Ein Sicherheitsforscher aus Deutschland hat sich aus der Ferne in einen Yarbo-Mähroboter eingeklinkt, der auf einem Rasen in den USA stand – und ihn losfahren lassen. Dahinter steckt eine gravierende Lücke: In der Firmware der Garten-Roboter liegt ein fest verdrahtetes Root-Passwort, das auf jedem Gerät identisch ist. Wer die Seriennummer und dieses eine Passwort kennt, hat vollen Zugriff.
Ein Passwort für alle Geräte
Gefunden hat das Andreas Makris, in der Security-Szene als „Bin4ry“ bekannt. Er hat seine Analyse öffentlich dokumentiert – unter dem passenden Projektnamen „yarbo-nat-in-my-back-yard“ – und nach eigenen Angaben rund 6.000 online erreichbare Yarbo-Roboter verfolgt. Der Kern des Problems: Das Root-Passwort ist nicht individuell vergeben, sondern hart im Code hinterlegt und bei allen Einheiten gleich.
Erschwerend kommt hinzu, dass sich die Lücke als Besitzer kaum schließen lässt. Ändert ihr das Passwort selbst, setzt das System es laut Makris beim nächsten Update wieder auf den Werkswert zurück. Ein Angreifer braucht damit im Grunde nur zwei Informationen, um an einem beliebigen Gerät anzudocken.
Die erste Berichterstattung dazu stammt von The Verge.
Sicherheitsalptraum: Hacker hatte Zugriff auf Kameras, WLAN-Passwort und Fernsteuerung
Mit diesem Zugang lässt sich mehr anstellen als nur mähen. Laut der Analyse kann ein Angreifer die vier Kameras des Roboters live abgreifen, an die hinterlegte E-Mail-Adresse und das WLAN-Passwort kommen, GPS-Koordinaten auslesen und den Roboter fernsteuern. Auch den physischen Not-Aus lässt sich mit Root-Rechten übergehen.
Der Roboter wiegt rund 100 Kilogramm und hat keine fest verdrahtete Sicherheitsabschaltung, die ihn stoppt, wenn ihm etwas in den Weg kommt. Bei einer Demonstration steuerte Makris aus Deutschland ein Gerät in den USA und fuhr dabei fast einen Journalisten von The Verge um, der zum Test im Gras lag. Bei einem Gartenroboter mit Klingen ist die physische Gefahr damit keine Randnotiz.
Gehakter Mähroboter von Yarbo: Leider kein Einzelfall
Fest hinterlegte Zugangsdaten und eine starke Cloud-Abhängigkeit sind kein Yarbo-Spezifikum, sondern ein wiederkehrendes Muster bei vernetzten Geräten. Für euch ist das vor allem ein Argument, beim nächsten Smart-Home-Kauf genauer auf Update-Politik, Fernzugriff und Zugangsverwaltung zu schauen. Wie ihr euer vernetztes Zuhause grundsätzlich absichert – von Passwörtern über 2FA bis zur Trennung eurer Geräte ins Gastnetz –, haben wir im vollständigen Leitfaden zur Smart-Home-Sicherheit zusammengefasst.
Wer selbst einen Yarbo betreibt, sollte die verfügbaren Updates einspielen und den Fernzugriff nur dann aktivieren, wenn ihr ihn wirklich braucht.
Was Yarbo dazu sagt
Yarbo hat auf die Veröffentlichung reagiert und nach eigenen Angaben bereits zwei Software-Updates ausgeliefert. Das Unternehmen kündigte an, die einheitlichen Passwörter abzuschaffen, die Zugriffskontrolle zu verschärfen und den Fernzugriff künftig standardmäßig zu deaktivieren, sodass ihr ihn aktiv einschalten müsst.
Ob damit alle Angriffswege geschlossen sind, muss sich in der Praxis zeigen.
Mehr zum Thema Smart Home Sicherheit und weitere exklusive Smart-Home-News, spannende Deals & Tests – jetzt kostenlosen Newsletter anfordern!
