Sicherheitslücke in der IT 04.06.2019, 07:00 Uhr

Hacker könnten Staubsauger-Roboter zur Spionage nutzen

Informatiker der TU Darmstadt haben festgestellt, dass die Software von Staubsauger-Robotern nicht immer ausreichend geschützt ist. Hacker könnten sie knacken und die Geräte fernsteuern oder über sie Daten aus dem Haushalt sammeln.

Tesvor-Gerät bei der Analyse

Bei der Sicherheitsanalyse an der TU Darmstadt hat der Staubsauger-Roboter von Tesvor schlechte Noten erhalten.

Foto: Markus Miettinen / System Security Lab

Das Internet der Dinge (Internet of Things – IoT) macht das Leben in vielerlei Hinsicht leichter. Geräte arbeiten nicht nur autonom, sie verbinden sich auch miteinander und sammeln Informationen, die ihre Effektivität erhöhen. Gleichzeitig ist es in vielen Fällen möglich, Heizung, Kühlschrank, Staubsauger & Co. aus der Ferne anzusteuern. Dem Komfort steht allerdings ein Risiko gegenüber, über das sich viele Verbraucher gar nicht im Klaren sind: Nicht immer ist die Technik ausreichend gegen Angriffe von Hackern geschützt. Das haben jetzt Wissenschaftler der TU Darmstadt gezeigt. Beim Staubsauger-Roboter Tesvor X500 haben sie eine Schwachstelle in der Software entdeckt. Nach Aussage der Forscher wäre es dadurch sogar möglich, die Geräte fernzusteuern und Informationen, etwa über den Grundriss der Wohnung, abzurufen.

Fernsteuerung für Staubsauger-Roboter: Komfortabel und gefährlich

Staubsauger-Roboter sollen eigentlich nur Staub saugen. Die Technologie hat sich aber in den letzten Jahren erheblich weiterentwickelt. Bei den ersten Modellen war es noch ein typischer Anblick, dass sie so lange gegen dasselbe Tischbein fuhren, bis der Akku leer war. Heute verfügen die meisten Staubsauger-Roboter über eine ausgefeilte Technik mit zahlreichen Funktionen, die ihre Arbeit besonders effizient gestalten sollen. Zur Ausstattung gehören beispielsweise oftmals verschiedene Sensoren sowie eine integrierte Kamera. Beides nutzen die Roboter, um Daten über die Wohnung zu sammeln. Mit diesem virtuellen Grundriss können sie sich besser durch die Räume bewegen – ohne versehentlich einen Bereich doppelt zu reinigen.

Top Stellenangebote

Zur Jobbörse
Hamamatsu Photonics Deutschland GmbH-Firmenlogo
Vertriebsingenieur (m/w/d) Bereich Spektrometer und Mikroskopie Hamamatsu Photonics Deutschland GmbH
Herrsching am Ammersee Zum Job 
Brüninghoff GmbH & Co.KG-Firmenlogo
Ingenieurin (m/w/divers) als Führungskraft für Arbeitssicherheit / Gesundheitsschutz Brüninghoff GmbH & Co.KG
Quantum-Systems GmbH-Firmenlogo
.Net Software Developer (Munich or Kyiv) (f/m/d) Quantum-Systems GmbH
Gilching, Kiew (Ukraine) Zum Job 
Quantum-Systems GmbH-Firmenlogo
Junior Recruiter (m/f/d) Quantum-Systems GmbH
Gilching Zum Job 
Kromberg & Schubert Automotive GmbH & Co. KG-Firmenlogo
Ingenieur für Funktionale Sicherheit (m/w/d) Kromberg & Schubert Automotive GmbH & Co. KG
Abensberg bei Regensburg Zum Job 
Quantum-Systems GmbH-Firmenlogo
Manager (m/w/d) Export/Zoll & Auftragsabwicklung Quantum-Systems GmbH
Gilching Zum Job 
Rhein-Sieg Netz GmbH-Firmenlogo
Ingenieur (m/w/d) Strategische Netzplanung Rhein-Sieg Netz GmbH
Siegburg Zum Job 
Stadtwerke Hennigsdorf GmbH-Firmenlogo
Wirtschaftsingenieur:in (m/w/d) für die Wärmeversorgung und Erneuerbare Energien Stadtwerke Hennigsdorf GmbH
Hennigsdorf Zum Job 
EMKA Beschlagteile GmbH & Co KG-Firmenlogo
Produktmanager für elektronmechanische Produkte (m/w/d) EMKA Beschlagteile GmbH & Co KG
Wuppertal Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Bauingenieur Planung Bauwerke (w/m/d) Die Autobahn GmbH des Bundes
Brücken (Pfalz), Güstrow Zum Job 
THOST Projektmanagement GmbH-Firmenlogo
Ingenieur*in (m/w/d) im Risikomanagement im Bereich Energie THOST Projektmanagement GmbH
Berlin, Hannover, Nürnberg Zum Job 
Rhein-Sieg Netz GmbH-Firmenlogo
Ingenieur (m/w/d) Netzbetrieb Rhein-Sieg Netz GmbH
Siegburg Zum Job 
Stadtwerke Wedel GmbH-Firmenlogo
Netzplaner (m/w/d) im Bereich Asset Management Stadtwerke Wedel GmbH
Jacobs-Firmenlogo
Elektroingenieur (m/w/d) Jacobs
München Zum Job 
Jacobs-Firmenlogo
HLK Ingenieur (m/w/d) Jacobs
München Zum Job 
Jacobs-Firmenlogo
Projektsteuerer (m/w/d) Jacobs
München Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Ingenieur (w/m/d) Straßenplanung und Straßenentwurf Die Autobahn GmbH des Bundes
Dillenburg Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Ingenieur (w/m/d) konstruktiver Ingenieurbau in der Außenstelle Netphen Die Autobahn GmbH des Bundes
Netphen Zum Job 
Präsidium Technik, Logistik, Service Der Polizei Baden-württemberg-Firmenlogo
Ingenieurin / Ingenieur (w/m/d) für den Bereich Funkplanung/-messung Präsidium Technik, Logistik, Service Der Polizei Baden-württemberg
Stuttgart Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Ingenieur (w/m/d) Straßenplanung und Entwurf Die Autobahn GmbH des Bundes
Dillenburg Zum Job 

Das klingt sinnvoll und ist besonders komfortabel, wenn der Nutzer die Funktionen aus der Ferne in Gang setzen kann. Spontan hat sich Besuch angesagt? Dann tippt der Besitzer des Staubsauger-Roboters einfach auf seine Smartphone-App und lässt zu Hause noch mal eben schnell durchsaugen. Genau diese Fähigkeit bietet Hackern aber unter Umständen eine große Angriffsfläche. Den Sicherheitsforschern der TU Darmstadt ist es bei mehreren Staubsauger-Robotern gelungen, Sicherheitslücken zu entlarven. Unter anderem spielten sie bei einem Modell der Firma Mi Robot ein schädliches Update auf. Dem Staubsauger-Roboter Tesvor X500 könnten Hacker gemäß der Testreihe der Forscher sogar den kompletten Grundriss der Wohnung entlocken. Außerdem wird der Status des Gerätes für sie sichtbar. Da die meisten Verbraucher einen Staubsauger-Roboter seine Arbeit machen lassen, wenn sie selbst nicht zu Hause ist, ist diese Information sehr sensibel.

Adresscode ist zu leicht zu knacken

Tesvor X500 gehört mit einem Preis von knapp 200 Euro zum unteren Preissegment und kann problemlos online bestellt werden. Allerdings beschränkt sich die vorhandene Sicherheitslücke nicht auf dieses Modell, sondern bezieht sich nach Angabe der Wissenschaftler auf alle Saug- und Wischroboter dieses Herstellers.

Ein Hacker braucht demnach nicht mehr als die sogenannte MAC-Adresse, um das Gerät fernzusteuern und Daten abzurufen. Bei der MAC-Adresse handelt es sich um lange Zahlenfolge, über die sich ein elektronisches Gerät eindeutig identifizieren lässt. Für einen potenzielle Angreifer ist es dabei kein Problem, die MAC-Adresse zu knacken. Er muss lediglich verschiedene Nummernfolgen aus dem Adressbereich des Herstellers ausprobieren. Eine entsprechende Software spielt die Varianten sogar automatisch durch.

Zertifikat fehlt bei der Auslieferung

Als Backend nutzt der Staubsauger-Roboter von Tesvor „Amazon Web Services (AWS) Internet of Things (IoT)“. Mit dieser App kann der Nutzer das Gerät steuern. Als Authentifikation reicht jedoch die MAC-Adresse aus. Weitere Sicherheitsmaßnahmen wie eine Zugriffsbeschränkung sind nicht installiert. Entsprechend einfach sei es für einen Hacker, den Code zu knacken.

Ein weiteres Sicherheitsproblem komme hinzu. Normalerweise benutzt die App AWS IoT Zertifikate des Herstellers. Sie werden benötigt um, Authentizität und Vertraulichkeit in der Kommunikation zwischen Gerät und Cloud sicherzustellen. Wird das Gerät mit einem individuellen Zertifikat ausgeliefert, kann es dementsprechend schon bei der Einrichtung eine geschützte Verbindung aufbauen. Das sei bei Tesvor aber nicht der Fall. Die Roboter gelangen ohne Zertifikat zum Kunden und rufen es bei der erstmaligen Aktivierung vom Server des Herstellers ab. Das ermöglicht eine sogenannte Man-in-the-Middle-Attacke. Dabei wird das Zertifikat, vereinfacht gesagt, von einem Mithörer zwischen Roboter und Server abgefangen.

Die Wissenschaftler haben das Unternehmen auf die Sicherheitsprobleme hingewiesen. Nach eigener Aussage aber bislang noch keine Antwort erhalten.

Mehr Beiträge zum Thema IT-Sicherheit:

Ein Beitrag von:

  • Nicole Lücke

    Nicole Lücke macht Wissenschaftsjournalismus für Forschungszentren und Hochschulen, berichtet von medizinischen Fachkongressen und betreut Kundenmagazine für Energieversorger. Sie ist Gesellschafterin von Content Qualitäten. Ihre Themen: Energie, Technik, Nachhaltigkeit, Medizin/Medizintechnik.

Themen im Artikel

Zu unseren Newslettern anmelden

Das Wichtigste immer im Blick: Mit unseren beiden Newslettern verpassen Sie keine News mehr aus der schönen neuen Technikwelt und erhalten Karrieretipps rund um Jobsuche & Bewerbung. Sie begeistert ein Thema mehr als das andere? Dann wählen Sie einfach Ihren kostenfreien Favoriten.