Passend zur kalten Jahreszeit hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die IT-Sicherheit von smarten Heizkörperthermostaten unter die Lupe genommen. Im Rahmen dieser Untersuchung wurden insbesondere die Aspekte rund um die IT-Sicherheit solcher Systeme beleuchtet.

Herausforderungen der IT-Sicherheit im Smart-Home-Bereich

In ihrer Analyse erläutert das BSI, dass Smart-Home-Geräte wie Heizkörperthermostate oft kurze Entwicklungszyklen haben. Dabei wird der IT-Sicherheit häufig weniger Bedeutung beigemessen als anderen Produkteigenschaften. Diese Praxis führt dazu, dass viele Produkte keinen ausreichenden Schutz gegen Hackerangriffe bieten. Bei Angriffen könnten Cyberkriminelle kompromittierte Geräte missbrauchen, um personenbezogene Daten abzugreifen oder um DoS-Angriffe durchzuführen. Selbst ohne böswillige Angriffe können fehlerhafte Konfigurationen zum ungewollten Informationsabfluss führen. Um Hersteller zu ermutigen, Sicherheitsstandards wie Security-by-Design und Security-by-Default zu berücksichtigen, führte das BSI Gespräche mit Herstellern und Händlern.

Umfang der Untersuchung

Das BSI führte eine technische Untersuchung von zehn zufällig ausgewählten smarten Heizkörperthermostaten durch. Diese Untersuchung umfasste die Analyse der Geräte selbst und der zugehörigen Apps, also des gesamten Ökosystems. Die Behörde entwickelte hierfür ein spezielles Prüfkonzept. In Fällen entdeckter Schwachstellen strebt das BSI eine kooperative Zusammenarbeit mit den Herstellern an und verfolgt eine Responsible-Disclosure-Strategie.

Ergebnisse und Schwachstellen

Bei der Analyse des Netzwerkverkehrs und der statischen und dynamischen Inspektion der Apps zeigten sich erhebliche Schwächen. Keine der Apps war für den Einsatz in Hochsicherheitsszenarien konzipiert. Zwei Hersteller versäumten es, die Datenübertragung ihrer iOS-App zu verschlüsseln. Eine weitere App wies eine Cross-Site-Scripting-Lücke auf. Maßnahmen wie Zertifikatspinning, um Man-in-the-Middle-Angriffe zu erschweren, wurden kaum umgesetzt. Außerdem verwendete keine der untersuchten Apps biometrische Authentifizierungsoptionen. Einige Apps speicherten Zugangsdaten nicht sicher, drei der getesteten Apps stammten von einem OEM-Design aus China und hatten nahezu identische Sicherheitsmängel.

Hardware- und Firmwareuntersuchungen

Die Hardwareprüfung zeigte, dass bei sechs der untersuchten Geräte die Debug-Schnittstellen frei zugänglich waren. Dies ermöglichte es, die Firmware leicht auszulesen und zu verändern. Während das BSI hier weniger Risiko für Endkunden, aber ein potenzielles Risiko für das geistige Eigentum der Hersteller sah, stellte die Behörde fest, dass einige Hersteller Daten nahezu unverschlüsselt über das Netzwerk übertragen.

Schlussfolgerungen und Empfehlungen

Am Ende der Analyse fasst das BSI zusammen, dass Nutzer smarter Geräte Risiken ausgesetzt sind. Obwohl die meisten Schwachstellen nicht unmittelbar bedrohlich erscheinen, können sie bei Ausnutzung durch Angreifer erhebliche Konsequenzen für die Privatsphäre und Sicherheit mit sich bringen. Hersteller sind aufgerufen, ihre Sicherheitsmaßnahmen zu verbessern und anerkannte Standards umzusetzen, um einen besseren Schutz zu gewährleisten.

Ein umfassendes 93-seitiges PDF bietet Herstellern, Händlern und Interessierten zahlreiche Empfehlungen zur Verbesserung der IT-Sicherheit bereits im Entwicklungsprozess. Dabei sind die Ergebnisse anonymisiert, sodass spezifische Schwachstellen nicht einzelnen Herstellern oder Produkten zugeordnet werden können.