Verkehrsradare aus Russland: Wie sicher ist die Technik?

Verkehrsradare mit unbekanntem Fernzugang: Die Slowakei warnt vor drei Herstellern

Michael Dobler

Autor Dr. Web

23. August 2026

3 Min. Lesezeit

Verkehrsradare aus einer EU-finanzierten Ausschreibung enthalten mehr Technik, als die Dokumentation ausweist. Der slowakische Národný bezpečnostný úrad hat am 14. August 2026 förmlich vor drei Gerätefamilien gewarnt und darin vorkonfigurierte Fernzugriffe beschrieben, deren Einstellungen dem Betreiber verschlossen bleiben.^[1] Der Rollout über 279 Standorte liegt seither auf Eis.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Für den Befund genügte ein einziges Leihgerät. Die Behörde prüfte eine Musterkamera vom Typ NERO R-ONE und listet fünf Risikoklassen auf.

Das Wichtigste in Kürze

Die slowakische Cyberbehörde NBÚ warnt seit dem 14. August 2026 vor drei Marken: NERO R-ONE aus Zypern sowie zwei Cordon-Reihen von Simicon und NEROline.
Zu den Befunden zählen vorkonfigurierte Fernzugriffe, Kommunikationsschnittstellen abweichend von der Dokumentation und schwach geschützter Programmcode.
Das Innenministerium verwies zunächst auf ein geschlossenes Netz. Dann folgten Abschaltung, Baustopp und das Aus für den Lieferanten Soitron.
Deutsche Beschaffer hängen an § 30 Absatz 2 Nummer 4 BSIG und an § 41 BSIG zu kritischen Komponenten.

Warum schützt ein geschlossenes Netz das Radargerät nicht?

Ein grauer Telefonkasten mit geöffneter Tür und herunterhängendem Hörer vor weißem Hintergrund — Slowakisches Innenministerium sichert Geräte über isolierte Netzarchitektur ohne Drittenzugang, doch nur wenn alle Zugänge über dieses Netz führen

Ein Perimeter ohne Rand. Das slowakische Innenministerium begründete die Sicherheit mit der Netzarchitektur: Die Geräte hingen an einer geschlossenen, isolierten Infrastruktur ohne Zugang für Dritte. Dieses Argument hält nur, solange jeder Weg ins Gerät durch dieses Netz führt.

Der Kanal reist mit. Die NBÚ nennt einen Widerspruch zwischen dokumentierter und tatsächlicher Konfiguration der Kommunikationsschnittstellen sowie vorkonfigurierte Mechanismen für Fernzugriff und Fernverwaltung, deren Einstellungen dem Betreiber nicht vollständig offenstehen.^[1] Ein Messgerät mit eigenem Mobilfunkmodul bringt seinen Zugang selbst mit. Die Grenze verläuft dann am Gehäuse, nicht am Netzübergang.

Zwölf Rufnummern. Peter Bátor von der Oppositionspartei Progresívne Slovensko hat das NBÚ-Gutachten per Informationsfreiheitsgesuch erhalten. Danach stecken zwölf russische Rufnummern fest im Gerät, elf davon aus dem Raum Sankt Petersburg. Eine SMS von dort nebst Passwort gebe die volle Kontrolle über die Kamera. Soitron nennt eine Fernsteuerbarkeit falsch und hat den Kaufpreis erstattet.

Was verrät der Etikettenwechsel über die Lieferkette?

Drei Marken, ein Gehäuse. Die Warnung führt NERO R-ONE aus Zypern, die Cordon-Reihe von Simicon in Sankt Petersburg und dieselbe Reihe von NEROline in Kroatien als eine Produktfamilie.^[1] Ein Etikett wechselt schneller als eine Fertigungslinie, und die kroatische Zeile zeigt dasselbe Gehäuse unter einer dritten Flagge im Binnenmarkt.

Geprüft wird der Name. Die EU-Mitgliedstaaten sortieren Netzausrüster seit 2020 über die 5G-Toolbox nach Risikoprofil, und die Kommission hält die Beschränkungen gegen Huawei und ZTE für gedeckt.^[5] Ein Zwischenhändler mit eigener Marke setzt genau dort an. Dasselbe Problem zeigte die ab Werk verseuchte Firmware von Android-Autoradios, die Gegenbewegung Chinas Austausch fremder Prozessoren in der Bahnsicherung.

Ein zyprischer Firmenname auf dem Lieferschein ersetzt keine Herkunftsprüfung. Behörden, die Sensorik in den öffentlichen Raum stellen, müssen die Fertigungskette belegen, nicht die Rechnungsadresse.
— Markus Seyfferth, Chefredakteur Dr. Web

Drei Marken, ein Gehäuse

Die NBÚ-Warnung vom 14. August 2026 und die deutschen Rechtsanker

Was in der Warnung steht

3 Marken

NERO R-ONE aus Zypern, Cordon aus Russland, Cordon aus Kroatien, in einer einzigen Warnung gebündelt

5 Risiken

von der tatsächlichen Herkunft der Hardware bis zum schwach geschützten Programmcode

279 Standorte

geplanter Rollout aus dem slowakischen Aufbauplan, finanziert mit knapp 30 Millionen Euro

Vom Befund zur Beschaffungspflicht

Die fünf Befunde der NBÚ

tatsächliche Herkunft von Hardware und Software der Kameras
Kommunikationsschnittstellen anders konfiguriert als dokumentiert
vorkonfigurierte Fernzugriffe, für den Betreiber nicht vollständig einsehbar
Messsoftware weicht von der deklarierten Fassung ab
schwacher Schutz des Programmcodes

Was in Deutschland greift

§ 30 Absatz 2 Nummer 4 BSIG: Sicherheit der Lieferkette, in Kraft seit 6. Dezember 2025
§ 41 BSIG: Untersagung kritischer Komponenten, Prüfpunkt ist die Kontrolle des Herstellers durch einen Drittstaat
Cyber Resilience Act: Meldepflicht ab 11. September 2026, alle weiteren Anforderungen ab 11. Dezember 2027

Was gilt bei der Beschaffung in Deutschland?

Lieferkette ist Pflicht. Seit dem 6. Dezember 2025 verlangt § 30 Absatz 2 Nummer 4 BSIG von besonders wichtigen und wichtigen Einrichtungen Maßnahmen zur Sicherheit der Lieferkette samt der Beziehungen zu unmittelbaren Anbietern.^[2] Dieselbe Herkunftsfrage stellen die Warnungen zu Siemens-S7-Steuerungen und Chinas Windows-Ausstieg in den Behörden.

Beweislast beim Käufer. Für den Verkehrssektor kommt § 41 BSIG dazu. Das Bundesinnenministerium kann Betreibern kritischer Anlagen kritische Komponenten untersagen, und Absatz 4 nennt als Prüfpunkt die Kontrolle eines Herstellers durch die Regierung eines Drittstaats.^[3] Die frühere Garantieerklärung aus dem alten § 9b BSIG ist ersatzlos entfallen.

Vier Punkte in die Abnahme. Diese Prüfschritte gehören in jede Ausschreibung:

belegter Fertigungsort von Hardware und Firmware, nicht nur der Sitz des Vertragspartners
Funktionstest sämtlicher Funkschnittstellen gegen die gelieferte Dokumentation, Mobilfunkmodul eingeschlossen
Secure Boot aktiv, Standardzugänge gesperrt, Videoströme ohne Passwort ausgeschlossen
vertragliches Rücktrittsrecht, falls die Herkunftsangabe später kippt

Der Stichtag naht. Ab dem 11. September 2026 melden Hersteller vernetzter Produkte aktiv ausgenutzte Schwachstellen nach dem Cyber Resilience Act.^[4] Die vier Abnahmepunkte gehören deshalb jetzt in die Ausschreibung, nicht in die Zusicherung eines Wiederverkäufers.