Whirlpool-Hack zeigt mangelhafte Gerätesicherheit
Zusammenfassung
Die BBC-Sendung Click zeigte Ende 2018, dass sich Tausende Whirlpools aus der Ferne steuern ließen. Forscher von Pen Test Partners konnten Wasser heißer oder kälter machen und Pumpen sowie Licht per Laptop oder Smartphone schalten, öffentliche WLAN-Datenbanken verrieten sogar den Standort einzelner Geräte. Betreiber Balboa Water Group versprach, die Lücke bis Ende Februar zu schließen.
Was das Problem war
Die betroffenen Whirlpools ließen sich per App steuern. Dafür spannten sie ein eigenes WLAN auf, das schlecht geschützt war. Weil Dienste im Internet die Standorte von WLAN-Netzen sammeln, konnten Angreifer gezielt nach solchen Geräten suchen und sie per GPS-Position finden.
Ken Munro, Gründer von Pen Test Partners, nutzte den Zeitpunkt kurz vor Weihnachten für eine Warnung: Viele Geschenke verbinden sich mit dem Internet und lassen sich per App steuern, und viele Hersteller nehmen Sicherheit noch immer nicht ernst genug.
Warum das wichtig ist
Ein gehackter Whirlpool klingt nach einer Kuriosität. Er zeigt aber ein Grundproblem des Internets der Dinge: Geräte, die früher keine Software brauchten, hängen plötzlich im Netz, oft mit Standardpasswörtern und ohne Updates. Ein Angreifer kann damit nicht nur stören, sondern zum Beispiel auch Strom verschwenden. Das gleiche Muster findet sich bei Kameras, Thermostaten und Steckdosen.
Was daraus wurde
Seitdem sind Regeln für vernetzte Geräte strenger geworden. Großbritannien verbietet seit 2024 Standardpasswörter auf solchen Produkten, und der Cyber Resilience Act der EU verpflichtet Hersteller zu Sicherheitsupdates für einen festgelegten Unterstützungszeitraum.
Ideen
- Öffentliche WLAN-Datenbanken können den Standort verwundbarer Geräte verraten.
- Smart-Home-Geräte werden oft mit Standardpasswörtern ausgeliefert.
- Hersteller sollten Sicherheit über die gesamte Lebensdauer eines Geräts sicherstellen.
Einsichten
- Jedes vernetzte Gerät ist ein kleiner Computer, der gepflegt werden muss.
- Kuriose Angriffe machen Grundprobleme für ein breites Publikum sichtbar.
Fakten
- Die Forschung stammte von Pen Test Partners, Gründer ist Ken Munro.
- Betroffen war ein System der Balboa Water Group.
- Die Behebung war bis Ende Februar 2019 zugesagt.
Referenzen
Bemerkungen
- Die Empfehlung von Ken Munro ist bis heute gültig: Standardpasswörter sofort durch eigene, einmalige Passwörter ersetzen.
Empfehlungen
- Ändere bei jedem neuen Smart-Home-Gerät sofort das Standardpasswort.
- Hänge vernetzte Haushaltsgeräte in ein eigenes, vom übrigen Heimnetz getrenntes WLAN.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.