ZBT-Router weltweit mit Backdoors ausgeliefert
Was passiert
Sicherheitsforscher von VulnCheck haben zwei bislang undokumentierte Backdoors in der Firmware von Routern des chinesischen OEM-Herstellers Shenzhen Zhibotong Electronics (ZBT) identifiziert. Laut The Hacker News ermöglichen beide Implants es unauthentifizierten Fernattackern, Root-Zugriff auf die betroffenen Geräte zu erlangen – ohne dass eine Authentifizierung erforderlich ist. Die Backdoors sind werksseitig in der Firmware integriert und betreffen eine unbekannte Anzahl von Routern, die unter verschiedenen Markennamen und als White-Label-Produkte weltweit vertrieben werden.
Heise Security berichtet, dass es sich um OEM-Router handelt, die von zahlreichen Anbietern unter eigenem Brand verkauft werden. Dies macht die genaue Anzahl betroffener Systeme schwer zu beziffern. Die Backdoors wurden nicht durch externe Sicherheitslücken, sondern absichtlich in den Produktionsprozess eingebaut. Wie Dark Reading dokumentiert, verfügen die Router über mehrere solcher Implants, die es Angreifern ermöglichen, Kontrolle über Netzwerkverbindungen zu erlangen, Datenverkehr abzufangen oder Malware einzuschleusen. Die genauen Versionen und Modellnummern sind in den Quellen nicht vollständig genannt, was darauf hindeutet, dass weitere Modelle betroffen sein könnten und Hersteller noch nicht alle betroffenen Varianten öffentlich gemacht haben.
Die Entdeckung wirft Fragen über Qualitätskontrolle und Sicherheitsstandards in der globalen Lieferkette für Netzwerkgeräte auf. OEM-Router sind ein etabliertes Geschäftsmodell, bei dem ein Hersteller die Hardware produziert und andere Unternehmen diese unter eigenem Label vermarkten – häufig ohne tiefere Kontrolle der eingespeicherten Firmware. Sicherheitsforscher vermuten, dass die Backdoors bereits seit mehreren Jahren in den Systemen vorhanden sind, da die implants als "factory implants" klassifiziert werden.
Warum für DACH relevant
Im deutschsprachigen Raum sind solche OEM-Router weit verbreitet – nicht nur bei Privatanwendern, sondern auch in klein- und mittelständischen Unternehmen sowie in kritischen Infrastrukturen. Deutsche und österreichische ISPs, Telekommunikationsunternehmen und Reseller beziehen häufig günstige Router von asiatischen OEM-Herstellern und verkaufen diese unter eigenem Branding. Viele Betriebe in der Schweiz, Deutschland und Österreich nutzen solche Geräte für ihre Netzwerk-Peripherie, ohne die Herkunft oder die Sicherheitsgeschichte gründlich zu überprüfen.
Aus Compliance-Perspektive hat dies erhebliche Auswirkungen: Die DSGVO verpflichtet Unternehmen, angemessene technische und organisatorische Maßnahmen zu treffen, um personenbezogene Daten zu schützen. Ein kompromittierter Router, der Backdoor-Zugriff auf das Netzwerk ermöglicht, verstößt direkt gegen diese Anforderung. Betreiber kritischer Infrastrukturen – etwa Wasser-, Energie- oder Gesundheitssektor – müssen gemäß NIS2-Richtlinie (in Deutschland via NIS2-Umsetzungsgesetz) ihre Netzwerkgeräte kontinuierlich überwachen und validieren. Ein werksseitig eingebauter Backdoor kann dies unmöglich machen.
Die Situation verschärft sich durch die EU-KI-Verordnung: Wenn KI-gestützte Überwachungssysteme auf kompromittierten Routern laufen, ist die Integrität der gesamten Sicherheitsinfrastruktur gefährdet. Für Pentesting-Labs und Security-Teams im DACH-Raum bedeutet dies, dass sie auch OEM-Hardware kritisch hinterfragen und Firmware-Audits in ihre Sicherheitsassessments aufnehmen müssen – besonders bei KI-Pentesting-Szenarien, wo vernetzte Geräte als Angriffsvektoren dienen können.
Darüber hinaus könnten solche Backdoors für gezielte Industriespionage genutzt werden. Deutsche Maschinenbauer und Fertigungsbetriebe, die ihre Netzwerke über solche Router absichern, könnten zum Ziel von staatlichen oder kommerziellen Hackern werden. Das BSI hat wiederholt vor Supply-Chain-Angriffen gewarnt und fordert Unternehmen auf, ihre Lieferketten kritisch zu überprüfen.
Was du jetzt tun/wissen solltest
Das zentrale Handlungsgebot lautet: Inventarisierung und Herkunftsvalidierung aller Netzwerkgeräte im Unternehmen. Viele Organisationen wissen nicht, wo ihre Router hergestellt werden oder welche Firmware-Version sie nutzen. Ein konkreter erster Schritt ist, den IT-Bestand zu durchsuchen – nicht nur nach bekannten Markennamen, sondern nach den echten Herstellerangaben und Firmware-Versionsnummern. Herstellerangaben finden sich meist über Telnet oder SSH-Zugriff oder im Web-Interface des Routers. Parallel sollten Sicherheitsteams überprüfen, ob ihre Monitoring-Systeme überhaupt in der Lage sind, verdächtige Aktivitäten auf Routern zu erkennen – viele Standard-Überwachungstools verlassen sich auf Gerätegeräte-Meldungen, die von kompromittierten Geräten manipuliert werden können. Für kritische Infrastrukturen und regulierte Branchen ist zudem eine Firmware-Prüfung durch spezialisierte Sicherheitsunternehmen ratsam. Besonders wichtig: Aktualisierungen von ZBT-kompatiblen Routern sollten bis zur Klärung der Backdoor-Situation zumindest bei nicht-kritischen Geräten pausiert werden, um zu vermeiden, dass eine bereits sichere alternative Firmware durch eine kompromittierte Original-Firmware ersetzt wird. Die Analyse von IoT-Bedrohungen bei kritischer Infrastruktur zeigt, wie schnell solche Lücken auch für Botnet-Rekrutierung missbraucht werden.