Nutzer unterbindet Datensammlung - Hersteller deaktiviert Saugroboter

Ein kurioser, aber beunruhigender Fall sorgt derzeit in der Technik-Community für Aufsehen: Ein Ingenieur namens Harishankar wollte die Datensammlung durch seinen Staubsauger-Roboter unterbinden. Daraufhin deaktivierte der Hersteller aus der Ferne das Gerät.

Kill Command trifft ein

Alles begann damit, dass Harishankar mehr über die Funktionsweise seines Haushaltshelfers iLife A11 herausfinden wollte, berichtet das US-Magazin Toms Hardware. Während er den Datenverkehr des Geräts überwachte, bemerkte er, dass der Roboter kontinuierlich Protokolle und Telemetriedaten an die Server des Herstellers sendete, ohne dass er dem jemals zugestimmt hatte.

Aus Sorge um seine Privatsphäre blockierte der Ingenieur kurzerhand die IP-Adressen dieser Telemetrie-Server in seinem Heimnetzwerk, ließ jedoch die Verbindungen für Firmware-Updates offen. Zunächst funktionierte der Staubsauger weiterhin, doch bald darauf verweigerte er den Dienst komplett. Nach einer längeren Fehlersuche fand Harishankar heraus, dass das Gerät ein sogenanntes "Kill Command", also einen ferngesteuerten Abschaltbefehl, erhalten hatte.


Mehrere Einsendungen an den Kundendienst brachten keine Lösung: In der Werkstatt lief der Roboter problemlos, doch zu Hause verweigerte er nach kurzer Zeit erneut den Start. Als das Servicezentrum schließlich erklärte, das Gerät sei "außerhalb der Garantie", nahm der Ingenieur die Sache selbst in die Hand und zerlegte den Staubsauger.

Generell unsicher

Im Inneren fand er diverse Komponenten, darunter ein AllWinner-A33-Prozessor mit einem Linux-basierten System sowie einen Mikrocontroller zur Steuerung der Sensoren. Mithilfe eigener Platinenanschlüsse und Python-Skripten überprüfte er die Hardware, alles funktionierte allerdings einwandfrei. Schließlich untersuchte er die Software und entdeckte gravierende Sicherheitslücken: Das Android-Debug-Interface, das über einen USB-Port erreichbar ist, war ungeschützt, ohne Passwort oder Verschlüsselung. Zudem sammelte das System mithilfe von Google Cartographer detaillierte 3D-Karten seiner Wohnung und sendete sie vollständig an die Server des Herstellers.

Der eigentliche Schock folgte, als Harishankar in den Logdateien eine Anweisung fand, die exakt dem Zeitpunkt des Ausfalls entsprach: den besagten Kill-Befehl. Nach dessen Entfernung startete der Staubsauger wieder normal. Offenbar verweigerte das Gerät die Funktion, sobald es keine Verbindung zu den Telemetrie-Servern herstellen konnte, eine Art digitale "Bestrafung" für das Blockieren der Datensammlung.

Siehe auch: