"Produkt ersetzen"
Bund warnt vor Sicherheitslücke in digitalem ABUS-Türschloss
Beim Thema elektronische Türschlösser wird ja regelmäßig auch über die damit verbundenen potenziellen Sicherheitsrisiken diskutiert. Aktuell hat eine Schwachstelle in diesem Bereich sogar das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf den Plan gerufen. Die Behörde warnt vor dem Einsatz des digitalen Türschlosses HomeTec Pro CFA3000 der Marke ABUS und empfiehlt sogar, das Produkt zu ersetzen.
Konkrete Details zu der Schwachstelle werden nicht genannt, allerdings muss die Reaktion des Herstellers ohne Frage irritieren. ABUS hat die Sicherheitslücke dem BSI gegenüber zwar bestätigt, will es allerdings dann darauf offenbar auch beruhen lassen. Der Hersteller verweist darauf, dass es sich bei dem Produkt um ein Auslaufmodell handle, das im vergangenen Jahr durch einen von der Sicherheitslücke nicht betoffenen Nachfolger ersetzt wurde. Auf seiner Webseite präsentiert ABUS aber weiterhin auch noch das kritisierte Modell als „mit maximaler Sicherheit durch AES-128-Bit Verschlüsselung“ ausgestattet und ohne jeden Hinweis auf die Schwachstelle oder den bereits verfügbaren Nachfolger. Das neuere und wohl auch von der Schwachstelle nicht betoffene Modell von ABUS hört auf den Namen HomeTec Pro CFA3100 und präsentiert sich unter anderem mit Bluetooth und App-Anbindung.
Moderne Schlösser bieten zusätzliche Optionen
Zumindest den Umgang des Herstellers mit dieser Tatsache muss man kritisieren. Im Falle von Sicherheitslücken und Problemen wünschen wir uns eine möglichst offene Kommunikation seitens der Unternehmen. Man sollte diesen Vorfall allerdings keineswegs zum Anlass nehmen, diese Produktkategorie an sich zu verdammen. In der Regel liegen hier in der Tat hohe Sicherheitsstandards an, zudem lassen sich moderne elektronische Türschlösser meist so konfigurieren, dass man bei deren Betätigung beispielsweise Push-Mitteilungen oder sonstige Hinweise erhält. In Smarthome-Umgebungen lässt sich dies darüber hinaus zudem mit Kameraaktionen oder dergleichen verknüpfen.
Eher ein Abus typisches problem. Vor ein paar Jahren haben sie das selbe mit ip Kameras gemacht….
Für mich hat sich Abus erledigt…
ABUS ist toll in mechanischen Lösungen. Kommt ne Batterie dazu, wird es meist nix …
Ich habe ja auch mit mechanischen Abus Schlössern so meine Probleme. Habe ein sauteures und sehr schweres Fahrradschloss von denen. Wohl das sicherste Schloss der Welt. Man kommt es sogar mit dem Schlüssel kaum auf .
Nö .. nicht mal in mechanischen Lösungen … Schlüssel mit zu geringen Materialdicken oder falscher Materialwahl sind vielleicht kein Sicherheitsproblem, wohl aber eines für den Besitzer, wenn er wegen abgebrochener Schlüssel nicht mehr in Haus oder Wohnung kommt und dann teure Dienste in Anspruch nehmen muss ,,,
Naja – ich habe schon Lockpicker gesehen, die ein modernes Abus schneller (ohne den Schlüssel) öffnen konnten, als ein Baumarkt-Modell (ein Bestimmtes, natürlich!) …
Auch Abus kocht nur mit warmen Wasser!
Ein Profi Lockpicker bekommt alles auf.
Mich wundert es nicht … Ich verdamme sie zwar nicht, aber irgendwie vertraue ich meinem analogen Schlüssel mehr als solchen digitalen Schlössern.
Sehe ich genauso so, lieber einen analogen Schlüssel – der nicht so leicht angreifbar ist anstatt mit Bluetooth oder WLan potentielle Angriffsziele zu bieten.
Stimmt. Handwerklich geschickte Leute ist mittlerweile Mangelware.
Alle wollen nur noch sauber am Pc arbeiten. Da wir es immer schwieriger mechanische Schlösser zu knacken.
Im gründe sind beide Systeme zu knacken bzw. Aufzubrechen ob Dietrich oder Linux
Es gibt auch unzählige Möglichkeiten so ein digitales Schloss zu knacken.
Klar das muss ein Angreifer auch erst wollen aber wer sich ein teures Schloss leisten kann, hat auch meist was zu Hause
Nur dass man die Schlösser von außen nicht sieht. ;)
Ich Versuch zwar alles digital zu machen aber beim Schloss hört es bei mir auch auf. Nicht mal wegen sicherheitsbedenken (ich gehe einfach davon aus, dass der Großteil der Einbrecher noch klassisch eine Tür öffnen können und wohl eher an einer Programmierung hängen bleiben. Kann mich da aber natürlich irren), sondern mehr wegen der Zuverlässigkeit. Der Schlüssel funktioniert immer und schreit nicht alle paar Monate nach neuen Batterien oder fehlenden Verbindungen.
Schöne neue Welt. Mein Keso-Schloss von 1995 hat immer noch keine Sicherheitslücken…
Doch, einige sogar.
Schau mal bei YouTube lockpicking vorbei.
Keso Schlösser sind in sekundenschnelle offen.
Das gilt laut den Kommentaren darunter nicht für alle Schlösser der Marke.
Definitiv für eins aus dem Jahr 1995.
Ja, glaube nur an YouTube. Alle Videos haben eins gemeinsam: Sie nehmen das billigste Keso 2000. Ab 4000 ist es vorbei. Wir haben das VdS anerkannte (ich glaube das heißt 8000).
Kleine Geschichte dazu: Vor 3 Jahren hat meine Tochter ihren kompletten Schlüsselbund verloren – inkl unseren Haustürschlüssel und Ihnen eigenen Haustür- und Wohnungsschlüssel. Sie hat erst mal in ihrem zu Hause die Tür öffnen lassen – hat 2 min gedauert und der nette Herr vom Schlüsseldienst war drin.
Dann fiel ihr ein, dass Sie in unserem Urlaub sich auch um unsere Blumen kümmern sollte – also nochmal mit dem Schlüsseldienst zu uns. Der kam, sah unser Keso Schloss und ging wieder. Sein Kommentar: Absolut keine Chance. Ich kann höchstens den Schließzylinder aufzubohren, aber das Teil hat einen sehr guten Aufbohrschutz, das dauert ewig – dann kaufen Sie ihren Eltern lieber neue Blumen.
https://youtube.com/shorts/6PGcc7sacgw
„Sicherheit“
Vor digitalen Türschlössern sollte jeder die Finger lassen! Alles in der Richtung ist nicht sicher.
Normale Türschlösser auch nicht.
Sicher gibt es kein 100% sicheres Zylinderschloss. Aber mit digitalen Schlössern baue ich praktisch noch min. 2 zusätzliche Angriffspunkte ein.
Wir haben Shelly + Fingerprinter / HomeKit.
Wenn jemand die Tür mit dem normalen Türschloss öffnet, löst die Alarmanlage aus.
Steile These @Jens
Kein Schloss ist sicher. Wenn man mit „sicher“, 100%-ig sicher meint, gibt es das nicht. Schau dir mein Türschloss an, dann wirst du, wie ich der Meinung sein, dass es unerheblich ist, ob es ein mechanisches oder ein digitales Schließsystem ist. Die Sicherheitslücken sind woanders.
Egal ob Digital oder analog. Wenn der Einbrecher rein will ist es meistens schneller die Tür aufzuhebeln oder das Schloss zu knacken.
Da ist es egal ob analog oder digital.
Ich glaube bei Abus haben auch die Betriebswirtschaftler das Ruder übernommen. Dabei hatten die mal einen guten Namen.
Nur solange das nicht dritte (die nicht geschmiert wurden) getestet haben.
Welche Bank nutzt denn einen Tresor von Abus?
Was mich interessieren würde, ist, ob das Produkt FCA3000 (elektrischer Balkontürgriff) ebenfalls betroffen ist, da hier zumindest die gleichen Steuerungen (wie bspw. CFT3000) verwendet werden.
Ich habe Abus soeben angeschrieben. Mal schauen, was als Feedback kommt.
Ich bin mal gespannt…
Ich habe das letzte Woche erst installiert. Ist die Frage, ob das unter eine „Garantie“ fällt.
Da bin ich auch mal gespannt.
Dann ist der Terrassentür-Antrieb FCA3000 aus dem selben Hause ja auch wohl betroffen, nehme ich an.
Abverkauf ist wichtiger als Sicherheit. Kasse muss halt stimmen.
das wäre wohl eigentlich ein Fall für einen Produktrückruf.
Genau. Und nicht lapidar sagen: Das ist ein Auslaufmodell.
Als misogynes von Religioten geführtes Unternehmen gehört ABUS eh boykottiert ️ https://www.sueddeutsche.de/wirtschaft/abus-unternehmer-religion-1.4493053
Leider Paywall. Aber gut zu wissen, dann werde ich künftig keine Abus-Produkte mehr kaufen. Danke, Justus.
Eine Gründerfamilie INNERHALB IHRER Familie/ eigenen Firma tickt so….Leute regen sich auf?
Jede Kirche und Moschee macht das doch seit 2000 Jahren…dann halb so wild.
Atheisten a la Philipp Möller fehlen in jeder Talkshow…zu viele Deutsche liberale und grüne Akademiker / Politiker die den Säkularismus gar nicht mehr schätzen.
Er wird auch zu wenig in der Gesellschaft gelebt, in der Schule unterrichtet.
Religion = größte tolerierte Fake News.
Na da bleib ich mal schön bei meinem Nuki.
Wie sagte mal ein Sicherheitsexperte, JEDES Schloß ist zu Knacken, es kommt nur darauf an, wie lange man braucht.
Ich bin ein Spielkind wie man so sagt aber ein elektrische Türschloss würde ich mir nie einbauen
Wieso denn nicht?
Die Tür macht der Einbrecher bei beide auf. Selten setzen die sich hin und „hacken“ das Schloss.
Da ist der Zylinder nach wie der Weg der Wahl.
In wie viele Wohnungen wird Deutschland weit eingebrochen? 3% im Jahr? Eventuell weniger? Man sollte hier wohl eher schauen was man so bei den anderen Tagen macht. Die Wahrscheinlichkeit, dass du keine Verbindung zum smarten Schloss (fehlende Funk Abdeckung, Batterie leer, defekt) aufbauen kannst ist wohl höher als einen Einbrecher in der Wohnung zu haben. Dinge die dir mit einem klassischen Schlüssel eher seltener passieren.
Digitalisierung schön und gut, aber ein Türschloss gehört nicht in’s Internet!
diese Version ist ohne verbindung ins Internet.
Verbrecher sind mit dem Dietrich schneller als es zu hacken :) also keine Angst
Verbrecher mit Dietrich haben aber meist nur eine Tür vor sich und nicht Hunderte!
Ich habe das Fahrradschloss mit Alarmfunktion von ABUS, ausschließlich mit der App bzw. iPhone zu offenen (muss dazu in der Nähe sein). Schlecht programmiert, nur jeder 2te Öffnungsversuch funktioniert problemlos, regelmässige Alarme beim öffnen erheitern meinen Freundeskreis. Nie wieder! Deutsche Firmen und Apps? Das ist meist Murks.
Wenn es wenigstens deutsche Software gewesen wäre…
Bei den Kameras hatte abus keinen Zugriff mehr auf den Code des Chin. Zulieferers und deshalb konnten sie nix mehr beheben… ohne worte
So blöd es auch klingt. Klar ist jedes Türschloss ob Analog oder Digital nie sicher. Aber der große Vorteil der analogen Schlösser sind die Spuren vom Aufbruchwerkzeug.
Überzeuge doch mal die Polizei/Versicherung das bei Dir eingebrochen wurde. Dann ist es wie mit den Kreditkarten usw. Digital Ostsee halt schwierig den entsprechenden Beweis zu bringen meiner Meinung nach.
Gutes Argument!
Nein ist es nicht. Beweislastumkehr … Die müssen das Gegenteil beweisen, nicht du…
Das ist Blödsinn! Du willst, dass die Versicherung dich entschädigt, also musst du auch beweisen, dass du geschädigt wurdest.
Richtig gemacht hast du auch bei klassischen Schlössern keine Einbruchsspuren.
Man hat aber Bohrer/Schraubenzieher im Haus.
Gibt nichts schlimmeres, als bestohlen zu werden und dann Ärger mit der Versicherung zu haben, weil die Polizei keine Spuren gefunden hat.
Just my 2 cents
Digitale Produkte erfordern permanent Updates um Sicherheitslücken zu schließen. Da genügt es nicht, auf einen Nachfolger zu verweisen, denn viel Produkte (hier die digitalen Schlösser, andererseits irgendwelche Drucker, Internet-Router, Wifi-Accesspoints…) sind auch lange nach EOL im Einsatz. Eigentlich gehören die Hersteller verpflichtet, solange ein Produkt eingesetzt werden kann, Updates zu liefern. Nur weil ein Produkt nicht mehr unterstützt wird, keine Updates mehr anzubieten ist ein Unding der IoT-Ära. Ein Produkt sollte Updates erhalten, so lange es „lebt“ und nicht solange ein Hersteller meint es am Leben halten zu müssen. Das ist das Grund-Problem der digitalen Welt.
Oder sollte man Autos nach 5 Jahren verschrotten weil zu alt? Zu hohe Abgaswerte, zu hoher Verbrauch, kein Sicherheitsgewinn mehr? Oder generell alle Internet-Router nach 2 Jahren verschrotten weil dann der Hersteller ein neues Modell verkauft? Ernsthaft, welche Innovation gibt es im Bereich digitaler Schlösser, Internet-Router oder Smartphones aktuell noch? Viele Bereiche der digitalen Welt sind erschlossen und ausentwickelt. Geld läßt sich einzig über eine mehr oder weniger fest definierte Nutzungsdauer (nicht transparent dem Kunden gegenüber) verdienen. Oder es entstehen Sicherheitslücken (wie hier) aufgrund mangelnder Kommunikation und fehlenden Sicherheits-Updates weil die Software EOL ist.
Eine Frechheit ist diese Vorgehensweise von ABUS auf jeden Fall.
Ich bin mit meinem AirKey-Zylinder von EVVA mega zufrieden. Ich öffne via Bluetooth, NFC oder Transponder, je nachdem, was ich gerade zur Hand habe. Die Berechtigungen verwalte ich in einer Software, die ich in der Cloud von überall erreichen kann. Außerdem kann ich daraus Schlüssel via SMS an andere Smartphones schicken. Mega Produkt
Tja, manchmal ist analog-mechanisch doch einfach vorzuziehen.
hier die Antwort zur Frage, ob ich nun Elektroschrott besitze von ABUS. Natürlich sieht man von außen was ich habe da ich ja ein Tastatur an der Tür habe.
Sehr geehrter Herr ******
vielen Dank für Ihre E-Mail.
Sie haben sich mit einer Frage zum Türschlossantrieb CFA3000 an uns gewendet.
Eine illegale Manipulation des Funk-Antriebs CFA3000 in der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erwähnten Art würde in der Praxis eine Reihe von verschiedenen und aufeinander aufbauenden Handlungen erfordern:
Ein möglicher Angreifer muss wissen, dass das Produkt auf der (von außen nicht sichtbaren) Türinnenseite von Haus oder Wohnung installiert ist.
Ein möglicher Angreifer muss sich, um ein entsprechendes Signal abfangen zu können, in unmittelbarer Nähe zum Produkt, zur Haustür und zum Bedienenden während des Öffnungs- bzw. Schließvorgangs befinden.
Ein möglicher Angreifer benötigt umfangreiches und tiefgehendes elektrotechnisches Know-How sowie Equipment und Programmiererfahrung für einen „erfolgversprechenden“ Angriff.
Zudem sind die bekannten Einbruchmethoden, wie z.B. das Aufhebeln, deutlich schneller und unkomplizierter.
Die obigen Punkte zeigen, dass eine Manipulation des Schlosses nur mit einer hohen kriminellen Energie, entsprechendem Equipment und elektrotechnischem Know-how, sowie der unmittelbaren Nähe des Angreifers zum Produkt während des eigentlichen Öffnungs- bzw. Schließvorgangs stattfinden kann. Uns ist kein Fall bekannt, bei dem sich fremde Dritte auf diesem Wege unberechtigten Zutritt zu einer Wohnung oder einem Haus verschafft haben.
Aus diesen Gründen kommen wir zu der Einschätzung, dass Sie das Produkt weiterhin mit dem guten Gefühl der Sicherheit nutzen können.
Die HomeTec Pro 3100er Generation, welche Bluetooth als Funkprotokoll nutzt und darüber hinaus mit der ABUS Smart X Technologie ausgestattet ist, ist von der Warnung des BSI nicht betroffen.
Wenn Sie noch Fragen haben sollten, so zögern Sie bitte nicht auf diese E-Mail zu antworten oder uns anzurufen. Wir sind stets für Sie da.