Mehr als 14.530 gekaperte Dahua-Kameras – so lautet das Ergebnis einer Untersuchung der Sicherheitsfirma Hunt.io, die am 18. August 2026 veröffentlicht wurde. Die Kampagne mit dem Namen „Operation CameraSwarm” lief zwischen 17. Juni und 22. Juli 2026. Bemerkenswert ist nicht die Zahl, sondern womit die Angreifer gearbeitet haben: mit erratenen Passwörtern und zwei Schwachstellen aus dem Jahr 2021.
Drei Wege in die Kamera
Rekonstruiert wurde die Kampagne aus einem offen im Netz liegenden Arbeitsverzeichnis der Angreifer – 407 MB mit 2.616 Dateien, darunter Werkzeuge, Protokolle und Shell-History. Hunt.io ordnet die Übernahmen drei Wegen zu:
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
- Angriffe auf Zugangsdaten: 12.324 einzelne IP-Adressen in 13.229 Kampagnen-Datensätzen. Das ist schlicht das Durchprobieren schwacher und wiederverwendeter Passwörter.
- Authentifizierungs-Umgehung: 1.923 Kameras über CVE-2021-33044 und CVE-2021-33045. Beide Lücken erlauben es, die Identitätsprüfung durch manipulierte Datenpakete zu umgehen. Auf diesen Geräten wurde zusätzlich ein dauerhaftes Konto angelegt.
- P2P-Relay: 283 Kameras, die allein über ihre Seriennummer angesprochen wurden – auch hinter NAT, also ohne eigene Portfreigabe im Router.
Ein Detail bei der Bewertung der beiden Altlücken ist aufschlussreich. Dahua bewertet sie im eigenen Advisory mit CVSS 8.1 und einer hohen Angriffskomplexität (AC:H). Die NVD kommt auf 9.8 – der einzige Unterschied im Vektor ist die Angriffskomplexität, dort mit „niedrig” bewertet. Hunt.io beschreibt, dass beide Payloads gegen ungepatchte Firmware in unter einer Sekunde durchlaufen. Die höhere Bewertung der NVD trifft die Realität also besser. Beide CVEs stehen übrigens schon seit dem 21. August 2024 im KEV-Katalog der CISA und sind dort weiterhin gelistet – abgerufen am 23. August 2026 in der Katalogfassung 2026.08.21.
Der dritte Weg verdient eine Erklärung, weil er das Bauchgefühl vieler Anwender aushebelt. Die Komfortfunktion P2P (bei Dahua über Easy4IP) sorgt dafür, dass eine Kamera per Handy-App erreichbar ist, ohne dass am Router etwas eingerichtet werden muss. Nach Analysen von ITRES Labs genügte auf Firmware vor Mitte 2024 eine gültige Seriennummer, um über die Relay-Infrastruktur des Herstellers einen Verbindungsweg aufzubauen – die Anmeldeprüfung fand erst danach im Gerät statt. In neueren Firmware-Ständen wurde dieser Pfad verstärkt.
Zur Einordnung gehört die Quellenlage: Die Kampagnenzahlen stammen allein von Hunt.io. Nationale CERTs wurden am 10. August informiert, Dahuas PSIRT hat Teile der Recherche vorab gegengelesen, und die Veröffentlichung war bis zum 18. August unter TLP:AMBER zurückgehalten. Unabhängig bestätigt sind die beiden Altlücken und die Funktionsweise des Seriennummern-Relays, nicht aber die Einzelzahlen. Die viel zitierte Angabe, 89,4 Prozent der aktiven Seriennummern hätten keine Authentifizierung verlangt, stammt zudem nicht aus einer Messung von Hunt.io, sondern aus einem Kommentar im Quellcode des Angreifers. Das ist ein Unterschied, den man nicht wegrunden sollte.
Was das für dich bedeutet
Zwei Schwachstellen von 2021, die 2026 noch reihenweise funktionieren – das ist die eigentliche Nachricht. Sie sagt weniger über Dahua aus als über den Lebenszyklus von Überwachungstechnik im Allgemeinen.
Eine Kamera wird einmal montiert, sie liefert ein Bild, und damit gilt sie als erledigt. Niemand aktualisiert sie, weil nichts kaputt ist. Das unterscheidet sie grundlegend vom Notebook, das seine Updates von selbst einfordert. Im Kleinbetrieb kommt hinzu, dass die Anlage oft vom Elektriker installiert wurde und danach niemandem mehr gehört.
Das Risiko ist zweischichtig. Die naheliegende Sorge – jemand sieht dein Bild – ist real und war in dieser Kampagne auch das Motiv: Die Angreifer filterten die Streams nach verwertbaren Szenen. Der zweite Teil ist unbequemer. Eine IP-Kamera ist ein eingebettetes Linux-System in deinem Netz; ist sie übernommen, taugt sie generell als Brückenkopf zu allem anderen im selben Segment, wie es zuletzt die Mirai-Variante Evooo1Bot für Heimgeräte gezeigt hat. Für CameraSwarm selbst beschreibt Hunt.io allerdings keine Botnet-Nutzung, sondern etwas anderes: Das Werkzeug erzeugte offline nutzbare Wiederherstellungscodes, mit denen sich der Zugang zu einer Kamera an Dritte weitergeben lässt. Das ist eher ein Zugangs-Handel als ein Botnet.
Und genau hier liegt der Punkt, den die meisten Aufräumaktionen verfehlen: Das angelegte Zusatzkonto liegt laut Hunt.io unabhängig vom Admin-Passwort und übersteht bei den meisten Firmware-Ständen auch eine Werksrückstellung – eine Angabe, die bislang nur aus dieser einen Quelle stammt. Passwort ändern reicht also nicht, und zurücksetzen möglicherweise auch nicht.
Konkret: So prüfst du deine Kameras
- Firmware zuerst. Ein Update vom Hersteller ist der einzige Schritt, der die beiden Altlücken und die abgeleiteten Wiederherstellungscodes zuverlässig entwertet. Alles vor Mitte 2024 ist nach den vorliegenden Analysen der kritische Bereich.
- P2P beziehungsweise Easy4IP deaktivieren, wenn du es nicht zwingend brauchst. Für den Zugriff von unterwegs ist ein VPN ins eigene Netz der sauberere Weg.
- Ausgehenden Verkehr filtern, nicht nur eingehenden. Wichtig zu verstehen: Der P2P-Pfad braucht keine Portfreigabe – die Kamera baut die Verbindung selbst nach außen auf. Ein VLAN hilft nur, wenn du den Internetzugang der Kameras auch tatsächlich sperrst. Portfreigaben und UPnP im Router zu kontrollieren bleibt trotzdem sinnvoll, deckt aber einen anderen Angriffsweg ab.
- Alle Konten durchsehen. Unbekannte Benutzer löschen, das Admin-Passwort ändern, für jedes Gerät ein eigenes langes Passwort – Wiederverwendung war der mit Abstand erfolgreichste Angriffsweg dieser Kampagne.
- Kameras ins eigene Netzsegment legen, ohne Zugriff auf Arbeitsplatzrechner, NAS oder Server.
- Sehr alte Geräte ohne verfügbare Firmware ersetzen. Die CISA formuliert es als Rückfallebene: Maßnahmen des Herstellers umsetzen – oder das Produkt außer Betrieb nehmen, wenn keine verfügbar sind. Für US-Bundesbehörden ist das verbindlich, hierzulande gute Praxis.
Wer beim Aufräumen ohnehin schon dabei ist: In meinem Ratgeber zur Smart-Home- und Kamerasicherheit steht, worauf es bei Netztrennung, Update-Politik und der Auswahl neuer Geräte praktisch ankommt.
Quellen
- Hunt.io: Operation CameraSwarm – Over 14,000 Dahua cameras compromised across Ukraine and Russia, 18.08.2026
- The Hacker News: Hackers Compromised 14,500+ Dahua Devices, 19.08.2026
- NVD: CVE-2021-33044 · NVD: CVE-2021-33045 (beide CVSS 9.8)
- CISA: Known Exploited Vulnerabilities Catalog (Aufnahme beider CVEs am 21.08.2024)
- ITRES Labs: Dahua – beyond CVE-2025-31702, P2P relay exposure
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden