Früher boten Wehrtürme und schwere Tore Schutz vor Angreifern, heute verschaf- fen sich Cyber-Kriminelle leicht über Home Router Zutritt. © unsplash Fraunhofer. Das Magazin 3.20 - 41 My home is my castle« – dieser bekannte Ausspruch des englischen Juristen Sir Edward Coke beschreibt das zutiefst menschliche Bedürfnis nach Schutz und Sicherheit innerhalb der eigenen vier Wände. Zu Cokes Lebzeiten vor rund 400 Jahren reichten noch Schlösser an Tor und Fenster, um die Bewohner vor Eindringlin- gen zu schützen. Heute ergänzt das Heer der konventionellen Einbrecher eine Masse schwer greifbarer Cyber-Krimineller. Als Einfallstor in privates Eigentum dient ihnen ein unscheinbares Gerät: »Home Router sind ein beliebtes und häufiges Angriffsziel«, mahnt Johannes vom Dorp, Mitarbeiter des Fraunhofer-Instituts für Kommunikation, Informationsverarbeitung und Ergonomie FKIE. Seit fünf Jahren beschäftigt er sich dort intensiv mit Security-Fragen. »Alles was in unseren Haushalten hängt, steht, liegt und vernetzt ist, kann über den Router erreicht werden«, so vom Dorp. In Gegenwart der Bewohner könne der infizierte Saugroboter Bilder des heimischen Wohnzimmers an Krimi- nelle schicken, die Spielekonsole der Kinder, der PC oder Fernseher an einem Erpressungsversuch beteiligt sein. »Eine große Gefahr liegt zudem in einem Missbrauch des Routers als Teil eines Bot-Netzes«, ergänzt Adil Aden vom Referat Sicherheit im Bundesamt für Sicherheit in der In- formationstechnik (BSI). Der Nutzer selbst merke davon in den seltensten Fällen etwas. Durch das Kapern und den Zusammenschluss von Hunder- ten oder Tausenden Routern und Smart Devices zu Bot-Netzen können DDoS-Angriffe gestartet werden. Bis zu 110 000 Bot-Infektionen deut- scher Systeme registriert das BSI täglich. Fast jeder Vierte (24 Prozent) war bereits Opfer von Cyber-Kriminellen, ergab eine Umfrage des BSI im Jahr 2019. Alle getesteten Geräte haben Sicherheitsmängel Vor diesem Hintergrund ist es wenig erstaunlich, dass die Ergebnisse des Home Router Security Report 2020 des Fraunhofer FKIE hohe Wel- len schlugen und zahlreiche Medien darüber berichteten. Denn die Tests am Fraunhofer FKIE zeigten: Die Firmware von allen überprüften 127 Modellen weist fast durchgängig erhebliche Sicherheitsmängel auf. Firmware ist, im Gegensatz zu einer App oder Software, die der Nutzer kauft und nachträg- lich installiert, fest an die jeweilige Hardware gebunden. Ohne Firmware weiß die Wasch- maschine nicht, welcher Waschgang gewählt wurde; der Staubsauger nicht, wann er entleert werden muss, oder die smarte Glühbirne nicht, wie hell sie leuchten soll. Und natürlich ist Firmware auch die Betriebssoftware jedes Home Routers. Um diese auf Sicherheitslücken hin untersuchen zu können, hat das Fraunhofer FKIE das Werkzeug FACT entwickelt. Es soll die Sicherheitslage für Hersteller und Nutzer trans- parenter und die Probleme leichter behebbar machen. »Mit FACT kann man Firmware automati- siert auf einfache Art untersuchen«, sagt vom Dorp. Entsprechende Tools existierten bis dato nicht, obwohl die Anzahl an internetfähi- gen Geräten seit Jahren rasant wächst. Aktuell sind es laut Statista mehr als 20 Milliarden ver- netzte Geräte, fast zwei Drittel davon im Besitz von Privatpersonen. Als Erstes entpackt FACT die Firmware. Da sie aus unterschiedlich vielen Bestandteilen besteht, die verschieden gruppiert und verpackt sind, ist das nicht ganz trivial. »In dem äußeren Contai- ner können sich zwischen 20 000 und 30 000 Dateien befinden«, weiß vom Dorp. Zu den Dateien gehören das Betriebssystem, Treiber, Funktionsbausteine ebenso wie eigenständi- ge Programme, etwa ein Webserver. Je nach Modell und Gerät variieren Inhalt und Struktur. Hinzu kommt: Container ist nicht gleich Con- tainer. Jeder Hersteller gestaltet den äußeren Container anders, abhängig von der vorgese- henen Installationsroutine beispielsweise. »Da gibt es viele kreative Wege«, so vom Dorp. Der Extrak tionsprozess ist ein anspruchsvolles Unterfangen, das von den FACT-Programmierern regelmäßig an neue Dateitypen und Hersteller angepasst werden muss. Ist die Firmware erst einmal entpackt, geht es an die Bestandsaufnahme: »Da gibt es kleine eigenständige Programme für das Verschieben, Kopieren, Löschen von Dateien, Konfigurations- dateien, hinterlegte IP-Adressen, URLs, Prozes- sorarchitekturen, Passwörter und kryptografische Schlüssel«, zählt vom Dorp auf. Abgleich mit bekannten Sicherheitslücken Erst nach der Bestandsaufnahme kann die eigentliche Analyse starten. Dazu vergleicht das Tool unter anderem alle in der Open-Source-Da- tenbank CVE hinterlegten Sicherheitslücken mit dem vorhandenen Material. CVE steht für »Com- mon Vulnerabilities and Exposures« und ist eine Sammlung öffentlich bekannter Sicherheitslü- cken. Die Datenbank existiert seit 1999 und wird von Hackern wie Entwicklern und Institutionen gleichermaßen genutzt. Nach dem Abgleich mit den CVE erscheint eine Übersicht aller gefunde- nen Schwachstellen der vorliegenden Firmware. Allerdings muss sich nicht jede Sicherheitslücke auf jedem Gerät wiederfinden. Je nach tatsäch- lich installierter Variante einer Software kann das Ergebnis abweichen. Am besten schnitten im Test die weit ver- breiteten Router der AVM GmbH ab. Hier sorgen regelmäßige Updates für die Schließung von vielen, jedoch nicht von allen Sicherheitslü- cken. Andere Hersteller warten oft jahrelang mit der Aktualisierung ihrer Software – ein sträfli- ches Versäumnis, weil das zu 90 Prozent ge- nutzte Betriebssystem Linux permanent Updates bereitstellt, wie vom Dorp betont. Um die Geräte in Zukunft sicherer zu machen, rät das BSI Herstellern, schon bei der Entwick- lung die technische Richtlinie »Secure Broad- band Router« zurate zu ziehen. Sie beschreibt die aktuellen Sicherheitsanforderungen und wird vom Fraunhofer FKIE, das eng mit dem BSI zusammenarbeitet, für die Weiterentwick- lung von FACT verwendet. So könnten Smart Homes künftig tatsächlich sicher wie eine Burg werden. zurück zu Seite 1