Sicherheitslücke in einer VdS-zertifizierten EMA

[carcosa]

Hallo zusammen,

mich würde mal eure Meinung zu einem rein hypothetischen Szenario interessieren.

Angenommen, ein Cybersicherheitsforscher würde in einer EMA eines namhaften Herstellers eine ziemlich gravierende Sicherheitslücke finden. Über diese Lücke ließe sich die EMA unbemerkt und ohne jede Authentifizierung über das IP-Netzwerk fernsteuern oder umparametrieren. Ein Angreifer könnte die EMA dadurch beispielsweise aus der Ferne unscharf schalten, ihre Konfiguration verändern oder Alarmmeldungen unterdrücken – und das alles, ohne irgendwelche PIN-Codes oder Passwörter zu kennen.

Das Besondere an diesem rein hypothetischen Fall wäre, dass es sich nicht um irgendein altes oder längst abgekündigtes System handeln würde, sondern um eine aktuelle, VdS-zertifizierte Produktgeneration, die nach wie vor verkauft und installiert würde.

Nehmen wir nun einmal an, der hypothetische Cybersicherheitsforscher würde diese Schwachstelle dem Hersteller eigentlich gerne melden. Gleichzeitig hätte er aber ziemliche Bauchschmerzen, was die rechtliche Seite angeht. Schließlich hat es in der Vergangenheit schon mehrfach Fälle gegeben, in denen Sicherheitsforscher nach einer verantwortungsvollen Schwachstellenmeldung am Ende nicht etwa ein Dankeschön erhalten hatten, sondern stattdessen mit Unterlassungsforderungen, Klagen oder sogar Strafanzeigen konfrontiert wurden.

Deshalb würde mich interessieren, wie ihr das als Branchenvertreter einschätzen würdet: was sollte der hypothetische Sicherheitsforscher eurer Meinung nach in so einer Situation tun? Würdet ihr die Schwachstelle direkt dem Hersteller melden oder eher einen anderen Weg wählen?

[Ollik]

Laut Beitrag #27 in diesem Thread https://www.alarmforum.de/showthread.php?tid=22480 (hier war es z.B. eine Telenot-Anlage, das kann aber jeden Hersteller betreffen)
meldet man das vertraulich und mit Fristsetzung (bis zur Veröffentlichung der Sicherheitslücke) in einschlägigen Medien an den Hersteller und der wird sich dann darum kümmern (sofern diesem denn Sicherheit wichtig ist).

Wenn man Angst vor (strafrechtlichen) Konsequenzen haben sollte, stellt man die belastbaren und hoffentlich belegbaren Daten bzw. Informationen von vornherein (anonym) diesen Gruppierungen zu Verfügung, damit diese sich darum kümmern, das dauert dann halt deutlich länger, weil diese Gruppierungen die anonymen Infos sicherlich erst verifizieren wollen (müssten), ehe sie an den Hersteller herantreten.

Da wir hier aber keine Rechtsberatung durchführen dürfen, sollte sich der hypothetische Cybersicherheitsforscher VORHER dringend mit mindestens einem Fachanwalt abstimmen.

Viele Grüße
Olli

-----------
Nachtrag:
Bitte halte hier im Forum auch weiterhin den oder die betroffenen Hersteller- bzw. Systemnamen unter Verschluss, ich habe nämlich auch keine Lust auf (rechtliche) Konsequenzen, danke.

[sicherheitstechnik-siegen]

Alternativ gibt man diesen dokumentierten Hinweis komplett anonym weiter (selber schon so Anfang der 2000'er bei einem Internet Broker erledigt. Dort erfolgte beim Kauf von x-beliebigen Shares eine Bonitätsprüfung und danach konnte man im Nachgang noch mal x-beliebig die Menge ändern, also mit 1.000,- € Kontoguthaben für 1 Millionen ungedeckt kaufen) . Das Problem daran, niemand erfährt, wer diese Koryphäe ist, was ihn motiviert hat und ein Bonbon gibt's auch nicht . Sollte dieser Hinweis für den Hersteller nachvollziehbar sein und ein Szenario wie oben beschrieben tatsächlich möglich sein (was ein Hammer wäre), müsste der Hersteller alle Urlaube streichen und mit Hochdruck 24/7 an der Lösung arbeiten. Ein Rundschreiben wird er wohl vermeiden. Kurzum, es wäre ein Desaster biblischen Ausmaßes und würde wohl eine riesige Delle in der Bilanz hinterlassen.

---

Vielleicht schreibst Du mir mal vertraulich, um was es geht. Ich bin selbst gelernter Programmierer in C, Shell, AWK und SED. Ein bisschen Java kann ich auch.

[angos_]

Vielleicht besinnt man sich ja auch mal wieder auf die Wurzeln. Außer zur Aufschaltung braucht eine Einbruchmeldeanlage keinen Netzwerkkontakt. Die Aufschaltung halte ich an sich für sicher. Ist dann eben ohne Fernwartung. Aber auch das muss ja nicht sein.

Der heute weit verbreitete (Funk)Klingelkram vom Chinamann hat wohl eher nicht viel mit Einbruchmeldetechnik zu tun. Das ist bestenfalls Hausautomation. Auch bei dem Thema braucht man nicht zwingend Netzzugang. Habe seit ETS 1 Zeiten auch damit zu tun. War immer alles lokal nutzbar und hat seinen Zweck erfüllt.

Wer das eine will muss halt die Risiken kennen und ggf. in Kauf nehmen.

[Fraggel]

(31-07-2026 01:04)carcosa schrieb:  Strafanzeigen

Diese Problematik kann nur bestehen, wenn man an der öffentlich erreichbaren Hersteller-Cloud (also deren Servern) rum hackt.

Wenn Du zu Hause im stillen Kämmerlein einfach mal mit der Zentralenplatine rumspielst, die ja ohnehin Dir gehört, dann gibt es IMO rechtlich keinen Ansatz Dir irgendwas vorzuwerfen.

[sicherheitstechnik-siegen]

Um die NSL zu nutzen, kommst Du am Internetzugang nicht vorbei und wenn Du heute eine Toilettenbürste ohne App anbietest, lässt die sich nicht mehr verkaufen. Hatte vor kurzem noch das Vergnügen, meine eigene installierte App auf dem Kundenhandy zu suchen. Irgendwo bei Seite 25 fand ich die, was etwa 625 installierten Apps entspricht.

[carcosa]

(31-07-2026 13:15)Fraggel schrieb:  

(31-07-2026 01:04)carcosa schrieb:  Strafanzeigen

Diese Problematik kann nur bestehen, wenn man an der öffentlich erreichbaren Hersteller-Cloud (also deren Servern) rum hackt.

Wenn Du zu Hause im stillen Kämmerlein einfach mal mit der Zentralenplatine rumspielst, die ja ohnehin Dir gehört, dann gibt es IMO rechtlich keinen Ansatz Dir irgendwas vorzuwerfen.

Das würde ich nicht so eindeutig behaupten. Stellen wir uns vor, ein hypothetischer Sicherheitsforscher hat eine EMA auf dem Gebrauchtmarkt gekauft. Nach §202a StGB stellt sich dann die Frage, ob der Zugriff auf die darauf gespeicherten Daten als unbefugtes Verschaffen von Daten anzusehen wäre, die "nicht für ihn bestimmt" sind. Auch die von ihm verwendeten Cybersicherheitswerkzeuge könnten unter Umständen als Vorbereiten des Ausspähens oder Abfangens von Daten im Sinne des §202c StGB eingeordnet werden.

Noch einmal: das Ganze ist rein hypothetisch. Mich würde aber die Einschätzung der Branchenvertreter interessieren, wie Hersteller in der Praxis typischerweise reagieren, wenn ihnen jemand eine solche Schwachstelle meldet. Vielleicht hat ja jemand ein paar Insider-Infos. Sind Hersteller von Sicherheitstechnik in der Regel dankbar und bemüht, die Sicherheitslücke zu schließen, oder kommt es eher vor, dass versucht wird, die meldende Person durch rechtliche Schritte einzuschüchtern und zum Schweigen zu bringen, um einen Imageschaden zu vermeiden?

[MartinH]

(31-07-2026 14:50)carcosa schrieb:  Das würde ich nicht so eindeutig behaupten. Stellen wir uns vor, ein hypothetischer Sicherheitsforscher hat eine EMA auf dem Gebrauchtmarkt gekauft. ...

Beim Zugriff auf die HW sind (fast) alle EMA Zentralen auslesbar. Da braucht man keine speziellen Tools oder Kenntnisse, nur die Entsprechenden Programmiertools.
Die Schwachstelle ist eigendlich ein Problem von den Errichtern, welche Passwörter nicht gesetzt haben.
Das der Zugriff dadurch möglich ist, ist da ein Problem von "Secure by default" was nicht richtig umgesetzt wurde. Was natürlich der Hersteller beheben muss.

[Fraggel]

(31-07-2026 14:50)carcosa schrieb:  Nach §202a StGB stellt sich dann die Frage, ob der Zugriff auf die darauf gespeicherten Daten als unbefugtes Verschaffen von Daten anzusehen wäre

Neee, ich glaube, das wäre etwas arg weit hergeholt.

Wenn ich Dir etwas verkaufe, dann gehört es hinterher Dir. Mit allem drum und dran. Wenn da noch irgendwelche Daten von mir drauf sind, dann ist das einzig und allein meine Verantwortung und mein Problem.

Das wäre ja so, als ob ich Dir meinen gebrauchten Anrufbeantworter verkaufe ohne vorher die letzten Anrufe zu löschen und Dich dann anzeige wegen Verletzung des Fernmeldegeheimnisses. Das Schlimmste, was dabei passieren könnte wäre, dass sich der Staatsanwalt totlacht, der die Anzeige bearbeiten muss.

Wenn ich mir eine Auto kaufe, dann gibt es kein Gesetz das mir verbietet, die Motorhaube aufzumachen und zu gucken, wie es funktioniert. Dazu gehört auch mit geeignetem Equipment z.B. das Steuergerät auszulesen.

Illegal wird das erst, wenn ich die gewonnenen Informationen nutze um z.B. nachgebaute Steuergeräte zu verkaufen oder das Auto meiner Ex-Frau zu manipulieren...

---

PS. Es gibt nur eine Ausnahme, mit der die Softwarehersteller versuchen, Dir die Analyse zivilrechtlich zu verbieten. In den EULAs steht häufig drin, dass Du die Software nicht disassemblieren darfst. Das ist dann quasi Vertragsbestandteil des Software-Nutzungsvertrages und wenn Du den verletzt könntest Du das Recht verlieren, die Software weiter nutzen zu dürfen.
Aber: Dazu musst Du erstmal einen zivilrechtlichen Vertrag mit dem Hersteller abgeschlossen haben. Hast Du aber nicht, da der Kram vom Flohmarkt stammt.

[carcosa]

(31-07-2026 15:32)MartinH schrieb:  

(31-07-2026 14:50)carcosa schrieb:  Das würde ich nicht so eindeutig behaupten. Stellen wir uns vor, ein hypothetischer Sicherheitsforscher hat eine EMA auf dem Gebrauchtmarkt gekauft. ...

Beim Zugriff auf die HW sind (fast) alle EMA Zentralen auslesbar. Da braucht man keine speziellen Tools oder Kenntnisse, nur die Entsprechenden Programmiertools.
Die Schwachstelle ist eigendlich ein Problem von den Errichtern, welche Passwörter nicht gesetzt haben.
Das der Zugriff dadurch möglich ist, ist da ein Problem von "Secure by default" was nicht richtig umgesetzt wurde. Was natürlich der Hersteller beheben muss.

Ohne weiter ins Detail zu gehen (denn selbst bei einer rein hypothetischen Situation gehören solche Informationen meiner Meinung nach nicht in die Öffentlichkeit, um den bösen Jungs da draußen keine neuen Ideen zu liefern), stellen wir uns mal folgendes Szenario vor: eine bestimmte EMA lässt sich aufgrund einer Schwachstelle über das IP-Netzwerk ohne Authentifizierung steuern bzw. umparametrieren – unabhängig davon, ob für den lokalen Zugriff auf die Hardware (z.B. per USB-Kabel) zusätzliche Passwörter eingerichtet wurden oder nicht.

Beim lokalen Zugriff wäre das zudem deutlich weniger kritisch, da man gar nicht an die Platine der EMA gelangt, ohne vorher den Sabotageschutz auszulösen.

[Funkalarmprofi]

(31-07-2026 14:50)carcosa schrieb:  Noch einmal: das Ganze ist rein hypothetisch. Mich würde aber die Einschätzung der Branchenvertreter interessieren, wie Hersteller in der Praxis typischerweise reagieren, wenn ihnen jemand eine solche Schwachstelle meldet.

Belegen kann ich es nicht, aber "VdS zugelassen" klingt mit sehr hoher Wahrscheinlichkeit nach einem deutschen Hersteller und schliesst die meisten Windbeutel schon mal aus ... übrig bleiben die, die ernsthaft den Anspruch haben, möglichst sichere Produkte anzubieten. Ich würde also auf Grund langjähriger Erfahrungen mit einigen durchaus seriösen Herstellern behaupten, dass die dankbar für den Tip sind und das Risiko verklagt zu werden nahe Null liegt (vorausgesetzt die Schwachstelle lässt sich zweifelsfrei belegen).

Ich würde also dem "Cybersicherheitsforscher" empfehlen alles zu dokumentieren und den Angriff nachvollziehbar zu beschreiben. Diese Unterlagen würde ich dann (von mir aus auch anonym) dem Hersteller übergeben und wie oben beschrieben, eine angemessene Frist für die Nachbesserung setzen. Gleichzeitig sollte man klarmachen, dass ab Tag X zusätzlich die VdS GmbH ins Boot geholt wird. Mit einer Veröffentlichung der Lücke würde ich (erstmal) nicht drohen, das führt m. E. irgendwann in eine u. U. nicht kontrollierbare Konfrontation.

[Ollik]

Also liebe Leute, noch einmal:
haut euch hier bitte keine Paragraphen und/ oder 'Rechts-Meinungen' um die Ohren - wir dürfen hier keine Rechtsberatung leisten oder auch nur anbieten, sonst bin ich als Betreiber des Forums u.U. 'fällig' und da habe ich echt keine Lust drauf!

Danke und viele Grüße
Olli

[sicherheitstechnik-siegen]

(31-07-2026 15:32)MartinH schrieb:  Beim Zugriff auf die HW sind (fast) alle EMA Zentralen auslesbar. Da braucht man keine speziellen Tools oder Kenntnisse, nur die Entsprechenden Programmiertools.

Ach ... Du haust hier aber einen raus. Den EEPROM der Zentrale kannst Du zwar auslesen, aber nicht entschlüsseln, da jede neuere mir bekannte EMA das Passwort mit 256bit verschlüsselt. Der TE hat evtl. einen Weg gefunden, am EEPROM vorbei direkt über den ROM Veränderungen vorzunehmen (Firmware). Anders kann es gar nicht sein, da er von Zustandsänderungen spricht, wozu wiederum zwingend Benutzername und Passwort erforderlich sind, hätte er Zugriff auf die im EEPROM gespeicherte Konfiguration, was nicht sein kann.

[sicherheitstechnik-siegen]

Ich habe jetzt mal die letzten drei Std. damit verbracht, die abgespeicherte Konfiguration auf dem EEPROM meiner eigenen XT4 per BF mit John the Ripper anzugreifen. Die Config ist mit einem 8 stelligen Passwort (Alphanumerisch und Sonderzeichen = 46 hoch 46 hoch 46 hoch 46 hoch 46 hoch 46 hoch 46 hoch 46) gesichert. Die Sperrung der XT4 mit Warteschleife bei falscher PW Eingabe greift nicht, da ich die Firmware umgehe. Meine Grafikkarte ist eine RTX 3090TI-24 GB RAM, der derzeitige Fortschritt wird mir nach drei Std. immer noch mit "weniger als 1%" angezeigt. Ich breche jetzt ab, da die Lüfter meines PC auf Volllast laufen und das nimmt viel Strom.
Mein Rechner würde wohl noch Wochen brauchen, um das 8 stellige mit 256 Bit gesicherte Passwort zu knacken. @MartinH: Soviel zur Theorie und der Praxis.

---

Jetzt muss ich die wieder einlöten und falls das nicht klappt, habe ich wegen dem blödsinnigen Test, meine XT4 zerschossen. Bin gespannt.

---

Ich habe gerade ein Tool bemüht, die mir mit meiner Hardware voraussagt, wie lange mein Rechner benötigt um ein 8 stelliges Alphanumerisches incl. Sonderzeichen Passwort zu hacken. Das Ergebnis liegt bei ca. 6 Tagen. Passwort mit 9 Zeichen = 21 Tage, Passwort mit 10 Zeichen = 105 Tage, Passwort mit 25 Zeichen = 17,3 Milliarden Jahre ( 4,6 × 10⁴⁹ - dann ist es mir egal, ob jemand mein Passwort hackt ).

---

Die Sonne scheint bis dahin übrigens seit 13 Milliarden Jahren nicht mehr. Lasst Euch nicht verrückt machen

---

Tipp außerhalb der Thematik des Alarmforums, für alle, die es ganz sicher mögen. Schützt Euren Windows PC mit Vera Crypt und wenn die Mauseingabe zur Verschleierung der Hashtags kommt, macht Euch zuvor einen Kaffee und kreist ca. 10 Minuten mit Eurer Maus wie wild in dem angezeigten Feld. Spätestens dann, ist mit der Hashtag Auswertung auch nichts mehr zu machen. Euer PC ist unknackbar, solange Ihr lebt. Mein Wort drauf!

---

Ok, hat geklappt, die XT4 ist wieder online

[demarque]

Ich würde mich als Betreiber auch hypothetisch darüber freuen, wenn die potentielle Schwachstelle mit dem Hersteller geteilt werden würde und dieser im Sinne der Sicherheit vernünftig damit umgeht (Kooperation, zur Verfügung Stellung von Patches / Gegenmaßnahmen, transparente Kommunikation).

Auf Basis des dargestellten könnte es ja theoretisch allerlei Vektoren bedeuten (bspw. Remote Code Execution, (...)).

Du könntest mal schauen, ob es eine CVD Policy oder bspw. eine security.txt auf deren Website gibt.

Alternativ (auch schon benannt) könntest Du theoretisch Kontakt zu anderen Sicherheitsforschern aufnehmen, die einen ähnlichen Prozess (responsible disclosure) durchlaufen sind und da auch erfahren, wie sich der Hersteller anstellt (oben im Link ist natürlich nur ein Beispiel - es kann sich ja auch um andere handeln). Wenn Du dennoch unsicher wärest, könntest Du dich bspw. auch sicherlich theoretisch beim CCC melden.

[sysalarm]

(01-08-2026 00:22)sicherheitstechnik-siegen schrieb:  Ich habe jetzt mal die letzten drei Std. damit verbracht, die abgespeicherte Konfiguration auf dem EEPROM meiner eigenen XT4 per BF mit John the Ripper anzugreifen. Die Config ist mit einem 8 stelligen Passwort (Alphanumerisch und Sonderzeichen = 46 hoch 46 hoch 46 hoch 46 hoch 46 hoch 46 hoch 46 hoch 46) gesichert. Die Sperrung der XT4 mit Warteschleife bei falscher PW Eingabe greift nicht, da ich die Firmware umgehe. Meine Grafikkarte ist eine RTX 3090TI-24 GB RAM, der derzeitige Fortschrittr wird mir nach drei Std. immer noch mit "weniger als 1%" angezeigt. Ich breche jetzt ab, da die Lüfter meines PC auf Volllast laufen und das nimmt viel Strom.
Mein Rechner würde wohl noch Wochen brauchen, um das 8 stellige mit 256 Bit gesicherte Passwort zu knacken. @MartinH: Soviel zur Theorie und der Praxis.

---

Jetzt muss ich die wieder einlöten und falls das nicht klappt, habe ich wegen dem blödsinnigen Test, meine XT4 zerschossen. Bin gespannt.

---

Ich habe gerade ein Tool bemüht, die mir mit meiner Hardware voraussagt, wie lange mein Rechner benötigt um ein 8 stelliges Alphanumerisches incl. Sonderzeichen Passwort zu hacken. Das Ergebnis liegt bei ca. 6 Tagen. Passwort mit 9 Zeichen = 21 Tage, Passwort mit 10 Zeichen = 105 Tage, Passwort mit 25 Zeichen = 17,3 Milliarden Jahre ( 4,6 × 10⁴⁹ - dann ist es mir egal, ob jemand mein Passwort hackt ).

---

Die Sonne scheint bis dahin übrigens seit 13 Milliarden Jahren nicht mehr. Lasst Euch nicht verrückt machen

---

Tipp außerhalb der Thematik des Alarmforums, für alle, die es ganz sicher mögen. Schützt Euren Windows PC mit Vera Crypt und wenn die Mauseingabe zur Verschleierung der Hashtags kommt, macht Euch zuvor einen Kaffee und kreist ca. 10 Minuten mit Eurer Maus wie wild in dem angezeigten Feld. Spätestens dann, ist mit der Hashtag Auswertung auch nichts mehr zu machen. Euer PC ist unknackbar, solange Ihr lebt. Mein Wort drauf!

---

Ok, hat geklappt, die XT4 ist wieder online

Wieso ‚hoch 46‘? Ist das nicht ‚mal‘?

[sicherheitstechnik-siegen]

Gute Frage. Soweit mir bekannt, wird eine Verschlüsselung als Potenz berechnet, also fortlaufende Multiplikation der ersten Zahl. 46 hoch 25 entspricht laut Google: 14488351543883713501704259841838618776 (39 Stellen). Eine Billionen hat 13 Stellen.
Ich zitiere mal Google:
"Der schnellste klassische Computer der Welt (der Exascale-Supercomputer El Capitan) kann in einer Stunde ca. 10²² bis 10²³ Kombinationen berechnen. 256-Bit-Verschlüsselung per Brute-Force zu knacken, sind jedoch 2²⁵⁶ Versuche notwendig. Das sind etwa 1,15 × 10⁷⁷ Kombinationen.
Das bedeutet: Selbst in einer Stunde berechnet der Supercomputer nur einen winzigen Bruchteil, nämlich etwa 1 Trillionstel (10⁻⁵⁴) der erforderlichen Schlüssel. Um die Gesamtzahl aller Möglichkeiten durchzuprobieren, würde der schnellste Computer der Welt ca. 120 Milliarden Jahre länger benötigen, als das Universum bisher existiert."
Da ich schon Richtung 60 gehe, mache ich mir da keine Sorgen, dass zu meinen Lebzeiten irgend jemand auf meine Festplatte schaut, der es nicht soll

[sysalarm]

Es sind in Deinem Fall bei 8 Stellen und 46 verschiedenen 'Buchstaben' 46*46*46*46*46*46*46*46 Möglichkeiten, also 46 hoch 8, sind rund 2*10hoch13.

Wie kommst Du auf die 46? 26 Buchstaben ohne Umlaute jeweils groß und klein und 10 Ziffern ergäben 62.

[sicherheitstechnik-siegen]

Richtig, auf diesen Fehler bin ich auch schon gestoßen, als ich das Tool genutzt habe. Ich hatte die Großschreibung vergessen
Aber egal wie ich die Zeichen meiner Tastatur zähle, ich komme nie auf 62.

[sysalarm]

a-z = 26, A-Z = 26, 0-9 =10 und die restlichen Zeichen meide ich wegen Verwendung ausländischer Tastaturbelegungen.