Abo
  • Services:
Anzeige
Wasserwerke sollten aus dem Internet nicht erreichbar sein.
Wasserwerke sollten aus dem Internet nicht erreichbar sein. (Bild: Golem.de)

Totale Kontrolle über einen Tower voller Luxuswohnungen

Anschließend hatte ein Angreifer vollumfänglichen Zugriff auf die Funktionen der Gebäudeautomatisierung des Towers. Dieser Zugriff beinhaltet die Steuerung der Beleuchtung, die Bedienung von Frisch- und Abwasserpumpen, die Kontrolle der Klimaanlagen im gesamten Gebäude, den Zugriff auf den Sicherungskasten und sogar auf die Rauchmelder oder Temperaturmessgeräte der Poolanlagen. Kurzum: Es liegt eine totale Kontrolle über sämtliche smarte Bestandteile des Gebäudes vor. Die Bewohner wären somit einem bösartigen Angreifer schutzlos ausgeliefert.

Anzeige
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Auch ein Blockheizkraftwerk fanden wir ungeschützt im Internet. (Screenshot: Golem.de)
  • Auch ein Blockheizkraftwerk fanden wir ungeschützt im Internet. (Screenshot: Golem.de)
  • Bei einer Ferienwohnung in Österreich konnten wir die Temperatur und andere Einstellungen verändern. (Screenshot: Golem.de)
  • Bei einer Ferienwohnung in Österreich konnten wir die Temperatur und andere Einstellungen verändern. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)

Der könnte beispielsweise mitten in der Nacht einen Blackout in die Wege leiten und hat dafür gleich zwei Möglichkeiten. Zum einen, da sich die Außenbeleuchtung des Towers an den Werten zum Sonnenaufgang und Sonnenuntergang orientieren und sich über das Webinterface einstellen lassen. Zum anderen, da eine Kontrolle über den Stromkasten möglich ist und somit Sicherungen per Mausklick ausgeschaltet werden könnten.

Mit Letzterem könnte man möglicherweise auch Fahrstühle oder Alarmanlagen deaktivieren. Zwar gibt es im Gebäude eine unterbrechungsfreie Stromversorgung (USV), allerdings ist auch der Zugriff auf diese über die erwähnte Applikation möglich. Über die Kontrolle der Klimaanlagen, also über Kühlung oder Hitze, ließen sich darüber hinaus weitere Angriffe auf die Bewohner des Gebäudes durchführen.

Durch die Beobachtung der Logdateien konnten wir feststellen, dass sich diese Applikation tatsächlich in aktiver Benutzung befindet. So ließ sich beispielsweise exakt erkennen, zu welcher Zeit ein Fehlalarm eines Rauchmelders vorlag und welcher Operator diese Störungsmeldung quittiert und vermutlich behoben hatte.

Ahnungslose Hausbesitzer

Neben dieser Applikation gab es einige weitere Fälle aus dem Bereich der Gebäudeautomatisierung. Diese gehörten zu Hotels, Smart Buildings und auch Smart Homes. Bei Letzteren gab es meist keinerlei Authentifizierung. Es ließen sich also Licht, Heizung oder Jalousien direkt per Webapplikation fernsteuern oder auch einfach nur beobachten, was in den jeweiligen Gebäuden vor sich ging.

Durch etwas Google-Recherche unter Verwendung der innerhalb der Applikation vorhandenen Informationen gelang es uns, ein Hotel und eines der Smart Homes exakt zuzuordnen. Bei dem Smart Home handelte sich um eine Ferienwohnung in Österreich, die für über 100 Euro pro Nacht zur Verfügung stand und auf einem Portal für Ferienwohnungen mit fünf Sternen gelistet wurde. Sofern ein Angreifer sich an der Steuerung zu schaffen gemacht hätte - es war Zugriff auf die Lichtsteuerung und Heizung möglich -, wäre das für die Gäste sicherlich ein unvergesslicher Urlaub geworden.

  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Auch ein Blockheizkraftwerk fanden wir ungeschützt im Internet. (Screenshot: Golem.de)
  • Auch ein Blockheizkraftwerk fanden wir ungeschützt im Internet. (Screenshot: Golem.de)
  • Bei einer Ferienwohnung in Österreich konnten wir die Temperatur und andere Einstellungen verändern. (Screenshot: Golem.de)
  • Bei einer Ferienwohnung in Österreich konnten wir die Temperatur und andere Einstellungen verändern. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
Bei einer Ferienwohnung in Österreich konnten wir die Temperatur und andere Einstellungen verändern. (Screenshot: Golem.de)

Es ist davon auszugehen, dass dem Besitzer des Hauses diese Gefahrenlage gar nicht bewusst war. Hausbesitzer nutzen vermutlich entweder die Applikation lokal, kennen den Fernzugriff gar nicht oder halten den Remote-Zugriff schlicht für bequem, ohne sich über Risiken durch Manipulation Gedanken zu machen.

 Systeme und Menschen in GefahrWie die angreifbaren Systeme gefunden wurden 

eye home zur Startseite
Bachsau 04. Okt 2016

Ich finde das Vorgehen grundfalsch, die Betroffenen nur kurz darauf hinzuweisen. Klar...

Atalanttore 12. Aug 2016

Die Namen der unwilligen Hersteller fehlerhafter Steuerungssoftware im Internet nennen...

Clokwork79 18. Jul 2016

...dann sind die Probleme gelöst *wegduck*

User_x 18. Jul 2016

Welche Gefahren gehen von euren Anlagen aus, falls diese Kompromittiert würden?

joypad 17. Jul 2016

kwt



Anzeige

Stellenmarkt
  1. init AG, Karlsruhe
  2. SCHOTT AG, Mainz
  3. Dürr IT Service GmbH, Bietigheim-Bissingen
  4. über Ratbacher GmbH, Raum Minden


Anzeige
Top-Angebote
  1. (mehr als 2.500 reduzierte Titel)
  2. (u. a. The Hateful 8, Der Marsianer, London Has Fallen, Kingsman, Avatar)
  3. (Rabattcode: MB10)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing
  2. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  3. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation


  1. Social Bots

    Furcht vor den neuen Wahlkampfmaschinen

  2. Fire OS 5.2.4.0 im Test

    Amazon vernetflixt die Fire-TV-Oberfläche

  3. 5K-Display

    LG Ultrafine 5K mit Verbindungsproblemen zum Mac

  4. IOS, TVOS, MacOS und WatchOS

    Apple aktualisiert seine Betriebssysteme

  5. Ohrhörer

    Apples Airpods verlieren bei Telefonaten die Verbindung

  6. Raumfahrt

    Chang'e 5 fliegt zum Mond und wieder zurück

  7. Android 7.0

    Sony stoppt Nougat-Update für bestimmte Xperia-Geräte

  8. Dark Souls 3 The Ringed City

    Mit gigantischem Drachenschild ans Ende der Welt

  9. HTTPS

    Weiterhin rund 200.000 Systeme für Heartbleed anfällig

  10. Verkehrsexperten

    Smartphone-Nutzung am Steuer soll strenger geahndet werden



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Shield TV (2017) im Test: Nvidias sonderbare Neuauflage
Shield TV (2017) im Test
Nvidias sonderbare Neuauflage
  1. Wayland Google erstellt Gamepad-Support für Android in Chrome OS
  2. Android Nougat Nvidia bringt Experience Upgrade 5.0 für Shield TV
  3. Nvidia Das Shield TV wird kleiner und kommt mit mehr Zubehör

Nintendo Switch im Hands on: Die Rückkehr der Fuchtel-Ritter
Nintendo Switch im Hands on
Die Rückkehr der Fuchtel-Ritter
  1. Nintendo Vorerst keine Videostreaming-Apps auf Switch
  2. Arms angespielt Besser boxen ohne echte Arme
  3. Nintendo Switch Eltern bekommen totale Kontrolle per App

Autonomes Fahren: Laserscanner für den Massenmarkt kommen
Autonomes Fahren
Laserscanner für den Massenmarkt kommen
  1. BMW Autonome Autos sollen mehr miteinander quatschen
  2. Nissan Leaf Autonome Elektroautos rollen ab Februar auf Londons Straßen
  3. Autonomes Fahren Neodriven fährt autonom wie Geohot

  1. Re: 60 Euro sind auch ein Witz

    Reudiga | 10:02

  2. Re: Chinesische Raumfahrt

    Kakiss | 10:02

  3. Re: Rollenspiele sind out

    Marple | 10:01

  4. Re: ...keine verlässlichen Angaben

    Kondratieff | 10:01

  5. Re: Unverhältnismäßig viele Politiker sind Juristen

    der_wahre_hannes | 10:00


  1. 09:40

  2. 09:03

  3. 07:59

  4. 07:39

  5. 07:23

  6. 18:19

  7. 17:28

  8. 17:07


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel