Zum Abschluss unserer Cybersecurity-Berichterstattung für Januar 2026 hier bei Kokobo müssen wir den bedrohlichsten Trend bei Schwachstellen in Smart Devices ansprechen: die Kompromittierung der Lieferkette. Das traditionelle Bedrohungsmodell geht davon aus, dass ein Gerät sicher ist, bis ein Benutzer es mit einem unsicheren Netzwerk verbindet oder eine Schwachstelle nicht behebt. Im Jahr 2026 haben wir es mit Geräten zu tun, die bereits aktiv bösartig sind, bevor der Verbraucher überhaupt die Verpackung öffnet.
Das BadBox-2.0-Phänomen
In diesem Monat haben Forscher die Existenz von BadBox 2.0 offengelegt, wohl das größte bekannte Botnetz, das vollständig aus Geräten besteht, die bereits auf Werksebene kompromittiert wurden. Mehr als 10 Millionen Smart-TVs, digitale Projektoren, In-Car-Infotainment-Systeme und digitale Bilderrahmen wurden als infiziert identifiziert.
Die Malware wurde während des Herstellungs- und Montageprozesses tief in der Lieferkette auf der Android-basierten Firmware vorinstalliert. Sobald ein Verbraucher das Gerät gekauft, angeschlossen und mit seinem Heim- oder Unternehmens-WLAN verbunden hatte, meldete sich das Gerät unauffällig bei einem Command-and-Control-Server. Anschließend wurde es in ein globales Botnetz eingebunden, das für massive Click-Fraud-Operationen, Residential-Proxy-Dienste und Account-Hijacking genutzt wird.
Da die Infektion auf Firmware-Ebene sitzt, bewirken standardmäßige Werksrücksetzungen nichts. Es ist eine deutliche Erinnerung daran, dass Organisationen und Verbraucher nicht länger davon ausgehen können, dass ein Gerät sauber ist, nur weil es aus einer versiegelten Verpackung kommt.
Cloud-Fehlkonfigurationen, die Telemetriedaten offenlegen
Schwachstellen in den Geräten selbst sind nur die halbe Problematik; die sie unterstützende Cloud-Infrastruktur erweist sich als ebenso anfällig. Bei einem massiven kürzlichen Datenleck führte eine schwerwiegende Cloud-Fehlkonfiguration bei Mars Hydro – einem beliebten Hersteller von intelligenten Pflanzenlampen und Umwelt-IoT-Sensoren – dazu, dass eine ungeschützte Datenbank dem öffentlichen Internet ausgesetzt war.
| Kompromittierter Datentyp | Risikostufe | Auswirkungen auf Verbraucher/Unternehmen |
| Gerätetelemetrie | Moderat | Offenbart Betriebsmuster, Nutzungszeiten und Gerätestatus. |
| Präzise Geolokalisierung | Hoch | Legt exakte physische Adressen von Installationen offen. |
| WLAN-Zugangsdaten im Klartext | Kritisch | Ermöglicht direkten Zugriff auf das lokale Netzwerk ohne Brute-Force-Angriffe auf den Perimeter. |
Die Datenbank enthielt über 2,7 Milliarden Datensätze und leakte hochsensible Gerätetelemetrie, präzise Geolokalisierungsdaten, Benutzer-IP-Adressen und vor allem WLAN-Netzwerknamen und -Passwörter im Klartext. Wenn Bedrohungsakteure einfach eine Datenbank mit WLAN-Zugangsdaten im Klartext für Millionen von Smart-Home- und Unternehmensnutzern herunterladen können, entfällt die Notwendigkeit, einen Netzwerkperimeter per Brute-Force anzugreifen, vollständig.
Die Epidemie der Standard-Zugangsdaten setzt sich fort
Trotz jahrelanger Warnungen und der bevorstehenden Durchsetzung von Gesetzen wie dem EU CRA treiben grundlegende Schwachstellen weiterhin einen massiven Anstieg von IoT-Malware voran. Bedrohungsakteure nutzen automatisierte Skripte und Tools, um kontinuierlich IP-Bereiche von Cloud-Anbietern nach Geräten zu scannen, die noch Standard-Zugangsdaten verwenden oder auf älterer, ungepatchter Firmware basieren.
Während wir durch das Jahr 2026 voranschreiten, wird die Kluft zwischen sicheren und unsicheren Netzwerken vollständig durch Sichtbarkeit definiert. Post-Deployment-Netzwerküberwachung ist nun die einzige zuverlässige Verteidigung gegen Supply-Chain-Angriffe wie BadBox 2.0. Wenn Sie die ausgehende Telemetrie der Geräte in Ihrem Netzwerk nicht analysieren können, müssen Sie davon ausgehen, dass diese bereits kompromittiert sind.