Saugroboter im Sicherheitscheck: vertrauenswürdige Haushaltshilfe oder petzende Putze?

Lokale Kommunikation kaum kritisch

Die am wenigsten kritische Form des Datenaustausches stellt die lokale Kommunikation dar. Denn diese findet auf stark eingegrenztem Raum innerhalb des heimischen WLANs zwischen App und Roboter statt. Angreifer müssen sich im Sendebereich des Routers beziehungsweise des Saugroboters, also in unmittelbarer Nähe aufhalten. Der Kobold VR300 von Vorwerk verzichtet auf lokale Kommunikation und ist auf diesem Wege entsprechend unangreifbar. Den Kommunikationskanal zwischen Roomba 980 und App schützt das Verschlüsselungsprotokoll TLS 1.2. Die Ersteinrichtung des iRobot erfolgt zwar über eine manuell zu aktivierende WLAN-Verbindung, die nicht passwortgeschützt ist. Allerdings ist auch hier die Kommunikation komplett TLS 1.2 verschlüsselt.

Der 360 Eye erledigt den Datenaustausch mit der App über das offene Nachrichtenprotokoll für Machine-to-Machine-Kommunikation MQTT. Für ein solches Client-Server-Protokoll steht ebenfalls die TLS-Verschlüsselung zur Verfügung, jedoch setzt Dyson diese aktuell nicht für die lokale Kommunikation seines Flaggschiffs ein und bietet somit zumindest eine theoretisch nutzbare Schwachstelle für einen Angreifer im lokalen WLAN. Ähnliche Schwächen beobachteten die Tester bei der Datenübertragung des chinesischen Premium-Saugers Roborock S55. Dieser verschickt seine Daten unverschlüsselt über das Netzwerkprotokoll UDP und offenbart Angreifern vor Ort ebenfalls eine offene Flanke.

Meist gut geschützte externe Kommunikation

Bei der für Angriffe deutlich relevanteren externen Kommunikation bewiesen im Testlabor drei von vier Testkandidaten ein ordentliches Abwehrverhalten. Sowohl der Dyson, der iRobot als auch der Kobold von Vorwerk setzen für die Kommunikation zu angebundenen Cloud-Diensten sowie für den Datenaustausch zwischen Cloud und App auf die sichere TLS-Verschlüsselung in Version 1.2. Beim Roborock stießen die Tester dagegen auf teilweise unverschlüsselten Funkverkehr. Denn der Xiaomi-Sauger nutzt zur externen Kommunikation auch teils unverschlüsselte UDP-Verbindungen. Diese lassen sich abfangen und manipulieren, etwa im Rahmen einer Man-in-the-Middle-Attacke. Zudem zeigten sich auch Angriffsmöglichkeiten bei TLS-verschlüsselten Verbindungen. Aufgrund unzureichender Prüfung von Zertifikaten bei verschlüsselten Verbindungen konnten die Tester Datenströme manipulieren und deren Inhalte mitlesen. 

Dabei ist zu beachten, dass der Roborock, wie alle anderen Smart Home-Produkte von Xiaomi, aus einer zentralen App gesteuert wird. Somit erhalten Angreifer möglicherweise nicht nur Zugriff auf den Saugroboter, sondern auch auf kritischere Smart Home-Komponenten des Herstellers. Das können Rauchmelder, Fenster-Tür-Kontakte oder auch IP-Kameras sein. So wäre es etwa möglich, den Brandschutz einer Wohnung zu sabotieren, Bewohner per Kamera auszuspionieren oder den Einbruchsschutz abzuschalten. Die Steuerung aller Smart Home-Komponenten aus einer App ist zwar extrem komfortabel, dies gilt aber nicht nur für Nutzer, sondern auch für Angreifer. Der chinesische Smart Home-Gigant sollte folglich darauf bedacht sein, die vorhandenen Sicherheitslücken in der Datenkommunikation zu beseitigen, zumal zu erwarten ist, dass noch ein weiteres Schwergewicht im Smart Home-Markt seine schnell wachsende Produktpalette für das Xiaomi-Netzwerk öffnen wird: Auf der AIoT Developer Conference in Peking im November 2018 kündigte Ikea im Rahmen einer Partnerschaft mit Xiaomi an, ab sofort für die eigenen Produkte Schnittstellen zu Xiaomis IoT-Plattform zu öffnen. In ersten Tests zeigte Ikeas Tradfri-Beleuchtungsserie gute Sicherheitsergebnisse. Allerdings bestand zum Testzeitpunkt noch keine Möglichkeit, die Lampen außerhalb des hauseigenen WLANs anzusteuern. AV-TEST wird Tradfri-Produkte mit Online-Zugriff darum erneut prüfen.
 

App-Sicherheit: Schnüffelt Xiaomi?

Auch in der Xiaomi-App stießen die Tester auf kritische Sicherheitsmängel. Zum einen räumt sich der Hersteller für seine App auf dem Smartphone eine Vielzahl von Zugriffsrechten ein, bei denen die Notwendigkeit für den Einsatz von Smart Home-Produkten nicht immer direkt ersichtlich ist. Dazu gehört beispielsweise der Zugriff auf sicherheitskritische Systemeinstellungen des Smartphones. Zum anderen ist die Xiaomi-App nicht nur extrem wissbegierig, sondern enthält auch eine Vielzahl an Drittanbieter-Modulen. So kann die App erfasste Nutzungsdaten beispielsweise an Facebook, Alibaba, den zugehörigen Finanzdienstleister Alipay, die Vermietungsplattform Airbnb, den chinesischen Handelsriesen Tencent und andere Onlinedienste senden. Im Test zeigte sich zudem, dass die App sensible Informationen nicht ausreichend schützt. So konnten die Tester auf gerooteten Smartphones sensible Informationen aus dem App-Ordner auslesen.

Schnittstellen zu anderen Diensten und Datenschutz

Nicht nur Xiaomi und Ikea werden zukünftig Daten von Smart Home-Produkten austauschen. Auch iRobot kündigte Ende Oktober 2018 eine entsprechende Partnerschaft mit Google an. Durch die Auswertung der von den Robotern erstellten Cleaning Maps soll Kunden laut Pressemitteilung die Einrichtung und Nutzung smarter Geräte erleichtert werden. So sollen die Sauger per Google Assistant-Sprachbefehl etwa nur bestimmte Räume säubern. Und Nutzer sollen vernetzte Lichtsysteme und andere Smart Home-Komponenten für einzelne Wohnbereiche steuern können. Ob die Kunden den Enthusiasmus der Hersteller beim Datentausch teilen, darf bezweifelt werden. In einem Interview mit The Verge versprach Googles Smart Home-Chefin Michele Chambers Turner darum auch prompt, die iRobot-Karten würden nicht mit anderen von Google erfassten Daten zusammengeführt. 

Auch die anderen Testkandidaten werben mit umfangreichen Funktionen, die die Integration anderer Plattformen erfordern, wie etwa die Steuerung durch Amazons Sprachassistenten Alexa. Inwieweit sich iRobot und dessen neuer Partner Google als auch die anderen Anbieter an gegebene Versprechen halten, bleibt abzuwarten und lässt sich für Nutzer kaum ermitteln.

Beim Einsatz erfassen die Robotersauger aber nicht nur Umgebungsdaten oder Informationen über ihre Nutzer. Die Geräte überprüfen beispielsweise auch den Zustand der eigenen Sensoren sowie von Verschleißteilen, die regelmäßig gewechselt werden müssen. Dazu gehören etwa Luftfilter, Seiten- und Hauptbürste. Nach einer bestimmten Anzahl von Saugfahrten informieren die Geräte den Nutzer über nötige Wechsel. Eigentlich ist das als sinnvolles Feature zu sehen, um die Leistungsfähigkeit des Gerätes zu erhalten. Allerdings können Hersteller damit auch überprüfen, ob Nutzer die Roboter so einsetzen, wie es die Garantiebedingungen vorschreiben. Werden Abweichungen festgestellt und an den Hersteller übermittelt, könnte dieser, je nach Gesetzeslage des Verkaufslandes, möglicherweise eine Garantie ausschließen. Abgesehen davon werden sich Nutzer zukünftig eventuell sogar daran gewöhnen müssen, dass ihr Staubsauger per Chat-Nachricht neue Luftfilter verlangt oder gleich selbst eine neue Hauptbürste im Onlinehandel bestellt.
 

Datenschutz: Dyson und Vorwerk aufgeräumt

Was auch immer die Hersteller mit den Informationen von Saugrobotern und über deren Besitzer vorhaben, sie müssen es in ihren Datenschutzerklärungen transparent machen. Dementsprechend überprüfte AV-TEST genau, welche Datennutzungsrechte sich Dyson, iRobot, Vorwerk und Xiaomi einräumen. 

Vorbildlich zeigte sich dabei Vorwerk: In der Datenschutzerklärung des Kobold VR300 verspricht der deutsche Hersteller nur Daten zu erfassen, die auch für den Betrieb des Roboters notwendig sind. Daten aus diesem Bestand, die für Statistiken und Produktverbesserung genutzt werden, will Vorwerk nur anonymisiert nutzen. Der Hersteller verarbeitet solche Daten an seinen Hauptstandorten Deutschland und der Schweiz sowie in den USA, wo der Sauger von US-Hersteller Neato in Lizenz produziert wird. Vorwerk garantiert in der Datenschutzerklärung aber für alle Standorte die Einhaltung von EU-Datenschutzstandards. Ähnlich lobenswert zeigte sich die Datenschutzerklärung von Dyson. In einer leicht verständlichen Kurzfassung listet der Hersteller die wichtigsten Punkte auf, zu jedem Punkt werden darüber hinaus ausführliche Informationen zur Verfügung gestellt. Auch Dyson verspricht die Reduktion auf notwendige Daten und anonymisierte Nutzung.

Die Datenschutzerklärung von iRobot ist wenig übersichtlich, sehr lang und sehr detailliert: Durch elf kleingedruckte Seiten mit insgesamt fast 7000 Wörtern mussten sich die Tester quälen. Der Text ist verklausuliert und schwer verständlich, und es fällt auf, dass an keiner Stelle von einer anonymisierten Datennutzung die Rede ist. Immerhin weist der Hersteller auf die Zusammenarbeit mit anderen Unternehmen wie Google hin. Zudem räumt sich iRobot Datennutzungsrechte ein, die für den Einsatz eines Saugroboters unnötig sein dürften. Ein Zitat aus der Datenschutzrichtlinie zur Erfassung von personenbezogenen Daten: "Demographische und Lifestyle-Informationen, wie Ihr Alter, Geburtsdatum, Geschlecht, Gehalt oder sonstiges Einkommen, Freizeit und andere Interessen, Anzahl der Kinder und Anzahl der Haustiere, Informationen über Ihr Wohnumfeld“. Solche Formulierungen wirken wenig vertrauenserweckend.

Für den Roborock stellt Xiaomi im Google Playstore keine eigene Datenschutzerklärung zu Verfügung. Stattdessen wird auf die Bestimmungen der Hersteller-Website verwiesen. Nach Installation der App erhalten Kunden aber Informationen über die Verwendung von Daten, die beim Einsatz des Roborocks anfallen. So werden erfasste Kundeninformationen in der gesamten Xiaomi-Gruppe zu Vermarktungszwecken genutzt. Neben dem ständigen Datenstrom zu Drittanbietern während der im Test überprüften Saugdurchläufe, macht auch die Datenschutzerklärung des Herstellers nicht viel Hoffnung auf die Einhaltung der Privatsphäre. Informationen über den Datenaustausch mit Partnern wie Ikea, die von Roborock aufgezeichnete Wohnungspläne etwa zur Werbung für ihr Möbelsortiment nutzen könnten, finden sich in der Datenschutzerklärung ebenfalls nicht.