Hacker knacken das Smart Home – Source: www.csoonline.com

IoT-Geräte wie digitale Bilderrahmen oder Mediaplayer sind immer häufiger das Ziel von Cyberkriminellen. Viele dieser mit dem Internet verbundenen Geräte weisen Schwachstellen auf und können leicht mit Schadsoftware infiziert werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eigenen Angaben zufolge gerade erst bei bis zu 30.000 solchen Geräten in Deutschland die Kommunikation zwischen der Schadsoftware BadBox und den Tätern unterbunden. All diesen Devices sei gemein, dass sie über veraltete Android-Versionen verfügen und mit vorinstallierter Schadsoftware ausgeliefert wurden, so die Behörde. 

Laut BSI ist BadBox in der Lage, unbemerkt Accounts für E-Mail- und Messenger-Dienste zu erstellen, über die anschließend Fake-News verbreitet werden können. Weiterhin lasse sich über BadBox Werbebetrug (Ad-Fraud) betreiben, indem die Malware im Hintergrund Webseiten ansteuert. 

Darüber hinaus könne die Schadsoftware als Residental-Proxy-Service fungieren. Dabei stellt sie die Internetverbindung der Nutzerinnen und Nutzer unbekannten Dritten zur Verfügung, die diese dann für kriminelle Aktivitäten (Cyberangriffe, Verbreitung illegaler Inhalte) nutzen könnten. Dadurch könne die IP-Adresse der Betroffenen in Zusammenhang mit Straftaten gebracht werden. Außerdem biete BadBox Möglichkeiten, weitere Schadsoftware nachzuladen.

Geräte mit Sicherheitslücken dürfen nicht auf den Markt kommen

„Schadsoftware auf internetfähigen Produkten ist leider kein seltenes Phänomen“, warnt BSI-Präsidentin Claudia Plattner. Insbesondere veraltete Firmware-Versionen würden dabei ein gewaltiges Risiko bergen. Plattner nimmt an dieser Stelle alle in die Pflicht. „Hersteller und Händler haben die Verantwortung dafür, dass solche Geräte nicht auf den Markt kommen. Aber auch Verbraucherinnen und Verbraucher können etwas tun: Schon beim Kauf sollte Cybersicherheit ein wichtiges Kriterium sein!“ 

Grundsätzlich bestehe für alle IT-Produkte mit veralteten Firmware-Versionen das Risiko, dass sie für Schadsoftware anfällig sind, stellen die Experten am BSI fest. Dies betreffe auch zahlreiche weitere Produktklassen. Internationale Berichte legten nahe, dass auch Smartphones und Tablets zu infizierten Geräten gehören können. Das BSI geht daher von einer sehr hohen Dunkelziffer aus und ruft dazu auf, entsprechende Geräte vom Internet zu trennen oder nicht weiter zu benutzen. 

Ob die kommende Regulatorik für mehr IT-Sicherheit im Smart Home sorgen wird, bleibt abzuwarten. Am 11. Dezember 2024 ist der Cyber Resilience Act (CRA) in Kraft getreten. Diese europäische Regulierung soll ein Mindestmaß an Cybersicherheit für vernetzte Produkte auf dem EU-Markt vorgeben. Hersteller haben nun 36 Monate Zeit, ihre Produkte an die neuen Anforderungen anzupassen. 

Cyber Resilience Act (CRA) definiert Mindestanforderungen in Sachen Security

Ab Dezember 2027 muss zudem jedes Produkt mit digitalen Elementen, das in der EU in Verkehr gebracht wird, die im CRA formulierten Cybersicherheitsanforderungen erfüllen. Der CRA erhöht die Transparenz bezüglich der Produktinformationen und verpflichtet die Hersteller, bestimmte Mindestanforderungen an Cybersicherheit einzuhalten. Konsumenten sollen die Einhaltung dieser Regeln künftig am bekannten CE-Kennzeichen erkennen können.

NIS2, DORA, Data Act & Co.: Die wichtigsten Security-Gesetze im Überblick

Bereits ab September 2026 müssen EU-Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle im Zusammenhang mit ihren digitalen Produkten den zuständigen Behörden wie dem CSIRT (Computer Security Incident Response Team) des BSI melden. Wer hierzulande letztendlich darüber wachen soll, ob der CRA eingehalten wird, ist allerdings noch nicht ausgemacht. Zum Aufgabenspektrum einer solchen Marktaufsichtsbehörde würde es auch gehören, die Zusammenarbeit zwischen Behörden auf nationaler und europäischer Ebene zu koordinieren. 

Offenbar strebt das BSI die Übernahme der Marktüberwachung im Rahmen des CRA an. „Als zentrale Cybersicherheitsbehörde des Bundes verfügen wir über umfassende Erfahrung mit Blick auf die Absicherung digitaler Produkte und Prozesse“, sagte jüngst BSI-Vizepräsident Gerhard Schabhüser. Bereits heute fungiere das BSI als Aufsichtsbehörde, etwa für Betreiber Kritischer Infrastrukturen.  

Um die Anforderungen des CRA greifbarer zu machen, hat das BSI die technische Richtlinie TR-03183 erarbeitet, in der die im CRA formulierten Anforderungen an Hersteller und Produkte beschrieben und erklärt werden. Die Behörde leiste eigenen Angaben zufolge damit bereits heute einen herstellerneutralen, verbraucherorientierten Beitrag zur europäischen Standardisierung. 

Zu wenige Konsumenten achten auf Security-Aspekte

Doch auch die Verbraucherinnen und Verbrauchern in Deutschland müssten mithelfen und IT-Sicherheit schon bei der Kaufentscheidung von Smart Devices mitdenken. Genau an dieser Stelle gibt es dem BSI zufolge jedoch noch Defizite. Der Cybersicherheitsmonitor 2024 habe gezeigt, dass viele Konsumenten die IT-Sicherheit ihrer smarten Geräte vernachlässigten. Nur ein gutes Viertel nennt dem BSI zufolge etwa Update-Zusagen der jeweiligen Hersteller als Kaufkriterium. Dabei seien Sicherheits-Updates, die ein Hersteller über den gesamten Nutzungszeitraum eines Geräts zur Verfügung stelle und damit etwaige Sicherheitslücken schließe, essenziell für die Sicherheit im gesamten Smart Home. 

„Verbraucherinnen und Verbraucher sollten nicht an der falschen Stelle sparen“, mahnt Hanna Heuer, Expertin für Verbraucherschutz beim BSI. Konsumenten sollten vorab den Hersteller recherchieren und auf Seriosität prüfen, und in der Konsequenz Geräte meiden, die mit veralteten Betriebssystemen oder ohne Updatezusagen ausgeliefert würden. 

Um das Smart Home sicherer zu machen, empfiehlt das BSI: 

• voreingestellte Standardpasswörter durch ausreichend starke, selbst gewählte Passwörter zu ersetzen, 

• alternativ Passkeys statt Passwörtern zu verwenden, 

• Benutzerkonten zusätzlich mit Zwei-Faktor-Authentisierung zu schützen, 

• ein separates (Gast-)WLAN ausschließlich für smarte Geräte zu verwenden, 

• nicht benötigte Funktionen zu deaktivieren und 

• regelmäßig zu prüfen, ob Updates zur Verfügung stehen.