Putzroboter als SicherheitslückeVorsicht – der Staubsauger hört mit
Forscher haben einen Staubsaugerroboter gehackt und ihn zu einem Abhörgerät umprogrammiert. Das Experiment zeigt Sicherheitslücken bei modernen Elektrogeräten.
In vielen Schweizer Haushalten gehören die kleinen Helfer zur Standardausstattung: Staubsaugerroboter, die ihren wertvollen Dienst jederzeit und per Handy steuerbar erledigen. Doch die neue Generation der Roboter kann nicht nur Schmutz saugen, sondern auch Informationen über ihre Nutzer sammeln. Mit etwas Aufwand lässt sich der Haushaltshelfer in ein Spionagewerkzeug umbauen, wie Forscher aus Singapur und den USA nachgewiesen haben. Sie haben dafür das Modell Xiaomi Roborock S5 verwendet, das auch in der Schweiz erhältlich ist.
Bei ihrem Experiment verschafften sich die Forscher zunächst Zugriff auf den Roboter, der mit dem Internet verbunden ist. In einem zweiten Schritt manipulierten sie den Lasersensor des Staubsaugers. Dieser misst normalerweise den Abstand zu diversen Objekten im Raum. Doch die Forscher richteten ihn gezielt auf bestimmte Gegenstände auf dem Boden – etwa einen Mülleimer mit einem Plastikbeutel oder eine Ikea-Tasche. Denn wenn Leute in der Nähe dieser Objekte sprechen oder Musik läuft, entstehen dadurch Schallwellen, die sich in ganz kleinen Schwingungen auch auf den Plastikbeutel oder die Tragtaschen übertragen.
Der Sensor am Staubsauger konnte diese kleinen Schwingungen messen. Den so entstandenen Datenstrom fingen die Forscher auf und verwandelten die Schwingungen wieder zurück in ein akustisches Signal. Das gelang sowohl bei Zahlen, die vorgelesen wurden als auch bei Musik. In beiden Versuchen konnten die Wissenschafter über den Staubsauger rund 90 Prozent der Töne erkennen.
Staubsauger könnte Nutzer ausspionieren
Das Experiment erstaunt – und es könnte Folgen haben, wie die Forscher in ihrer unlängst erschienenen Publikation aufzeigen: So könnten Gauner ihre Opfer etwa belauschen, wenn diese im Homeoffice an einer Telefonkonferenz teilnehmen oder private Informationen wie Kontonummern, Sozialversicherungsnummern oder Kreditkarteninfos preisgeben. Zudem könne der Staubsauger die Musiksignaturen von TV-Nachrichten verschiedener Sender erkennen – und so Rückschlüsse auf den Medienkonsum oder die politische Orientierung der Nutzer ziehen, warnten die Forscher.
Bemerkenswert ist der Versuch auch deshalb, weil damit nicht mehr nur elektronische Geräte mit bereits eingebauten Mikrofonen im Verdacht stehen, ein potenzielles Risiko für die Privatsphäre zu sein. Beim Staubsauger wurde der Lasersensor als Mikrofon zweckentfremdet. Die Forscher erklärten, sie hätten den Roboterstaubsauger lediglich als Beispiel verwendet. Ihre Ergebnisse seien jedoch auch auf andere Geräte anwendbar, beispielsweise Smartphones mit ähnlichen Sensoren.
Experten raten zur Vorsicht
Wie hoch ist das Risiko, dass Schweizer Haushalte über ihren Staubsaugerroboter abgehört werden? Cyber-Security-Experte Umberto Annino rät bei der Nutzung von Geräten, die permanent mit dem Internet verbunden sind, generell zur Vorsicht. «Dort wird die Sicherheit oft vernachlässigt», sagt er. Viele Nutzer seien sich der potenziellen Sicherheitslücke bei einfachen Haushaltsgeräten gar nicht bewusst. «Man stellt sich nicht vor, dass der Staubsauger oder der Kühlschrank für Angriffe verwendet wird. Aber wenn sich der Computer komisch verhält, dann vermutet man, dass er gehackt worden ist», führt Annino aus.
Wer einen Staubsaugerroboter hat, muss sich nach Anninos Einschätzung dennoch nicht vor einem Lauschangriff fürchten. Das Experiment der Wissenschafter sei zwar sehr interessant, aber doch mit beträchtlichem Aufwand verbunden. «In der Praxis ist das also weniger relevant.» Trotzdem werde es immer wichtiger, dass die Konsumgüterproduzenten ihre Produkte ausreichend gegen Cyberangriffe schützen. Das gelte vor allem dann, wenn diese mit dem Internet verbunden sein müssen, damit sie voll funktionsfähig sind. Annino ist Berater beim Schweizer Sicherheitsunternehmen infoguard und ehemaliger Präsident des Vereins ISSS – Information Security Society Switzerland, der diese Einschätzung teilt.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) erklärte, grundsätzlich berge jede Schnittstelle ein potenzielles Angriffsrisiko. «Die Hersteller sind dafür verantwortlich, geeignete technische und organisatorische Massnahmen zu treffen, um das Risiko möglichst gering zu halten.»
Fehler gefunden?Jetzt melden.
