Chinesische Komponenten steckten in den Kameras einer Marinedrohne der Royal Navy und funkten monatelang nach China. Auf dem Papier galten die Bauteile als geprüft und sauber. Genau dieselbe Plattform baut Rheinmetall inzwischen in Hamburg in Serie.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Fremdbauteile in westlicher Militärhardware sind kein neues Thema, doch selten wird der Mechanismus so greifbar. Britische Medien berichten von Kameras auf einer Marinedrohne, die unbemerkt nach China funkten. Der Fall trifft den DACH-Raum direkter, als es die englische Schlagzeile vermuten lässt.
Das Wichtigste in Kürze
- Kameras auf dem Kraken K3 Scout der Royal Navy sendeten Statusmeldungen an eine IP-Adresse in China, entdeckt bei einer routinemäßigen Sicherheitsprüfung.
- Die Bauteile waren als NDAA-konform deklariert, enthielten aber chinesische Komponenten.
- Das britische Verteidigungsministerium kappte die Internetverbindung der Kameras und meldet keine Übertragung sensibler Daten.
- Rheinmetall fertigt dieselbe Drohne seit April 2026 am Standort Blohm+Voss in Hamburg, zunächst rund 200 Stück im Jahr.
Was funkte da nach China?
Der Kraken K3 Scout ist eine 8,4 Meter lange unbemannte Überwasserdrohne, bis zu 55 Knoten schnell und seit März 2025 bei den Royal Marines im Einsatz. Bei einer routinemäßigen Schwachstellenanalyse fiel auf, dass die verbauten Kameras regelmäßig Statusmeldungen an eine chinesische IP-Adresse schickten. Solche Heartbeat-Signale melden im Normalfall nur, dass ein Gerät im Netz erreichbar ist.
Das Problem sitzt tiefer. Die Kameras trugen ein NDAA-Zertifikat, das genau solche chinesischen Bauteile ausschließen soll. Ein Papierzertifikat prüft aber die Selbstauskunft des Herstellers, nicht die tatsächlich verlötete Elektronik. Anonyme Quellen berichten zudem, die Kameras könnten aktiv bleiben, selbst wenn die Drohne abgeschaltet ist.
Warum ist das ein DACH-Problem?
Der Vorfall reiht sich in ein Muster ein. Die USA blockieren über die FCC serienweise chinesische Geräte, zuletzt sogar Saugroboter mit Kamera und Funkmodul. Kameras von Hikvision und Dahua sind in Teilen der EU-Verwaltung längst verbannt.
Neu ist die DACH-Nähe. Rheinmetall fertigt den K3 Scout seit April 2026 gemeinsam mit Kraken am Standort Blohm+Voss in Hamburg, zunächst rund 200 Einheiten pro Jahr, skalierbar auf bis zu 1.000.[1] Ob die deutschen Boote dieselben Kameras nutzen, ist offen. Für Beschaffer zählt die NIS2-Richtlinie, die ein Lieferketten-Risikomanagement verlangt, kein pauschales Herkunftsverbot. Genau diese Prüfung des Datenverkehrs leisten Ansätze wie das gemeinsame Edge-Gateway von secunet und Securepoint oder die IIoT-Härtung bei Krones.
Ein Zertifikat auf Papier beschreibt die behauptete Lieferkette, nicht die Bauteile, die tatsächlich funken. Für die Beschaffung vernetzter Hardware im DACH-Raum zählt künftig der gemessene Datenverkehr, nicht das Siegel.
— Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Beschaffer jetzt prüfen?
Verlassen Sie sich nicht auf Selbstauskünfte. Eine Stückliste auf Komponentenebene, inklusive Firmware und Funkmodulen, deckt auf, was ein NDAA-Siegel nur behauptet. Der zweite Hebel ist das Netz: Der britische Fall flog nur auf, weil jemand den ausgehenden Datenverkehr überwachte.
Segmentieren Sie vernetzte Hardware und protokollieren Sie jede Verbindung ins Ausland. OT-Geräte gehören vom Internet getrennt, wo der Betrieb es erlaubt. Für kritische Infrastrukturen macht NIS2 dieses Lieferketten-Risikomanagement ohnehin zur Pflicht. Ein Gerät, das nach dem Abschalten weiterfunkt, gehört vor dem Kauf getestet, nicht nach dem Vorfall.
Quelle
[1] Rheinmetall: „Rheinmetall at Eurosatory showcases Kraken K3 Scout unmanned surface vessel“
Mehr Newshunger?
- Metabase-Sicherheitslücke: Angreifer stehlen Kundendaten über die Analyse-Plattform
- CSS-Keylogger im Postfach: Wie eine E-Mail Passwörter mitschreibt
- Insider-Datendiebstahl: Wie ein NetEase-Prüfer 171 ruhende Konten ausräumte
- TeamCity-Lücke: Angreifer übernehmen den Build-Server ohne Zugangsdaten
- Kritische Cyberfähigkeiten: OpenAI stoppt Teile der Astra-Entwicklung
