Ein Sicherheitsexperte konnte aus der Ferne über das terrestrische Signal eine Schadsoftware auf ein SmartTV-Gerät übertragen. Wie gefährdet sind die Geräte und damit die Verbraucher?
Die jüngst demonstrierte Angriffsmöglichkeit wird von Forschern bereits seit 2013 immer wieder aufgegriffen. Die unter Laborbedingungen erlangten Kenntnisse lassen sich nicht ohne weiteres in reale Angriffe umsetzen. Das liegt daran, dass solche Angriffe immer nur unter spezifischen Bedingungen möglich sind. So muss der Angreifer für jeden Angriffsversuch mit Spezial-Hardware und -Software vor Ort operieren und kann aufgrund der begrenzten Reichweite deshalb immer nur relativ wenige Geräte erreichen. Dazu kommt noch, dass nicht jedes SmartTV-Gerät automatisch verwundbar ist, sondern jeder Angriffsversuch gezielt auf gerätespezifische Sicherheitslücken zugeschnitten werden muss. Diese Einschränkungen machen einen solchen Angriff extrem aufwändig und damit unattraktiv.
Der exemplarische Hack erfolgte durch eine HbbTV-Applikation. Wie (un-)sicher ist der europaweit zertifizierte digitale Videotext-Nachfolger?
Die demonstrierten Hacks stellen keinen Angriff auf HbbTV selbst dar und nutzen keine Sicherheitslücke innerhalb des HbbTV-Standards. HbbTV selbst bietet keine Schnittstellen, die einen Eingriff in die Gerätesoftware oder die Installation von Programmen erlauben würden. HbbTV wird im Rahmen des Hacks lediglich als „Überträger“ genutzt, um Schadsoftware in den SmartTV einzuschleusen und dort beispielsweise über eine manipulierte Videodatei die Playersoftware des SmartTV anzugreifen. Es sind also letztlich die gerätespezifischen Sicherheitslücken der einzelnen Hersteller, die ausgenutzt werden. Dies ist auch ein Grund dafür, warum sich ein solcher Hack nicht einfach flächendeckend anwenden lässt. Insgesamt kann man aber die Nutzung von HbbTV im Verhältnis zu den Angriffsmöglichkeiten, die PCs, Mobiltelefone und Router bieten und die tatsächlich auch immer wieder in erheblichem Umfang genutzt werden, als relativ sicher bezeichnen. Darüber hinaus lässt sich HbbTV auch sicher in einer Art „Sandbox“ implementieren, so dass die Gerätehersteller auch diesen Angriffsvektor dauerhaft schließen können.
Was kann der Zuschauer tun, um sich vor Angriffen zu schützen?
Der Zuschauer, der nicht auf die HbbTV-Angebote verzichten will, kann selbst wenig tun, denn er kann auf TV-Geräten nicht selbst Antivirensoftware oder Software-Patches installieren. Sofern aber immer alle Updates des Herstellers installiert werden, besteht auch kein besonders Risiko für den Zuschauer, da die Anwendungen bei normaler Nutzung nur von den Sendern und aus dem gemanagten Portal des Herstellers kommen. Wenn man mit dem Browser des TV-Geräts also nicht frei im Internet „surft“, ist man vor den üblichen Quellen von Schadsoftware schon mal sicher.
Sehen Sie gesetzlichen Regelungsbedarf? Etwa um die Hersteller zu verpflichten, regelmäßig für einfachere Updates zu sorgen o.ä.?
Es wäre wünschenswert, wenn grundsätzlich für alle mit dem Internet verbindbaren Geräte Sicherheitsupdates über den gesamten Produktlebenszyklus bereitgestellt würden (Stichwort „Internet of Things“). Da über das Internet alle angeschlossenen Geräte miteinander vernetzt sind, reicht eine auf Geräteklassen, wie z. B. SmartTV, eingegrenzte Betrachtungsweise nicht aus. Insbesondere bei Geräten, bei denen der Anwender selbst keinen Zugriff auf das Betriebssystem hat, ist der Kunde direkt vom Hersteller abhängig und auf die zeitgerechte Bereitstellung von Sicherheitsupdates angewiesen. Was aber konkret die Möglichkeit der Einschleusung von Schadsoftware über das terrestrische Signal betrifft, so haben hier mittlerweile die bei HbbTV aktiven Marktteilnehmer – auch unter maßgeblicher Mitwirkung des IRT – bei DVB Anfang 2017 einen Standard fertiggestellt, bei dem durch kryptographische Prüfverfahren eine Manipulation des Sendesignals wirksam verhindert werden. Wir gehen davon aus, dass dieses Verfahren zukünftig von Herstellern integriert wird.
