Ich weiß ehrlich nicht, was mit diesem Experiment bewiesen werden soll. Ein Freund von mir wohnt in Süddeutschland in einem ruhigen Gebiet. Als ich ihn dort mal besuchte, war seine Garage komplett auf. Und leer war die nicht. Ich sagte ihm: Wenn ich bei mir die Garage so auflassen würde, wäre sie am Abend vermutlich leer.
Eine offene Garage, in der sich Sachen befinden, bietet keine Sicherheit. Jeder kann sie betreten und sich die Dinge, die sich darin befinden, entwenden. Dennoch kann am Abend alles noch vorhanden sein, weil die Gegend, in der die Garage steht, scheinbar sicher ist. Man kann die Sicherheit etwas erhöhen, in dem man das Garagentor schließt, es jedoch nicht mit einem Schlüssel verschließt. Verschließe ich es mit einem Schlüssel, erreiche ich dann, sofern nicht sonstwo noch ein Zaun etc. die Garage umgibt, die höchstmögliche Sicherheit, die mir die Garage bietet. Da die Garage öffentlich einsehbar ist, kann potentiell jeder versuchen die Sicherheit aufzuhebeln und in die Garage zu gelangen. Wie wahrscheinlich das ist, hängt sicher auch von der (gefühlten) Sicherheit des Ortes ab, wo sich die Garage befindet.
Ein aus dem Internet erreichbarer Server, egal welche Software darauf läuft, ist, wie die Garage, öffentlich einsehbar. Da man nicht lokal vor Ort sein muss, können potentiell mehr Einbrecher versuchen ins Innere des Servers zu gelangen. Somit kann man sicherlich sagen: Es ist potentiell gefährlicher, einen Server zu betreiben als eine Garage.
Kurz um: Nur weil ein Server im Internet steht, wird in diesen nicht auch zwangsläufig eingebrochen. Denn es gibt Orte in Deutschland, da kann man seine Garage ganz unverschlossen zurücklassen 
@tarag, ich habe ein paar Fragen an dich, auch wenn ich deine nicht konkret beantworten kann:
Lässt du ein Fenster im Erdgeschoss auf (oder würdest du, wenn du ein EG hättest), wenn du das Haus verlässt?
Hast du die PIN deiner Bankkarte im Portmonaie?
Nutzt du Passwörter wie 1234 oder abcdefg?
Hast du einen Haustürschlüssel oben auf dem Rahmen liegen?
Ich könnte noch mehr solcher Fragen stellen. Im Grunde möchte ich die konkrete Antwort garnicht wissen. Aber warum lässt man bspw. ein Fenster im Erdgeschoss nicht auf oder nutzt sicherer Passwörter? Damit ungewollte Dritte nicht hereinkommen. Unabhängig davon, ob sie tatsächlich kommen würden. Man macht es, um sich vor einer potentiellen und realistischen Gefahr zu schützen. Dafür muss diese nicht zwangsläufig eintreten.
Nur weil dein Server möglicherweise angegriffen wird oder nicht, nur weil in deinen Server jemand eindringen kann oder nicht, nur weil eine noch unbekannte Sicherheitslücke bei deinem Server ausgenutzt oder nicht ausgenutzt wird, gibt es keine grundsätzliche Auskunft darüber, wie sicher so etwas ist. Nur weil deinem Sever nichts passiert, sind anderer Server nicht ebenso sicher. Vielleicht haben sie nur Pech. Du fragst nach Belegen, aber was willst du uns mit diesem Experiment beweisen?
Je mehr Sicherheitslücken vorhanden sind, desto größer das Potential eines Eindringens. Denn es gibt ja mehr Möglichkeiten. Umgekehrt: Je weniger Sicherheitslücken, desto geringer das Potential. Daher ist es durchaus ratsam, sein System aktuell zu halten.
Das Problem an den Portfreigaben entsteht dadurch, dass man sein privates Netz, wenn auch nur einen Dienst, aus dem Internet zugänglich macht. Klar, das ist bei HA mit einem Passwort und ggf. 2FA abgesichert. Gibt es aber eine Sicherheitslücke, so würde sich der ungebetene Gast im privaten Netz zu Hause befinden. Diese potentielle Gefahr besteht.
Noch ein anderer Aspekt der Sicherheit:
Eigentum verpflichtet. Sein Gebrauch soll zugleich dem Wohle der Allgemeinheit dienen.
Quelle: Art 14 GG - Einzelnorm
Ich bin kein Jurist, aber würde es so beschreiben: Von seinem Eigentum darf keine Gefahr für die Allgemeinheit ausgehen. Wenn ich aber mein Eigentum unzureichend sicher und dann damit, ich nenne es mal, Unfug betrieben wird, müsste ich dann nicht mitverantwortlich dafür sein? 
Fail2Ban ist eine Möglichkeit. CrowdSec eine andere. Man kann das IoT-Netz von anderen Geräten isolieren, sodass aus diesem keine anderen Geräte erreicht werden können. Man kann ihnen gar den Zugang zum Internet verbieten. Je nach eigenem Dünken könnte man auch Port knocking einsetzen, was aber sicherlich für HA, auf den man öfters zugreifen will, etwas umständlich wäre.
100%-ige Sicherheit gibt es nicht und wird es nie geben. Wenn der uneingeladene Gast es sich auf deiner Couch und mit deinem Bier gemütlich macht, ists schon zu spät. Aber man will zumindest alles dafür getan haben, dass man selber mit dem eigenen Bier auf der Couch sitzt.
in der Hand und 
auf dem Schoß.
