Hacker-Gefahr? So unsicher sind smarte Thermostate laut dem BSI

Smarte Heizkörperthermostate erfreuen sich wachsender Beliebtheit, doch eine aktuelle Studie des BSI deckt ernsthafte IT-Sicherheitsmängel auf. Besonders die fehlende Verschlüsselung von Nutzerdaten stellt ein erhebliches Risiko dar. Verbraucher sollten vorsichtig sein.

Praktisch, aber potenziell unsicher

Angesichts steigender Energiepreise setzen immer mehr Verbraucher auf smarte Heizkörperthermostate, um ihren Energieverbrauch zu optimieren - auch wir hatten uns diesem Thema schon einmal ausführlich gewidmet. Doch die vermeintlich cleveren Helfer bergen auch Risiken.

Eine aktuelle Studie hat gravierende IT-Sicherheitsmängel bei diesen Geräten aufgedeckt, insbesondere im Hinblick auf den Schutz von Nutzerdaten. Die Experten untersuchten zehn zufällig ausgewählte smarte Heizkörperthermostate und deren zugehörige Smartphone-Apps. Praktisch aber unsicher? Das BSI wollte es wissen. Dabei zeigte sich, dass die Hersteller bei der Entwicklung offenbar mehr Wert auf Funktionalität als auf IT-Sicherheit legen. Viele der getesteten Produkte bieten keinen wirksamen Schutz gegen Hackerangriffe. Allerdings hat das BSI keines der Produkte an den Pranger gestellt. Die veröffentlichte Untersuchung (über 90 Seiten PDF) geht nur auf die gefundenen Probleme ein, verkündet aber nicht, welche Hersteller bei der Sicherheit patzten.

Neun von zehn der untersuchten Geräte [...] erfüllen drei Viertel der geprüften Testfälle nach ETSI EN 303 645

Bei der Analyse hat das BSI erhebliche Schwachstellen identifiziert und auch an die Firmen weitergegeben. Besonders alarmierend: Bei einem Produkt wurde eine völlig unverschlüsselte Kommunikation mit dem Backend festgestellt. Das bedeutet, dass sämtliche Nutzerdaten im Klartext übertragen wurden - ein leichtes Ziel für Cyberkriminelle.

Diese Geräte wurden geprüft

Sicherheitslücken in Smartphone-Apps

Auch die Smartphone-Apps zur Steuerung der Thermostate weisen Sicherheitslücken auf. Drei der getesteten Apps speicherten vertrauliche Daten auf unsichere Weise, während zwei Apps es versäumten, bestimmte Verbindungen zu verschlüsseln. Auch AVM hat mit seinem Fritz-Set eine gute Heiz-Basis fürs Smart Home Dies macht sie anfällig für sogenannte Man-in-the-Middle-Angriffe, bei denen sich Hacker zwischen Nutzer und Server schalten können.

Ein weiteres Problem: Drei der untersuchten Geräte und Apps basieren auf einer White-Label-Lösung eines chinesischen Drittanbieters. Das bedeutet, dass verschiedene Hersteller im Grunde das gleiche Produkt unter ihrer eigenen Marke verkaufen. Wird eine Sicherheitslücke in dieser Basislösung entdeckt, sind gleich mehrere Markenprodukte betroffen.

Für Verbraucher bleibt dabei oft unklar, wo die Geräte tatsächlich produziert werden. Viele Hersteller liefern Adapter für nahezu alle gängigen Ventile mit

Mangelnde Transparenz und unzureichender Support

Neben den technischen Mängeln kritisiert das BSI auch die mangelnde Transparenz und den unzureichenden Support seitens der Hersteller. Die Untersuchung offenbarte folgende Probleme:

Empfehlungen des BSI für Verbraucher

Das BSI rät Verbrauchern dringend, beim Umgang mit smarten Heizkörperthermostaten und deren Apps äußerst sparsam mit persönlichen und sensiblen Daten umzugehen. Bei der Erstkonfiguration und im laufenden Betrieb sollten Nutzer besonders auf IT-Sicherheitsaspekte achten. Hilfreiche Tipps dazu finden sich in der BSI-Publikation "Wegweiser für den digitalen Alltag: Internet der Dinge sicher nutzen".

Fazit: Nachholbedarf im Hinblick auf IT-Sicherheit?

Das BSI mahnt nun an, dass im Bereich der smarten Heiztechnik noch erheblicher Nachholbedarf bezüglich IT-Sicherheit besteht. Hersteller sind aufgefordert, ihre Produkte besser abzusichern und Sicherheit von Anfang an in den Entwicklungsprozess zu integrieren. Nur so können Verbraucher die Vorteile smarter Technologien nutzen, ohne ihre Privatsphäre und Datensicherheit zu gefährden.

Nachtrag: 17.12.: Einige Hersteller haben schon auf das Problem reagiert und erläutern die Probleme aus ihrer Sicht. Von Bosch gibt es folgende Stellungnahme (gekürzt):

"Wir wissen, dass der BSI-Bericht Fragen aufwirft. Wir sind damit vertraut und haben die Ergebnisse in enger Abstimmung mit dem BSI sorgfältig geprüft. Das Wichtigste: Keine Sorge! Das BSI bestätigt: "Die Untersuchung ergab, dass ein Großteil der untersuchten smarten Heizkörperthermostate den europäischen Basissicherheitsanforderungen an IoT-Geräte für Verbraucher entspricht. Nur in wenigen Fällen entsprachen die Ergebnisse nicht dem ETSI-Standard, was jedoch keinen Anlass zur Besorgnis gibt." Das Bosch Smart Home Heizkörper-Thermostat II hat im Test keine Beanstandungen aufgewiesen, was die Zuverlässigkeit der Sicherheitsimplementierung des Produkts bestätigt.

Der BSI-Bericht bezog sich ausschließlich auf die Nutzung von Thermostaten (ohne weitere Produkte) in Smart Home-Systemen oder über Apps. Dieser Testansatz führte jedoch zu teilweise verfälschten Ergebnissen. Zum Beispiel wurde kritisiert, dass die App Audiozugriff anfordert. Dies ist aber in unserem Fall nur optional für die Integration und Nutzung von Kameras erforderlich. ...

Wir möchten betonen, dass die Bosch-spezifische Cloud ihren Standort in der EU (überwiegend in Deutschland) hat und somit dem europäischen Datenschutzrecht unterliegt." Wie steht ihr zu den Sicherheitsmängeln bei smarten Heizkörperthermostaten? Nutzt ihr solche Geräte und macht ihr euch Gedanken um eure Daten? Teilt eure Erfahrungen und Meinungen in den Kommentaren!


Siehe auch: