Ihr direkter Kontakt zu unserer
IT-Beratung:
Tel.: 05251/540195-10
Ihr direkter Kontakt zu unserem
technischen Support:
Tel.: 05251/540195-40
Ihr direkter Kontakt zu unserer
Zentrale:
Tel.: 05251/540195-0
18. Dezember 2024
Risiken und Schwachstellen: BSI untersucht IT-Sicherheit smarter Heizkörperthermostate
Passend zur kalten Jahreszeit hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die IT-Sicherheit von smarten Heizkörperthermostaten unter die Lupe genommen. Im Rahmen dieser Untersuchung wurden insbesondere die Aspekte rund um die IT-Sicherheit solcher Systeme beleuchtet.
Herausforderungen der IT-Sicherheit im Smart-Home-Bereich
In ihrer Analyse erläutert das BSI, dass Smart-Home-Geräte wie Heizkörperthermostate oft kurze Entwicklungszyklen haben. Dabei wird der IT-Sicherheit häufig weniger Bedeutung beigemessen als anderen Produkteigenschaften. Diese Praxis führt dazu, dass viele Produkte keinen ausreichenden Schutz gegen Hackerangriffe bieten. Bei Angriffen könnten Cyberkriminelle kompromittierte Geräte missbrauchen, um personenbezogene Daten abzugreifen oder um DoS-Angriffe durchzuführen. Selbst ohne böswillige Angriffe können fehlerhafte Konfigurationen zum ungewollten Informationsabfluss führen. Um Hersteller zu ermutigen, Sicherheitsstandards wie Security-by-Design und Security-by-Default zu berücksichtigen, führte das BSI Gespräche mit Herstellern und Händlern.
Umfang der Untersuchung
Das BSI führte eine technische Untersuchung von zehn zufällig ausgewählten smarten Heizkörperthermostaten durch. Diese Untersuchung umfasste die Analyse der Geräte selbst und der zugehörigen Apps, also des gesamten Ökosystems. Die Behörde entwickelte hierfür ein spezielles Prüfkonzept. In Fällen entdeckter Schwachstellen strebt das BSI eine kooperative Zusammenarbeit mit den Herstellern an und verfolgt eine Responsible-Disclosure-Strategie.
Ergebnisse und Schwachstellen
Bei der Analyse des Netzwerkverkehrs und der statischen und dynamischen Inspektion der Apps zeigten sich erhebliche Schwächen. Keine der Apps war für den Einsatz in Hochsicherheitsszenarien konzipiert. Zwei Hersteller versäumten es, die Datenübertragung ihrer iOS-App zu verschlüsseln. Eine weitere App wies eine Cross-Site-Scripting-Lücke auf. Maßnahmen wie Zertifikatspinning, um Man-in-the-Middle-Angriffe zu erschweren, wurden kaum umgesetzt. Außerdem verwendete keine der untersuchten Apps biometrische Authentifizierungsoptionen. Einige Apps speicherten Zugangsdaten nicht sicher, drei der getesteten Apps stammten von einem OEM-Design aus China und hatten nahezu identische Sicherheitsmängel.
Hardware- und Firmwareuntersuchungen
Die Hardwareprüfung zeigte, dass bei sechs der untersuchten Geräte die Debug-Schnittstellen frei zugänglich waren. Dies ermöglichte es, die Firmware leicht auszulesen und zu verändern. Während das BSI hier weniger Risiko für Endkunden, aber ein potenzielles Risiko für das geistige Eigentum der Hersteller sah, stellte die Behörde fest, dass einige Hersteller Daten nahezu unverschlüsselt über das Netzwerk übertragen.
Schlussfolgerungen und Empfehlungen
Am Ende der Analyse fasst das BSI zusammen, dass Nutzer smarter Geräte Risiken ausgesetzt sind. Obwohl die meisten Schwachstellen nicht unmittelbar bedrohlich erscheinen, können sie bei Ausnutzung durch Angreifer erhebliche Konsequenzen für die Privatsphäre und Sicherheit mit sich bringen. Hersteller sind aufgerufen, ihre Sicherheitsmaßnahmen zu verbessern und anerkannte Standards umzusetzen, um einen besseren Schutz zu gewährleisten.
Ein umfassendes 93-seitiges PDF bietet Herstellern, Händlern und Interessierten zahlreiche Empfehlungen zur Verbesserung der IT-Sicherheit bereits im Entwicklungsprozess. Dabei sind die Ergebnisse anonymisiert, sodass spezifische Schwachstellen nicht einzelnen Herstellern oder Produkten zugeordnet werden können.
PeaZip 10.5 bringt zahlreiche Optimierungen, die die Arbeit mit Archiven erleichtern, insbesondere durch verbesserte Geschwindigkeit und Benutzerfreundlichkeit. Neue Sicherheits- und Analysefunktionen für Windows ermöglichen proaktive Warnungen bei potenziell gefährlichen Dateien und eine direkte Überprüfung von SHA256-Hashes. Die Version wurde mit Lazarus 4.0 kompiliert und die Archiv-Engine auf Pea 1.25 aktualisiert.
Digitale Souveränität ist für europäische Unternehmen ein wichtiges Anliegen, besonders wenn es um sensible Cloud-Workloads geht. Microsoft reagiert darauf mit einem erweiterten Portfolio an Diensten, die mehr Kontrolle, Compliance und Transparenz bieten sollen. Ein zentraler Teil dieser Initiative ist die neue “Sovereign Public Cloud”, die sicherstellt, dass Daten nur innerhalb Europas verarbeitet werden und europäischen Rechtsvorschriften unterliegen. Strategische Partnerschaften in Deutschland und Frankreich untermauern diesen Ansatz. Auch Google Cloud erweitert seine Initiativen zur digitalen Souveränität mit der “Google Cloud Data Boundary”.
IONOS und Nextcloud haben sich zusammengetan, um eine innovative, datenschutzkonforme Cloud-Office-Suite für Europa zu entwickeln, die auf den Prinzipien der DSGVO basiert. Nextcloud Workspace soll insbesondere Unternehmen ansprechen, die auf hohe Datenschutz- und Compliance-Standards Wert legen. Die Lösung nutzt Open-Source-Technologie und wird in deutschen Rechenzentren gehostet. Sie reflektiert den Bedarf an europäischen Alternativen zu US-Diensten wie Microsoft 365.
Gütesiegel für IT aus Europa: Der “Verein zur Förderung von IT aus Europa” hat das Gütesiegel “IT aus Europa” eingeführt. Es kennzeichnet IT-Produkte und Dienstleistungen, die hohe europäische Wertschöpfung, datenschutzkonforme Praktiken, nachhaltige Methoden und strenge Sicherheitsstandards erfüllen. Die Einhaltung der Kriterien wird durch eine unabhängige Prüfstelle sichergestellt. Zu den Gründungsmitgliedern des Vereins gehören führende europäische IT-Unternehmen. Ziel ist es, faire und transparente IT-Strukturen in Europa zu fördern und politische Entwicklungen wie den European Chips Act aktiv zu begleiten.
Angesichts zunehmender internationaler Spannungen und der technologischen Abhängigkeit wird der Ruf nach mehr Unabhängigkeit im Technologiebereich in Europa lauter. Politik und Wirtschaft arbeiten verstärkt daran, die europäische Souveränität in der Technologiebranche zu stärken. In diesem Kontext wurde im Mai der “Verein zur Förderung von IT aus Europa” (ITE) gegründet, um konkrete Schritte in Richtung einer stärkeren digitalen Selbstbestimmung zu unternehmen.
In der digitalen Arbeitswelt lauern Risiken, insbesondere durch nordkoreanische Akteure, die sich als IT-Profis ausgeben. Diese handeln im Auftrag staatlicher Interessen und nutzen ihr Gehalt zur Finanzierung ihrer Aktivitäten. Unternehmen müssen umfassende Sicherheitsstrategien entwickeln, die von der Rekrutierung über das Onboarding bis zur Überwachung reichen. Regelmäßige Schulungen und Sicherheitsupdates sind essenziell, um Betrug vorzubeugen.
Datenschutzeinstellungen
Wir benötigen Ihre Zustimmung, bevor Sie unsere Website weiter besuchen können.Wenn Sie unter 16 Jahre alt sind und Ihre Zustimmung zu freiwilligen Diensten geben möchten, müssen Sie Ihre Erziehungsberechtigten um Erlaubnis bitten.Wir verwenden Cookies und andere Technologien auf unserer Website. Einige von ihnen sind essenziell, während andere uns helfen, diese Website und Ihre Erfahrung zu verbessern.Personenbezogene Daten können verarbeitet werden (z. B. IP-Adressen), z. B. für personalisierte Anzeigen und Inhalte oder Anzeigen- und Inhaltsmessung.Weitere Informationen über die Verwendung Ihrer Daten finden Sie in unserer Datenschutzerklärung.Sie können Ihre Auswahl jederzeit unter Einstellungen widerrufen oder anpassen.
Wenn Sie unter 16 Jahre alt sind und Ihre Zustimmung zu freiwilligen Diensten geben möchten, müssen Sie Ihre Erziehungsberechtigten um Erlaubnis bitten.Wir verwenden Cookies und andere Technologien auf unserer Website. Einige von ihnen sind essenziell, während andere uns helfen, diese Website und Ihre Erfahrung zu verbessern.Personenbezogene Daten können verarbeitet werden (z. B. IP-Adressen), z. B. für personalisierte Anzeigen und Inhalte oder Anzeigen- und Inhaltsmessung.Weitere Informationen über die Verwendung Ihrer Daten finden Sie in unserer Datenschutzerklärung.Hier finden Sie eine Übersicht über alle verwendeten Cookies. Sie können Ihre Einwilligung zu ganzen Kategorien geben oder sich weitere Informationen anzeigen lassen und so nur bestimmte Cookies auswählen.