Webcam weltweit: gewollte Livebilder und offene Kameras bei Insecam

Wer nach Webcam weltweit sucht, will meistens etwas Schönes sehen. Den Schnee auf einem Alpengipfel etwa, oder einen Hafen am anderen Ende der Welt, während zu Hause gerade Nacht ist. Solche Kameras hängen dort, weil jemand sie aufgehängt hat, damit du hinschaust. Daneben gibt es eine zweite Sorte, und von der handelt der größere Teil dieses Textes: Kameras aus Garagen, Kinderzimmern und Hausfluren, die niemand zeigen wollte und die trotzdem jeder sehen kann. Verzeichnisse wie Insecam und Suchmaschinen wie Shodan haben sie berühmt gemacht.

Technisch trennt die beiden Welten wenig. Beide Arten von Kameras schicken ein Bild ins Netz, oft sind es sogar dieselben Modelle. Den Unterschied macht die Absicht des Menschen, der sie aufgestellt hat.

Dieser Text gehört zu unserer OSINT-Reihe, in der es auch schon um frei verfügbare Satellitenbilder ging. Er erklärt, wofür öffentliche Webcams gut sind, wie private Kameras aus Versehen im Netz landen und wie du herausfindest, ob deine eigene dazugehört.

Webcam weltweit: die gewollte Seite

Die Zahl der Kameras, die ganz bewusst senden, ist riesig. Gemeinden montieren sie am Kirchturm, und kaum ein Skigebiet verzichtet auf ein Bild von der Bergstation. Im Alpenraum betreiben Vereine und Privatleute Netze aus hochauflösenden Kameras, die alle paar Minuten ein Bild machen und es über Jahre archivieren. Wer wissen will, ob am Pass schon Schnee liegt, fragt heute nicht mehr beim Hüttenwirt an.

Manche dieser Kameras haben eine erstaunliche Fangemeinde. Im Katmai-Nationalpark in Alaska filmen acht Kameras des Netzwerks Explore.org die Braunbären an den Brooks Falls, wie sie Lachse aus dem Wasserfall fischen. Laut Guardian wurde die Bärenkamera zwischen dem 22. Juni und dem 4. August 2026 rund 7,3 Millionen Mal aufgerufen. Jeden Herbst stimmen Zuschauer in der Fat Bear Week darüber ab, welcher Bär sich den dicksten Winterspeck angefressen hat. Die Kameras laufen über Solarstrom und Satelliteninternet, und vor der Fat Bear Week reisen Techniker in den Park, um alles noch einmal zu prüfen.

Für Recherche sind solche Bilder mehr als Unterhaltung. Behauptet jemand in einem Video, es sei an einem bestimmten Tag in einer bestimmten Stadt aufgenommen, kann eine Webcam mit Archiv den Gegenbeweis liefern. Lag an dem Morgen Schnee? War der Platz voll oder leer? Stand die Sonne so, wie die Schatten im Video es nahelegen? Zusammen mit historischen Wetterdaten und Satellitenbildern entsteht so ein ziemlich robustes Bild davon, was an einem Ort tatsächlich los war.

Wie private Kameras aus Versehen ins Netz rutschen

Eine Überwachungskamera für ein paar Dutzend Euro ist im Kern ein kleiner Computer mit Linse. Er hat ein Betriebssystem, eine Weboberfläche, oft einen Videodienst, der auf Anfrage einen Livestream herausgibt. Im Heimnetz ist das gewollt. Das Problem beginnt, wenn dieser kleine Computer auch aus dem Internet erreichbar wird.

Meist passiert das über den Router. Wer von unterwegs aufs Kamerabild schauen will, richtet eine Portfreigabe ein, oder die Kamera erledigt das selbst über UPnP. Diese Router-Funktion erlaubt es Geräten im Heimnetz, sich ohne Rückfrage eine Tür nach außen zu öffnen. Das ist bequem, und genau deshalb bemerkt es oft niemand. Ab diesem Moment beantwortet die Kamera Anfragen von jedem Rechner der Welt.

Das allein wäre halb so schlimm, wenn ein ordentliches Passwort davor stünde. Viele ältere Geräte kamen aber mit einem Werkspasswort, das für alle Exemplare eines Modells gleich war und im Handbuch stand. Häufig war es irgendeine Spielart von admin. Wer es nie geändert hat, hat die Wohnungstür zwar geschlossen, den Schlüssel aber unter die Fußmatte gelegt, und die Fußmatte liegt im Internet.

Ein dritter Weg führt über das Konto beim Hersteller. Viele moderne Kameras öffnen gar keine Ports mehr, sondern schicken ihr Bild über eine Cloud. Das ist grundsätzlich sicherer. Es verlagert das Risiko aber auf das Kundenkonto, und wer dort dasselbe Passwort benutzt wie bei einem Onlineshop, dessen Daten irgendwann geleakt wurden, lädt Fremde ein.

Insecam: das Verzeichnis, das 2014 alle erschreckte

Im November 2014 tauchte eine Website auf, die genau diese Schwachstelle ausstellte. Insecam, betrieben von einem anonymen Programmierer mit Servern in Russland, listete nach Presseberichten rund 73.000 Kameras in 152 Ländern. Die Bilder ließen sich nach Land, Hersteller oder Motiv sortieren, dazu gab es Koordinaten und eine Kartenmarkierung. Allein in den USA waren es laut CNET über 11.000 Kameras, in Großbritannien fast 2.500. Die meisten stammten von großen Herstellern wie Foscam und Panasonic, und fast alle liefen noch mit dem Werkspasswort.

Der Betreiber sagte, er wolle zeigen, wie wichtig die Sicherheitseinstellungen seien. Auf der Liste standen Kirchen, Bars und Friseursalons, aber auch Schlafzimmer, Gärten und Kinderzimmer. Die britische Datenschutzbehörde ICO forderte Besitzer öffentlich auf, die Werkspasswörter zu ändern, und auch in Washington wurde die Sache kritisch kommentiert. Viele Kameras verschwanden in den Tagen danach von selbst, weil ihre Besitzer aus der Presse erfahren hatten, was sie da betrieben.

Die Seite ging kurz vom Netz, dann stand dort nur noch, ein Programmierer suche einen guten Remote-Job. Am 25. November war sie zurück, jetzt mit dem Versprechen, jede Kamera von Hand zu prüfen und keine privaten Räume mehr zu zeigen. Eine Studie von 2018 zählte, dass insgesamt mindestens 560.293 verschiedene Kameras irgendwann auf Insecam gelistet waren. Heute sind es nach Wikipedia nur noch gut 2.000 aktive.

Shodan: eine Suchmaschine für Geräte

Insecam war ein Schaufenster. Die eigentliche Infrastruktur dahinter heißt Shodan. Der Programmierer John Matherly startete die Suchmaschine 2009, und sie funktioniert anders als Google. Sie liest keine Webseiten, sondern klopft laufend an die Adressen des Internets und notiert, welches Gerät antwortet und was es über sich verrät. Router, Drucker, Industriesteuerungen, Server und eben Kameras, darunter solche, die ihren Videostrom über das Protokoll RTSP anbieten.

Sicherheitsforscher und Betreiber großer Netze nutzen Shodan, um eigene Schwachstellen zu finden, bevor es andere tun. Dieselbe Übersicht ist aber auch für Menschen mit weniger freundlichen Absichten ein Katalog. Wie man dort nach fremden Kameras sucht, steht hier nicht, und das hat einen einfachen Grund: Du brauchst es nicht. Für die Frage, ob deine eigene Kamera offen ist, gibt es bessere Wege, und die kommen gleich.

Wenn die Lücke beim Hersteller liegt

Offene Ports und Werkspasswörter sind die eine Hälfte. Die andere Hälfte der bekannten Fälle hat mit den Besitzern wenig zu tun.

Im Herbst 2016 übernahm eine Schadsoftware namens Mirai massenhaft IP-Kameras, Videorekorder und Router. Sie probierte eine Liste von 62 gängigen Werks-Zugangsdaten durch, laut der US-Behörde CISA, und machte jedes Gerät, bei dem eine passte, zum Soldaten in einem Botnetz. Ende September veröffentlichte der Urheber den Quellcode. Am 21. Oktober 2016 legten Angriffe mit diesem Netz den DNS-Dienstleister Dyn lahm, und für Stunden waren große Plattformen in Europa und Nordamerika für viele Nutzer nicht erreichbar. Die Kameras filmten dabei weiter, als wäre nichts.

Im Dezember 2019 hörte eine Familie in Mississippi eine fremde Stimme aus der Kamera im Kinderzimmer. Die Mutter hatte sie am Black Friday gekauft. Jemand hatte sich ins Konto eingeloggt und sprach über den Lautsprecher mit der achtjährigen Tochter, er sei der Weihnachtsmann. Ring erklärte damals, es gebe keinen Einbruch in die eigenen Systeme, das Passwort sei wohl woanders schon verwendet worden. Die US-Handelsaufsicht FTC sah das 2023 differenzierter. In ihrer Klage hieß es, Ring habe trotz mehrerer Angriffswellen 2017 und 2018 erst 2019 einen zweiten Anmeldefaktor eingeführt, und Angreifer hätten Zugriff auf Konten und Videos von rund 55.000 Kunden in den USA gehabt. Außerdem habe ein Mitarbeiter über Monate tausende Aufnahmen aus Badezimmern und Schlafzimmern von Kundinnen angesehen. Ring zahlte 5,8 Millionen Dollar.

Im März 2021 verschaffte sich eine Hackergruppe Zugang zu den Systemen des Kameraherstellers Verkada und sah live in über 150.000 Kameras. Darunter waren Fabriken von Tesla, Büros von Cloudflare, Gefängnisse, Schulen und psychiatrische Kliniken. Einer der Beteiligten sagte, man habe zeigen wollen, wie verbreitet und angreifbar die Überwachung sei. Die FTC warf Verkada 2024 unter anderem fehlende Mindeststandards bei Passwörtern und Verschlüsselung vor.

Der seltsamste Fall ist der jüngste. Im Februar 2024 fiel beim Hersteller Wyze nach einer Störung bei Amazons Cloud der Dienst aus. Als die Kameras wieder online kamen, vertauschte eine Zwischenspeicher-Software Geräte und Konten. Rund 13.000 Nutzer sahen in ihrer App Vorschaubilder aus fremden Wohnungen, 1.504 tippten eines an. Hier hatte niemand ein Passwort geknackt. Es war ein Programmfehler, und der reichte.

So prüfst du, ob deine Kamera offen im Netz hängt

Der ehrlichste Test beginnt im eigenen Router. Öffne seine Oberfläche, meist über eine Adresse, die auf dem Gerät selbst steht, und such die Liste der Portfreigaben. Steht dort ein Eintrag, der auf die Kamera, den Videorekorder oder das Babyphone zeigt, ist das Gerät von außen erreichbar. Direkt daneben findest du bei den meisten Routern die UPnP-Einstellung und oft eine Liste der Freigaben, die sich Geräte selbst eingerichtet haben. Die ist häufig länger, als man denkt.

Der zweite Blick gilt dem Konto beim Hersteller. Die meisten Apps zeigen an, welche Geräte und Sitzungen gerade angemeldet sind, manche auch, wer wann aufs Livebild zugegriffen hat. Tauchen dort ein fremdes Handy oder eine Anmeldung aus einem anderen Land auf, ist der Fall klar.

Ein einfacher Praxistest geht so: Schalte am Handy das WLAN ab, sodass du nur über Mobilfunk im Netz bist. Versuch dann, die Weboberfläche deiner Kamera über die öffentliche Adresse deines Anschlusses zu erreichen, ohne die App des Herstellers. Erscheint eine Anmeldeseite, sieht die auch jeder andere. Die öffentliche Adresse zeigt dir der Router an, und wie viel sich aus so einer Adresse sonst noch lesen lässt, ist eine eigene Geschichte.

Achte außerdem auf Dinge, die das Gerät selbst verrät. Eine bewegliche Kamera, die sich von allein dreht, ein Lautsprecher, aus dem Geräusche kommen, eine Status-LED, die ohne Grund leuchtet: All das sind ernste Warnzeichen. Mehr dazu, wie du Anzeichen für einen fremden Zugriff auf deine Geräte allgemein erkennst, steht in unserem Text Wurde ich gehackt?.

So machst du sie zu

Wenn du eine Portfreigabe für die Kamera gefunden hast, lösch sie. Wenn du UPnP nicht bewusst für ein bestimmtes Gerät brauchst, schalte es ab. Das BSI rät seit Jahren, im Router alles zu deaktivieren, was nicht gebraucht wird. Dann wechselst du das Passwort der Kamera, und zwar sowohl das der Weboberfläche als auch das des Kundenkontos, beide lang und nirgendwo sonst in Gebrauch. Bietet der Hersteller eine Zwei-Faktor-Anmeldung an, schalte sie ein.

Als Nächstes kommt die Firmware. Viele Lücken der Vergangenheit sind längst geschlossen, nur eben nicht auf Geräten, die seit Jahren kein Update gesehen haben. Liefert der Hersteller gar keine Updates mehr, ist das ein guter Grund, über ein Ersatzgerät nachzudenken, zumindest für Innenräume.

Bleibt die Frage nach Cloud oder lokal. Eine Kamera, die ihr Bild über die Server des Herstellers schickt, öffnet keine Ports und ist dadurch für Suchmaschinen wie Shodan unsichtbar. Dafür vertraust du dem Hersteller, und die Fälle Ring, Verkada und Wyze zeigen, dass dieses Vertrauen nicht immer gerechtfertigt ist. Eine rein lokale Kamera ohne Internetzugang ist am sichersten, aber von unterwegs nicht erreichbar. Wer beides will, kann den Zugriff über ein VPN in sein Heimnetz legen, sofern der Router das anbietet. Das ist ein Nachmittag Arbeit, danach steht keine Tür mehr offen.

Und dann gibt es noch eine Frage, die keine Technik beantwortet: Muss die Kamera wirklich dort hängen? Eine Kamera in der Einfahrt ist etwas anderes als eine im Schlafzimmer. Die meisten der verstörendsten Fälle der letzten Jahre begannen mit einer Kamera an einem Ort, an dem man sich eigentlich unbeobachtet fühlen möchte.

Seit dem 1. August 2025 gelten in der EU für neue Funkgeräte übrigens verbindliche Anforderungen an die Cybersicherheit, darunter der Schutz vor unbefugtem Zugriff. Großbritannien verbietet universelle Werkspasswörter schon seit April 2024. Das hilft bei Neugeräten. Die Kamera, die seit sechs Jahren über der Garage hängt, erfasst es nicht. Was der Router selbst über deinen Wohnort und frühere Werkseinstellungen verrät, steht im Artikel über die BSSID.

Webcam abkleben und die Erpressermail

Bleibt die Kamera, die dir am nächsten ist, die im Laptop. 2016 ging ein Foto von Mark Zuckerberg um die Welt, auf dem hinter ihm ein Laptop mit abgeklebter Kamera stand. Gut zwei Monate vorher hatte der damalige FBI-Direktor James Comey erzählt, er klebe seine Kamera ab, weil er es bei jemand Klügerem gesehen habe. Übertrieben ist das nicht. Forscher der Johns Hopkins University hatten 2013 gezeigt, dass sich bei älteren MacBooks die grüne Kontrollleuchte abschalten ließ, während die Kamera lief. Ob so etwas beim eigenen Gerät möglich ist, kann kaum jemand selbst beurteilen. Ein Schieber vor der Linse schadet trotzdem nicht, er schützt aber nur das Bild und nicht das Mikrofon.

Die viel häufigere Begegnung mit dem Thema ist eine E-Mail. Jemand behauptet, er habe deinen Rechner übernommen und dich über die Webcam bei intimen Momenten gefilmt, und wenn du nicht in Bitcoin zahlst, gehe das Video an Familie und Kollegen. Manchmal steht zur Beglaubigung ein echtes, altes Passwort von dir darin. Die Verbraucherzentrale sammelt solche Mails seit Jahren und schreibt, dass die Absender sehr wahrscheinlich über kein Videomaterial verfügen. Die Mails gehen wahllos an riesige Adresslisten, und das Passwort stammt aus einem früheren Datenleck.

Zahlen solltest du nicht, und auf die Mail zu antworten bringt auch nichts. Anhänge bleiben zu. Ist das genannte Passwort noch irgendwo in Gebrauch, ändere es dort. Ob deine Adresse in bekannten Leaks auftaucht, kannst du selbst prüfen. Die Verbraucherzentrale empfiehlt zusätzlich eine Anzeige bei der Polizei.

Was bleibt

Die Welt der Webcams ist zweigeteilt, auch wenn man es den Geräten selbst kaum ansieht. Dieselbe Linse kann einen Wasserfall in Alaska zeigen oder eine Küche in Leipzig. Was im Netz landet, entscheidet eine Einstellung im Router, ein Passwort und manchmal der Programmierfehler eines Herstellers.

Für die eigene Kamera lässt sich das meiste an einem Abend klären, meist reicht ein gründlicher Blick in den Router und ein neues Passwort. Danach darfst du wieder mit gutem Gewissen nach Schnee am Gipfel schauen.

Und falls die Sorge eher in die andere Richtung geht, also eine fremde Kamera in der Ferienwohnung oder im Hotelzimmer: Wie man versteckte Kameras findet, haben wir in einem eigenen Artikel aufgeschrieben.

Häufige Fragen

Ist es legal, öffentliche Webcams anzusehen?

Webcams, die ihre Betreiber bewusst ins Netz stellen, also Wetterkameras, Stadtansichten, Skigebiete oder Tierkameras, darfst du ohne Weiteres anschauen. Dafür sind sie da. Anders sieht es bei Kameras aus, die nur deshalb erreichbar sind, weil jemand das Passwort nicht geändert hat. Wer sich dort mit einem fremden Standardpasswort anmeldet, verschafft sich Zugang zu einem geschützten System, und das kann nach § 202a StGB strafbar sein. Schon das bloße Zuschauen bei einem Stream aus fremden Wohnräumen verletzt zumindest die Privatsphäre der Menschen im Bild.

Was ist Insecam?

Insecam ist eine Website, die seit 2014 Livebilder von Überwachungskameras sammelt, die ohne eigenes Passwort im Internet erreichbar sind. Anfangs listete sie nach eigenen Angaben rund 73.000 Kameras in 152 Ländern, darunter viele aus Wohnungen und Gärten. Nach Protesten von Datenschutzbehörden verschwand die Seite kurz, kehrte aber zurück und blendet nach eigener Aussage seither private Innenräume aus. Laut Wikipedia sind heute nur noch gut 2.000 Kameras aktiv gelistet.

Wie finde ich heraus, ob meine Kamera gehackt wurde?

Sieh zuerst in der App oder im Kundenkonto nach, welche Geräte und Sitzungen angemeldet sind und ob dort etwas Fremdes auftaucht. Ungewöhnliche Schwenks einer beweglichen Kamera, eine Status-LED, die ohne Grund leuchtet, oder Stimmen aus dem Lautsprecher sind deutliche Warnzeichen. Im Router lohnt ein Blick auf die Liste der Portfreigaben und auf UPnP. Im Zweifel setzt du die Kamera auf Werkseinstellungen zurück, spielst die neueste Firmware ein und vergibst ein neues, einzigartiges Passwort mit Zwei-Faktor-Anmeldung.

Sollte man die Webcam am Laptop abkleben?

Schaden kann es nicht, und es kostet nichts. Ein Abdeckschieber schützt zuverlässig vor dem Bild, allerdings nicht vor dem Mikrofon. Normalerweise zeigt eine Kontrollleuchte an, dass die Kamera läuft. Forscher der Johns Hopkins University haben aber 2013 gezeigt, dass sich diese Leuchte bei älteren MacBooks abschalten ließ. Wer ruhiger schläft, wenn die Linse zu ist, macht nichts falsch.

Was tun bei einer Erpresser-Mail, in der jemand behauptet, mich über die Webcam gefilmt zu haben?

Nicht zahlen und nicht antworten. Diese Mails gehen massenhaft an beliebige Adressen, und nach Erfahrung der Verbraucherzentrale haben die Absender so gut wie nie tatsächlich Videomaterial. Steht ein echtes Passwort von dir in der Mail, stammt es fast immer aus einem alten Datenleck. Dieses Passwort solltest du überall ändern, wo du es noch benutzt. Die Verbraucherzentrale rät außerdem, den Erpressungsversuch bei der Polizei anzuzeigen.