KVM Sicherheit: Warnung! Dieses 30€ China-Gadget hat ein geheimes Mikrofon und sendet Daten nach Hause.

Wenn wir über KVM Sicherheit sprechen, denken die meisten von uns an komplexe Firewalls oder physische Zugangskontrollen im Serverraum, aber sicher nicht an ein unscheinbares 30-Euro-Bauteil. Doch genau hier liegt der Hund begraben. In der Tech-Community herrschte lange Zeit Goldgräberstimmung, als Sipeed den NanoKVM auf den Markt brachte. Endlich eine günstige Alternative zum teuren Raspberry Pi basierten PiKVM! Für knapp 30 bis 60 Euro versprach dieses kleine Stück Hardware die volle Kontrolle über Server, BIOS und Terminals – remote, über das Netzwerk.

Die Begeisterung war riesig, die YouTube-Thumbnails schrien „Gamechanger“, und die Bestellungen aus Fernost fluteten die Bastelkeller und kleinen Firmen-ITs. Wir schreiben heute den 11. Dezember 2025, und wir müssen rückblickend feststellen: Wir waren naiv. Sehr naiv. Denn was als kostengünstige Revolution für das Homelab und SMBs (Small and Medium-sized Businesses) begann, entpuppte sich als trojanisches Pferd der Extraklasse.

Es ist ein klassisches Beispiel dafür, wie der Preis die Vorsicht schlägt. Wer Hardware tief in sein Netzwerk integriert – und ein KVM-Switch (Keyboard, Video, Mouse) hängt nun mal direkt am Herzen der Infrastruktur –, der muss vertrauen können. Doch dieses Vertrauen wurde massiv missbraucht. Die Diskussion um KVM Sicherheit hat durch die Enthüllungen aus dem Februar dieses Jahres eine völlig neue Dringlichkeit erhalten, die wir heute, fast ein Jahr später, immer noch spüren.

Warum reiten wir heute noch darauf herum? Weil diese Geräte immer noch verkauft werden. Weil sie immer noch in Racks hängen. Und weil viele Nutzer das Firmware-Update, das die Probleme angeblich beheben soll, bis heute nicht eingespielt haben oder sich der Gefahr gar nicht bewusst sind. Es ist Zeit für Klartext.

Was ist passiert? (KVM Sicherheit Update)

Spulen wir kurz zurück: Im Februar 2025 veröffentlichte ein slowenischer Sicherheitsforscher eine vernichtende Analyse des Sipeed NanoKVM. Was er fand, lässt jedem Admin das Blut in den Adern gefrieren. Das Gerät, das eigentlich nur Bildsignale übertragen und Tastatureingaben simulieren soll, führte ein Eigenleben.

Der Forscher entdeckte zunächst ein Bauteil auf der Platine, das in keiner Dokumentation auftauchte. Ein Mikrofon. Wozu braucht ein KVM-Switch, der an einem Server hängt, ein Mikrofon? Offiziell gibt es dafür keinen Grund. Inoffiziell öffnet es Tür und Tor für Abhöraktionen im Rechenzentrum oder im Home-Office. Gespräche, Lüftergeräusche (die Rückschlüsse auf die Last zulassen) oder schlichtweg vertrauliche Meetings in der Nähe des Racks könnten aufgezeichnet werden.

Doch das war nur die Spitze des Eisbergs in Sachen mangelnder KVM Sicherheit. Die Software des Geräts, die teilweise auf einem „GameBoy“-ähnlichen Interface basierte, telefonierte fleißig nach Hause. Ohne explizite Zustimmung des Nutzers wurden Verbindungen zu Servern in China aufgebaut. Das Argument der Hersteller: „Vereinfachung der Cloud-Verbindung für den Fernzugriff“. In der Realität bedeutet das: Ein Tunnel durch eure Firewall, direkt nach draußen.

Die Firmware selbst war ein Schweizer Käse. Veraltete Linux-Kernel, hartcodierte Zugangsdaten und Web-Oberflächen, die sich mit simplen Tricks aushebeln ließen. Wer dieses Gerät ans Netz hing, lud Angreifer förmlich ein. Besonders brisant: Viele Nutzer verwenden KVMs gerade deshalb, um kritische Systeme zu warten, die *nicht* direkt am Internet hängen sollen. Der NanoKVM überbrückte diese Sicherheitslücke – im negativen Sinne.

Der LazyTechLab Check

Wir bei LazyTechLab lieben Gadgets. Wir lieben es, wenn Technik erschwinglich wird. Aber wir hassen es, wenn wir für dumm verkauft werden. Die Analyse der KVM Sicherheit bei diesem Gerät zeigt ein grundlegendes Problem der Tech-Branche: „Feature Creep“ ohne Sicherheitskonzept.

Warum baut man ein Mikrofon ein? Vermutlich, weil der verwendete Chipsatz (oft recycelte SoCs aus IP-Kameras oder alten Smartphones) das Feature „gratis“ mitbringt und man zu faul oder zu geizig war, das Board-Layout anzupassen. Das ist keine böse Absicht per se, aber es ist grob fahrlässig. Es zeigt, dass bei der Produktion jeder Cent zweimal umgedreht wurde, auf Kosten der Integrität.

Noch kritischer sehen wir die Cloud-Anbindung. Ein KVM-Switch ist ein „Out-of-Band“-Management-Tool. Das bedeutet, es sollte *völlig isoliert* vom restlichen Datenverkehr arbeiten. Dass ein solches Gerät standardmäßig versucht, eine Verbindung zu einer unbekannten Cloud aufzubauen, disqualifiziert es für jeden ernsthaften Einsatz. Es ist, als würde man seinem Einbrecher einen Zweitschlüssel unter die Fußmatte legen, nur damit der Paketbote einfacher reinkommt.

Für uns ist der NanoKVM in seiner ursprünglichen Form Elektroschrott – zumindest für jeden, der Wert auf Privacy legt. Man kann argumentieren, dass man das Mikrofon physisch entfernen (abzwicken) und die Firmware flashen kann. Aber sollte man das müssen? Bei einem Produkt, das Zugriff auf das BIOS eures Servers hat? Wir sagen: Nein.

💡 Unsere Einschätzung zu KVM Sicherheit

Dieser Vorfall lehrt uns eine wichtige Lektion über KVM Sicherheit: Es gibt keine Abkürzungen. Wenn ein Produkt nur ein Drittel dessen kostet, was die etablierte Konkurrenz (oder die DIY-Lösung mit einem Raspberry Pi) verlangt, dann zahlt man meist mit seinen Daten. Für Bastler, die das Gerät in einem komplett isolierten VLAN ohne Internetzugang betreiben und wissen, wie man einen Lötkolben bedient, um das Mikrofon zu entfernen, mag es ein Spielzeug bleiben.

Für alle anderen gilt: Finger weg von „Black Box“ Hardware aus dubiosen Quellen, wenn sie Administrator-Rechte in eurem Netzwerk hat. Die Gefahr durch Supply-Chain-Attacks ist real. Ein kompromittierter KVM-Switch kann Tastatureingaben loggen (Keylogger), Passwörter abgreifen und sogar ISO-Dateien mounten, um Schadsoftware auf dem Zielsystem zu installieren – und das alles unterhalb der Ebene des Betriebssystems.

Wir empfehlen daher dringend, auf Lösungen zu setzen, bei denen Hard- und Software transparent sind. Die beste Option für Heim-Admins und kleine Firmen bleibt der Eigenbau auf Basis vertrauenswürdiger Hardware. Ja, es ist teurer. Aber was kosten eure Daten?

Quelle: Originalbericht lesen