Russische Radarfallen mit falscher Software und Hintertüren in der Slowakei

Was geschehen ist – die Kernmeldung

Die slowakische Behörde für Datensicherheit, das Národný bezpečnostný úrad (NBÚ), hat schwerwiegende Sicherheitsmängel und betrügerische Praktiken bei stationären Radargeräten aufgedeckt, die im ganzen Land installiert wurden. Die Geräte, die offiziell zur Überwachung des Straßenverkehrs dienen sollen, stammen entgegen früherer Dementis der Regierung aus russischer Produktion. Die Untersuchung der Behörde förderte zutage, dass die eingesetzte Software manipuliert wurde und die Geräte über zahlreiche, teils gravierende Hintertüren verfügen. Diese Schwachstellen ermöglichen unbefugten Zugriff auf die Systeme und stellen ein erhebliches Sicherheitsrisiko dar. Die Slowakei hatte im Rahmen eines groß angelegten Projekts zur Modernisierung des Straßenüberwachungssystems 279 dieser Einheiten beschafft, wobei das erklärte Ziel darin bestand, die Einnahmen aus Bußgeldern für Verkehrsverstöße massiv zu steigern. Die Aufdeckung der Manipulationen wirft nun ein Schlaglicht auf die Herkunft der Technologie und die mangelhafte Prüfung der gelieferten Hardware, die mit EU-Mitteln in Höhe von 30 Millionen Euro finanziert wurde. Die Behörde warnt nun offiziell vor dem weiteren Einsatz dieser Technik, da die Integrität der Geschwindigkeitsmessungen und die Datensicherheit in keiner Weise gewährleistet sind.

Die Einzelheiten der Untersuchung

Die vom NBÚ untersuchten Radargeräte umfassen die Modelle NERO R-ONE, die unter dem Namen der zypriotischen Briefkastenfirma Sodasus vertrieben wurden, sowie das Modell Cordon, das sowohl unter der kroatischen Firma NEROline als auch direkt unter dem Namen des russischen Herstellers Simicon gelistet war. Die Analyse der Experten ergab, dass es sich bei allen drei Bezeichnungen faktisch um das identische Produkt des russischen Unternehmens Simicon handelt. Besonders kritisch ist der Befund zur Messsoftware: Die Geräte geben vor, eine zertifizierte Software für die Geschwindigkeitsmessung zu nutzen, deren Prüfsumme formal korrekt erscheint. Bei näherer Betrachtung stellte sich jedoch heraus, dass die Datei unbrauchbar ist, da sie für x86-Prozessoren kompiliert wurde, während die Hardware auf inkompatiblen ARM-Prozessoren basiert. Die tatsächliche Berechnung der Fahrzeuggeschwindigkeiten erfolgt durch eine völlig andere, nicht zertifizierte Softwarekomponente. Zudem entdeckten die Prüfer zahlreiche Hintertüren, darunter ein unangekündigtes zweites 3G/4G-Mobilfunkmodem, für das von außen zugängliche SIM-Kartenslots existieren. Auf den Geräten sind zudem russische Telefonnummern hinterlegt, die per SMS Befehle an das System senden können, ohne dass eine weitere Authentifizierung stattfindet.

Hintergrund des Vorhabens

Der Einsatz der Radargeräte war Teil einer umfassenden Strategie zur Erhöhung der Verkehrssicherheit und zur Steigerung der staatlichen Einnahmen. Die slowakische Regierung hatte sich zum Ziel gesetzt, durch die Installation von 279 neuen, stationären Radarkameras die Einnahmen aus Verkehrsstrafen um das Zehnfache zu steigern. Um dieses ambitionierte Vorhaben zu finanzieren, griff das Land auf EU-Fördermittel in Höhe von 30 Millionen Euro zurück. Im Vorfeld der Installation gab es bereits Berichte und Spekulationen, dass es sich bei der gelieferten Technologie um russische Fabrikate handeln könnte. Diese Vorwürfe wurden von Regierungsseite zunächst kategorisch zurückgewiesen. Erst durch das Einschreiten des NBÚ, das sich eines der Geräte für eine technische Prüfung auslieh, konnte die Herkunft zweifelsfrei geklärt werden. Die Untersuchung bestätigte nicht nur die russische Herkunft, sondern entlarvte auch die Verschleierungstaktik, bei der lediglich die Marke und die Modellbezeichnungen auf den Gehäusen ausgetauscht wurden, um den Anschein eines europäischen Produkts zu erwecken. Die nun bekannt gewordenen Mängel stellen den gesamten bisherigen Verlauf des Projekts in Frage und untergraben das Vertrauen in die Zuverlässigkeit der installierten Überwachungsinfrastruktur.

Die Beteiligten und ihre Rollen

Im Zentrum der Aufarbeitung steht das Národný bezpečnostný úrad (NBÚ), die slowakische Behörde für Datensicherheit, die als einzige Institution die technische Analyse der Geräte durchführte und die Öffentlichkeit vor den Risiken warnte. Auf der Gegenseite steht der russische Hersteller Simicon, dessen Produkte unter verschiedenen Decknamen in die Slowakei gelangten. Beteiligt sind zudem die Firmen Sodasus aus Zypern und NEROline aus Kroatien, die als Zwischenhändler oder Tarnfirmen fungierten, um die russische Herkunft der Technik zu verschleiern. Die slowakische Regierung, die das Projekt zur Erneuerung des Straßenüberwachungssystems verantwortet, sieht sich nun mit der schwierigen Situation konfrontiert, dass ihre anfänglichen Dementis durch die Ergebnisse ihrer eigenen Sicherheitsbehörde widerlegt wurden. Die Regierung hat angekündigt, vorerst keine weiteren Geräte dieses Typs zu installieren, zeigt sich jedoch in ihrer Haltung gegenüber den Empfehlungen des NBÚ ambivalent. Während die Behörde auf die akute Gefahr für die Datensicherheit und den Schutz von Staatsgeheimnissen hinweist, scheint die politische Führung noch zögerlich, die Konsequenzen für die bereits installierten Systeme vollständig zu akzeptieren.

Einordnung der Sicherheitslage

Den Berichten zufolge ist die Sicherheitslage der Radargeräte als katastrophal einzustufen. Einzuordnen ist das so: Die Geräte sind nicht nur aufgrund der manipulierten Software unzuverlässig, sondern bieten durch ihre Architektur eine Angriffsfläche, die weit über das übliche Maß hinausgeht. Dass der Hersteller im Quellcode selbst Kommentare wie „TODO!!! FIXME!!!“ hinterlassen hat, deutet auf eine äußerst nachlässige oder gar absichtlich fehlerhafte Programmierung hin. Die Tatsache, dass das NBÚ 260 Stellen im Code identifizierte, an denen die Eingabeverarbeitung unzureichend ist, unterstreicht die Schwere der Sicherheitslücken. Besonders kritisch ist, dass das Webinterface des Geräts mit vollen Administratorrechten ausgestattet ist. Ein Angreifer, der eine Lücke in diesem Interface findet, erlangt somit die vollständige Kontrolle über das System. Da zudem das „Secure Boot“-Verfahren deaktiviert wurde, ist das System gegen Manipulationen von außen nahezu schutzlos. Die Kombination aus fix einprogrammierten Passwörtern, unsicheren WLAN-Verbindungen (WPA-Standard) und der Möglichkeit, per SMS Befehle aus der Ferne auszuführen, macht die Geräte zu einem Sicherheitsrisiko für das gesamte staatliche Intranet, in das sie eingebunden sein sollen.

Offene Fragen zur Situation

Obwohl der Bericht des NBÚ sehr detailliert auf die technischen Mängel eingeht, bleiben einige Fragen unbeantwortet. Der Quelltext macht keine Angaben dazu, wie genau die Auswahl der Anbieter für das 30-Millionen-Euro-Projekt zustande kam und ob bei der Ausschreibung die Herkunft der Technologie bewusst verschleiert wurde oder ob die zuständigen Stellen getäuscht wurden. Ebenfalls unklar bleibt, in welchem Umfang die bereits installierten 279 Radargeräte tatsächlich in Betrieb sind und ob die von ihnen generierten Daten bereits in irgendeiner Form manipuliert oder abgegriffen wurden. Der Quelltext erwähnt zudem, dass das NBÚ die Bluetooth- und Infrarot-Schnittstellen sowie die direkten Kabelanschlüsse aus Zeitgründen nicht näher untersuchen konnte. Es ist daher nicht abschließend geklärt, welche weiteren Einfallstore sich dort verbergen. Auch die Frage nach der rechtlichen Verantwortung der beteiligten Firmen Sodasus und NEROline bleibt offen, ebenso wie die Konsequenzen für die EU-Fördergelder, die unter falschen Voraussetzungen in das Projekt geflossen sind. Die genaue Rolle der Regierung bei der anfänglichen Leugnung der russischen Herkunft wird ebenfalls nicht weiter beleuchtet.

Wie es weitergeht

Die Regierung der Slowakei hat offiziell verlautbart, dass vorerst keine weiteren Geräte des Typs Simicon im Land installiert werden sollen. Dies ist jedoch nur ein erster Schritt in einer komplexen Aufarbeitung. Da die Regierung den Erkenntnissen ihrer eigenen Sicherheitsbehörde offenbar nicht vollständig vertraut oder die Tragweite der Sicherheitsrisiken noch nicht abschließend bewerten möchte, wurde eine weitere Untersuchung durch externe Experten angekündigt. Diese soll Klarheit darüber schaffen, wie mit der bereits installierten Hardware verfahren wird. Es ist davon auszugehen, dass eine vollständige Deinstallation oder ein Austausch der Geräte notwendig sein könnte, um die Sicherheit des staatlichen Intranets und die Integrität der Verkehrsüberwachung wiederherzustellen. Termine für diese weiteren Untersuchungen oder für eine endgültige Entscheidung über den Verbleib der Radargeräte wurden im Quelltext nicht genannt. Die Situation bleibt somit dynamisch, während die Öffentlichkeit auf weitere Schritte der Regierung und die Ergebnisse der zusätzlichen Expertenprüfung wartet. Die Zukunft des gesamten Projekts zur Modernisierung des Straßenüberwachungssystems ist aufgrund der massiven Vertrauenskrise und der technischen Mängel derzeit völlig offen.