Abus-Alarmanlagen: Tausende Systeme von schwerer Lücke betroffen

Eine Alarmanlage soll bekanntlich Hab und Gut schützen und heutzutage sind diese meist auch voll vernetzt. Denn man will natürlich immer wis­sen, was zu Hause so vor sich geht. Doch das kann ein ordentliches Si­cherheitsrisiko sein, wie nun an einer Abus-Alarmanlage zu sehen ist. Vernetzte Alarmanlagen sind heutzutage die Regel, doch dieses Mehr an Sicherheit kann mitunter auch ein Sicherheitsrisiko sein. Denn wie das Magazin c't berichtet, kann man über eine bestimmte, aber simple URL die Gerätekonfiguration des Abus-Modells Secvest FUAA50000 erreichen und das ohne jegliche Authentifizierung.

Die Möglichkeiten, die man darüber bekommt, sind nahezu endlos, denn man erfährt auf diese Weise sogar die Admin-PIN. Dazu kommen auch noch viele weitere sensible Informationen, darunter hinterlegte Telefonnummern, Nutzernamen und Ereignisse. Natürlich kann die Alarmanlage auf diese Weise auch ferngesteuert werden: Sie kann deaktiviert oder neu konfiguriert werden, man kann remote auch einen Alarm auslösen.

Patch bereits verfügbar, aber...

Eine unmittelbare Gefahr ist diese Schwachstelle aber - theoretisch - nicht mehr: Ihr Entdecker, der bei Eye Security tätige Sicherheitsforscher Niels Teusink hat den Hersteller bereits im Herbst des Vorjahres darauf aufmerksam gemacht, Anfang 2021 wurde das Problem per Firmware-Update aus der Welt geschafft.

Das war zumindest der Plan. Denn laut Teusink hat die aktualisierte Firmware-Version 3.01.21 bisher gerade einmal zehn Prozent der insgesamt 10.000 betroffenen und per Remote-Zugriff erreichbaren Alarmanlagen erreicht. c't hat das überprüft und konnte nach eigenen Angaben "hunderte Alarmanlagen mit veralteter Firmware" aufspüren.

Mittlerweile hat sich das das Bundesamt für Sicherheit in der Informationstechnik (BSI) eingeschaltet, dort heißt es, dass knapp 6000 Secvest-Anlagen auf diese Weise verwundbar sind. Natürlich ist allen Besitzern einer solchen Anlage dringend empfohlen, das passende Update durchzuführen, Firmware 3.01.21 ist auf der Seite des Herstellers zu finden.