Unter der Überschrift "Eine Suchmaschine für schlafende Kinder" berichtete das IT-Portal Ars Technica am Wochenende über die Website Shodan, die selbsternannte Suchmaschine für das Internet der Dinge. Dort lassen sich seit Kurzem auch Aufnahmen ungesicherter Web- und Netzwerkkameras rund um die Welt finden – und in Ausnahmefällen bekommen die Nutzer tatsächlich einen Einblick in fremde Kinderzimmer.

Es ist nicht das erste Mal, dass Shodan in den Medien auftaucht. Bereits 2009 startete der amerikanische Programmierer John Matherly das Projekt. Vor drei Jahren machte Shodan erstmals größere Schlagzeilen, als ein Sicherheitsforscher den Dienst nutzte, um mehr als 10.000 unsichere industrielle Steuersysteme zu finden. Ein Jahr später konnten Shodan-Nutzer unter anderem auf Nummernschildscanner und vernetzte Drucker zugreifen.

Die Suchmaschine funktioniert vereinfacht gesagt wie folgt: Rund zwei Dutzend Rechner weltweit scannen regelmäßig die IPv4-Adressen im Internet daraufhin, welche Geräte hinter ihnen stecken. Shodan pingt sie an und fragt: Was kannst du mir über dich sagen? In vielen Fällen geht die Antwort nicht über den Verbindungsstatus, den Provider und den Standort hinaus. In einigen Fällen aber lässt sich damit mehr anstellen. Etwa dann, wenn hinter den Adressen Kameras stecken, die kein oder bloß das Standardpasswort enthalten.

So ist es Shodan möglich, sich mit der passenden Suchanfrage in den Stream von Überwachungskameras einzuklinken und einen Screenshot zu machen. Die volle Funktion steht nur zahlenden Nutzern zur Verfügung, aber auch mit einem Gratis-Account lassen sich Aufnahmen von Geschäften, Einfahrten und in einigen Fällen auch Wohnräumen finden.

Auch andere Websites nutzen das Prinzip. Der Twitter-Account FFD8FFDB etwa postet regelmäßig Screenshots von Überwachungskameras. Und das nach eigenen Angaben "weltweit größte Webcamverzeichnis" Insecam liefert sogar Videostreams. Nachdem es in der Vergangenheit viel Kritik gab, zeige Insecam aber inzwischen nur noch "gefilterte" Kameras, die nicht in die Privatsphäre der Nutzer eingreifen. Wie genau die russischen Betreiber das garantieren wollen, ist unklar.

Das Internet der unsicheren Dinge

Klar ist dagegen: Projekte wie Shodan und Insecam demonstrieren die mangelnde Sicherheit vieler vernetzter Geräte und damit ein Grundproblem des wachsenden Internets der Dinge (IoT). Der Trend, immer mehr Geräte mit dem Internet verbinden zu müssen, von Webcams über Spielzeug hin zu Haushaltsgeräten, Autos und komplexen Steuersystemen in der Industrie, führt dann zu Problemen, wenn mangelnde Sicherheitsvorkehrungen auf Unkenntnis vonseiten der Nutzer trifft.

"Das Problem liegt einerseits bei den Herstellern", sagt Christian Gollner, Rechtsreferent der Verbraucherzentrale Rheinland-Pfalz zu ZEIT ONLINE. Sogenannte IP-Kameras, die sich über das Internet steuern lassen, seien inzwischen beliebt bei Verbrauchern, weshalb viele Hersteller sich in erster Linie auf einen möglichst geringen Verkaufspreis konzentrierten. Die Sicherheit bleibe auf der Strecke. Gollner verweist auf den jüngsten Fall von Aldi-Überwachungskameras, auf die sich unbefugt zugreifen lässt. Nämlich dann, wenn die Nutzer während der Installation kein Passwort einrichten. Inzwischen hat der Hersteller ein Firmware-Update herausgegeben, das eine Passworteingabe erzwingt.

Andererseits sind die Nutzer oft mitschuldig. Die technikaffinen werden vernetzte Geräte sicherlich nicht ohne eigene und im besten Fall komplexe Passwörter verwenden. Doch die Zielgruppe des Internets der Dinge und von Smart Homes ist größer, und nicht jeder ist mit den notwendigen Sicherheitsvorkehrungen vertraut. "Die Geräte werden so verkauft wie Waschmaschinen, sind aber viel komplizierter. Viele Verbraucher wissen nicht, dass Webcams möglicherweise knackbar sind oder dass jedes noch so kleine ihrer vernetzten Geräte regelmäßig Updates braucht", sagt Gollner. Bislang liegt es an den Nutzern, herauszufinden, ob und wie ein Fernzugriff überhaupt möglich ist und wie man die Software oder den Router möglichst sicher einrichtet. Gollner empfiehlt in jedem Fall, sich schon vor dem Kauf ausführlich zu informieren. Gleichzeitig hofft er, dass die Hersteller künftig mehr in die Sicherheit investieren.