Im Rahmen einer Überprüfung von 127 verschiedenen Home-Routern identifizierten Sicherheitsforscher des Fraunhofer-Instituts für Kommunikation, Informationsverarbeitung und Ergonomie (FKIE) jüngst inakzeptable Schwachstellen wie voreingestellte Hersteller-Passwörter oder private Krypto-Schlüssel. Für Rainer M. Richter, Geschäftsführer der IoT Inspector GmbH, ist dies keine Überraschung. Wie viele andere IoT-Security-Experten warnt er seit Jahren vor gefährlichen Sicherheitslücken in Routern aber auch anderen gängigen IoT-Devices.
Welche Gefahren Router-Schwachstellen nach sich ziehen, sollte spätestens seit den großangelegten Mirai-Attacken im Jahr 2016 jedermann verstanden haben. Die Linux-Schadsoftware hatte damals IoT-Geräte gezielt nach Sicherheitslücken gescannt, infiziert und anschließend über Bot-Netze flächendeckend lahmgelegt. Betroffen waren unter anderem auch hunderttausende Router der Deutschen Telekom. Und auch im vergangenen Jahr waren Telekom-Router negativ in den Schlagzeilen, als eine einfache Fehlkonfiguration eines Ports einen schweren Datenschutzvorfall verursacht hatte, der rund 30.000 sensible Patientendaten über einen Windows-Server für jedermann im Internet frei zugänglich gemacht hat.
Für zu viele Hersteller von IoT-Geräten hat Sicherheit nach wie vor keine Priorität.
Wenn die Hersteller von IoT-Geräten (denn das Problem beschränkt sich leider nicht nur auf Router) nun seit Jahren von den anhaltenden Schwachstellen wissen, stellt sich die Frage, warum sie überhaupt nicht oder nur spärlich handeln. Eine Erklärung ist, dass für viele von ihnen eine günstige Entwicklung und schnelle Time-to-Market oberste Priorität hat, was dazu führt, dass eine wirksame Überprüfung auf mögliche Sicherheitslücken vernachlässigt wird bzw. das Entfernen von bekannten Schwachstellen unter den Tisch fällt. Nicht ganz so einfach zu erklären ist, warum die Hersteller auf Hinweise von Nutzern oder externen Sicherheitsanalysten, die Schwachstellen in ihren IoT-Geräten identifiziert haben, in vielen Fällen ablehnend, ja sogar drohend reagieren, anstatt das Gespräch zu suchen und gemeinsam an zufriedenstellenden Lösungen zu arbeiten.
Rainer M. Richter, IoT Inspector GmbH
Dabei gehen sie ein hohes Risiko ein: Abgesehen von drohenden Reputationsschäden im Fall von Cybervorfällen oder Datenschutzverletzungen, müssen sie sich bewusst machen, dass eine nachträgliche Behebung von Sicherheitslücken – zum Beispiel in hunderttausenden, weltweit eingesetzten IoT-Komponenten – sie mehr kosten wird als eine frühzeitige Analyse und eventuelle Schwachstellenbehebung vor dem Rollout.
Solange die Hersteller selbst nicht aktiv werden und für ausreichend Sicherheit ihrer Kunden und derer Systeme und Daten sorgen, liegt es letztlich an den Nutzern und auch Serviceprovidern selbst, für Transparenz zu sorgen und potenzielle Verwundbarkeiten in den eingesetzten Geräten aufzudecken.
Nutzer von IoT-Geräten müssen sich zunächst bewusst machen, welche Risiken von IoT-Devices – dazu zählen neben Routern klassischerweise auch Drucker, IP-Kameras, VoIP Telefone oder Thermostate – tatsächlich ausgehen. Die Router-Analyse des FKIE bietet hier Augen öffnende Einblicke: So basiert ein Drittel der getesteten Geräte auf Linux-Kernelversionen, die seit über neun Jahren keine Sicherheitsupdates mehr bekommen. Zudem fanden die Forscher durchschnittlich knapp fünf private Krypto-Schlüssel pro untersuchtem Firmware-Image sowie werksseitig voreingestellte Passwörter, die teilweise nirgends aufgeführt sind.
Wer sich und sein Unternehmen diesen Risiken nicht blindlings aussetzen möchte, dem ist angeraten, selbst aktiv zu werden und nach Schwachstellen in den eingesetzten IoT-Devices zu suchen.
Schon heuet stehen Unternehmen, Infrastrukturanbietern, Herstellern und IT-Beratern automatisierte Analyse-Tools und -Plattformen zur Verfügung, die Transparenz darüber bieten, was sich in einem Firmware-Image befindet und klassische IoT-Firmware-Schwachstellen wie Lücken in der Systemkonfiguration, festeingestellte Passwörter oder SSH Host-Keys sichtbar machen. Fortschrittliche Werkzeuge sind dabei auch mit den gängigen internationalen Sicherheitsstandards für IoT-Geräte – man denke an die ENISA Baseline Security Recommendations for IoT oder die IoT-Richtlinien des Deutschen Instituts für Normung – vertraut und somit in der Lage, anzuzeigen, ob die Geräte gegen Compliance-Vorschriften der jeweiligen Branche verstoßen.
Da ein Umdenken und eine größere Sicherheitsverantwortung von Seiten der Hersteller auch in der nächsten Zeit eher nicht zu erwarten ist, sollte eine selbstständige Analyse der IoT-Firmware für viele Unternehmen und Provider zur Selbstverständlichkeit werden. Nur so können Sicherheitsmaßnahmen an den Gefahren angepasst und die Cyberangriffsfläche minimiert werden.
