Russland kapert Kameras für NATO-Transporte

Eine billige Überwachungskamera an der Wand eines europäischen Lagerhauses, noch immer mit dem werkseitigen Passwort betrieben, wurde von russischen Staatshackern übernommen und in ein Netzwerk zur Beobachtung von Waffenlieferungen an die Ukraine eingebunden. Der Eigentümer der Kamera dürfte davon nichts bemerkt haben. Der niederländische Geheimdienst machte den Vorgang Anfang Juli öffentlich: In mehreren Nato-Staaten seien IP-Kameras entlang militärischer Logistikkorridore kompromittiert worden (AIVD, DW). Der Fall zeigt, was europäische Regierungen inzwischen offen aussprechen: Russische Cyberoperationen gegen zivile Infrastruktur sind keine Ausnahmeereignisse mehr, sondern ein Dauerzustand.

Finnische Behörden nennen das „arkipäivää“, Alltag, also eine ständige Hintergrundbedingung (Yle). Auch die Nato wählte am 13. Juli in ihrer Verurteilung der „anhaltenden böswilligen Cyberaktivitäten“ Russlands eine Sprache, die in dieselbe Richtung weist (NATO). Es geht nicht um einen Einbruch, den man untersucht und anschließend für erledigt erklärt. Es geht um eine fortlaufende Operation, mit der Europa leben und auf die es dauerhaft reagieren muss.

Jeder Schlüssel im Gebäude wird kopiert

Das alte Bild des Cyberangriffs ist der Einbruch: Jemand verschafft sich Zugang, stiehlt etwas und verschwindet wieder. Was mehrere europäische Behörden nun beschreiben, ähnelt eher einem stillen Auskundschaften des ganzen Gebäudes. Jemand kopiert die Schlüssel, beobachtet die Wachzeiten, kartiert Lieferwege und löst gelegentlich einen Alarm aus, um die Reaktion zu messen.

Der Einstieg ist oft banal: ein alter Router, ein schwaches Passwort, ein Gerät, das seit Jahren kein Sicherheitsupdate gesehen hat. Der finnische Nachrichtendienst Supo warnt, das 16. Zentrum des russischen Inlandsgeheimdienstes FSB nutze genau solche Schwachstellen, um Energie- und Rüstungsunternehmen auszuspähen (Supo). Dafür braucht es nicht zwingend hochkomplexe Werkzeuge. Es reicht häufig ein vernachlässigtes Gerät am Rand des Netzes.

Strategisch relevant wird der Zugriff erst danach. Angreifer stehlen Zugangsdaten, also die digitalen Schlüssel, und bewegen sich dann von einem System ins nächste: vom Empfang in den Lagerraum, von dort in die Schaltzentrale. Sie lesen interne Kommunikation mit, verstehen Abläufe und halten ihren Zugang über Monate oder Jahre offen. Spionage vermisst das Gelände. Massenhaft erzeugter Datenverkehr, der Websites lahmlegt, schafft Lärm. Zerstörerische Schadsoftware bleibt im System, bis sie bei einer Eskalation gebraucht wird (ENISA).

Verschiedene Länder, dieselbe Kampagne

Jedes Land sieht die Bedrohung dort, wo es selbst verwundbar ist. In Finnland geht es vor allem um die Ränder der Netze: Energieunternehmen und andere kritische Sektoren werden zum Ziel langfristiger Spionage. Außenministerin Elina Valtonen verurteilte die Aktivitäten und bestellte den russischen Botschafter ein (MTV Uutiset). In Polen ist die Lage anders gelagert. Das Land ist einer der wichtigsten Transitkorridore für westliche Unterstützung der Ukraine und sieht Cyberangriffe deshalb im Zusammenhang mit physischer Sabotage. Außenminister Radosław Sikorski sprach von glaubwürdigen Erkenntnissen, Russland plane weitere Aktionen, und nannte Brandstiftung, Angriffe auf Bahnstrecken, Aufklärung kritischer Infrastruktur und digitale Eindringversuche in einem Atemzug (RMF24, Rzeczpospolita).

Diese Beschreibungen widersprechen sich nicht. Sie zeigen unterschiedliche Angriffsflächen derselben Kampagne: Zugänge stehlen, Netze beobachten, Abhängigkeiten kartieren, gezielt stören und Staaten, die die Ukraine unterstützen, zusätzliche Kosten auferlegen.

Eine Einschränkung bleibt wichtig: Manche Warnungen beruhen auf geheimdienstlichen Erkenntnissen, die Regierungen nicht veröffentlichen können. Die Zuschreibung an Russland ist eine offizielle Bewertung, kein öffentlich nachprüfbarer Gerichtsbeweis. Das polnische Außenministerium verwies auf eine EU-Position, die zerstörerische Operationen dem 16. Zentrum des FSB zuschreibt (WP). Das ist plausibel und institutionell abgestützt, aber eben nicht vollständig auditierbar.

Die Gesetze sind weiter als die Router

Europas rechtliche Antwort ist vergleichsweise schnell vorangekommen. Die beiden wichtigsten Instrumente, die NIS2-Richtlinie und der Cyber Resilience Act, folgen demselben Grundgedanken: Verantwortung soll nach oben verlagert werden, weg vom überlasteten IT-Team und hin zu Unternehmensleitungen und Geräteherstellern (NIS2 Directive). NIS2 macht die Geschäftsführung für Cybersicherheit rechtlich stärker verantwortlich und verschärft die Meldepflichten in deutlich mehr Sektoren. Der Cyber Resilience Act setzt früher an, nämlich bei Kameras, Routern und anderen vernetzten Produkten. Hersteller müssen künftig Sicherheitsstandards schon bei der Auslieferung einhalten, statt Geräte mit Standardpasswörtern in den Markt zu geben (EUR-Lex CRA).

Die Lücke liegt in der Umsetzung. Eine Richtlinie ersetzt nicht über Nacht jeden alten Router und ändert nicht automatisch jedes Standardpasswort. Auch die Umsetzung von NIS2 in nationales Recht verläuft in den Mitgliedstaaten ungleichmäßig. Die Architektur stimmt, doch die Verkabelung ist noch nicht fertig.

Für europäische Bürger ist der Wandel deshalb nicht nur technisch, sondern auch begrifflich. Cybersicherheit ist nicht mehr die Aufräumarbeit nach einem spektakulären Angriff. Sie ist Infrastrukturpflege: laufende Erkennung, regelmäßige Updates, Kontrolle von Zulieferern und vorbereitete Reaktionspläne. Das wirkt weniger dramatisch als ein einzelner großer Angriff, ist aber schwerer durchzuhalten. Der nächste Test wird nicht sein, ob Europa die richtigen Gesetze beschlossen hat. Entscheidend wird sein, ob alte Kameras, ungepatchte Router und schlecht vorbereitete Unternehmensleitungen sich tatsächlich verändert haben, bevor Russland die Zugänge nutzt, die es offenbar längst aufgebaut hat.