Staubsauger von Shark: Eine Sicherheitslücke verwandelt die Roboter in rollende Spione - SharkNinja zögert mit dem Patch

Ein Forscher behauptet, SharkNinja bereits im März auf eine Schwachstelle hingewiesen zu haben, die es ermöglicht, die Shark-Roboterstaubsauger fernzusteuern, auf deren Kamera zuzugreifen und sensible Daten zu exfiltrieren. Die Korrekturen lassen auf sich warten.

Die Fakten

Laut Journal du Geek hat ein Forscher eine Schwachstelle identifiziert, die Roboterstaubsauger der Marke SharkNinja (eine weit verbreitete Marke in Nordamerika und Europa) betrifft. Die Ausnutzung würde einem Angreifer ermöglichen:

• den Roboter fernzusteuern;
• die eingebaute Kamera zu aktivieren;
• Daten zu exfiltrieren (Kartierung des Innenraums der Wohnung, potenziell Wi-Fi-Anmeldedaten oder Sitzungstokens, je nach Modell).

Der Forscher behauptet, den Hersteller bereits im März 2026 benachrichtigt zu haben. Mehrere Monate später sind die Patches je nach Modell noch teilweise oder gar nicht vorhanden.

Wer ist betroffen?

Der Artikel listet nicht alle betroffenen Referenzen auf. Zum Zeitpunkt der Abfassung dieses Artikels muss daher davon ausgegangen werden, dass die gesamte Shark-verbundene Produktpalette potenziell betroffen ist, bis ein offizieller Advisory von SharkNinja die anfälligen Firmware-Versionen und die verfügbaren Patches angibt.

Bisher wurde kein CVE-Identifikator veröffentlicht.

Kontext: IoT im Haushalt = anhaltender blinder Fleck

Dieser Vorfall fügt sich in einen gut dokumentierten Kontinuum ein:

• Roboterstaubsauger sind nun mit Kameras, LIDAR, Mikrofonen und einer detaillierten Kartierung des Hauses ausgestattet - also den Überwachungsdaten eines idealen Nutzers.
• Die Zeit bis zum Patch eines Herstellers von Consumer-Hardware ist immer noch deutlich länger als die eines Softwareherstellers: Mehrere Monate Verzögerung zwischen verantwortungsvoller Meldung und Patch sind keine Ausnahme.
• Der Bericht AIVD/MIVD dokumentiert, wie stark das schlecht gepatchte IoT heute zu Spionagezwecken genutzt wird - nicht nur von Script Kiddies.

Was jetzt zu tun ist

Für Nutzer von Shark-verbundenen Robotern, in Erwartung eines offiziellen Patches:

1. Den Roboter auf ein Gast-VLAN isolieren (getrenntes Wi-Fi-SSID, kein Zugriff auf den Rest des Heimnetzwerks);
2. Den ausgehenden Internetzugriff des Roboters deaktivieren, wenn der Hersteller einen lokalen Modus erlaubt - oder seine Telemetrieadressen auf Router-Ebene blockieren;
3. Die Kamera physisch abdecken (Aufkleber), wenn der Roboter nicht im Einsatz ist;
4. Regelmäßig die SharkNinja-Supportseite auf ein Firmware-Update mit Patch prüfen.

Was zu beachten ist

Bisher gibt es keine dokumentierte aktive Ausnutzung in der Natur - aber eine Patch-Verzögerung von fast vier Monaten trotz verantwortungsvoller Warnung. Wenn die Angelegenheit hochgeht, könnte sie die Debatte, die in Europa latent ist, über die Verpflichtung zu einem SBOM und einer maximalen Patch-Frist für vernetzte Konsumgüter wiederbeleben, wie es das Cyber Resilience Act ab 2027 vorsieht.