Werksseitige Backdoor in Zbtlink-Routern: Offene Root-Zugänge durch chinesische Hardware

Einleitung: Ein Sicherheitsalbtraum direkt ab Werk

Wenn Netzwerkgeräte bereits beim Kauf kompromittiert sind, versagen alle nachgelagerten Sicherheitsmaßnahmen. Genau dieses Szenario beschreibt ein aktueller Forschungsbericht des Sicherheitsunternehmens VulnCheck: Mindestens 20 Router-Modelle des chinesischen Herstellers Zbtlink werden mit einer werksseitig eingebauten Backdoor ausgeliefert – einer versteckten Hintertür, die unauthentifizierten Root-Zugriff von außen ermöglicht.

Besonders alarmierend: Die Backdoor taucht in allen 21 Firmware-Images auf, die Zbtlink über einen Zeitraum von mehr als zwei Jahren veröffentlicht hat. Es handelt sich also nicht um einen Einzelfehler oder eine übersehene Schwachstelle – sondern um eine systematisch verankerte Funktion, die automatisch startet und versucht, Verbindungen zu Servern in China herzustellen.

Für deutsche IT-Verantwortliche und Geschäftsführer ist dieser Fall aus mehreren Gründen hochrelevant: Supply-Chain-Angriffe über Hardware gehören zu den schwierigsten Bedrohungsszenarien überhaupt, und die NIS2-Richtlinie schreibt explizit Maßnahmen zur Absicherung der Lieferkette vor.

Technischer Hintergrund: Was steckt hinter dieser Backdoor?

Funktionsweise der Hintertür

Laut VulnCheck handelt es sich um eine sogenannte „Factory-Shipped Backdoor" – eine Backdoor, die nicht durch nachträglichen Angriff eingeschleust wurde, sondern bereits im Herstellungsprozess in die Firmware integriert ist. Die wesentlichen technischen Merkmale:

• Automatischer Start: Die Backdoor aktiviert sich ohne Benutzereingriff beim Systemstart des Routers.
• Unauthentifizierter Root-Shell-Zugang: Angreifer können ohne Anmeldedaten eine Root-Shell öffnen – also die höchste Berechtigungsstufe auf dem Gerät erlangen.
• Beaconing zu chinesischen Servern: Die Firmware sendet regelmäßig Signale (sogenannte „Beacons") an externe Server in China. Dies ermöglicht eine Fernsteuerung oder zumindest eine kontinuierliche Überwachung.
• Breite Modellabdeckung: Betroffen sind mehr als 20 verschiedene Router-Modelle – die Backdoor ist also kein Ausreißer, sondern fester Bestandteil des Produkt-Portfolios.

Warum ist das besonders gefährlich?

Ein Router ist das Herzstück jedes Netzwerks. Wer Root-Zugriff auf einen Router hat, kontrolliert potenziell:

• den gesamten ein- und ausgehenden Datenverkehr,
• DNS-Anfragen und damit alle Webzugriffe,
• VPN-Verbindungen und Zugangsdaten,
• die Möglichkeit zur Einrichtung von Pivoting-Punkten für Angriffe auf weitere interne Systeme.

Im Unternehmenskontext bedeutet ein kompromittierter Router den Totalverlust der Netzwerksouveränität – auch ohne dass ein einziger Benutzer einen Fehler gemacht hat.

Auswirkungen auf Deutschland und NIS2-Relevanz

Deutschland als Ziel von Hardware-Supply-Chain-Angriffen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit Jahren vor Risiken durch Hardware aus nicht vertrauenswürdigen Quellen. Die aktuellen Erkenntnisse zu Zbtlink bestätigen diese Warnung eindrücklich. Günstige Router – oft über Plattformen wie Amazon Marketplace, AliExpress oder Großhändler aus Fernost bezogen – unterliegen häufig keiner unabhängigen Sicherheitsprüfung.

NIS2: Lieferkettensicherheit ist Pflicht

Die NIS2-Richtlinie (umgesetzt in deutsches Recht durch das BSIG in seiner novellierten Fassung) verpflichtet betroffene Unternehmen ausdrücklich zur Absicherung ihrer Lieferketten. Konkret relevant sind:

Unternehmen, die als wesentliche oder wichtige Einrichtungen nach NIS2 eingestuft sind, müssen bei einem Sicherheitsvorfall durch kompromittierte Hardware:

1. Innerhalb von 24 Stunden eine Frühwarnung an das BSI übermitteln.
2. Innerhalb von 72 Stunden eine vollständige Meldung einreichen.
3. Innerhalb eines Monats einen Abschlussbericht vorlegen.

Wer Zbtlink-Router im Einsatz hat und diese Hintertür nachweislich aktiv war, hat möglicherweise bereits einen meldepflichtigen Vorfall – unabhängig davon, ob Daten abgeflossen sind oder nicht.

DSGVO-Dimension

Falls über die Router personenbezogene Daten übertragen wurden – was in praktisch jedem Unternehmensnetz der Fall ist –, kann auch die DSGVO (Art. 33, 34) greifen. Eine Backdoor, die Daten zu externen Servern übermittelt, erfüllt die Definition einer Datenpanne, die der zuständigen Datenschutzbehörde gemeldet werden muss.

Praktische Schutzmaßnahmen: Was Sie jetzt tun sollten

1. Bestandsaufnahme der eingesetzten Netzwerkhardware

Führen Sie eine vollständige Inventarisierung aller aktiven Netzwerkgeräte durch. Prüfen Sie gezielt:

• Welche Router, Switches und Access Points sind im Einsatz?
• Woher stammen diese Geräte – direkt vom Hersteller, über Distributoren oder über Marktplätze?
• Sind Zbtlink-Produkte oder OEM-Varianten davon im Netz?

Tipp: Nutzen Sie Tools wie Nmap, Shodan (intern) oder spezialisierte Asset-Management-Lösungen, um Ihr Netzwerk vollständig zu kartieren.

2. Firmware auf verdächtiges Verhalten analysieren

Wenn Sie unsicher sind, ob eingesetzte Router kompromittiert sind, analysieren Sie deren Netzwerkverhalten:

• Setzen Sie Netzwerk-Monitoring-Tools (z. B. Zeek, Suricata oder kommerzielle NDR-Lösungen) ein.
• Achten Sie auf unerwartete ausgehende Verbindungen, insbesondere zu IP-Adressen in China oder anderen unbekannten Destinationen.
• Vergleichen Sie Firmware-Hashes mit offiziellen Quellen, sofern verfügbar.

3. Hardwarebeschaffungsrichtlinie überarbeiten

Legen Sie intern verbindliche Standards für die Hardwarebeschaffung fest:

• Bevorzugen Sie Hersteller, die unabhängigen Sicherheitsprüfungen unterliegen (z. B. BSI-Grundschutz-zertifizierte Produkte oder Geräte nach Common Criteria).
• Schließen Sie in Ihre Lieferantenverträge explizit Sicherheitsanforderungen und Audit-Rechte ein.
• Meiden Sie Router-Modelle, die keine öffentliche CVE-Historie, keinen Patch-Support und keine transparente Firmware-Entwicklung vorweisen können.

4. Netzwerksegmentierung konsequent umsetzen

Selbst wenn ein Gerät kompromittiert ist, begrenzt eine starke Netzwerksegmentierung den potenziellen Schaden erheblich:

• Trennen Sie kritische Systeme, Produktionsnetzwerke und Gäste-WLANs konsequent durch VLANs und Firewalls.
• Implementieren Sie Zero-Trust-Prinzipien: Kein Gerät vertraut einem anderen automatisch, nur weil es im selben Netz ist.
• Beschränken Sie ausgehenden Traffic nach dem Prinzip der minimalen Berechtigungen (Allowlisting statt Blocklisting).

5. Incident-Response-Plan für Hardware-Kompromittierungen vorbereiten

Viele Unternehmen haben Incident-Response-Pläne für Malware-Vorfälle, aber keine spezifischen Playbooks für Hardware-Backdoors. Ergänzen Sie Ihre Notfallpläne um:

• Isolationsverfahren für verdächtige Netzwerkgeräte (ohne den Betrieb vollständig zu unterbrechen),
• forensische Sicherung von Router-Logs und Netzwerkdaten,
• klare Eskalationswege inklusive BSI-Meldung und ggf. Datenschutzbehörde,
• Kommunikationspläne für Geschäftsleitung, Kunden und ggf. Öffentlichkeit.

6. BSI-Empfehlungen und Warnungen aktiv verfolgen

Das BSI veröffentlicht regelmäßig Warnungen zu unsicherer Hardware und Software. Abonnieren Sie den BSI-Newsletter und die CERT-Bund-Warnmeldungen. Prüfen Sie zudem, ob betroffene Geräte auf der BSI-Liste technisch unsicherer Produkte erscheinen.

Fazit: Hardware-Vertrauen ist keine Selbstverständlichkeit

Der Fall Zbtlink ist ein Weckruf: Vertrauen endet nicht an der Softwaregrenze. Wenn physische Netzwerkhardware systematisch mit Backdoors ausgeliefert wird, reichen traditionelle IT-Sicherheitsmaßnahmen wie Firewalls und Antivirensoftware schlicht nicht aus.

Für Unternehmen, die unter NIS2 fallen, ist dies kein rein technisches Problem – es ist eine Compliance- und Governance-Frage. Die Pflicht zur Lieferkettensicherheit ist keine abstrakte Anforderung, sondern eine konkrete Handlungsverpflichtung, die mit nachweisbaren Maßnahmen belegt werden muss.

Die gute Nachricht: Wer jetzt handelt, kann nicht nur dieses spezifische Risiko eindämmen, sondern seine gesamte Netzwerksicherheitsarchitektur auf ein tragfähiges Fundament stellen.

📋 Call-to-Action: NIS2-Compliance strukturiert umsetzen

Die Bewältigung von Vorfällen wie dem Zbtlink-Fall – von der Erkennung über die Meldepflicht bis zur Dokumentation – erfordert klare Prozesse. Spezialisierte NIS2-Compliance-Software kann dabei helfen, Meldepflichten fristgerecht zu erfüllen, Risikoanalysen zu Lieferanten zu dokumentieren und Ihre Sicherheitsmaßnahmen revisionssicher nachzuweisen. Wenn Sie Ihre NIS2-Prozesse strukturieren möchten, lohnt sich ein Blick auf entsprechende GRC-Plattformen (Governance, Risk & Compliance), die auf die Anforderungen der NIS2-Richtlinie und des BSI-Grundschutzes ausgerichtet sind.