Hallo,
immer wieder hört man davon, dass Geräte, die im Haushalt im (W)LAN mit den Einstellungen des Herstellers eingeloggt sind, nicht sicher sind.
Könnte mir jemand bitte erklären, was da passieren könnte? Worin besteht die Gefahr?
Z.B. ist mein Thermomix im Gast-WLAN angemeldet und hat ein eigenes Passwort. Was könnte da passieren? Was muss ich tun, um evt. Gefahren auszuschließen?
Oder: Meine Solaranlage ist auch im Gast-WLAN angemeldet, so dass ich über einen Web-Zugang die „Ernte“ ablesen kann. Hier öffne ich den Browser, gebe die Adresse der Firma ein, die die Daten verwaltet und melde mich mit meinen Zugangsdaten an. Was könnte es hier für Gefahren geben?
Wäre die Situation eine andere, wenn diese Geräte im privaten (W)LAN eingeloggt wären?
Vielen Dank für eure Hilfe,
Tonka
Das Gast-WLAN zu nutzen ist doch schon mal ein super Ansatz um die Systeme von einander zu trennen, sofern diese Zugriff auf das Internet benötigen.
Hier wären mehrere Szenarien denkbar, da beide genannten Hersteller vornehmlich nicht IT-Hersteller sind und nicht bekannt es wie deren Schwachstellenmanagement aufgestellt ist.
-
Die Geräte senden dein WLAN Passwort an den Hersteller in eine Datenbank. Sollte diese Geleaked werden haben könnten sich die Angreifer, physische Nähe vorausgesetzt in dein WLAN einwählen.
Zugegeben, nicht sonderlich praxisnah. -
Die Geräte weisen ungepatchte Schwachstellen auf und sind aus den Internet angreifbar.
Bsp. Der Thermomix greift auf eine Kochanleitung eines Drittanbieterns zu. Diese beinhaltet Schadcode, da ein Angreifer das Portal übernommen hat. Der Thermix führt diesen Schadcode aus und wird Teil eines Botnetzes.
Am Ende ist wie immer.
Viele denkbare Szenarien, Updates installieren immer sinnvoll, IOT-Geräte in Getenntem Netz ebenfalls sinnvoll.
Ich ergänze mal das von @Fuchs genannte:
- Probleme kann es nicht nur damit geben, dass das Gerät das WLAN Passwort an den Hersteller schickt, sondern dass ganz allgemein Daten in die Cloud des Herstellers geladen werden können bzw. vom Nutzer dort abgelegt werden und man nicht weiß, ob nicht auch unbefugte Dritte Zugriff auf die Daten erhalten und damit Missbrauch betreiben können. Angefangen bei wertvollen Informationen wie Name, Adresse und E-Mail um Phishing Angriffe zu fahren und damit weitreichenderen Zugriff erhalten können, über die Möglichkeit, dass unbefugte Dritte auf die IoT Geräte zugreifen:
- Hier stellt sich dann die Frage, ob ein Dritter z.B. deine Solaranlage beschädigen kann, wenn er remote Zugriff hat? Oder auf deinen Thermomix? Kann man letzteren remote starten und z.B. ohne thermische Last also sozusagen wie einen leeren Kochtopf hochfahren und zerstören, oder noch schlimmer einen Brand entfachen? Der Thermomix hat einen Schutz, der dies verhindern soll. Ich persönlich würde solche Geräte aber nicht remote verfügbar machen. Wozu auch?
- Der Verlust des Gäste WLAN Passwords würde es einem Angreifen nicht nur ermöglichen dein Gäste WLAN zu nutzen, sondern auch andere Geräte in deinem Gäste WLAN anzugreifen, d.h. verlierst du über deinen Thermomix dein WLAN Password, dann ist theoretisch auch deine Solaranlage angreifbar. Ich würde meine IoT Geräte - wenn WLAN nicht vermeidbar ist - nicht in das Gäste WLAN einbinden, sondern ein extra WLAN hierfür aufsetzen, es sei denn das Gäste WLAN wird nur von dir genutzt und nicht von Gästen. @Fuchs schrieb, dass sich unbefugte Dritte Zugang zu deinem WLAN nicht sonderlich praxisnah sei, ich würde es aber anders formulieren: Wie hoch ist die Wahrscheinlichkeit, dass jemand dies versucht? Vielleicht wirklich nicht so hoch wie die von anderen Sicherheitsrisiken, aber ich würde zumindest keine Gäste in das gleiche WLAN lassen, an dem auch meine IoT Geräte angemeldet sind, weil die Maßnahme relativ einfach und günstig umzusetzen ist.
- Ein anderes mögliches Sicherheitsproblem ist die Firmware der IoT Geräte, bei der man nicht weiß ob sie rechtzeitig oder ob sie überhaupt Sicherheitspatches erhalten. Wenn nicht, dann kann so ein Gerät zu einem Sicherheitsrisiko werden, da es angreifbar sein kann.
- Das folgende Beispiel zeigt was passieren kann wenn man ein IoT Device über WLAN in ein Büronetzwerk einbindet: Criminals Hacked A Fish Tank To Steal Data From A Casino.
Bei IoT Geräten würde ich mich immer fragen
- Ist ein Zugang ins Internet wirklich notwendig, oder kann man diesen deaktivieren oder nur temporär aktivieren, um - falls dies der einzige Weg ist - die Firmware zu aktualisieren.
- Kann man nur das Webinterface eines IoT Gerätes nutzen? Falls man den Zugriff darauf auch aus der Ferne benötigt, dann kann man diesen über einen VPN realisieren.
- Und welchen wirklichen Mehrwert hat der Clouddienst des Herstellers des IoT Gerätes?
- Falls ich vor dem Kauf eines IoT Gerätes stehe, sollte ich immer schauen, ob auch eine Nutzung ohne die Cloud möglich ist. Wenn nicht würde ich die Finger davon lassen, es sei denn der Kauf ist umumgänglich.
Das würde aber nur gelten wenn im WLAN-Gastzugang die Kommunikation untereinander aktiviert ist.
Falls die WLAN-Geräte auch untereinander Daten austauschen sollen, aktivieren Sie die Option „WLAN-Geräte dürfen untereinander kommunizieren“.
Das ist standardmäßig laut der Webseite nicht der Fall. D.h. normalerweise sind die gegenseitig isoliert. Zumindest wenn man von der weitverbreiteten Fritzbox ausgeht.
Vielen Dank für eure ausführlichen Antworten.
Tja, Thermomix ohne Internetzugang macht keinen Sinn, bei der Solaranlage wäre das wirklich zu überlegen.
Bei der Solaranlage nutze ich nur das Webinterface, keine App. Beim Thermomix ist im Gerät sozusagen die App, aber er schaltat sich ja ohne Standby 6 min nach Nichtbenutzung automatisch aus. Da wäre höchstens die Frage, ob man dann noch den Stecker ziehen muss?
Die Gäste im WLAN dürfen untereinander nicht kommunizieren - immerhin.
Wie man aber bei der FritzBox 7490 ein 2. Gäste-WLAN einrichtet, ist mir nicht klar. Da war auch eine Suche im Internet nicht erfolgreich, offensichtlich geht das nicht so einfach - oder habe ich es nur nicht gefunden?
Herzlichen Dank euch allen jedenfalls für die Aufklärung, das hat mir schon mal sehr gut weitergeholfen.