ABUS: BSI warnt vor dem Einsatz unsicherer Funk-Türschlösser
von caschy | 47 Kommentare
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt aktuell vor dem Einsatz des digitalen Türschlosses „HomeTec Pro CFA3000“ des Herstellers ABUS und empfiehlt, das Produkt zu ersetzen.
Eine Schwachstelle im Funk-Türschlossantrieb des HomeTec Pro CFA3000 führt nach Erkenntnissen des BSI dazu, dass Angreifer, die sich in der Nähe befinden, bei Ausnutzung der Schwachstelle das Funkschloss ver- und entriegeln und sich damit unbefugt Zugang zu Gebäuden, Büroräumen oder Wohnungen verschaffen können.
Das Unternehmen ABUS hat die Schwachstelle gegenüber dem BSI bestätigt und mitgeteilt, dass es sich bei dem untersuchten Produkt um ein Auslaufmodell handele, welches seit März 2021 durch ein Nachfolgemodell ersetzt werde. Das sichere Nachfolgemodell sei unter anderem an einer beiliegenden Keycard mit einem jeweils einzigartigen QR-Code zu erkennen; außerdem seien bei der neuen Ausführung Produkt und Verpackung mit dem Bluetooth-Logo bedruckt.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Da hilft auch kein Gott mehr, aber die Werbung für genau das Schloss mitten im Artikel ist schon lustig.
Ich nehme an, dass das das angekündigte Nachfolgemodell (mit W am Ende) ist.
Aber ich frage mich, was uns die Mitteilung des Herstellers sagen soll? „Wird nicht gefixt, kauft euch ein neues Schloss.“? Wobei natürlich die Frage wäre, ob man es überhaupt fixen könnte.
Man kann es softwareseitig nicht fixen.
Es ist keine Schnittstelle enthalten, um die fehlerhafte Software zu updaten
Warum hilft hier „kein Gott mehr“?
Ist klar, am besten, wie bei unserem restlichen geliebten Technikzeug üblich, alle paar Jahre ein neues Schloss kaufen. Updates gibt es dann ja auch nicht mehr… 😀
Diesen Trend beobachte ich in vielen Bereichen – ob E-Bikes, E-Roller, Smarthome uvm.
Hauptsache smart, aber schon nach ein paar Jahren gibt es keine Updates oder Ersatzteile mehr.
Zumindest achte ich mittlerweile sehr darauf bei Anschaffungen.
Echt klasse! Vor 6 Wochen gekauft, Händler nimmt es nicht mehr zurück und jetzt ab in die Tonne? Mehr als ärgerlich ohne Tauschaktion.
Dann verlang doch eine Nachbesserung. Auch wenn hier schon geschrieben wurde, dass der Zweck ja erfüllt wird, indem man es per Handy öffnen kann, sehe ich persönlich bei einem Türschloss auch als Hauptzweck, unerwünschten Personen den Zutritt zu verweigern an und der ist ja offenbar nicht sicher gegeben.
Und da der Händler eine Nachbesserung offenbar nicht anbieten kann (Peter schrieb etwas weiter oben, dass ein Fix nicht eingespielt werden kann, dem glaube ich jetzt einfach mal), muss er dir früher oder später eine Rücknahme anbieten.
Würde mich allerdings nicht wundern, wenn irgendwelche Gerichte anders urteilen würden, weil die Sicherheit bei einem Türschloss vielleicht doch nicht Haupt-Verwendungszweck ist.
hmm … da stellt sich mir die Frage, ob auch das FCA3000 betroffen ist. Das nutzt quasi den selben Funk-Standard. Mein Modell, gekauft am 22.9.2021 hat kein Bluetooth-Symbol auf der Packung…
Wo liegt nun genau die Schwachstelle?
Würde mich auch Interessieren, hab auch 2 mal den Fensterantrieb Abus HomeTec Pro FCA3000
Aber die Serie hat ja, kein Bluetooth und kein WLAN. Sondern funken sind auf 868 Mhz oder so.
Hallo,
Laut Aussage des Kundenservice‘ von Abus (heute morgen angerufen) sind die Systeme identisch, die Schwachstelle ist also auch vorhanden.
Also soll das ein Witz sein?
Ich kaufe ein Schloss für 150 eur.
Paar Monate später stellt sich heraus, dass es ne SIcherheitslücke gibt und die Empfehlung ist, ein neues zu kaufen? WAT?
Sehr langfristig bleibe ich bei der analogen Variante.
Hallo Lars, ja auch ich habe kein Problem einen Schlüssel aus metall in ein Schloß zu stecken und umzudrehen – warum soll man das motorisieren oder smart machen? Hat Jahrhunderte auch so funktioniert. Sogar ohne Strom und ohne netzwerk. Bei den vielen Sicherheitsrisiken – s. Video-Ident- wäre ich in vielen Bereichen , immer dann nämlich wenn es um sehr persönliche Sicherheit oder Daten geht , für ein zurück zum Papier , dem mechanischen
Äquivalent das stromlos funktioniert und statt online-Plattform zu einem Büro, wo ich mich in Person gegenüber einem Mitarbeitenden vorstelle, mein anliegen vorbringe und mich ausweise. Schafft erstens Arbeitsplätze , zweitens geht man mal wieder raus und drittens ist face-to face immer noch am sichersten wenn es z. B. um ein Rezept, ein Artztgespräch, einen Kreditantrag oder eine Steuererklärung geht. Für reines Enter- und Info-Tainment neehme ich gern digital und smart – aber da hängt ja auch nix von ab. Bin also kein Technik-Verweigerer , überlege mir aber gut wo und wann ich was einsetze oder nicht. Gleiches gilt fürs Bezahlen – von wegen ohne digitale Spuren = Bargeld . Bei einem mechanischem Schloß kann z. B. nicht protokolliert werden wann ich ein- und ausgegangen bin = Datensparsamkeit. (Dafür hat man schließlich die neugierige Nachbarin von eine Treppe höher!).
Nun bleibt zu hoffen, dass der Hersteller mehr Infos herausgibt, oder eine Klarstellung wie die Schwachstelle aussieht.
Ich frage mich nun ob andere HomeTecPro Antriebe auch betroffen sein können.
Konkret der FCA3000 (die Namen der Produkte sind ja schonmal nah bei einander). Hierbei handelt es sich um ein Fenstergriff / Terrassentürgriff.
Ich hoffe auf weitere Infos vom Anbieter.
Da bin ich Mal gespannt, das FCA3000 wollte ich auch gerade kaufen. Zusammen mit Handsender und Pinpad. Da muss jetzt eine Aussage von Abus kommen.
Ich habe das selbe Gerät im Einsatz und Abus geschrieben. Da Pin-Pad und Fingerabdrucksensor sowohl damit als auch mit dem oben genannten Schloss arbeiten, wird es wohl der selbe Funkstandard sein. Und das FCA3000 hat nicht dieses sagenumwobene Bluetooth-Zeichen auf der Packung…
Da wäre ich dir sehr dankbar wenn du hier dann deine antwort teilst.
ja, Bitte die Antwort hier von Abus Teilen! Einige haben ja auch das CFT3000 oder FCA3000.
Die kommunizieren ebenfalls alle auf 868 MHz aber ohne BT.
Problem ist das BSI schreibt nicht sauber wie genau die Lücke aussieht. Lassen wir uns Überraschen.
Puuh, ich hab so ein Ding!
Und nun wird sich der Hersteller mal wieder bedeckt halten, da außerhalb der Gewährleistung. Toll
Also wenn ABUS da nicht ein sehr gutes Umtauschangebot macht, dann wäre das eine ziemliche Frechheit! Meinetwegen kein 1:1 Austausch (was aber angemessen wäre) sondern eine zB 80%ige Kostenübernahme bei Einsendung der alten Geräte und Tausch in neue Versionen. Aber mich würde es nicht wundern wenn man nun auf den Sachen sitzen bleibt und genau gar keine Entschädigung bekommt. Das wäre wieder typisch Deutschland
Nein, typisch Deutschland ist, dass es bei uns einen gesetzlich geregelten Verbraucherschutz gibt. Der Verkäufer, nicht der Hersteller, steht 2 Jahre nach Verkauf für die beworbene Funktion gerade, wenn schon beim Verkauf ein Fehler darin enthalten war.
In den USA z.B. müsste jeder einzelne Kunde vor Gericht sein Recht einklagen, wenn vom Verkäufer oder Hersteller keine Kulanz gezeigt wird.
Im Prinzip hast du vollkommen recht und theoretisch bin ich bei dir. Praktisch stütze ich meine Meinung auf Erfahrungen wie zB VW & Diesel. Ich habe bis heute keinerlei Entschädigung für meinen Passat erhalten, trotz Sammelklage etc. Daher lass ich mich gerne positiv überraschen, rechne aber nicht mehr 100%ig mit Verbraucherfreundlichkeit. Zumal nicht jeder mit vorhandener Rechnung zum nächsten Baumarkt rennen kann und das ABUS zurückgeben. Ich habe Beispielsweise nur eine Rechnung für 2 Zubehörartikel aus der Serie, für den 6 Monate alten Schlossantrieb aber nicht weil es ein Geschenk war und die Rechnung beim Schenkenden nicht mehr vorhanden ist. Da nützt mir Verbraucherschutz nicht viel, ich bin da auf Kulanz angewiesen. Man wird ja sehen… Wenn ich Pech habe, dreht sich die Erde trotzdem weiter, ich verbuche das als Lehrgeld, merke mir den Hersteller und nutze wieder klassische Haustürschlüssel 🙂
Gutes Beispiel mit VW.
Ich denke auch hier wird nicht viel passieren. Die Leistung ‚schlossöffnung / schließung per funk / keypad / sonstewas ist ja gegeben.
Es gab ja schon viele smart home kameras, lampen oder solche dinge, vorallem beim discounter die dann nie updates bekommen, die fehler haben und in meiner wahrnehmung (war da nie betroffen daher mag die falsch sein) ist da nie was passiert
Mein Vertrauen in Funkschlösser ist durch diese Meldung erstmal erschüttert. Und zwar generell.
Von ABUS mit ihrer seltsamen Firmenpolitik sollte man eh Abstand halten.
Immer wieder ABUS. Deren Alarmanlagen fallen doch auch regelmäßig durch unabhängige Tests. Die Fahrradschlösser sind super, aber bei den elektronischen Produkten ist wohl der Wurm drin.
Was für eine seltsame Firmenpolitik?
Glaub geht um das hier – Artikel aus der SZ https://nrw.medienpreis-mittelstand.de/wp-content/uploads/sites/2/2020/05/unter_maennern_valentin_dornis.pdf
Falls es von ABUS für Besitzer des Schlosses kein Tauschangebot gibt, sei darauf hingewiesen, dass es sich bei diesem Problem um einen Mangel handelt, für welchen der Verkäufer vollumfänglich haftbar ist, und zwar in diesem Fall sogar innerhalb der kompletten 2 Jahre der gesetzlichen Gewährleistungsfrist. Denn die normalerweise nach einem Jahr (früher nach 6 Monaten) eintretende Beweislastumkehr zuungunsten des Verbrauchers ist in diesem speziellen Fall kein Problem, da durch diese Mitteilung bereits der Beweis erbracht ist, dass der Mangel bereits zum Kaufzeitpunkt bestand.
Insofern, wenn ABUS nicht hilft und die 2 Jahre noch nicht rum sind, dann am Händler schadlos halten. Der kann zwar auch nix dafür, aber der Kunde halt auch nicht, und der Händler ist halt derjenige, der die Verantwortung qua Gesetz trägt.
Wenn ich mein Türschloss per Funk (oder noch besser per Smartphone und App) öffnen kann, wer kann es noch? Bei PKW ist seit Jahren bekannt, wie Diebe sich schlüssellose Systeme zunutze machen.
Ich verstehe auch das Konzept nicht: Ich muss sowieso an die Haustür, um durchgehen und mein Haus betreten zu können. Welchen Vorteil habe ich jetzt davon, das Türschloss per Funk bedienen zu können? Ob ich jetzt einen Schlüssel oder eine Fernbedienung bzw. das Smartphone aus der Tasche holen muss, ich habe keinen Handgriff weniger, nur ungleich mehr Angriffsfläche.
„Ich muss sowieso an die Haustür, um durchgehen und mein Haus betreten zu können. Welchen Vorteil habe ich jetzt davon, das Türschloss per Funk bedienen zu können?“
Ich weiß nicht, ob das alle können, aber einige können auch die Tür bei Annäherung öffnen. Ist zum Beispiel praktisch, wenn du die Hände voll hast.
Bei den Türöffner, gibts schon Anwendungsfälle, wenn die Kinder ständig den Schlüssel verliefen.
Kann man mit dem System das per PIN Tastatur öffnen. Und Das ABUS System mit dem Fenster Öffner für die Balkon Tür ist ein klasse Sache. Bin jedes mal froh darüber wenn mir die Haustür mal zugefallen war.
Die haben das gleiche Funksystem, ob die auch betroffen verrät ABUS aktuell nicht.
Wäre schade denn bei den Fensteröffnern habe ich bisher nur welche von ABUS gesehen.
Ob mans braucht oder nicht ist wohl bei vielen dingen eine Frage, im smarthome bereich sicher noch mehr.
Nur als Kontext aber mal ein paar parktische Funktionen:
– zeitgesteuerte Zugriffe
– per einladecode (zB wenn du Besuch hast 2 leute aber du hast nicht unbedingt für jeden einen extra schlüssel)
– zeitbasierte freigabe zB für nachbarn im urlaub oder immer donnerstag für die putzkraft (falls man sowas hat)
– logging wer wann ein / austritt (zB bei oben beschriebenen fällen)
– die annäherungs öffnung wurde schon erwähnt
– kannst beim joggen deinen schlüssel zuhause lassen (weil ja mit uhr die man eh um hat öffnet
Alles nur komfort, sicher sollte die lösung aber bleiben das ist klar. Ob mans braucht sicher nein, ist es eine erleichterung? Sicher ja für einige.
Und noch der spezialfall bei mir, du kannst eine terrassentür von außen ab und aufschließbar machen (mit dem in den kommentaren erwähnten fca3000) und hast somit eine zweite ringangsmöglichkeit. Kann bei manchen grundstücken ein gutes feature sein.
Will nicht sagen man muss sowas haben, aber hoffe der kontext dient dem verständnis.
Gruß
cAz
Ich finde sowas ja auch toll. Aber ich halte mich dann immer zurück, eigentlich bei allem was mit Smart Home zu tun hat, weil mir das alles viel zu kurzlebig ist. Wer sagt, dass mein Backofen, Markise, Schloss morgen noch Updates bekommt? Und ohne Software Support sind die meisten dieser Dinge eben ganz schnell Müll. Beim Smartphone, Tablet, meinetwegen noch Laptop lebt man irgendwie damit. Aber z.B. Backofen (nicht das beste Beispiel) ist eben ein Haustürschloss kaufe ich eher für Jahrzehnte…
Ich versuche daher auf cloudfreie lösungen die lokal laufen zu setzen (über fhem, iobroker, homeassistant) dan ansprechen.
Meine heizungsthermostatr zB waren reccht günstig, der hersteller stellt die ein, aber solange die dinger noch taugen funke ich lokal über einen cul stick mit denen. Beim abus schloß (bei mir eben das fca) das gleiche das funkt über ne fernbedienung, die löt ich noch an nen esp dran um die im wlan anzusprechen, da ist das einzige was wichtig. Ist das die crypto im fu kprotokoll stimmt… ansonsten brauche die geräte bei mir keine feature updates und die apps können abgekündigt werden. Das heizungsventil dreht solange wie die technik hält, die tür öffnet ohne irgendnen firmwarecheck. Aber ja wennn die sicherheit kaputt geht muss man abwägen.
Andererseits ist man auch immer wieder überrascht wie schnell ein normales türschloss zu öffnen. Ist.
An der stelle empfehle ich mal den talk von ray vom 33c3 zu bluetooth smartlocks. Manche waren so schlecht von der schlosstechnik das man sicher gespart hat das protokoll anzusehen…
https://media.ccc.de/v/33c3-8019-lockpicking_in_the_iot
Hoffe der link ist erlaubt sonst bitte entfernen und googeln nach lockpicking in the iot…
Gruß
cAz
Ok Boomer? Warum müssen wir dir denn jetzt erklären, was für dich der Vorteil von Funk- oder Smarten Schlössern ist?
Zumal es hier im Speziellen um den Fensterantrieb geht, der Terrassentüren mit üblichen Fenstergriffen öffnet. Die haben meistens nichtmal ein Schloss außen.
Hallo „Ich verstehe auch das Konzept nicht: Ich muss sowieso an die Haustür, um durchgehen und mein Haus betreten zu können. Welchen Vorteil habe ich jetzt davon, das Türschloss per Funk bedienen zu können? Ob ich jetzt einen Schlüssel oder eine Fernbedienung bzw. das Smartphone aus der Tasche holen muss, ich habe keinen Handgriff weniger, nur ungleich mehr Angriffsfläche.“ gebe Dir voll recht. Die einzige anwendung wo ich fernbediente Haustechnik über Elektroaktoren und ggf. Fernbedienungen für sinnvoll und hilfreich halte ist der Bereich körperbehinderter Menschen. Mit enstprechend angepaßten Systemen können sie länger selbständig im eigenen Wohnraum leben – z. B. wenn man im Hochparterre wohnt, die Terassentür von außen elektrisch entsperren , per Motor aufziehen und dann mit dem Rolli über die ebenerdige Terasse in die Wohnung. Sowas muß dann aber absolut sicher sein und gehört mehr in den Bereich Medizintechnik als in den Bereich „Baumarkt für Alle“.
Das sehe ich anders. Wenn ich schwere Lasten und Haus tragen muss, finde ich es sehr angenehm, per Funktaster die Tür schon vom Auto aus öffnen zu können.
Die Kundenhotline wusste heute nicht einmal etwas von dem Thema Wenn ich eine Antwort auf meine EMail zum weiteren Vorgehen habe, poste ich hier.
Sofern die Lösung heißt „Neukauf“, überlege ich einen anderen Hersteller zu wählen. Habt ihr Erfahrungen oder Artikel dazu? Vielen Dank im Voraus!
Beste Grüße C
Habe auch eine Anfrage an ABUS und BSI am laufen. Alles ohne Rückmeldung!
Da wird mit Sicherheit wieder nur das zugegeben, was bereits bestätigt ist.
SALAMI Scheibchen weise! Echt schlimm in diesem Land.
@ABUS Pressestelle: Bitte umfänglich Aufklären, ob die Fensteröffner und andere Funkschlösser auch betroffen sind.
Schau um 9 mal bei uns rein. Spoiler: Ja, der Fensteröffner ist betroffen.
Hier die (m.E. für ein Sicherheitstechnikunternehmen ziemlich eigenartige) Antwort von Abus:
„ … vielen Dank für Ihre E-Mail.
Sie haben sich mit einer Frage zum Türschlossantrieb CFA3000 an uns gewendet.
Eine illegale Manipulation des Funk-Antriebs CFA3000 in der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erwähnten Art würde in der Praxis eine Reihe von verschiedenen und aufeinander aufbauenden Handlungen erfordern:
Ein möglicher Angreifer muss wissen, dass das Produkt auf der (von außen nicht sichtbaren) Türinnenseite von Haus oder Wohnung installiert ist.
Ein möglicher Angreifer muss sich, um ein entsprechendes Signal abfangen zu können, in unmittelbarer Nähe zum Produkt, zur Haustür und zum Bedienenden während des Öffnungs- bzw. Schließvorgangs befinden.
Ein möglicher Angreifer benötigt umfangreiches und tiefgehendes elektrotechnisches Know-How sowie Equipment und Programmiererfahrung für einen „erfolgversprechenden“ Angriff.
Zudem sind die bekannten Einbruchmethoden, wie z.B. das Aufhebeln, deutlich schneller und unkomplizierter.
Die obigen Punkte zeigen, dass eine Manipulation des Schlosses nur mit einer hohen kriminellen Energie, entsprechendem Equipment und elektrotechnischem Know-how, sowie der unmittelbaren Nähe des Angreifers zum Produkt während des eigentlichen Öffnungs- bzw. Schließvorgangs stattfinden kann. Uns ist kein Fall bekannt, bei dem sich fremde Dritte auf diesem Wege unberechtigten Zutritt zu einer Wohnung oder einem Haus verschafft haben.
Aus diesen Gründen kommen wir zu der Einschätzung, dass Sie das Produkt weiterhin mit dem guten Gefühl der Sicherheit nutzen können.
Die HomeTec Pro 3100er Generation, welche Bluetooth als Funkprotokoll nutzt und darüber hinaus mit der ABUS Smart X Technologie ausgestattet ist, ist von der Warnung des BSI nicht betroffen.
…“
@caschy: Damit widerspricht Abus dem BSI. Wollt ihr dazu etwas im Artikel ergänzen?
Bei mir zum Beispiel ist von außen klar ersichtlich, dass das Türschloss vorhanden ist, da draußen das Abus Zahlenpad montiert ist…
Ich werde mich nach Alternativen umsehen.
Für um 9 Uhr hab ich schon einen Beitrag geplant, der das beinhaltet. Da geht es noch um ein weiteres Produkt.
Da sieht man ein gutes Beispiel wie ein Unternehmen Krisenkommunikation versemmelt.
– Man muss schon kriminelle energie haben um dies auszunutzen.
—>Ach nee, genau wegen leuten die kriminell /illegal handeln (unerlaubtes betreten von eigentum bspw.) gibt es doch überhaupt solche produkte die abus anbietet. Gäbe es diese menschen nicht könnt ich die tür auch offen lassen.
– andere mechanismen sind einfacher ausnutzbar
—> je nach tür nicht
– nuss in unmittelbarer nähe sein
—> hier fehlen evtl details aber die 883(?) mhz funken jetzt nicht ganz kurz, denke da reicht auch 20m weg stehen.
Mal sehen ob abus das noch einsieht. Wer ein alternativprodukt kennt bin ich interessiert, aber ich hab vor nem halben jahr auch nix ernsthaftes gefunden für den fenstersntrieb. Denke für die haustür gibt es ja einiges.
Caschy, danke das ihr dran bleibt, das einzige was da änderung am verhalten der unternehmen bringen kann ist wohl aufmerksamkeit von presse und öffentlichkeit.
(Oder gerichtliche entscheidungen, aber deren wahrscheinlichkeit halte ich eben wie in nem anderen kommentar erläutert für sehr unwahrscheinlich…)
Und das offensichtlich nicht mal ne bsi warnung reicht um zu motivieren ist auch ne aussage, aber denke abus versucht auszusitzen und hofft in zwei wochen interessierts keinen mehr.
Ich würd bei ner 20€ china lösung mich nicht ärgern. Aber da sich abus als eine der referenzen in sachen sichherit darstellt (bei kir auch hislang mit erfolg von der wahrnehmung) ist dieses ‚halb so wild für mich nicht akteptabel.
Ich habe genau so ein Türschloss von Abus und die Gewährleistung über Amazon.de (wo ich es gekauft hatte) geht noch bis Ende September. Kauftag war 9. September 2020. Ich habe den Fall an der Hotline geschildert, und habe nach 10 Minuten Diskussion ein Rücksendeetikett für das Keypad, den Funköffner und den genannten CFA3000. Eigentlich war ich ganz zufrieden damit, aber was jetzt? Ich überlege mir das Nuki 3.0 Pro zuzulegen.
Habe für den Fensterantrieb die Retoure bei Amazon auch bereits veranlasst (per Chat keine zehn Minuten bzw Diskussion) – Problem ist neu eher, dass es leider keine vergleichbaren Ersatzprodukte gibt. Das Ding war echt nützlich.
ja so geht es mir auch. Der Fensterantrieb, ist echt Praktisch. Und auf den Markt ist wohl ABUS der einzige der es anbietet.