Die vzbv – (Verbraucherzentrale Bundesverband) hat bei „hopp Marktforschung“ eine Umfrage beauftragt, um herauszufinden, welche Hemmschwellen die Deutschen beim Thema Smart Home haben. Die Gründe für die Skepsis sind vielfältig.
Doch eine Thematik sticht besonders hervor: Die Hälfte der Befragten (47%) haben Angst vor Hackerangriffen. Im Detail heißt das, dass viele Nutzer auf die Vorteile eines modernen Smart Homes verzichten aus Angst, dass Hacker die Heizung oder das Licht lahm legen, oder gar die Kontrolle über die gesamte Steuerung übernehmen könnten. Ist diese Angst berechtigt? Und wie kann man dem vorbeugen? Ist das Smart Home wirklich ein offenes Scheunentor, in welches Hacker quasi ungehindert einfallen können? Oder steckt hier viel Unwissen - und damit Angst vor dem Unbekannten - dahinter?
Grund genug für uns, sich die Theorien der Angst genauer anzuschauen, um den potentiellen Gefahrenstellen im Smart Home vorzubeugen.
1. Sicheres Smart Home Funksystem nutzen
Am häufigsten hören wir die Theorie vom schwarzen Van, der auf der gegenüberliegenden Straßenseite parkt und aus dem der Angreifer via Notebook die Funksignale des Smart Home mitlauscht, um schließlich das Smart Lock, also das elektronische Türschloss, zu öffnen. Ist so etwas wirklich möglich?
Die Antwort könnte wie folgt lauten: „Warum wirft der Hacker das Notebook nicht einfach direkt durch das Fenster und steigt in die Wohnung ein?“ - das würde vermutlich deutlich schneller gehen.
Um diese provokante Antwort zu verstehen, möchten wir dir das Gesamtbild des Szenarios aufzeigen. Es wird unterstellt, dass der Hacker die Funkverbindung angreift, über welche deine Smart Home Zentrale mit den Sensoren und Aktoren kommuniziert. Dafür gibt es verschiedene Szenarien. Eine davon könnte das sogenannte „Sniffen“ sein. Dabei lauscht der Angreifer die Signale im Netzwerk mit, zeichnet sie auf und spielt diese erneut ab. Man könnte annehmen, dass sich nun die Tür öffnet, wenn der Hacker den Befehl erneut "abspielt“.
Die gute Nachricht vorweg: All deine Smart Home relevanten Funksysteme sind verschlüsselt und somit auch sicher. Wir können natürlich nicht für alle proprietären Funksysteme sprechen, denn die Vielzahl der Geräte im Smart Home ist gewaltig. Aber wir gehen davon aus, dass die Hersteller von Türschlössern oder anderen sicherheitsrelevanten Komponenten keine unsicheren und unverschlüsselten Funksysteme wie das 433Mhz System verwenden.
Das heißt, dass die Kommunikation zwischen sicherheitsrelevanten Geräten in deinem Smart Home, wie beispielsweise Rauchmelder, Tür-/Fenstersensoren und natürlich auch Türschlösser immer verschlüsselt erfolgen muss.
Stell dir das Ganze wie eine Art Geheimsprache vor. Der Sender tauscht in der Nachricht systematisch Buchstaben aus, so dass die Nachricht keinen Sinn mehr für jemanden ergibt, der sie liest. Nur der echte Empfänger, der die Nachricht wieder entschlüsseln kann, wird diese dann auch verstehen.
Nutze daher verschlüsselte Smart Home Funksysteme wie Z-Wave, ZigBee, Homematic BidCos, Homematic IP und DECT!
„Aber wenn der Angreifer das Funksignal aufnimmt und erneut abspielt, muss er dieses doch gar nicht entschlüsseln?“ - Diese Aussage ist richtig und daher wird in der Praxis mit sogenannten Nuancen oder rollenden Codes gearbeitet. Klingt kompliziert? Ist es aber nicht! Du verwendest diese Sicherheitstechnologie fast täglich, bspw. wenn du die Funkfernbedienung von deinem Auto benutzt. Auch hierbei werden rollende Codes verwendet. Das bedeutet, dass jede Nachricht mit einem neuen Schlüssel codiert wird. Die Gegenstelle muss natürlich wissen, welcher Schlüssel als nächstes verwendet wird. Bei dem weit verbreiteten Z-Wave Funksystem ist dies im S2 (Security Framework 2) verankert und seit April 2017 für alle Hersteller verpflichtend einzusetzen.
Eine andere Angriffstechnik könnte sein, dass sich der Hacker über Funk in dein Smart Home Netzwerk einhackt und vorgibt ein (autorisierter) Teil des Netzwerks zu sein (beispielsweise die Smart Home Zentrale) um so Befehle an Geräte, wie das Türschloss zu senden. Dieses weit verbreitete Angriffszenario wird als „Man-in-the-Middle“ bezeichnet. Aber keine Sorge: Auch diese Gefahr lässt sich durch Verschlüsselung und Autorisierung minimieren. Zudem verwendet Apple HomeKit als auch Z-Wave seit dem S2 sogenannte Pin-Codes beim Einlernvorgang neuer Geräte in dein Netzwerk. Somit ist auch der Einlernprozess verschlüsselt, bei welchem eine theoretische Gefahr eines Angriffs bestehen könnte.
Vielleicht erinnerst du dich noch an den Skandal um ZigBee, als Hacker aus einer Drohe heraus Lampen in einem Gebäude gesteuert haben. Der damalige Angriff basierte auf genau dieser Sicherheitslücke.
Fassen wir an dieser Stelle zusammen:
- Wenn der Hacker das Funksignal angreifen will, bedarf es einer örtlichen Nähe.
- Das Hacken der Funkverbindung ist sehr aufwändig und erfordert hohes Know How.
- Der klassische Einbruch über Fenster und Türen ist deutlich schneller.
Bei der Wahl deines Smart Home Systems solltest du daher auf moderne Funksysteme setzen, welche hohe Sicherheitsstandards aufweisen – Stichwort: Z-Wave S2.
Wo aber liegen die echten Gefahren und wie kannst du diese minimieren?
2. Das WLAN Netzwerk sichern
Für einen besseren Komfort sind fast alle Smart Home Systeme via Smartphone App steuerbar und müssen daher aus deinem heimischen Netzwerk erreichbar sein. Dieser Umstand ist eine potentielle Schwachstelle, denn wenn ein Hacker ins heimische Netzwerk gelangt, könnte dieser auch auf dein Smart Home System zugreifen und dieses steuern.
Daher solltest du bei deinem WLAN Netzwerk die höchste Sicherheit, die WPA2 Verschlüsselung, verwenden. Viele Nutzer machen den Fehler und stufen die Verschlüsselung auf die potentiell unsichere Verschlüsselung des WEP herab, da vielleicht eines oder mehrere Netzwerkgeräte WPA2 nicht unterstützen. Die WEP Verschlüsselung gilt aber seit langem als veraltet. Wir empfehlen daher dringend einen Austausch der Geräte, welche die WPA2 Verschlüsselung nicht unterstützen!
3. WLAN unsichtbar machen
Auch bei deinem WLAN gilt: Wer hinein will, muss vor Ort sein. Dein Funksystem hat nur eine begrenzte Reichweite. Was allerdings nicht bedeutet, dass es - dank besserer WLAN Router und Mesh-Systemen - nicht noch in mehreren hundert Metern sichtbar ist. Was da zu sehen ist nennt sich SSID und ist der Netzwerkname deines heimischen Netzwerks.
Um potentiellen Langfingern keine Einladung auszusprechen, solltest du die SSID unsichtbar machen. Dies kannst du mit einem Klick im Router einstellen. Leider unterstützen noch nicht alle Geräte die Möglichkeit, sich in ein unsichtbares Netzwerk einzuloggen. In diesem Fall sollte das WLAN aber auf keinen Fall Hinweise auf den Standort enthalten. Heißt im Klartext: Verwende nicht die Straße oder den Familiennamen als WLAN SSID!
4. Social Hacking
Wie so oft gilt auch hier: Die Maschine macht keine Fehler, denn Fehler sind menschlich. Gibst du deinen Freunden lapidar das WLAN Passwort heraus, damit sie nicht über ihre Mobilfunkverbindung surfen müssen, sondern das schnelle DSL nutzen können, wenn sie zu Gast sind?
Eigentlich sagt es ja schon der Name: Gast! Dein Besuch hat nichts in deinem heimischen Netzwerk verloren, denn damit wird dieser zum autorisierten Teil des Netzwerks und kann alle Netzwerkressourcen - einschließlich deiner Smart Home Zentrale - erreichen. Das nennt man Social Hacking. So gut wie alle modernen Router bieten die Möglichkeit, ein Gastnetzwerk zu öffnen. Nutze dies!
5. Sichere Passwörter
Doch was nützt die beste Verschlüsselungstechnologie, wenn der Schlüssel – also das Passwort zu einfach ist? Daher sollte dein WLAN Schlüssel weder deine Postleitzahl, noch deine Telefonvorwahl sein und schon gar nicht das statistisch am häufigsten verwendete Passwort: 1234. Hier darfst du gern mal etwas kreativer sein!
6. Autorisierung
Da du dein Smart Home sicher auch von unterwegs kontrollieren möchtest, ist die Zentrale auch von außerhalb - also aus dem Internet - erreichbar. Damit nicht jeder Zugriff darauf hat, bedarf es einer Autorisierung. Diese kannst du dir in etwa wie ein Personalausweis vorstellen, mit welchem du dich ausweisen kannst. Bei dem Smart Home System authentifizierst du dich in der Regel mit einem Benutzernamen und einem dazugehörigen Passwort.
Auch hier gilt es, starke Passwörter zu verwenden, die nicht zu schnell erraten werden können. Außerdem muss nicht jeder Nutzer Zugriff auf alle Funktionen erhalten. In der Benutzerverwaltung kannst du daher entsprechende Rechte vergeben. In der Regel genügt es auch, wenn nur einer der Bewohner der Administrator - also derjenige mit allen Rechten auf dem System - ist.
7. VPN nutzen
Noch sicherer ist es natürlich, dein Smart Home System nicht von außen erreichbar zu machen. Um dabei nicht auf den Komfort verzichten zu müssen, dein Smart Home auch von unterwegs steuern zu können, kannst du dich mittels einem sogenannten VPN mit deinem heimischen Netzwerk verbinden.
Dabei wird eine gesicherte Verbindung über das Internet mit dem heimischen Netzwerk hergestellt. Dies erfordert zwar etwas mehr Konfigurationsaufwand als normal nötig, ist aber beispielsweise mit dem AVM FRITZ!Box VPN Tool auch für Laien schnell einzurichten.
8. Entsperrcode am Smartphone nutzen
Wie schon erwähnt, steuern wir viele Dinge in unserem Smart Home via App. Darunter auch das Smart Lock (Türschloss). Solltest du dein Smartphone also mal verlieren, könnte ein nicht autorisierter Dritter Zugriff auf dein Smart Home erhalten.
Daher sollte dein Smartphone mindestens mit einem Entsperrcode geschützt sein. Wir empfehlen dir zudem, wichtige Funktionen, wie beispielsweise das Öffnen von Türen oder das Deaktivieren deines Alarmsystems nicht aus den Widgets heraus erreichbar sein sollten!
9. Sichere Phrasen bei Siri Shortcuts
Seit dem letzten größeren Update des mobilen Betriebssystems von Apple, unterstützt dessen Sprachassistent nun auch sogenannte „Siri-Shortcuts“. Dabei lassen sich Funktionen aus Apps mit einer Phrase aufrufen.
Türschlösser wie jenes von Danalock unterstützen diese Funktion bereits. Das macht das Handy natürlich zu einem Schlüssel und ermöglicht darüber hinaus auch den Zugriff auf Funktionen deines Smart Homes - wie beispielsweise das Abschalten der Alarmanlage. Verwende hier unbedingt geheime Phrasen wie: „Sesam öffne dich“ – anstelle eindeutiger Phrasen wie: „Haustür öffnen“!
10. PIN Codes für Sprachassistenten
Nicht mehr wegzudenken aus unserem Alltag sind Sprachassistenten und inzwischen können diese auch deine Türen öffnen. Recht praktisch, wenn man auf der Couch liegt, es klingelt und man weiß genau: Es ist der Partner, der seinen Schlüssel vergessen hat. Warum also aufstehen, die Treppe herunterlaufen und die Tür öffnen, wenn ein einfaches: „Alexa, öffne die Tür“ genügt?
Damit dies aber nicht jeder kann, muss diese Funktion mit einem PIN Code geschützt werden, welchen der Sprachassistent beim Ausführen der Funktion abverlangt. Auch hier gilt: Der Code sollte weder deine Postleitzahl, noch deine Telefonvorwahl sein. Denn die Mikrofone der Sprachassistenten werden immer besser und können ggf. auch durch eine Tür - aber mindestens durch ein angekipptes Fenster - Befehle empfangen!
Fazit:
Die Hersteller von Smart Home Systemen und vor allem die Allianzen, welche hinter den Smart Home Funksystemen stecken, machen einen guten Job. Das müssen sie auch, denn Institute wie beispielsweise AV-TEST testen regelmäßig die IT Sicherheit der Smart Home Systeme.
Viel wichtiger ist es, dass du dir über deine Rolle in der Sicherheit bewusst bist. Mit den oben genannten 10 Tipps, wird dein Smart Home aber bombensicher.
