Ein gehacktes Überwachungssystem sorgt in den USA derzeit für eine neue Debatte über Datenschutz, öffentliche Sicherheit und die Sicherheit vernetzter Kameras. Im Mittelpunkt steht eine Kamera des US-Unternehmens Flock Safety, die zur automatischen Erfassung von Kennzeichen eingesetzt wird. Der aktuelle Vorfall ist allerdings etwas differenzierter, als es die Schlagzeile „Flock wurde gehackt“ zunächst vermuten lässt.
Nach Recherchen von WIRED wurde eine Flock-Kamera physisch von einem Straßenmast entfernt und anschließend technisch untersucht. Die Hacker konnten die Kamera zerlegen und Teile ihrer gespeicherten Daten auslesen. Dabei sollen sie unter anderem einen auf dem Gerät gespeicherten Verschlüsselungsschlüssel gefunden haben. Damit konnten sie weitere Daten entschlüsseln.
Das Ergebnis war beträchtlich: Nach der Analyse von WIRED enthielt die Kamera ungefähr 21 Tage an Aufzeichnungen mit rund 1,6 Millionen Bildern, Informationen zu etwa 50.200 Fahrzeugen und rund 27.000 kurzen Videoclips.
Die Kameras von Flock Safety erfassen vorbeifahrende Fahrzeuge und deren Kennzeichen. Die Daten werden normalerweise an die Cloud-Infrastruktur des Unternehmens übertragen und können anschließend von autorisierten Strafverfolgungsbehörden durchsucht werden.
Damit stellt sich zwangsläufig die Frage: Hat dieser Vorfall das gesamte Flock-System kompromittiert?
Nach Einschätzung des von FOX Business befragten Cybersecurity-Experten lautet die Antwort: Nein – zumindest gibt es dafür derzeit keine Hinweise.
„Flock wurde nicht kompromittiert“
FOX Business sprach mit Jason Brown, einem ehemaligen Cybercrime-Spezialisten des US Secret Service, der 25 Jahre beim Secret Service tätig war und heute bei der Threat-Intelligence-Firma iCOUNTER arbeitet.
Brown legt besonderen Wert auf die Unterscheidung zwischen einem Angriff auf eine einzelne physisch gestohlene Kamera und einem Einbruch in die zentrale Cloud-Infrastruktur von Flock.
Seiner Einschätzung zufolge konnten die Angreifer zwar auf die lokal gespeicherten Daten der gestohlenen Kamera zugreifen. Daraus folgte aber nicht automatisch die Möglichkeit, sich in das Flock-Cloudsystem einzuloggen.
Mit anderen Worten:
Eine Kamera wurde kompromittiert – das bedeutet nicht, dass das gesamte Flock-Netzwerk kompromittiert wurde. Brown bezeichnet den Vorfall deshalb nicht als klassischen großflächigen Datenbank-Hack. Nach seiner Darstellung gibt es bislang keinen Hinweis darauf, dass Hacker massenhaft Daten aus der Flock-Cloud abgezogen hätten. Diese Unterscheidung ist für die Bewertung des Vorfalls zentral.
Trotzdem bleibt ein erhebliches Datenschutzproblem
Dass die Cloud nicht gehackt wurde, beseitigt allerdings nicht die grundsätzliche Datenschutzfrage. Denn der Vorfall zeigt, welche Daten bereits auf einer einzelnen Kamera vorhanden sein können.
1,6 Millionen Bilder innerhalb von etwa drei Wochen sind eine enorme Datenmenge. Sie können Bewegungsmuster sichtbar machen: Welche Fahrzeuge fahren wann an einem bestimmten Ort vorbei? Welche Fahrzeuge tauchen regelmäßig auf? Und welche Fahrzeuge waren möglicherweise in der Nähe eines bestimmten Ereignisses?
Flock-Kameras sind deshalb mehr als klassische Überwachungskameras. Sie können Informationen über die Bewegung von Fahrzeugen im öffentlichen Raum erzeugen. Genau darin liegt die gesellschaftliche Debatte: Nicht nur die Frage, ob eine einzelne Kamera sicher genug ist, sondern auch, wie viel Bewegungsinformation überhaupt gesammelt und wie lange sie gespeichert werden sollte.
Ein früheres Sicherheitsproblem
Der aktuelle Fall ist nicht der erste Sicherheitsvorfall im Zusammenhang mit Flock-Kameras. Brown verweist auf ein früheres Problem, bei dem bestimmte Kameras aufgrund schwacher Authentifizierungsmechanismen zeitweise aus dem Internet erreichbar gewesen sein sollen. Nach seiner Darstellung wurde dieses Problem behoben und führte nicht zu einem Zugriff auf die zentrale Flock-Cloud. Er betrachtet sowohl diesen Vorfall als auch die nun gestohlene Kamera als isolierte Ereignisse und nicht als Beleg für eine umfassende Kompromittierung des Flock-Systems.
Flock gibt laut Brown außerdem an, dass inzwischen etwa 97 Prozent der Strafverfolgungsbehörden, die das System nutzen, eine Mehrfaktor-Authentifizierung (MFA) aktiviert haben. Das reduziert das Risiko eines unbefugten Zugriffs auf Benutzerkonten, löst aber nicht automatisch alle Sicherheitsprobleme. Der aktuelle Fall zeigt beispielsweise, dass auch die physische Sicherheit und die lokale Speicherung von Daten wichtige Bestandteile eines Gesamtsystems sind. Und es löst vor allen Dingen nicht das Problem von Missbrauch DURCH staatliche Stellen.
Sicherheit gegen Datenschutz: zwei unterschiedliche Fragen
Interessant ist, dass Brown zwei Fragen voneinander trennt.
- Die erste lautet: Ist das technische System ausreichend gegen Hacker geschützt?
- Die zweite: Soll eine Gesellschaft überhaupt ein solches flächendeckendes System zur Fahrzeugüberwachung einsetzen?
Ein System kann technisch sehr sicher sein und trotzdem aus Datenschutzperspektive umstritten bleiben. Brown selbst verweist auf mögliche positive Anwendungen der Technologie. Er nennt beispielsweise Fälle, in denen Ermittler mit Hilfe von Flock-Kameras Personen identifizieren konnten, die mit schweren Straftaten in Verbindung standen. Aus dieser Perspektive kann die Technologie Ermittlungsbehörden helfen, Fahrzeuge zu identifizieren und Bewegungsabläufe nachzuvollziehen.
Kritiker stellen dagegen die Frage, ob eine solche Infrastruktur zu einer Form von permanenter Bewegungsüberwachung werden könnte – insbesondere wenn immer mehr Kameras miteinander vernetzt und Daten über größere Regionen hinweg durchsucht werden können.
Ein wichtiger Punkt: Die Kamera muss nicht „gehackt“ werden
Der vielleicht interessanteste Aspekt des Vorfalls liegt deshalb in einem anderen Bereich. Cybersecurity wird häufig als Schutz vor einem digitalen Angriff verstanden. Der Fall Flock zeigt jedoch, dass auch ein physischer Angriff auf ein Gerät erhebliche Folgen haben kann.
Die Angreifer mussten offenbar nicht die zentrale Cloud knacken. Sie mussten zunächst lediglich an die Hardware gelangen. Danach konnten sie die auf dem Gerät gespeicherten Informationen untersuchen und schließlich verschlüsselte Daten entschlüsseln. Für Unternehmen bedeutet das: Sicherheit muss auf mehreren Ebenen funktionieren – Hardware, Software, Authentifizierung, Verschlüsselung, Cloud-Infrastruktur und physische Sicherung.
Brown ordnet dieses Problem als Teil eines größeren Third-Party- und Supply-Chain-Risikos ein. Unternehmen sind nicht nur für ihre eigene Infrastruktur verantwortlich, sondern auch davon abhängig, wie sicher die Systeme ihrer Partner und Dienstleister sind.
Warum KI die Situation zusätzlich verändert
Brown sieht eine weitere Entwicklung als besonders relevant: den schnellen Fortschritt der künstlichen Intelligenz. Je mehr Daten automatisiert analysiert werden können, desto größer wird auch der potenzielle Nutzen – und das potenzielle Risiko – solcher Überwachungssysteme.
Ein Mensch könnte beispielsweise einzelne Kameraaufnahmen nur sehr langsam durchsuchen. KI-Systeme können dagegen große Mengen an Bildern, Fahrzeugdaten und Bewegungsmustern wesentlich schneller analysieren. Dadurch verändert sich laut Brown die Sicherheitslage „von Minute zu Minute“.
Unternehmen müssten deshalb nicht erst auf einen Angriff reagieren. Sie sollten vielmehr kontinuierlich Informationen über Risiken bei ihren Drittanbietern sammeln und gemeinsam mit diesen Anbietern Sicherheitslücken möglichst vor einem tatsächlichen Vorfall beseitigen. Wobei in dem Artikel die Frage der Weitergabe der Daten an „interessierte Stellen“ oder Missbrauch durch die staatlichen Stellen selbst, kaum angeschnitten wird.
Was bleibt vom aktuellen Vorfall?
Die grundsätzlichere Frage lautet:
Wie viel Überwachung des öffentlichen Raums ist eine Gesellschaft bereit zu akzeptieren – und welche technischen und rechtlichen Schutzmechanismen müssen dafür gelten?
Kurz zusammengefasst
- 1,6 Millionen Bilder sollen aus einer physisch gestohlenen Kamera ausgelesen worden sein.
- Die Daten umfassten laut WIRED etwa 21 Tage, rund 50.200 Fahrzeuge und 27.000 Videoclips.
- Nach Einschätzung des ehemaligen Secret-Service-Experten Jason Brown wurde dadurch nicht die zentrale Flock-Cloud kompromittiert.
- Der Fall zeigt jedoch, dass auch lokal auf Überwachungsgeräten gespeicherte Daten ein erhebliches Sicherheitsrisiko darstellen können.
- Flock-Kameras können bei Ermittlungen nützlich sein, erzeugen aber gleichzeitig umfangreiche Informationen über die Bewegungen von Fahrzeugen.
- Durch KI-Auswertung entsteht eine völlig neue Dimension der Bedrohung der Gesellschaft.
Die eigentliche gesellschaftliche Debatte geht deshalb über den konkreten Hack hinaus: technische Sicherheit und das grundsätzliche Recht auf Privatsphäre im öffentlichen Raum sind zwei getrennte Fragen.
Bild: Screenshot aus dem Video im erwähnten Artikel
Unsere Arbeit ist spendenfinanziert – wir bitten um Unterstützung.
Folge TKP auf Telegram oder GETTR und abonniere unseren Newsletter.
Links zu früheren TKP-Beiträgen zum Thema finden Sie unterhalb 
Österreich baut Videoüberwachung massiv aus
In Berlin beginnt die automatisierte Überwachung
Rückkehr der Gestapo? Deutschland reißt die Trennmauer zwischen Polizei und Geheimdiensten ein
2 Kommentare
Damit stellt sich eigentlich nur die Frage, ob man das geklaute Gerät noch in einer Sandbox betreiben muss, um herauszufinden, wann und wie der Update in die Cloud erfolgt? Oder ob das Gerät selbst schon ein Teil dieser Cloud darstellt und man nur noch die Kommunikationsmechanismen zwischen den Knoten protokollieren muss mit einem zweiten geklauten Gerät…
„Damit stellt sich zwangsläufig die Frage: Hat dieser Vorfall das gesamte Flock-System kompromittiert?“
Das System als solches IST bereits kompromittiert, indem die Daten auf einer Cloud liegen, welche NICHT von den Behörden selbst betrieben werden.
„Nach Einschätzung des von FOX Business befragten Cybersecurity-Experten lautet die Antwort: Nein – zumindest gibt es dafür derzeit keine Hinweise.“
Das ist wie bei einem Serienmörder: der gesteht nur die bekannten Morde! Sobvald dann ds nächste Opfer gefunden und dem Serienmörder zugeordnet werden kann, wird er auch diesen Mord zugeben (müssen).
Oder ein anderer Vergleich: die sogenannte Dunkelziffer. Die ist genauso zwischen den Fingern hervorgesogen wie die Überzeugung, das Ganze sei dennoch sicher …
Regeln für Kommentare: Bitte bleibt respektvoll - keine Diffamierungen oder persönliche Angriffe. Keine Video-Links. Manche Kommentare werden erst nach Prüfung freigegeben, was gelegentlich länger dauern kann. Benutzer haften für den Inhalt ihrer Kommentare.
Sie müssen angemeldet sein um Kommentare zu posten. Noch kein Konto? Jetzt registrieren.