Cybersicherheit: Unsichere Radarkameras und TeamPCP-Festnahmen zeigen Lieferketten-Risiken

In der Slowakei haben Sicherheitsprüfer gravierende Schwachstellen bei vernetzten Geschwindigkeitsmessgeräten festgestellt. Fast zeitgleich nahmen Ermittler in Australien zwei Männer fest, die der Cybercrime-Gruppe TeamPCP zugerechnet werden und über manipulierte Open-Source-Software weltweit Organisationen kompromittiert haben sollen. Beide Fälle zeigen, wie verwundbar digitale Lieferketten werden können, wenn Hardware, Software und Fernzugriffe nicht vollständig kontrollierbar sind.

Bratislava/Perth, 28. August 2026. Die beiden Vorgänge haben auf den ersten Blick wenig miteinander zu tun. In der Slowakei geht es um Radarkameras und mögliche Fernzugriffe auf staatlich genutzte Technik. In Australien dagegen um einen mutmaßlichen Supply-Chain-Angriff über Open-Source-Software. Gemeinsam ist beiden Fällen, dass nicht das sichtbare Endgerät im Mittelpunkt steht, sondern die digitale Lieferkette dahinter.

Genau dort entstehen Risiken, die sich nur schwer erkennen lassen: in Firmware, Softwarebibliotheken, Kommunikationsschnittstellen oder Komponenten, deren Herkunft und Funktionen nicht vollständig dokumentiert sind. Für Behörden und Unternehmen wird damit zunehmend entscheidend, nicht nur zu wissen, was ein System leisten soll, sondern auch, wie es aufgebaut ist und mit wem es kommunizieren kann.

Sicherheitslücken bei Radarkameras in der Slowakei

Im slowakischen Fall geht es nicht allgemein um Radarfallen, sondern um konkrete vernetzte Geschwindigkeitsmessgeräte. Das Nationale Sicherheitsamt NBÚ untersuchte unter anderem ein Modell vom Typ NERO R-ONE und bewertete die festgestellten Schwachstellen als erhebliches Cybersicherheitsrisiko.

Nach Angaben des slowakischen öffentlich-rechtlichen Senders STVR, der sich auf die Sicherheitsbehörde beruft, stießen die Prüfer auf Auffälligkeiten bei Kommunikationsschnittstellen, Fernzugriffsmöglichkeiten und der Absicherung der eingesetzten Software. Auch die Herkunft zentraler Hard- und Softwarebestandteile war Gegenstand der Untersuchung.

Das ist sicherheitsrelevant, weil moderne Geschwindigkeitsmessgeräte längst keine isolierten Kameras mehr sind. Sie verarbeiten Daten, können Bilder übertragen und sind je nach Aufbau in größere technische Systeme eingebunden. Jede zusätzliche Schnittstelle erhöht den Aufwand, solche Geräte gegen unbefugte Zugriffe abzusichern.

Zwei Geräte mussten aus dem Testbetrieb

Das slowakische Innenministerium hatte bereits vor Veröffentlichung der detaillierten technischen Analyse reagiert. Am 10. August ordnete es an, zwei Geräte aus dem Testbetrieb entfernen zu lassen. Als Grund nannte das Ministerium unter anderem, dass die Herkunft der Geräte und wesentlicher Komponenten nicht ausreichend nachgewiesen worden sei.

Die Dimension des gesamten Projekts ist größer. In Medienberichten ist von 279 vorgesehenen Geräten die Rede. Daraus lässt sich jedoch nicht ableiten, dass 279 unsichere Radarkameras bereits im regulären Straßenverkehr eingesetzt wurden. Belastbar belegt ist lediglich, dass zwei Geräte konkret im Testbetrieb waren und anschließend entfernt werden sollten.

Diese Unterscheidung ist wichtig. Die Sicherheitsprüfung betrifft eine technische Produktfamilie und deren mögliche Risiken. Sie ist kein Nachweis dafür, dass ein flächendeckendes System bereits kompromittiert war.

Russische Telefonnummern und offene Kommunikationswege

Besonders auffällig sind technische Details, die aus der Analyse bekannt wurden. In einem untersuchten NERO-R-ONE-Gerät sollen zwölf russische Telefonnummern vorkonfiguriert gewesen sein. Zudem wurden Mobilfunk- und WLAN-Funktionen sowie ein unzureichend geschützter Videostream beschrieben.

Das Gerät soll technisch eng mit dem russischen Geschwindigkeitsmesssystem CORDON PRO.M verwandt sein. Für die Sicherheitsbewertung spielte diese Verbindung ebenso eine Rolle wie die Frage, welche Kommunikationsmöglichkeiten tatsächlich vorhanden sind und ob sie aus der Dokumentation eindeutig hervorgehen.

Ein Missverständnis gilt es dennoch zu vermeiden: Eine vorhandene Fernzugriffsmöglichkeit ist noch kein Beleg für einen erfolgten Angriff. Nach dem derzeitigen Recherchestand gibt es keinen belastbaren Nachweis, dass russische Stellen tatsächlich auf die slowakischen Systeme zugegriffen oder Daten abgegriffen haben. Belegt sind Sicherheitslücken und technische Risiken, nicht deren konkrete Ausnutzung.

TeamPCP: Zwei Männer in Australien festgenommen

Der zweite Fall führt nach Westaustralien. Dort nahm die Australian Federal Police am 26. August gemeinsam mit der Polizei von Western Australia und mit Unterstützung des FBI zwei Männer im Alter von 21 und 23 Jahren fest.

Die Ermittler rechnen die Beschuldigten der Cybercrime-Gruppe TeamPCP zu. Nach Angaben der Australian Federal Police werden ihnen zusammen 14 Straftaten vorgeworfen. Im Zentrum steht der Verdacht, dass manipulierte Softwarekomponenten genutzt wurden, um Schadcode in Systeme Dritter einzuschleusen.

Der mutmaßliche Angriffsweg ist für die Cybersicherheit besonders brisant. Statt jedes Opfer einzeln anzugreifen, soll Schadcode in Software eingebracht worden sein, die anschließend von anderen Entwicklern weiterverwendet wurde. Genau das macht einen Supply-Chain-Angriff so gefährlich: Eine einzige manipulierte Komponente kann sich über zahlreiche nachgelagerte Systeme verbreiten.

Mehr als 1.000 Organisationen könnten betroffen sein

Die australischen Ermittler gehen davon aus, dass weltweit mehr als 1.000 Organisationen betroffen sein könnten. Zudem sprechen sie von mehr als 500.000 möglicherweise entwendeten Zugangsdaten und mindestens 300 Gigabyte abgeflossenen Daten.

Diese Zahlen stammen aus den laufenden Ermittlungen und sind noch keine gerichtlichen Feststellungen. Gleiches gilt für die finanziellen Schäden. Die Australian Federal Police schätzt die weltweiten Kosten für Bereinigung und Wiederherstellung auf Hunderte Millionen Dollar. Dabei geht es nicht um nachgewiesene Beute, sondern um Folgekosten der mutmaßlichen Angriffe.

Die Ermittlungen laufen nach Behördenangaben seit April 2026. Informationen mehrerer Cybersecurity-Unternehmen sollen den Behörden dabei geholfen haben, die mutmaßlichen Strukturen und Angriffswege nachzuvollziehen. Weitere Festnahmen oder Anklagen schließen die Ermittler ausdrücklich nicht aus.

US-Justiz erhebt zusätzliche Vorwürfe

Gegen den 21-jährigen Ruben Ian Thomson liegt inzwischen zusätzlich eine US-Bundesanklage vor. Das US-Justizministerium wirft ihm unter anderem Verschwörung zu Computerstraftaten sowie die unbefugte Beschaffung von Informationen aus geschützten Computersystemen vor.

Die Anklage wurde am 25. August eingereicht und nach seiner Festnahme öffentlich gemacht. Eine Verurteilung gibt es bislang nicht. Für Thomson und den zweiten Beschuldigten gilt weiterhin die Unschuldsvermutung.

Digitale Lieferketten werden zum Sicherheitsrisiko

Technisch und juristisch sind die beiden Fälle unterschiedlich. Bei den slowakischen Radarkameras geht es um Schwachstellen in staatlich genutzter oder vorgesehener Infrastruktur. Im Fall TeamPCP ermitteln Behörden wegen mutmaßlich gezielter Manipulationen innerhalb einer Software-Lieferkette.

Der gemeinsame Nenner ist dennoch klar: Moderne IT-Systeme bestehen fast nie aus einer einzigen, vollständig kontrollierten Komponente. Behörden und Unternehmen greifen auf Hardware, Firmware, Open-Source-Software, Bibliotheken und Dienste externer Anbieter zurück. Jede dieser Ebenen kann zum Einfallstor werden.

Das verändert auch die Anforderungen an Cybersicherheit. Es reicht nicht mehr aus, ein fertiges Gerät oder Programm auf offensichtliche Fehler zu prüfen. Entscheidend wird die gesamte Lieferkette: Herkunft von Komponenten, Updatewege, Fernzugriffe, Berechtigungen, Schnittstellen und Abhängigkeiten.

Gerade staatliche Infrastruktur steht dabei unter besonderem Druck. Ein Gerät kann technisch funktionieren und dennoch Sicherheitsrisiken bergen, wenn unklar ist, welche Software darin läuft oder welche Verbindungen nach außen möglich sind.

Vertrauen allein reicht nicht mehr

Die Fälle aus der Slowakei und Australien zeigen zwei Seiten derselben Entwicklung. Bei den Radarkameras musste erst im Nachhinein geklärt werden, welche Funktionen und Herkunftsbezüge tatsächlich vorhanden sind. Bei TeamPCP wiederum sollen mutmaßliche Angreifer gerade das Vertrauen in weiterverwendete Open-Source-Komponenten ausgenutzt haben.

Noch sind zentrale Fragen offen. In der Slowakei ist nicht abschließend geklärt, wie viele Geräte des größeren Beschaffungsprojekts tatsächlich ausgeliefert oder eingesetzt wurden. Im Verfahren gegen die mutmaßlichen TeamPCP-Mitglieder müssen Gerichte erst prüfen, welche Vorwürfe sich beweisen lassen.

Fest steht aber bereits jetzt: Digitale Lieferketten sind selbst zu einem sicherheitskritischen Faktor geworden. Wer Technik beschafft oder Software übernimmt, übernimmt damit auch Risiken aus Komponenten, die häufig außerhalb der eigenen Kontrolle entwickelt, gepflegt oder konfiguriert werden.