AV-TEST Produktübersicht „Smart Locks“

Bei wohl kaum einer anderen Produktkategorie des Internet of Things wird die Notwendigkeit für eine adäquate Absicherung, für jedermann, so offensichtlich wie für die Smart Locks – Die unmittelbare Konsequenz vernachlässigter Sicherheit und einer ausnutzbaren Schwachstelle kann hier den eigenen Besitz und die eigene private Sicherheit gefährden. Kein Wunder also, dass Kunden hier genau hinsehen bevor sie eine Kaufentscheidung treffen.

In der Vergangenheit haben wir immer wieder Produkte aus dieser Kategorie getestet und werden dies auch zukünftig weiterhin tun. Die Mehrzahl der beliebtesten Produkte aus dem Bereich „Smart Locks“ sind zudem mit unserem Zertifikat ausgezeichnet und geben somit auch dem Kunden, direkt durch die Auszeichnung auf der Verpackung, die Chance, sichere Produkte zu erkennen.

In der folgenden Übersicht führen wir alle Produkte auf, die wir bereits getestet haben und werden außerdem regelmäßige Updates durchführen, um neu getestete Produkte aufzunehmen, veraltete Tests zu entfernen oder neue Erkenntnisse zu bereits getesteten Produkten einzufügen. Darüber hinaus planen wir außerdem weitere Produktübersichten zu weiteren relevanten Produktkategorien.

Zertifiziert!

Wie bereits erwähnt, haben wir über die Jahre einige der wichtigsten Vertreter in der Rubrik Smart Locks für das Bestehen unserer ausführlichen Sicherheitstests mit unserem Zertifikat ausgezeichnet. In puncto Sicherheit sind hier alle Vertreter absolut würdige Wächter der eigenen Haustür. Auch in Sachen Datenschutz gibt es hier eigentlich keine großen Unterschiede festzustellen. Und wo es die mal gegeben haben sollte, wurden sie als Konsequenz unseres Tests in der Regel binnen weniger Wochen ausgebessert.

Wohingegen einige der Produkte mittlerweile das Ende ihres Lebenszyklus erreicht haben oder schlicht nicht rezertifiziert wurden, sind die folgenden Vertreter aktuell noch zertifiziert (mit Datum des letzten Tests):

Netatmo

Der letzte Zertifizierungs-Neuzugang in der Kategorie Smart Locks ist das Produkt des französischen Herstellers Netatmo. Mit der Smart Door Lock and Keys-Kombination präsentierte Netatmo letztes Jahr ihre Vision für ein sicheres und störungsunempfindliches, smartes Schließsystem. Wie wir selbst bezeugen konnten wurde hier bei der Entwicklung, von Anfang an, der Aspekt Sicherheit großgeschrieben und gipfelte schließlich in einem absolut solide abgesicherten Smart Lock, was im Test keinerlei Indizien für potentielle Schwachstellen lieferte. Auch im Bereich Datenschutz konnten wir hier nur Bestnoten vergeben: Die Datenschutzerklärung informiert den Nutzer vorbildlich und auch über das System selbst lässt sich einer Datensammlung einfach und unkompliziert widersprechen.

Im Gegensatz zu allen anderen Smart Locks, die wir bisher im Test hatten, geht die Netatmo-Lösung einen etwas anderen Weg, was die Bedienung angeht. Wohingegen quasi alle Mitbewerber auf eine motorgesteuerte Bedienung des Schließzylinders setzen, muss bei der Netatmo-Lösung dieser stets händisch bewegt werden. Das System schließt und öffnet die Tür also nicht direkt, sondern gibt die Öffnung lediglich frei bzw. blockiert sie. Für die Störungsanfälligkeit hat dies sicher nur Vorteile, für den einen oder anderen interessierten Kunden könnte dies allerdings ein wichtiger Faktor sein. Das sich das System außerdem, zusätzlich zur klassischen Steuerung über eine mobile Applikation, auch mithilfe von mitgelieferten smarten Keys, die beliebig an- und abgelernt werden können, quasi wie ein normales Schloss bedienen lässt, ist wohl ebenso interessant.

Nuki

Die Smart Locks von Nuki sind seit der ersten, in 2017 erschienenen Version bei uns jährlich im Zertifizierungstest. Von Anfang an konnten wir dabei den Fokus auf Sicherheit und Datenschutz feststellen und mit unserem Zertifikat bescheinigen. In den folgenden Jahren kamen dann die neuen, weiter entwickelten Versionen 2.0, 3.0 und zuletzt die mit Matter-Support ausgestattete Version 4.0 dazu, die ebenfalls problemlos unseren Zertifizierungsprozess durchliefen. Außerdem ist ebenso die integrierte Version in Form der Smart Door, sowie das Peripherieprodukt Opener (in der Tabelle nicht mit aufgeführt) mit dem Prädikat „Geprüftes IoT Produkt“ ausgezeichnet.

Insgesamt ist das Ökosystem von Nuki wohl eines der ausgereiftesten und weitverbreitetsten Lösungen im Bereich Smart Locks, was sich auch nach wie vor in der hohen Kundenbeliebtheit widerspiegelt. Das ohnehin schon hohe Sicherheitsniveau und die weitere, ständige Verbesserung und Erweiterung der Produkte und Produktpalette verspricht außerdem eine hohe Zukunftssicherheit.

tedee

Im letzten Jahr bereits zum 3. Mal zertifiziert wurde außerdem das smarte Türschloss des polnischen Herstellers tedee, zusammen mit der für die Remote-Kontrolle benötigten tedee bridge und der zum tedee lock sicherheitstechnisch identischen Produktvariante GO. Das vergleichsweise kleine Smart Lock überzeugte dabei vom ersten Test an, neben seinem schicken, schlanken Design, vor allem mit einem ebenfalls absolut soliden Sicherheitskonzept. Die Kommunikation über das Internet sowie die Nahkommunikation über Bluetooth, ist wie bei allen anderen zertifizierten Smart Locks natürlich auch, absolut adäquat gegen die üblichsten Angriffe abgesichert. Sogar die mobile Applikation ist hier zusätzlich gegen Manipulation des Quellcodes geschützt und verhindert durch die Implementation von geeigneten Integritätschecks, dass ein Angreifer mit Zugriff auf das Nutzer-Smartphone eine abgeänderte Version installiert. In der Praxis sicher kein allzu häufig auftretendes Szenario und 100-prozentigen Schutz gegen Manipulation bietet hier auch die tedee-App nicht (im Test haben wir die Signatur-Checks ja auch umgangen), aber dass sich hierüber überhaupt Gedanken gemacht wurde, zeigt schon die Hingabe zur Sicherheit.

ABUS

Als Teil der neuen, digitalisierten Produktreihe ABUS One hat der beliebte deutsche Hersteller nun auch wieder ein neues Smart Lock im Produktportfolio, was auch bereits im Juni 2024 von uns getestet und zertifiziert wurde – das Loxeris One.
Dabei handelt es sich um ein klassisches Smart Lock, dass im Prinzip alles kann, was man in dieser Produktkategorie erwarten würde. Das Smart Lock wird, wie üblich, an einem herkömmlichen Schließzylinder montiert, welcher über einen eingesteckten Schlüssel motorisiert betätigt wird. Wie gesagt, wird hier kein spezieller Zylinder benötigt, lediglich der verwendete Schlüssel muss vor der Inbetriebnahme von der Räute befreit, also auf die richtige Länge zugesägt werden.

Ist das Smart Lock dann montiert, wird es, ebenfalls wie üblich, über eine mobile Applikation für Android und iOS konfiguriert, kalibriert und gesteuert. Standalone verwendet, geschieht diese Steuerung dabei ausschließlich über Bluetooth direkt zwischen App und Gerät. Legt der Nutzer außerdem noch Wert auf eine Remote-Steuerung über das Internet, wird zusätzlich noch die Bridge One benötigt, die im ABUS One Ökosystem den Fernzugriff zu allen Geräten ermöglicht und realisiert.

Sicherheitstechnisch gab es im Zertifizierungstest keine nennenswerten Probleme festzustellen: Die mobilen Applikationen, und vor allem die sicherheitsrelevanten Teile dieser, sind absolut adäquat konzipiert und implementiert. Die besonders kritische Bluetooth-Kommunikation, die im Falle der ABUS One Geräte über ein eigens von ABUS entwickeltes Protokoll abläuft, lieferte im Test und nach einem ausführlichen Review keine Indizien für schwerwiegende Probleme. Hier setzt ABUS auf eine starke Authentifizierung zusammen mit einer AES 128Bit Verschlüsselung und sichert die lokale Kommunikation damit angemessen ab. Auch die Kommunikation über das Internet, zwischen Bridge und Cloud und App und Cloud, wiesen im Test keinen Grund für ernsthafte Kritik auf – auch hier ist das Sicherheitsniveau als hoch einzustufen.

Im Bereich Datenschutz lässt die ABUS Lösung dann schließlich auch nichts mehr anbrennen. Die Datenschutzerklärung, wie sie über die Apps selbst und die App-Stores verfügbar ist, liefert alles was eine gute Datenschutzerklärung liefern sollte. Die essentiellen Informationen zu Datensammlung, -speicherung und -weitergabe sind enthalten und werden ausreichend detailliert erläutert. Die beiden enthaltenen Google Tracker (CrashLytics und Firebase) werden erwähnt und der Nutzer hat hier die Möglichkeit der Datensammlung explizit zu widersprechen und die App trotzdem zu verwenden. Aber auch mit aktivierter Datensammlung sind die Applikationen recht datensparsam – eine unnötige oder gar übermäßige Erfassung von Nutzer- und Nutzungsdaten konnte nicht beobachtet werden.

Die Anwärter

Wie in quasi allen gefragten Produktkategorien des Internet of Things, kommen auch für den Bereich der Smart Locks stetig neue Produkte auf den Markt, die mit den gestandenen Größen in Konkurrenz treten. Daneben gibt es aber auch hier Produkte, die schon lange auf dem Markt sind und sich großer Beliebtheit erfreuen bisher aber noch nicht von uns näher beleuchtet wurden. Die Auswahl treffen wir hier größtenteils anhand der allgemeinen Beliebtheit der Produkte, d.h. anhand von Verkaufszahlen und Kundenbewertungen beispielsweise. Getestet wird in unserem Quick-Check-Format, das hier in jedem Fall eine solide erste Einschätzung des Sicherheits- und Datenschutzniveaus zulässt.

Diese Rubrik wird ebenfalls weiterhin gepflegt und erweitert, sobald neue Produkte unsere Tests durchlaufen haben. In der folgenden Tabelle sind alle getesteten Produkte mit Testergebnis und Testzeitpunkt vermerkt.

Homematic IP Türschlossantrieb

Der Türschlossantrieb für eQ-3-System Homematic IP bietet wie die anderen Mitbewerber ebenfalls eine bequeme Möglichkeit, ein Türschloss fernzusteuern. Hierzu ist zusätzlich außerdem noch ein Homematic IP Access Point (HAP) oder eine Zentrale (CCU) erforderlich. Mit der Zentrale kann dann eine WebUI zur Steuerung der Homematic IP Geräte aufgerufen werden. Für unseren Quick-Check haben wir in diesem Fall den Access Point verwendet. Wichtig zu erwähnen beim Homematic IP Türschlossantrieb ist, dass eine Cloud-Verbindung zwingend erforderlich ist, um das Gerät auch bei direkter räumlicher Nähe bedienen zu können –  eine Bedienung per Nahfunk wie Bluetooth oder NFC, ist beim Homematic IP Gerät nicht möglich. Das hat für die Bedienung und Verfügbarkeit sicher Nachteile, sicherheitstechnisch verringert es natürlich aber auch dementsprechend die Angriffsfläche.

Auch das eQ-3 Gerät präsentiert sich erst einmal recht solide – Im Rahmen unseres Quick-Checks haben wir keine expliziten Schwachstellen gefunden, haben aber trotzdem einige Anmerkungen. So haben wir auch Homematic IP-App zu kritisieren, dass die App auf veralteten Geräten und Android-Versionen bis hinunter zu Version 6.0 des Google OS installiert werden kann. Wie schon zuvor öfter erwähnt, würden wir dies für sicherheitskritische Anwendungen auf jeden Fall vermeiden.

Eine weitere Anmerkung betrifft die Einstellung „Cleartext Traffic“, die es der Applikation grundsätzlich erlaubt, unverschlüsselte Kommunikation über HTTP anstelle von HTTPS durchzuführen. Wir konnten im Test zwar keine unverschlüsselte Kommunikation feststellen, würden aber auch hier empfehlen, die Konfiguration soweit abzuändern, dass unverschlüsselte Kommunikation schon von Systemseite aus verhindert wird.

Bei der Kommunikation sieht erst einmal alles recht solide aus. Wir würden nur empfehlen bei Requests an die Cloud eine Zeitkomponente mit in die Kommunikation zu integrieren, um die Sicherheit zu erhöhen und eine erhöhte Robustheit gegen Replay-Angriffe zu gewährleisten. Auf aktuellem Stand werden nur die Parameter AUTHTOKEN, PIN (falls vom Nutzer festgelegt), DeviceID und State berücksichtigt.

In Bezug auf Datenschutz und die Datenschutzerklärung gibt es dann ebenfalls nur mariginale Sachen anzumerken: Insgesamt ist der Informationsgehalt der Erklärung absolut ausreichend und alle wichtigen Informationen zu Datensammlung, -verarbeitung und -weitergabe sind enthalten. Besonders positiv im Vergleich zu den anderen beiden Anwärter-Smart Locks, fällt die sehr bescheidene Verwendung von Trackern auf. Hier lässt sich bei der Homematic IP Applikation nur ein einziger Tracker zuverlässig identifizieren: Google Firebase Analytics. Dieser ist unserer dynamischen Analyse zufolge auch nur sporadisch aktiv und wird außerdem auch völlig korrekt in der Datenschutzerklärung erwähnt. Des Weiteren ist die eQ-3-Lösung das einzige der drei Smart Locks im Quick-Check-Format, das direkt im Google Play Store eine deutsche Datenschutzerklärung bereitstellt. Für Produkte, die auf dem deutschen Markt vertrieben werden, sollte dies natürlich eigentlich Mindeststandard sein.

Zu guter Letzt noch ein paar allgemeine Punkte zur Übersicht: Die Datenschutzerklärung umfasst 2.056 Wörter mit durchschnittlich 19,77 Wörtern pro Satz. Um die gesamte Datenschutzerklärung zu lesen, benötigt der Nutzer etwa 3,3 Minuten. Die Datenschutzerklärung im Google Play Store wird auf Deutsch angezeigt. Zur Bewertung der Lesbarkeit wurde der Flesch-Kincaid Lesbarkeitsindex herangezogen, der in unserem Beispiel darauf hinweist, dass ein abgeschlossenes Studium erforderlich ist, um die Datenschutzerklärung zu verstehen.

Lockin G30 Smart Lock

A propos mobile App: In unseren Tests ist es relativ häufig notwendig, Veränderungen am Applikations-Code selbst vorzunehmen. Dies kann mehrere Gründe haben. So kann es sein, dass wir Logging einbauen, um bestimmte Funktionen schneller zu verstehen oder ganze Prozessketten einfacher nachvollziehen zu können. Dabei treffen wir auch immer wieder auf Applikationen, die eine Manipulation des App-Codes zu verhindern versuchen. Die tedee-App ist ein zuvor schon erwähntes Beispiel. Die Applikation von Lockin versuchte uns hier aber besonders rigoros das Leben schwer zu machen. Nicht nur, dass hier Funktionen implementiert waren, die die Manipulation und die dynamische Analyse der Applikation verhindern sollen, auch waren hier Funktionen zu finden, die nur den Anschein hatten als würden sie diesem Zweck dienen, tatsächlich aber nie aufgerufen werden. Entweder handelt es sich hier um Entwicklungsrelikte oder man versucht absichtlich falsche Fährten zu legen – sowas sehen wir in kommerziellen Produkten tatsächlich sehr selten.

Abgesehen davon sind aber auch einige Funtkionen implementiert, die tatsächlich der Manipulations- und Analysebehinderung dienen, darunter beispielsweise Reverse Hooks, die darauf abzielen, dynamische Analysewerkzeuge, wie Frida, Xposed oder Saurik zu erkennen (siehe folgender Code-Ausschnitt), Key-Hash-Prüfungen zur Sicherung der Dateiintegrität, Erkennung von Root-Zugriff auf gerooteten Android-Geräten oder eine Emulator-Erkennung, um feststellen zu können, wenn die App in einer virtualisierten Umgebung ausgeführt wird.

Natürlich kann man einem Entwickler grundsätzlich kaum vorwerfen, dass er zuviel Sicherheit implementiert hat, aber verdächtig ist diese unbedingte Verhinderung der Analyse schon, deutet sie doch oft daraufhin, dass hier versucht wird, eine möglicherweise mangelhafte Sicherheit durch die Verhinderung der Analyse zu verschleiern – quasi Security by Obscurity. Davon abgesehen bringt das Ganze gerade auf Android nicht sonderlich viel – natürlich konnten wir unsere Analyse trotzdem durchführen, wenn auch zugegebenermaßen umständlicher als gewohnt.

Bei der dynamischen Analyse der App ist uns aufgefallen, dass die Öffnung per App die Möglichkeit bietet, ein und denselben Öffnungs-Request mehrmals in einem Replay zu wiederholen. So war es im Test möglich, denselben Request zweimal innerhalb eines Zeitraums von mindestens 10 Minuten zu replayen und so das Schloss erfolgreich zu öffnen. Beim Versenden des Requests zum vierten Mal wird er schließlich als outdated erkannt. Hier sollte auf jeden Fall nachgebessert werden. Diese potentielle Schwachstelle erscheint auch besonders unnötig, da beim Öffnungs-Request ohnehin schon eine Zeitkomponente mit übertragen, aber scheinbar nicht geprüft wird. Positiv ist anzumerken, dass jede Öffnung (auch die per Replay durchgeführten) im einsehbaren Log protokolliert wird und damit eine lückenlose Nachverfolgbarkeit möglich ist.

Was die Kommunikation über Bluetooth angeht, konnten wir zumindest im Rahmen des Quick-Checks keine offensichtlichen Schwachstellen feststellen, auch wenn es Indizien für zumindest potentielle Schwachpunkte gibt. So ist die Bedienung des Schlosses per Bluetooth nur bei aktiver Verbindung zum Internet durchführbar. Bei einer solide und sicheren Bluetooth-Kommunikation sollte das eigentlich nicht notwendig sein. Möglicherweise forschen wir hier später noch einmal tiefer nach.

Eine zusätzliche Anmerkung die App betreffend ist, dass diese sich ab Android-Versionen 6 installieren. Wir können natürlich nachvollziehen, dass Entwickler hier eine möglichst breite Palette von Geräten unterstützen möchten, für eine sicherheitskritische Anwendung würden wir aber davon abraten, solch alte Versionen zu unterstützen. Android Version 6 etwa erhält seit 2018 keine Sicherheitsupdates mehr und enthält einige kritische Schwachstellen, die im ungünstigsten Fall dann auch die installierten Applikationen betreffen könnten.

Zu guter Letzt noch ein paar allgemeine Punkte zur Übersicht: Die Datenschutzerklärung umfasst 3.263 Wörter mit durchschnittlich 29,4 Wörtern pro Satz. Um die gesamte Datenschutzerklärung zu lesen, benötigt der Nutzer etwa 4,41 Minuten. Die Datenschutzerklärung im Google Play Store wird auf Englisch angezeigt. Zur Bewertung der Lesbarkeit wurde der Flesch-Kincaid Lesbarkeitsindex herangezogen, der in unserem Beispiel darauf hinweist, dass ein abgeschlossenes Studium erforderlich ist, um die Datenschutzerklärung zu verstehen.

Yale Linus L2

Das Linus Smart Lock von Yale verspricht, wie alle anderen Lösungen auch, eine einfache und sichere Fernbedienung des Türschlosses. Über die Kooperation mit BOSCH ist ebenfalls eine unkomplizierte Integration in das Smart Home des deutschen Herstellers und die Bedienung über die BOSCH Applikationen ohne Probleme möglich. Ohne die passende Hardware kann das Smart Lock entweder nur über Bluetooth betrieben werden oder aber es wird die zusätzliche Yale Connect Wi-Fi Bridge verwendet, die dann auch eine Verwendung als vollständig eigenständige Lösung mit eigener mobiler Applikation bietet und macht sie über das Internet von überall erreichbar. Allerdings ist hierfür ebenfalls zwangsläufig ein Account erforderlich. Es ist  außerdem erwähnenswert, dass eine Zwei-Faktor-Authentifizierung (per SMS und E-Mail) verfügbar ist, die das Sicherheitsniveau hier auf Wunsch noch weiter erhöhen kann.

Unser Quick-Check ergab, dass es sich um ein solides Produkt handelt. Die einzige Anmerkung aus der statischen Analyse ist, dass die App für Android Versionen 6.0 und höher installierbar ist – wie bereits erwähnt erhalten diese alten Android-Versionen keine Sicherheitsupdates mehr und sollten daher für sicherheitskritische Anwendung nicht mehr verwendet werden, auch wenn dies bedeutet, dass sich das System mit älteren Smartphones nicht mehr bedienen lässt.

Die Kommunikation an sich ist absolut angemessen gesichert. Die Nachrichten werden vor Manipulation und unerlaubtem Zugriff durch eine AES-Verschlüsselung abgesichert. Dazu wird mit einem geheimen remoteOperateSecret gearbeitet und außerdem auch die Übertragungszeit mitverschlüsselt, so dass auch Replay-Angriffe hier effektiv verhindert werden können.

Auch hier haben wir die Datenschutzerklärung genauer unter die Lupe genommen. Fast alle erforderlichen Informationspunkte einer Datenschutzerklärung sind abgedeckt. Eine Ausnahme bilden jedoch die Tracker, die sowohl in der statischen als auch in der dynamischen Analyse gefunden wurden. Diese wurden in der Datenschutzerklärung nicht erwähnt. Es handelt sich dabei um zwei weit verbreitete Tracker namens Google CrashLytics, der Abstürze meldet, und Google Firebase Analytics, der weitere Berichte generiert. Trotzdem sollten sie unbedingt in der Datenschutzerklärung erwähnt werden.

Zu guter Letzt noch ein paar allgemeine Punkte zur Übersicht: Die Datenschutzerklärung umfasst 2.434 Wörter mit durchschnittlich 27,35 Wörtern pro Satz. Um die gesamte Datenschutzerklärung zu lesen, benötigt der Nutzer etwa 2,96 Minuten. Die Datenschutzerklärung im Google Play Store wird auf Englisch angezeigt. Zur Bewertung der Lesbarkeit wurde der Flesch-Kincaid Lesbarkeitsindex herangezogen, der in unserem Beispiel darauf hinweist, dass ein abgeschlossenes Studium erforderlich ist, um die Datenschutzerklärung zu verstehen.

Das Yale Linus Smart Lock L2 bietet als Nachfolgemodell in der Welt der IoT-Geräte eine verbesserte Leistung und ein integriertes WLAN-Modul. Obwohl die WLAN-Integration die Konnektivität verbessert, ist es entscheidend sicherzustellen, dass robuste Sicherheitsmaßnahmen implementiert sind, um potenzielle Cyberangriffe zu verhindern. Im Test konnten wir allerdings auch keine Indizien für potentiell schwerwiegende Probleme in diesem Bereich feststellen.

Insgesamt präsentiert sich das Yale Linus L2 in seinem Testdebut als absolut solide Lösung. Natürlich ist die Testtiefe bei unserem Quick Check noch eher auf der seichteren Seite, so dass hier bei näherer Betrachtung immer noch Probleme auftreten könnten. Erst einmal ergeben sich aber keine Anzeichen dafür. Auch in Sachen Datenschutz und Privatsphäre steht die Lösung solide dar. Eine Bewertung mit den vollen 3 von 3 Sternen ist hier also absolut gerechtfertigt.

Burg-Wächter secuENTRY active 7700

Das Motorschloss secuENTRY active 7700 bietet, ähnlich wie Produkte der Mitbewerber, eine komfortable Möglichkeit, ein Türschloss per Fernzugriff zu steuern. In der Grundausstattung lässt sich die Tür bequem per Bluetooth öffnen. Optional ist die sE-Bridge 5670 erhältlich, mit der das Schloss auch aus der Ferne bedient werden kann. Für unseren Quick-Check haben wir das Schloss sowohl ohne als auch mit der Bridge getestet. Die Einrichtung verlief fast problemlos, erforderte aber auch für die Offline-Verwendung, die Angabe eines Namens sowie einer E-Mail-Adresse.

Zusätzlich kann das Schloss auf verschiedene Arten genutzt werden: per PIN-Code (ENTRY 7711 PIN), mit einem Funkschlüssel (ENTRY sE-Key 7713) oder über eine Fingerprint-Tastatur (ENTRY 7712 FP) – Alle diese Optionen arbeiten mit Bluetooth.

Zur Inbetriebnahme der App, der Bridge und des Schlosses: Insgesamt verlief der Setup-Prozess ohne größere Probleme, jedoch gab es einige Besonderheiten. Zunächst fiel auf, dass bei der Bridge die Seitenteile vertauscht waren, was dazu führte, dass wir das Stromkabel nicht anschließen konnten. Dies ließ sich jedoch schnell beheben, indem wir die Antirutschfüße abnahmen und die vier Schrauben lösten, um die Seitenteile korrekt zu montieren. Beim technisch unversierten Kunden hätte das aber zumindest für Verwirrung gesorgt.

Ein weiterer Punkt, der angesprochen werden sollte, betrifft die Passwortänderung des Geräts: Während der Eingabe wird das Passwort wie gewohnt unkenntlich gemacht. Nach Abschluss des Prozesses wird das neue Passwort jedoch im Klartext angezeigt, was aus Datenschutz- und Sicherheitsgründen mindestens als „inkonsistent“ bezeichnet werden kann.

Es ist außerdem wichtig zu wissen, dass per Remoteverbindung via Bridge lediglich die Funktion geboten wird, das Schloss zu öffnen, nicht jedoch, wie man annehmen würde, es auch wieder zu verschließen. Hierfür würde dann wieder eine direkte Bluetooth-Verbindung benötigt werden. Warum über die Remote-Verbindung nicht zu geschlossen werden kann, erschließt sich uns hier nicht.

Was uns außerdem in Bezug auf die Bridge auffiel ist, dass die dazugehörige Anleitung leidiglich eine Beschreibung enthält, wie die Firmware über die „KeyApp“ aktualisiert werden kann. Diese wurde allerdings im Jahr 2022 durch die „BURGsmart“-App abgelöst. In der aktuellen App konnten wir die beschriebenen Schritte nicht nachvollziehen. Zudem zeigt die App nicht an, welche Firmware-Version die Bridge derzeit verwendet. Daher war für uns nicht ersichtlich, ob ein manuelles Update erforderlich ist oder ob die Firmware möglicherweise bereits automatisch aktualisiert wurde. Ob überhaupt eine Aktualisierung möglich ist, kann für den Nutzer so nicht mit Sicherheit festgestellt werden.

Das secuENTRY active-Gerät hinterlässt insgesamt einen soliden ersten Eindruck – in unserem Quick-Check konnten wir keine offensichtlichen Schwachstellen feststellen. Dennoch gibt es einige Anmerkungen. Besonders auffällig ist, dass die App auch auf veralteten Geräten und Android-Versionen bis hinunter zu Version 9.0 des Google-Betriebssystems installiert werden kann. Für sicherheitskritische Anwendungen halten wir dies für bedenklich und würden dringend davon abraten.

In Bezug auf die Kommunikation sieht alles zunächst gut aus. Alle Anfragen werden an denselben Endpoint „api.json“ auf einem Tuya Server gesendet. Der chinesische Hersteller und Zulieferer ist dem einen oder anderen IoT-Enthusiasten sicher bekannt, steckt in den Geräten einiger bekannter deutscher Hersteller doch die Hard- und Software desselbigen. Die Kommunikation sieht aber an und für sich gut aus: Jede Nachricht wird mit einem Signaturwert und einem Zeitstempel auf Integrität, Authentizität und Gültigkeit geprüft. Wenn Daten übertragen werden, sind diese zusätzlich zum TLS-Layer nochmals per AES verschlüsselt.

Ein theoretischer Mangel ist uns beim Scannen des Servers „m2.tuyaeu.com“ aufgefallen, den die Bridge verwendet. Der Server unterstützt Verbindungen, die mit den veralteten Protokollversionen TLS 1.0 und 1.1 verschlüsselt sind, welche bekannte kryptografische Schwachstellen aufweisen. Während unseres Tests konnten wir zwar ausschließlich verschlüsselten Verkehr mit TLS 1.2 beobachten, dennoch sollten TLS 1.0 und 1.1 deaktiviert werden. Dies würde potenzielle Downgrade-Angriffe verhindern und die Sicherheit der Kommunikation weiter verbessern.

Im Bereich Datenschutz und Datenschutzerklärung gibt es kaum Anlass zur Kritik: Die Erklärung bietet umfassende und verständliche Informationen zur Datenerhebung, -verarbeitung und -weitergabe. Ein kleiner Verbesserungsvorschlag wäre jedoch, zusätzlich einen Hinweis aufzunehmen, wie Nutzer über Aktualisierungen der Datenschutzerklärung informiert werden. Ebenso wäre es hilfreich, klarzustellen, ob und wie Nutzer im Falle eines Datenlecks (Data Breach) benachrichtigt werden. Außerdem fiel uns auf, dass die Datenschutzerklärung nicht speziell auf die Nutzung der App mit den IoT Geräten zugeschnitten ist, sondern auch die Website umfasst. Dadurch kann es für Nutzer schwierig sein, herauszufiltern, welche Inhalte für sie relevant sind. Ein Beispiel hierfür ist der Abschnitt „Bewerbungen (Ausbildung & Stellenangebote)“, der für die App-Nutzung keine Bedeutung hat. Außerdem ist die Datenerklärung mit mehr als 10 Minuten Lesezeit schon recht lang. Immerhin ist sie im Playstore auch in deutscher Sprache vorhanden, was tatsächlich nicht selbstverständlich ist, aber für Produkte, die auf dem deutschen Markt vertrieben werden, eigentlich Mindeststandard sein sollte.

Positiv hervorzuheben ist, dass lediglich zwei gängige Tracker verwendet, werden: Google Crashlytics und Google Firebase Analytics. Allerdings sollte beachtet werden, dass diese Tracker bereits vor der Zustimmung des Nutzers aktiv sind und eine Datenübertragung stattfindet (Details dazu siehe Bild).

Zu guter Letzt noch ein paar allgemeine Punkte zur Übersicht: Die Datenschutzerklärung umfasst 6580 Wörter mit durchschnittlich 17,98 Wörtern pro Satz. Um die gesamte Datenschutzerklärung zu lesen, benötigt der Nutzer etwa 10,95 Minuten. Die Datenschutzerklärung im Google Play Store wird auf Deutsch angezeigt. Zur Bewertung der Lesbarkeit wurde der Flesch-Kincaid Lesbarkeitsindex herangezogen, der in unserem Beispiel darauf hinweist, dass ein abgeschlossenes Studium erforderlich ist, um die Datenschutzerklärung zu verstehen.

Insgesamt ist auch die Burg Wächter Schloss-Lösung also als adäquat abgesichert zu betrachten. Im Quick-Check zeigten sich keine offensichtlichen Schwachstellen, die für den Nutzer gefährlich werden könnten. Ein paar kleinere Inkonsistenzen gibt es dann aber doch und dass wir als Nutzer keine Möglichkeit haben, nachzuvollziehen, welche Firmware-Version hier auf der Bridge installiert ist, trübt ein wenig den Eindruck. In Sachen Datenschutz ist die Lösung schon jetzt fast vorbildlich und wird insgesamt dementsprechend mit 2 von 3 Sternen bewertet.