Der Salat steht da, frisch beleuchtet, ein bisschen feucht an den Rändern, und tut so, als ginge ihn die Netzwerkpolitik nichts an. Links summt die Pumpe. Rechts blinkt ein Hub. Dazwischen hängt ein Schlüsselbund, und wenn man genau hinhört, klimpert nicht nur Metall, sondern auch dieses alte Geräusch: hart codiert.
Die US-Behörde CISA hat am 2. Juli 2026 eine ICS-Advisory zum Gardyn IoT Hub veröffentlicht. Es geht nicht um ein bisschen App-Zickigkeit im Kräuterregal, sondern um drei Schwachstellen, die CISA zusammen mit CVSS v3 10, kritisch einsortiert. Laut Advisory könnten unauthentifizierte Nutzer bei erfolgreicher Ausnutzung auf vom IoT Hub verwaltete Geräte zugreifen und diese kontrollieren. Der Salat nickt dazu nicht. Er hat keine Nackenmuskeln. Aber man spürt etwas.
Wenn der Basilikum plötzlich Registry Manager sagt
Der blecherne Kern ist unangenehm schlicht: CISA beschreibt unter anderem CVE-2026-13768, bei der Gardyn-Geräte einen privilegierten iothubowner-Schlüssel offenlegen. Mit diesem Schlüssel könne ein Angreifer eine IoTHub-Registry-Manager-Funktion aufrufen, Verbindungsinformationen für Gardyn-Home-Kit- und Studio-Geräte erhalten, Befehle auf einem verbundenen Gerät ausführen und möglicherweise in andere Geräte im Netzwerk weiterkriechen. Also genau diese Sorte Fehler, bei der der Router im Flur plötzlich leise die Küchentür abschließt.
Betroffen nennt CISA Gardyn Home Firmware und Studio Firmware vor master.627 sowie die Gardyn Cloud API vor 2.12.2026. Neben den hart codierten Zugangsdaten stehen laut Advisory auch die Preiszettel der üblichen Sicherheitsabteilung im Regal: sensible Systeminformationen außerhalb der vorgesehenen Kontrollsphäre und eine unzureichende Neutralisierung von HTTP-Headern für Skript-Syntax. Drei kleine Schrauben, eine große Wackelplatte.
Der Garten ist jetzt Infrastruktur, Entschuldigung
Natürlich klingt ein smarter Indoor-Garten erst einmal harmlos. Ein bisschen Wasser, ein bisschen Licht, eine App, die sagt: Deine Petersilie hat Gefühle, oder wenigstens WLAN. Aber jedes Gerät, das Befehle annimmt, Schlüssel verwaltet und in ein Heimnetz greift, ist nicht mehr nur Küchenzubehör. Es ist ein kleiner Amtsflur mit Steckern. Wenn dort ein Generalschlüssel auf dem Haken hängt, marschiert die Sicherheit nicht heroisch los, sie sucht erst einmal den Hausmeister.
Gardyn teilt laut CISA mit, die IoT-Hub-Infrastruktur sei aktualisiert worden. Nutzer sollen dafür sorgen, dass ihre Geräte Internetverbindung haben, damit notwendige Firmware-Updates automatisch geladen werden können; außerdem empfiehlt Gardyn die aktuelle mobile App-Version. Das ist der moderne Reparaturzettel: Bitte schließen Sie das betroffene Gerät ans Netz an, damit es merkt, dass es betroffen war. Ja. So wohnen wir jetzt.
Die Blechpresse notiert: Nicht jeder Sicherheitsvorfall muss nach Rechenzentrum riechen. Manchmal riecht er nach feuchter Erde, LED-Licht und einem Cloud-Schlüssel, der zu lange im Maschinenraum liegen geblieben ist. Wer vernetzte Dinge verkauft, verkauft immer auch ein Stück Betrieb. Und Betrieb ist kein Basilikum. Betrieb wächst nicht einfach nach, wenn man ihn einmal abgeschnitten hat.