Wenn selbst das private WLAN unsicher ist

Ob zuhause, im Café oder bei der Arbeit: Fast überall gibt es heutzutage WLAN-Zugang. Der belgische Informatiker Mathy Vanhoef von der Katholischen Universität Löwen hat nun eine Sicherheitslücke entdeckt, die potenziell alle WLAN-Nutzer gefährdet.

Über einen „Krack“ genannten Angriff könnten Hacker Daten abgreifen, etwa Passwörter, Chat-Botschaften oder Kreditkartendaten. Wie die Schwachstelle funktioniert und wie sich Internetnutzer davor schützen können hier im Überblick:

WIE FUNKTIONIERT „KRACK“?

„Krack“ steht für „key reinstallation attacks“, Schlüssel-Reinstallations-Attacken, und wurde von Vanhoef entwickelt. Die Attacke nutzt eine Schwachstelle im Sicherheitsprotokoll WPA2 aus, mit dem praktisch alle modernen WLAN-Netzwerke die Datenübertragung verschlüsseln.

Das Problem: Wenn sich ein Gerät, etwa ein Smartphone, in einem Drahtlos-Netzwerk anmeldet, tauscht es mit dem Router einen Schlüssel aus, mit dem die folgende Kommunikation zwischen den Geräten verschlüsselt wird. Die Nachricht mit dem Schlüssel kann mehrfach gesendet werden, falls sie bei Übertragungsproblemen verloren geht. Hier setzt „Krack“ an: Der Angreifer setzt ein Netzwerk auf, das sich als das eigentliche WLAN-Netz ausgibt, und sendet die Nachricht mit einem veralteten Schlüssel erneut. Das Smartphone installiert diesen alten Schlüssel und der Angreifer kann nun die Kommunikation mitlesen.

WER IST BESONDERS GEFÄHRDET?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt, dass alle WLAN-fähigen Endgeräte in unterschiedlichen Ausprägungen verwundbar seien. Laut Vanhoef sind insbesondere Smartphones mit dem Betriebssystem Android 6.0 und Android Wear 2.0 gefährdet, was etwa einem Drittel aller Androidgeräte entspricht.

Allerdings müsste sich ein Angreifer räumlich in der Nähe des WLANS befinden, was die Ausnutzung der Schwachstelle deutlich erschwert. Deshalb sei „nicht zu erwarten, dass wir in nächster Zeit massenhaft Angriffe auf WLAN-Netze sehen werden“, erklärte Tim Berghoff von der auf Computersicherheit spezialisierten Softwarefirma G Data.

WIE KÖNNEN SICH NUTZER SCHÜTZEN?

BSI-Präsident Arne Schönborn rät Verbrauchern, auch private Netzwerke so zu nutzen, als würden sie sich in ein öffentliches WLAN einwählen. Er rief dazu auf, bis zur Verfügbarkeit von Sicherheits-Updates nicht mehr über WLAN-Verbindungen Bankgeschäfte abzuwickeln oder im Internet einzukaufen. „Verzichten Sie auf das Versenden sensibler Daten oder nutzen Sie dazu einen VPN-Tunnel“, erklärte er. In einem solchen virtuellen privaten Netzwerk (VPN) werden Daten nochmal extra verschlüsselt, allerdings ist dafür meist zusätzliche Software nötig.

Auch kabelgebundenes Surfen ist laut Schönborn weiterhin sicher. Auf keinen Fall sollten Nutzer hingegen den WPA2-Standard ausschalten, da ältere WLAN-Sicherheitsstandards als unsicher gelten.

Auch die Verschlüsselung über das Internetprotokoll HTTPS, zu erkennen in der URL-Zeile oder am Schlüsselsymbol im Browser, bietet Schutz. Viele Anbieter von Online-Banking, E-Mail-Diensten oder Sozialen Netzwerken setzen inzwischen auf HTTPS. Linus Neumann vom Chaos Computer Club (CCC) warnt aber, dass Nutzer bei HTTPS-Verbindungen zum Beispiel Warnungen über falsche Zertifikate oft einfach wegklicken. „Weil solche Fehler gern mal im Eifer des Gefechts vorkommen, ist es wichtig, die Lücke durch ein Update am Endgerät zu beheben.“

Der Verband „Wi-fi Alliance“, in dem auch Apple, Microsoft und Google vertreten sind, kündigte bereits Updates an.

SIND BEREITS KRIMINELLE ATTACKEN DURCH DIE NEUE SCHWACHSTELLE BEKANNT?

Der „Wi-fi Alliance“ zufolge gibt es bislang keine Beweise auf kriminelle Attacken. Auch G Data erklärte, die Schwachstelle werde „derzeit nicht zu kriminellen Zwecken ausgenutzt“. Neumann vom CCC erklärte, dass ein erfolgreicher Angriff erst im Schadensfall bemerkt würde, weshalb man so bald wohl nicht davon hören werde.

Die Deutsche Kreditwirtschaft betonte unterdessen, das Online-Banking der Banken und Sparkassen sei auch in WLANs sicher, die von der Sicherheitslücke betroffen sind. Das Banking werde „immer über eine gesicherte HTTPS-Datenverbindung“ abgewickelt. (afp)