Neulich war ich auf Facebook unterwegs und bin über einen Beitrag gestolpert, der mich etwas zum Nachdenken angeregt hat. Ein fremder Login-Versuch auf Home Assistant und der Nutzer konnte ihn nicht zuordnen. Ziemlich alltäglich, wenn wir uns ansehen, wie häufig Systeme angegriffen werden.
Und trotzdem hat das den Nutzer etwas verunsichert. Verständlich. Es ist ein Einbruchsversuch in das eigene Zuhause. Nur digital, nicht physisch.
Dennoch hat mich genau dieser Fall mehr beschäftigt, als ich ursprünglich dachte. Denn ich habe in der Vergangenheit schon mal ein ähnliches Thema angesprochen und immer wieder auf sichere Passwörter verwiesen. Doch wie sieht es in der Praxis wirklich aus?
Genau diesem Thema möchte ich mich heute mit dir aus Sicht eines Wirtschaftsinformatikers widmen. Wir steigen etwas tiefer in die Technik der Onlinewelt ein und bringen Licht ins Dunkle. Nicht als Versuch Angst zu erzeugen. Sondern um dir das Thema näher zu bringen.
Wichtiges Vorwort
Bevor wir jedoch tiefer einsteigen, ist mir eine Sache besonders wichtig. Ich werde hier keine Anleitung zum Hacking geben und auch niemanden ermutigen, mögliche Schwachstellen auszunutzen. Es geht nicht darum, dass wir einander schaden, sondern sensibel sind.
Aus genau diesem Grund werde ich auch keinerlei technische Ansätze mit dir teilen, die auch nur im entferntesten zulassen, dass man das als gezielten Angriff nutzen kann. Denn das ist gewiss nicht meine Absicht. Stattdessen will ich es konstruktiv gestalten, um dich zu sensibilisieren und dir die Gefahren etwas näher zu bringen.
Du wirst im Laufe des Artikels auch herausfinden, warum das Thema Passwörter und Zugangsdaten so wichtig ist. Ebenso wie der Fakt, dass selbst gehostete Anwendungen (wie zum Beispiel Home Assistant) immer einem gewissen Risiko ausgesetzt sind.
Auf Basis dieses Wissens wird dann hoffentlich auch klar, warum Updates und regelmäßige Pflege keine optionalen Schritte, sondern eine Notwendigkeit sind. Denn das schlechteste System ist immer eines, das nicht gewartet wird.
Daraus folgt dann auch, dass wir die Aussage Never Change A Running System endgültig begraben und es als wirklich schlechtes Argument entlarven.
Sollte ich dennoch an der einen oder anderen Stelle zu präzise werden, dann weise mich gerne darauf hin. Nutze aber bitte niemals Wege, um anderen zu schaden. Weder physisch, noch digital. Wir sind eine Gemeinschaft. Auch wenn das manche immer wieder bezweifeln.
Das große Netzwerk namens Internet
Betrachten wir das Internet genauer, besteht es aus einzelnen Computern. Diese einzelnen Computer haben sich zu einem System zusammengeschlossen, in dem jeder gleichberechtigt ist. Das Internet in seiner reinen Form kennt kein arm, reich, dick, dünn, alt oder jung. Wir sind Teilnehmer in einem Netzwerk, das es nur wegen der Teilnehmer gibt. Kein Datenpaket ist wichtiger als das andere, auch wenn das subjektiv manchmal so wirkt.
In einem Zusammenschluss von einzelnen Teilnehmern gibt es aber auch jene, die andere Absichten verfolgen. Sie verbreiten Schaden, richten Zerstörung an oder sind an dem Klau von Daten interessiert. Die Interessen sind dabei vielfältig und man kann nicht immer den einen Grund ausmachen.
Sicher ist nur, dass den Angreifern die gleichen technischen Mittel zur Verfügung stehen, wie sie auch uns als Nutzer verfügbar sind. Auch sie nutzen den Verbund aus Rechnern und navigieren sich durch das Labyrinth des Internets. Immer auf der Suche nach neuen Angriffszielen. Wonach sie die auswählen, bestimmt manchmal der Zufall. Und genau der Zufall ist es, der es so schwer greifbar macht. Denn sind wir ehrlich, bei uns Normalos werden es wohl selten wirtschaftliche Interessen sein. Da gibt es dickere Fische im Teich.
Wenn es aber jemand über das Internet in unseren Bereich schafft, sind wir erstmal aufgeschmissen. Gerade im Bewusstsein, dass wir ein Smart Home nutzen, macht es das noch beängstigender. Im besten Fall dreht derjenige die Klimaanlage hoch. Im schlechtesten Fall nutzt man die Informationen, um Einbrüche vorzubereiten.
Lass uns mal ein konkretes Szenario nehmen, anhand dessen es klarer wird.
Das vollvernetzte Zuhause
Du betreibst deinen eigenen Home Assistant und bist tief drin im Bereich Smart Home. Dein Zuhause ist mit Präsenzmeldern, smarten Türschlössern, einem Saugroboter und einer Alarmanlage ausgestattet. Alles ist dabei über Home Assistant miteinander vernetzt.
Von unterwegs hast du jederzeit die Kontrolle und du fühlst dich absolut wohl. Zurecht. Der Komfort ist enorm.
Betrachten wir aber jetzt mal den Home Assistant genauer, dann sehen wir, wie viel er eigentlich über uns aussagt. Wir sehen nicht nur den aktuellen Zustand, sondern auch den Verlauf an Informationen, die wir den ganzen Tag erzeugen. Um 6 Uhr wechselt der Präsenzmelder im Schlafzimmer auf „unbelegt“, der im Bad aber auf „belegt“. Kurz darauf wiederholt sich das Muster mit der Küche, bis dein Smart Lock die Information ausgibt, dass es abgeschlossen ist.
Aus diesen Informationen kann man nun ein Muster herauslesen, wie dein Tagesablauf aussieht. Wiederholt sich das Muster dann an mehreren Tagen, so hat man ein ziemlich genaues Bild davon, wie dein Leben aussieht.
Das an sich ist noch nicht sicherheitsrelevant. Diese Informationen in den falschen Händen hingegen schon. Und ich will damit nicht sagen, dass Einbruch heute so aussieht. Das wäre zu panisch. Aber es zeigt eine potenzielle Möglichkeit, die tief in unser alltägliches Leben greift.
Doch wie könnte es überhaupt dazu kommen? Sehen wir uns als nächstes die Technik etwas genauer an.
Technischer Hintergrund: Remote Zugang
Die wohl offensichtlichste Schwachstelle am Smart Home führt häufig über den Remote Zugang. Also wenn dein Home Assistant per Portweiterleitung freigegeben ist, ein Reverse Proxy davor hängt oder du dich über die Home Assistant Cloud verbindest.
In diesem Beispiel fokussieren wir uns auf die Home Assistant Cloud, die jeder Instanz eine Adresse in Form von XYZ.ui.nabu.casa gibt. Über diese öffentliche URL (Subdomain) greifst du auf deine individuelle Instanz zu. Jeder zufällig gewählte Text vor dem ui.nabu.casa steht damit für eine eigene Instanz. Schwer zu erraten? Richtig. Muss man aber gar nicht.
Domains können online nachvollzogen werden. Das bedeutet ich kann zu jeder Hauptdomain auch die zugehörigen Subdomains herausfinden. Stelle ich das richtig an, erhalte ich eine gesamte Liste aller im Internet verfügbaren Installationen von Home Assistant, die über die Cloud von außen erreichbar sind. Von da an ist es nur noch ein Katzensprung auf die jeweilige Instanz und bis ich die Login-Seite sehen kann. Bis hier hin ist noch nicht einmal etwas Illegales passiert. Denn alles steht ja mehr oder weniger öffentlich im Internet. Höchstens moralisch ist es fragwürdig, welche Absicht man hier verfolgt.
Ähnlich kann es auch aussehen, wenn du eine eigene Domain nutzt. Auch hier lassen sich die Subdomains herausfinden und schwupps landet man ohne große Umwege auf deinem Smart Home.
Das alleine ist noch kein Sicherheitsrisiko und das will ich hier ganz klar sagen. Die Domain zu kennen ist sogar Voraussetzung für die Navigation im Web, wie wir es heute kennen. Ohne die Domains würdest du nicht einfach so auf GitHub landen oder bei Facebook. Wir navigieren nämlich nicht über IP-Adressen.
Warum findet man die Subdomains?
Fragst du dich nun, warum man denn eigentlich die Subdomains herausfinden kann? Gut! Denn diese Frage habe ich mir vor langer Zeit auch mal gestellt und die Antwort ist ziemlich spannend.
Öffentlich vergebene Zertifikate für sichere Verbindungen (SSL/TLS) können im Certificate Transparency Log nachgeprüft werden. Auf diese Weise entsteht eine Art Telefonbuch für diese Domains, so dass man jede einzelne Domain nachschlagen kann.
Dahinter steckt ein ziemlich cleveres Sicherheitskonzept, das täglich Anwendung findet. Man möchte damit den Missbrauch von Zertifikaten ausschließen. Stell dir nur mal vor jemand behauptet er habe ein Sicherheitszertifikat. Aber kannst du wirklich wissen, ob es echt ist? Nicht ohne Prüfung!
In diesem Log wird nun jedes Sicherheitszertifikat abgelegt. Navigierst du nun auf die Seite mit dem Zertifikat findet im Hintergrund eine Prüfung statt. Wird das Zertifikat gefunden und stimmen die Daten, dann ist es gültig und vertrauenswürdig. Stimmt hingegen etwas nicht, dann muss es sich um ein gefälschtes Zertifikat handeln. Aus genau diesem Grund sind zum Beispiel eigene Zertifikate nicht vertrauenswürdig, weil sie nicht bestätigt werden. Hier fehlt sozusagen der Trust, die Referenz, die Bestätigung.
Und genau deshalb lassen sich auch alle Subdomains mit einem SSL-Zertifikat nachschlagen. Weil es eine Art großes Telefonbuch gibt, in dem sie gelistet sind.
Sicherheitsrisiko Nabu Casa?
Ist es also nun ein Sicherheitsrisiko, sich auf die Cloud von Nabu Casa zu verlassen?
Nein, ganz und gar nicht. Zumindest nicht dann, wenn sie gut gesichert ist. Wenn ich die Domain eines Systems kenne, kann ich nämlich anfangen die offenen Ports herauszufinden. Je nach Port und sich dahinter verbergendem System lassen sich wiederum eigene Lücken herausfinden. Ein einzelner ungesicherter Port reicht also, dass sich der Angreifer in deinem Netzwerk befindet und dann tun und lassen kann, was er gerade will.
Die Nutzung eines solchen Clouddienstes kann das Risiko verringern. Denn zwar sind größere Anbieter gerne mal das Ziel von Angriffen, sie haben aber auch entsprechend gutes Personal. Experten sind hier beschäftigt, um die eigene Infrastruktur so sicher zu gestalten, wie es nur geht. Das übersteigt oft nicht nur das Können von uns Einzelnen, sondern auch den Faktor Zeit, den wir investieren können. Wir haben keine 8 Stunden am Tag Zeit, um uns nur um die Sicherheit des Smart Homes zu kümmern. Wir haben noch Familie, Freunde, Arbeit und andere Verpflichtungen, denen wir nachkommen wollen und müssen.
Wenn man also grundsätzlich davon ausgeht, dass Nabu Casa unsicher ist, liegt man daneben. Es hängt immer davon ab, wie gut deren Systeme gegen Angriffe gesichert sind.
Paradoxerweise wissen wir als Außenstehende oft am wenigsten darüber. Das ist zwar auf der einen Seite dann schwierig, aber gleichzeitig auch gut. Denn wenn jeder von den Sicherheitsmaßnahmen weiß, dann kann man möglicherweise auch einen Weg finden um sie zu umgehen. Daher ist der Faktor Sicherheit gut und gerne mal ein streng gehütetes Geheimnis. Aus unserer Sicht gehört dann eine gute Prise Vertrauen dazu, die wir in die Dienstleistung haben müssen.
Self-Hosting-Risiko
Um sich keine Gedanken um die Sicherheit fremder Dienstleistungen machen zu müssen, greifen manche gerne auf das Self-Hosting zurück. Und im Grunde machen wir das gerade mit Home Assistant alle so. Denn das Gehirn unseres Smart Homes läuft auf unserer eigenen Hardware in den eigenen vier Wänden.
Was dabei jedoch manchmal zu stark vernachlässigt wird, ist der Faktor Sicherheit. Ich kann über eine Portfreigabe oder einen Reverse Proxy alle Dienste auch ohne die Cloud erreichbar machen. Nur fehlt mir hier dann ein mögliches Schutznetz, das sich vor meinem Zuhause befindet. Gerade dann muss ich mich selbst um die Sicherheit kümmern, damit ich nicht Opfer eines Hackingangriffs werde.
Versteh mich nicht falsch. Da draußen gibt es exzellente Menschen mit noch besseren Fähigkeiten in Richtung Cybersicherheit. Sich aber nur blind darauf zu verlassen, dass schon nichts passieren wird, ist fatal. Angriffe laufen heutzutage automatisiert und rund um die Uhr. Im Grunde ist es nur eine Frage der Zeit, bis das eigene System mal irgendwo auftaucht. Wer sich dann nicht zu wehren weiß, ist ganz schnell ausgeliefert.
Und wenn wir uns noch an das Szenario aus dem Smart Home von oben erinnern, kann das mindestens mal sehr unangenehm werden. Wir kommen darauf aber auch gleich nochmal detaillierter zurück.
Gleichzeitig will ich damit aber nun auch nicht sagen, dass Self-Hosting schlecht oder keine Option ist. Man muss nur wissen, was man da tut und vor allem wie man es absichert. Das ist meist noch wesentlich wichtiger als nur die Dienste in Betrieb zu nehmen.
Die meisten Nutzer tun sich gut darin, solche Fragen nicht ernsthaft zu diskutieren. Stattdessen sollten sie auf die bewährte Methode zurückgreifen und den Faktor Sicherheit gegen die Jahreskosten auslagern. Das schützt zumindest vor einem Teil der Probleme.
Was aber, wenn der Faktor Sicherheit in der eigenen Installation schon schiefläuft?
Sichere Passwörter
Das durchschnittliche Passwort lässt sich scheinbar innerhalb weniger Minuten hacken. Leider aufgrund dessen, dass viele Leute sehr simple Passwörter verwenden. Eine kleine Anekdote dazu:
Ich habe vor einiger Zeit ein Video gefunden, wo es um Passwörter geht. Dort fragt ein Herr eine Frau, ob sie ein sicheres Passwort verwendet. Sie sagt, dass es der Name der Hundes und das Jahr ihres Abschlusses ist. Er verwickelt sie in ein Gespräch und sie scheint sich dabei zu amüsieren. Dann streut er immer wieder Fragen zu ihr ein. Unter anderem fragt er nach dem Hund und ihrem Abschlussjahr. Beide Informationen gibt sie bereitwillig raus.
Dieser Vorgang nennt sich Social Engineering. Hier ist der Schwachpunkt der Mensch. Sie hat das Passwort erraten.
Aber es geht noch leichter, wenn wir nochmal auf die einfachen Passwörter zurückkommen. Häufig werden nämlich Standardpasswörter von den Anwendern gar nicht geändert. Kombiniert mit der Tatsache, dass Subdomains abrufbar sind, kann ich nun sämtliche Kombinationen an jedem Home Assistant ausprobieren. Und ich bin mir sicher, dass ich bei mindestens einem Glück hätte. Dazu brauche ich noch nicht mal eine Software. Das ist alles in Handarbeit möglich.
Genau das zeigt vor allem, dass wir Informationen schützen müssen. Nicht nur im Smart Home, aber ganz besonders dort. Je weniger der Angreifer weiß, desto besser. Benutzernamen und Passwörter sollten wir einfach wie kleine Geheimnisse behandeln, die keiner wissen muss. Und selbst wenn man den Benutzernamen kennt, dann sollten doch zumindest die Passwörter sehr sicher sein.
Ich verwende dafür zum Beispiel den Passwort-Generator in meinem Bitwarden. So kann ich sicherstellen, dass ich zufällige Kombinationen bekomme, die man nur schwer erraten kann.
Und sollte doch mal jemand dran sein das eigene Passwort zu knacken, ist man mit dem regelmäßigen Wechsel gut beraten. Es sollte zur Routine werden, dass wir unsere Passwörter regelmäßig ändern. Denn dann würde der „Knackversuch“ wieder komplett von vorne beginnen müssen. Das kostet enorm viel Zeit und der Hacker wär immer einen Schritt hinterher.
Zufallskombinationen oder Klarworte
Die Informatik enthält sehr viel Mathematik. In deinem Computer laufen ständig Berechnungen, die das System am Leben erhalten. So sind im Grunde auch Passwörter einfach nur Berechnungen, die durch einen Algorithmus laufen. Um es mal sehr stark zu vereinfachen.
Wenn ich dich nun bitte, dass du dir ein Passwort ausdenkst, dann läuft es häufig auf Muster hinaus:
- SmartHome2026
- Lukas2026
- Sommer!26
Auf uns wirken solche Muster erstmal völlig individuell. Und wir können sie uns sogar oftmals noch merken. Für eine angreifende Software sind sie aber Standard. Denn hier erkennt man deutlich, dass der erste Buchstabe groß ist und das Jahr enthalten ist. Solche Varianten kann man innerhalb von kürzester Zeit testen.
Ein Zufall hat natürlich kein Muster:
- 58%4Dnj!)
- O+47gNI.-
- 9#3uplkjJ/
Oder könntest du hier ein Muster herauslesen?
Gerade diese Zufallskombination macht es wesentlich schwieriger Passwörter zu testen. Hinzu kommt dann noch, dass viele Systeme (auch Home Assistant) nach ein paar Loginversuchen erstmal eine Zwangspause einlegen. Du kannst es dann erst nach einiger Zeit erneut probieren.
All diese Maßnahmen sind zwar keine absolute Sicherheit. Sie zögern das Knacken aber hinaus. Und genau das ist wichtig. Wir müssen Zeit gewinnen, um einen Angriff abzuwehren.
Experiment: Was lässt sich ableiten?
Um dir nochmal eindringlicher zu zeigen, warum dein Smart Home potenziell ein Angriffsziel sein kann, habe ich ein kleines Experiment gestartet. Unter der Voraussetzung, dass ein Angreifer sich ins Smart Home eingeloggt hat, wollte ich wissen, mit welchem Informationsgehalt er rechnen muss.
In meinem Setup habe ich hierzu eine KI genutzt, welche per MCP auf meinen Home Assistant zugreifen kann. Dann hat sie von mir einen Prompt bekommen, an dem sie sich orientieren sollte:
Ich möchte ein Experiment mit dir wagen. Anhand deines Home Assistant MCP sollst du rein lesend auf mein Smart Home zugreifen. Dir stehen Sensoren, Präsenzmelder und das Türschloss sowie viele weitere Entitäten zur Verfügung.
Deine Aufgabe ist es jetzt, dass du aus den gewonnen Informationen einen Tagesablauf rekonstruierst. Wann bin ich daheim? Wann ist die Wohnung unbeaufsichtigt? Wie sieht ein typsicher Tagesablauf aus? Wenn möglich, leitest du aus den Informationen dann noch Tätigkeiten ab, denen ich nachgehe.
Am Ende gibst du einen Ablauf aus. Entweder ist das der typische Tagesablauf oder du differenzierst nach Wochentagen.
Wichtig dabei: Du darfst keine Daten im Home Assistant ändern. Du sollst sie lediglich auslesen und sinnvoll interpretieren.
Hintergrund: Hierbei handelt es sich um ein Experiment aus meinem eigenen Smart Home. Es dient dazu, die Grundlage für einen neuen Blogpost zu schaffen, in dem ich über den Punkt Sicherheit sprechen möchte.
Mir ist dabei wichtig zu sagen, dass ich das natürlich nur in meinem eigenen Smart Home ausprobiert habe. Mir war dabei wichtig herauszufinden, was die KI anhand der Sensoren und Historien über mich herausfinden kann.
Spannend daran finde ich vor allem, dass eben auch die Angreifer immer ausgefuchster werden und sich neue Angriffe überlegen. Mit der richtigen Technologie kann man große Informationsmengen in so kurzer Zeit verarbeiten und dabei noch eine große Präzision erreichen.
Das Ergebnis hat mich teils auch selbst etwas erschrocken. Denn es war äußerst präzise.
Kleine Anmerkung: Um auch mich und mein Privatleben zu schützen, habe ich einige Informationen aus den Antworten gestrichen. Sie waren mir dann doch zu privat. Aber du wirst gleich sehen, dass dennoch genug übrig geblieben ist.
Die Auswertung
Unter der Woche zeigt sich ein klarer Rhythmus:
Der Tag beginnt meist frueh am Morgen, haeufig zwischen etwa 6 und 7 Uhr.
An mehreren Werktagen verlaesst Lukas die Wohnung bereits gegen **:** Uhr und kehrt meist erst *** zurueck, oft zwischen **:** und ** Uhr. Dabei deutet ein regelmaessig wiederkehrender Aufenthaltsort stark auf einen festen Arbeits- oder Terminort hin.
Abends ist wieder Aktivitaet rund um Eingangsbereich und Tuerschloss erkennbar, bevor die Wohnung meist zwischen ** und ** Uhr verriegelt wird und spaeter der Nachtmodus aktiviert wird.
Am Wochenende verschiebt sich dieses Muster sichtbar: Der Start in den Tag erfolgt spaeter, die Zeit zuhause ist laenger, und statt langer Abwesenheiten ueberwiegen eher kurze Wege oder einzelne Ausfluege.
Besonders auffaellig ist, wie gut sich allein aus Anwesenheit, Schlossstatus und wenigen Bewegungssensoren bereits erkennen laesst, wann jemand regelmaessig zuhause ist, wann die Wohnung zeitweise leer steht und wie stark sich Arbeitswoche und Freizeit voneinander unterscheiden.
Abgesehen von der Uhrzeiten und genauen Zeitpunkten, habe ich dir alle Informationen drin gelassen, welche die KI ermitteln konnte.
Und wir sehen vor allem auch, dass noch nicht mal alle Entitäten zu Rate gezogen wurden. Es gäbe noch den Sleep Analyzer und Präsenzmelder in den Räumen. Erstaunlich, was trotzdem mit diesen wenigen Entitäten möglich ist. Laut KI waren es genau 11 Entitäten, die für diese Analyse herangezogen wurden. In einer vorangegangenen Antwort hat sie davon selbst wieder 3 Stück aussortiert.
In Summe kann man also hier sehen, dass 8 Entitäten gereicht haben, um meinen Tagesablauf zu rekonstruieren. Und die Analyse ist sehr präzise!
Die KI hat dabei auf die Historie der letzten 14 Tage zurückgegriffen. Bei den Raumsensoren sogar nur auf 7 Tage. Ein erstaunlich kurzer Zeitraum, den man im Nachgang sicherlich noch stärker ausdehnen kann.
Das Learning
Das Experiment an meinem eigenen Smart Home zeigt mir vor allem eines: Das System ist definitiv schützenswert.
Durch verschiedene Sensoren entstehen jeden Tag viele Daten, die man für eine Auswertung heranziehen kann. Die Kunst ist dabei nicht mal unbedingt das Auslesen, sondern das Interpretieren. Würde man hier noch mehr Entitäten zur Hilfe nehmen, könnte man das Ergebnis mit großer Sicherheit noch präzisieren.
Mir zeigt es vor allem, dass in unserem Zeitalter eine weitere Gefahr hinzukommt. Und zwar die missbräuchliche Nutzung von KI. Wo man früher halb maschinell und halb manuell über die Daten schauen musste, reicht heute ein halbwegs kurzer Prompt. Die künstliche Intelligenz ist unfassbar stark darin, große Datenmengen in kurzer Zeit zu analysieren. Das würde in dieser Geschwindigkeit kein Mensch schaffen.
Gleichzeitig muss man aber auch dazu sagen, dass sowas nur dann möglich ist, wenn ein Zugang besteht. Man kann nicht einfach blindlings jede Instanz auslesen und von den Bewohnern ein Muster erstellen lassen. So funktioniert das nicht.
Wer jedoch leichtsinnig ist, könnte irgendwann mal echt ein großes Problem bekommen. Besonders im Hinblick auf Einbruch kann das in der Zukunft noch echt ein starkes Thema werden.
Wie du dich schützt
Glücklicherweise sind wir diesem Thema nicht hilflos ausgeliefert. Wir können Maßnahmen ergreifen, um das System zumindest etwas sicherer zu machen.
Die wohl offensichtlichste Maßnahme liegt darin, dass wir eine Cloudverbindung nur dann herstellen, wenn wir sie wirklich brauchen. Befindest du dich zum Beispiel überwiegend daheim und verlässt nur selten das Haus, genügt dir möglicherweise eine VPN-Verbindung, die nichts nach außen gibt. Zwar sind für diese Verbindung auch Ports offen, allerdings wanderst du nicht in irgendein Registrar, wo deine Instanz auffindbar ist.
Der zweite Faktor betrifft deine Zugangsdaten. Unter allen Umständen solltest du deine Zugangsdaten niemals preisgeben. Hüte deine Passwörter wie das geheimste Geheimnis deines Lebens. Keiner darf es wissen! Das gilt übrigens noch mehr für API-Keys.
Manchmal empfiehlt es sich darüber hinaus auch, dass man keine Admin-Accounts für den täglichen Betrieb nutzt. Je nachdem, um welches System es sich handelt. Denn dann beschränkt sich ein möglicher Angriff mit einem gestohlenen Passwort schon mal durch die Einschränkungen des Systems. Unangenehm wären sie aber dennoch.
Der dritte Faktor bist du als Mensch. Je mehr du nach außen trägst und je mehr du Aufmerksamkeit auf dich ziehst, desto interessanter wirst du unter Umständen. Daher empfiehlt es sich aus meiner Sicht auch, vorsichtig mit Informationen über dein Smart Home zu sein.
Sicherheitsupdates sind übrigens auch sehr wichtig. Doch dazu will ich jetzt kommen.
Do Change A Running System
Ein laufendes System sollte man anfassen! Du kaufst dir ja auch kein Auto, um es dann nur in die Garage zu stellen. Es ist zum Nutzen und Weiterentwickeln da. Es liegt sogar in der Natur der Sache, dass sich in System immer weiterentwickelt. Verwehre ihm nicht sein eigene Natur.
Dazu gehören vor allem Updates und Neuerungen. Denn was heute gut und sicher ist, muss es morgen nicht noch immer sein. Updates bringen nicht nur neue Funktionen, sondern schließen häufig auch Sicherheitslücken. Das passiert gut und gerne mal durch die Zusammenarbeit von Entwicklern, die sich auf Mängel gegenseitig hinweisen.
Installierst du solche Updates dann nicht, bleibt die Sicherheitslücke bei dir im System bestehen. Es ist kein Geheimnis, dass man Informationen über Sicherheitslücken kaufen und aktiv ausnutzen kann. Das bedeutet, du würdest dich ungewollt einer Gefahr aussetzen, weil du dich auf der sicheren Seite wägst. Das kann im Zweifel fatal und gefährlich sein, wie dir mein Experiment gezeigt hat.
Ich will damit nun nicht sagen, dass du sofort jedes Updates installieren musst. Aber baue dir doch selbst eine eigene Routine in dein Leben ein, dass dein Smart Home in einem regelmäßigen Zyklus aktualisiert wird. So kannst du dir selbst schon viel Wind aus den Segeln nehmen und musst nicht mehr Hoffen und Bangen.
Wähle weise
Eine weitere Option, wie du dich schützen kannst, ist die gute Auswahl von Integrationen und Elementen von HACS.
Man könnte theoretisch über HACS eine Erweiterung bereitstellen, welche die Sicherheit von deinem Home Assistant aushebelt oder zumindest schwächt. Um das zu vermeiden, solltest du immer ganz genau prüfen, was du dir da eigentlich installierst.
Stell dir nur mal vor, deine Erweiterung würde sämtliche Entitäten nach außen freigeben ohne Passwortschutz. Dann wäre ein Auslesen, wie du es im Experiment gesehen hast, theoretisch denkbar. Und das mit fatalen Folgen.
Daher solltest du vor der Installation immer genau drauf schauen, welchen Zweck eine Erweiterung erfüllt, ob du sie wirklich brauchst und wie generell die Rezensionen ausfallen. Das gibt dir zwar keinen absoluten Schutz, kann aber oftmals schon ein Indikator dafür sein, ob eine Erweiterung gut oder schlecht ist. Der einfachste Weg in ein System führt nämlich immer über den Faktor Mensch.
Zudem kannst du alte Erweiterungen aussortieren, die nicht mehr aktiv gepflegt werden. So senkst du dann auch langfristig das Risiko, dass du durch Sicherheitslücken von etwas befallen wirst.
Fazit und Einschätzung
Wie du in diesem Artikel gesehen hast, spielt der Faktor Sicherheit im Smart Home eine große Rolle. Du hast außerdem gelernt, dass Cloud nicht unsichtbar bedeutet und du derjenige am Ruder bist. Du bist für die Sicherheit deines Systems maßgeblich verantwortlich und diese Verantwortung solltest du annehmen.
Es ist nicht so, dass es eine große Angriffswelle gibt oder hinter jeder Ecke etwas Böses lauert. Aber es besteht immer ein reales Risiko, dass man doch in die Fänge von irgendwas gerät.
Ich will dir mit meinem Artikel keine Angst machen und dir schon gar nicht die Freude am Smart Home verderben. Meine Absicht ist es viel mehr, dass du die Gefahren kennst und sie besser einschätzen kannst. Wir können uns nur vor Dingen schützen, die wir auch kennen. Und genau darum geht es hier.
Außerdem will ich ausdrücklich hervorheben, dass weder die Cloud unsicher noch Home Assistant ein schlechtes System sind. Ganz und gar nicht. Eine gesunde Prise Skepsis ist dennoch immer angebracht und vor allem auch wichtig. Du musst jedoch nicht befürchten, dass dein System morgen gekapert ist. Mir sind zum Beispiel noch keine Fälle bekannt, wo das passiert ist. Und damit es genau so bleibt, sorgen wir einfach gemeinsam für die notwendige Sicherheit im Smart Home.
Hast du schon mal so intensiv über das Thema nachgedacht? Und wie sorgst du dafür, dass dein Zuhause sicher bleibt? Lass uns unten in den Kommentaren darüber sprechen. Ich bin gespannt auf deine Sichtweise.
Leite den Artikel auch gerne an andere weiter, die sich mit dem Punkt Sicherheit auch auseinandersetzen sollen. Gemeinsam können wir vielleicht auch dafür sorgen, dass wir alle noch lange Spaß am Vernetzen haben.
0 Kommentare