Bosch IoT Sicherheitslücke: Firebase Admin Keys in öffentlichen Apps — Fahrzeug & Smart Home Hack-Risiko

Das Problem

In mehreren Android-Apps der Robert Bosch GmbH wurden Firebase Admin SDK Private Keys im Klartext identifiziert. Diese Schlüssel ermöglichen potenziell vollen administrativen Zugriff auf die Firebase-Infrastruktur — einschließlich Realtime Databases, Cloud Firestore, Cloud Messaging und Nutzer-Authentifizierung.

In einer IoT-Umgebung bedeutet dies: Wer den Admin Key hat, kann theoretisch Geräte steuern, Push-Nachrichten an alle verbundenen Devices senden und Nutzerdaten lesen.

Betroffene Bereiche

• Fahrzeug-Telematik — Connected-Car-Funktionen, Fernsteuerung, Statusabfragen
• Smart Home — Bosch Smart Home Geräte, Heizungssteuerung, Sicherheitskameras
• Industrielle IoT — Maschinenüberwachung, Predictive Maintenance
• Push-Infrastruktur — Massenhafte Benachrichtigungsmanipulation an alle App-Nutzer

Häufig gestellte Fragen

Ist Bosch gehackt worden?
Es wurden Schwachstellen identifiziert, die einen Hack ermöglichen könnten. Ob sie aktiv ausgenutzt wurden, ist nicht bekannt.

Sind meine Bosch Smart Home Geräte sicher?
Bis Bosch die betroffenen Firebase Keys rotiert, besteht ein theoretisches Risiko. Nutzer sollten ungewöhnliche Geräteaktivität überwachen.

Was sollte Bosch tun?
Sofortige Rotation aller exponierten Firebase Admin Keys, Überprüfung der Zugriffshistorie und Benachrichtigung betroffener Nutzer.