Im Serverraum steht heute ein Kräuterkasten. Natürlich steht er da. Früher hatte man Basilikum auf der Fensterbank, heute hat Basilikum Firmware, Cloud-API und ein sehr ernstes Verhältnis zu Schlüsseln, die da nicht herumliegen sollten.
Die US-Cybersicherheitsbehörde CISA hat am 2. Juli 2026 eine Advisory zum Gardyn IoT Hub veröffentlicht. Der Satz, bei dem im Presswerk kurz der Wasserschlauch vom Haken fällt: Eine erfolgreiche Ausnutzung könne es unauthentifizierten Nutzern erlauben, verwaltete IoT-Hub-Geräte zu erreichen und zu kontrollieren. Nicht: jemand vergisst das WLAN-Passwort. Eher: jemand findet die Gießkanne im Netz und probiert, ob sie auch fremde Pflanzen kennt.
Wenn der Schlüssel im Blumentopf steckt
Betroffen sind laut CISA Gardyn Home Firmware vor master.627, Gardyn Studio Firmware vor master.627 und die Gardyn Cloud API vor 2.12.2026. Die Behörde nennt drei CVEs: CVE-2026-13768, CVE-2026-55726 und CVE-2026-54477. Der schwerste Teil bekommt einen CVSS-v3.1-Wert von 10.0. Das ist die Skala, bei der der rote Warnknopf nicht mehr blinkt, sondern beleidigt in den Feierabend geht.
Besonders unschön: CISA beschreibt eine offengelegte privilegierte iothubowner-Kennung. Mit Zugriff darauf könne ein böswilliger Nutzer Informationen zu Gardyn Home Kit- und Studio-Geräten abrufen, beliebige Befehle auf einem verbundenen Gerät ausführen und sich womöglich weiter ins Nutzernetz bewegen. Außerdem nennt CISA öffentlich auflistbare Geräte-Logs in einem Azure-Blob-Container. Das ist kein romantisches Gartengeräusch. Das ist der Komposthaufen mit Fernzugriff.
Die Tomate braucht keine offene Tür
Gardyn gibt laut Advisory an, die IoT-Hub-Infrastruktur aktualisiert zu haben. Nutzer sollen ihre Geräte mit dem Internet verbinden, damit notwendige Firmware-Updates automatisch geladen werden können; außerdem empfiehlt Gardyn eine aktuelle App-Version. CISA ergänzt die üblichen, aber hier ziemlich bodenständigen Maßnahmen: Steuerungsgeräte nicht direkt aus dem Internet erreichbar machen, Netze trennen, Remote-Zugriffe absichern.
Das klingt trocken, aber im Kräuterregal heißt es: Der smarte Kasten darf gern melden, ob der Basilikum Durst hat. Er muss dafür nicht mit offener Werkstatttür an der Bordsteinkante stehen. Zwischen „Pflanze bekommt Wasser“ und „Fremder bekommt Befehlsgewalt“ liegt eine kleine, rostige Firewall. Man kann sie sehen, wenn man nicht gerade auf die App starrt.
Bekannte Ausnutzung? Laut CISA derzeit nicht
CISA schreibt, dass ihr zum Veröffentlichungszeitpunkt keine bekannte öffentliche Ausnutzung speziell dieser Lücken gemeldet wurde. Das ist gut. Es ist aber kein Freifahrtschein, die Gießkanne wieder ins offene Netz zu hängen und „wird schon“ auf den Topfrand zu kratzen.
Die Blechpresse empfiehlt daher ganz unromantisch: Updates prüfen, App aktualisieren, Geräte nicht unnötig exponieren, Heimnetz nicht als öffentlicher Gemüsemarkt betreiben. Und wenn ein Gerät für Basilikum mehr Cloud-Rechte verlangt als der Hausmeister im Rechenzentrum, darf man ruhig einmal fragen, ob die Minze nicht auch analog überlebt.
Quellen
CISA: Gardyn IoT Hub, ICSA-26-183-03, veröffentlicht am 2. Juli 2026.