Vernetzte Haushaltsgeräte machen das Leben bequemer, bergen aber auch erhebliche Risiken für die Datensicherheit

Hacker können über vernetzte Babyfone oder Kuscheltiere mit integriertem Mikrofon in die Privatsphäre anderer eindringen. Das ist ein riesiges Problem für die Datensicherheit vernetzter Haushaltsgeräte.

Haben Sie sich schon einmal gefragt, wie gut ein digitaler Schongarer gegen Hackerangriffe geschützt ist? Datensicherheitsexperten an der Indiana University hatten keine Mühe, sowohl den Kochtopf selbst als auch andere Geräte unter ihre Kontrolle zu bringen, die mit demselben Router vernetzt sind. Die Befürchtung, dass Hacker aus der Ferne einen Brand auslösen könnten, ist laut den Forschern allerdings grundlos – das ist immerhin eine gute Nachricht.

Nun die weniger gute: Mittlerweile sind zahlreiche Geräte mit dem Internet verbunden, bei denen es der Durchschnittsverbraucher niemals ahnen würde – alltägliche Haushaltsutensilien, Unterhaltungselektronik und Kinderspielzeug. Um den Energieverbrauch zu optimieren und uns das Leben einfacher zu machen, haben wir einen ganzen Schwarm digitaler Heinzelmännchen in unsere Wohnungen geholt, die über das Internet der Dinge (Internet of Things; IoT) eifrig Daten generieren, sammeln und weitergeben.

Für Käufer wird es zunehmend schwierig bis unmöglich, den Überblick darüber zu behalten, welche Daten generiert werden, wer darauf Zugriff hat und welche Folgen das nicht nur für den Datenschutz, sondern sogar für die eigene physische Sicherheit hat. Auf die Spione im Haushalt ganz zu verzichten, wird dabei ebenfalls immer schwieriger.

In den Augen der Wissenschaftler am Zentrum für Sicherheit und Datenschutz in Informatik, Computer- und Ingenieurwesen (SPICE) sowie am IoT-Forschungszentrum der Indiana University in Bloomington ist die Entwicklung besorgniserregend genug, um Alarm zu schlagen.

Das IoT-Forschungszentrum betreibt ein staatlich gefördertes Living Lab, also eine künstlich erschaffene Testumgebung zur Simulation realer Lebensbedingungen. Im IoT House kommt eine ganze Batterie IoT-vernetzter Feuermelder, Thermostate, Blitzschutzanlagen, Spielzeuge, Haushalts- und weiterer Geräte zum Einsatz.

„Die Universität hat uns ein Netzwerk zur Verfügung gestellt, in dem viele Schutzmechanismen auf ein minimales Niveau reduziert sind, so wie es in einem echten Wohnhaus auch der Fall ist“, erläutert der für das IoT House zuständige Projektleiter Joshua Streiff. Diese Netzwerkumgebung wird sorgfältig vom eigentlichen Netzwerk der Universität abgeschottet, um dessen Nutzer vor den Risiken des ungesicherten Datenverkehrs zu schützen, der durch ein typisches Einfamilienhaus fließt. Hersteller und das wissenschaftliche Fachpublikum werden über aufgedeckte Sicherheitslücken informiert.

Streiff zeigt ein buntes Einhorn aus der Produktreihe CloudPet: Mittels eines im Körper des Kuscheltiers eingebauten Bluetooth-Energiespar-Moduls (BLE) und einer Mobil-App, die die Daten auf einen Cloud-Server überträgt, können Kinder Sprachnachrichten verschicken und empfangen. Das Plüschtier ist so niedlich wie berüchtigt.

„Forscher äußern schon seit Jahren Bedenken. Das Einhorn von CloudPet kam quasi ohne jegliche Sicherheitsfunktionen auf den Markt.“ – Joshua Streiff, Projektleiter IoT House

„Forscher äußern schon seit Jahren Bedenken“, berichtet Streiff. „Das Einhorn von CloudPet kam quasi ohne jegliche Sicherheitsfunktionen auf den Markt. Auf Drängen von Mozilla haben Amazon und eBay es schließlich aus dem Vertrieb genommen. Die weitere Produktion wurde zwar eingestellt, aber die bereits verkauften Tiere richten natürlich immer noch in unzähligen Haushalten potenzielles Unheil an. Manchmal kommt es vor, dass die Hersteller ein IoT-Gerät wie dieses nicht mehr verkaufen, aber Rückrufaktionen gibt es so gut wie nie.“

Das Problematische ist, dass das Stofftier dazu missbraucht werden kann, den Aufenthaltsort eines Kindes herauszufinden und gefälschte Nachrichten zu schicken. „Wenn ich böse Absichten hätte, könnte ich durch ein Wohngebiet fahren und ermitteln, in welchen Häusern Kinder leben“, so Streiff. „Und dann könnte ich das BLE-Modul des betreffenden Einhorns ausfindig machen und Sprachnachrichten an das Kind schicken. Ich könnte zum Beispiel so tun, als kämen die Nachrichten von seinen Eltern, und ihm sagen, es soll nach draußen kommen.“

Im Dezember berichtete die Washington Post über einen Hackerangriff auf eine NestCam, die als Babyfon verwendet wurde. In diesem Fall habe die Sicherheitslücke nicht das Gerät als solches betroffen, erzählt Behnood Momenzadeh, der als Doktorand am IoT-House-Projekt mitwirkt. „Sondern die Hacker verschafften sich Zugriff auf die E-Mail-Konten der Benutzer und konnten sich dadurch in ihre Nest-Konten einloggen und die Berechtigungen ändern. Es war also eine Kombination verschiedener Technologien, die diese Familie in Gefahr brachte.“ Die Hacker brüllten dann Schimpfwörter und Drohungen durch die NestCam. In einem anderen Fall nutzte ein wohlwollender Hacker eine Sicherheitslücke, um die betreffende Familie zu warnen, dass ihre NestCam ungenügend geschützt war.

Auch den Smart-Teddy von Fisher-Price sollten sicherheitsbewusste Eltern lieber meiden. Das Plüschtier wird als Lernspielzeug vermarktet und verfügt über eine in der Nase installierte Videokamera, die zwar keine Aufnahmen macht, aber ständig eingeschaltet ist. „Das Gefährliche an diesem Teddy ist, dass die Produktentwickler davon ausgegangen sind, dass niemand jemals auf die Idee kommen würde, ihn auseinanderzunehmen und hineinzusehen“, meint Streiff.

In dem Bären steckt nämlich quasi ein vollständiges Android-Tablet. „Es hat sämtliche Funktionen eines Tablets, einschließlich Video und E-Mail“, erläutert Streiff. „Es hat einen Datenport, mit dem man über eine dezentrale Tastatur kommunizieren kann. Zu einem echten Angriff auf das Gerät müsste man den Bären aufschneiden. Allerdings würde es nur drei Minuten dauern, den Bären unter meine Kontrolle zu bringen, und zwar von jedem beliebigen Ort aus.“

Einfälle durch die Hintertür passieren selbst bei vermeintlich sicheren Websites. Letztes Jahr stahlen Cyberkriminelle eine Liste sogenannter High Roller – Glücksspieler, die mit hohen Einsätzen spielen – aus dem Netzwerk eines Casinos. Zugang verschafften sie sich über eine Sicherheitslücke im IoT-vernetzten Thermostat im Aquarium. Erst recht beängstigend wird diese Anekdote, wenn man bedenkt, dass nur die wenigsten Privathaushalte über die Sicherheitsvorkehrungen verfügen, wie sie für ein Casino selbstverständlich sind.

Damit wären wir beim Schongarer des Herstellers Belkin mit eingebauter Technologie zur kabellosen IoT-Vernetzung. Das Problem daran, so Streiff, sei die stillschweigende Annahme, dass der Person, die den Schongarer einrichtet, auch alle anderen Geräte im selben Netzwerk gehören. Die Software ist auf die Erkennung von und Vernetzung mit anderen kabellosen Geräten ausgelegt. Wer immer sie einrichtet, hat die volle Kontrolle über diese Geräte. Hinzu kommt, dass die Software auch per Fernzugriff von jedem beliebigen Ort aus bedient werden kann.

„Klar ist es irgendwie cool, dass ich den Schongarer übers Handy steuern kann. Damit kann ich aber zugleich auch alle anderen Geräte steuern, die nicht durch ein eigenes Passwort geschützt sind – und jede andere Person, die sich Zugriff auf den Schongarer verschafft, kann das ebenfalls“, fährt Streiff fort. „Wenn Thermostat und Kühlschrank miteinander kommunizieren, lässt sich der Energieverbrauch für das Haus enorm verbessern. Andererseits könnte ein Hacker beispielsweise über den Schongarer beträchtliche Stromkosten verursachen, ohne das Haus überhaupt nur zu betreten.“

Bei der Produktgestaltung werden Kompromisse zwischen Sicherheit und Bedienerfreundlichkeit eingegangen. Die Techniker legen Wert auf Datenschutz; das Marketing-Team will ein Gerät, das die Menschen gerne kaufen. Verbraucher wiederum wollen, dass die Geräte sämtlicher Hersteller miteinander kompatibel sind – schließlich war schon beim guten alten Fernseher eine universelle Fernbedienung besser als drei einzelne. „Benutzer wollen all ihre Geräte über eine einzige App steuern“, bringt Streiff es auf den Punkt.

Geräte mit Videokameras bereiten den Forschern besondere Kopfschmerzen, aber auch von Audiorekordern sind sie nicht begeistert – etwa den stimmaktivierten interaktiven Sprachassistenten wie Echo von Amazon und Co., die sich zunehmender Beliebtheit erfreuen. In den Medien und auf Online-Foren wird immer wieder über „intelligente Lautsprecher“ berichtet, die Privatgespräche aufzeichnen und die Aufnahmen dann an Dritte weiterschicken.

Ist es möglich, IoT-Haushaltsgeräte ohne derartige Sicherheitslücken zu konzipieren? Und wie können Verbraucher sich schützen, solange dies noch nicht der Fall ist?

Das SPICE-Forschungsteam hat einige Tipps parat. Vor allem solle man voreingestellte Passwörter unbedingt ändern. Hackerangriffe auf IoT-Geräte beginnen oft mit Bot-Programmen wie dem berüchtigten Mirai, die das Internet nach bestimmten Geräten durchsuchen und dann prüfen, ob die voreingestellten Passwörter geändert wurden. Ist das nicht der Fall, können die Bot-Besitzer, die diese Standardpasswörter kennen, die betreffenden Geräte problemlos unter ihre Kontrolle bringen.

Das Team des IoT House entwickelt und testet zurzeit ein raffinierteres System, das anhand der sogenannten Manufacturer Usage Description Specification (MUDS) zwischen befugter und unbefugter Nutzung unterscheiden kann. Aktivitäten außerhalb des normalen Kommunikationsbereichs werden gesperrt und dem Besitzer des IoT-Geräts gemeldet: Wenn beispielsweise ein Spielzeugbär, der eigentlich nur mit einem bestimmten Cloud-Server kommunizieren sollte, plötzlich mit einem unbekannten Server in Osteuropa in Kommunikation tritt, greift das System zum Schutz des Hauses und seiner Bewohner ein. Hier werden die Hersteller in die Pflicht genommen, den Rahmen des Normalen entsprechend abzustecken.

Während die Branche an der Entwicklung neuer Strategien zur Risikominderung arbeitet, sollten Benutzer sich ihrerseits schlau machen und IoT-Geräte erst nach sorgfältiger Recherche anschaffen bzw. installieren. In der Regel reicht bereits eine kurze Google-Suche aus, um bekannte Probleme aufzuzeigen. Wenn das Gerät selbst diesbezüglich bislang nicht auffällig geworden ist, andere Produkte des betreffenden Herstellers jedoch Sicherheitslücken aufweisen, ist ebenfalls Vorsicht geboten. So sollten potenzielle Käufer überprüfen, ob ein Unternehmen Daten zur Übertragung verschlüsselt.

In jedem Fall sollten Benutzer von IoT-Geräten sich Gedanken über den sicheren Umgang damit machen. Sollte etwa ein mit einer Kamera ausgestattetes Spielzeug nur in bestimmten Räumen zum Einsatz kommen? Sollte man die Kameralinse mit blickdichtem Klebeband verdecken, wenn die Kamera gerade nicht benutzt wird? Sollte das Spielzeug überhaupt nur zu bestimmten Zwecken eingeschaltet werden?

Hersteller werden der Datensicherheit erst dann höhere Priorität einräumen, wenn die Verbraucher ihrerseits weniger gelassen mit diesem Thema umgehen. Den meisten Menschen scheint die Vorstellung, ins Visier von Cyberkriminellen zu geraten, weit hergeholt. „Warum sollte es ausgerechnet mir passieren?“, denken viele – so lange, bis es einen eines Tages tatsächlich selbst trifft. Die eigentliche Frage lautet nämlich anders: Wie viel sind Ihre Daten für andere wert? Wahrscheinlich mehr, als die meisten von uns glauben, meint Streiff: „Unternehmen sind total gierig auf personenbezogene Daten – und wissen dabei noch gar nicht, zu welchen Zwecken sie sich letztlich verwenden lassen.“