Hier wohnt ein Nerd, so viel ist sicher. Das ist mein erster Gedanke, als ich die Wohnung von Marco Maas und Yong-Er Wu in St. Pauli betrete. Die beiden leben in einem selbst gebastelten Smart Home, SPIEGEL ONLINE hat mich gebeten, es mir anzusehen - mit Blick auf mögliche Sicherheitsrisiken.

Dass das vernetzte Zuhause selbstgemacht ist, sieht man: Eine Ecke der Wohnung ist vollgepackt mit Kabeln und Geräten, schon die schiere Menge macht mich stutzig. Glühbirnen von Philips, Thermostate von Honeywell, Lautsprecher von Sonos - acht unterschiedliche Hersteller zähle ich auf Anhieb. Hier liegt das erste Problem.

Mehr Details über das Eigenbau-Smart-Home von Marco und Yong-Er lesen Sie hier.

Vermutlich nutzt nämlich jeder Hersteller ein eigenes Protokoll, um mit den Geräten im Haushalt zu sprechen. Dadurch wird das System komplexer und somit anfälliger für Fehler, also unsicherer. Mitten im Gerätedschungel liegt ein zusätzliches Kästchen, die Zentrale von SmartThings. Der Hersteller wirbt mit dem Slogan: "SmartThings lässt Sie Ihr Zuhause einfach überwachen, kontrollieren und sichern - von überall." Nur: Was der Nutzer kann, kann womöglich auch ein Angreifer.

Wenn unsere Wohnungen "smart" werden, heißt das leider auch, dass immer mehr Haushaltsgeräte angreifbar sind. Nur ist die Gefahr im Wohnzimmer oft zu abstrakt, um irgendwen abzuschrecken. Als zwei Hacker Sicherheitslücken in einem smarten Scharfschützengewehr entdeckten , war die Welt alarmiert. Als aber ein Hacker eine Sicherheitslücke in einer smarten Oral-B-Zahnbürste fand, lautete die Antwort des Herstellers : "Wer um Himmels willen würde denn eine Zahnbürste überwachen wollen?"

Tatsächlich geht es selten um Leben und Tod, wenn eine Schwachstelle in einem Haushaltsgerät ausgenutzt wird. Aber oft geht es den Angreifern nicht um das Gerät selbst, sondern um ein Einfallstor. Ein smartes Gadget kann ein Sprungbrett sein, etwa in ein privates WLAN. Es lässt sich nutzen, um interessantere Ziele im Netzwerk auszuspähen, beispielsweise eine Netzwerkfestplatte oder einen Firmenlaptop bei der Heimarbeit. In einer vernetzten Wohnung gibt es viele potenzielle Sprungbretter.

Die Unsicherheit eines Smart Home hat ein Preisschild

Bei Marco Maas gibt es um die hundert Geräte, teils ausgestattet mit Mikrofonen und direkt übers Internet erreichbar. Das löst bei mir schon Unbehagen aus, deshalb würde ich sie in meiner eigenen Wohnung wohl nicht verbauen.

Da jedes Gerät ein komplexes Computersystem ist, kann ich nicht bei einem kurzen Besuch eine Lücke finden, die sich ausnutzen lässt. Ich habe mir aber nach dem Besuch der Wohnung einige der dort verbauten Geräte zugelegt, um sie demnächst einer technischen Analyse zu unterziehen. Einiges ist mir prompt ins Auge gesprungen, doch es wird noch etwas dauern, die Vermutungen zu belegen.

Ein motivierter Hacker dürfte ein bis zwei Wochen brauchen, um einen tiefen Einblick in ein Einzelgerät zu erlangen. Somit lässt sich die Unsicherheit eines Haushalts übrigens auch an einem Geldbetrag festmachen, den ein missliebiger Nachbar oder Arbeitgeber in die Hand nehmen müsste, um einen Einblick ins Privatleben des Smart-Home-Bewohners zu erlangen.

Schwachstelle finden, ausnutzen, Hintertür installieren

Wie erwartet, fand ich schon beim Aufschrauben der ersten Steckdose billig produzierte Platinen; für Heimgeräte werden natürlich keine Hochsicherheitschips verbaut. Die Wahrscheinlichkeit ist hoch, dass ich mit dem richtigen Werkzeug über einen physischen Zugriff den Datenspeicher auslesen und so an geheime Daten gelangen kann, die eine Schwachstellensuche erheblich beschleunigen. Hat man Schwachstellen gefunden, die möglicherweise auch von außen ausnutzbar sind, lässt sich eine Hintertür auf dem Mini-Computer installieren. Zum Beispiel, um einen dauerhaften Zugriff auf das private Netzwerk einzurichten.

Aus welcher Richtung ein Angriff wahrscheinlich käme, ist schwer vorherzusagen. Klar ist: Wer das WLAN-Passwort kennt, kann in einem Smart Home viel anrichten. Das kann ein Gast sein, der sich im WLAN einloggt, oder der Nachbar, der mit Hilfe einer Software innerhalb von zwei Wochen das Passwort erraten konnte.

Im Regal von Marco Maas habe ich übrigens den Passwort-Zettel der Fritzbox entdeckt, ein Klassiker. Doch so leicht macht es der Hausherr potenziellen Angreifern dann doch nicht. Selbstverständlich hat er das voreingestellte Passwort geändert und durch ein komplexes ersetzt.

Laien können sich kaum schützen

Er kennt nämlich die Risiken seines vernetzten Haushalts und geht damit pragmatisch um: Alle seine smarten Geräte hat er in ein separiertes WLAN-Netzwerk verbannt. Man spricht bei so einem Vorgehen von Netzwerksegmentierung, um etwaige Risiken einzudämmen. So ein Ansatz ist durchaus praktikabel - jedoch für Techniklaien kaum geeignet.

Die können sich gegen die Risiken des Smart Home kaum schützen. Eine vernetzte Wohnung wie die von Marco Maas ist nämlich voller Computer. Alle Geräte, die hier Bewegungen, Geräusche und Raumklima identifizieren, sind kleine Rechner, auf denen Programme laufen, die von Programmierern - meist unter Zeitdruck - geschaffen wurden. All die Fehler, die wir von Microsoft, Apple, Adobe oder Open-Source-Software längst gewöhnt sind, gibt es auch in diesen kleinen Geräten. Allerdings spielen wir hier in der Regel nicht so häufig Sicherheitsupdates ein - wenn überhaupt.

Der Benutzer ist nicht schuld an der eigenen Misere. Firmen, die gewinnorientiert arbeiten, wollen eine neue Funktionalität als erste auf den Markt bringen. Deshalb wird die Software oft eilig zusammengeflickt, beim Verbraucher kommt ein unausgereiftes Produkt an, mit dessen negativen Folgen er oft allein gelassen wird: Oft werden nicht einmal Sicherheitsupdates angeboten.

Der Industrie ausgeliefert

Das wird der Markt eines Tages regulieren, denn es wird stets kreative Angreifer geben, die Lücken im System finden und aufdecken. Auf einer US-Konferenz zeigten Hacker, dass sich fast jedes smarte Gerät angreifen lässt und demonstrierten das an einem Kühlschrank: Es gebe keinen Grund, sagten sie, warum Kriminelle nicht einfach ein Botnetz aus smarten Endgeräten aufbauen sollten, um darüber Spam zu versenden oder andere Netzwerke anzugreifen.

Mehr als über mögliche Angriffe sollten sich Nutzer smarter Geräte allerdings darüber klar sein, wie sehr sie ihren Alltag der Industrie offenbaren. Was die Daten der Geräte über den Alltag von Marco Maas und Yong-Er Wu verraten, sehen Sie hier und in dieser Grafik:

Vor allem aber machen sich Smart-Home-Bewohner abhängig von den Servern der Hersteller. Wenn bei Marco Maas das Internet ausfällt, erfährt er das in einer E-Mail von seinem Thermostat-Hersteller. Das kann auch anders aussehen: Wenn bei der Smart-Home-Plattform QIVICON das Rechenzentrum ausfällt , erfahren die Kunden das von der Heizung. Die bleibt dann nämlich kalt.