Wenn Hacker das smarte Heim kapern

Sicherheitsforschern ist es gelungen, über das Internet die Kontrolle über ein smartes Thermostat zu übernehmen. Damit könnte eine neue Art von Ransomware Einzug ins Smart Home halten.

Während die Hersteller vernetzter Geräte nicht müde werden, die Vorzüge der totalen Vernetzung im Internet of Things (IoT) und Smart Home zu beschwören, sehen Sicherheitsexperten der Entwicklung eher skeptisch entgegen. Da im vernetzten Verbund stets das schwächste Glied die Sicherheit des Gesamtsystems bestimmt und gefährdet, bringt die Vernetzung von Geräten verschiedenster Hersteller und Sicherheitsstandards erhebliche Risiken mit sich. So hatte beispielsweise letztes Jahr der Sicherheitsforscher Ken Munro vom Penetrationstestanbieter Pen Test Partners im Rahmen der Sicherheitskonferenz Def Con gezeigt, dass sich über eine Sicherheitslücke in einem smarten Kühlschrank von Samsung der Gmail-Account seiner Besitzer kompromittieren lässt. Dieses Jahr legte Munro auf der Konferenz gemeinsam mit seinem Kollegen Andrew Tierney nach. Die beiden White-Hat-Hacker demonstrierten dem Publikum, wie sich ein smartes Thermostat hacken lässt. Über das Internet konnten sie von extern auf das Linux-Betriebssystem des Temperaturreglers zugreifen und so die Kontrolle über das Gerät übernehmen.

Dabei wurde die Schwachstelle offenbar erst durch die Benutzerfreundlichkeit des Geräts verursacht. Neben einem LCD-Display verfügt es über einen SD-Kartenslot, auf dem beispielsweise individuelle Einstellungen und Log-Daten gespeichert oder eine Art Bildschirmschoner installiert werden können. Da das System die auf den Karten liegenden Dateien allerdings beim Einlesen nicht ausreichend überprüft, kann dieses Feature leicht als Einfallstor für Malware missbraucht werden. Über das Internet lassen sich so verseuchte Versionen der Daten auf dem Speichermedium ablegen, die anschließend das Thermostat kapern. Solche Angriffe könnten Cyberkriminellen einerseits Zugang zu den Steuerungssystemen von Wohnhäusern und Firmengebäuden verschaffen und ihnen andererseits auch eine direkte Möglichkeit zur Erpressung liefern. Ähnlich wie bei den bekannten Ransomware-Angriffen auf Rechner könnten sie dabei etwa im Winter die Temperatur eines Gebäudes herunterregeln und die Steuerung erst gegen Bezahlung eines Lösegelds in Bitcoins wieder freigeben.

Um solche Gefahren im Fall des konkret betroffenen Gerätes zu verhindern, nannten Munro und Tierney keine weiteren Einzelheiten zum Modell und ihrem Angriff. Stattdessen haben sie den Hersteller über den Hersteller über die Sicherheitslücke informiert, damit er diese schnellstmöglich ausmerzen kann, bevor auch Angreifer mit bösen Absichten sie entdecken. Dennoch zeigt der Fall eindrücklich, wie schnell der zusätzliche Komfort durch smarte Geräte zu einer echten Gefahr werden kann.