IoT: Wenn dein Kühlschrank Viagra Werbung verschickt
Im Januar 2014 berichtete das US-Cybersicherheitsunternehmen Proofpoint, dass ein Botnet aus mehr als 100.000 smarten Geräten über 750.000 Spam-Mails verschickt hat. Kühlschränke, Toaster, Fernseher und Router, die alle eins gemeinsam hatten:
Niemand hatte das gottverdammte Standardpasswort geändert.
Besonders geil - Die Angriffe liefen über Geräte, die nie für sowas gedacht waren – und die niemand je abgesichert hat. Und meistens war’s tatsächlich ganz einfach:
„admin / admin“ als Login
Offene Ports (oft UPnP aktiviert – hallo, Einfallstor!)
Null Firmware-Updates
Keine Firewalls oder Netzwerktrennung
Der perfekte Nährboden für Botnetze. Warum ein Botnet so etwas will? Weil es möglichst viele, möglichst unauffällige Geräte braucht – und die findet man heute halt öfter in der Küche als im Serverraum. Das Botnet ist damit smarter unterwegs, als die "smarten" Geräte selbst.
Wie lief der Angriff genau ab?
Die Spam-Wellen wurden in Blöcken à 100.000 Mails abgeschickt. Jedes Gerät verschickte nur wenige Mails, um nicht aufzufallen. Ein Viertel der Mails stammte nicht von klassischen PCs, sondern von IoT-Geräten – darunter Kühlschränke, Router, Fernseher. Dinge, die dauerhaft online sind, nie ein Update bekommen und deren Passwort meist noch „admin“ lautet.
Gesteuert wurde das Ganze über klassische Command-and-Control-Server, vermutlich im Ausland gehostet.
Ziel: Klicks generieren, dubiose Produkte bewerben. Geld machen.
Aufwand: minimal.
Reichweite: maximal.
Wer war dafür verantwortlich?
Proofpoint sprach von einem „relativ einfachen Setup“. Kein besonders raffinierter Hack, eher gut genutzte Nachlässigkeit. Technisch gesehen war das Ganze effizient, aber nicht komplex. Kein Staat im Hintergrund, keine professionelle APT-Gruppe. Einfach Kriminelle, die wussten, dass niemand auf die Sicherheit seines Kühlschranks achtet.
Was nicht bewiesen ist, aber im Raum steht: dass sogenannte Bulletproof Hosters involviert waren – also Hostinganbieter, die sich nicht darum scheren, was ihre Kunden so treiben. Auch Verbindungen zu bekannten Botnets wie Kelihos oder Necurs wären denkbar. Mirai kam zwar erst später, passt aber vom Prinzip her gut ins Bild.
Unterm Strich: keine Überraschung. Wenn du Geräte mit dem Internet verbindest, aber keinen Gedanken an deren Sicherheit verschwendest, brauchst du dich nicht wundern, wenn sie irgendwann anfangen, für Viagra zu werben.
IoT-Sicherheit ist 2025 immer noch ein Witz
Man könnte meinen, die Branche hätte aus Vorfällen wie dem Kühlschrank-Botnet von 2014 gelernt. Schliesslich sind heute Milliarden vernetzter Geräte im Einsatz – von Türklingeln über Kameras bis hin zu Kühlschränken, Staubsaugern und Babyphones. Doch in vielen Fällen hat sich überraschend wenig geändert.
Viele Geräte haben bis heute:
fest eingebrannte Standardlogins
keinen oder nur unzureichenden Update-Mechanismus
kaum Benutzerführung in Sachen Sicherheit
und sind per Default ins Heimnetz eingebunden wie ein Laptop
Das Problem: Die meisten Nutzerinnen und Nutzer behandeln diese Geräte wie Haushaltsgeräte – nicht wie Computer. Entsprechend selten werden Passwörter geändert, Firmware-Updates installiert oder Netzwerke abgesichert. Genau das macht IoT-Geräte bis heute zu einem beliebten Ziel für Cyberkriminelle.
Fazit
Wenn dein Kühlschrank plötzlich Werbung für Viagra verschickt, liegt das weniger an seiner Rechenleistung – sondern daran, dass du seit dem ersten Einschalten nie das Passwort geändert hast. Und das ist kein hypothetisches Szenario, sondern ist vor über zehn Jahren bereits passiert. 2014, als Netflix noch DVDs verschickte und Alexa nur ein seltener Mädchenname war, verschickten Geräte wie ein smarter Kühlschrank Spam-Mails im grossen Stil – weil niemand daran gedacht hatte, ihn abzusichern. Der Angriff war nicht besonders clever, nur besonders leicht möglich.
Und du? Hast du deine smart Geräte im Griff?
Mehr zum Vorfall könnt ihr hier nachlesen:
Kommentare