Augsburger Allgemeine (Ausgabe Stadt)
Hackerangriff: Ist mein WLAN jetzt unsicher?
Internet Experten haben eine Lücke entdeckt, über die Kriminelle die Verschlüsselung von Funknetzen aushebeln können. Wie groß die Gefahr ist und was Nutzer tun können
Augsburg Sicherheitsforscher haben eine Lücke entdeckt, über die verschlüsselte Wlan-verbindungen ausgespäht werden können. Die wichtigsten Fragen und Antworten dazu.
Was ist genau passiert?
Der belgische Sicherheitsforscher Mathy Vanhoef hat eine Schwachstelle im Verschlüsselungsprotokoll WPA2 gefunden. Mit diesem Protokoll werden normalerweise Wlanverbindungen zwischen einem Hotspot und einem Endgerät – etwa einem Handy – gesichert. Über die „Krack“(das ist die Abkürzung für „Key Reinstallation Attack“) genannte Lücke könnten Angreifer die Wpa2-verschlüsselung aufbrechen, belauschen und so zum Beispiel Daten stehlen.
Welche Geräte sind betroffen?
Krack betrifft den Verschlüsselungs-standard WPA2, der momentan gängig ist. Deshalb sind praktisch alle Geräte betroffen, die über WLAN kommunizieren.
Wie gefährlich ist die Sicherheitslücke in der Praxis?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) riet am Montagabend dazu, Wlan-netzwerke bis zur Verfügbarkeit von Sicherheits-updates nicht für Onlinebanking und Online-shopping oder zur Übertragung anderer sensibler Daten zu verwenden. „Nutzen Sie Ihr Wlan-netzwerk so, als würden Sie sich in ein öffentliches WLAN-NETZ einwählen, etwa in Ihrem Lieblings-café oder am Bahnhof. Verzichten Sie auf das Versenden sensibler Daten oder nutzen Sie dazu einen Vpn-tunnel, sagte Arne Schönbohm, Präsident des BSI. Tatsächlich ist die Gefahr durch diese Sicherheitslücke aber eher theoretisch. Zum einen muss ein Angreifer vor Ort sein und auf ein WLANNETZ zugreifen können, um Opfer darin über Krack auszuspähen. Massenhafte Cyber-attacken auf tausende Rechner gleichzeitig, wie wir sie aus der Vergangenheit kennen, sind damit also nicht möglich. Zum Zweiten kann über die Lücke zwar die Wlan-verschlüsselung ausgehebelt werden, viele Internetverbindungen an sich sind aber zusätzlich verschlüsselt, zum Beispiel durch den Standard https. Das kann über Krack nicht ausgehebelt werden. Und zum Dritten kann die Sicherheitslücke durch ein einfaches Update geschlossen werden.
Was sollte ich jetzt tun?
Die Lücke in WPA2 kann geschlossen werden, indem man auf seinen Wlan-geräten – Routern ebenso wie zum Beispiel auf Smartphones – ein entsprechendes Update aufspielt. Viele Hersteller bieten ein solches Update bereits an oder haben es für die nahe Zukunft angekündigt.
Microsoft hat die Lücke bereits mit seinen Sicherheits-updates vom 10. Oktober geschlossen. Wer auf seinem Rechner die automatischen Updates aktiviert hat, sollte also bereits sicher sein.
Google Betroffen sind Geräte ab Android-version 6.0. Nutzer müssen sich aber noch in Geduld üben. Google hat erst zum 6. November ein Update in Aussicht gestellt. Hersteller anderer Android-versionen werden danach folgen.
Apple hat die Lücke in seinen aktuellen Testversionen bereits gestopft. Ein offizielles Update soll demnächst erfolgen, das genaue Datum ist aber noch nicht bekannt.
Linux bietet bereits Updates an, ebenso Debian und Ubuntu.
Netgear bietet für viele seiner Router bereits Updates an.
AVM Der Hersteller der weitverbreiteten Fritzbox erklärte, „falls notwendig“werde man ein Update bereitstellen.
Sollte ich jetzt mein Wlan-passwort ändern? Nein, das bringt in diesem Fall nichts.
Ist das Internetsurfen per Kabel weiter sicher? Ja, das kabelgebundene Surfen ist weiterhin sicher und von der gefundenen Sicherheitslücke nicht betroffen.
Betrifft die Sicherheitslücke auch private Netzwerke (VPN) oder UMTS?
Beides ist laut Bundesamt für Sicherheit in der Informationstechnik nicht betroffen.
Hilft es, in meinem Router eine andere Verschlüsselung wie zum Beispiel WPA einzustellen? Auf keinen Fall. WPA2 ist der gängige und aktuell sicherste Standard.
Wo gibt es weitere Informationen zu Krack? Die Sicherheitsforscher haben zu der Lücke eine Webseite eingerichtet. Unter https://www.krackattacks.com/ gibt es weitere Informationen. (mit dpa)