Niemand musste die Kamera öffnen

Die Kameras auf den Drohnenbooten der Royal Navy reisten mit einer Konformitätsbehauptung, auf die sich alle über ihnen verließen. Der Standard hinter dieser Behauptung nennt Unternehmen statt eines Landes, hat bei einem britischen Kauf keine Rechtskraft und definiert Sorgfalt, in seinem eigenen Text, als eine Prüfung, die nie verlangt, dass irgendjemand hineinschaut. Der Herzschlag fand seinen Weg nach China durch Papierwerk, das womöglich nie falsch gewesen ist.

Zwei Wörter erledigten hier die Arbeit: NDAA compliant.

Im Handel mit Sicherheitskameras verweist die Formulierung auf ein einziges Gesetz. Section 889 des John S. McCain National Defense Authorization Act for Fiscal Year 2019 ist die Bestimmung, die die Vereinigten Staaten schufen, um chinesische Überwachungsausrüstung aus ihren Regierungssystemen herauszuhalten, und die Branche hat sich um sie herum organisiert: Hersteller veröffentlichen NDAA-Konformitätserklärungen auf Modellebene, und Käufer schreiben den Begriff in Beschaffungschecklisten. Als die Kraken Technology Group die Kameras auf den K3 Scouts der Royal Navy als „third-party, NDAA-compliant“ beschrieb, ist das der Standard, den die Formulierung aufruft. Krakens Erklärung nennt keine Klausel, und nichts, was seither veröffentlicht wurde, tut es, aber in diesem Markt hat die Kurzform nur einen einzigen Bezugspunkt.

Was der Standard tatsächlich sagt, ist enger, als die Kurzform nahelegt, und seltsamer.

Fünf Namen und eine Unterschrift

Das Verbot steht in der American Federal Acquisition Regulation, in Klausel 52.204-25. „Covered“ Equipment meint Telekommunikationsausrüstung, die von Huawei oder ZTE hergestellt wird; Videoüberwachungs- und Telekommunikationsausrüstung, die von Hytera, Hangzhou Hikvision oder Dahua hergestellt wird, sofern sie zu Sicherheitszwecken gekauft wird; jede Tochtergesellschaft oder verbundene Gesellschaft dieser fünf; und, als letzte Kategorie, Ausrüstung von jeder Einheit, von der der US-Verteidigungsminister „vernünftigerweise annimmt“, dass sie im Eigentum oder unter der Kontrolle der chinesischen Regierung steht oder anderweitig mit ihr verbunden ist. Fünf namentlich genannte Unternehmen, und eine Benennungsbefugnis, die Name für Name ausgeübt werden muss.

Nirgendwo in dieser Definition ist das Herkunftsland das Kriterium. Eine Kamera, die in Shenzhen von einer Firma montiert wird, die auf keiner Liste erscheint, ist konform. Ebenso jedes Modul in ihr, wo auch immer die Teile hergestellt wurden, solange keine gelistete oder benannte Einheit sie produziert hat. Krakens Aussage, seine NDAA-konformen Kameras „hatten eine kleine Zahl von Komponenten, die von außerhalb des Vereinigten Königreichs stammten“, liest sich zunächst wie ein Widerspruch. Sie ist eine genaue Beschreibung davon, wie der Standard funktioniert.

Es gibt eine zweite Eigenschaft von Section 889, die keine Berichterstattung über diese Geschichte erwähnt hat. Es ist Vergaberecht der Bundesregierung der Vereinigten Staaten. Das Verbot bindet „den Leiter einer Exekutivbehörde“ der amerikanischen Regierung; die Klausel wird in amerikanische Bundesverträge eingefügt. Nichts darin regelt, was das britische Verteidigungsministerium kaufen darf, und nichts darin verpflichtete irgendjemanden in dieser Lieferkette, überhaupt irgendetwas zu tun. An einen Kauf der Royal Navy geheftet, ist „NDAA-konform“ kein regulatorischer Status. Es ist eine Produktbeschreibung, entlehnt aus dem Regelbuch eines anderen.

Sorgfalt, wie definiert

Dann gibt es die Frage, wie ein Unternehmen nachweist, dass es die Vorschriften einhält, und hier ist die Regelung ausdrücklich, was ihre eigenen Grenzen angeht. Klausel 52.204-25 definiert den Sorgfaltsmaßstab, den sie erwartet:

Angemessene Nachforschung bedeutet eine Nachforschung, die darauf ausgelegt ist, alle im Besitz des Rechtsträgers befindlichen Informationen über die Identität des Herstellers oder Anbieters erfasster Telekommunikationsausrüstung oder -dienste aufzudecken, die von dem Rechtsträger genutzt werden, und die die Notwendigkeit ausschließt, eine interne Prüfung oder eine Prüfung durch Dritte einzubeziehen.

Eine Nachforschung, die die Notwendigkeit einer Prüfung ausschließt. Die Regel nimmt die Frage vorweg, ob irgendjemand die Ausrüstung auseinandernehmen muss, und beantwortet sie in der Definition: nein.

Der Mechanismus, der eine Compliance-Behauptung hervorbringt, folgt daraus. Die begleitende Klausel, FAR 52.204-24, ist eine Zusicherung. Der Verkäufer setzt Angebot für Angebot ein Häkchen und erklärt, ob er erfasste Ausrüstung bereitstellen wird, und setzt ein zweites Häkchen, ob er, „nach Durchführung einer angemessenen Nachforschung“, irgendeine solche Ausrüstung verwendet. Beim ersten Kästchen gilt nicht einmal die Nachforschungspflicht; das einzige Verfahren, das die Klausel vorschreibt, ist eine Suche in einer amerikanischen Datenbank ausgeschlossener Unternehmen. Was unter diesem Regime eine Lieferkette hinunterwandert, ist kein Testergebnis. Es ist die Erklärung des Verkäufers über sich selbst.

Eine Quelle aus dem Verteidigungsbereich sagte dem Telegraph, die Affäre sei ein „schweres Versäumnis bei der Prüfung der Herkunft von Komponenten“ gewesen. Nach dem Maßstab, dessen Name auf den Kameras stand, war die Prüfung der Herkunft nie irgendjemandes Aufgabe. Das Zertifikat ist die Sorgfalt.

Wie eine konforme Kamera nach Hause telefoniert

Keiner der veröffentlichten Berichte erklärt den Mechanismus, durch den eine Kamera mit sauberen Papieren am Ende Kontakt nach China aufnimmt. Einen dokumentierten Fall gibt es, und er ist sieben Jahre alt.

Im April 2019 veröffentlichte der Sicherheitsforscher Paul Marrapese eine Analyse von iLnkP2P, einer Peer-to-Peer-Software, geschrieben von der chinesischen Firma Shenzhen Yunni Technology und eingebaut in Millionen internetverbundener Kameras, Videorekorder und Babyfone. Seine Scans identifizierten mehr als zwei Millionen solcher Geräte online. Das Verhalten, das er beschrieb, passt fast Wort für Wort zur Geschichte der Royal Navy: „Sobald iLnkP2P-Geräte mit einem Netzwerk verbunden sind, senden sie regelmäßig ein Heartbeat- oder ‚Hier bin ich‘-Signal an ihre vorkonfigurierten P2P-Server und warten auf weitere Anweisungen.“

Drei Eigenschaften dieser Anordnung lassen sich übertragen. Die Signalisierung ist absichtlich: Das Keepalive existiert, damit ein Kunde eine Kamera von einem Telefon aus ansehen kann, ohne einen Router zu konfigurieren, ein Verkaufsargument, das mit voller Absicht in die Firmware geschrieben wurde. Sie ist für das Branding unsichtbar: Ein chinesischer Anbieter, HiChip, machte fast die Hälfte der betroffenen Geräte aus, verkauft unter einer Liste anderer Namen, und Marrapese beschrieb Shenzhen Yunni als „einen vorgelagerten Anbieter mit unabschätzbar vielen Unteranbietern aufgrund der Praxis des White-Labeling und Weiterverkaufs“. Und sie wehrt sich gegen das Abschalten: Es gibt keinen praktikablen Weg, sie zu deaktivieren, die Software schlüpft per UDP Hole Punching an Routerkontrollen vorbei, und die Abhilfe, die Marrapese für bereits installierte Geräte identifizierte, war eine Firewall-Regel, die den Verkehr am Rand des Netzwerks blockiert. Der Kamera im Kern das Netzwerk wegnehmen, genau das tat das Verteidigungsministerium.

Weder Shenzhen Yunni noch HiChip werden in Section 889 genannt.

Unsere ist nicht die einzige Lesart. Im Telegraph vom 10. August stellte der frühere Royal-Navy-Offizier Tom Sharpe die Frage an Lee Hannaford, Direktor für Verteidigung, nationale Sicherheit und Nachrichtendienste bei der Beratungsfirma Larkspur International. Hannaford sagte, viele chinesische Geräte und Subsysteme, darunter Kameras, Batterien und zellulare Internet-der-Dinge-Module, „sind so konstruiert, dass sie fortlaufende digitale Konnektivität zu ihren Mutterorganisationen benötigen“. Sobald diese Kanäle existierten, sagte er, „können sie genutzt werden“ für „Datensammlung, Befehls- und Kontrollfunktionen oder Vorpositionierung für Störungen“, und „die Verschlüsselung von Nutzdaten beseitigt das Risiko nicht“.

Das ist derselbe Mechanismus, vom anderen Ende her beschrieben. Marrapese fand ihn 2019 in der Firmware von Verbraucherkameras; Hannaford beschreibt ihn 2026 als Konstruktionsmerkmal einer Klasse von Komponenten, zu der auch die an diesem Mast gehört. Keiner von beiden spricht über einen Hack. Sie sprechen über eine Funktion.

Nichts davon identifiziert die Kameras der K3. In keinem veröffentlichten Bericht wurde ein Hersteller genannt, und dieser Text wird keinen nennen: Pollar besitzt Fotografien der Einheit, einer weißen marinen elektrooptischen Kamera mit gepaarten Tageslicht- und Wärmebildöffnungen, einer Geräteklasse, die von vielen Unternehmen verkauft wird, und ein kommerzielles Produkt in einer Geschichte über Ausrüstung, die nach China signalisiert, anhand visueller Ähnlichkeit zu identifizieren, wäre verleumderisch, wenn es falsch ist, und nicht überprüfbar, wenn es stimmt. Was die Forschung von 2019 belegt, ist nicht der Schuldige, sondern der Weg: eine gewöhnliche, massenmarkttaugliche, vollkommen legale Art, mit der eine Kamera, die eine wahrheitsgemäße Konformitätsbehauptung trägt, einem Server in China in Abständen mitteilt, dass sie am Leben ist.

Zwei Lesarten, eine Wurzel

Weil der Anbieter unbekannt ist, stützen die veröffentlichten Unterlagen zwei Darstellungen des Zertifikats, und nichts darin erlaubt eine Entscheidung zwischen ihnen.

In der ersten war das Zertifikat korrekt. Die Kameras enthielten Teile chinesischer Hersteller, die Section 889 nicht nennt, die Bescheinigung war zum Zeitpunkt ihrer Abgabe wahr, und die Boote sendeten trotzdem Signale nach China, weil der Standard nie dafür ausgelegt war, das zu verhindern.

In der zweiten war das Zertifikat falsch. Die Kameras waren White-Label-Geräte eines gelisteten Unternehmens, und niemand bemerkte es, weil der Sorgfaltsstandard genau den Schritt ausschließt, der es bemerkt hätte. Compliance-Leitlinien der Branche behandeln dies als Routine: „Eine Kamera, die unter einer amerikanisch oder europäisch klingenden Marke verkauft wird, kann auf der Hardware-Ebene dennoch Hikvision oder Dahua sein“, heißt es in einem Compliance-Briefing von IntelliSee vom Mai 2026, das White-Label-Bestandsprüfungen als häufigste Quelle von Section-889-Feststellungen in den Jahren 2025 und 2026 verzeichnet. Das Instrument, das in diesen Fällen die Feststellung trifft, ist ein Audit, genau der Schritt, den die Definition der angemessenen Nachforschung erlässt.

Die beiden Darstellungen haben dieselbe Wurzel. In der einen waren die Papiere wahr und unzureichend. In der anderen waren sie falsch und ungeprüft. So oder so war die Zusicherung, auf der die Lieferkette der Royal Navy lief, eine Erklärung, die niemand testen musste, und so oder so gilt die Erklärung weiterhin: Niemand hat sie zurückgezogen, und nichts Veröffentliches widerspricht ihr.

Die britischen Instrumente sind ebenfalls Erklärungen

Es wäre bequem, dies als einen amerikanischen Standard zu lesen, der bei einem britischen Käufer versagt. Großbritanniens eigene Instrumente folgen demselben Muster.

Das Verteidigungsministerium baut Cybersicherheit über das Cyber Security Model in seine Lieferkette ein, vertraglich auferlegt durch Defence Condition 658. Ein Lieferteam bewertet eine Tätigkeit und legt ein Risikoprofil fest; dann, in der veröffentlichten Formulierung des Ministeriums, „bewerten sich Lieferanten anhand eines Supplier Assurance Questionnaire selbst gegenüber den CSM-Anforderungen“. Der Fragebogen wird automatisch bewertet, und dem Lieferanten wird sofort mitgeteilt, ob er bestanden hat. Hauptauftragnehmer führen dasselbe Verfahren bei ihren Unterauftragnehmern durch, und diese wiederum bei ihren, „weiter hinab durch die Unterauftragsebenen bis zum Ende der Lieferkette“. Dieses Regime regelt die Cyberhaltung eines Lieferanten, nicht die Herkunft der Hardware in einem gelieferten Produkt, und die veröffentlichte Leitlinie belegt nicht, dass es diese Kamera erfasst. Das Muster ist der Punkt: Auf jeder Ebene einer britischen Verteidigungslieferkette ist das Instrument der Absicherung ein Fragebogen, den der Lieferant über sich selbst ausfüllt.

Großbritannien hat auch seine eigene Regel zu chinesischer Überwachungsausrüstung, älter als diese Geschichte und weiter gefasst als Section 889. Im November 2022 teilte Oliver Dowden dem Parlament mit, die Ministerien seien angewiesen worden, „den Einsatz solcher Ausrüstung an sensiblen Standorten einzustellen, wenn sie von Unternehmen hergestellt wird, die dem National Intelligence Law der Volksrepublik China unterliegen“. Das ist ein Zuständigkeitstest statt einer Namensliste, und dem Wortlaut nach erfasst er Unternehmen, die die amerikanische Klausel verfehlt. Dieselbe Erklärung riet, dass keine solche Ausrüstung „an die Kernnetze der Ministerien angeschlossen werden sollte“. Der Vektor, den diese Kamera nutzte, wurde in Whitehall vor vier Jahren benannt. Doch die Anweisung knüpft an Standorte an. Den Ministerien wurde außerdem gesagt, sie sollten prüfen, ob solche Ausrüstung dort, wo sie bereits eingesetzt war, entfernt und ersetzt werden sollte. Nichts Veröffentlichtes sagt, dass irgendjemand irgendetwas davon auf Boote angewandt hätte.

Was die Aktenlage nicht enthält

Stand 11. August 2026 nennt kein veröffentlichter Bericht, wie oft die Kameras Signale sendeten, welches Unternehmen sie herstellte, welcher Dritte sie an Kraken verkaufte, wie viele der zwanzig Rümpfe betroffen waren, wann die Schwachstellenbewertung stattfand oder wodurch sie ausgelöst wurde, ob die Kameras ersetzt oder nur abgetrennt wurden, ob dieselben Einheiten auf anderer Ausrüstung des Verteidigungsministeriums sitzen, oder was sich am anderen Ende der Verbindung befand.

Die Position des Ministeriums hat sich nicht bewegt: Eine routinemäßige Bewertung fand das Problem, und eine gründliche Untersuchung „fand keine Hinweise darauf, dass Daten oder Systeme des MoD extern abgerufen, kompromittiert oder übertragen wurden“. Nichts Veröffentliches gibt Anlass, daran zu zweifeln, und das Argument hier braucht einen solchen Anlass nicht.

Nimmt man das Dementi ganz beim Wort, überlebt die Frage es. Ein Signal, das keinen Inhalt trägt, sagt demjenigen, der es empfängt, dennoch, dass ein Gerät existiert, dass es mit Strom versorgt wird, dass es einen Weg nach draußen hat, und dass in dem Moment, in dem es stoppt, sich an ihm etwas geändert hat. Sharpe greift zu dem Fall, der dies öffentlich machte: 2018, schreibt er, hätten Stravas Fitness-Heatmaps „vermeintlich geheime westliche Stützpunkte enthüllt, indem sie die Joggingrouten von Soldaten veröffentlichten“. Auch dort wurde nichts gehackt. Veröffentlicht wurde, wo Menschen gewesen waren und wann, aggregiert, und das war der Stützpunkt. Sein eigener Vergleich sind Telefon-Handshakes, die einzeln betrachtet fast nichts preisgeben und, millionenfach, „Standorte, Lebensmuster und Tempo offenlegen“.

Weshalb er es nicht abtut. „Zu wissen, wann und möglicherweise wo eine Kamera auf einem Spezialkräfte-Boot aufwacht“, schreibt er, „ist nicht nichts.“

Die Geografie ist der eine Punkt, an dem die Aktenlage sich selbst widerspricht, und es lohnt sich, ihn darzulegen, statt ihn glattzubügeln. Der Telegraph fotografierte eine K3 im Hafen von Portsmouth, und die eigene Mitteilung des King's Harbour Master lässt K3-Erprobungen im Solent bis Dezember laufen. Doch am 10. August schrieb der Telegraph auch, die Flotte werde „seit März vom Hauptquartier des Special Boat Service in Poole aus betrieben“, während die Ankündigung der Royal Navy im März die Boote dem Coastal Forces Squadron und den 47 Commando Royal Marines zuordnete, Formationen mit Sitz in Portsmouth und bei RM Tamar in Devonport. Beide Darstellungen sind veröffentlicht, keine wurde zurückgezogen, und sie können nicht beide das ganze Bild sein. Was der ursprüngliche Bericht enger gefasst behauptet, ist, dass Spezialkräfte die Drohnen nutzten und dass sicherheitsüberprüftes Personal in ihrem Hauptquartier auf Kamera erschienen sein könnte.

Im Mai erklärte das MoD, die Drohnen würden Teil eines möglichen Einsatzes zum Schutz der Schifffahrt in der Straße von Hormus sein, im Falle eines dauerhaften Waffenstillstands. Keine K3 wurde dort gemeldet. Was an das Sichtfeld einer Kamera geknüpft war, stand nicht nur hypothetisch auf dem Spiel.

Die Prüfung kam spät

Nichts von dieser Ausrüstung wurde leichtfertig gekauft, und genau das gibt der Geschichte ihre Form. Der Vertrag lief durch eine wettbewerbliche Ausschreibung mit zwölf Bietern, darunter BAE Systems, Kongsberg und L3Harris. Entschieden wurde am 5. März und bekanntgegeben am 11., zu £10,25 Mio. ohne MwSt., gewonnen von einem 2020 gegründeten Unternehmen, zu dessen Investoren der NATO Innovation Fund und der britische National Security Strategic Investment Fund gehören, zu dessen Kunden das US Special Operations Command zählt und das an der Seite der Marinesparte von Rheinmetall baut. Die Regierung hatte £5 Mrd. für Drohnentechnologie zugesagt und versprochen, die Beschaffung werde „unverhohlen pro-britisch“ sein. Dies war die bestbeglaubigte Kette, die britische Verteidigungstechnologie zusammenfügen konnte, und ihre Gewissheit bestand dennoch aus Erklärungen.

Krakens Reaktion auf die Geschichte verdient es, vollständig zitiert zu werden: „Uns ist bekannt, dass einige NDAA-konforme Kameras von Drittanbietern eine kleine Zahl von Komponenten enthielten, die von außerhalb des Vereinigten Königreichs stammten. Nach einer vollständigen Prüfung sowohl durch Kraken als auch durch die Royal Navy sind wir überzeugt, dass zu keinem Zeitpunkt sensible Informationen außerhalb der vorgesehenen Kanäle weitergegeben wurden und dass alle potenziellen Schwachstellen identifiziert und geschlossen worden sind.“ Die Erklärung nennt kein Land. Sie nennt eine Prüfung, durch Hersteller und Navy gemeinsam, also genau jene Form der Sorgfaltsprüfung, von der die eigene Definition des Compliance-Standards entbindet. Sie fand statt, nachdem der Herzschlag gefunden worden war.

Die politische Reaktion weist in dieselbe Richtung. Alicia Kearns, die Schattenministerin für Sicherheit: „Wenn wir nicht mit Sicherheit sagen können, was in unserer eigenen militärischen Ausrüstung steckt, können wir nicht sagen, dass sie uns gehört oder dass wir souverän sind.“ Ihre Partei hat die Regierung aufgefordert, ihre Ausrüstung „dringend“ auf chinesische Komponenten zu prüfen. Eine Prüfung würde die Frage beantworten. Sie ist auch genau der Schritt, von dem der Standard, an dem geprüft wird, sagt, dass ihn nie jemand unternehmen musste.

Das Internet wurde von den Kameras entfernt. Die veröffentlichten Unterlagen sagen nicht, dass die Kameras von den Booten entfernt wurden. Und die zwei Wörter, die mit ihnen reisten, von einer ungenannten Drittpartei zum Hersteller zur Navy, bleiben, soweit alles Veröffentlichte zeigt, wahr.

---

Quellen: The Telegraph, 9. und 10. August 2026 (der zweite von Tom Sharpe, mit dem Hannaford- und Strava-Material); The Register, 10. August 2026; The Wall Street Journal, 10. August 2026; The Independent, 10. August 2026; Navy Lookout, 11. März 2026, zur Ausschreibung, den Bietern, Krakens Gründung, seinen Investoren, seiner Arbeit für das US Special Operations Command und dem Joint Venture mit Rheinmetall; die eigene Vergabemitteilung der Royal Navy, 11. März 2026; die Vergabebekanntmachung des MoD auf Find a Tender, 2026/S 000-021405, zum Entscheidungsdatum 5. März und zu beiden Vertragssummen; Kraken Technology Group; FAR 52.204-24 und 52.204-25, acquisition.gov; KrebsOnSecurity, 2. April 2019, zur Forschung von Paul Marrapese; IntelliSee-Compliance-Briefing, Mai 2026; gov.uk, Cyber Security Model; schriftliche Ministererklärung HCWS386, 24. November 2022. Pollar hat das Verteidigungsministerium oder die Kraken Technology Group vor der Veröffentlichung nicht um Stellungnahme gebeten.