Eine smarte Heimkamera ist kein gewöhnliches Gadget. Sie kostet wenig, beobachtet aber Flur, Kinderzimmer, Garage, Laden oder Homeoffice. Sie hängt im WLAN, spricht mit einem Cloud-Konto, erhält Firmware und kennt teils den Standort. Deshalb ist TP-Links Juli-Hinweis zu Kasa EC70 v4 und EC71 v4 mehr als zwei CVEs: Eine Innenkamera ist ein Vertrauensverhältnis zum Hersteller.

Smarte Heimkamera mit Firmware-Update- und Netzwerksicherheits-Hinweisen

Wenn Sie Kasa EC70 v4 oder EC71 v4 besitzen, aktualisieren Sie Firmware und Kasa-App jetzt. TP-Links Advisory vom 15. Juli nennt CVE-2026-9770 und CVE-2026-13230, lokale Informationslecks und Fixes in Firmware 2.4.0 Build 20260520 rel.4191 sowie 2.4.1 Build 20260621 rel.76536. Die größere Lektion: Beim Kauf einer günstigen Cloud-Kamera kaufen Sie auch Update-Kultur, lokales Protokolldesign, Cloud-Account-Architektur und Datenschutzvorgaben.

Was TP-Link bestätigt

Betroffen sind Kasa EC70 v4 und EC71 v4. CVE-2026-9770 beschreibt einen hardcoded cryptographic key, der einem Angreifer im lokalen Netzwerk die Vertraulichkeit der Web-Management-Kommunikation gefährden und administrative Zugangsdaten per MITM offenlegen kann. Score: 8.6 High.

CVE-2026-13230 betrifft die lokale Discovery-Antwort und kann Geolokationsinformationen ohne Authentifizierung für jemanden im selben lokalen Netzwerk offenlegen. Score: 5.3 Medium, Vertraulichkeit.

Nicht übertreiben: Das Advisory beschreibt keinen normalen Internet-weiten Angriff, nicht alle Kasa/Tapo-Modelle und keinen direkten Videostream-Zugriff ohne lokalen Zugang.

Was der Forscher ergänzt

Der Bericht von Christopher Childress / BadChemical zu Kasa Spot EC71 Firmware 2.3.26 nennt Firmware-Extraktion, Netzwerkanalyse, gemeinsame RSA-Schlüssel, unsalted MD5, unauthentifizierte GPS-Daten und mögliche Altbesitzer-Daten nach Factory Reset. TP-Link bestätigt CVEs und Klassen; stärkere Details sollten als Forscherangaben behandelt werden.

Die praktische Schlussfolgerung: aktualisieren, segmentieren und beim nächsten Kamerakauf härter prüfen.

Warum lokal nicht harmlos ist

Lokal ist weniger gefährlich als offen im Internet, aber nicht sicher. Ein Heimnetz enthält Gäste, Smartphones, Smart-TVs, billige IoT-Geräte, Arbeitslaptops und alte Router. In Ferienwohnungen, WGs und kleinen Büros umfasst “lokal” viele nicht völlig vertrauenswürdige Geräte.

Kameras stehen in privaten Räumen. Standort, Gerätekennungen und Zugangsdaten sind sensible Informationen. Setzen Sie Kameras auf ein Gast-, VLAN- oder IoT-Netz ohne freien Zugriff auf Laptops, NAS und Telefone. Vermeiden Sie Portweiterleitungen, DMZ und UPnP-Abkürzungen.

Was Besitzer tun sollten

Modell und Hardwareversion prüfen. Bei EC70 v4 oder EC71 v4 Firmware über Kasa-App oder TP-Link-Support aktualisieren, neu starten und Version kontrollieren. Auch die mobile App aktualisieren.

Kamera isolieren. Alte Portweiterleitungen löschen, UPnP bei Bedarf deaktivieren, Haupt-WLAN nicht an Gäste geben. In kleinen Unternehmen Kameras, Firmware und Netzsegment dokumentieren.

Bei Sorge um Zugangsdaten: TP-Link-ID-Passwort ändern, MFA aktivieren falls verfügbar und alte Geräte entfernen. Gebrauchte Kameras vollständig zurücksetzen, aktualisieren und zunächst isoliert testen.

Worauf Käufer achten sollten

Neben Auflösung, Nachtsicht und Cloud-Speicher zählen jetzt Update-Historie, öffentliche Advisories, lokaler Speicher, RTSP/ONVIF, HomeKit Secure Video, lokales NVR und klare Datenschutzregeln. Wichtig ist auch, ob die Kamera in einem segmentierten Netz nutzbar bleibt.

Achten Sie auf gerätespezifische Identität statt Flottengeheimnisse. Lesen Sie Datenschutzabschnitte zu Standort, Geräte-IDs, Diagnosedaten, Cloud-Aufnahmen und Dritten. Standort kann für Setup nötig sein, sollte aber minimiert und geschützt werden.

Alternativen

HomeKit Secure Video kann in Apple-Haushalten den Trust Boundary verändern. Lokale NVR-Systeme wie Reolink oder UniFi geben mehr Kontrolle, kosten aber mehr. RTSP/ONVIF reduziert Cloud-Abhängigkeit, braucht aber Passwörter, Updates und Isolation.

Urteil

Die Kasa-EC70/EC71-Geschichte ist gepatcht, aber nicht irrelevant. Besitzer sollten aktualisieren und segmentieren. Käufer sollten nicht nur Preis und Bildqualität prüfen. Für Schlafzimmer, Kinderzimmer oder Pflegebereiche braucht es bessere Update-Historie, lokale Optionen und klare Datenschutzpraxis — oder gar keine Cloud-Kamera.