MyStrom Sicherheitslücke: Eine Erklärung zur Sachlage

Gestern hatte ich im Tagesanzeiger online bzw. Sonntagszeitung (Print) den Artikel «Die Spione in der Steckdose» gelesen. Es geht um ein Sicherheitsleck von myStrom Geräte, welche ich auch zahlreiche bei mir einsetze. Ich beachte solche Artikel auch immer etwas kritisch und wollte hier genaueres wissen. Mittlerweile hat auch myStrom ein Statement dazu veröffentlicht.

Zugriff für unbefugte auf myStrom Geräte

Was stimmt, ist die Tatsache, dass ein externer Sicherheitsberater von myStrom gezeigt hat, dass mit Hilfe entsprechender Online-Dienste, Re-Engineering, Tools und grossem Aufwand Zugriffe auf myStrom-Produkte möglich sind. Dies gilt nur für Produkte welche sich im WLAN befinden aber noch nicht registriert sind. Das heisst Kunden mit in der myStrom App registrierten Produkten sind sicher. Betroffen sind der myStrom Switch V1 und v2, die myStrom Bulb und die mystrom Buttons.

Der Hack hat im Detail dann so funktioniert:

• Hacker baut Registrationsprozess nach
• Registriert eine MAC die sich noch im Handel befindet
• Macht ein query an die cloud wenn online – online = gekauft und im wifi > registration  scheitert
• er sagt dem switch – hey neue FW hier “Fake URL”
• spielt eigene FW auf und richtet schaden an
• Switch funktioniert nie

Wichtig: Ein Switch oder eine Bulb würde nach dem Hack nicht mehr funktionieren: Falls die Geräte noch funktionieren, dann ist alles ok und sicher.

Was hat myStrom gemacht?

MyStrom hat schon länger gehandelt, das heisst die entsprechenden myStrom Geräte, Cloud und App wurden in den vergangenen Wochen aktualisiert. Die genannten Lücken sind geschlossen. MyStrom hat alle Geräte aktualisiert. Wenn Geräte nicht so funktionieren wie sie sollen, dann sind sie entweder gehackt oder defekt. Bitte an myStrom wenden. Gemäss Angaben von myStrom ist bisher kein einziger Fall bekannt geworden, in dem ein Hacker die im Artikel erwähnte Sicherheitslücke erfolgreich ausgenutzt hätte:

Das Sicherheitsrisiko war nach unseren Erkenntnissen auch minim und ein Hack äusserst unwahrscheinlich: Einerseits hätte die Ausnutzung der nun geschlossenen Sicherheitslücke diverse aufwändige Hilfsmittel vorausgesetzt, andererseits bestand sie jeweils nur für einen sehr kurzen Zeitraum – nämlich während der kurzen Zeit zwischen der ersten Anmeldung eines Gerätes im WLAN und seiner Installation via myStrom App. Ein allfälliger Hacker hätte all dies berücksichtigen müssen.

Fazit

Sicherheitsprobleme sind eine unschöne Sache und hier soll man transparent sein. In diesem Fall finde ich persönlich, man hat die Sache etwas unschön hochgekocht. Technisch versierte Leute können sich genauer informieren und das Ausmass abschätzen, aber Leute die einfach mal 1-2 Smartplugs gekauft haben und diese über die myStrom App nutzen ohne viel technisches KnowHow, denen jagt man unnötig Angst ein mit einem solchen Artikel. Warum man das Gerät als Swisscom Smart-Meter bezeichnet ist mir dann sowieso ein Rätsel…