Smart Home: Jeden Tag mindestens ein Eindringling im „Haunted House“

Eingangsbereich des Haunted House. Quelle: Sophos

Bislang gibt es kaum valide Daten über externe Zugriffe auf IoT-Geräte. Um Angriffsversuche zu messen, baute das von Sophos beauftragte Unternehmen Koramis eine Smart-Home-Infrastruktur als Honeypot auf, das „Haunted House“. Auf einer 4 mal 2,5 Meter großen, einer Wohnung nachempfundenen Fläche wurden insgesamt 13 IoT-Geräte und -Steuerungssysteme unterschiedlicher Hersteller eingebaut, vernetzt und mit dem Internet verbunden – klassisch wie man es in immer mehr modernen Haushalten findet. Ein Fazit der Analyse: Kein Gerät wurde aktiv manipuliert, aber jeden Tag stieg die Anzahl der Angriffe.

In zwei der insgesamt drei Testphasen wurden die Art und Häufigkeit von Zugriffsversuchen auf die Komponenten im Haunted House aufgezeichnet. Die erste Phase erfolgte über sechs Wochen mit eigens vergebenen und sicheren Passwörtern. Die zweite Phase mit demselben Aufbau lief drei Wochen, allerdings mit den Standardeinstellungen der Hersteller – so wie man es häufig in privaten Haushalten installiert findet.

Für die Einordnung dieser Ergebnisse im einem größeren Kontext, wurden in einer dritten Phase aktive Internet-Scans nach typischen und offenen IoT-Komponenten mithilfe der IoT-Suchmaschinen SHODAN und Censys durchgeführt. Die Ergebnisse wurden in sogenannten Heatmaps für die deutschsprachige Region, Europa und weltweit dargestellt.

Die Ergebnisse: Wenig überraschend, aber besorgniserregend

Die Zugriffsversuche auf das Haunted House übertrafen die Erwartungen und waren hoch. Aus fast jedem Land der Welt wurde im Versuchszeitraum mindestens einmal versucht, ein IoT-Gerät im Haunted House anzusprechen – in der ersten Phase im Frühjahr 2017 rund 1.500 tägliche Zugriffsversuche, in der zweiten Phase im Herbst 2017 rund 3.800.

Die Verteilung der Zugriffe aus den einzelnen Ländern unterscheidet sich dabei bei beiden Testphasen. Besetzen China und die USA in beiden Perioden die ersten beiden Plätze, verändert sich der Drittplatzierte stark: Mexiko liegt in der ersten Testphase auf drei, in der zweiten Phase schafft es das Land nicht mal unter die Top Ten. Brasilien (vormals fünf) nimmt seinen Platz ein. An Brasiliens Stelle positioniert sich neu Japan.

Auffallend: Innerhalb dieses zweiten Testzeitraumes von drei Wochen konnten 27 Angriffe auf den Server eines Herstellers identifiziert werden. Im Ergebnis lasse sich also schließen, dass sich im Testzeitraum, bei dem mit Standardeinstellungen gearbeitet wurde, durchschnittlich mehr als ein ungebetener Gast pro Tag im Haunted House umgeschaut habe. An den Systemen wurden dabei von keinem Angreifer Veränderungen vorgenommen – obwohl dieses möglich gewesen wäre.

Bei den aktiven Internet-Scans wurden viele Internet-Gateways für IoT-Komponenten gefunden, mit steigender Tendenz. In der Region DACH lässt sich zwischen März und Mai mit 3,7 Prozent ein dauerhafter Anstieg offener Gateways verzeichnen. Hochgerechnet auf ein Jahr liegt der Wert bei linearer Fortschreibung bei 22,2 Prozent und bestätigt damit die von Statista prognostizierte Marktentwicklung von 25 Prozent für dien DACH-Bereich. Weltweit stieg die Anzahl gefundener Gateways um die Rate 3,1 Prozent.

Die genaue Beschreibung der “Haunted House”-Studie samt ausführlicher Darstellung der Ergebnisse sind nun in einem Whitepaper veröffentlicht, das hier zum Download zur Verfügung steht.