Ein gehackter Router, eine Überwachungskamera oder ein Unternehmensserver können Unbekannten als Relais dienen: Das ist das Prinzip von Doorway, einer Cyberangriffskampagne, die im Oktober 2026 von den Forschenden des Cybersicherheitsunternehmens CloudSEK aufgedeckt wurde. Laut dem Schweizer IT-Magazin ICTjournal, das am 29. Oktober 2026 darüber berichtet, zielt die Operation auf den Aufbau eines Proxy-Netzwerks ab. Ein internes Register der Angreifer verzeichnet 11'363 kompromittierte Geräte, und die Kampagne war während der Untersuchung weiterhin aktiv.
Wie funktioniert die Kampagne Doorway?
Alles beginnt mit einem Fehler der Angreifer. Im Oktober 2026 fand das Team von CloudSEK zwei öffentlich zugängliche Verzeichnisse mit insgesamt 41 GB offengelegter Daten. Sie enthielten den Quellcode der Operation, Zugangsdaten, Aktivitätsprotokolle und Werkzeuge zum Verteilen von Schadsoftware.
Der Inhalt der beiden Verzeichnisse war identisch. Laut der Analyse von CloudSEK gehörten sie somit zu ein und derselben Operation mit redundanter Infrastruktur.
Die Angriffs-Engine ist in Rust entwickelt, einer Programmiersprache. Sie umfasst 59 Exploit-Module, die jeweils auf eine Kategorie von Geräten oder Diensten abzielen. Sie kombiniert insbesondere drei Methoden:
- das Ausprobieren von Standard-Zugangsdaten oder bereits offengelegten Zugangsdaten;
- das Ausnutzen von Schwachstellen;
- das Einschleusen von Befehlen.
Sobald der Zugang erlangt ist, laden mehrere Mechanismen eine Schadsoftware herunter, die auf die Architektur des Zielsystems zugeschnitten ist, und führen sie aus.
Die Kampagne wird zudem von Software-Agenten überwacht. Unter den offengelegten Daten beschreibt ein Dokument fünf Agenten-Sessions, die verschiedene Aspekte der Operation überwachen. Dieses System verfolgt die Ergebnisse der Scans und der Ausnutzungsversuche. Es lenkt die Bemühungen auf andere Zielkategorien um, wenn ihre Wirksamkeit nachlässt. Laut CloudSEK sind diese Sessions mit Werkzeugen verbunden, die auf grossen Sprachmodellen (LLM) beruhen; die Forschenden konnten das verwendete KI-System jedoch nicht identifizieren.
Gehackter Router, Kamera, Server: Welche Geräte sind im Visier?
Doorway zielt auf Router, Überwachungskameras, Geräte von Telekommunikationsnetzen und Unternehmensserver. Die sichergestellten Protokolle betreffen vor allem Netzwerkgeräte der Marke MikroTik. Die Tabelle fasst die von CloudSEK veröffentlichten und von ICTjournal übernommenen Zahlen zusammen.
| Zahl | Was sie misst |
|---|---|
| 4'217 | Unterschiedliche IP-Adressen in den Protokollen zu MikroTik-Geräten |
| 7'369 | Erfolgreiche Authentifizierungen auf MikroTik-Geräten |
| 4'923 | Geräteidentitäten, die diesen Authentifizierungen entsprechen |
| 11'363 | Kompromittierte Geräte, laut einem internen Register |
| 58'920 | Downloads von Schadsoftware innerhalb von 60 Minuten, laut demselben Register |
| 20 | Jenkins-Server, auf denen die Ausführung von Code aus der Ferne bestätigt ist |
| 16 | Identifizierte Plugin-Downloads auf Openfire-Servern |
Diese Daten stammen unter anderem von einer Scan-Engine, die neue Opfer aufspüren sollte. Sie lief vom 19. September bis zum 19. Oktober 2026.
Auch Server bleiben nicht verschont. Neben Jenkins nennen die Forschenden Openfire, eine Instant-Messaging-Software. Die Operation geht somit über vernetzte Geräte hinaus und trifft Werkzeuge, die in Unternehmen installiert sind.
Warum kann ein Schweizer KMU als Relais dienen?
Ziel der Infrastruktur ist laut CloudSEK der Aufbau eines Proxy-Netzwerks. Unsere Analyse: Ein Proxy ist ein Vermittler, über den der Datenverkehr eines Dritten läuft. Ein kompromittierter Router oder eine kompromittierte Kamera kann so Verbindungen weiterleiten, die scheinbar aus dem Netzwerk des Unternehmens stammen, ohne dass der Eigentümer es bemerkt.
Ein KMU muss nicht gezielt ausgewählt werden, um getroffen zu werden. Viele Angriffe laufen automatisiert ab: Sie durchkämmen das Internet nach verwundbaren Geräten, unabhängig davon, wem diese gehören, wie unsere Seite zur IT-Sicherheit für KMU in Erinnerung ruft. Doorway veranschaulicht diese Funktionsweise: eine Scan-Engine, Module je Gerätetyp und eine automatische Auswertung der Ergebnisse.
Auch nach einer Warnung bleiben in der Schweiz zahlreiche Geräte, die korrigiert werden müssten. Ein datiertes Beispiel ohne Bezug zu Doorway: Am 22. Oktober 2026 waren laut der Erhebung des Unternehmens Risikomonitor noch über 23'000 Server mit Bezug zur Schweiz für die Schwachstelle PHP2Shell anfällig, wie wir im Beitrag über die der PHP-Schwachstelle ausgesetzten Server ausgeführt haben.
Schweizer KMU kennen diese Art von Angriff bereits. Laut der am 22. Oktober 2026 veröffentlichten Studie Cybersicherheit in KMU 2026 haben 6 % von ihnen in drei Jahren einen schweren Cyberangriff erlitten. Angriffe auf Netzwerke und Server spielen bei rund einem Drittel der Vorfälle eine Rolle.
Der Schwachpunkt liegt beim Inventar. Über 80 % der KMU installieren die Updates, aber nur rund ein Drittel führt laut derselben Studie ein Inventar seiner IT-Systeme. Unsere Analyse: Ein Router, eine Kamera oder ein alter Testserver fallen leicht aus dieser Liste heraus und damit auch aus den Updates.
Was sollte man bei Routern und Kameras überprüfen?
In unseren Quellen findet sich keine eigene Warnung des Bundesamts für Cybersicherheit (BACS) zu Doorway. Die Grundmassnahmen des Amts entsprechen jedoch den von CloudSEK beschriebenen Methoden. Die Tabelle stellt sie einander gegenüber; diese Zuordnung beruht auf unserer Analyse.
| In Doorway festgestellte Methode | Grundmassnahme des BACS |
|---|---|
| Standard- oder bereits offengelegte Zugangsdaten | Sichere Passwörter und Mehr-Faktor-Authentifizierung |
| Ausnutzen von Schwachstellen | Sicherheitsupdates installieren |
| Zugriff auf Geräte aus dem Internet | Fernzugriffe absichern |
| Vergessene Geräte | Die IT-Umgebung des Unternehmens erfassen |
| Ausbreitung nach einem Eindringen | Netzwerke segmentieren |
Konkret kann ein KMU mit einigen Kontrollen beginnen:
- seine Router, Kameras, Netzwerkgeräte und Server auflisten, auch jene, die ein Dienstleister installiert hat;
- überall die ursprünglichen Zugangsdaten durch sichere Passwörter ersetzen;
- die Sicherheitsupdates jedes Geräts installieren;
- prüfen, welche Administrationsoberflächen aus dem Internet erreichbar sind, ein Punkt, an den das BACS bei der Warnung zu PHP2Shell erinnerte;
- Kameras und vernetzte Geräte vom Netzwerk trennen, in dem sich die Unternehmensdaten befinden.
Die Absicherung von Fernzugriffen und die Segmentierung gehören auch zu den Regeln der IT-Sicherheit im Homeoffice. Um das eigene Niveau einzuschätzen, ist der Cybersicherheitstest für KMU, der Cybersecurity-Check, kostenlos und dauert wenige Minuten. Der IKT-Minimalstandard dient als umfassendere Checkliste.
Bei Zweifeln an einem Gerät: Das BACS hat am 6. Oktober 2026 die Massnahmen bei Verdacht auf eine Infektion mit Schadsoftware veröffentlicht. Das Amt nimmt freiwillige Meldungen entgegen und betreibt eine Pikettlinie, die 24h/24 erreichbar ist. Ein Notfallplan für Cyberangriffe legt im Voraus fest, wen man anruft.
Was noch nicht bekannt ist
- Ob sich Geräte in der Schweiz unter den Opfern befinden, ist nicht bekannt: Der Artikel von ICTjournal enthält keine Aufschlüsselung nach Ländern.
- Die genauen Gerätemodelle und die ausgenutzten Schwachstellen werden nicht im Einzelnen genannt, abgesehen von MikroTik, Jenkins und Openfire.
- Wofür das Proxy-Netzwerk genutzt wird und wer es betreibt, ist nicht angegeben.
- Das KI-System, mit dem die Kampagne überwacht wird, hat CloudSEK nicht identifiziert.
Quellen
- ICTjournal: «Une campagne de cyberattaques à grande échelle cible routeurs et serveurs», 29. Oktober 2026
- 2clics.com: «IT-Sicherheit für KMU: die Grundmassnahmen in der Schweiz», 22. Oktober 2026
- 2clics.com: «Cybersicherheit für KMU: 6 % der Schweizer Unternehmen in drei Jahren betroffen», 23. Oktober 2026
- 2clics.com: «Cybersicherheit für KMU: Die PHP-Schwachstelle legt noch immer 23 000 Server offen», 26. Oktober 2026
- 2clics.com: «Homeoffice und IT-Sicherheit: die Regeln für ein KMU», 28. Oktober 2026
