Die Welt der Heimautomation wird erneut von einem Sicherheitsskandal erschüttert. Nach den Fällen von DJI und Ecovacs ist nun die Marke Shark an der Reihe im Rampenlicht zu stehen. Ein Cybersicherheitsforscher namens tokay0 hat eine massive Sicherheitslücke aufgedeckt, die möglicherweise mehr als 670.000 Geräte betrifft. Das Problem ist kein komplexer Schadcode, sondern ein einfacher Konfigurationsfehler mit katastrophalen Folgen.
Wie kann ein einfacher Schlüssel alle Türen öffnen?
Der eigentliche Ursprung des Problems liegt nicht bei Roboterstaubsaugern sich selbst, sondern in der Verwaltung ihrer Authentifizierung in der Cloud. Der Forscher stellte fest, dass das digitale Zertifikat, das für jedes Gerät einzigartig sein sollte, tatsächlich mit zu weitreichenden Rechten konfiguriert war. Dieses Zertifikat fungiert als echter Hauptschlüssel für alle Geräte in derselben AWS-Cloud-Region ein Konfigurationsfehler mit der Bezeichnung „ kritisch » von Amazon Auditing Services.
Um dies zu beweisen, zerlegte er einfach sein eigenes Gerät und griff auf eine Debug-Konsole zu, die ohne Passwort zurückblieb vom Hersteller überprüft und den Authentifizierungsschlüssel extrahiert. Sobald er in seinem Besitz war, konnte er Datenfeeds von jedem anderen Vakuum abonnieren und ihnen sogar Fernbefehle senden, ein großes Versehen von SharkNinja.
Welche Daten sind tatsächlich bedroht?
Die Risiken für die Privatsphäre sind immens. Durch Ausnutzung dieser Sicherheitslückekann ein Angreifer auf personenbezogene Daten zugreifen äußerst empfindlich. Es ist möglich, den Video-Feed der Bordkamera live anzusehen und so das Gerät in ein Spionagetool im Herzen des Hauses zu verwandeln. Die komplette Karte und detaillierte Wohnungsinformationen sind ebenfalls wiederherstellbar.
Schlimmer noch: Die ID und das Passwort des Heim-WLAN-Netzwerks werden oft im Klartext gespeichert und sind zugänglich. Dies öffnet eine klaffende Lücke in der Cybersicherheit des Hauses, wodurch möglicherweise andere Geräte, die mit demselben Netzwerk verbunden sind, gefährdet werden. Der Forscher bestätigte das Ausmaß des Problems, indem er mehr als 673.000 Geräte identifizierte reagierte auf seine Tests in nur 24 Stunden in einer einzigen Region.
Warum schweigt der Hersteller?
Der besorgniserregendste Aspekt dieser Angelegenheit ist zweifellos die Reaktion bzw. das Ausbleiben einer Reaktionvom Hersteller. Das Unternehmen wurde bereits im März über die Sicherheitslücke informiert. Nach einer Bestätigung brach die Kommunikation ab und mehr als vier Monate später gab es keine Lösung wurde nicht veröffentlicht. Es wurde keine offizielle CVE-ID zugewiesen, sodass der Fehler für viele Sicherheitstools unsichtbar ist.
Diese Untätigkeit wirft ernsthafte Fragen auf, insbesondere im Hinblick auf europäische Vorschriften wie die DSGVO, die einen aktiven Schutz privater Informationen vorschreiben. Während sie auf ein hypothetisches Update warten, besteht die einzig wirksame Lösung für Benutzer darin, ihren Staubsauger vom WLAN zu trennenwodurch ihm die meisten seiner intelligenten Funktionen entzogen werden. Die Korrektur ist jedoch einfach und erfolgt vollständig serverseitig.sodass kein Benutzereingriff erforderlich ist.
Aktualisiert am 20.07.2026 : unten die Reaktion der Marke nach der Veröffentlichung dieses Artikels
SharkNinja hat den Forschungsbericht zu einigen unserer Roboterstaubsauger überprüft. Die identifizierte Schwachstelle wurde von unseren Teams vollständig behoben. Der Schutz der Privatsphäre und die Datensicherheit unserer Verbraucher stehen im Mittelpunkt unserer Prioritäten und wir setzen uns weiterhin voll und ganz dafür ein, diese täglich zu gewährleisten.
