Hacker stahlen eine Flock-Kamera von einer Straße und kopierten ihre internen Daten, wobei die wiederhergestellten Dateien mit 404 Media und WIRED geteilt wurden. Das Gerät war dafür konzipiert, den vorbeifahrenden Verkehr zu überwachen, und es speicherte alles, was es sah.
Der Einbruch deckt eine einfache Wahrheit über Überwachungsgeräte auf: sie sind nicht inert. Kameras zeichnen auf, aber sie verarbeiten, speichern und übertragen auch Daten. Wenn diese Kette reißt, ist das Geheimnis gelüftet.
Die Datenwiederherstellung
Die Hacker stellten einen Verschlüsselungsschlüssel wieder her, der auf dem Gerät gespeichert war. Dieser Schlüssel entschlüsselte Videos von Tausenden von Fahrzeugdetektionen. Die Kamera erkannte Fahrzeuge, Nummernschilder, Fahrräder und Personen. Ihre Computer-Vision-Software isolierte auch Bumperaufkleber und andere Grafiken, darunter ein amerikanisches Flaggenpatch auf der Satteltasche eines Motorradfahrers.
Die wiederhergestellten Protokolle umfassten etwa 21 Tage Aktivität. Die Kamera fotografierte schätzungsweise 50.200 Fahrzeuge und erzeugte etwa 1,6 Millionen Bilder, mit einem Höchststand von 4.454 Fahrzeugen pro Tag. Das Gerät nahm eine rasche Abfolge von Fotos auf, wenn sich etwas in den Blickwinkel bewegte, und erzeugte so etwa 28 Bilder pro Fahrzeug, obwohl einige mehr als 100 produzierten.
Der Prozessor der Kamera ähnelt dem in Mittelklasse-Smartphones. Er führt etwa 20 von Flock entwickelte Apps aus, die sich mit der Erkennung, der Bilderaufnahme, der Objekteklassifizierung, dem Datenupload und den Remote-Updates befassen. Die Protokolle der Kamera zeichneten etwa 21 Tage Aktivität auf.
„Warum sie einfach zerstören, wenn wir sie reverse engineeren und die Geheimnisse derjenigen entdecken können, die uns ausspionieren?“
Diese Frage kam von einem Hacker aus einem Kollektiv namens stegan0gram. Die Hacker veröffentlichen Details darüber, wie sie die Software erworben haben, um andere zu ermutigen, ihre Methoden zu kopieren.
Die Datenkette
Flock-Kameras fotografieren vorbeifahrende Fahrzeuge und senden Bilder und Daten an die Server des Unternehmens, wo das Nummernschild gelesen und Fahrzeugmerkmale wie Farbe, Marke und Modell identifiziert werden. Das nationale Netzwerk ermöglicht Suchanfragen von mehr als 2.000 Behörden, darunter Polizeibehörden, Hochschulen, Flughäfen und das Office of Inspector General für die Bundesbehörde General Services Administration in Alpharetta, Georgia.
Der Sicherheitsforscher Jon „GainSec“ Gaines hat Anfang 2025 einen Flock-Nummernschildleser Reverse-Engineering betrieben und Fehler dokumentiert, die Root-Zugriff gewähren könnten. Flock räumte die Fehler ein, spielte ihre Schwere aber herunter und sagte, sie erforderten physischen Zugriff und dass Bilder nur kurz auf dem Gerät verbleiben, bevor sie in die Cloud übertragen würden.
Der Verstoß deckt die Diskrepanz zwischen Design und Realität auf. Das Gerät enthielt über mehrere Wochen hinweg mehr als eine Million Bilder aus wiederhergestellten Protokolldateien.
Das Nationale Netzwerk
Flocks nationales Netzwerk sei eine Funktion, kein Fehler, so das Unternehmen. Flock verkauft Sichtbarkeit über Tausende von Behörden. Der Verstoß wirft auch Fragen zu den Daten selbst auf. Was passiert mit den Millionen Bildern, wenn sie geteilt werden?
Die wiederhergestellten Protokolldateien zeigen wochenlang gespeicherte Daten vor Ort, nicht eine Langzeitdatenspeicherung.
Was nun folgt
Die Hacker veröffentlichen ihre Methoden. Das ist eine bewusste Handlung, kein Unfall. Sie wollen, dass andere tun, was sie getan haben.
Die Sicherheits-Community hat nun ein funktionierendes Beispiel dafür, wie man in eine Flock-Kamera eindringt. Flocks Reaktion auf Gaines’ Forschung war abweisend.
Der Verstoß wirft auch Fragen zu den Daten selbst auf. Was passiert mit den Millionen Bildern, wenn sie geteilt werden?
| Bühne | Detail |
|---|---|
| Verstoß | Hacker stahlen eine Flock-Kamera über einer Straße. |
| Schlüsselwiedererlangung | Verschlüsselungsschlüssel wiedererlangt, wodurch Videos von tausenden erkannten Ereignissen zugänglich wurden. |
| Datenanalyse | 404 Media und WIRED analysierten die wiederhergestellten Dateien. |
| Protokollübersicht | Etwa 21 Tage Aktivität, 1,6 Millionen Bilder. |
| Täglicher Höchststand | 4.454 Fahrzeuge an einem Tag. |
Der Verstoß ist eine Erinnerung daran, dass Überwachungsgeräte nicht neutral sind. Sie beobachten, aber sie speichern, verarbeiten und übertragen auch. Wenn diese Kette reißt, kommt die Wahrheit ans Licht.
Der Artikel weist darauf hin, dass Flock’s landesweites Netzwerk ein Feature und keine Schwäche ist, und dass 404 Media ICE-Abfragen und -Suchen im Zusammenhang mit Abtreibungsfällen aufgedeckt hat. Der Hack legt die Interessen beider Seiten offen: Flock verliert seinen Anspruch auf sichere Geräte, während Kritiker ihren Anspruch verlieren, dass Kameras lediglich passive Aufnahmegeräte seien.
Wer schützt was?
Die praktische Auswirkung des Verstoßes ist offensichtlich: Flock verliert seinen Anspruch, dass seine Geräte sicher sind. Die Kamera speicherte Monate von Videoaufnahmen, und die Hacker bewiesen dies, indem sie den Verschlüsselungsschlüssel und die dahinterliegenden Bilder wiederherstellten.
Die Zeitung vermutet, dass Flock auf die Gaines-Forschung abweisend reagierte, um seine Einnahmen zu schützen. Das Unternehmen verkauft Sichtbarkeit über Tausende von Behörden hinweg, und das Eingeständnis schwerwiegender Fehler würde ihm Verträge kosten. Die Abmilderung der Schwere von Fehlern, die physischen Zugriff erfordern, erhält das Verkaufsgespräch intakt.
Kritiker wie 404 Media verlieren ihren Anspruch, dass Kameras lediglich passive Aufnahmegeräte seien. Die wiederhergestellten Protokolle zeigen aktive Verarbeitung, Klassifizierung und Speicherung. Die Kamera ist kein neutraler Beobachter; sie ist ein Rechengerät mit einem nationalen Netzwerk, das von mehr als 2.000 Behörden durchsucht werden kann.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.