Angriff der Killer-Rasenmäherroboter:
Diese lassen sich per Hack kapern

Ein deutscher Sicherheitsforscher hat eine kritische Schwachstelle in vernetzten Mährobotern der Marke Yarbo entdeckt. Angreifer können die schweren Maschinen aus der Ferne komplett steuern und auf Kameras sowie WLAN-Passwörter zugreifen.

Sicherheitslücke in Mährobotern

Der deutsche Sicherheitsforscher Andreas Makris hat eine weitreichende Schwachstelle in vernetzten Mährobotern des Herstellers Yarbo aufgedeckt. Durch einen Fehler im System erlangte er weltweit Zugriff auf Tausende aktive Geräte. Die rund 90 Kilogramm schweren und 5000 US-Dollar (etwa 4253 Euro) teuren Maschinen lassen sich dadurch aus der Ferne komplett steuern. Das betrifft die Navigation und auch die rotierenden Klingen der Geräte.

Die Ursache für das Problem liegt in der Software-Architektur. Jeder Yarbo-Roboter nutzt eine vollständige Installation des Betriebssystems Linux, die über ein fest integriertes Root-Passwort verfügt. Makris stellte bei der Analyse fest, dass das Zugangspasswort bei sämtlichen Modellen weltweit identisch ist. Dabei haben Besitzer keine Möglichkeit, das Kennwort dauerhaft zu ändern. Das System setzt das Passwort bei jedem Firmware-Update automatisch auf den Standardwert zurück.


Wie The Verge in einem Bericht schildert, demonstrierte Makris die Folgen der Lücke an echten Geräten. Ein Angreifer kann die Steuerung übernehmen, Bilder der Kameras abgreifen und Nutzerdaten auslesen. Dazu zählen genaue GPS-Koordinaten, private E-Mail-Adressen und die WLAN-Passwörter der Besitzer. Theoretisch lassen sich die Roboter für Angriffe auf das Heimnetzwerk missbrauchen. Die genaue Anzahl betroffener Modelle wurde aber nicht genannt.

Hersteller verspricht Besserung

Zunächst deklarierte Yarbo den uneingeschränkten Fernzugriff als bewusst integrierte Funktion für die technische Ferndiagnose. Nach öffentlichem Druck kündigte das Unternehmen an, die Kommunikation zwischen der Smartphone-App und den eigenen Servern besser abzusichern. Die tieferliegenden Schwachstellen direkt in der Geräte-Firmware bleiben jedoch vorerst bestehen. Ein vollständiges Sicherheitsupdate steht noch aus, weshalb die Geräte weiterhin angreifbar sind.

Zusätzlich zeigte die Untersuchung, dass die Maschinen ihre Telemetriedaten teilweise an den chinesischen Technologiekonzern ByteDance senden. Yarbo hat seinen Hauptsitz laut eigenen Angaben in New York, agiert jedoch primär aus dem chinesischen Shenzhen. Die Weitergabe von Nutzerdaten an Server in China geschah ohne explizite Zustimmung der Besitzer. Das erhöht das Risiko für die Privatsphäre der Nutzer weiter.

Der Fall ordnet sich in eine Reihe ähnlicher Vorfälle bei vernetzten Haushaltsgeräten ein. Viele Hersteller von IoT-Hardware priorisieren die schnelle Markteinführung vor der Implementierung grundlegender Sicherheitsstandards. Fest codierte Passwörter und unverschlüsselte Datenübertragungen gehören zu den häufigsten Fehlern. Sicherheitsforscher fordern seit Langem verbindliche Vorgaben für die Absicherung solcher Systeme.

Wie schützt ihr euer Netzwerk vor unsicheren Smart-Home-Geräten? Ist euch Software-Sicherheit beim Kauf wichtig? Teilt eure Gedanken mit uns in den Kommentaren.
Siehe auch: