Maxvision-Überwachungssystem in Usbekistan offen im Netz

Eine offene Datenbank gewährte Zugriff auf Live-Kamerastreams und Bewegungsprofile. Die Regierung spricht von einem Test, Experten sehen grobe Fahrlässigkeit.

Eine riesige Datenpanne im usbekischen Verkehrsüberwachungssystem legt sensible Kamera-Feeds offen – die Regierung spricht von einem “Test”. Ein globaler Warnschuss für staatliche Überwachungsnetze.

Taschkent – Ein massiver Sicherheitsvorfall erschüttert Usbekistans digitale Infrastruktur und wirft grundlegende Fragen zur Sicherheit staatlicher Überwachungssysteme auf. Sicherheitsforscher entdeckten eine ungeschützte Datenbank mit Live-Zugriff auf Dutzende hochauflösende Verkehrskameras. Sie konnten so auf Millionen Aufnahmen, 4K-Videostreams und präzise Standortdaten zugreifen. Die Regierung dementiert einen echten Datenleck und bezeichnet das System als abgeschottete Testumgebung. Doch Experten schlagen Alarm: Der Vorfall zeigt die gravierenden Schwachstellen vernetzter Überwachungstechnik.

Ungeschützte Kameras streamen Live-Bilder ins Netz

Der Sicherheitsforscher Anurag Sen stieß auf die offene Datenbank des “intelligenten Verkehrsmanagementsystems”. Etwa 100 Kameras, die unter anderem Kennzeichen erfassen, waren betroffen. Sie stehen in Großstädten wie Jizzakh und Namangan sowie an sensiblen Grenzabschnitten.

Anders als normale Blitzer zeichneten diese Kameras laut Analyse durchgehend hochauflösendes Videomaterial auf. Sie speicherten nicht nur Verstöße, sondern ermöglichten die Echtzeit-Identifizierung von Fahrern und Insassen. Die Technik stammt vom chinesischen Anbieter Maxvision und dem Unternehmen Holowits aus Singapur. Das System, das erst Mitte 2025 installiert wurde, sollte hermetisch abgeriegelt sein. Stattdessen fand sich die Steuerungsoberfläche ohne Passwortschutz im öffentlichen Internet.

Passend zum Thema: Staatliche Überwachungsnetze und vernetzte IoT‑Geräte schaffen enorme Angriffsflächen, wenn Sicherheitsstandards fehlen. Ein kostenloses E‑Book fasst aktuelle Cyber‑Security‑Trends zusammen, zeigt typische Angriffsvektoren und liefert sofort umsetzbare Maßnahmen wie Zero‑Trust‑Prinzipien und Lieferketten‑Härtung — ideal für IT‑Verantwortliche und Entscheider, die ihre Systeme schnell stärker absichern wollen. Jetzt kostenlosen Cyber-Security-Guide herunterladen

Besonders brisant: Die Daten erlaubten die minutiöse Rekonstruktion von Bewegungsprofilen. Forscher verfolgten beispielhaft die Fahrten eines Autos zwischen Taschkent und umliegenden Orten über ein halbes Jahr – und erhielten so ein detailliertes Bild des Alltags.

Regierung beharrt auf “Testumgebung”-These

Das usbekische Innenministerium und der Verkehrssicherheitsdienst wiesen die Vorwürfe umgehend zurück. Oberstleutnant Sukhrob Tursunov, Leiter der zentralen IT-Abteilung, erklärte, es handele sich um eine “Sandbox”. Dieser isolierte Server diene nur zum Testen neuer Kameras und zum Kalibrieren von Algorithmen, etwa zur Gurtpflicht-Überwachung.

Laut offizieller Lesart handelte es sich bei den gefundenen Aufnahmen um “simuliertes Material”. Die sichtbaren Kennzeichen stellten keine personenbezogenen Daten dar. Der eigentliche Hauptserver für die Bußgeldbearbeitung operiere in einem “geschlossenen Netzwerk” ohne Internetzugang.

Doch die Schilderungen der Forscher passen kaum zum Bild einer begrenzten Simulation. Die Menge an hochwertigem, offenbar echtem Videomaterial widerspricht typischen Test-Szenarien. Kritiker monieren: Selbst wenn es sich um eine Testumgebung handelte, stellt das Speichern von Live-Daten ohne Sicherheitsvorkehrungen grobe Fahrlässigkeit dar.

Teil eines globalen Musters an Sicherheitslücken

Der Vorfall ist kein Einzelfall. Er reiht sich ein in eine Serie von Pannen bei vernetzten Überwachungssystemen weltweit. Erst Tage zuvor wurde bekannt, dass Dutzende Kennzeichenleser der US-Firma Flock öffentlich zugänglich waren.

Cybersicherheitsexperten sehen ein grundsätzliches Problem: Die Digitalisierung staatlicher Infrastruktur erfolgt oft schneller als die Implementierung robuster Sicherheitsstandards. Die Zentralisierung riesiger Mengen biometrischer und verhaltensbezogener Daten schafft enorme Angriffsflächen.

Der Fall wirft auch Fragen zur Sicherheit in der Lieferkette auf. Die Technik stammt von ausländischen Anbietern. Oft sind Geräte mit unsicheren Standardeinstellungen konfiguriert. Die Strategie der “Sicherheit durch Unbekanntheit” – also die Hoffnung, dass niemand die IP-Adresse findet – ist im Zeitalter automatischer Internetscans längst überholt.

Das Missbrauchspotenzial der offengelegten Daten ist immens. Neben der Verletzung der Privatsphäre ermöglichen die hochauflösenden Bilder das Erstellen von Gesichtserkennungsprofilen. Bewegungsmuster könnten für Stalking oder gezielte Diebstähle ausgenutzt werden.

Cyberkriminalität in Usbekistan auf dem Vormarsch

Die Panne fällt in eine Zeit stark steigender Cyberkriminalität in Usbekistan. Das Innenministerium verzeichnete in den letzten fünf Jahren einen elffachen Anstieg der gemeldeten Fälle. Die finanziellen Schäden liegen inzwischen im Bereich von Billionen Sum.

Die Regierung hat reagiert und ein digitales Labor sowie spezielle Ausbildungsprogramme zur Bekämpfung von Cybercrime eingerichtet. Tausende Phishing-Seiten wurden blockiert. Doch der aktuelle Vorfall wirft ein Schlaglicht auf ein Paradox: Während Angriffe von außen abgewehrt werden, scheint die Sicherheit der eigenen staatlichen Systeme vernachlässigt.

Folgen: Mehr Transparenz und “Security by Design” gefordert

Die Aufmerksamkeit richtet sich nun auf die unabhängige Überprüfung der “Sandbox”-Behauptung. Internationale Datenschutzorganisationen dürften eine transparente Überprüfung der usbekischen Überwachungsarchitektur fordern.

Für die Cybersicherheitsbranche ist der Vorfall ein Lehrstück über die Risiken des Internet der Dinge (IoT) im nationalen Maßstab. Er stärkt die Forderung nach strengeren Herstellerstandards. Überwachungsgeräte müssen “secure by design” sein – mit aktivierten Authentifizierungs- und Verschlüsselungsprotokollen ab Werk.

Zwar wurde der Zugang zum offenen Server nach dem TechCrunch-Bericht gesperrt. Doch die digitalen Spuren des Lecks bleiben. Die Empfehlung an Regierungen weltweit lautet: Abschied von rein perimeterbasierten Sicherheitsmodellen. Stattdessen sind “Zero Trust”-Architekturen nötig, die jeden Zugriff überprüfen – auch innerhalb des Netzwerks.

Das usbekische Innenministerium kündigte an, die Öffentlichkeit weiter über die Funktionsweise seiner Systeme aufklären zu wollen. Ob das das Vertrauen einer Bevölkerung zurückgewinnen kann, die sich ihres digitalen Fußabdrucks immer bewusster wird, muss sich erst zeigen.

PS: Solche Vorfälle verdeutlichen, wie schnell unsichere Systeme von automatischen Scannern gefunden werden. Ein gratis E‑Book erklärt kompakt, welche sofort umsetzbaren Schritte Behörden und Unternehmen ergreifen sollten — von Zero‑Trust‑Prüfungen über Lieferketten‑Kontrollen bis zu Notfall‑Checklisten zur Eindämmung von Lecks. Praktisch für IT‑Leiter und Entscheider, die Vertrauen wiederherstellen wollen. Gratis E‑Book zu Cyber-Security herunterladen