DoorBird IP Video Station

Als einziger deutscher Hersteller im AV-TEST Vergleichstest zum Thema Video-Sprechanlagen, hatten wir zugegebenermaßen recht hohe Erwartungen an die „IP Video Station“ von DoorBird. Auf der Feature-Seite steht das Produkt dabei den anderen Kandidaten im Test auch in nichts nach. Im Artikel zum Vergleich berichteten wir allerdings bereits kurz, warum es in Hinsicht auf die IT-Sicherheit und den Datenschutz einige Punkte gibt, die insgesamt eine hohe Wertung vermeiden. Im Folgenden soll nun detaillierter auf die identifizierten Probleme und daraus resultierenden Abwertungen eingegangen werden.

Applikation

Die mobilen Android- und iOS-Applikationen (Android v4.60, iOS v4.60) vermitteln einen soliden Eindruck: Die statische Analyse identifizierte keine offensichtlich kritischen Schwachstellen und auch in den Belangen Code-Obfuscation und der Implementierung der verschlüsselten Kommunikationen konnten wir keine Kritik üben. Auch lokal auf dem Smartphone des Nutzers werden keine ungeschützten sensiblen Informationen abgespeichert und so für potentielle Malware offengelegt.

Besonders fällt uns bei den mobilen Applikationen auf, wie mit der Passwortsicherheit umgegangen wird: Die verwendeten Passwörter werden ausschließlich von der Applikation selbst erzeugt. D.h. bei einem Passwortwechsel kann der Nutzer nicht selbst ein frei definiertes Passwort angeben sondern kann sich lediglich ein neues von der App generieren lassen. Die generierten Passwörter sind dabei allerdings als nur einigermaßen komplex und sicher zu bezeichnen (immer feste Länge, mindere Komplexität). Vermutlich wollte man hier vermeiden, dass die zufällig generierten Passwörter für den Nutzer noch schwerer zu erinnern sind. Die Passwortgenerierung hat zum einen natürlich den Vorteil, dass auf diese Weise die Einrichtung schwacher Passwörter durch den Nutzer vermieden wird. Auf der anderen Seite kann als Angreifer die Methode zur Erzeugung auch aus dem Code rekonstruiert werden, wodurch er somit mindestens das Wissen über die Erstellungsregeln erhalten kann. Hierdurch kann der Suchraum bei einem Brute-Force-Angriff schon deutlich eingeschränkt werden.

Insgesamt gibt es in dem Punkt Applikation für uns aber keinen wirklichen Grund für Kritik.

Lokale Kommunikation

Anders sieht es allerdings für den Punkt „Lokale Kommunikation“ aus. Hier liefert DoorBird ein Beispiel für ein klassisches Problem, was wir leider immer noch gehäuft auftreten sehen: Ungesicherte lokale Kommunikation. Die Hersteller und in diesem Fall explizit DoorBird gehen in diesem Punkt häufig davon aus, dass die lokale Kommunikation nicht schützenswert ist, da sie in einem geschützten Netzwerk ablaufen sollte. Dies ist allerdings eine gefährliche Annahme und wälzt zu einem Teil auch die Verantwortung auf den Kunden ab. Auch in einem verschlüsselten Netzwerk kann nicht davon ausgegangen werden, dass alle Netzwerkteilnehmer automatisch auch legitime Nutzer des Produktes sind. Hinzu kommt noch die Möglichkeit eines zum Beispiel durch Malware kompromittierten Gerätes, welches dann den ungeschützten lokalen Datenverkehr des Gerätes mitlesen und/oder manipulieren kann.

So lassen sich im Fall der DoorBird Videostation lokal Nutzername und Passwort für den Nutzer- und Administratorzugang auf das Gerät mitlesen. Da auch Video- und Audiodaten lokal ungesichert übertragen werden, wären auch diese von einem potentiellen Angreifer abgreif- und manipulierbar. Auf diese hätte er allerdings durch Erhalt der Zugangsdaten ohnehin Zugriff. Über die Adminfunktionen werden außerdem auch die zum System gehörigen Transponder ab- und angelernt.

Die Transponder selbst weisen technologiebedingt einige mögliche Angriffsvektoren auf. Explizit die von DoorBird hier verwendeten sind aber zumindest auf einem adäquaten Stand und somit zumindest nicht ohne größeren Aufwand angreifbar.

Online Kommunikation

Auch im Bereich der Online Kommunikation fiel beim Test ein wichtiger Aspekt auf, der zu einer Abwertung führen musste. Der Login-Vorgang selbst ist zwar adäquat verschlüsselt und unseren Tests nach zu schließen auch durch die empfohlenen Mechanismen effektiv gegen die üblichen Man-in-the-Middle-Angriffe abgesichert.

Anders sieht es allerdings aus eher unerfindlichen Gründen für die Übertragung der Video- und Audiodaten aus, die von der Videostation erfasst werden. Diese werden vom Gerät an die Cloud über ungesichertes http versendet und aus der Cloud über ebenso ungesichertes UDP wieder zum Nutzer-Smartphone. Natürlich sind gerade Daten solchen Typs schützenswert und sollten unbedingt auch verschlüsselt übertragen werden. Die notwendige Infrastruktur für eine sicher verschlüsselte Kommunikation scheint ja vorhanden zu sein – das konnten wir bei der Absicherung des Login-Vorgangs im Test ja bereits bestätigen.

Datenschutz

Im Bereich Datenschutz kann die DoorBird-Lösung leider ebenfalls nicht punkten. Zwar existiert eine ausführliche allgemeine Datenschutzerklärung, allerdings hat diese keinerlei Produktbezug zur Videostation und gilt lediglich für die DoorBird-Website. Dementsprechend fehlen hier essentielle Informationen zu den durch das Produkt selbst gesammelten, verarbeiteten und gespeicherten Daten. Gerade auch weil die DoorBird-App sich ebenfalls diverse Berechtigungen zusichern lässt (Kamera, Mikrofon, Standort etc.), über die persönliche Daten gesammelt werden könnten, müsste hier ausführlich informiert werden.

Ganz ähnliche Kritikpunkte hatten wir übrigens bereits im Test eines älteren Doorbird-Produkts vor über 1,5 Jahren angemerkt (https://www.iot-tests.org/de/2018/02/unterwegs-und-doch-zuhause-die-doorbird-ip-video-tuerstation-im-test/). Zu diesem Zeitpunkt war die DSGVO noch gar nicht aktiv. Viel getan hat sich in diesem Bereich also offenbar nicht.

Als Konsequenz können wir auch für die Testkategorie Datenschutz lediglich eine Abwertung durchführen.

Fazit

Die IP Video Station von DoorBird offenbart in unserem Kurztest leider einige offensichtliche Schwächen, von denen wir in einem tiefergreifenderen Test möglicherweise auch noch mehrere identifizieren würden – Einige hier nicht genannte Indizien gibt es dafür.

Gerade die Schwachstellen in der lokalen und online Kommunikation fallen insgesamt schwer ins Gewicht. Da zusätzlich auch noch eine Abwertung im Bereich Datenschutz durchgeführt werden musste, können wir hier insgesamt leider keinen der möglichen drei Sterne vergeben.