Computermagazin c`t warnt vor Sicherheitslücken bei Alarmanlagen

Die getestete Hardware stammt vom taiwanesischen Hersteller Climax Technology, der seine Produkte in Deutschland unter den Marken Blaupunkt, Egardia und Lupus Electronics vertreibt. Während die Produkte von Blaupunkt und Egardia über einen herstellereigenen Cloud-Server kommunizieren, lassen sich die Lupus-Anlagen über ein Web-Interface direkt über das Smartphone steuern. Dafür muss der Nutzer nur eine Portfreigabe im Router einrichten.

Nach dem ersten Login sollte der Nutzer die hinterlegten Standardzugangsdaten umgehend ändern. Oft wird dieser wichtige Schritt jedoch übersprungen oder vergessen. Im Handbuch des Lupus-Geräts fehlte zudem ein entsprechender Hinweis. Auch eine Alarmanlage des deutschen Sicherheitsspezialisten Abus kommt mit voreingestelltem Benutzernamen und Passwort zum Endkunden. Alternativ könnten die Hersteller einen Änderungszwang nach der Erstanmeldung einführen.

Hinzu kommt, dass die Anlagen über spezielle Online-Portale ähnlich wie bei Google auffindbar sind. Etwa 15 Prozent der Treffer standen mit Standardzugang im Netz. Weltweit fanden die Computer-Redakteure Hunderte offene Anlagen vor. Wer einmal Zugang zum Web-Interface erhält, hat vollen Zugriff auf alle Funktionen der Anlage. Dazu gehört das Anstellen der Sirenen sowie, dass die Alarmanlage scharf und unscharf gestellt werden kann. Das Missbrauchspotenzial für Einbrecher ist erschreckend.

Das Magazin c`t kontaktierte alle Hersteller und wies sie auf ihre Sicherheitsbedenken hin. Diese haben reagiert und die Lücke entweder bereits geschlossen oder angekündigt, dies bald nachzuholen.