Ein Hacking-Wettbewerb lebt davon, dass Geräte kaputtgehen. Trotzdem war das Ergebnis für Home Assistant Green bei Pwn2Own Ireland 2026 in Cork bemerkenswert eindeutig: Binnen zwei Tagen fiel die kleine Smart-Home-Box gleich sieben Mal — öfter als jedes andere getestete Gerät der jeweiligen Kategorie.
TAG 2: FÜNF TREFFER AN EINEM TAG
Am 7. Oktober, dem zweiten Wettbewerbstag, knackten gleich fünf unabhängige Teams das Gerät:
- Yves Bieri (Team Xint) — 30.000 Dollar, der höchste Einzelbetrag des Tages
- Doyensec (Yassine Bengana & Maxence Schmitt) — 7.500 Dollar, über eine Kette aus drei Bugs
- PetoWorks — 12.000 Dollar für eine Fünf-Bug-Kette mit drei neuen Zero-Days
- Kyeongmin Kim (KAIST Hacking Lab) — 4.750 Dollar für eine Vier-Bug-Kette mit einem Zero-Day
- _McCaulay — 7.000 Dollar für die aufwendigste Kette des Tages: sechs Bugs, davon fünf komplett neue Zero-Days
Nur ein sechster Versuch, von Shio Kudo (GMO Flatt), scheiterte.
TAG 3: ES GING WEITER
Am 8. Oktober legten zwei weitere Teams nach: Team DDOS (Ben Koo & Evangelos Daravigkas) nutzte eine Fünf-Bug-Kette mit einem Zero-Day und kassierte 4.500 Dollar. Das siebenköpfige Team MAMMOTH ging noch weiter und baute eine Kette aus sechs komplett neuen Zero-Days, honoriert mit 7.500 Dollar. Zwei Tage, sieben erfolgreiche Angriffe — bei einem Gerät, das in vielen deutschen Homelabs als zentrale Automatisierungs-Schaltstelle läuft.
WICHTIG: KEIN INTERNET-ANGRIFF
Bevor jetzt Panik aufkommt: Pwn2Own-Angriffe laufen nach den Wettbewerbsregeln grundsätzlich über physischen oder lokalen Netzwerkzugriff auf das Zielgerät — nicht aus dem offenen Internet heraus. Die Teams hatten das Gerät direkt vor Ort und griffen es über das lokale Netz beziehungsweise Funkschnittstellen an. Das senkt die unmittelbare Gefahr für dein Zuhause deutlich, solange dein Netzwerk nicht ohnehin schon kompromittiert ist. Es zeigt aber auch: Wer physischen oder WLAN-Zugriff auf dein Heimnetz bekommt, hat mehr Angriffsfläche, als viele annehmen.
WAS DAS INSGESAMT BEDEUTET
Pwn2Own Ireland 2026 lief vom 6. bis 9. Oktober in Cork und deckte neben Smart-Home-Geräten auch Smartphones, Drucker und NAS-Systeme ab — insgesamt wurden über das gesamte Event Preisgelder in Millionenhöhe ausgezahlt, allein am dritten Tag standen laut Veranstalter Zero Day Initiative rund 1,33 Millionen Dollar auf dem Tisch. „Master of Pwn“ des gesamten Events wurde Ikotas Labs, Inc., die mit einem Exploit gegen ein Google Pixel 10 allein 300.000 Dollar einstrichen.
Für Home Assistant Green bedeutet das sieben-malige Scheitern vor allem eines: Der Hersteller Nabu Casa bekommt von der Zero Day Initiative die branchenübliche 120-Tage-Frist, um die gefundenen Lücken zu patchen, bevor technische Details veröffentlicht werden. Bis dahin bleiben die genauen Schwachstellen unter Verschluss — nur die Tatsache, dass sie existieren, ist bekannt.
FAZIT: GUTES ZEICHEN, TROTZ SCHLECHTER ZAHLEN
Paradox, aber wahr: Dass so viele Teams Home Assistant Green angreifen wollten, zeigt auch, wie relevant und verbreitet die Plattform inzwischen ist. Wettbewerbe wie Pwn2Own existieren genau dafür — Lücken zu finden, bevor es echte Angreifer tun. Die eigentliche Nachricht kommt erst in rund vier Monaten, wenn die Patches und Details veröffentlicht werden.