Scott Goldman wollte nur, dass sein Luftreiniger bei „Gute Nacht“ in Apple Home auf der Lüfterstufe seiner Frau läuft. Nachdem Coway sein Konto wegen einer veralteten Home-Assistant-Erweiterung gesperrt hatte, löste er das Gerät vom Herstellerserver. Beim Mitschneiden stellte er fest, dass der Luftreiniger sein Stammzertifikat über unverschlüsseltes HTTP lädt.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Goldman hat am 11. November beschrieben, wie er einen Coway Airmega IconS von der Cloud des Herstellers trennte.[1] Das Ergebnis ist die Home-Assistant-Erweiterung coway-local: Nach einer Einrichtung per Bluetooth meldet sich der Luftreiniger bei einem Server im Heimnetz statt bei Coway.[2]
Das Wichtigste in Kürze
- Der Airmega IconS bezieht Zertifikate und Zugangsdaten über Adressen, die sich bei der Bluetooth-Einrichtung vorgeben lassen.[1]
- Das Stammzertifikat lädt das Gerät laut Goldman über unverschlüsseltes HTTP, das Gerät besitzt offenbar keinen eigenen Speicher für vertrauenswürdige Zertifikate.[1]
- Mit coway-local lässt sich der Luftreiniger über einen eigenen MQTT-Server in Home Assistant steuern, getestet ist bisher nur das Modell AP-1022K.[2]
- Mit der Coway-App lässt sich ein so eingerichtetes Gerät nicht mehr steuern.[2]
Warum wollte Goldman die Cloud loswerden?
Bis dahin steuerte Goldman den Luftreiniger über eine freie Erweiterung für Home Assistant, die die Coway-App nachahmt und die Cloud des Herstellers abfragt.[1] Coway sperrte die Erweiterung zwischenzeitlich wegen zu vieler Abfragen und gab sie nach Protest der Nutzer wieder frei.[1]
Die Umbenennung der App in IoCare+ erzwang eine Neufassung. Geänderte HTML-Seiten und Serverausfälle legten die Steuerung zeitweise lahm.[1] Zuletzt sperrte Coway Goldmans Konto, weil er eine alte Version der Erweiterung nutzte. Wochenlang blieb er ohne Fernsteuerung.[1]
Was verrät der Verbindungsaufbau des Geräts?
Für den Mitschnitt stellte Goldman einen Raspberry Pi ins Zimmer des Luftreinigers, band den Pi per Ethernet an einen Laptop und leitete den Datenverkehr durch das Werkzeug mitmproxy.[1] Das Ergebnis fasst er so zusammen: „Der Lüfter lädt sein Stammzertifikat über unverschlüsseltes HTTP herunter. Das ließ sich schon immer abfangen.“[1] Ein eigenes Zertifikat, das Goldman per mitmproxy-Plug-in einschleuste, nahm das Gerät ohne Prüfung an, der Datenverkehr ließ sich also mitlesen.
Die Antwort des Coway-Servers bei der Einrichtung enthält die Adresse des MQTT-Servers, die URL eines Zertifikatsservers und die Download-Adressen für Schlüssel und Zertifikat.[1] Die App schreibt diese Angaben per Bluetooth in eine verschlüsselte Konfiguration, in die sich eigene Adressen eintragen lassen.[1] Das Protokoll rekonstruierte Goldman aus dem Bluetooth-Mitschnitt eines Android-Telefons und aus der mit jadx zerlegten App. Mit einem KI-Assistenten dauerte das rund 20 Minuten, von Hand veranschlagt Goldman Stunden bis Tage.[1]
Was heißt das für vernetzte Geräte im Betrieb?
Als Volkswagen im Mai seine Schnittstelle schloss, verloren auch EVCC und die Home-Assistant-Integration den Zugriff auf Ladestand und Ladesteuerung. Mehr dazu steht in unserem Beitrag zu den Fahrzeugdaten bei VW. Dort geht es auch darum, dass der EU Data Act seit dem 12. September 2025 gilt und Nutzern Zugang zu den Daten ihrer vernetzten Produkte gewähren soll. Ob daraus ein Anspruch auf lokale Steuerung folgt, schätzen wir als offene Rechtsfrage ein.
Seit dem 11. September 2026 müssen Hersteller vernetzter Produkte in der EU bereits ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden.[3] In Deutschland soll das BSI laut Durchführungsgesetz zum Cyberresilienz-Gesetz die Meldestelle werden.
Ein Luftreiniger, der ohne Herstellerserver nicht läuft, ist nur geliehen.
Markus Seyfferth, Chefredakteur Dr. Web
Für Betriebe heißt das: Prüfen Sie vor dem Kauf, ob ein Gerät eine lokale Schnittstelle bietet. Die Cloud-Anbindung zählt als Ausfallrisiko. Geräte, die nur über den Herstellerserver laufen, gehören in ein eigenes WLAN, damit Angreifer über diese Geräte nicht ins Firmennetz gelangen. Wie schwer sich Software auf gekauften Geräten entfernen lässt, zeigte zuletzt das Botnetz aus 1,3 Millionen TV-Boxen, dessen Hintertür Besitzer nicht selbst beseitigen konnten.
Laut README sollen die Ports im vertrauenswürdigen Heimnetz bleiben und nie aus dem Internet erreichbar sein.[2] Getestet ist nur das Modell AP-1022K. coway-local ist ein Ausgangspunkt für Bastler, kein Ersatz für Herstellersupport.
Quellen
3 Quellen anzeigenQuellen ausblenden
- Scott J. GoldmanReverse engineering my Coway air purifier to ditch the cloud
- scottjgcoway-local, README (Home-Assistant-Erweiterung)
- Europäische KommissionCyber Resilience Act – Reporting obligations
Mehr Newshunger?
- Kappt VW den Zugang zu Ihren Fahrzeugdaten? Ja.
- Google zerschlägt Botnetz aus 1,3 Millionen TV-Boxen
- Cyberresilienz-Gesetz: BSI soll 141 Stellen bekommen, zwei Stichtage sind verstrichen
- Amazon stellt fünf neue Alexa-Geräte vor, auch der Echo Studio bekommt eine Kamera
- Shelly-Übernahme: Finanzaufsicht verlangt Ergänzungen, der 70-Euro-Preis bleibt
- Android-Zwischenablage: Apps können den Lesehinweis verdecken
