Empfehlungen

Lernziel

Nach dieser Seite kennst du konkrete, priorisierte Handlungsempfehlungen für alle Beteiligten im BLE-Ökosystem — von Verbrauchern bis zu Gesetzgebern.

Einleitung

Die Analyse von drei Consumer-IoT-Geräten hat gezeigt: Sicherheit ist im BLE-Bereich die Ausnahme, nicht die Regel. Hardkodierte Schlüssel, fehlende Authentifizierung und unverschlüsselte GATT-Daten sind keine Einzelfälle — sie sind systemische Probleme.

Die gute Nachricht: Die meisten Schwachstellen sind behebbar. Die Empfehlungen auf dieser Seite zeigen, wer was tun kann — und was den größten Unterschied macht.

Für Verbraucher

Als Käufer smarter Geräte hast du weniger Kontrolle als Hersteller — aber nicht null Kontrolle.

Sofortmaßnahmen

Netzwerk-Segmentierung: IoT-Geräte in ein separates WLAN (Gast-Netzwerk oder IoT-VLAN) auslagern. So kann ein kompromittiertes Gerät nicht auf andere Geräte im Heimnetz zugreifen.

Heimnetzwerk-Setup:
├── Hauptnetz (Laptops, Smartphones)
├── IoT-VLAN (Lampen, Waagen, Fitness-Tracker)
└── Gastnetz (Besucher)

Informierter Kauf: Achte auf Sicherheits-Zertifizierungen:

• UK PSTI-Konformitätsaussage (ab 2024 Pflicht in UK)
• BSI-Sicherheitskennzeichen (Deutschland)
• Matter-Zertifizierung (CSA-geprüfte Interoperabilität und Sicherheits-Baseline)

Gerät vor Kauf prüfen: Installiere nRF Connect (kostenlose App) und scanne nach dem Gerät. Wenn Characteristics als "Open" angezeigt werden (kein Schloss-Symbol), kann jeder in der Nähe darauf schreiben — ohne Pairing.

DSGVO-Rechte wahrnehmen:

• Art. 15 DSGVO: Auskunftsrecht — frage den Hersteller, welche Daten über dich gespeichert werden
• Art. 17 DSGVO: Recht auf Löschung ("Recht auf Vergessenwerden")
• Bei Körperwaagen mit Gesundheitsdaten: Art. 9 DSGVO bietet besonders starken Schutz

Für Hersteller

Hersteller haben die größte Hebelwirkung. Die meisten der gefundenen Schwachstellen ließen sich mit wenigen Code-Änderungen beheben.

Kurzfristige Maßnahmen (Sofort, 0–3 Monate)

Diese Maßnahmen kosten wenig Zeit und haben großen Wirkung:

Mittelfristige Maßnahmen (1–6 Monate)

CRA-Compliance-Roadmap: Der EU Cyber Resilience Act (CRA) wird ab Dezember 2025 schrittweise verpflichtend. Bußgelder: bis zu €15 Mio. oder 2,5 % des globalen Jahresumsatzes.

Pflichten des CRA:

1. Vulnerability Disclosure Policy (VDP) nach ISO/IEC 29147: Formaler Prozess, wie Sicherheitsforscher Schwachstellen melden können
2. 24h-Incident-Notification: Behörden müssen innerhalb von 24 Stunden über ausgenutzte Schwachstellen informiert werden
3. SBOM (Software Bill of Materials): Vollständige Liste aller Softwarekomponenten
4. 5-Jahres-Update-Verpflichtung: Sicherheitsupdates für mindestens 5 Jahre nach Markteinführung

Langfristige Maßnahmen (6–18 Monate)

Zertifizierungen:

Secure Development Lifecycle (SDL):

• OWASP Threat Dragon für Bedrohungsmodellierung
• Semgrep für statische Codeanalyse (findet hardkodierte Schlüssel automatisch)
• Automatisierte BLE-Tests in CI/CD-Pipeline

iOS-Lücke schließen: Die Analyse fokussierte sich auf Android. iOS-Apps derselben Geräte wurden nicht analysiert. Empfehlung: Frida-basierte Analyse oder Corellium für iOS-Emulation.

Für Regulatoren

Regulatoren haben die Aufgabe, einen fairen Markt zu schaffen, in dem Sicherheit nicht als optionaler Zusatz, sondern als Grundvoraussetzung gilt.

Kurzfristig: Risiko-basierte CRA-Durchsetzung

Nicht alle IoT-Geräte sind gleich riskant. Priorität für Durchsetzung:

1. Gesundheits-IoT (Körperwaagen, Glukose-Monitore, Herzmonitore): Artikel-9-DSGVO-Daten
2. CRA Important Class II (z. B. Türschlösser, Sicherheitskameras): Erhöhtes Risikopotenzial
3. Allgemeine Consumer-IoT (Lampen, Lautsprecher): Basislinie

Importeur-Haftung nutzen: Wenn der Originalhersteller außerhalb der EU ist (z. B. China), haftet der EU-Importeur für CRA-Konformität. Das ist ein wirksamer Hebel.

Mittelfristig: Koordination und Harmonisierung

DSGVO-CRA-Koordination: Für Gesundheits-IoT überlappen sich DSGVO (Datenschutz) und CRA (Produktsicherheit). Klare Zuständigkeiten zwischen Datenschutzbehörden und Marktüberwachungsbehörden schaffen.

Internationale Harmonisierung:

• Mutual Recognition Agreements (MRAs) mit UK PSTI und US Cyber Trust Mark
• Verhindert doppelte Zertifizierungskosten für Hersteller
• Beschleunigt globale Sicherheitsanhebung

Langfristig: Abgestufte Sicherheitskennzeichnung

Ähnlich wie Energieeffizienz-Labels (A++ bis G) ein abgestuftes Sicherheitslabel einführen:

• Verbraucher können Sicherheitsniveau auf einen Blick erkennen
• Hersteller haben Anreiz, höhere Label-Stufen zu erreichen
• Markt reguliert sich teilweise selbst

Für die Forschung

Die Analyse hat Lücken aufgezeigt, die weitere Forschung verdienen.

Automatisierte Großanalysen

Problem: Diese Analyse untersuchte 3 Geräte manuell. Tausende BLE-Geräte sind auf dem Markt.

Lösungsansatz: MobSF REST API für automatisierte APK-Analyse kombiniert mit automatisiertem BLE-Scanning via Python/bleak. Ein solches System könnte Hunderte Apps auf bekannte Schwachstellenmuster scannen.

# Pseudocode: Automatisierter APK-Scan
from mobsf_api import MobSF

for apk in apk_database:
    result = MobSF.scan(apk)
    if result.contains_hardcoded_keys():
        report(apk, "CWE-321: Hardcoded Cryptographic Key")

iOS-Analyse-Lücke

Problem: iOS-Apps waren in dieser Analyse nicht zugänglich (kein Jailbreak, kein Quellcode).

Methoden für zukünftige Forschung:

• Frida auf gejailbreaktem iPhone für dynamische Instrumentierung
• Corellium für iOS-Emulation ohne physisches Gerät
• Ghidra für statische Analyse von iOS-Binärdateien (ARM64)

Matter-Protokoll-Sicherheit

Matter ist der neue IoT-Standard (seit 2022), der BLE für das Commissioning (Ersteinrichtung) verwendet. Die Sicherheitsmechanismen PASE (Passcode Authenticated Session Establishment) und CASE (Certificate Authenticated Session Establishment) wurden noch nicht ausreichend öffentlich analysiert.

Forschungsfragen:

• Sind Matter-Implementierungen der verschiedenen Hersteller konform?
• Gibt es Schwachstellen in PASE analog zu BLE "Just Works"?

BLE 6.0 Channel Sounding

BLE 6.0 (2024) führt Channel Sounding ein — eine präzise Entfernungsmessung via Laufzeitmessung. Sicherheitsimplikationen für Zugangssysteme (Türschlösser via BLE-Abstand) sind noch nicht vollständig erforscht.

Disclosure-Kalibrierung

Wie lange sollte die Offenlegungsfrist sein?

• 30 Tage: Bestätigung der Meldung
• 90 Tage: Patch bereitstellen
• 180 Tage: Öffentliche Offenlegung (wenn kein Patch)

Forschungsbedarf: Empirische Daten, wie lange Hersteller im IoT-Bereich tatsächlich für Patches brauchen.

Priorisierungs-Matrix

Zusammenfassung

• Verbraucher: Netzwerk-Segmentierung, informierter Kauf (PSA/Matter), DSGVO-Rechte
• Hersteller: Sofort LESC + GATT-Permissions + AES-CCM; mittelfristig CRA-Compliance
• Regulatoren: Risiko-basierte CRA-Durchsetzung, Importeur-Haftung, abgestufte Labels
• Forschung: Automatisierte Großanalysen, iOS-Lücke, Matter-Sicherheit, BLE 6.0
• Die wirksamste Einzelmaßnahme: LE Secure Connections aktivieren — kostet wenig, schützt viel