Es ist schon fast ein wenig gruselig. Lampenhersteller LIFX, Xiaomi, Tuya und WIZ seien betroffen. In einem schnellen Test konnte der Hacker „Limited Results“ WLAN-Passwörter in mehreren WLAN-fähigen Lampen unverschlüsselt auslesen. Dafür musste er die Lampen jedoch per Hand öffnen.

Freilich, irgendwie müssen solche smarten Lampen sich mit Eurem WLAN wiederverbinden können, nachdem sie am Schalter aus- und später wieder eingeschaltet wurden. Doch die dafür nötigen Daten unverschlüsselt zu speichern, gilt gemeinhin als schlechtes Vorgehen. Immerhin ist die Hemmschwelle recht hoch, dass ein Dieb Eure Lampe herausschrauben und bei sich zuhause öffnen und auslesen würde.

  • Darum sagt Ihr Nein zu Smart Home

Ein Hack ohne Löten oder Öffnen gelang dem Sicherheitsexperten und VTrust-Gründer Michael Steigerwald mit Tuya-Lampen. Steigerwald führte es auf seinem CCC-Vortrag in Leipzig vor, und wollte an jenem Tag den Hersteller jener Lampen gar nicht namentlich nennen. Das Problem sei nämlich ein globales und – wie die Erkenntnisse von Limited Results später belegen sollten – nicht auf einzelne Hersteller begrenzt.

Mit Sicherheits-Experte Maik Morgenstern von AV-Test unterhielt ich mich über den Stand der Smart-Home-Sicherheit und fragte: Wie kann ich als Kunde schon vor dem Kauf wissen, ob oder inwieweit ich einem vernetzten Elektrogerät trauen kann?

In der Öffentlichkeit sieht man vor allem die Fälle, bei denen etwas schief geht. Besonders erschreckend hierbei ist, dass immer wieder die gleichen simplen Fehler gemacht werden, die nicht sein müssten. Aufwendige Hacks sind oft gar nicht nötig. Da werden dann einfach Passwörter im Klartext durch das Netzwerk verschickt.

Seit 2013 testen wir nun schon IoT Geräte [auf iot-tests.org, Anm. d. Red.] und stellen dabei mehrere Trends fest. Namhafte Hersteller bemühen sich vermehrt um IT-Sicherheit und wir sehen, dass das Niveau hier stetig ansteigt. Gleichzeitig kommen aber auch ständig neue Firmen auf den Markt, bei denen allzu häufig IT-Sicherheit keine Rolle spielt. Hinzu kommt, dass der Umgang mit dem Thema Datenschutz sehr verschieden gehandhabt wird.

Insbesondere europäische Hersteller fallen uns vermehrt mit solider IT-Sicherheit aber auch vernünftigen Datenschutzvorgaben auf. Wenn sich die Unternehmen dann auch noch einem freiwilligen Sicherheitstest wie bei AV-TEST unterziehen, erkennbar am AV-TEST Siegel „GEPRÜFTES SMART HOME PRODUKT“, ist die Chance groß, dass das Gerät wirklich sicher betrieben werden kann und Daten des Nutzers nicht missbraucht werden.

avtest 2019 01 smart home de
Ein Gütesiegel gibt Hoffnung auf Sicherheit im Internet der Dinge. / © AV-TEST Bildquelle: AV-TEST

Doch ob namhaft oder nicht: Wenn Lieferanten wie Tuya hunderttausende Glühbirnen mit fremdem Namen verkaufen, sieht der Kunde gar nicht, was eigentlich in den Lampen drinsteckt. White Label Verträge verschleiern die wahre Herkunft der Technologie. In der Pressemitteilung zu seiner Verleihung des IFA-Innovationspreises schrieb Tuya:

Tuya Smart hat bis heute weit über tausend Software- und Hardwareprodukte für Unternehmen wie TCL und Archos entwickelt und arbeitet derzeit mit über 10.000 Kunden auf der ganzen Welt zusammen.

Die erwischten Hersteller lassen auf die Kritik Taten folgen und patchen ihre Systeme entsprechend. Tuya antwortete in einem umfangreichen Statement, dass es folgende Probleme aus Steigerwalds Live-Hack angehen werde oder schon angegangen sei:

  • Der AES-Schlüssel werde nun verschlüsselt übertragen
  • Die Kommunikation mit der Tuya-Cloud werde TLS-Verschlüsselt
  • Informationen im Flash-Speicher werden verschlüsselt gespeichert
  • Firmware-Pakete werden verifiziert
  • Die App bekommt eine neue Verwaltung für Sicherheitsschlüssel

Warum in der Tuya-Cloud noch immer die Standortdaten jedes einzelnen Benutzers abgerufen werden können, wurde uns leider nicht mitgeteilt. Es bleibt also dabei, dass Hersteller mit Tuya-Technologie unnötig viel über Euch wissen.

lifx beam 9
LIFX: Alarmstufe Rot im Smart Home. / © NextPit Bildquelle: NextPit

Auch Lifx sandte uns eine Stellungnahme zu, die im Grunde dasselbe vorgehen verspricht:

„Alle Schwachstellen mittlerer bis hoher Schwere, die durch Limited Results identifiziert wurden, wurden in den Firmware- und App-Releases Ende 2018 behoben. Alle sensiblen Informationen, die in der Firmware gespeichert sind, sind nun verschlüsselt und wir haben zusätzliche Sicherheitseinstellungen in der Hardware eingeführt. Kunden können das Firmware-Update durch Öffnen ihrer LIFX-App erhalten. Wenn sie Ihre Leuchten bisher nicht aktualisiert haben, wird eine Firmware-Update-Eingabeaufforderung angezeigt.“

Xiaomi deteuert in seinem Statement, ebenfalls einen Patch nachzuliefern. Des Weiteren sagt der Hersteller, dass ein Angriff äußerst unwahrscheinlich sei, wenn dieser zunächst physischen Zugriff auf ein Produkt bedarf.

Ein Gesundheitsamt, nur für IoT-Hersteller

Patches alleine werden das Problem nicht bei der Wurzel packen: Die Hersteller vernetzter Heimelektronik müssen deutlicher klarstellen, dass ihnen unser Datenschutz wichtig ist. Wir müssen uns als Kunden darauf verlassen können, dass die Hersteller die Smart-Home-Geräte mit Fokus auf Privatsphäre entwickeln. Alles andere ist nachrangig.

So wie sie den Mehrwert vernetzter Hausgeräte betonen, so müssen sie auch zeigen, dass dieser uns nicht durch Datenlecks und fremden Missbrauch zur Last wird. Hier wäre es auch wünschenswert, dass Gesetzgeber oder Verbraucherschützer einschreiten würden. Diese könnten Sicherheits-Audits wie die obigen zur Norm machen, wie ein Besuch des Gesundheitsamts in Restaurants.

Bis dahin müssen wir uns mit den Sicherheitstipps des Bundesamtes für Sicherheit in der Informationstechnik (BSI) begnügen. Die geben Hinweise darauf, wie Ihr in Eigenregie für ein wenig mehr Sicherheit im Smart Home sorgt. Doch wenn wir nicht vorher wissen können, ob die Geräte sicher hergestellt wurden, sind auch unsere besten Mühen vielleicht vergebens.