Ein Sicherheitsforscher hat eine Schwachstelle in Shark-Saugrobotern offengelegt, über die sich die Geräte fernsteuern und auslesen lassen. Laut seinem Bericht können Angreifer die eingebaute Kamera beobachten, den Roboter durch die Wohnung fahren, die gespeicherte Raumkarte auslesen und das WLAN-Passwort im Klartext abgreifen. Ein Patch steht bislang aus.
Ein Zertifikat, das die ganze Flotte öffnet
Verantwortlich ist die Cloud-Anbindung über den Amazon Web Service (AWS). Jedes Gerät authentifiziert sich im AWS-IoT-Broker zwar mit einem eigenen privaten Schlüssel per TLS – dieser Schlüssel erlaubt aber die Anmeldung an den Datenkanälen (Topics) beliebiger anderer Geräte in derselben AWS-Region. Den Schlüssel eines Saugers zapfte der Forscher über die serielle Debug-Schnittstelle und den U-Boot-Bootloader an; physischer Zugriff auf ein einzelnes Gerät reicht dafür aus.
Ist der Schlüssel einmal ausgelesen, genügt anschließend die leicht zu ermittelnde Seriennummer eines fremden Saugers, um auf diesem aus der Ferne eine Funktion zum Ausführen von Befehlen aufzurufen. Zur Bestätigung schleuste der Forscher auf einem zweiten Shark-Roboter eine Webshell ein. Allein in einer AWS-Region wurden dabei über 1,5 Millionen Seriennummern sichtbar; bei rund 44 Prozent reagierte die Befehlsschnittstelle.
Warum ein Firmware-Update nicht reicht
Anders als bei vielen anderen Lücken könnt ihr als Besitzer hier selbst wenig ausrichten. Die Korrektur muss serverseitig bei SharkNinja erfolgen: Die Autorisierungsprüfungen in der AWS-Cloud müssen enger gefasst oder die Schlüssel neu ausgestellt werden. Ein klassisches Firmware-Update am Gerät greift nicht.
Nach Darstellung des Forschers wurde die Lücke bereits Anfang März 2026 gemeldet und Mitte März bestätigt, eine zugesagte Frist Anfang Juli aber verstrichen. Eine CVE-Kennung gibt es bislang nicht; der Hersteller soll die Schwere heruntergespielt haben. Eine offizielle Stellungnahme von SharkNinja gibt es bislang nicht.
Was ihr jetzt tun könnt (Spoiler: Nicht viel)
Weil die eigentliche Absicherung beim Hersteller liegt, bleibt als einzige zuverlässige Gegenmaßnahme, den Sauger vom Internet zu trennen. Ohne Cloud-Verbindung ist ein normaler Saugbetrieb allerdings kaum möglich. Wer das Gerät weiter online betreibt, sollte es zumindest in ein separates Netz oder WLAN auslagern, damit ein gekaperter Roboter nicht auch noch Zugriff auf euer übriges Heimnetz erhält. Behaltet außerdem im Blick, ob SharkNinja ein Update oder eine Stellungnahme nachreicht.
Der Fall zeigt, wie attraktiv Geräte mit Kamera und Kartierung als Angriffsziel sind. Wie ihr euer vernetztes Zuhause grundsätzlich absichert – vom getrennten Gäste-WLAN bis zur Frage, welche Geräte überhaupt eine Kamera brauchen – lest ihr in unserem Leitfaden zur Smart-Home-Sicherheit.
Update (22.07.2026): Zwischenzeitlich liegt ein Statement von Shark zu dem Sachverhalt vor: SharkNinja ist sich des Berichts der Forscher zu einigen unserer Saugroboter bewusst und hat die identifizierte Schwachstelle vollständig behoben. Wir nehmen Datenschutz und Datensicherheit äußerst ernst und setzen uns weiterhin dafür ein, die Privatsphäre und Datensicherheit unserer Kunden zu schützen
Saugroboter und mehr Ideen für dein vernetztes Zuhause: Jetzt den kostenlosen Newsletter anfordern!
