Abo
  • IT-Karriere:

Die Sicherheit ist noch schlechter als der Datenschutz

Noch gravierender als die Mängel im Bereich Datenschutz sind allerdings jene im Bereich Sicherheit. Dass die Applikation überhaupt simpel von außen auffindbar ist, zeigt, dass die Verantwortlichen bei der Einrichtung des Systems ihre Pflichten nicht besonders ernst genommen haben. Applikationen, die kritische Infrastrukturen kontrollieren (Parkhäuser sind zumindest ein wichtiger Teil der Infrastruktur) sollten, wenn überhaupt, nur über eine verschlüsselte VPN-Verbindung aus der Ferne erreichbar sein. Die Webapplikation ist primär für interne Netzwerke ausgelegt. Über sie lässt sich die gesamte Steuerung der Parkdecks vornehmen, also beispielsweise auch über Schranken, Parkhauslichter oder die Parkplatzreservierung. Zudem gibt es einen Ereignisplan, auf dem sich bestimmte Aktionen, etwa die Sperrung des Ticketknopfs, starten lassen.

  • Screenshot der Prime-Tower Webbaplikation (Screenshot: Golem.de)
  • Screenshot der Prime-Tower Webbaplikation (Screenshot: Golem.de)
  • Screenshot der Prime-Tower Webbaplikation (Screenshot: Golem.de)
  • Screenshot der Prime-Tower Webbaplikation (Screenshot: Golem.de)
  • Screenshot der Prime-Tower Webbaplikation (Screenshot: Golem.de)
Screenshot der Prime-Tower Webbaplikation (Screenshot: Golem.de)
Stellenmarkt
  1. Evangelischer Presseverband für Bayern e.V. (EPV), München
  2. we.CONECT Global Leaders GmbH, Berlin-Kreuzberg,Berlin

Die Funktionen sind sichtbar, bedürfen teilweise allerdings eines Logins. Dieses könnte über eine sogenannte Brute-Force-Attacke, also das Ausprobieren von Passwörtern, ermittelt werden. Es könnte auch gelingen, Standard-Passwörter des Herstellers zu nutzen, um die Kontrolle zu übernehmen. Ein noch aggressiveres Vorgehen wäre die Überforderung der betreffenden Dienste, etwa mittels DoS- oder DDoS-Angriff. Im schlimmsten Fall wäre dann das gesamte Parkhaus funktionsunfähig.

Parkhaus und Cert reagieren nicht

Die Betreiber des Parkhauses und das Schweizer Cert wurden vor rund drei Monaten auf die Problematik aufmerksam gemacht. Bislang haben sich die Betreiber allerdings trotz mehrfacher Hinweise durch Golem.de nicht zu dem Fund geäußert. Die Webapplikation ist weiterhin zugänglich.

Am 7. April veranstaltet die Gesellschaft der Informatik im Rahmen der Fachtagung Sicherheit 2016 einen Workshop zu dem Thema Smart Building Security. Wie das Beispiel des Prime Tower zeigt, handelt es sich um ein sehr dringliches Thema, um langfristig die Sicherheit und den Datenschutz im öffentlichen Raum zu gewährleisten.

Nachtrag vom 22. Januar 2016, 17:04 Uhr

Die Webapplikation ist seit heute 16:00 nicht mehr über eine öffentliche IP-Adresse erreichbar. Der Betreiber des Prime Tower hat folgendes Statement abgegeben: "Das Problem bezüglich des externen Zugriffs auf die Webapplikation wurde vom Betreiber erkannt. Der Zugriff hat sich auf die Daten der öffentlich zugänglichen Tiefgarage auf einen 'read-only' Modus beschränkt. Somit waren Steuerungsmöglichkeiten von extern unmöglich. Der externe Zugriff auf die Webapplikation wurde blockiert."

 Smart City: Schweizer Prime Tower gibt massenhaft Daten preis
  1.  
  2. 1
  3. 2


Anzeige
Top-Angebote
  1. (u. a. Alien 40th Anniversary Steelbook, Ash vs Evil Dead Collector's edition, Predator 1 - 4 Box...
  2. ab 0,89€ (u. a. enthalten Distraint 2, Rusty Lake Paradise, Nex Machina, Shantae: Half-Genie Hero)
  3. (u. a. The Division 2 für 36,99€, Just Cause 4 für 17,99€, Kerbal Space Program für 7,99€)
  4. (u. a. Sandisk Plus 1-TB-SSD für 88,00€, WD Elements 4-TB-Festplatte extern für 79,00€)

Tuxianer 27. Jan 2016

Es gibt mehr als einen Film und mehr als einen SF-Roman, in dem die Idee der Kontrolle...

ManMashine 23. Jan 2016

Präzise auf den Punkt gebracht. Sehr gut.

JTR 23. Jan 2016

Es geht hier darum, dass es immer dieselben Fahrer sind und damit für Diebe Rückschlüsse...

JTR 23. Jan 2016

Evt. ist das ein kleines KMU die nicht die teuersten Software Ingenieure hat und sonst...

lyom 23. Jan 2016

Dazu gehören drei Punkte: - Applikation über das Web steuerbar, programmiert wird nur das...


Folgen Sie uns
       


Red Magic 3 - Test

Das Red Magic 3 richtet sich an Gamer - dank der Topausstattung und eines Preises von nur 480 Euro ist das Smartphone aber generell lohnenswert.

Red Magic 3 - Test Video aufrufen
Energie: Wo die Wasserstoffqualität getestet wird
Energie
Wo die Wasserstoffqualität getestet wird

Damit eine Brennstoffzelle einwandfrei arbeitet, braucht sie sauberen Wasserstoff. Wie aber lassen sich Verunreinigungen bis auf ein milliardstel Teil erfassen? Am Testfeld Wasserstoff in Duisburg wird das erprobt - und andere Technik für die Wasserstoffwirtschaft.
Ein Bericht von Werner Pluta

  1. Autos Elektro, Brennstoffzelle oder Diesel?
  2. Energiespeicher Heiße Steine sind effizienter als Brennstoffzellen
  3. Klimaschutz Großbritannien probt für den Kohleausstieg

Ricoh GR III im Test: Kompaktkamera mit Riesensensor, aber ohne Zoom
Ricoh GR III im Test
Kompaktkamera mit Riesensensor, aber ohne Zoom

Kann das gutgehen? Ricoh hat mit der GR III eine Kompaktkamera im Sortiment, die mit einem APS-C-Sensor ausgerüstet ist, rund 900 Euro kostet und keinen Zoom bietet. Wir haben die Kamera ausprobiert.
Ein Test von Andreas Donath

  1. Theta Z1 Ricoh stellt 360-Grad-Panoramakamera mit Profifunktionen vor
  2. Ricoh GR III Eine halbe Sekunde Belichtungszeit ohne Stativ

Radeon RX 5700 (XT) im Test: AMDs günstige Navi-Karten sind auch super
Radeon RX 5700 (XT) im Test
AMDs günstige Navi-Karten sind auch super

Die Radeon RX 5700 (XT) liefern nach einer Preissenkung vor dem Launch eine gute Leistung ab: Wer auf Hardware-Raytracing verzichten kann, erhält zwei empfehlenswerte Navi-Grafikkarten. Bei der Energie-Effizienz hapert es aber trotz moderner 7-nm-Technik immer noch etwas.
Ein Test von Marc Sauter

  1. Navi 14 Radeon RX 5600 (XT) könnte 1.536 Shader haben
  2. Radeon RX 5700 (XT) AMD senkt Navi-Preise noch vor Launch
  3. AMD Freier Navi-Treiber in Mesa eingepflegt

    •  /