{"id":793,"date":"2026-03-04T10:09:27","date_gmt":"2026-03-04T09:09:27","guid":{"rendered":"https:\/\/iobseu-xejul.wordpress.com\/?p=793"},"modified":"2026-03-04T10:09:27","modified_gmt":"2026-03-04T09:09:27","slug":"der-25-dollar-trick-oder-wie-man-mit-einem-spielzeug-einen-laden-austrickst","status":"publish","type":"post","link":"https:\/\/technodidact.de\/en\/der-25-dollar-trick-oder-wie-man-mit-einem-spielzeug-einen-laden-austrickst\/","title":{"rendered":"Der 25-Dollar-Trick \u2013 oder: Wie man mit einem Spielzeug einen Laden austrickst"},"content":{"rendered":"

Messehalle, irgendwo in Europa, Fr\u00fchjahr 2017. Es riecht nach Kabelbindern, frisch bedrucktem Prospektpapier und dem Schwei\u00df tausender Besucher. Zwei M\u00e4nner schlendern durch die G\u00e4nge, aber sie interessieren sich nicht f\u00fcr die gl\u00e4nzenden Exponate auf den St\u00e4nden. Sie suchen etwas anderes. Sie suchen eine Buchse.<\/strong><\/p>\n\n\n\n

Dmitry Chastuhin und Vladimir Egorov sind keine gew\u00f6hnlichen Messebesucher. Sie sind Sicherheitsforscher bei ERPScan, einer Firma, die sich darauf spezialisiert hat, die Software von Gro\u00dfkonzernen auseinanderzunehmen, um zu sehen, wo es quietscht und knirscht. Heute jagen sie kein gro\u00dfes Tier, kein Rechenzentrum, keine Cloud. Heute jagen sie ein Kassensystem.<\/p>\n\n\n\n

Sie finden es schlie\u00dflich an einem gut besuchten Stand. Ein handels\u00fcbliches Terminal, wie es in tausenden Gesch\u00e4ften auf der ganzen Welt steht. Ein Bildschirm, ein Kartenleser, ein Bondrucker. Und hinten dran, kaum sichtbar, versteckt unter einem Kabelsalat: eine freie Ethernet-Buchse.<\/p>\n\n\n\n

Was dann passiert, ist keine Raketenwissenschaft. Es ist eher ein Versehen mit Ansage. Egorov zieht einen Raspberry Pi aus der Tasche \u2013 diesen kleinen, kreditkartengro\u00dfen Computer f\u00fcr 25 Dollar, den man eigentlich f\u00fcr Bastelprojekte mit LEDs und Sensoren kauft. Er steckt ihn in die Buchse, dr\u00fcckt den Einschaltknopf, und der Rechner blinzelt einmal kurz mit einer LED. Keine Alarmsirene. Kein Sicherheitsdienst. Nur der leise L\u00fcfter des Kassenservers im Hinterzimmer.<\/p>\n\n\n\n

Die beiden Forscher gehen gem\u00fctlich zum Ausgang. Der Hack ist gelungen. Der Raspberry Pi ist drin im Netz. Das Kaufhaus ist digital ausgehebelt \u2013 mit einem Ger\u00e4t, das weniger kostet als das Abendessen in der Messe-Kantine.<\/p>\n\n\n\n

\n\n\n\n

1. Der Prolog \u2013 Die versteckte Buchse<\/h2>\n\n\n\n

Stell dir dieses Szenario vor, wenn du das n\u00e4chste Mal an der Kasse stehst und der Piepton ert\u00f6nt. Das Ger\u00e4t vor dir, dieser graue oder schwarze Kasten, ist nur die Spitze eines Eisbergs. Irgendwo im Lager, oft einfach in einem Abstellraum zwischen Putzmitteln und Klopapier, steht der Server. Der denkt nicht, der rechnet nur. Er schickt Preise an die Kasse, speichert Transaktionen und gibt ab und zu ein Update raus.<\/p>\n\n\n\n

Die Verbindung zwischen Kasse und Server? Meist ein einfaches, graues Netzwerkkabel, das \u00fcber der abgeh\u00e4ngten Decke liegt oder durch einen Kabelschacht in der Wand l\u00e4uft. Es ist die unsichtbare Verbindung. Und genau da, im Unsichtbaren, h\u00f6rt die Sicherheit oft auf.<\/p>\n\n\n\n

Dmitry und Vladimir wussten das. Sie hatten schon Hunderte von Kassensystemen unter die Lupe genommen, nicht nur von SAP, auch von Oracle und anderen. Und sie hatten ein Muster entdeckt: Alle starren auf die T\u00fcrklinke, aber die Hintert\u00fcr steht weit offen <\/a>. Die Kasse hat eine Benutzeroberfl\u00e4che, ein Schloss, einen Piepser, wenn die Karte durchgezogen wird. Aber das Kabel, das im Lager endet? Das spricht mit dem Server, als w\u00fcrden sie sich seit Jahren kennen. Kein Passwort, keine Verschl\u00fcsselung. Nur Vertrauen.<\/p>\n\n\n\n

Und Vertrauen ist in der IT der gr\u00f6\u00dfte Feind.<\/p>\n\n\n\n

\n\n\n\n

2. Der Mensch \u2013 Die zwei T\u00fcftler aus dem Osten<\/h2>\n\n\n\n

Dmitry Chastuhin ist einer dieser Forscher, die man sich nicht in einem sterilen Labor vorstellt. Eher in einer Wohnung voller alter Rechner, Kabelrollen und ausgedruckter Protokolle. Er kommt aus der Schule derer, die wissen, dass Theorie grau ist, aber der Code gr\u00fcn leuchtet, wenn man ihn knackt. Zusammen mit Vladimir Egorov bildet er das Team, das f\u00fcr ERPScan die dunklen Ecken der Gesch\u00e4ftssoftware ausleuchtet <\/a>.<\/p>\n\n\n\n

Sie sind keine Hacker im klassischen Sinne, jedenfalls nicht die mit Kapuzenpulli und Maske. Sie sind J\u00e4ger. Sie bekommen einen Auftrag: Findet die L\u00fccken, bevor die anderen sie finden. Ihr Jagdrevier ist SAP, diese monstr\u00f6se Software, die in den Hinterzimmern der Weltwirtschaft l\u00e4uft. Wenn du bei einem gro\u00dfen H\u00e4ndler einkaufst, bist du fast sicher durch ein SAP-System geschleust worden. Es ist der unsichtbare Buchhalter der Nationen.<\/p>\n\n\n\n

Die beiden Russen sind akribisch. Sie schlagen keine Kassen kurz, sie lesen keine Protokolle vom Bildschirm ab. Sie lesen den Code. Und sie haben ein feines Gesp\u00fcr f\u00fcr das, was man „architektonische Naivit\u00e4t“ nennen k\u00f6nnte. Sie fragen nicht: „Wo ist das Passwort?“ Sie fragen: „Warum gibt es hier gar keine Abfrage?“<\/p>\n\n\n\n

Diese Frage f\u00fchrte sie an einem ganz gew\u00f6hnlichen Messestand zu einer Buchse und einem 25-Dollar-Computer.<\/p>\n\n\n\n

\n\n\n\n

3. Das Problem \u2013 Der Server, der mit jedem spricht<\/h2>\n\n\n\n

Die SAP POS Xpress Server L\u00f6sung ist eigentlich ein cleveres St\u00fcck Technik. Sie erlaubt es, Hunderte von Kassen in einem Laden zentral zu verwalten. Der Produktmanager im Hauptquartier \u00e4ndert den Preis f\u00fcr Butter, und f\u00fcnf Minuten sp\u00e4ter piept die Kasse in der Filiale den neuen Preis. Das ist effizient. Das ist modern.<\/p>\n\n\n\n

Aber Effizienz und Sicherheit sind oft ungleiche Zwillinge.<\/p>\n\n\n\n

Was die Forscher fanden, war erschreckend simpel: Der Server fragt nicht nach, wer da kommt. Er authentifiziert nicht <\/a>. Wenn ein Ger\u00e4t im selben Netzwerk eine Anfrage schickt und sagt „Hey, ich bin die Kasse Nummer 3, ich brauch den Preis f\u00fcr dieses Produkt“, dann gibt der Server die Antwort. Wenn aber jemand kommt und sagt „Hey, ich bin der Administrator, setz mal den Preis f\u00fcr das MacBook Pro auf 1 Dollar“, dann macht der Server das auch. Er vertraut jedem, der fragt, solange die Frage im richtigen Format kommt.<\/p>\n\n\n\n

Das Problem sitzt tief in der Architektur. Die Entwickler haben sich vermutlich gedacht: „Wer soll denn schon in unser Netzwerk kommen? Das ist doch abgeschottet.“ Sie haben die physische Sicherheit des Ladens mit der digitalen Sicherheit verwechselt. Sie haben nicht bedacht, dass es an jeder zweiten Kasse einen freien Ethernet-Anschluss gibt, an den sich jeder anschlie\u00dfen kann, der aussieht, als w\u00fcrde er den WLAN-Router warten.<\/p>\n\n\n\n

Chastuhin brachte es sp\u00e4ter auf den Punkt: „Die Verbindungen zwischen Kassenarbeitsplatz und Laden-Server entbehren oft der Grundlagen der Cybersicherheit \u2013 Autorisierungsverfahren und Verschl\u00fcsselung \u2013 und niemand k\u00fcmmert sich darum“ <\/a><\/a>.<\/p>\n\n\n\n

\n\n\n\n

4. Der Bau \u2013 Wie man mit 25 Dollar einkauft<\/h2>\n\n\n\n

Der Raspberry Pi ist ein Wunderwerk der Billigtechnik. Entwickelt, um Kindern das Programmieren beizubringen, ist er heute das Schweizer Taschenmesser jedes Bastlers und \u2013 ja \u2013 auch jedes Scriptkiddies. Er passt in jede Hosentasche, hat einen Netzwerkanschluss und l\u00e4uft mit einem USB-Stromkeil, den man an jede Steckdose h\u00e4ngen kann.<\/p>\n\n\n\n

Was die ERPScan-Forscher taten, war methodisch sauber und erschreckend einfach.<\/p>\n\n\n\n

Schritt 1: Der Anschluss.<\/strong> Sie suchten sich einen freien Ethernet-Port. In jedem gr\u00f6\u00dferen Laden gibt es die. An unbenutzten Kassen, an Waagen in der Obstabteilung, an Informationsterminals, oft einfach in einer Ecke hinter einer Blume, wo mal ein Mitarbeiter-PC stand <\/a>. Der Raspberry Pi wird eingesteckt. Er braucht keine Konfiguration, er holt sich per DHCP eine IP-Adresse und ist im Netz.<\/p>\n\n\n\n

Schritt 2: Die Suche.<\/strong> Der kleine Rechner tastet das Netzwerk ab. Er muss nur einen einzigen Dienst finden: den SAP Xpress Server. Und weil der Server nicht versteckt ist, sondern brav auf Anfragen wartet, ist er schnell gefunden.<\/p>\n\n\n\n

Schritt 3: Der Befehl.<\/strong> Jetzt kommt der eigentliche Clou. Die Forscher hatten eine kleine Software dabei, die genau das tat, was der Server erwartet: Sie sprach SAP. Sie schickte einen Befehl, um die Konfiguration zu \u00e4ndern. Kein Hack im Sinne einer Sicherheitsl\u00fccke, die ausgenutzt wird. Sondern ein Befehl, f\u00fcr den der Server von Haus aus gemacht ist \u2013 nur dass er normalerweise nur von autorisierten Administrationsrechnern kommen darf.<\/p>\n\n\n\n

Schritt 4: Die Manipulation.<\/strong> In der Demo-Video, das sp\u00e4ter im Netz kursierte, sieht man, wie der Preis eines MacBook Pro von mehreren tausend Dollar auf einen einzigen Dollar ge\u00e4ndert wird <\/a><\/a>. Das System akzeptiert es. Keine Plausibilit\u00e4tspr\u00fcfung, keine zweite Unterschrift. Der Server speichert den neuen Preis und wartet auf die n\u00e4chste Anfrage.<\/p>\n\n\n\n

Schritt 5: Der Kauf.<\/strong> Die Forscher gehen zur Kasse. Die Verk\u00e4uferin scannt den Barcode. Das System fragt beim Server nach dem Preis. Der Server sagt: 1 Dollar. Die Kasse zeigt 1 Dollar an. Die Forscher zahlen mit Karte, der Betrag wird abgebucht, sie gehen raus. Aus dem Laden. Aus dem Messegel\u00e4nde. Und haben ein paar tausend Dollar gespart.<\/p>\n\n\n\n

\n\n\n\n

5. Das Herzst\u00fcck \u2013 Das fehlende „Darf der das?“<\/h2>\n\n\n\n

Das Geniale an diesem Angriff ist, dass er gar kein Angriff im klassischen Sinne ist. Es ist kein Buffer Overflow, kein Einschleusen von Schadcode, kein Aushebeln einer Verschl\u00fcsselung. Es ist einfach nur eine fehlende Abfrage.<\/p>\n\n\n\n

Nennen wir es das „Darf der das?“-Prinzip.<\/p>\n\n\n\n

In einer sicheren Architektur fragt der Server bei jedem Befehl: Wer bist du? Hast du das Recht, Preise zu \u00e4ndern? Bist du vielleicht doch nur die Kasse von nebenan, die nur lesen, aber nicht schreiben darf?<\/p>\n\n\n\n

Im SAP Xpress Server gab es diese Frage nicht <\/a>. Jeder, der die richtige Netzwerk-Adresse hatte und das Protokoll beherrschte, konnte jeden Befehl absetzen. Das ist, als w\u00fcrde man in einer Bank den Tresor nicht mit einer Zahlenkombination sichern, sondern einfach das Schild „Bitte nicht \u00f6ffnen“ dranh\u00e4ngen. Die meisten halten sich dran \u2013 aber wenn einer kommt, der lesen kann, ist er drin.<\/p>\n\n\n\n

Die Forscher fanden gleich mehrere dieser Fehlstellen. Die erste L\u00fccke erlaubte den Zugriff. Nachdem SAP im Juli 2017 einen ersten Patch ver\u00f6ffentlichte, schauten Dmitry und Vladimir nochmal hin \u2013 und fanden eine zweite L\u00fccke, mit der man den Patch umgehen konnte <\/a><\/a>. Ein Katz-und-Maus-Spiel, das zeigt, wie tief das Problem sitzt. Es ging nicht um einen einzelnen vergessenen Befehl. Es ging um ein System, das von Grund auf nicht darauf ausgelegt war, in einer feindlichen Umgebung zu \u00fcberleben.<\/p>\n\n\n\n

Alexander Polyakov, CTO von ERPScan, beschrieb die Gefahr so: „Kreditkartennummern stehlen, Preise und Sonderrabatte festlegen, POS-Terminals fernstarten und -stoppen \u2013 all diese Optionen stehen auf der Speisekarte des Hackers“ <\/a><\/a>.<\/p>\n\n\n\n

\n\n\n\n

6. Das Ende \u2013 Der Patch und die Pointe<\/h2>\n\n\n\n

Was geschah mit der L\u00fccke? SAP reagierte, wie Gro\u00dfkonzerne reagieren m\u00fcssen. Sie nahmen die Meldung ernst. Im April 2017 informierten die Forscher den Hersteller. Im Juli kam der erste Patch (SAP Security Note 2476601). Doch als ERPScan den Patch testete, fanden sie: Der neue Autorisierungsmechanismus lie\u00df sich umgehen \u2013 durch eine andere L\u00fccke <\/a>.<\/p>\n\n\n\n

Also wieder eine Meldung, diesmal im August. Und diesmal dauerte es nur eine Woche, bis SAP nachbesserte (SAP Security Note 2520064) <\/a><\/a>. Ein Sprecher von SAP betonte: „Wir empfehlen unseren Kunden dringend, ihre SAP-Landschaft zu sichern, indem sie die verf\u00fcgbaren Sicherheitspatches sofort vom SAP Support Portal anwenden“ <\/a>.<\/p>\n\n\n\n

Das klingt nach einem Happy End. Ist es aber nicht. Denn das eigentliche Problem ist nicht der Patch. Das Problem ist die Architektur.<\/p>\n\n\n\n

Die Forscher fanden \u00e4hnliche Schwachstellen nicht nur bei SAP, sondern auch bei anderen Systemen, wie Oracles MICROS. Chastuhin sagte deutlich: „Allgemein gesprochen ist das kein Problem von SAP. Viele POS-Systeme haben eine \u00e4hnliche Architektur und daher die gleichen Schwachstellen“ <\/a><\/a>.<\/p>\n\n\n\n

Die L\u00fccke ist symptomatisch f\u00fcr eine Generation von Software, die in einer Welt gebaut wurde, in der Netzwerke noch freundliche Orte waren. Die Entwickler dachten an Funktionalit\u00e4t, an Geschwindigkeit, an Skalierbarkeit. Aber sie dachten nicht an den Mann mit dem 25-Dollar-Computer, der sich in den Abstellraum setzt.<\/p>\n\n\n\n

\n\n\n\n

7. Der Epilog \u2013 Was bleibt?<\/h2>\n\n\n\n

Was lernen wir aus dieser Geschichte?<\/p>\n\n\n\n

Zuerst: Technik ist immer ein Kind ihrer Zeit. Die Kassensysteme von SAP wurden in einer \u00c4ra entworfen, als Hacking noch bedeutete, einen Geldautomaten mit einem Vorschlaghammer zu bearbeiten. Die digitale Hintert\u00fcr war kein Thema, weil jeder wusste, wo die T\u00fcr war \u2013 und sie war verschlossen. Dass man sie mit einem einfachen Netzwerkkabel \u00f6ffnen konnte, \u00fcbersah man.<\/p>\n\n\n\n

Zweitens: Der billigste Computer der Welt ist oft der gef\u00e4hrlichste. Ein Raspberry Pi kostet 25 Dollar. Eine Ethernet-Buchse ist kostenlos. Das Wissen, wie man den Pi programmiert, ist in unz\u00e4hligen Foren frei verf\u00fcgbar. Die Hemmschwelle f\u00fcr solch einen Angriff liegt also nicht im Material, sondern allein im Gewissen.<\/p>\n\n\n\n

Und drittens: Vertrauen ist gut, aber Kontrolle ist besser. Die Ingenieure von SAP haben inzwischen dazugelernt. Die Patches sind da. Aber wie viele \u00e4hnliche Systeme laufen noch irgendwo in Hinterzimmern, mit veralteter Software, mit offenen Buchsen, mit dem Schild „Bitte nicht \u00f6ffnen“? Wie viele Server vertrauen noch jedem, der freundlich fragt?<\/p>\n\n\n\n

Wenn du das n\u00e4chste Mal an der Kasse stehst und dein Smartphone aus der Tasche ziehst, denk an Dmitry und Vladimir. Und an den kleinen Raspberry Pi, der in einer verstaubten Ecke steckt und leise vor sich hin blinkt.<\/p>\n\n\n\n

Der Hack ist gefixt. Aber die Haltung, die ihn m\u00f6glich machte \u2013 diese Mischung aus Naivit\u00e4t und Bequemlichkeit \u2013 die lebt weiter. In tausend anderen Ger\u00e4ten, in tausend anderen Netzwerken. Warte nur, bis du h\u00f6rst, was man mit einem 10-Dollar-Mikrocontroller in einem modernen Auto anstellen kann. Aber das ist eine andere Geschichte.<\/p>","protected":false},"excerpt":{"rendered":"

Messehalle, irgendwo in Europa, Fr\u00fchjahr 2017. Es riecht nach Kabelbindern, frisch bedrucktem Prospektpapier und dem Schwei\u00df tausender Besucher. Zwei M\u00e4nner schlendern durch die G\u00e4nge, aber sie interessieren sich nicht f\u00fcr die gl\u00e4nzenden Exponate auf den St\u00e4nden. Sie suchen etwas anderes. Sie suchen eine Buchse. Dmitry Chastuhin und Vladimir Egorov sind keine gew\u00f6hnlichen Messebesucher. Sie sind […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[11,15],"tags":[],"class_list":["post-793","post","type-post","status-publish","format-standard","hentry","category-aus-dem-bauch-heraus","category-gesellschaft"],"_links":{"self":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts\/793","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/comments?post=793"}],"version-history":[{"count":0,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts\/793\/revisions"}],"wp:attachment":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/media?parent=793"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/categories?post=793"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/tags?post=793"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}