ändere das Kennwort für den Telek0m User, das sollte funktionieren und helfen. 

Schon probiert, es ist leider nur möglich das Passwort von admin zu ändern. Ein sicheres Passwort für den admin ist somit auch sinnbefreit.

Huawei HA35-22 (Hybrid Modem)

Der Telek0m User ist harmloser als der tccadmin. Aber das ganze hilft dir sowieso nichts ,da ein "böser" Hacker sowieso über das HDM gewisse Einstellungen an der A1 Box ändern kann. 

Das HDM ist grundsätzlich das Fernwartungstool von A1, was der primäre Fernwartungsweg ist. Für spezial Sachen gibt es aber den Telek0m User oder den TCCADMIN, welche beide für Fernwartung gedacht sind und dadurch kann man aus gewissen IP Ranges auf die A1 Modems mit diesen Usern zugreifen. Der Telek0m weg ist aber ziemlich unbekannt.

Aber man kann auch, wenn man nicht A1 Mitarbeiter ist, fernwartungsbefehle ins HDM einspielen. Das ganze ist zum Glück sehr Limitiert, aber auch das was möglich ist, ist zu viel. 

Mist heute ist schon wieder Sonntag. 

Dein Problem kann ich aber nicht lösen, aber vielleicht gefällt dir einer dieser 3 Optionen:

Anderen Anbieter. Die könnten besser sein, was das betrifft, müssen aber nicht. 

Die Hybrid Box in den su Modus schalten und den eigenen Router die PPPoE Einwahl machen lassen. Nachteil, man verliert den LTE Teil.

Eigenen Router als Exposed Host einrichten, Nachteil Doppel Nat. 

Danke für die umfangreiche Antwort.

Nur weil ein Weg unbekannt ist, heißt das nicht, dass es irgendeinen Schutz für diese Sicherheitslücke bietet.

Hab gestern auch mit einem Techniker von A1 gesprochen und es gibt wirklich keinen Weg diese Sicherheitslücke zu schließen, da der User tief in der Firmware steckt. Ein flashen der Firmware würd gleichzeitg den Verlust der Hybrid Funktion bedeuten.

Es hat auch offen zugegeben, dass diese Sicherheitslücke auf allen privaten Modem existiert.

Vor dem Umstieg auf Hybrid hab ich das Modem natürlich im SU Modus betrieben, mit dem Wegfall des LTE Teils ist es nicht wirklich eine Alternative.

Exposed Host wäre tatsächlich eine Option, müsste ich schauen ob der VPN-Server dahinter dann noch ordnungsgemäß funktioniert mit einem doppelten NAT.

IPSec, GRE und co, kann man mit Doppelnat vergessen. Alles was aber auf TCP oder udp aufbaut ist mit den richtigen Weiterleitungen kein Problem.

Mein Setup ist so:

CGA2121 bekommt die öffentliche IP] ---- 'DMZ' ---- Draytek 2960 --- VPN Server

Das CGA2121 ist das einzige Gerät mit öffentlicher IP. Das mit dem VPN funktioniert ohne Probleme. Der VPN Dienst läuft bei mir über udp. 

Oder du wechselts auf einen Business Tarif, da kommt dann aus dem Router eine öffentliche IP. Kostet leider etwas mehr, dafür ist "Hybrid" besser gelöst