Sicherheitslücken in der Meari-Plattform betreffen Kameras von mehr als 300 Marken

Wer eine vernetzte Kamera kauft, sieht auf der Verpackung ein Markenlogo. Dahinter kann eine Plattform stecken, die Hunderttausende Geräte verschiedener Anbieter verwaltet. Genau dort setzen die Schwachstellen an, die der Sicherheitsforscher Sammy Azdoufal am 11. Mai 2026 veröffentlicht hat. Sein Bericht nennt fünf Lücken in der Plattform des chinesischen Auftragsherstellers Meari Technology. Das Sicherheitsunternehmen runZero koordinierte die Kennungen und veröffentlichte am selben Tag eigene Advisories. Danach laufen auf dieser Plattform konservativ geschätzt 1,1 Millionen registrierte Geräte in mehr als 118 Ländern, darunter Babyphone-Kameras, Überwachungskameras und Türklingeln.

Eine Plattform versorgt mehr als 300 Marken

Der Hersteller aus Hangzhou tritt selten unter eigenem Namen auf. Meari entwickelt nach Angaben des Berichts Kamera, Firmware, Cloud und App als Gesamtpaket und liefert es an Marken, die ihr eigenes Logo auf die Verpackung setzen. Als hauseigene Verbrauchermarke nennt der Bericht CloudEdge. Nach Angaben von Azdoufal nutzen mehr als 300 Partnermarken dasselbe Backend, darunter Arenti, BOIFUN, PetTec und Luvion. Eine Kamera mit bekanntem Markennamen kann also dieselbe Cloud nutzen wie ein günstiges Modell ohne Markenaufdruck.

Die Größenordnung leitet der Forscher aus zwei internen Datenbeständen ab, die er während der Prüfung einsehen konnte. Eine Tabelle mit Gerätestandorten umfasste laut dem Bericht 825.194 Zeilen, eine Lizenztabelle auf dem US-Backend 1.160.795 Zeilen. Für Käufer bleibt diese gemeinsame Basis unsichtbar. Die Verpackung nennt die Marke, nicht die Plattform, mit der die Kamera spricht. Wer zu einer anderen Marke greift, wechselt deshalb nicht zwangsläufig die Infrastruktur dahinter, und kann allein am Namen nicht ablesen, welche Sicherheitsmaßnahmen hinter einem Gerät stehen.

Fremde Konten erhielten Meldungen anderer Geräte

Der schwerwiegendste Befund betrifft den Nachrichtenkanal zwischen Kamera und App. Die Plattform nutzt dafür das Nachrichtenprotokoll für vernetzte Geräte (MQTT), bei dem ein zentraler Vermittler Meldungen an Abonnenten verteilt. Nach Angaben von runZero fehlte diesem Vermittler eine Zugriffskontrolle je Gerät. Jedes Konto mit niedrigen Rechten konnte ein Platzhalter-Thema abonnieren und erhielt daraufhin Meldungen von Geräten, die ihm nicht gehörten.

Die Menge ließ sich messen. Ein einzelner regionaler Vermittler lieferte laut dem Bericht vom 11. Mai 2026 in fünf Minuten 14.204 Meldungen von 2.117 verschiedenen Geräten, mit Länderkennungen aus über 85 Staaten. Enthalten waren Bewegungsalarme mit Bildadressen, Einrichtungsereignisse mit Nutzerkonten und Freigabeereignisse mit Zugangsschlüsseln. Ein Passwort auf dem eigenen Konto schützte davor nicht, weil der Vermittler die Meldungen an jeden Abonnenten weitergab.

Eine zweite Lücke ergänzte die erste. Nach Angaben von runZero gab eine Programmierschnittstelle zu jeder Seriennummer die öffentliche Internetprotokoll-Adresse (IP) des Geräts heraus, ohne dass ein Nutzerkonto nötig war. Damit ließen sich Kamerastandorte bis auf Stadtebene zuordnen. Der Bericht nennt 13.734 so aufgelöste Geräte.

Alarmbilder lagen ohne Schutz im Cloud-Speicher

Die Bilder der Bewegungsalarme waren offen abrufbar. Laut dem Bericht lud die Plattform Schnappschüsse in öffentliche Speicherbereiche eines Cloud-Anbieters, ohne Signatur, ohne Zugangstoken und ohne Ablaufdatum. Die Adresse jedes Bildes stand im Klartext in der Meldung, die jeder Abonnent mitlesen konnte. Eine 72 Sekunden lange Aufzeichnung ergab nach Angaben des Forschers 51 Bildadressen von 29 Kameras. Eine interne Tabelle listete 39.514 unverschlüsselte Alarmbilder von 9.809 Geräten. Für ein Kinderzimmer wiegt das schwer, weil die Aufnahmen aus dem privaten Wohnbereich stammen.

Bei den Babyphone-Modellen kam eine vermeintliche Verschlüsselung hinzu. Laut dem Bericht waren nur die ersten 1.024 Bytes jedes Bildes mit einem Schlüssel verrechnet, der sich aus der Seriennummer ableiten ließ. Die Seriennummer stand in derselben Meldung wie die Bildadresse. Nach Angaben von runZero steckten außerdem in jeder App der Plattform dieselben festen kryptografischen Schlüssel, die sich ohne Neuinstallation der Firmware auf allen Geräten nicht austauschen lassen. Ein Transfer, der verschlüsselt wirkt, schützt damit nicht zwangsläufig.

Kennungen, Bewertungen und der Ablauf der Meldung

Die Befunde tragen amtliche Kennungen. Jede Lücke erhielt eine Nummer im internationalen Verzeichnis für Sicherheitslücken (CVE) und eine Bewertung nach dem Common Vulnerability Scoring System (CVSS), einer Skala von null bis zehn. Nach Angaben von runZero wurde der Fall am 3. April 2026 unter der Vorgangsnummer 579666 bei der US-Behörde für Cybersicherheit (CISA) zur Nachverfolgung angelegt.

Der Bericht des Forschers und die Advisories von runZero vom 11. Mai 2026 listen fünf Schwachstellen mit ihrer jeweiligen Bewertung auf. Fehlende Zugriffskontrolle je Gerät im Nachrichtenkanal trägt die Nummer CVE-2026-33356 und die Bewertung 7,7. Die Herausgabe der IP-Adresse zu jeder Seriennummer über eine Schnittstelle läuft als CVE-2026-33357 mit 7,5. Alarmbilder ohne Zugriffsschutz und ohne Ablaufdatum im Cloud-Speicher stehen als CVE-2026-33359 mit 7,5 in der Liste, die schwache Verschleierung der Babyphone-Bilder als CVE-2026-33361 mit 7,5. Fest hinterlegte kryptografische Schlüssel in den Apps fasst CVE-2026-33362 mit der höchsten Bewertung von 8,6 zusammen.

Der Ablauf zog sich über Wochen. Laut dem Bericht begann die Prüfung am 2. März 2026, der Hersteller antwortete auf Kontaktversuche erstmals am 11. März 2026. Eine Vereinbarung über die Offenlegung wurde nach Angaben des Forschers am 28. April 2026 unterzeichnet, die Veröffentlichung folgte am 11. Mai 2026. Zwei ursprünglich gemeldete Befunde strich der Forscher nach einer erneuten Prüfung aus dem Bericht, weil sie sich nicht mehr bestätigen ließen.

Alexander Weipprecht, Geschäftsführer der Provimedia GmbH, sagt zu dem Fall: „Eine Kamera im Kinderzimmer ist ein Versprechen, dass nur die Eltern hinsehen. Dieses Versprechen wird nicht auf der Verpackung gehalten, sondern auf einem Server, dessen Namen die Käufer nie gehört haben. Wer die Marke wechselt, wechselt hier nicht die Plattform, und genau das macht den Fall größer als jeden einzelnen Hersteller.“

Wie Betroffene die Plattform erkennen

Ein Firmware-Update auf der Kamera behebt die zentralen Punkte nicht. Nach Darstellung des Forschers liegen die Lücken im Nachrichtenkanal und im Bildspeicher auf der Plattformseite, nur der Betreiber kann sie dort schließen. Betroffene erkennen die Plattform laut dem Bericht daran, mit welchem Server ihre Kamera-App kommuniziert. Die Marke auf der Verpackung ist dafür kein Anhaltspunkt.

Was im Alltag hilft und was nicht

Für den Alltag empfiehlt der Bericht, die Kamera vom Strom zu trennen, wenn sie nicht gebraucht wird. Ein Passwort auf dem eigenen Konto verhindert fremde Anmeldungen, aber nicht die Weitergabe von Ereignismeldungen durch den Vermittler. Bereits hochgeladene Alarmbilder lassen sich nach Angaben des Forschers vom Kunden nicht löschen, über die Aufbewahrung entscheidet der Betreiber. Wer ein Babyphone ohne Cloud-Anbindung sucht, kann auf Modelle mit Frequenzsprungverfahren (FHSS) statt App-Anbindung zurückgreifen, deren technische Unterschiede der Bericht als Alternative beschreibt.

Offene Fragen zum Stand nach der Veröffentlichung

Der Bericht vom Mai 2026 beschreibt den Stand zum Zeitpunkt der Veröffentlichung. Ob und welche Lücken der Hersteller seither auf der Plattform geschlossen hat, ist in den öffentlichen Advisories nicht dokumentiert. Für Eltern bleibt damit die Frage, ob eine Kamera im Kinderzimmer überhaupt eine Cloud braucht oder ob eine Verbindung ohne Server im Haus genügt.