c't warnt vor Sicherheitsleck beim Smart-Home-System von Loxone

  

(4.9.2016) Die Steuerung aus der Ferne per Handy ist bei viel­en Smart-Home-Systemen Standard. Mit dem Komfort steigt aber auch das Risiko - vor allem, wenn die Hersteller bei der Umsetzung zu sorglos agieren. Wie durch ein Sicherheitsleck Einbrecher auf Knopfdruck in Häuser hätten eindringen können, schildert das Computermagazin c't in der Ausgabe 19/16 (siehe Titelbild rechts).

Moderne IT-basierende Systeme sollen möglichst einfach ein­zurichten sein. Gleichwohl ist sicherzustellen, dass die Anlagen wirksam vor Angriffen geschützt sind - insbesondere wenn sie für Fernzugriffe ins Internet eingebunden sind. Welche fatalen Konsequenzen es haben kann, wenn dieser Drahtseilakt miss­lingt, zeigt sich am Beispiel von Loxone Electronics: „Mit einem kleinen Skript ließen sich auf einen Schlag über 110 Anlagen in ganz Europa finden, die die schwachen Zugangsdaten benutzen", so c't-Redakteur Nico Jurran. Das eröffnet ein gewaltiges Missbrauchspotenzial: Schließlich werden über die Loxone-Anlagen nicht nur Sensoren und Aktoren aus den Bereichen Beleuchtung, Energie, Heizung und Kühlung, Rollladen und Audiosystemen gesteuert, sondern auch sicherheitskritische Komponenten wie Alarmanlagen, IP-Kameras und Zugangssysteme für Türen und Garagentore.

Kriminelle hätten sich hier mit einem Tipp auf ihrem Smartphone selbst Zutritt zum Haus verschaffen können - ohne dabei Spuren zu hinterlassen. „Das ist ein Albtraum für Eigentümer und Mieter - auch aus versicherungsrechtlicher Sicht“, so Jurran.

Als die c't-Redakteure die Geschäftsführung von Loxone Electronics über das Sicher­heitsleck informierte, richtete diese eine interne Task Force ein, die als Sofortmaß­nahme die Nutzung des hauseigenen DDNS-Dienstes für Heimserver mit unsicheren Zugangsdaten sperrte.

„Diese Maßnahme trug laut c't schon nach kurzer Zeit Früchte, die Zahl der Heimser­ver mit Standard-Login ging drastisch zurück. Allerdings können Kunden auch weiter­hin ,admin/admin‘ verwenden“, konstatiert Jurran. „Wer weiß, dass seine Loxone-An­lage noch das Standard-Passwort nutzt, sollte umgehend Sicherheitsvorkehrungen treffen.“