Dahua Kamera-Übernahme über Easy4IP Cloud-Zugang

Angreifer übernehmen Dahua-IP-Kameras und -Videorekorder über Easy4IP, Dahuas Cloud-Fernzugriff, laut einer CERT-UA-Warnung vom 23. Oktober, über die Security Affairs am 27. Oktober berichtete. Eine Dahua Kamera-Übernahme braucht keinen offenen Port: Das Gerät wählt sich selbst in Dahuas Cloud ein, und von dort ist es allein mit seiner Seriennummer erreichbar.

Was ist passiert: Die Dahua Kamera-Übernahme

Bei der Dahua Kamera-Übernahme, die CERT-UA beschreibt, verschafften sich Angreifer unbefugten Fernzugriff auf IP-Kameras und Videorekorder. Sie sahen Live-Video, änderten Geräteeinstellungen und legten eigene Konten an. Die Warnung nennt weder Ziele noch die Zahl betroffener Geräte, und die gelesene Berichterstattung nennt keinen Akteur.

Der Weg läuft über Easy4IP. Ist die Funktion aktiv, baut das Gerät selbst eine ausgehende Verbindung zu Dahuas Cloud auf und registriert sich mit seiner Seriennummer. Der Zugriff läuft dann über die Cloud, an NAT und Firewall vorbei, ohne veröffentlichten Port und ohne öffentliche IP-Adresse. CERT-UA betont: Fehlender direkter Internetzugang macht ein Gerät mit aktivem P2P nicht sicher. Seriennummern folgen vorhersehbaren Mustern, Angreifer können sie also erraten.

Nach der Verbindung muss sich der Angreifer noch anmelden. Dafür kommen gängige oder schwache Passwörter infrage oder zwei alte Authentifizierungsumgehungen, CVE-2021-33044 und CVE-2021-33045, auf veralteter Firmware. CERT-UA nennt sie als möglichen Weg; ob sie bei den neuen Vorfällen genutzt wurden, ist nicht belegt. Dahuas Hinweis DHCC-SA-202106-001, bewertet mit 8,1, besagt, dass ein Angreifer mit präparierten Paketen die Geräteauthentifizierung umgehen kann. Betroffen sind zum Beispiel IPC-Kameras mit Builds vor Juni 2021 (CVE-2021-33044) oder vor Mai 2020 (CVE-2021-33045); der Hinweis nennt die korrigierte Firmware je Modell.

Davon getrennt berichtete Hunt.io am 18. August über eine Kampagne namens CameraSwarm: Zwischen dem 17. Juni und dem 22. Juli 2026 seien mehr als 14.000 Dahua-Kameras kompromittiert worden, überwiegend in der Ukraine und in Russland, durch Passwortangriffe, die beiden Umgehungen von 2021 und das Easy4IP-Relay. Die Zahlen stammen von Hunt.io selbst. Die CERT-UA-Warnung nennt diese Kampagne nicht, und einen Zusammenhang haben wir nicht bestätigt.

Warum das wichtig ist

Kameras zeichnen Menschen und Räumlichkeiten auf, ein gekaperter Videostrom ist also auch ein Datenschutzproblem nach DSGVO Artikel 32, und unverwaltete Geräte sind die Lücke im Asset-Management, die NIS2 zu schließen verlangt. Die Authentifizierungsumgehungen sind seit 2021 behoben; eine betroffene Kamera ist also eine, die seit Jahren niemand aktualisiert hat. Beide stehen seit August 2024 im Katalog der bekannten ausgenutzten Schwachstellen (KEV) der CISA.

Annahme: Mittelständische Unternehmen im DACH-Raum betreiben solche Kameras in Werken, Lagern und Filialen, oft von einem Facility- oder Sicherheitsdienstleister installiert und betreut, teils mit eingeschaltetem Cloud-Zugang. Dann ist die Kamera, auf die es ankommt, vermutlich die, von der niemand mehr weiß, dass sie existiert.

Was Sie jetzt tun sollten

1. Erfassen Sie alle Dahua-Kameras und -Rekorder, auch vergessene und solche, die ein Errichter betreut. Fragen Sie nach, ob Geräte unter anderem Markennamen von Dahua gebaut sind. Prüfen Sie auf jedem Gerät das Build-Datum unter Einstellungen, Systeminformationen, Versionsinformationen.
2. Schalten Sie P2P- und Cloud-Zugriff (Easy4IP) ab, wenn Sie ihn nicht nutzen. Halten Sie Kameras aus dem Internet heraus; für den Fernzugriff nutzen Sie ein VPN und erlauben nur autorisierte IP-Adressen, wie CERT-UA rät.
3. Aktualisieren Sie die Firmware manuell auf die korrigierte Version für Ihr Modell laut Dahua-Hinweis DHCC-SA-202106-001 oder neuer und richten Sie eine regelmäßige Update-Routine ein. Behandeln Sie Geräte mit älteren Builds als exponiert und verlassen Sie sich auf alter Firmware nicht allein auf ein neues Passwort.
4. Prüfen Sie auf Kompromittierung: unbekannte Benutzerkonten, unbekannte mit dem Gerät verknüpfte Cloud-Konten, geänderte Einstellungen einschließlich Text über dem Videobild und DVRIP-Anmeldungen von 127.0.0.1 im Audit-Log. CERT-UA weist darauf hin, dass fehlender Overlay-Text nicht heißt, dass ein Gerät sauber ist. Melden Sie Funde Ihrem CSIRT.

DIESEC Einschätzung

Kameras sind kleine Computer in Ihrem Netz, die selten Patches oder einen Verantwortlichen bekommen. Legen Sie sie in ein eigenes Netzsegment, blockieren Sie ihre ausgehenden Cloud-Verbindungen, wenn Sie die Funktion nicht nutzen, und geben Sie jedem Gerät einen benannten Verantwortlichen und einen Update-Termin.

Nicht sicher, welche Ihrer Kameras und Rekorder Cloud-Zugang nutzen oder noch alte Firmware haben? Kontaktieren Sie DIESEC für eine IoT-Expositionsprüfung und Firmware-Kontrolle.

Quellen: CERT-UA | Security Affairs | Dahua PSIRT DHCC-SA-202106-001 | Hunt.io
Veröffentlicht: 2026-10-30 | Kategorie: Tägliche News | ~4 Min. Lesezeit