Ausgerechnet Sid Meiers traditionsreiche Globalstrategie entwickelt sich für Nintendo zum sicherheitspolitischen Albtraum: Die physische Cartridge-Version von Civilization VII für die originale Nintendo Switch steht im Zentrum eines neuartigen Exploits, mit dem Hacker und Homebrew-Entwickler Sicherheitsbarrieren der Nintendo Switch 2 aushebeln. Die Situation rund um den sogenannten „CivSwitch“-Hack wiegt offenbar so schwer, dass Publisher 2K Games Berichten zufolge bereits damit begonnen hat, physische Exemplare der Switch-Fassung aus dem Handel zurückzuziehen.

Wie „CivSwitch“ funktioniert: Vom Ingame-Chat zur Code-Ausführung

Entdeckt und publik gemacht wurde die Schwachstelle von Modder und Sicherheitsforscher Gezine. Das Kuriose an dem Hack: Er setzt nicht an der Switch-2-Software selbst an, sondern nutzt die Abwärtskompatibilität der neuen Nintendo-Hardware im Zusammenspiel mit einer ungepatchten Schwachstelle des Vorgängermoduls aus:

  • Spezifische Modul-Voraussetzung: Der Exploit funktioniert ausschließlich mit der physischen Version 1.0.0 des Switch-1-Moduls von Civilization VII. Neuere Software-Builds oder rein digitale eShop-Fassungen greifen ins Leere.

  • XSS-Schwachstelle im Chat: Als Einfallstor dient der Text-Chat im lokalen Mehrspielermodus. Über eine Cross-Site-Scripting-Lücke (XSS) lässt sich bösartiger JavaScript-Code einschleusen.

  • USB-Injektion per Hardware: Mithilfe eines per USB angeschlossenen Mikrocontrollers (wie einem Raspberry Pi Pico) oder eines Smartphones, das sich als Tastatur tarnt, wird der Code automatisiert in das Chat-Eingabefeld getippt und ausgeführt.

Bislang handelt es sich bei CivSwitch noch um keinen vollständigen Jailbreak, der das Abspielen raubkopierter Switch-2-Spiele ermöglicht. Der Hack verschafft Anwendern jedoch weitreichenden Zugriff auf das sogenannte Userland: Spielstände lassen sich manipulieren, Spielmodifikationen aktivieren und unautorisierte Homebrew-Programme auf der Konsole starten.

Stornowelle im Handel: 2K zieht Module aus dem Verkehr

Die Nachricht über den Hack verbreitete sich in einschlägigen Subreddits wie ein Lauffeuer. Binnen Stunden kauften Bastler die Restbestände physischer Civilization VII-Module im Online-Handel leer, um sich den hardwarebasierten Zugangsschlüssel zur Switch 2 zu sichern.

Die Reaktion von Publisher 2K Games ließ nicht lange auf sich warten. Erste Händler, darunter Amazon, begannen umgehend damit, laufende Bestellungen physischer Versionen zu stornieren. In Benachrichtigungen an betroffene Kunden begründete der Versandriese die Maßnahme mit einer direkten Anweisung von 2K aufgrund von „technischen und sicherheitsbezogenen Anforderungen“.

Als Alternative bieten Händler betroffenen Käufern teilweise „Code-in-Box“-Varianten an. Da diese Verpackungen lediglich einen Downloadcode für den Nintendo eShop enthalten und der Exploit eine gepresste 1.0.0-Cartridge zwingend voraussetzt, läuft der Trick bei digitalen Lizenzen ins Leere. In der Branche gilt als offenes Geheimnis, dass Nintendo massiven Druck auf den Publisher ausgeübt haben dürfte, um die Verbreitung des Moduls schnellstmöglich einzudämmen.

KI-Tools beschleunigen das ewige Katz-und-Maus-Spiel

Der Fall CivSwitch verdeutlicht ein grundlegendes Dilemma moderner Konsolenarchitekturen: Während Online-Versionen jederzeit serverseitig gepatcht werden können, frieren physische Datenträger den Code-Stand zum Zeitpunkt der Pressung unwiderruflich ein. Sobald ein millionenfach produziertes Modul eine grundlegende Sicherheitslücke enthält, bleibt den Herstellern im Ernstfall nur der Rückruf aus den Regalen.

Zudem befeuert der Vorfall die Debatte über das rasant gestiegene Tempo der Modding-Szene. Durch den gezielten Einsatz von generativen KI-Programmierwerkzeugen gelingt es Hackern heute, Spielcode und Firmware-Architekturen in einem Bruchteil der früher benötigten Zeit zu analysieren und maßgeschneiderte Exploits zu entwickeln. Für Nintendo und andere Plattformhalter markiert CivSwitch lediglich die nächste, KI-beschleunigte Runde in einem Katz-und-Maus-Spiel, das die Konsolen-Sicherheit über Jahre hinweg auf Trab halten dürfte.