7 unsichtbare Gefahren in deinem Homelab 😵💥 So wirst du gehackt!

0:01 Hallo und ganz herzlich willkommen auf dem Kanal Better Admin. Mein Name ist Lenny und heute geht's mal um euer Homelab. Im Grunde genommen gibt es zwei Arten von Homelabs. Die einen, die schon gehackt wurden und die anderen, die es einfach noch nicht wissen. Klingt vielleicht übertrieben, ist es aber leider nicht. Die meisten Leute bauen ihr Homelab, um zu lernen, zu experimentieren, vielleicht ein bisschen Automatisierung, Medienserver, VMS. Was dabei aber oft vergessen wird, sind, dass auch kleinere Homeabs Teil des Internets werden, zumindest in vielen Fällen. Und das Internet macht dahingehend leider keine Gefangenen. In diesem Video zeige ich dir die gefährlichsten Sicherheitslücken, die du in deinem Homelab haben könntest. Nicht nur trockene Theorie, sondern echte reale Fälle, Dinge, die anderen passiert sind und Dinge, die mir auch schon passiert sind und vor allem, wie du es besser machst. Fangen wir direkt an. Die Tür steht offen, aber du merkst es

0:48 nicht. Stell dir vor, du gehst morgens zur Arbeit und lässt eine Haustür einfach auf. So ungefähr fühlt sich dein Homelab an, wenn du deine Dienste wie SSH, RDP oder ein Admin Interface einfach direkt ins Internet stellst. Kein VPN, keine Firewall, kein Schutz, nur blanke Hoffnung, dass keiner reinschaut. Ein Freund von mir, nennen wir ihn Max, hat sein Proxm Server über Portugänglich gemacht. Praktisch, weil er von überall drauf zugreifen konnte. Leider dachte sich das auch ein Botnet. Zwei Tage später lief seine CPU auf Lappen 100%, weil ein Kryptomeiner auf seinem Haus weckelte. Max hat das Ganze leider erst nach ein zwei Wochen gemerkt, als es leider schon viel zu spät war. Was war bei Max das Problem? Ganz einfach, offene Ports, keine Zugriffsbeschränkung und kein Monitoring. In solchen Fällen gibt's

1:33 keine einheitliche Lösung, aber du brauchst keinen super teuren Enterprise Kram, aber du brauchst ein VPN. Pils Scale z.B. Es war fast idiotensicher. Diese Dienste gehören immer hinter ein Reverse Proxy mit Authentifizierung, nicht direkt ins Netz. Mach regelmäßige Port Scans mit NMAP oder Shoden und ja, du wirst auch dort auftauchen, wenn du nicht aufpasst. Kommen wir nun zu einer persönlichen Geschichte, die mich auch getroffen hat. Dein Passwort ist schlimmer als kein Passwort. Admin Admin 1 2 3 4 5 6 Raspberry. Wenn ihr das bekannt vorkommt, solltest du jetzt ganz genau hinhören. Die Wahrheit ist ja viele Homelaber ändern die Passwörter nach ihrer Installation niemals und belassen es bei den Standardzugängen. Und genau das ist wie ein leuchtendes Neonschild über de Setup

2:20 mit Ja, hier geht's rein. Kommt alle her. Ich hatte mal einen Home Assistant auf einem Raspberry Pi laufen und na ja, das Passwort nicht geändert. Äh, drei Wochen später habe ich mich gewundert, warum das Licht im Wohnzimmer mitten der Nacht an und ausgegangen ist und ich dachte erst sei irgendwelche dummen Fehler und ich habe es einfach nicht geblickt. Tage später merke ich dann auch, dass meine Thermostate verstellt waren und jemand war drin. Das war auch kein Hacker aus Hollywood, das war einfach einfacher Bot, der die Standardzugänge ausprobiert hatte und ja, jeder wird irgendwann mal Teil davon. Wenn du sowas verhindern willst, dann fangen bei den Basics an. Jeder Dienst, egal wie unwichtig er wirkt, braucht ein starkes einzigartiges

3:07 Passwort. Immer mindestens 12 Zeichen und Sonderzeichen. Nutze Passwort Manager so gut es geht und aktiviere überall, wo es nur geht. Zwei Faktor. Das ist nicht optional, das ist meiner Meinung nach Pflicht. Und wer das nicht mittlerweile selber umsetzt, ist eigentlich fast schon selber Schuld. Natürlich lässt sich immer drüber streiten, wie wichtig die Daten sind, die man im eigenen Netz hat. Allerdings kann ich aus Erfahrung sagen, dass wenn es dann mal soweit ist, dass ihr dann doch sicher seid, dass ihr diese Schritte gemacht habt und es dem Angreifer so schwer gemacht habt, wie es nur ging. Ein weiterer Punkt, den viele machen, ist sie packen alles in ein gleiches Netz. Die meisten Homelabs haben einfach nur so ein flaches Netzwerk. Das heißt, dein Proxworks, dein Nas, dein Smart TV, deine IoT Steckdosen, alles in einem gleichen

3:52 Subnetz. Das ist eigentlich relativ entspannt, relativ simpel. bis ein Gerät davon kompromitiert wird. Smart TV mit alter Firmware, beispielsweise viele alte Samsung Smart TVs, vielleicht sogar irgendeine billige Noame IP Kamera, kann euch eine Schwachstelle übernommen werden. Wir kennen alle die Ring Geschichte von den vergangenen Jahren. Und was passiert dann? Der Angreifer kann quasi durch dein Netz spazieren wie durch ein offenes Einkaufszentrum. Und wenn dein Nass oder dein Dockerhost keine Zugriffsregeln hat, dann wird's richtig spaßig. Die Lösung dafür ist einfach Segmentierungs. Ren dein Netzwerk in Bereiche IoT Netz, Servernetz, Kleidnetz

4:38 und ganz wichtig ein Managementnetz, was nur du erreichst. Es klingt erstmal kompliziert, vielleicht auch für manche unnötig oder zu viel Arbeit, aber mit Tools wie Unify, Open Sense, PFSense geht das Ganze relativ einfach und macht wirklich einen bedeutenden Unterschied. Und den by Default: Nichts darf miteinander reden, außer du erlaubst es explizit. Ein weiteres Thema, was auf meinem Kanal wahrscheinlich sehr viele Leute auch falsch machen, ist der Umgang mit Docker. Docker ist kein Spielzeug und Docker ist vor allem kein Spielzeug mit R Zugang. Docker ist eigentlich der beste Freund von fast jedem Homelabber. So schnell flexibel, einfach schön, aber auch gefährlich, wenn du nicht drauf aufpasst. Viele starten Container mit dem privileged Flag und binden Volumes aus dem Host ein, als wäre es nichts. Manche Images laufen sogar als Root,

5:24 weil es halt einfach einfacher ist. Was kann da passieren? Stell dir vor, ein Container hat eine Schwachstelle. Der Angreifer kommt rein, weil du Privilege aktiviert hast und plötzlich kann er auf alles zugreifen. Deine Daten, dein Hostsystem und andere Container. Ein Nutzer aus Schritt hatte genau das mit Portainer. Ein Container wurde übernommen. Der Angreifer bekam Zugriff auf den Docker Socket und konnte Container löschen, neu starten und den Hostel anlegen, nur weil eine Flake gesetzt war. Und wie macht man es nun besser? Na, ich z.B. nutze ungern latest Images. Ich scanne meine Container regelmäßig mit Trivi und starte die Container meist ohne Rutrechte. Das geht mit Users, Remap oder durch das Erstellen eigener Nutzer. Privileg sollst du nie nutzen, außer du weißt genau warum. Ein weiterer wichtiger Punkt von den Sicherheitsthemen, die ich

6:09 ansprechen müsste, ist das Patching. Viele Admins lieben ja den Satz Never touch a running System und ja, man kann auch mal ein Update etwas dahinziehen und ein Update kann auch mal was kaputt machen. Was sich aber wirklich kaputt macht, ist das nicht updaten von deinem System. Software hat einfach Bugs und Bugs werden entdeckt und veröffentlicht und dann kommen Leute und suchen gezäht nach alten Versionen. Nextcloud beispielsweise hat mal eine Sicherheitslücke, mit der man Configd Dateien auslesen konnte, inklusive aller Zugangsdaten. Wer das nicht innerhalb weniger Tage geupdatet hat, war gefährdet und Nextloud ist dahingehend kein Einzelfall. Deshalb Update Automatisierung ist schon cool. Watch Tower kann man auch nutzen, um beispielsweise Docker Container aktuell zu halten und für VMs immer Systeme mit unattended Upgrades bei der wir

6:55 basierten Distros z.B. aktuell halten. Außerdem prüft regelmäßig eure Images. Geh Prepus wie Awesome self hosted helfen dabei. Ein weiter Fehler, den viele begehen, ist sie haben kein Monitoring und keine Logs und eigentlich gar keine Ahnung. Was du nicht siehst, kannst du nicht kontrollieren und genau das ist ein Problem in vielen Homelabs. Die haben nämlich kein Monitoring, keine Logs und keine Ahnung, wenn irgendwas schief läuft. Ein Dienst fällt aus, ja, du merkst es halt aber erst, wenn du ihn brauchst und vielleicht versucht sich gerade schon jemand in sein System einzuloggen. Du siehst es aber nicht. Ein Update steckt fehl, dein Dienst geht down ohne Warnung. Es ist nicht umsonst so, dass Firmen viel Geld in Monitoring stecken. Na klar, die haben High Avilability, die sind angewiesen auf die Sachen, aber das ist nur netter Nebeneffekt. Gibt sehr viele kostenlose Tools, welche ich auch schon hier auf dem Kanal vorgestellt habe, unter

7:41 anderem Uptim Kuma und so weiter. Die zeigen dir sofort dann, wenn Dienst ausfällt. Netdate hat z.B. visualisiert Symmetriken, Grafana und Loki analysieren Logs und du kannst dir sogar Alerts per Telegram, E-Mail, SMS, etc schicken. Monitoring ist kein Luxus. Es ist quasi dein Frühwahensystem, wenn Raketen abgefeuert werden und du bist derjenige, der vorher Bescheid weiß. Deswegen kann ich jedem nur ans Herz legen, diese Sachen auch zu nutzen. Kein Backup, kein Mitleid. Und im Ende kommt der Klassiker, kein Backup oder eins, das nie getestet wurde. Ebenfalls einen Kollegen gehabt, den ich mehr oder weniger bei Redit kennengelernt habe und er hat mir mal erzählt, dass sein ganzes Homelab verschüsselt wurde. Grund dafür war ein ungeschützter RDPort und ja, alle Daten und alle Container, alle VMs

8:29 waren mehr oder weniger weg. Er hatte NAS, das war im gleichen Netz und das wurde ebenfalls verschüsselt. Ich kann dir sagen, mach's einfach besser. Mach mindestens so drei Kopien deiner wichtigsten Daten auf zwei verschiedenen Medien und eine davon außerhalb von deinem Homelabline in der Cloud, wie auch immer. Dazu habe ich bereits auch schon Tools wie Fork, Backup, Restic oder Duplikat vorgestellt, die das ganze wirklich Kinder leicht machen und was vor allem auch viele nicht machen, testet eure Backups, denn ein Backup, was du nicht wiederherstellen kannst, ist einfach kein Backup. Zusammengefasst, was ich mit diesem Video sagen wollte oder sicherstellen wollte, ist, ihr seid nicht einfach auf der sicheren Seite, weil sich euer Homelab im internen Netz befindet. Ein Homelab ist eine großartige Sache.

9:14 Versteht mich nicht falsch. Es bringt dir Wissen, Kontrolle und Freiheit und ich bin ein absoluter Befürworter davon. Aber genau diese Freiheit geht Hand in Hand mit Verantwortung. Die größte Schwachstelle der meisten Homelabs sitzt nicht im Router, sondern die sitzt auf Layer 8 vor der Tastatur. Und wenn du heute nur eine Sache tust, z.B. für dein Netzwerk scannen, deine Passworter ändern, etwas segmentieren oder ein verdammtes Backup einzurichten, dann kannst du nachts besser schlafen und muss nicht hoffen, dass sich das Internet vergisst. Wenn dir dieses Video gefallen hat, dann las gerne einen Daumen hoch da, abonniere sehr gerne den Kanal und schreibt mir in die Kommentare, was war euer größter Sicherheitsfäll. Ich will alles hören ohne Scharm, denn ich denke, wir lernen alle dazu gemeinsam. Wenn ihr mehr Lust habt auf solche Videos, dann lasst ihr gerne ein Like da. Bis dahin, haut da rein und ciao.