---
title: Kommt Ihre neue Kamera mit Backdoor?
description: Wir haben eine handelsübliche Kamera auf Schwachstellen untersucht und dabei gesehen, wie wenig es braucht, um selbst eine Backdoor einzubauen.
image: https://avantguard.io/hubfs/Blog/Kamera_1/root_shell_backdoor.png
---

[Zum Inhalt springen](https://avantguard.io/blog/kommt-ihre-neue-kamera-mit-backdoor#main)

[![avantguard cyber security](https://avantguard.io/hs-fs/hubfs/LogoInverted.png?width=128&height=61&name=LogoInverted.png)](https://avantguard.io/)

- [Services](https://avantguard.io/services)
- [Über uns](https://avantguard.io/über-uns)
- [Erfahrungen](https://avantguard.io/de/erfahrung)
- [Karriere](https://avantguard.io/de/karriere)
- [Research](https://avantguard.io/blog)
- [Kontakt](https://avantguard.io/de/kontakt)

DE [EN](https://avantguard.io/en/blog/kommt-ihre-neue-kamera-mit-backdoor) 

[Offerte anfragen](https://avantguard.io/offerte-anfragen)

DE [EN](https://avantguard.io/en/blog/kommt-ihre-neue-kamera-mit-backdoor) 

[Offerte anfragen](https://avantguard.io/offerte-anfragen)

[← Alle Beiträge](https://avantguard.io/blog)

- [Offensive](https://avantguard.io/blog/tag/offensive)
- [Research](https://avantguard.io/blog/tag/research)
- [Review](https://avantguard.io/blog/tag/review)

# Kommt Ihre neue Kamera mit Backdoor?

[![](https://avantguard.io/hs-fs/hubfs/AboutUs/C93A8682_blog.png?width=40&height=40&name=C93A8682_blog.png) Timofey Shpakov](https://avantguard.io/blog/author/timofey-shpakov) 29. Oktober 2026 16 Min. Lesezeit

![](https://avantguard.io/hs-fs/hubfs/Blog/Kamera_1/root_shell_backdoor.png?width=1600&name=root_shell_backdoor.png)

Woher wissen Sie, dass die Kamera, die Sie gerade ausgepackt haben, genau die Software ausführt, die der Hersteller ausgeliefert hat?

Wir haben eine handelsübliche Überwachungskamera kompromittiert. Ohne Lötkolben, ohne Spezialausrüstung, ohne Zugriff auf die Hardware. Es genügte die offizielle Update-Funktion des Herstellers.

Anlass war eine eigene Beschaffung. Wir brauchten neue drahtlose Kameras und haben sie vor der Inbetriebnahme untersucht, so wie wir es auch Kunden empfehlen. Gesucht haben wir nach Angriffsfläche und Schwachstellen, nicht nach Backdoors. Aufgefallen ist uns etwas anderes, nämlich wie wenig es braucht, um selbst eine zu platzieren.

Den Hersteller nennen wir nicht. Die konkreten Findings durchlaufen einen koordinierten Disclosure-Prozess. Technische Details reichen wir nach, sobald die Frist abgelaufen oder ein Patch verfügbar ist.

## **Warum Beschaffung ein Sicherheitsthema ist**

Für das Threat Model haben wir uns zuerst gefragt, was hier eigentlich zu schützen ist, wo die Trust Boundaries verlaufen und wer realistisch an die Geräte herankommt.

Bei uns waren die Assets der Videostream, das Archiv auf dem Receiver und dessen Credentials. Als Angriffsflächen kamen die Funkstrecke und das Web-Interface des Receivers in Frage. Weder Kameras noch Receiver haben Zugang ins Firmen-LAN oder ins Internet. Als realistisches Angreifermodell blieben damit zwei Fälle: physischer Zugriff auf eine Kamera innerhalb des Gebäudes, und ein Angreifer in Funkreichweite, ohne dass er das Gebäude betreten muss. In vielen Firmen sieht das anders aus, weil der Receiver für Monitoring oder Fernzugriff an das Firmennetz angebunden wird. Diese Variante ist in Abb. 1 als "optional" eingezeichnet.

![threat-model-topologie](https://avantguard.io/hs-fs/hubfs/Blog/Kamera_1/threat-model-topologie.png?width=2080&height=1320&name=threat-model-topologie.png)

*Abb. 1: In unserem Setup existiert der Uplink ins Firmen-LAN nicht.* *Wo der Uplink existiert, reicht die Angriffsfläche über den Empfängerraum hinaus bis ins Firmennetz.*

Im Privathaushalt ist dieselbe Kamera anders eingebunden, einzeln im WLAN, verknüpft mit einem Herstellerkonto in der Cloud und per App von unterwegs bedient. Damit verlaufen die Trust Boundaries anders als im Firmensetup.

![setup-zuhause](https://avantguard.io/hs-fs/hubfs/Blog/Kamera_1/setup-zuhause.png?width=2080&height=1000&name=setup-zuhause.png)

*Abb. 2: Im Haushalt liegt die entscheidende Grenze zwischen Router und Hersteller-Cloud. Der Betreiber sieht von dem, was dort ausgetauscht wird, in der Regel nichts.*

Beide Modelle teilen eine Eigenschaft, die regelmässig unterschätzt wird. Jede dieser Grenzen beschreibt den laufenden Betrieb, und der beginnt mit der Inbetriebnahme. Was davor passiert ist, steht in keinem Modell.

Sicherheit bei vernetzten Geräten wird meist als Betriebsthema behandelt, also Netz trennen, Passwörter setzen, Updates einspielen. Das ist richtig, kann aber zu spät greifen, und ein Teil davon lässt sich später auch nicht mehr korrigieren. Ob ein Gerät seine Firmware kryptographisch prüft, lässt sich nicht nachrüsten. Wer das nicht zum Kriterium macht, kauft die Lücke mit und kann sie danach nur noch umbauen.

Eine Annahme, die nicht explizit gemacht wird, lässt sich auch nicht verifizieren. Also haben wir sie explizit gemacht und das Gerät vor der Inbetriebnahme auf den Tisch gelegt.

## **Tag Null: Was vor der Inbetriebnahme passiert**

Zwischen Fertigung und Einbauort kann ein Gerät mehrfach den Besitzer wechseln, je nach Beschaffungsweg über Distribution, Handel oder Retourenabwicklung. Jede dieser Übergaben ist eine Gelegenheit, die Firmware zu tauschen.

![lieferkette-firmware](https://avantguard.io/hs-fs/hubfs/Blog/Kamera_1/lieferkette-firmware.png?width=2080&height=1020&name=lieferkette-firmware.png)

*Abb. 3: Jeder Besitzerwechsel auf dem Weg zum Einsatzort ist eine Gelegenheit für einen Eingriff. Der abgesetzte Marker beim Hersteller steht für einen anderen Fall.*

Die ENISA, die Cybersicherheitsagentur der EU, hat diese Stationen und die passenden Gegenmassnahmen in ihren [Leitlinien zur IoT-Supply-Chain](https://www.enisa.europa.eu/sites/default/files/publications/ENISA%20Report%20-%20Guidelines%20for%20Securing%20the%20Internet%20of%20Things.pdf) aufgeschlüsselt, von Produktdesign und Bestückung über Distribution und Logistik bis zu Reparatur und Wiederverwertung.

Der Reiz für Angreifer liegt dabei weniger im Abfangen einer Sendung. Das ist aufwendig und selten. Er liegt darin, dass ein Gerät aus dem regulären Handel ungeprüft ins Netz geht, weil der Händler das Vertrauen gleich mitliefert.

Ein bekannter Elektronikhändler wirkt als Absender glaubwürdiger als jede Signaturprüfung, die tatsächlich stattgefunden hat. Besonders deutlich wird das bei Retouren, die als neuwertig wieder in den Verkauf gehen. Ein solches Gerät war einmal vollständig in fremder Hand, und danach vergleicht niemand die Firmware gegen das Original.

## **Was wir an unserer Kamera gemacht haben**

Für die Analyse haben wir uns an der OWASP Firmware Security Testing Methodology orientiert. Die Prüfung galt der Angriffsfläche des Geräts, nicht der Suche nach einer Backdoor. Der Befund entspricht Punkt I4 der OWASP IoT Top 10, *Lack of Secure Update Mechanism*. Darunter fällt die fehlende Prüfung der Firmware auf dem Gerät selbst.

Der Weg bestand aus fünf Schritten. Keiner davon brauchte Spezialausrüstung, und alle nötigen Werkzeuge sind frei verfügbar.

1. **Offizielle Firmware beziehen.** Der Hersteller stellt die Firmware für sein gesamtes Sortiment öffentlich zum Download bereit, ohne Kundenkonto und ohne Seriennummer. Das ist für sich genommen kein Mangel, sondern erleichtert Updates. Es bedeutet aber, dass eine Analyse ohne Aufwand beginnt. Der Weg startet mit einem völlig legitimen Artefakt.
2. **Image entpacken.** Das Update kommt in einem herstellerspezifischen Container, in dem mehrere Dateisysteme stecken. Das Zerlegen gelingt mit frei verfügbaren Standardwerkzeugen. Der Aufwand liegt im Protokollieren sämtlicher Parameter beim Auspacken. Ohne diese Werte lässt sich das Ganze später nicht so zusammensetzen, dass das Gerät es akzeptiert.
3. **Veränderung einbringen.** In das entpackte Dateisystem lässt sich eintragen, was beim Start ausgeführt werden soll. Für den Proof of Concept genügte ein zusätzlicher Dienst, der uns Remotezugriff auf dem Gerät verschafft. Weil die Änderung Teil des Systemstarts ist, überlebt sie jeden Neustart und jeden Factory Reset.
4. **Neu packen und Prüfsumme berechnen.** Die Dateisysteme werden mit den notierten Parametern neu erzeugt und wieder eingebettet. Entscheidend ist, was dabei nicht passiert. Die Integrität des Images war nur über eine Prüfsumme abgesichert, und eine Prüfsumme lässt sich nach jeder Änderung neu berechnen. Es fehlt also keine stärkere Prüfsumme, sondern eine Signatur, mit der der Hersteller für das Image einsteht.
5. **Über die reguläre Update-Funktion einspielen.** Eingespielt wird über das Web-Interface der Kamera, angemeldet mit administrativen Rechten. Das Gerät nahm das veränderte Image an, prüfte die Prüfsumme, befand sie für korrekt und startete damit.

![root\_shell\_backdoor](https://avantguard.io/hs-fs/hubfs/Blog/Kamera_1/root_shell_backdoor.png?width=828&height=483&name=root_shell_backdoor.png)

*Abb. 4: Der Proof of Concept. Ein Verbindungsaufbau auf den hinterlegten Port genügt für eine Root-Shell.*

Bemerkenswert ist nicht der einzelne Schritt, sondern wie wenig es insgesamt brauchte. Es war ein reiner Software-Angriff. Das Gehäuse blieb geschlossen, es brauchte weder Programmieradapter noch serielle Konsole, weder Spezialausrüstung noch ungewöhnliche Kenntnisse, sondern nur den vom Hersteller vorgesehenen Update-Weg.

Eine Voraussetzung haben wir bisher weggelassen: Die Update-Funktion verlangt administrative Rechte. Im Betrieb ist das ein wirksamer Schutz, denn Netzzugang allein genügt nicht, um eine Kamera auf diesem Weg zu übernehmen. Wird ein Gerät dagegen vor der Installation abgefangen, ist man ohnehin Administrator, spielt die Backdoor ein und führt anschliessend einen Factory Reset durch. Das Ergebnis ist eine Kamera im Auslieferungszustand, auf der die Backdoor weiterläuft.

## **Warum Netzsegmentierung allein nicht reicht**

Ein möglicher Einwand ist, dass die Kameras ohnehin in einem eigenen Netz ohne Route ins Internet liegen und Angreifer nicht nach aussen kommunizieren könnten.

Die Segmentierung bleibt eine sinnvolle Netzwerkhärtung, und ein eigenes VLAN gehört in jedes solches Setup. Vorausgesetzt ist dabei allerdings, dass die Kamera nur die Wege nutzt, die man ihr konfiguriert hat. Viele drahtlose Modelle bringen einen eigenen Funkkanal mit, den eine veränderte Firmware nutzen kann. Die Segmentierung kontrolliert das Kabel und nicht die Luft.

![exfiltration-rf](https://avantguard.io/hs-fs/hubfs/Blog/Kamera_1/exfiltration-rf.png?width=2080&height=1560&name=exfiltration-rf.png)

*Abb. 5: Beide Varianten umgehen den blockierten Uplink über die Funkschnittstelle der Kamera.*

In Variante A genügt es Angreifern, in Funkreichweite zu sein, etwa im Fahrzeug vor dem Gebäude. Für einen physischen Einbruch bedeutet das Live-Sicht ins Innere, während die Netzsegmentierung unverändert greift.

In Variante B braucht es nicht einmal Anwesenheit. Das Gerät hält Ausschau nach offenen Netzen in der Umgebung, etwa einem Gast- oder Nachbarnetz, verbindet sich selbständig und nutzt diesen Weg nach draussen.

Beides ist auf dem Gerät selbst kaum sichtbar. Wie gut es sich verstecken lässt, hängt davon ab, auf welcher Ebene die Veränderung sitzt.

## **Wie tief eine Backdoor sitzen kann**

Unsere eigene Backdoor war bewusst schlicht und entsprechend auffällig. Sie lag als zusätzlicher Dienst im Dateisystem und wurde beim Start mitgeladen. Wer danach sucht, findet sie ohne grossen Aufwand.

So muss das aber nicht sein. Dieselbe Funktion lässt sich deutlich tiefer verankern, und mit jeder Ebene wird die Erkennung schwieriger.

Die folgende Übersicht ist eine Einordnung und keine Vollständigkeitsgarantie. Wie gut sich eine Veränderung verbergen lässt, hängt vom konkreten Gerät und von der eingesetzten Prüfung ab.

| **Ebene** | **Was damit möglich wird** | **Woran sie am ehesten noch auffällt** |
| --- | --- | --- |
| Dateisystem (unser Proof of Concept) | Zusätzlicher Dienst, der beim Start mitläuft | Prozessliste, offener Port, Vergleich gegen das Originalimage |
| Kernelmodul | Kann Verbindungen und Schnittstellen vor den üblichen Werkzeugen verstecken, sodass die Systemanzeige sauber bleibt, während Verkehr fliesst | Praktisch nur noch der Dateivergleich gegen das Original |
| Fest im Kernel | Dasselbe ohne nachladbares Modul, unabhängig von Modulsignaturen und robust gegen Prüfungen, die nur Modulverzeichnisse betrachten | Am ehesten der Vergleich des Kernel-Images selbst |
| Firmware des WLAN-Chips | Kann senden, während das Betriebssystem die Schnittstelle für inaktiv hält | Messung in der Luft, Nebeneffekte wie Stromverbrauch |
| Zusätzliche Hardware | Die Veränderung bildet sich gar nicht in der Software ab | In der Regel nur eine physische Untersuchung |

Der WLAN-Chip verdient dabei eine Anmerkung, weil er oft übersehen wird. Er hat eigene Firmware und eigenen Speicher und arbeitet unterhalb des Betriebssystems. Der Aufwand dort ist hoch und chipspezifisch, die Ebene aber real und dokumentiert. Das Nexmon-Projekt zeigt seit Jahren, dass sich die Firmware verbreiteter WLAN-Chipsätze um eigene Funktionen erweitern lässt.

Die letzte Zeile der Tabelle markiert die Grenze unseres Ansatzes. Gegen verbaute Zusatzhardware hilft kein Firmware-Vergleich.

## **Zwei Beispiele aus der Praxis: Ledger und Trezor, Oktober 2026**

Im Oktober 2026 zeigte sich das bei Hardware-Wallets, also bei Geräten, deren einziger Zweck die sichere Aufbewahrung von Schlüsseln ist. Betroffen waren die beiden grössten Hersteller, auf zwei unterschiedlichen Wegen.

**Ledger: Zusätzliche Hardware**

Ab dem 9. Oktober meldeten Nutzer, dass Guthaben von ihren Wallets abflossen. Einen Tag später bestätigte Ledger ein nicht autorisiertes Implantat in einem betroffenen Gerät. Alle bestätigten Verluste betrafen Geräte, die über CryptoBilis verkauft worden waren, einen autorisierten Reseller in Südostasien.

Die Geräte selbst waren echt. Auf dem Weg zum Kunden wurden sie geöffnet, der Akku wurde gegen einen kleineren getauscht, und im frei gewordenen Platz wurde ein zusätzliches Modul verbaut: ein Mikrocontroller mit Mobilfunkmodem und eSIM. Beim Einrichten las das Modul die 24 Wörter der Seed Phrase vom Display mit und schickte sie per LTE an die Angreifer. Die Schätzungen zum Schaden liegen je nach Quelle zwischen rund 86 und über 100 Millionen US-Dollar. Ledger selbst hat keine Zahl bestätigt.

Entscheidend ist, was dabei nicht passiert. Firmware und Sicherheitschip blieben unverändert und die Echtheitsprüfung des Herstellers fiel positiv aus. Auch die Segmentierung hätte nicht gegriffen, denn das Implantat brachte seinen eigenen Uplink mit. Es brauchte weder ein offenes WLAN noch Angreifer in Funkreichweite.

**Trezor: Ausgetauschter Chip mit veränderter Firmware**

Kurz darauf berichtete die Journalistin Kim Zetter in ihrem Newsletter Zero Day, dass auch Geräte von Trezor manipuliert worden waren. Der Sicherheitsforscher Joe Grand hatte zwei solche Geräte untersucht, gekauft über Facebook Marketplace und einen TikTok-Shop, und Trezor bereits im August informiert.

Die Angreifer ersetzten den Hauptprozessor durch einen eigenen Chip mit veränderter Firmware. Der Code von Trezor ist Open Source. Statt einer zufälligen Seed Phrase erzeugte das Gerät eine aus rund einem Dutzend vorab festgelegter Phrasen, die den Angreifern bekannt waren. Für die Integritätsprüfung legte es eine Kopie der Original-Firmware von einer zusätzlichen microSD-Karte vor und wechselte erst danach zum veränderten Code.

Der Ablauf entspricht im Kern unserem eigenen Proof of Concept: offizielle Firmware beziehen, verändern und so einspielen, dass das Gerät sie akzeptiert. Auch hier genügte frei verfügbarer Code und auch hier war die Veränderung von aussen nicht zu erkennen. Dass die Prüfung zusätzlich mit dem Original getäuscht wurde, zeigt vor allem, dass eine Prüfung nur so viel taugt wie die Quelle, die sie befragt.

**Was der Handel daraus gemacht hat**

MediaMarkt Saturn stoppte den Verkauf von Ledger-Geräten, nachdem ein Kunde in Deutschland ein manipuliertes Gerät gemeldet hatte. In der Schweiz nahm Digitec Galaxus am 16. Oktober vorsorglich alle Ledger-Produkte aus dem Sortiment, obwohl dort keine Hinweise auf betroffene Geräte vorlagen. Trezor kündigte an, die Autorisierung seiner Reseller per 1. Januar 2027 zu beenden.

Auch ein grosser Händler kann die Unversehrtheit seiner Ware nicht ohne weiteres prüfen. In beiden Fällen bestand das Gerät die Prüfung, die der Hersteller dafür vorgesehen hatte.

## **Der andere Fall: wenn die Backdoor ab Werk kommt**

Bisher ging es um Veränderungen, die auf dem Weg zum Einsatzort entstehen. Davon zu unterscheiden ist der Fall, in dem eine Backdoor vom Hersteller selbst ausgeliefert wird, in Abb. 3 der abgesetzte Marker. Die Unterscheidung ist praktisch relevant, weil beide Fälle unterschiedliche Spuren hinterlassen.

Eine unterwegs eingebrachte Veränderung weicht vom offiziellen Image ab. Sie lässt sich durch einen Vergleich gegen eine vertrauenswürdige Referenz nachweisen.

Eine ab Werk mitgelieferte Backdoor ist dagegen im Original enthalten. Ein Referenzvergleich schlägt nicht an, weil es nichts gibt, wovon sie abweichen könnte. Erschwerend kommt hinzu, dass sich eine solche Funktion kaum von einem gewöhnlichen Implementierungsfehler unterscheiden lässt. Die Absicht dahinter ist praktisch nie nachweisbar.

Was in diesem Fall bleibt, ist der Blick auf das Verhalten: Welche Dienste bietet das Gerät an? Wohin baut es Verbindungen auf? Welche Funktionen hat es, die es für seinen Zweck nicht braucht?

## **Ein Beispiel aus der Praxis: Slowakei, August 2026**

Dass dieser Fall keine Theorie ist, hat sich im August 2026 in der Slowakei gezeigt. Das dortige Nationale Sicherheitsamt NBÚ veröffentlichte eine formelle Warnung vor mehreren Typen von Verkehrsüberwachungskameras, nachdem es ein Gerät analysiert hatte.

Die Behörde nennt darin vier Punkte:

- einen unklaren tatsächlichen Ursprung von Hardware und Software
- eine Abweichung zwischen dokumentierter und tatsächlicher Konfiguration der Kommunikationsschnittstellen
- vorkonfigurierte Mechanismen für Fernzugriff und Fernverwaltung, deren Konfiguration dem Betreiber nicht vollständig zugänglich ist
- unzureichend abgesicherte Software

Die Berichterstattung ergänzt technische Details, die in der Warnung selbst nicht stehen: einen per SMS von fest hinterlegten Nummern auslösbaren Zugang zum Gerät, fehlendes Secure Boot und ohne Anmeldung abrufbare Livestreams.

Geliefert worden waren die Geräte über eine zwischengeschaltete Firma. Das Innenministerium beendete die Zusammenarbeit mit dem Lieferanten und liess die im Testbetrieb befindlichen Einheiten entfernen.

Für Einkäufer ist daran ein Detail entscheidend. Geprüft worden waren die Papiere, nicht das Gerät. Sichtbar wurde die Funktion erst, als jemand ein Gerät auf den Tisch gelegt und angeschaut hat, was es wirklich tut.

## **Checkliste für Beschaffung und Inbetriebnahme**

Praktisch heisst das, die Prüfung vor die Inbetriebnahme zu legen und nicht danach.

1. **Firmware vor der Inbetriebnahme gegen eine vertrauenswürdige Referenz prüfen**, statt sich auf den Auslieferungsweg zu verlassen. Das deckt Manipulation auf dem Transportweg ab. Gegen ab Werk mitgelieferte Funktionen hilft es nicht.
2. **Verhalten als zweite Prüfebene**, weil sie beide Fälle abdeckt. Offene Dienste, Verbindungsziele und Funkverhalten aufnehmen und dokumentieren, solange das Gerät noch neu ist. Diese Baseline ist später der Massstab.
3. **Signierte Firmware und Secure Boot als Beschaffungskriterium**, das geprüft und nicht nur zugesichert wird. Konkret zu fragen: Wird die Signatur bei jedem Start geprüft oder nur beim Update? Gibt es Rollback-Schutz? Sind die eFuses verriegelt? Für Funkgeräte auf dem EU-Markt sind entsprechende Anforderungen seit dem 1. August 2025 ohnehin verbindlich.
4. **Rückläufer und Gebrauchtgeräte gesondert behandeln.** Ein Gerät, das schon einmal vollständig in fremder Hand war, gehört nicht ungeprüft ins Netz. Bei grossen Stückzahlen ist eine Vollprüfung selten praktikabel. Stichproben decken dann systematische Abweichungen auf, einen gezielt präparierten Einzelfall aber nicht. Geräte für sensible Bereiche deshalb einzeln prüfen.
5. **Segmentieren, aber die Funkseite mitdenken.** Ein eigenes VLAN bleibt richtig. Ergänzen um eine Baseline des erwarteten Funkverhaltens und um Aufmerksamkeit für Geräte, die Netze suchen, die sie nicht brauchen. In sensiblen Zonen Geräte ohne verbaute Funkschnittstelle bevorzugen, und wo es die nicht gibt, die kabelgebundene Kamera in einen Faradayschen Käfig setzen.
6. **Vertraglich absichern, was sich technisch nicht erzwingen lässt:** SBOM (Software Bill of Materials), zugesagter Update-Zeitraum, ein Prozess für Vulnerability Disclosure und das Recht, die Firmware selbst zu analysieren.

## **Kein Grund zur Panik, aber zur Prüfung**

Nichts davon heisst, dass jedes Gerät kompromittiert ist. Es heisst, dass die Unversehrtheit eines Geräts eine Annahme bleibt und keine Tatsache wird, solange sie niemand überprüft hat.

Wer nicht prüft, vertraut dem Hersteller, dem Händler und jeder Station auf dem Transportweg. Verglichen mit dem Schaden, den ein kompromittiertes Gerät anrichten kann, ist der Aufwand für diese Prüfung gering.

Unsere Kameras sind inzwischen geprüft, segmentiert und in Betrieb. Wenn Sie Ihre Geräte oder ein geplantes Setup ebenso prüfen lassen möchten, melden Sie sich unter [research@avantguard.io](mailto:research@avantguard.io).

---

## **Quellen und weiterführende Dokumente**

**Zu den Fällen Ledger und Trezor**

- Ledger: [Update from Ledger Donjon on the CryptoBilis investigation](https://x.com/Ledger/status/2109896739985453358), X, 13. Oktober 2026
- CoinDesk: [Ledger says 'spy' chip inside CryptoBilis Ledger devices transmitted wallet keys over mobile network](https://www.coindesk.com/tech/2026/10/13/ledger-says-spy-chip-inside-cryptobilis-ledger-devices-transmitted-wallet-keys-over-mobile-network), 13. Oktober 2026
- BleepingComputer: [Ledger confirms spy chip implant behind wallet crypto thefts](https://www.bleepingcomputer.com/news/security/ledger-confirms-hardware-wallet-spy-implant-behind-crypto-thefts/), Oktober 2026
- CryptoSlate: [Ledger wallet implant exposes a gap in its authenticity check](https://cryptoslate.com/ledger-confirms-hidden-implant-in-crypto-wallet-as-93-million-theft-investigation-widens/), Oktober 2026
- Kim Zetter, Zero Day: [Trezor Wallets Also Compromised with Implants](https://www.zetter-zeroday.com/trezor-wallets-also-compromised-with-implants/), Oktober 2026
- Hackaday: [This Week in Security: Record Patch Tuesday, PHP's Bad Time, The Oldest Vuln, AI Armies, And More](https://hackaday.com/2026/10/23/this-week-in-security-record-patch-tuesday-phps-bad-time-the-oldest-vuln-ai-armies-and-more/), 23. Oktober 2026
- Yahoo Tech: [Trezor Cuts Its Resellers After Ledger Finds Spy Implant in Crypto Wallets](https://tech.yahoo.com/cybersecurity/articles/trezor-cuts-resellers-ledger-finds-161450621.html), Oktober 2026
- Digitec Galaxus: [Galaxus nimmt vorsorglich Ledger-Wallets aus dem Sortiment](https://www.digitec.ch/de/page/galaxus-nimmt-vorsorglich-ledger-wallets-aus-dem-sortiment-44116), 16. Oktober 2026

**Zum Fall in der Slowakei**

- Národný bezpečnostný úrad (NBÚ): *Varovanie pred významnou kybernetickou hrozbou: cestné rýchlomery s kamerou.* Formelle Warnung nach dem slowakischen Cybersicherheitsgesetz (Zákon č. 69/2018 Z. z.), 14. August 2026, nbu.gov.sk. Wortlaut wiedergegeben u. a. bei [STVR](https://spravy.stvr.sk/2026/08/dopravne-radarove-kamery-predstavuju-vyznamnu-kyberneticku-hrozbu-uviedol-nbu)
- Risky Business Media: [Risky Bulletin: Slovakia finds Russian backdoor in traffic speed cameras](https://news.risky.biz/risky-bulletin-slovakia-finds-russian-backdoor-in-traffic-speed-cameras/), August 2026
- TASR: [Rezort vnútra: Zisteniami NBÚ o dopravných kamerách sme sa zaoberali](https://www.teraz.sk/slovensko/rezort-vnutra-zisteniami-nbu-o-doprav/984986-clanok.html), 14. August 2026

**Standards und Leitlinien**

- [ETSI EN 303 645: Cyber Security for Consumer Internet of Things, Baseline Requirements, V3.1.3 (2024-09)](https://www.etsi.org/deliver/etsi_en/303600_303699/303645/03.01.03_60/en_303645v030103p.pdf)
- [ENISA: Guidelines for Securing the Internet of Things, Secure Supply Chain for IoT](https://www.enisa.europa.eu/sites/default/files/publications/ENISA%20Report%20-%20Guidelines%20for%20Securing%20the%20Internet%20of%20Things.pdf)
- Delegierte Verordnung (EU) 2022/30 der Kommission zur Ergänzung der Richtlinie 2014/53/EU (Radio Equipment Directive), anwendbar seit dem 1. August 2025, konkretisiert durch die harmonisierte Normenreihe EN 18031-1/-2/-3. Volltext über EUR-Lex.

**Methodik und Forschung**

- [OWASP Internet of Things Project](https://owasp.org/www-project-internet-of-things/) (Firmware Security Testing Methodology, FSTM) und [OWASP IoT Security Testing Guide (ISTG)](https://owasp.org/projects/iot-security-testing-guide)
- M. Schulz, D. Wegemer, M. Hollick: [NexMon: The C-based Firmware Patching Framework for Broadcom/Cypress WiFi Chips](https://github.com/seemoo-lab/nexmon), Secure Mobile Networking Lab, TU Darmstadt. Grundlagenpapier: [NexMon: A Cookbook for Firmware Modifications on Smartphones to Enable Monitor Mode](https://arxiv.org/abs/1601.07077), arXiv:1601.07077

Inhalt

- [Offensive](https://avantguard.io/blog/tag/offensive)
- [Research](https://avantguard.io/blog/tag/research)
- [Review](https://avantguard.io/blog/tag/review)

![](https://avantguard.io/hs-fs/hubfs/AboutUs/C93A8682_blog.png?width=40&height=40&name=C93A8682_blog.png) Geschrieben von [Timofey Shpakov](https://avantguard.io/blog/author/timofey-shpakov)

Research

## Ähnliche Beiträge

[![](https://avantguard.io/hs-fs/hubfs/Blog/BlueHammerRedSun/bluehammer-1.png?width=800&name=bluehammer-1.png)](https://avantguard.io/blog/bluehammer-und-redsun-analysiert)

- [Offensive](https://avantguard.io/blog/tag/offensive)
- [Red Team](https://avantguard.io/blog/tag/red-team)
- [News](https://avantguard.io/blog/tag/news)

### [BlueHammer und RedSun analysiert](https://avantguard.io/blog/bluehammer-und-redsun-analysiert)

Im Beitrag werden zwei aktuelle Schwachstellen, BlueHammer und RedSun, genauer betrachtet und erläutert, warum sie so viel Beachtung gefunden haben.

[Andrei Herasimau](https://avantguard.io/blog/author/andrei-herasimau) 9. Juni 2026 15 Min. Lesezeit

[![](https://avantguard.io/hs-fs/hubfs/thumbnail.png?width=800&name=thumbnail.png)](https://avantguard.io/blog/webinar-attack-simulation)

- [Offensive](https://avantguard.io/blog/tag/offensive)

### [Webinar - Attack Simulation](https://avantguard.io/blog/webinar-attack-simulation)

In diesem Webinar gibt Andy Staub von avantguard cyber security einen praxisnahen Überblick über das Thema Attack Simulation.

[Andy Staub](https://avantguard.io/blog/author/andy-staub) 5. Juni 2026 1 Min. Lesezeit

[![](https://avantguard.io/hs-fs/hubfs/Blog/Passwortsicherheit%20im%20Browser/title-small.png?width=800&name=title-small.png)](https://avantguard.io/blog/klartext-im-speicher-neubewertung-der-passwortsicherheit-im-browser)

- [Offensive](https://avantguard.io/blog/tag/offensive)
- [Klartextpasswörter](https://avantguard.io/blog/tag/klartextpasswörter)
- [Research](https://avantguard.io/blog/tag/research)

### [Klartext im Speicher: Neubewertung der Passwortsicherheit im Browser](https://avantguard.io/blog/klartext-im-speicher-neubewertung-der-passwortsicherheit-im-browser)

Dieser Blog‑Beitrag zeigt, wie Browser Passwörter im Arbeitsspeicher exponieren und wie diese ausgelesen werden können.

[Christian Bieg](https://avantguard.io/blog/author/christian-bieg) 22. Mai 2026 3 Min. Lesezeit

## Wie sicher sind Ihre Systeme wirklich?

Erzählen Sie uns von Ihrem Vorhaben. Sie erhalten ein unverbindliches Angebot.

[Offerte anfragen](https://avantguard.io/offerte-anfragen) [+41 55 253 30 30](tel:+41552533030)

[![avantguard cyber security](https://avantguard.io/hs-fs/hubfs/LogoInverted.png?width=140&height=66&name=LogoInverted.png)](https://avantguard.io/)

avantguard cyber security AG  
Neue Jonastrasse 52  
8640 Rapperswil-Jona, Schweiz  
[+41 55 253 30 30](tel:+41552533030)  
[info@avantguard.io](mailto:info@avantguard.io)

<https://ch.linkedin.com/company/avantguard-cyber-security-ag> <https://x.com/avantguard_io> <https://www.youtube.com/@avantguardcybersecurity>

## Unternehmen

- [Services](https://avantguard.io/services)
- [Über uns](https://avantguard.io/über-uns)
- [Erfahrung](https://avantguard.io/de/erfahrung)
- [AI bei avantguard](https://avantguard.io/de-ch/ai-einsatz)
- [Karriere](https://avantguard.io/de/karriere)
- [Research](https://avantguard.io/blog)
- [Kontakt](https://avantguard.io/de/kontakt)

## Services

- [Penetration Testing](https://avantguard.io/penetration-test)
- [Red Teaming](https://avantguard.io/red-teaming)
- [Attack Simulation](https://avantguard.io/attack-simulation)
- [FINMA-reguliertes Pentesting](https://avantguard.io/de-ch/finma-reguliertes-pentesting)
- [AD Security Improvement](https://avantguard.io/ad_improvement)
- [mesher](https://avantguard.io/de-ch/mesher)
- [Alle Services](https://avantguard.io/services)

## Research

- [Kommt Ihre neue Kamera mit Backdoor?](https://avantguard.io/blog/kommt-ihre-neue-kamera-mit-backdoor)
- [Die blinde Stelle von 802.1X Network Access Control (NAC)](https://avantguard.io/blog/die-blinde-stelle-von-802.1x-network-access-control-nac)
- [BlueHammer und RedSun analysiert](https://avantguard.io/blog/bluehammer-und-redsun-analysiert)
- [Webinar - Attack Simulation](https://avantguard.io/blog/webinar-attack-simulation)
- [Alle Beiträge](https://avantguard.io/blog)

© 2026 avantguard cyber security AG

- [Datenschutzerklärung](https://avantguard.io/datenschutzerkl%C3%A4rung)
- [English](https://avantguard.io/en/)