator-Token, das Zugriff auf Hunderte private Repositories der gesamten Hanwha-GitHub-Organisation bot—einschließlich sämtlicher Quellcodes, CI/CD-Pipeline-Konfigurationen und interner Dokumentation. Das Token stammte direkt aus der Web-Login-Seite der Kamera.
Foto: Die Hanwha Wisenet XNP-9300RW, eine Outdoor-PTZ-Sicherheitskamera mit 4K-Auflösung und 30-fachem optischem Zoom—und das Kernstück dieses Datenlecks.
Die Entdeckung löste in der Entwickler-Community schlagartig große Aufregung aus. Auf Hacker News erreichte der Beitrag über 480 Punkte und löste mehr als 160 Kommentare aus. Was jedoch wirklich beunruhigt, ist eine weit verbreitete, aber kaum ernst genommene Realität: Jedes vernetzte Gerät, das Sie in Ihr Netzwerk einbinden, kann als Haustürschlüssel zu den internen Systemen des Herstellers dienen—und zwar mit einem Schlüssel, den der Hersteller selbst stecken gelassen hat.
Wie gelangte der Quellcode-Schlüssel in die Kamera?
Um das Problem zu verstehen, hilft ein Blick auf die grundlegende Architektur. Eine moderne IP-Sicherheitskamera ist im Wesentlichen ein kleiner Embedded-Linux-Computer. Sie besitzt einen eigenen Prozessor, Arbeitsspeicher, ein Betriebssystem (meist ein abgespecktes Linux) sowie eine lokale Web-Administrationsoberfläche zur Konfiguration. Diese Benutzeroberfläche ist in JavaScript geschrieben: Wenn man die IP-Adresse der Kamera im Browser aufruft, lädt dieser den Frontend-Code herunter.
Genau an dieser Stelle geschah der gravierende Fehler.
Der Sicherheitsforscher entpackte die Firmware der Kamera (das Betriebssystem-Installationspaket) und durchsuchte die JavaScript-Dateien der Weboberfläche. Darin stieß er auf ein gültiges GitHub-Zugriffstoken, das unverschlüsselt in fast 30 verschiedenen Dateien auftauchte.
Ein GitHub-Token ist im Grunde der Schlüssel zu einem Tresor. Sobald es ausgestellt ist, erhält der Besitzer genau die Zugriffsrechte, die dem Token zugewiesen wurden—in diesem Fall voller Lese- und Schreibzugriff auf das gesamte private Code-Repository von Hanwha. Nach bewährten Sicherheitsstandards sollten solche Administrator-Tokens ausschließlich wenigen Kernentwicklern vorbehalten sein, in sicheren Vault-Systemen aufbewahrt und nach kurzzeitigen CI-Aufgaben sofort widerrufen werden.
Stattdessen landete dieses Admin-Token auf Millionen weltweit ausgelieferter Überwachungskameras.
Jeder, der die Login-Seite der Kamera im Browser aufrufen oder deren IP-Adresse im Netzwerk erreichen konnte, konnte diesen Tresorschlüssel auslesen.
Wo lag die Ursache im Build-Prozess?
Verfolgt man die Analyse des Forschers, lässt sich die Ursache in einem Satz zusammenfassen: Ein Sicherheitsgigant mit über 10 Milliarden Dollar Jahresumsatz nutzte eine extrem nachlässige Software-Build-Pipeline.
Hanwha verwendete das Frontend-Build-Tool Vite, um die Weboberfläche der Kamera zu paketieren. Bei der Kompilierung war das Tool so konfiguriert, dass alle Umgebungsvariablen (process.env—alle Variablen, auf die laufende Prozesse Zugriff haben) ungeprüft in den finalen statischen JavaScript-Code geschrieben wurden. Auf dem CI-Server (Continuous Integration), der diesen Build-Prozess ausführte, war ausgerechnet das GitHub-Admin-Token als Umgebungsvariable hinterlegt.
Somit wurde das gesamte Paket an Umgebungsvariablen der CI-Umgebung—inklusive GitHub-Admin-Token, Kubernetes-Cluster-Adressen, npm-Schlüssel sowie interner Domänen und Portnummern—direkt in den Web-Code der Kamera eingebrannt, in die Firmware verpackt und an Kunden weltweit ausgeliefert.
Das entspricht in etwa einem Fünf-Sterne-Hotel, dessen Sicherheitsdienst das Passwortbuch für den Haupttresor auf die Rückseite jeder Zimmerschlüsselkarte druckt.
Ein noch brisanteres “Easter Egg”
Neben dem GitHub-Token entdeckte der Forscher in den Binärdateien der Firmware ungewöhnliche IP-Adressen. Eine WHOIS-Abfrage ergab, dass diese IP-Adressen zum Adressbereich des US-Verteidigungsministeriums (DoD) gehören.
Zum Hintergrund: Die Hanwha Group ist eines der zehn größten Mischkonzerne Südkoreas. Während Hanwha Vision international für Sicherheitskameras bekannt ist, ist die Muttergesellschaft massiv in den Bereichen Rüstung, Luft- und Raumfahrt, Finanzen und Energie tätig. Zu den Schwestergesellschaften gehören:
- Hanwha Aerospace
- Hanwha Defense USA
- Hersteller der K9 Thunder Panzerhaubitze, des K2 Black Panther Kampfpanzers und des SGR-A1 Wachtroboters
Foto: Die Hanwha Group stellt neben Überwachungskameras auch militärisches Gerät her. Im Bild: Eine K9 Thunder Panzerhaubitze der finnischen Streitkräfte. Quelle: Wikimedia Commons
Das bedeutet: In der Firmware einer kommerziellen Sicherheitskamera befanden sich interne Netzwerkadressen, die auf die Infrastruktur des US-Verteidigungsministeriums verweisen. Der Forscher vermutet, dass Hanwha-Sparte für Sicherheitskameras, Rüstung und Luftfahrt dieselbe interne CI/CD-Infrastruktur nutzten. Eine Schwachstelle in einer kommerziellen Sicherheitskamera könnte somit theoretisch als Einfallstor in militärische Systeme dienen.
Obwohl dieser Zusammenhang teilweise spekulativ bleibt, verdeutlicht die bloße Existenz dieser Adressen die Tragweite des Lieferkettenrisikos.
Einzelfall oder Branchenproblem?
Leider ist dies keineswegs ein isoliertes Problem von Hanwha. Die gesamte IoT-Branche (Internet der Dinge) agiert beim Thema IT-Sicherheit weitgehend schutzlos.
In der IT-Sicherheits-Community herrscht seit Jahren Konsens über folgende Schwachstellen:
- Fehlende Firmware-Signaturprüfung: Geräte prüfen die digitale Signatur von Firmware-Updates nicht, sodass manipulierte Firmware installiert werden kann.
- Fest codierte Zugangsdaten: Werksseitig vorgegebene Standard-Passwörter (admin/admin) verbleiben oft unverändert.
- Unverschlüsselte Firmware-Updates: Update-Pakete werden unverschlüsselt über HTTP übertragen und sind anfällig für Man-in-the-Middle-Angriffe.
- Einbetten von Geheimnissen in Frontend-Code: Das Hardcodieren von API-Schlüsseln, Datenbank-Passwörtern oder Zugriffstokens im Web-Code ist ein chronischer Fehler der Softwareentwicklung.
Ein GitHub-Admin-Token jedoch direkt in den Login-Code einer Überwachungskamera einzubetten, stellt selbst unter Negativbeispielen einen Lehrbuchfall dar.
Was sollten Anwender und Administratoren tun?
Wenn in Ihrem Heim- oder Unternehmensnetzwerk Überwachungskameras von Hanwha (einschließlich der Marken Hanwha Vision, Wisenet oder älterer Samsung Techwin-Modelle) im Einsatz sind, können Sie die Fehler in der Build-Pipeline des Herstellers nicht selbst korrigieren. Hanwha hat das geleakte Token zwar innerhalb von 12 Stunden nach Benachrichtigung widerrufen, doch wie lange das Token zuvor frei zugänglich war und ob Dritte es bereits ausgelesen hatten, bleibt ungewiss.
Die Sicherheits-Community empfiehlt folgende Maßnahmen:
- Sicherheitskameras in einem isolierten Netz (VLAN) betreiben: Richten Sie über das Gastnetzwerk Ihres Routers oder per VLAN ein separates Netzwerk für alle IoT-Geräte (Kameras, Smart-TVs, Smart-Home) ein. Dadurch wird verhindert, dass Angreifer bei einer Kompromittierung der Kamera direkt auf PCs oder Smartphones zugreifen können.
- Kameras mit ONVIF-Standard und Open-Source-NVR verwenden: Nutzen Sie Kameras, die den herstellerübergreifenden ONVIF-Standard unterstützen, zusammen mit einer eigenen Open-Source-Videoverwaltungssoftware (VMS). Dadurch vermeiden Sie die Nutzung proprietärer Cloud-Dienste und herstellereigener Weboberflächen.
- Vernetzten Geräten grundsätzlich nicht vertrauen: Jedes Gerät im Netzwerk stellt ein potentielles Sicherheitsrisiko dar. Mit dem Kauf einer Hardware erwirbt man immer auch das Risiko der gesamten dahinterliegenden Software-Lieferkette.
Fazit
Das Beunruhigendste an diesem Vorfall ist nicht der menschliche Fehler an sich—Fehler passieren in jedem Unternehmen. Das eigentliche Problem liegt darin, dass ein Multi-Milliarden-Dollar-Konzern aus der Sicherheits- und Rüstungsbranche keinerlei automatisierte Kontrollmechanismen besaß, um zu verhindern, dass ein Administrator-Token in kommerzielle Endkunden-Firmware gelangt.
Wenn selbst Branchengrößen wie Hanwha solche eklatanten Lücken in der Build-Pipeline aufweisen, ist das Risiko bei namenlosen Günstig-Kameras noch um ein Vielfaches höher.
Im IoT-Zeitalter kann die Grenze zwischen dem “Kauf einer Überwachungskamera” und dem “Erhalt des Tresorschlüssels zum Hersteller” so dünn sein wie ein einziges unachtsames Build-Skript.
Weiterführende Links:
- HHH: My security camera shipped a GitHub admin token in its login page (Originalartikel)
- Hacker News Diskussions-Thread (ID: 49034292)
- El Solitario: GitHub Token Leaked in Hanwha Cameras
- Wikipedia: Hanwha Group
- Hanwha Vision Offizielle Website
