Shelly Smart-Home-Schwachstelle mit Firmware-Update behoben

Bequemlichkeit prägt häufig das Design von Smart-Home-Geräten. Die Shelly-Schwachstelle zeigt, wie diese Bequemlichkeit Geräte nach der Installation unbeabsichtigt exponieren kann. Forschende entdeckten, dass einige Geräte ihr Einrichtungs-WLAN aktiv hielten, sodass Personen in der Nähe sich lokal verbinden konnten, selbst nachdem die Konfiguration abgeschlossen war.

Das Unternehmen reagierte mit einem Firmware-Update, doch die Diskussion dauert an, ob es sich um eine Schwachstelle oder um beabsichtigte Funktionalität handelte.

Was die Forschenden herausfanden

Bestimmte Gen4-Geräte von Shelly sendeten ihren Konfigurations-Access-Point auch nach der Einrichtung weiter aus. Das Netzwerk dient dazu, Nutzern während der Installation zu helfen, blieb jedoch länger verfügbar als erwartet.

Jeder innerhalb der Funkreichweite konnte sich verbinden und mit der Geräteoberfläche interagieren. Der Zugriff erforderte weder Internetangriffe noch spezielle Werkzeuge. Physische Nähe genügte.

Auch wenn dadurch nicht automatisch die vollständige Systemkontrolle möglich war, entstand ein direkter Zugangsweg, der normalerweise nach der Einrichtung geschlossen werden sollte.

Reaktion des Unternehmens und Firmware-Update

Shelly erklärte, das Verhalten sei ursprünglich gedacht gewesen, um Wartung und Bereitstellung in Umgebungen zu erleichtern, in denen Installateure wiederholt lokalen Zugriff benötigen. Gleichzeitig erkannte das Unternehmen die mögliche Missbrauchsgefahr an und veröffentlichte ein Update.

Das Update führt automatische Abschaltregeln ein:

• Das Einrichtungsnetzwerk deaktiviert sich kurz nach der Konfiguration
• Der Access-Point aktiviert sich nur nach manuellem Zurücksetzen erneut
• Ungesicherte Verbindungen werden bei Inaktivität beendet

Diese Anpassungen sollen die einfache Installation beibehalten und unnötige Exposition reduzieren.

Warum die Debatte wichtig ist

Forschende betrachten das Problem als Schwachstelle, da Nutzer vernünftigerweise erwarten, dass Einrichtungsnetzwerke automatisch verschwinden. Bleiben sie aktiv, steigt das Risiko unbefugter lokaler Zugriffe.

Der Streit verdeutlicht ein wiederkehrendes IoT-Problem: Für Komfort entwickelte Funktionen können zu Sicherheitsrisiken werden, wenn ihr Verhalten während der Einrichtung unklar bleibt.

Viele Nutzer prüfen die Netzwerkaktivität nach der Installation nicht und gehen davon aus, dass sich das Gerät selbst schützt.

Reale Auswirkungen

Das Risiko erfordert physische Nähe. Nachbarn, Besucher oder Personen in der Nähe eines Gebäudes könnten daher Zugriff versuchen. In gemeinsam genutzten Wohn- oder Büroumgebungen vergrößert sich die potenzielle Angriffsfläche deutlich.

Über die Oberfläche könnten Personen Smart-Beleuchtung, Automatisierungsregeln oder verbundene Geräte beeinflussen – abhängig von der Konfiguration. Selbst begrenzter Zugriff kann Haushaltsmuster offenlegen oder unerwünschte Steuerung ermöglichen.

Smart-Homes basieren auf Vertrauen in unsichtbare Hintergrundprozesse, wodurch unbemerkte Einstellungen besonders sensibel sind.

Fazit

Die Shelly-Schwachstelle zeigt, wie Usability-Entscheidungen Sicherheitsfolgen haben. Eine Einrichtungsfunktion für Komfort blieb länger aktiv als erwartet und ermöglichte lokalen Zugriff.

Das Firmware-Update reduziert das Risiko, indem das Netzwerk nach der Installation automatisch deaktiviert wird. Der Vorfall erinnert daran, dass Smart-Home-Sicherheit nicht nur von starker Verschlüsselung abhängt, sondern auch von vorhersehbarem Geräteverhalten nach der Einrichtung.