Licht als Befehl: Wie Laserinjektionsangriffe die physische Verteidigungslinie sprachgesteuerter Systeme durchbrechen

Autor: DerSchneider

Einleitung

Sprachassistenten sind längst im Alltag angekommen. Amazon Alexa, Google Assistant und Apple Siri stecken in Smart Speakern, Smartphones, Tablets und zunehmend auch in Fahrzeug-Bedienpanels. Nutzer steuern sie per Zuruf – vom Abspielen von Musik bis zum Entsperren von Türschlössern und dem Starten von Fahrzeugen. Dieses Interaktionsmodell beruht auf einer stillschweigenden Grundannahme: Das Mikrofon empfängt Schallwellen aus der Luft, und diese Schallwellen stammen von der Stimme eines Menschen. Eine 2019 öffentlich gewordene Forschungsarbeit hat diese Annahme erschüttert. Ein Team der University of Michigan und der University of Electro-Communications in Tokio zeigte, dass die Bestrahlung der Mikrofonöffnung eines MEMS-Mikrofons mit amplitudenmoduliertem Laserlicht am Audioausgang des Geräts ein elektrisches Signal erzeugt, das von echter Sprache nicht zu unterscheiden ist – und dass sich damit beliebige Sprachbefehle in das System einspeisen lassen. Die Arbeit trägt den Namen „Light Commands“ und wurde 2020 auf dem 29. USENIX Security Symposium formell veröffentlicht.

Dieser Artikel verfolgt das Ziel, den Angriff und seine Nachfolgeforschung systematisch und präzise darzustellen. Im Vordergrund steht nicht die Dramatisierung der Bedrohung, sondern die Klärung der physikalischen Mechanismen, der experimentellen Grenzen, der Verteidigungslogik und der technischen Entwicklung bis 2024. Besonders aufschlussreich ist dabei ein Punkt, der in vielen populären Darstellungen fehlt: Die von den ursprünglichen Autoren selbst empfohlene Gegenmaßnahme – der Einsatz von Mikrofon-Arrays mit Sensor Fusion – wurde 2024 durch eine Weiterentwicklung namens LCMA unterlaufen. Diese Evolution ist lehrreicher als der Angriff in seiner ursprünglichen Form.

Erstens: Die physikalische Grundlage – warum Licht als Schall wahrgenommen wird

1.1 Funktionsprinzip und inhärente Verwundbarkeit von MEMS-Mikrofonen

In modernen Konsumelektronikgeräten sind nahezu ausschließlich kapazitive MEMS-Mikrofone (Micro-Electro-Mechanical Systems) verbaut. Ihr Kernstück ist eine extrem dünne Siliziummembran, die über einer festen Gegenelektrode aufgehängt ist und mit dieser einen Kondensator bildet. Schalldruck versetzt die Membran in Bewegung, die Kapazität ändert sich, und ein anwendungsspezifischer Schaltkreis (ASIC) wandelt diese Änderung in ein Spannungssignal um. Die Membran ist typischerweise nur wenige Mikrometer dick, der Spalt zwischen Membran und Gegenelektrode ist noch kleiner. Diese Konstruktion ist hochempfindlich gegenüber kleinsten Druckänderungen – genau das macht sie akustisch leistungsfähig und zugleich sicherheitsrelevant: Auch Licht kann winzige mechanische Auslenkungen oder elektrische Veränderungen hervorrufen.

1.2 Die drei physikalischen Mechanismen in präziser Abgrenzung

Zur Frage, wie Laserlicht in diesem Aufbau ein Signal erzeugt, gab es frühe, vereinfachende Erklärungen. Im Jahr 2024 veröffentlichten Cyr, Sumaria, Long, Tadigadapa, Sugawara und Fu in der Fachzeitschrift Journal of Hardware and Systems Security eine systematische experimentelle Charakterisierung und Modellierung. Sie ordnen das laserinduzierte Signal präzise drei physikalischen Mechanismen zu, die sich linear überlagern:

Erstens: Thermoelastische Biegung (Thermoelastic Bending). Die MEMS-Struktur absorbiert Lichtenergie, erwärmt sich und dehnt sich aus. Bei thermischer Asymmetrie innerhalb der Membran entsteht ein Biegemoment, das die Membran auslenkt und damit die Kapazität verändert.

Zweitens: Thermische Diffusion (Thermal Diffusion). Die durch Licht erwärmte Membran heizt die umgebende Luft. Die periodisch erwärmte Luftsäule expandiert adiabatisch und erzeugt eine Druckwelle, die ihrerseits die Membran auslenkt. Dieser Mechanismus ist im Kern eine Umwandlung von Licht in Wärme und von Wärme in Schall. Der in manchen früheren Darstellungen verwendete Begriff „thermopistonischer Effekt“ (thermal piston effect) ist hierfür unpräzise und sollte durch „thermische Diffusion“ ersetzt werden.

Drittens: Photostromerzeugung (Photocurrent Generation). Licht fällt direkt auf den ASIC-Chip und setzt dort Ladungsträger frei. Der resultierende Photostrom wird von der nachgeschalteten Elektronik als Nutzsignal interpretiert.

Die Wellenlängenabhängigkeit dieser Mechanismen ist experimentell belegt: Bei langwelligen Lasern, etwa 904 Nanometern im Infrarotbereich, dominiert die Photostromerzeugung im ASIC, während bei kurzen Wellenlängen, etwa 450 Nanometern im Blaubereich, die thermische Diffusion überwiegt. In acht kommerziellen MEMS-Mikrofonen war bei langen Wellenlängen das photoelektrische Signal zwei- bis hundertmal stärker als das photoakustische Signal, und zwar in sechs von acht Proben. Diese Messdaten sind für die Entwicklung wirksamer Abschirmungen entscheidend, denn sie zeigen: Eine einfache Abdeckung der Mikrofonöffnung reicht nicht aus, wenn der Laser den ASIC durch das Gehäuse hindurch erreichen kann.

1.3 Von der analogen Stimme zum Laserstrahl: Pulsweitenmodulation

Um Sprache über einen Laser zu übertragen, wird das Audiosignal in eine Pulsweitenmodulation (PWM) umgewandelt. Die Amplitude der Schallwelle wird dabei in die Breite rechteckiger Pulse kodiert: Ein lauter Ton erzeugt breite Pulse, ein leiser schmale. Ein Mikrocontroller, in der Originalarbeit und den Nachfolgestudien meist ein STM32, steuert über seine PWM-Ausgänge die Intensität des Lasers. Der Laserstrahl wird mit einer Linse auf die Mikrofonöffnung fokussiert, häufig unterstützt durch ein Teleskop oder Teleobjektiv, um die Reichweite zu maximieren.

Das Empfangsmikrofon „sieht“ die pulsierende Lichtintensität als periodische Membranbewegung – also als Schall. Voraussetzung ist lediglich, dass die Pulsfrequenz unterhalb der Nyquist-Grenze des Mikrofons liegt, typischerweise im Bereich bis 20 Kilohertz. Da handelsübliche Laserpointer mit einfachen Treibern bereits ausreichen, ist die Einstiegshürde für einen Angriff denkbar niedrig.

Zweitens: Die Light-Commands-Studie – Reichweite, Geräte, Szenarien

2.1 Experimenteller Aufbau und Ergebnisse

Die Forscher testeten 17 verschiedene Geräte, darunter Amazon Echo Plus (erste und zweite Generation), Google Home, Google Home Mini, iPhone XR, iPad 6, Samsung Galaxy S9 und Google Pixel 2. Der Aufbau bestand aus einem Laser, einem Laser-Treiber, einem Audioverstärker, einem Steuerungscomputer und einer Optik zur Strahlformung. Besonders aufschlussreich sind die minimalen Laserleistungen und maximalen Reichweiten:

Daten aus BleepingComputer

Das Google Home erwies sich als besonders empfindlich: Mit nur 5 Milliwatt Laserleistung – weniger, als ein handelsüblicher Laserpointer abstrahlt – gelang die Befehlsinjektion noch aus über 110 Metern Entfernung. Die Forscher demonstrierten dies in einem 110 Meter langen Korridor, wobei der Laser durch ein doppelt verglastes Fenster bei windigen Bedingungen auf das Gerät gerichtet wurde. In einer weiteren Demonstration öffneten sie aus 75 Metern Entfernung und in einem Winkel von 21 Grad durch ein Fenster hindurch eine Garagentür.

2.2 Was der Angreifer steuern kann

Sobald der Laserbefehl vom Gerät akzeptiert wird, stehen dem Angreifer sämtliche Funktionen des Sprachassistenten offen, für die keine zusätzliche Authentifizierung erforderlich ist. Die Forscher demonstrierten:

• Entsperren smarter Türschlösser (August Smart Lock)
• Öffnen von Garagentoren
• Lokalisieren, Entsperren und Starten von Fahrzeugen (Ford, Tesla) über die jeweiligen Hersteller-Apps, sofern diese mit dem Assistenten verknüpft waren
• Online-Einkäufe (die Forscher bestellten Laserpointer über Amazon)
• Deaktivieren von Überwachungskameras

Besonders brisant: Selbst wenn für eine Aktion eine PIN erforderlich ist, etwa bei Einkäufen, berichteten die Forscher, dass die Geräte keine Begrenzung der Versuche vornahmen. Eine Brute-Force-Attacke auf den vierstelligen Code sei innerhalb kurzer Zeit erfolgreich gewesen. Diese Aussage ist in der verfügbaren öffentlichen Berichterstattung nicht durchgängig verifizierbar und sollte als Forscheraussage gekennzeichnet bleiben.

Drittens: Die Gegenmaßnahme, die zur nächsten Verwundbarkeit führte – Mikrofon-Arrays

3.1 Der naheliegende Ansatz: Sensor Fusion

Als Reaktion auf die Light-Commands-Studie empfahlen die Forscher selbst eine Hardware-Gegenmaßnahme: die Verwendung von Mikrofon-Arrays mit Sensor Fusion. Die Idee: Wenn ein Gerät nur dann auf einen Befehl reagiert, wenn mehrere Mikrofone gleichzeitig das gleiche Signal empfangen, könnte ein einzelner Laserstrahl, der nur ein Mikrofon beleuchtet, keinen gültigen Befehl erzeugen. Moderne Smart Speaker wie der Amazon Echo setzen auf sechs oder sieben MEMS-Mikrofone in ringförmiger Array-Anordnung, während das Google Home mit nur zwei Mikrofonen auskommt. Die Wake-Word-Erkennung erfordert bei Array-Geräten, dass mehr als die Hälfte der Mikrofone das Signal empfangen.

3.2 LCMA: Der Angriff lernt, mit Arrays zu sprechen

Doch die Empfehlung erwies sich als unzureichend. Eine 2024 im IACR Transactions on Cryptographic Hardware and Embedded Systems veröffentlichte Studie von Shi, He, Wang, Zhuge, Li und Liu mit dem Titel „Laser-Based Command Injection Attacks on Voice-Controlled Microphone Arrays“ zeigt, dass sich Mikrofon-Arrays mit einer verfeinerten Technik ebenfalls angreifen lassen. Die Methode heißt LCMA (Laser Commands for Microphone Array) und löst das zentrale Problem: Wie kann ein einzelner Laserstrahl mehrere Mikrofone gleichzeitig erreichen, ohne dass für jedes Mikrofon ein eigener Laser mit separatem Treiber benötigt wird?

Die Lösung liegt in der Aufteilung des Laserstrahls in mehrere Punkte mithilfe von Strahlteilern oder diffraktiven optischen Elementen. Ein einzelner STM32-Mikrocontroller steuert über mehrere PWM-Kanäle mehrere Laserdioden oder einen einzelnen Laser mit schneller Strahlablenkung. Entscheidend ist, dass die Frequenz der Lichtmodulation für jedes Mikrofon leicht unterschiedlich sein kann, um die spezifischen Resonanzeigenschaften der einzelnen Mikrofone optimal auszunutzen. LCMA kann zudem per Bluetooth Low Energy (BLE) ferngesteuert werden und ist damit prinzipiell auf einer Drohne montierbar.

Die Ergebnisse sind ernüchternd: LCMA war erfolgreich gegen 29 Geräte, darunter der iPhone 15 und das Bedienpanel des Tesla Model Y. Die Forscher betonen ausdrücklich, dass die existierenden Verteidigungsmaßnahmen – also die Sensor Fusion durch Mikrofon-Arrays – für diesen Angriff kein Hindernis darstellen. Ein wichtiges Detail, das in populären Darstellungen oft fehlt: Die einfache Erweiterung des Lichtstrahls auf mehrere Mikrofone reicht nicht aus, um Geräte mit Sensor Fusion zu wecken – LCMA löst dieses Problem durch die gezielte, phasenspezifische Bestrahlung mehrerer Mikrofone mit abgestimmten Modulationsfrequenzen.

Viertens: Einordnung – wie real ist die Bedrohung?

4.1 Praktische Hürden

Trotz der spektakulären Demonstrationen gibt es erhebliche praktische Einschränkungen, die eine reale Ausnutzung erschweren:

• Sichtlinie erforderlich: Der Angreifer muss direkte Sicht auf die Mikrofonöffnung des Zielgeräts haben. Wände, Vorhänge oder auch nur eine ungünstige Ausrichtung des Geräts verhindern den Angriff.
• Präzise Zielerfassung: Besonders bei großer Entfernung ist die Ausrichtung des Lasers auf die wenige Millimeter große Mikrofonöffnung eine Herausforderung. Die Forscher verwendeten Teleskope und Teleobjektive auf Stativen.
• Akustische Rückmeldung: Das Gerät antwortet auf den Befehl hörbar. Ein Angreifer in Hörweite wird durch die Sprachausgabe des Assistenten enttarnt. In der Originalarbeit wurde daher empfohlen, die Lautstärke vor dem eigentlichen Befehl auf null zu setzen – ein zusätzlicher Schritt, der die Komplexität erhöht.
• Umgebungsbedingungen: Nebel, schmutzige Fenster oder starke Luftturbulenzen können den Laserstrahl streuen und die Effektivität mindern.
• Drohnen-Einsatz: Die LCMA-Forscher weisen darauf hin, dass ihre Methode für den Drohneneinsatz optimiert werden müsste, da die Zielerfassung aus der Luft eine hohe Flugstabilität erfordert – eine technische Hürde, die aber nicht prinzipiell unüberwindbar ist.

4.2 Warum die Bedrohung dennoch ernst zu nehmen ist

Die genannten Hürden relativieren die Bedrohung für den durchschnittlichen Privatnutzer, der seinen Smart Speaker im Wohnzimmer stehen hat und keine sichtbare Mikrofonöffnung nach außen bietet. Anders sieht es jedoch in Szenarien mit gezielter Zielerfassung aus:

• Ein Angreifer in einem gegenüberliegenden Gebäude mit freier Sicht durch ein Fenster auf einen Smart Speaker am Fensterbrett.
• Ein Innenraum-Szenario in Büros oder Hotels, in denen Geräte für Angreifer mit Zugang sichtbar sind.
• Fahrzeuge, deren Sprachassistenten über die Windschutzscheibe erreichbar sind – die LCMA-Studie demonstrierte dies explizit für das Tesla-Model-Y-Bedienpanel.
• Smartphones und Tablets, die auf Tischen liegen und deren Mikrofone von schräg oben mit einem Laser erreicht werden können.

Die Tatsache, dass die Kosten für die Ausrüstung unter 400 US-Dollar liegen und die benötigten Komponenten (Laserpointer, Treiber, Verstärker) frei erhältlich sind, senkt die Einstiegshürde erheblich.

Fünftens: Die Forschungslinie – von 2019 bis heute

Die Light-Commands-Arbeit war der Ausgangspunkt einer bis heute andauernden Forschungskette. Takeshi Sugawara von der University of Electro-Communications in Tokio, einer der ursprünglichen Autoren, führte von 2021 bis 2024 ein KAKENHI-gefördertes Projekt (Projektnummer 21K11884) durch, das die physikalischen Grundlagen der Laserempfindlichkeit von MEMS-Mikrofonen systematisch aufklärte. Die zentrale Erkenntnis aus diesen Arbeiten:

• Die Empfindlichkeit ist nicht auf einen einzigen physikalischen Effekt zurückzuführen, sondern auf ein Zusammenspiel von thermoelastischer Biegung, thermischer Diffusion und Photostromerzeugung.
• Die dominante Ursache hängt von der Laserwellenlänge ab – ein Detail, das für die Entwicklung wirksamer Gegenmaßnahmen entscheidend ist.
• Neben MEMS-Mikrofonen sind auch nicht-MEMS-Mikrofone, Ultraschallsensoren und Beschleunigungssensoren potenziell laserempfindlich.

An dieser Stelle ist eine begriffliche Inkonsistenz offenzulegen, die in der Literatur tatsächlich besteht: Die englischsprachige KAKEN-Projektzusammenfassung verwendet für einen der Mechanismen den Begriff „thermal piston effect“ (übersetzt: thermischer Kolbeneffekt), während die 2024 in Journal of Hardware and Systems Security veröffentlichte Arbeit von Cyr und Kollegen den präziseren Begriff „thermal diffusion“ (thermische Diffusion) etabliert. Die aktuelle Forschungsliteratur hat sich auf „thermische Diffusion“ festgelegt; der ältere Begriff sollte als überholt gelten. Diese terminologische Entwicklung ist kein Nebenaspekt, sondern zeigt, wie sich das physikalische Verständnis der Schwachstelle im Laufe der Forschung geschärft hat.

Die LCMA-Studie von 2024 erweiterte die Angriffsfläche auf Mikrofon-Arrays und zeigte, dass die von den ursprünglichen Forschern empfohlene Gegenmaßnahme nicht ausreicht, wenn der Angreifer seine Technik anpasst.

Sechstens: Gegenmaßnahmen – was Hersteller tun können und tun

Die Forscher der Originalstudie schlugen mehrere Verteidigungslinien vor, die auf Hardware- und Software-Ebene ansetzen:

Hardware-Ebene:

• Lichtundurchlässige Abdeckungen über dem Mikrofon-ASIC, um die Photostromerzeugung zu unterbinden
• Reduktion der strukturellen Asymmetrie im MEMS-Design, um thermoelastische Effekte zu minimieren
• Integration von Lichtsensoren zur Detektion ungewöhnlicher Laserbestrahlung
• Verwendung mehrerer Mikrofone mit unabhängigen Signalpfaden, deren Signale software-seitig auf Plausibilität geprüft werden

Software-Ebene:

• Anomalieerkennung auf den Mikrofonsignalen: Laser-induzierte Signale weisen oft charakteristische Verzerrungen auf, die sich von echter Sprache unterscheiden
• Zwei-Faktor-Authentifizierung für sicherheitsrelevante Befehle, etwa Bestätigung über eine Smartphone-App
• Begrenzung der Fehlversuche bei PIN-Eingaben, um Brute-Force-Angriffe zu verhindern

System-Ebene:

• Kontextbewusstsein: Ein Gerät könnte prüfen, ob ein Befehl zur aktuellen Umgebungslautstärke oder Tageszeit passt

Die Hersteller haben auf die Offenlegung der Schwachstelle reagiert. Die Forscher arbeiteten nach eigenen Angaben mit Google, Apple und Amazon zusammen, um Fixes umzusetzen. Konkrete technische Änderungen sind jedoch kaum öffentlich dokumentiert. Die LCMA-Studie von 2024 legt nahe, dass die Grundverwundbarkeit fortbesteht und sich lediglich auf neue Geräteklassen ausgeweitet hat.

Fazit und Ausblick

Die Light-Commands-Forschung ist mehr als eine akademische Kuriosität. Sie legt eine systemische Vernachlässigung der physischen Angriffsfläche sprachgesteuerter Systeme offen. Während die Software-Sicherheit von Smart Speakern in den vergangenen Jahren erhebliche Fortschritte gemacht hat – verschlüsselte Kommunikation, regelmäßige Updates, bessere Authentifizierung –, blieb die Sensorik selbst ein blinder Fleck. Das MEMS-Mikrofon, konzipiert als reiner Schallempfänger, ist physikalisch auch ein Lichtempfänger. Diese Eigenschaft wurde in der Designphase offenbar nicht als Sicherheitsrisiko antizipiert.

Die Forschung von 2024 zeigt, dass die von den ursprünglichen Autoren empfohlene Gegenmaßnahme – Mikrofon-Arrays mit Sensor Fusion – kein Allheilmittel ist. LCMA umgeht diese Verteidigung, indem es mehrere Mikrofone gleichzeitig mit abgestimmten Lichtsignalen bestrahlt. Die Hersteller stehen damit vor der Aufgabe, tiefere Eingriffe in die Hardware-Architektur vorzunehmen: lichtundurchlässige Verkapselung des ASIC, differenzierte Signalverarbeitung, die Laserartefakte erkennt, und eine sicherheitsbewusste Systemintegration, die den Kontext eines Befehls berücksichtigt.

Für die Zukunft ist zu erwarten, dass die Forschung sich auf weitere sensorische Angriffsflächen ausweitet – von Ultraschallsensoren in Fahrzeugen bis hin zu Beschleunigungssensoren in Wearables. Die grundlegende Lehre aus Light Commands bleibt: Jeder Sensor, der physikalische Größen in elektrische Signale umwandelt, ist potenziell durch andere physikalische Größen manipulierbar. Die Sicherheitsarchitektur sprachgesteuerter Systeme muss diese Erkenntnis systematisch berücksichtigen.

Quellen

1. Sugawara, T., Cyr, B., Rampazzi, S., Genkin, D., Fu, K.: „Light Commands: Laser-Based Audio Injection Attacks on Voice-Controllable Systems“. 29th USENIX Security Symposium, 2020.
2. University of Michigan: „Researchers take control of Siri, Alexa, and Google Home with lasers“. Pressemitteilung, 3. November 2019.
3. BleepingComputer: „Using Light Beams to Control Google, Apple, Amazon Assistants“. 4. November 2019.
4. iGeneration: „La sécurité des enceintes intelligentes sabrée au laser“. 4. November 2019.
5. Cyr, B., Sumaria, V., Long, Y., Tadigadapa, S., Sugawara, T., Fu, K.: „How Lasers Exploit Photoacoustic and Photoelectric Phenomena to Inject Signals into MEMS Microphones“. Journal of Hardware and Systems Security, 2024.
6. Shi, H., He, Y., Wang, Q., Zhuge, J., Li, Q., Liu, X.: „Laser-Based Command Injection Attacks on Voice-Controlled Microphone Arrays“. IACR Transactions on Cryptographic Hardware and Embedded Systems, 2024.
7. KAKEN: Projektbericht 21K11884, „Signal Injection Attacks Using the Photoacoustic Effect and Countermeasures“, 2021–2024.
8. INSIDE: „Laser Light Can Hack Voice Devices: Amazon Echo, Google Home, iPhone Affected“. 2019.
9. Digit: „Smart speakers vulnerable to ‚light commands'“. 5. November 2019.