Du denkst, dein IoT-Kram ist harmlos: ein Thermometer, ein
Staubsaugerroboter, ein bisschen Smart Home. Aber was, wenn genau
diese Geräte der perfekte Tunnel aus deinem Netzwerk sind, weil
sie selten sauber segmentiert werden, kaum jemand Egress Traffic
prüft und Authentifizierung oft mit Autorisierung verwechselt
wird?
In dieser Episode nehmen wir drei Sicherheitsvorfälle auseinander
und ziehen konkrete Learnings daraus:
Den Aquarium-Thermometer-Case im Casino mit ungewöhnlichem
Outbound Traffic, alternative Exfiltration Kanäle und die Frage,
ob IoT wirklich das Einfallstor war oder eher der Exit.
Ein Jeep Cherokee Hack von 2015, inklusive offenen Port 6667,
DBus-Zugriff, Firmware ohne Signierung, CAN-Bus und einem
Diagnosemodus, der plötzlich die Bremsen ausknipst.
Ein MQTT Case rund um Staubsaugerroboter, Pub/Sub, Wildcards
und fehlende ACLs, also Mandantenisolierung zum Weglaufen.
Am Ende bleibt eine unbequeme, aber sehr praktische Checkliste:
Segmentierung, Zero Trust, Least Privilege, Monitoring und
Logging, Secure Boot und vor allem Egress Traffic als First Class
Control.
Und jetzt Hand aufs Herz: Was ist deine beste Ausrede, warum dein
Netzwerk noch nicht segmentiert ist?
Unsere aktuellen Werbepartner findest du auf
https://engineeringkiosk.dev/partners
Das schnelle Feedback zur Episode:
(top) (geht
so)
Anregungen, Gedanken, Themen und Wünsche
Dein Feedback zählt! Erreiche uns über einen der folgenden Kanäle
…
EngKiosk Community:
https://engineeringkiosk.dev/join-discord
LinkedIn: https://www.linkedin.com/company/engineering-kiosk/
Email: stehtisch@engineeringkiosk.dev
Mastodon: https://podcasts.social/@engkiosk
Bluesky:
https://bsky.app/profile/engineeringkiosk.bsky.social
Instagram: https://www.instagram.com/engineeringkiosk/
Unterstütze den Engineering Kiosk
Wenn du uns etwas Gutes tun möchtest … Kaffee schmeckt uns
immer
Buy us a coffee: https://engineeringkiosk.dev/kaffee
Links
ACM Einteilung der Informatik: https://dl.acm.org/ccs
Security Week “Hacked Smart Fish Tank Exfiltrated Data to
‘Rare External Destination’”:
https://www.securityweek.com/hacked-smart-fish-tank-exfiltrated-data-rare-external-destination/
Washington Post “How a fish tank helped hack a casino”:
https://www.washingtonpost.com/news/innovations/wp/2017/07/21/how-a-fish-tank-helped-hack-a-casino/
Casino Breach - Cyberthrowback Fish Tank Hack:
https://rootcat.de/blog/fishtank_jul21/
MITRE ATT&CK Database: https://attack.mitre.org/
OWASP Top 10:2025: https://owasp.org/Top10/2025/
Remote Exploitation of an Unaltered Passenger Vehicle
(IOActive whitepaper):
https://www.ioactive.com/wp-content/uploads/pdfs/IOActive_Remote_Car_Hacking.pdf
Fiat Chrysler Automobiles UConnect allows a vehicle to be
remotely controlled: https://www.kb.cert.org/vuls/id/819439
CVE-2015-5611:
https://nvd.nist.gov/vuln/detail/CVE-2015-5611
Hackers Remotely Kill a Jeep on the Highway—With Me in It:
https://www.wired.com/2015/07/hackers-remotely-kill-jeep-highway/
After Jeep Hack, Chrysler Recalls 1.4M Vehicles for Bug Fix:
https://www.wired.com/2015/07/jeep-hack-chrysler-recalls-1-4m-vehicles-bug-fix/
Man accidentally gains control of 7,000 robot vacuums:
https://www.popsci.com/technology/robot-vacuum-army/
The DJI Romo robovac had security so poor, this man remotely
accessed thousands of them:
https://www.theverge.com/tech/879088/dji-romo-hack-vulnerability-remote-control-camera-access-mqtt
Sprungmarken
(00:00:00) Warum IT Security oft erst auffällt, wenn es knallt
(00:04:44) Info/Werbung
(00:05:44) Warum IT Security oft erst auffällt, wenn es knallt
(00:06:14) Hack 1: Aquarium-IoT im Casino und 10 GB Datenabfluss
(00:31:23) Hack 2: Jeep Cherokee, offener Port, D-Bus und CAN-Bus
(00:47:18) Hack 3: DJI Staubsaugerroboter, MQTT und fehlende
Autorisierung
(00:52:47) Was du daraus mitnimmst: Authentifizierung,
Autorisierung, Segmentierung
Hosts
Wolfgang Gassler (https://gassler.dev)
Andy Grunwald (https://andygrunwald.com/)
Community
Diskutiere mit uns und vielen anderen Tech-Spezialist⋅innen in
unserer Engineering Kiosk Community unter
https://engineeringkiosk.dev/join-discord
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.