Sophos warnt vor Angreifbarkeit mobiler Router
Drei Tipps: 4G-Hotspot gegen Angriffe wappnen
Eine kürzlich veröffentlichte Analyse von Pen Test Partners zum Einsatz von 4G-Hotspots zeigte deutliche Sicherheitslücken bei der Nutzung der kleinen Mobil-Router. Wer sie nutzt, sollte sich deshalb ein paar Minuten Zeit nehmen, um Einstellungen und Verhalten einem Sicherheits-Check-up zu unterziehen, rät Michael Veit, Security-Experte bei Sophos, im nachfolgenden Gastkommentar.
Die Mehrheit der aktuellen Smartphones kommt mit Hotspot-Funktion. Damit lässt sich die 4G-Verbindung eines Handys via WLAN nutzen, um andere Geräte ins Internet zu bringen. Dennoch sind eigenständige Hotspots nach wie vor beliebt, besonders weil sie es erleichtern, Sprache und Datenkommunikation zu trennen. Viele Provider offerieren Angebote, bestehend aus Hotspot-System und Prepaid-Daten-SIM-Karte, speziell für Nutzer, die zu Hause kein Festnetz mehr wollen. Zudem tragen viele Anwender ein solches Helferlein mit sich, um nicht auf die unzähligen und wenig vertrauenswürdigen öffentlichen Access Points in Einkaufszentren, Hotels und Cafés angewiesen zu sein.
Theoretisch ist diese Idee auch nicht die schlechteste. Denn es sollte tatsächlich sehr viel unwahrscheinlicher sein, über eine vom Nutzer selbst kontrollierte WLAN-Verbindung, die direkt mit dem Mobilfunknetz kommuniziert, gehackt zu werden, als über eines der öffentlichen Gratisangebote mit unbekannten Router-Einstellungen und Konfigurationen.
In der Praxis hapert es aber auch bei den eigenen Hotspots oftmals am Fine-Tuning. Sie sind nur so sicher wie die vorgegebenen Einstellungen und installierten Firmware-Upgrades. Nicht zu vernachlässigen ist dabei auch die Gefahrenquelle der Firmware-Version selbst, auf die der Nutzer zumeist keinen Einfluss hat, da sie fast immer der Mobilfunk-Provider vorgibt.
Bei günstigen Modellen kann es vorkommen, dass der Anbieter kaum in Sicherheit investiert. In den letzten Jahren wurden Sicherheitslücken in Routern für das Heimnetzwerk und anderen IoT-Geräten vielfach analysiert und beschrieben. Es gibt eine Vielzahl an Gründen, warum IoT-Geräte nicht über den Standard an integrierter Sicherheit verfügen, den man sich dafür wünschen würde. Ein Grund mögen die Kampfpreise sein, mit denen Webcams und Co. angepriesen werden. Das IoT-Gadget für unter 20 Euro lässt nicht viel Spielraum für eine ernstzunehmende Sicherheitsfunktionalität.
Einfacher Gebrauch sticht oft die Sicherheit aus. Im umkämpften Consumer-Markt haben solche Geräte, die dem Nutzer nach dem Einschalten sofort Sicherheitsfragen stellen, oft weniger Chancen als diejenigen, die gleich betriebsbereit sind.
Ein weiteres Problem: Massenweise produzierte IoT-Geräte liegen oft eine ganze Weile im Lager oder Regal. Kommt es dann irgendwann aufs Kassenband, kann die Firmware bereits lange überholt und eine Vielzahl von Sicherheitslücken ungepatcht sein - so geschehen bei diversen Hotspot-Geräten. Wie Pen Test Partners entdeckte, spielt das Thema Sicherheit bei mehreren Herstellen keine wirkliche Rolle, insbesondere im Web-Interface, das für Setup, Konfiguration und ironischerweise auch Updates zum Einsatz kommt.
Im Gegensatz zum klassischen Home-Router verfügen die transportablen Varianten nicht über einen eigenen Bildschirm oder eine Tastatur. Sie vertrauen sich einem kleinen Web-Server für ihr User-Interface an - und hier liegt das Problem: Viele dieser Web-Server nutzen leicht angreifbare Kommunikationswege, um Remote-Befehle entgegenzunehmen. So kann ein Angreifer via Web-Interface ohne großen Aufwand Schadcode über Formulare auf Betriebssysteme oder Datenbanken einschleusen. Die Kommandos, ausgestattet mit Root-Rechten, können verheerenden Schaden anrichten. Zusätzliche Accounts, unerwünschte Server-Prozesse, Löschen von Daten, Verändern der Firewall-Regeln, Passwort-Diebstahl - die Liste des möglichen Missbrauchs ist lang.
Folgende Schritte verbessern die Sicherheit bei der Nutzung eines eigenen 4G-Hotspots:
- 4G-Hotspots so umsichtig behandeln wie das eigene Smartphone: Sie mögen günstiger und weniger leistungsfähiger sein, aber im Kern sind 4G-Hotspots wie Smartphones. Der Nutzer sollte die gleiche Sorgfalt walten lassen wie bei seinem Mobiltelefon und verfügbare Software-Updates oder Patches umgehend einspielen.
- Augen auf nach Fehlerberichten: Als erstes sollten Nutzer herausfinden, welcher Hersteller das genutzte Hotspot-Modell entwickelt hat. Mobilfunkanbieter versehen die Geräte oft mit ihrem Logo, sodass Modellnummer und Hersteller nicht leicht zu finden sind. Hier helfen oft das Handbuch oder das Web-Interface weiter. Sind Modell und Anbieter bekannt, kann der Anwender online nach Sicherheitslücken suchen. Gegebenenfalls bietet sich auch die Einrichtung eines Alerts für mögliche Bugs an, um schnell informiert zu sein.
- Aktives Log-out: Dieser Rat gilt für sämtliche Online-Services - und entsprechend sollten sich auch 4G-Hotspot-Nutzer nach dem Bearbeiten der Router-Einstellungen unbedingt vom Web-Interface abmelden. Denn auch diese Web-Links können in externe Websites eingebettet sein, die unter Umständen bösartig sind.
Weitere Security-Tipps finden sich unter www.sophos.com.
Lesen Sie mehr zum Thema
