Fotostrecke

Philips hue: So bunt leuchten die W-Lan-Lampen

W-Lan-Lampen Wenn der Hacker das Licht ausknipst

Dieser Hack lässt es finster werden: Ein Sicherheitsexperte hat herausgefunden, wie man die per App steuerbaren Hue-Lampen von Philips von außen abschalten kann - und zwar auf Dauer, bis man den Stecker zieht. Sogar per Facebook könnte er das Licht löschen.

Moderne Technik kann das Leben leichter und schöner machen: Per Smartphone lässt sich die Heizung einschalten, wenn man auf dem Heimweg ist, das Auto wird zum rollenden Internet-Hotspot, und funkgesteuerte Lampen wie das Hue-System von Philips illuminieren das Haus passend zur Stimmung in beliebigen Farben - bis ein Hacker sie abschaltet.

Genau dieses Szenario führt der renommierte Sicherheitsexperte Nitesh Dhanjani in seiner Veröffentlichung "Hacking Lightbulbs" (PDF)  vor. Ausführlich geht er darin auf Schwächen im Sicherheitssystem ein, mit dem Philips seine drahtlos vernetzten Hightech-Lampen schützt. Er wirft dem Unternehmen vor, Eindringlingen einige Lücken offengelassen zu haben.

Das größte Problem sieht der Experte in der Art, wie der Zugang zum Hue-Steuergerät geschützt wird. Philips nutze dazu eine Liste von Zugangscodes, die aus den MAC-Adressen der Computer, Tablets oder Smartphones erzeugt werden, die die Lampen steuern dürfen. Zum Schutz würden diese Codes mit einem Jahrzehnte alten Kodierungsalgorithmus (MD5) verschlüsselt.

Und dann wird es dunkel

Mit einer Schadsoftware lassen sich diese MAC-Adressen auslesen. Ist das erledigt, verschlüsselt die Malware die gefundenen Adressen selbst mit dem MD5-Algorithmus und probiert die so erzeugten Schlüssel so lange durch, bis einer passt und sie Zugriff auf die Lampensteuerung hat. Ist das geschafft, sendet die Software einen Licht-aus-Befehl an die Lampen, und es wird dunkel.

Das Perfide daran ist, dass die Schadsoftware diesen Befehl in einer Endlosschleife ausgibt. Versucht das Opfer, das Licht wieder einzuschalten, bekommen die Lampen schon den nächsten Abschaltbefehl und gehen wieder aus. Normalanwender können dem Treiben nur ein Ende setzen, indem sie das Steuergerät abschalten.

Das Netzwerk sollte sicher sein

In einer Stellungnahme, die SPIEGEL ONLINE vorliegt, erklärt Philips dazu, Hue sei "auf Basis der industrieüblichen Standards zur Sicherheitsverschlüsselung und Authentifizierung entwickelt" worden. Eine Schwachstelle in der Argumentation des Sicherheitsexperten sei zudem das Problem, die Schadsoftware in das Netzwerk des Opfers einzuschleusen.

Sollte das gelingen, wären "grundsätzlich alle Anwendungen innerhalb dieses Netzwerkes gefährdet". Sofern das Heimnetz aber gut gesichert sei, bestünde "keinerlei Sicherheitsschwachstelle". Man empfehle seinen Kunden deshalb, "alle nötigen Schritte zur Sicherung auf Netzwerkebene durchführen, damit alle ihre Geräte - inklusive Hue - geschützt sind."

Zwei Minuten Zwangspause

Dabei lässt Philips allerdings außer Acht, dass der Angreifer in dem von Dhanjani ins Web gestellten YouTube-Video  gar nicht über einen ungesicherten Zugang zum internen Netzwerk auf das Hue-Steuergerät zugreift, sondern seine Software mit einem typischen Phishing-Trick von einer manipulierten Webseite aus installiert.

Außerdem weist der Experte auf zwei weitere Möglichkeiten hin, das Philips-Sicherheitssystem auszuhebeln. Zum einen kritisiert er, dass die Hue-Webseite, auf der man sich als Nutzer der Philips-Lampen anmelden muss, ein Passwort von nur sechs Buchstaben Länge verlangt. Solche Passwörter seien leicht zu knacken, schreibt Dhanjani, weist aber darauf hin, dass die Seite nach jeweils zwei Fehleingaben eine Zwangspause von einer Minute einlegt. Ein Versuch, ein Passwort mit automatisierten Methoden, also durch Ausprobieren zu erraten, würde demnach sehr lange dauern.

Ein Foto macht das Licht aus

Geradezu charmant wirkt dagegen die dritte Methode, die Dhanjani sich ausgedacht hat, um die Hue-Lampen lahmzulegen. Sie beruht darauf, dass die Leuchtkörper mit einem Web-Dienst namens IFTT (If This Then That) zusammenarbeiten. Der verbindet vom Nutzer vorgegebene Bedingungen (If this) mit bestimmten Reaktionen (then that). So kann man beispielsweise einen Tweet automatisiert absetzen, wenn man ein Instagram-Foto postet, oder per Kalendereintrag automatisierte E-Mails abschicken lassen.

Die Hue-Birnen aber kann man so einstellen, dass sie bei bestimmten Ereignissen die Farbe wechseln. Die meisten Anwender, die diese Möglichkeit nutzen, bedienen sich bei vorgefertigten "Rezepten" für derartige Aktionen.

Eine davon wird aktiv, sobald jemand den Hue-Anwender bei Facebook auf einem Foto markiert, und ändert die Farben der Lampen passend zum jeweiligen Foto. Würde ein Angreifer nun ein schwarzes Foto auf das soziale Netzwerk laden und markieren, so der Sicherheitsexperte, würden die Lampen folgerichtig ausgehen. Einfacher kann man es Hackern nicht machen.

Trotzdem sind die Erkenntnisse von Nitesh Dhanjani mit Vorsicht zu bewerten. Zum einen hat er recht damit, darauf hinzuweisen, dass die zunehmende Vernetzung unserer Lebenswelt auch potentielle Schwachstellen mit sich bringt. Doch seine Angriffsszenarien sind hypothetisch und durch das Abschalten von ein paar Lampen ist kaum Schaden anzurichten. Anders sieht das aus, wenn sich Unbefugte beispielsweise an der Heizungssteuerung zu schaffen machen.