Steigende Energiepreise veranlassen viele Menschen, ihre Heizungsanlagen mit smarten Thermostaten auszustatten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nun in einer aktuellen Studie die Sicherheit dieser Geräte untersucht.
Das BSI hat zehn zufällig ausgewählte smarte Heizkörperthermostate untersucht. Die gute Nachricht: Der Großteil der Geräte erfüllt die europäischen Grundsicherheitsanforderungen für IoT-Geräte. Neun von zehn getesteten Thermostaten haben drei Viertel der Tests gemäß der Norm ETSI EN 303 645 bestanden.
Dennoch entdeckten die Experten einige Sicherheitslücken. Sie fanden eine Cross-Site-Scripting-Schwachstelle in einem Thermostat, die Angreifer ausnutzen können, um kritische Funktionen in der Steuerungs-App über den Browser des Benutzers zu manipulieren. Ein anderes Gerät übermittelte Daten unverschlüsselt an seinen Server.
Die zugehörigen Bedien-Apps waren im Test laut „OWASP Mobile Application Security Testing Guide“ überwiegend sicher. Dennoch gab es auch hier Mängel: Drei Apps speicherten vertrauliche Informationen nicht ausreichend geschützt. Zwei andere Apps verzichteten bei bestimmten Verbindungen auf die Verschlüsselung, wodurch sie anfällig für Man-in-the-Middle-Angriffe wurden.
Ein interessanter Aspekt der Untersuchung betrifft die Herstellung der Geräte. Drei der getesteten Thermostate und deren Apps basieren auf einer sogenannten White-Label-Lösung. Das bedeutet, dass verschiedene Hersteller das gleiche Basisprodukt unter ihrer eigenen Marke vertreiben. Diese Praxis birgt ein besonderes Risiko: Wird eine Sicherheitslücke in der Basissoftware entdeckt, sind mehrere Markenprodukte betroffen. Für Verbraucher bleibt oft unklar, wo die Geräte tatsächlich hergestellt werden. Schade: Die Studie nennt keine Hersteller mit den fehlerhaften Produkten konkret.
| # | Vorschau | Produkt | Preis | |
|---|---|---|---|---|
| 1 | | HEIMEIER HSK2N Thermostatkopf K weiß, mit Nullstellung, 1-fach |
15,60 EUR | Auf Amazon ansehen |
| 2 | | Honeywell Home Heizkörperthermostatkopf Thera-5, Anschluss M30 x 1,5, mit Nullstellung, weiß, 50… |
10,91 EUR | Auf Amazon ansehen |
| 3 | | IMI Heimeierkopf 6000-00.500 passend für Gewinde M30x1,5 mit Frostschutzposition |
10,95 EUR | Auf Amazon ansehen |
Transparenz: Dieser Artikel enthält Affiliate-Links. Mit einem Klick darauf gelangen Sie direkt zum Anbieter. Wenn Sie sich für einen Kauf dort entscheiden, erhalten wir eine kleine Provision. Preislich ändert sich für Sie nichts. Partnerlinks haben keinen Einfluss auf unsere Berichterstattung.