Gehackte Mähroboter können Besitzer ausspähen und Menschen angreifen

Zum Glück war es nur der Sicherheitsforscher Andreas Makris und kein bösartiger Hacker, der 11.000 Mähroboter in aller Welt ortete und unter seine Kontrolle brachte. Der Mann konzentrierte sich dabei auf Geräte der Marke Yarbo, die ihren offiziellen Hauptsitz in New York hat, aber primär aus Shenzhen in China agiert. Makris konnte auf die integrierten Kameras zugreifen, sämtliche Daten ausspähen und die Lenkung der Mähroboter übernehmen. »Ich kann mit all den Robotern machen, was ich will. Es ist völlig ungesichert«, erklärte er in einem Interview. Die rechtmäßigen Gerätebesitzer bekamen davon überhaupt nichts mit.

Mit scharfen Klingen und Kameras ausgerüstete Werkzeuge

Mähroboter sind mit scharfen Klingen »bewaffnete«, ferngesteuerte Werkzeuge und Datenträger zugleich. Theoretisch hätte Makris mit seinen neuen Spielzeugen Menschen nach Belieben angreifen und dazu Sachschäden anrichten können. Die harmloseste Variante wäre gewesen, die Geräte einfach auf Nimmerwiedersehen zu entführen. Doch wollte er nur die enormen Sicherheitslücken und Gefahren sichtbar machen, damit eben keine bösartigen Hacker die Kontrolle übernehmen.

Die Tests beziehen sich ausschließlich auf Yarbo-Geräte

Der Forscher gibt an, nicht nur die E-Mail-Adressen der Roboterbesitzer herausgefunden zu haben, sondern auch ihre WLAN-Passwörter und, über die GPS-Daten, den Standort ihrer Häuser. Über die Roboterkameras konnte er sich in Ruhe in der Umgebung umsehen, potenziell, um einen Einbruch oder andere Straftaten vorzubereiten. Seine Tests beziehen sich ausschließlich auf Yarbo-Geräte, deren Software auf einem Linux-System basiert, das offenbar mit massiven Fehlern behaftet ist. So verfügt jeder dieser Roboter über ein fest codiertes Passwort, das dem Remote-Zugriff des Supports dient, aber für Hacker zum offenen Scheunentor wird.

Das Unternehmen reagierte mit dem Versprechen, zeitnah Updates durchzuführen. Berechtigungsfehler sollen behoben werden, Nutzer sollen demnächst eventuellen Ferndiagnosen erst zustimmen und den Zugang freigeben müssen. Die Sicherheitslücken hätten jedoch gar nicht erst sein müssen – und wer weiß, wie viele andere Roboterfirmen nicht genügend aufgepasst haben.