{"id":9406,"date":"2019-07-09T15:17:27","date_gmt":"2019-07-09T13:17:27","guid":{"rendered":"https:\/\/www.wespeakiot.com\/?p=9406"},"modified":"2019-07-10T13:25:20","modified_gmt":"2019-07-10T11:25:20","slug":"das-orvibo-desaster-milliarden-kundendaten-geleaked","status":"publish","type":"post","link":"https:\/\/www.wespeakiot.com\/de\/das-orvibo-desaster-milliarden-kundendaten-geleaked\/","title":{"rendered":"Das Orvibo Desaster: Milliarden Kundendaten geleaked"},"content":{"rendered":"
Graphik: Pixabay\/ab - <\/span> Orvibo Datenleak<\/span><\/div>\n

In den vergangenen Wochen gab es erneut zahlreiche Warnungen zu Sicherheitsrisiken im IoT. Das unl\u00e4ngst entdeckte Orvibo Datenleck stellt die meisten davon in den Schatten.<\/h2>\n

Erst k\u00fcrzlich machte die neue Silex Malware<\/a> auf sich aufmerksam \u2013 sie greift auf verschiedenen Wegen potentiell verwundbare IoT-Ger\u00e4te an; versucht Exploits und die Bequemlichkeit der Nutzer auszunutzen, um sich Zugang zu verschaffen und Ger\u00e4te lahmzulegen.<\/p>\n

Haarstr\u00e4ubende Schwachstellen<\/a> fanden Sicherheitsforscher auch in Smart Home Produkten des osteurop\u00e4ischen Herstellers Zipato. Mit geringem Aufwand lassen sich aus der Kommunikation der Smart Home Ger\u00e4te mit der Cloud bzw. dem Internet Schl\u00fcsseldaten auslesen, die im schlimmsten Fall dazu f\u00fchren, dass Angreifer Root-Rechte auf dem Ger\u00e4t erlangen k\u00f6nnen.<\/p>\n

Angriffe von Silex und Hacks auf Zipato Ger\u00e4te setzen jedoch voraus, dass potentielle Angreifer \u00fcber ein gewisses Ma\u00df an technischem Sachverstand verf\u00fcgen. Dar\u00fcber hinaus m\u00fcssen Standort und digitale Zugangswege zun\u00e4chst ermittelt werden.<\/p>\n

2 Milliarden Datens\u00e4tze geleaked<\/h3>\n

Das Expertenteam f\u00fcr Cybersicherheit von vpn Mentor<\/a> – unter der Leitung von Noam Rotem und Ran Locar – entdeckte eine offene Datenbank, die mit Orvibo Smart Home Produkten verkn\u00fcpft war. Die Datenbank enth\u00e4lt \u00fcber 2 Milliarden Protokolle, die alles von Benutzernamen, E-Mail-Adressen und Passw\u00f6rtern – bis hin zu genauen Orten erfassen.<\/p>\n

Orvibo gibt an, \u00fcber eine Million Benutzer bzw. Kunden zu haben. Dazu geh\u00f6ren Privatpersonen, die ihre H\u00e4user vernetzt haben – sowie Hotels und andere Unternehmen mit Orvibo Smart Home Ger\u00e4ten.<\/p>\n

Das Leak stellt eine massive Verletzung der Privatsph\u00e4re und Sicherheit mit weitreichenden Auswirkungen dar.\u00a0 Die Datenschutzverletzung betrifft Benutzer aus der ganzen Welt. vpn Mentor fand im Laufe der weiteren Analyse der Datenbank Protokolle f\u00fcr Benutzer aus u.a. China, Japan, Thailand, den USA, Gro\u00dfbritannien, Mexiko, Frankreich, Australien und Brasilien. Gleichwohl sind auch s\u00e4mtliche Kunden aus nicht in der Auflistung erw\u00e4hnten L\u00e4ndern betroffen.<\/p>\n

vpn Mentor kontaktierte Orvibo nach Auffinden des Leaks erstmals am 16. Juni 2019 per E-Mail. Wider Erwarten reagierte der Anbieter mehrere Tage lang nicht. Auch auf den nachfolgenden Hinweis \u00fcber den Kurznachrichtendienst Twitter reagierte Orvibo zun\u00e4chst nicht. Erst am 02. Juli 2019 \u2013 \u00fcber 2 Wochen nach Ver\u00f6ffentlichung des Leaks \u2013 war die Datenbank nicht mehr zu erreichen.<\/p>\n

Das Unternehmen verkauft ein Portfolio von \u00fcber 100 sensiblen L\u00f6sungen f\u00fcr Energie- und Sicherheitstechnik, Beleuchtungstechnik, Wohnraum-Freizeitger\u00e4te und Klimatisierungl\u00f6sungen. Orvibo Produkte kommen in Privat\u00e4usern, an Arbeitspl\u00e4tzen und auch Hotel und Gastst\u00e4tten zum Einsatz.<\/p>\n

Neben den einleitenden schon erw\u00e4hnten Informationen finden sich in der Orvibo Datenbank auch viele weitere K\u00e4uferinformationen: Neben E-Mail-Adressen, Passw\u00f6rter, Geolokalisierung der Nutzer, auch Gespr\u00e4chsdaten, die mit sensiblen Kameras aufgezeichnet wurden, sowie Benutzernamen und IDs, IP-Adressen, Konto-Reset-Codes, Systemnamen. Dar\u00fcber hinaus waren auch Logindaten von Gadgets, die auf Konten, Zeitpl\u00e4ne und Haushaltsnamen und IDs zugreifen, in der Datenbank hinterlegt.<\/p>\n

Orvibo verst\u00f6\u00dft in so gro\u00dfem Umfang gegen u.a. die Datenschutz-Grundverordnung der EU<\/a> \u2013 rechtliche Ma\u00dfnahmen d\u00fcrften nicht lange auf sich warten lassen. Die jedoch werden aktuell betroffenen Nutzern, deren Daten m\u00f6glicherweise durch das Leak in die H\u00e4nde Dritter geraten sein k\u00f6nnten, wenig.<\/p>\n

Wer k\u00fcrzlich ein Produkt von Orvino oder Zipato erworben \u2013 oder ein IoT Ger\u00e4t anderer Hersteller in Betrieb genommen hat und sich unsicher ist, ob das Ger\u00e4t ausreichend gesch\u00fctzt ist, dem seien erneut die einfachsten Ma\u00dfnahmen zur Erh\u00f6hung der Sicherheit an Herz gelegt:<\/p>\n