Sicherheitsrisiken im vernetzten Zuhause

Unser Sicherheitsverständnis hat sich in den letzten Jahrzehnten stark gewandelt. Früher reichte ein Bartschloss an der Wohnungstür, Autos hatten keine Wegfahrsperre, Einbruchschutz bei Fenstern und Terassentüren wurde kaum diskutiert und bei PCs gab es keinerlei Sicherheit. Bei BTX, AOL und den ersten Internet-Lösungen mit Analog-Modem wurde das Passwort im Klartext übertragen. Doch die Zeiten haben sich mit den Risiken geändert – auch im Smart Home (Bild 1).

Durch Globalisierung, Digitalisierung und das Internet sind die Bedrohungen für private Haushalte in den letzten Jahrzehnten massiv angewachsen. Grenzöffnungen haben sicherlich dazu beigetragen, dass Einbruchdiebstähle zugenommen haben. Aber auch wenn die Polizei inzwischen durchaus geschickt reagiert hat und die Einbruchszahlen in den letzten Jahren kontinuierlich gesunken sind, sorgen sich die Verbraucher. Dank sinkender Kosten verbreitet sich daher funkbasierte Alarmtechnik im Smart Home – und bietet oft nur vermeintliche Sicherheit.

Unverschlüsselte Datenschleudern

Bei Windows Home ist es immer noch trivial, das Passwort – wenn es überhaupt eines gibt – zurückzusetzen. Fast alle E-Mails werden immer noch unverschlüsselt übertragen. Eine Fritzbox und andere DSL-Router übertragen Passwörter im LAN ohne Verschlüsselung und Smart TVs könnte man als »Datenschleudern« bezeichnen.

Viren, das Stehlen von Daten per Phishing und sogenannte Trojaner sind heute eine durchaus ernstzunehmende Bedrohung. Security in Netzen und eben auch im Smart Home ist nicht nur relevant, sondern essentiell, um keine zusätzlichen, für Laien nicht erkennbaren Einfallstore zu bieten. Die Zerstörung oder kriminelle Verschlüsselung von IT-Systemen und Daten ist heute ein reales Risiko.

Identitätsdiebstahl wäre vor 20 oder 30 Jahren – in »analoger« Form – wahrscheinlich sogar einfacher gewesen als heute, ist aber gerade im digitalen Zeitalter zu einem der größten Risiken für Verbraucher geworden, zum Opfer krimineller Aktivitäten zu werden. Cyber Security ist heute ein relevantes Thema für Verbraucher und Unternehmen gleichermaßen.

Simple Sicherheitsbasis

Security und Hacking liefern sich heute ein Kopf-an-Kopf-Rennen. Selbst der Deutsche Bundestag war bereits ein Angriffsziel. Auch wenn es Spionage schon seit Jahrtausenden gibt: Der Diebstahl von 16 Gigabyte Daten rückt das Thema in eine andere Dimension. Monatliche oder noch häufigere Updates wegen Sicherheitslücken scheinen das Problem nicht zu lösen. Denn es werden immer wieder neue Lücken gefunden.

Das liegt oft daran, dass die zugrundeliegenden Systeme technisch mit nur sehr simpler Security entwickelt wurden. Linux ist ein markantes Beispiel: Aufgrund der Architektur finden sich immer wieder neue unerkannte Löcher – sogenannte Zero-Day-Exploits. Leider ist ein grauer Markt für Security-Lücken entstanden, der sogar von staatlichen Stellen angeheizt wird – Stichwort BSI und Bundestrojaner.

Theoretische Sicherheitslücken

Entsprechend deutlich zeigt auch der Smart Home Monitor 2019: Knapp ein Drittel der Smart-Home-Nutzer und fast die Hälfte der Interessenten sorgt sich um die eigene Privatsphäre und befürchtet Hacker-Attacken. Befeuert wird dies durch Berichte der Medien über vermeintliche Sicherheitslücken. Viele dieser Lücken sind in der Praxis jedoch nicht nutzbar oder der vermeintlichen Lücke liegt eine bezüglich der Sicherheit fragwürdige Konfiguration zugrunde, die so komplex ist, dass sie sich nur von Netzwerkexperten einrichten lässt.

Aber auch dies hält manche Journalisten nicht von einer Berichterstattung ab – sogar im Fernsehen. Positiv daran ist, dass die Öffentlichkeit sensibilisiert wird, negativ hingegen, dass auf die tatsächlichen Bedrohungen gar nicht hingewiesen wird.

Dabei ist der Wunsch der Anwender doch letztlich sehr einfach: Kunden möchten eine Lösung aus einem Guss, die durch Zuverlässigkeit und einfache Handhabung überzeugt und den gewünschten Komfort bietet (Bild 2). Dabei wird vorausgesetzt, dass das System sicher ist und auch sicher bleibt, da es nicht wie Mobiltelefone alle zwei Jahre ausgetauscht wird. Erwartet wird ein gegen Angriffe aus dem Internet sicheres System, das sich auch nicht von der Putzfrau oder Fremden lokal manipulieren lässt. Updates von Geräten müssen einfach und ohne den Besuch von Technikern möglich sein.

Ungeschützte Kommunikation

Wie aber ist es um die Sicherheit im Smart Home heute wirklich bestellt? Noch vor wenigen Jahren haben Standardisierungsgruppen für Home Control bzw. Smart Home einen Schutz der Kommunikation für nicht notwendig gehalten. Zigbee hat vor nicht allzu langer Zeit in seinem »Standard« für Home Control festgelegt, dass die Security gar nicht aktiviert werden darf.

Auch heute noch wird in Zigbee bei der Installation immer ein einziger Schlüssel verwendet, der im Standard sogar abgedruckt ist! Das wird ironisch gewöhnlich als »Security by Obscurity« (Sicherheit durch Unklarheit, d. h. die Sicherheit eines Systems soll gewährleistet werden, indem seine Funktionsweise geheim gehalten wird) bezeichnet.

Ähnliches gilt für Z-Wave: Die Hochschule Emden hat auch in der neuesten Version mehrere schwerwiegende Sicherheitslücken gefunden, durch die sich viele Systeme in der Praxis leicht angreifen lassen. Dies gilt ausdrücklich auch für die neue »S2 Security« von Z-Wave. Unter vielen anderen Produkten ist auch ein deutscher Markenhersteller von Sicherheitstechnik und Alarmanlagen betroffen: Durch einfaches Senden eines manipulierten Pakets mit einer im Internet für 20 Euro verfügbaren Hardware kann das Mesh Routing in Z-Wave so gestört werden, dass Signale von Sensoren aus Angreifer-Sicht reproduzierbar und zuverlässig nicht bei der Zentrale ankommen. Ein Alarm kann damit für zwei Minuten oder auch für 20 Minuten unterdrückt werden.

Komplizierte Neuinstallation statt Update

Der Fehler wurde von den Forschern an den Chip-Hersteller, d. h. den einzigen Lieferanten der Z-Wave-Technik, gesendet. Selbst nach neun Monaten ist das gemeldete Problem aber nur teilweise behoben. Die grundlegende Lücke im System ist überhaupt nicht angegangen worden: Das System sendet weiterhin alle Routingmessages ungeschützt. Hier besteht ein grundlegendes Problem: Der betroffene Hersteller hatte offenbar keinen Hinweis vom Chiphersteller erhalten und wurde auf das Problem erst durch Kontaktaufnahme der Forscher aufmerksam.

Aus Kundensicht ist die Situation mehr als unbefriedigend: Fast alle Z-Wave-Systeme sind relativ leicht anzugreifen, ohne dass es Warnungen von den Herstellern oder Lieferanten gäbe. Bei dem genannten Hersteller erfordert ein Update eine Neuinstallation und ist so kompliziert, dass es selbst für die Informatik-Studenten, die die Sicherheitslücke gefunden hatten, kaum umsetzbar war und das Problem gar nicht behoben hat. Oft ist ein Update der Z-Wave Geräte aber gar nicht möglich. Letztlich haben die Kunden eine mangelhafte Lösung erhalten, für die der Fachhandwerker einstehen müsste.

Risiken durch WLAN, Bluetooth & Co.

Risiken für die Security stammen im Smart Home gerade auch aus der Kombination und Integration unterschiedlicher Systeme im Heimnetz. Ein Beispiel: Bei sehr vielen Smart-Home- bzw. IoT-Geräten mit WLAN lässt sich der Schlüssel des WLANs auf sehr einfache Weise beim Installieren stehlen. Die Aussage »Es weiß ja niemand, wann ich installiere« verspricht leider keinen Schutz. Fehler lassen sich durch Störungen leicht provozieren. Der Support rät zur Neuinstallation und schon kann das WLAN-Passwort doch gestohlen werden.

Der darauf folgende Angriff zielt aber gar nicht auf das IoT-Gerät ab, sondern auf den PC im Haus, auf dem private Daten liegen. Bei Bluetooth ist es um die Sicherheit in der Praxis kaum besser bestellt und selbst Türschlossantriebe sind auf ähnliche Weise angreifbar.

Insofern ist das Sicherheitsniveau letztlich nur so gut wie das schwächste Gerät im Netz und das – auch für Haftung relevante – Schadensrisiko liegt keinesfalls nur bei dem direkt betroffenen Gerät.

KNX ohne Verschlüsselung

Auch bei KNX gibt es in der Praxis heute keine Security. KNX wird ohne Verschlüsselung und ohne Authentifzierung über den KNX-Bus und sogar über KNX-Funk übertragen. Das ist verständlich, wenn man bedenkt, wann KNX entwickelt wurde.

Früh in den 2010ern hat KNX zwei Formen von Security vorgestellt: »KNX IP Secure«, bei dem die Verbindung zwischen KNX-Gateways bzw. Linienkopplern über TCP/IP und Ethernet geschützt wird, und »KNX Data Secure«, bei dem die Daten auch auf dem KNX-Bus gesichert sind. Inzwischen ist das Thema Sicherheit aber so sensibel geworden, dass sich auch KNX zu einer Positionierung gezwungen sah. Das Problem ist aber die tatsächliche Umsetzung.

Tatsächlich müsste »KNX Data Secure« in alle KNX-Geräte integriert werden. Selbst viele Jahre nach der Vorstellung der Technik ist es heute in weniger als einem Prozent aller KNX-Geräte implementiert worden. Das bedeutet: »KNX Data Secure« steht in der Praxis gar nicht zur Verfügung. »KNX IP Secure« betrifft nur Gateways bzw. Linienkoppler und schützt einen Bereich, der in der Praxis kein Problem darstellt. KNX wirbt jetzt pauschal mit »KNX Security«, meint damit aber nur »KNX IP Secure«. Ein Schutz der Kommunikation auf dem KNX-Bus oder Funk? Fehlanzeige. Kunden und Partner im Fachhandwerk werden im Unklaren gelassen.

Haftungsrisiken und Mehrkosten

Natürlich betrifft dies nicht nur KNX, sondern fast alle Smart-Home-Lösungen im Markt: Entsprach eine verkaufte und installierte Lösung dem »Stand der Technik«, wenn es bei der Installation a) massive Sicherheitslücken gab, die b) in Fachkreisen bereits bekannt waren und c) gleichzeitig andere Produkte im Markt eine zertifizierte Sicherheit hatten? Wenn sich eine klare Sicherheitslücke findet, kann wohl kaum von einem mangelfreien Produkt ausgegangen werden.

Für den Fachhandwerker und in mindestens ebenso starkem Maße für beteiligte Architekten und Fachplaner ergeben sich massive Haftungsrisiken. Mehrkosten für Korrekturen und Updates können rasch mehr als den gesamten Profit aufbrauchen – und das noch nach Jahren. Noch schlimmer und teurer wird es, wenn es gar keine Updates gibt oder der Hersteller die Produkte nicht mehr unterstützt. Wie bereits erwähnt: Kunden sind nicht bereit, ihre Smart-Home-Lösung wie Smartphones oder Laptops nach wenigen Jahren auszutauschen und dafür selbst aufzukommen.

VDE-zertifizierte Alternative

Doch wie kann das Fachhandwerk mit der Situation umgehen? Die nötige Kompetenz im Bereich Cyber-Security selbst zu erwerben, ist kaum realistisch. Anhand von Begriffen wie »AES-128» (Advanced Encryption Standard, ein symmetrisches Verschlüsselungsverfahren mit 128 Bit Schlüssellänge und einem gemeinsamen Schlüssel zum Ver- und Entschlüsseln), »Elliptische Kurven« oder »ECC« (Elliptic Curve Cryptography, asymmetrisches Verschlüsselungssystem ohne gemeinsamen, geheimen Schlüssel) lässt sich die tatsächliche Qualität auch nicht beurteilen. Aussagen von Technologieherstellern oder Standardisierungsgruppen kann man oft nur als irreführend bezeichnen. Dadurch können selbst renommierte Hersteller heute schlicht überfordert sein.

Welcher Elektriker verlässt sich heute auf das CE-Zeichen bei einem Billigprodukt aus Fernost im Versand und übernimmt dafür die Verantwortung? In der Elektrotechnik bietet das VDE-Prüfzeichen dem Profi Sicherheit. Praktisch das gleiche ist auch bei der Cyber-Security möglich: Hier kann »Homematic IP« als Pionier im Markt gesehen werden (Bilder 3 und 4). Nicht nur, dass das System durch die Verwendung von IPv6 und die rechtsverbindliche Zusage des Herstellers, bis mindestens Ende 2030 weiterhin unterstützt zu werden, besonders zukunftssicher ist. »Homematic IP« ist das erste und bislang einzige System, dessen Protokoll-, IT- und Datensicherheit vom VDE zertifiziert ist. Dies gilt sowohl für das fehlertolerante Bus-System als auch die Homematic IP Funklösung, die dank Nutzung des 868-MHz-Funkbandes eine hervorragende Reichweite ohne Störung durch WLAN bietet.

Autor

Bernd Grohmann, Vorstand der eQ-3 AG, Leer

Quelle und Bildquelle: www.elektro.net