Wer in Funkreichweite eines verwundbaren WLAN-Routers ist, kann ihn übernehmen. Ohne WLAN-Passwort. Ohne dass du etwas tun musst. Ohne dass du etwas merkst. Das hat der Sicherheitsforscher Quentin Kaiser gezeigt und seine Ergebnisse am 16. Oktober auf der Sicherheitskonferenz Hexacon in Paris vorgestellt. Betroffen sind Router mit Broadcom-Chips, auf denen ein veralteter Softwarebaustein für WPS läuft. WPS ist die Funktion, mit der du Geräte per Knopfdruck ins WLAN holst, ohne das Passwort einzutippen.
Warum ein Komfort-Feature zum Einfallstor wird
Damit WPS funktioniert, lauscht der Router ständig auf Anmeldeanfragen aus der Umgebung. Die kommen oft in mehreren Stücken an, die der Router wieder zusammensetzt. Broadcoms Software prüft dabei nicht, ob alle Stücke zusammen in den reservierten Speicher passen. Schickt ein Angreifer mehr, läuft der Speicher über. Fachleute nennen das einen Pufferüberlauf. Im schlimmsten Fall führt der Router danach Programmcode des Angreifers aus.
Kaiser hat das an einem Router des belgischen Anbieters Orange vorgeführt. Er las das WLAN-Passwort aus dem Speicher, ließ es sich per Funk zuschicken und meldete sich damit im Netz an. Wer den Router kontrolliert, kann grundsätzlich Datenverkehr mitlesen oder umleiten und andere Geräte im Heimnetz angreifen.
Der fehlerhafte Code steckt laut Kaiser seit mindestens 2010 in Broadcoms Software. 2018 schob Broadcom demnach stillschweigend einen unvollständigen Patch nach und ersetzte den Baustein in neueren Versionen. Eine CVE-Nummer, also die übliche Kennung für Sicherheitslücken, wollte der Chiphersteller nicht vergeben. Begründung: Die Software sei veraltet und falle nicht mehr unter den Support. Kaiser hat der Lücke deshalb selbst einen Namen gegeben: WPSplinter.
Diese Router aus Deutschland stehen auf der Liste
Kaiser führt eine öffentliche Liste betroffener Router, die ausdrücklich nicht vollständig ist. Darauf stehen inzwischen:
- Speedport W 723V Typ A (Telekom, Hersteller Askey)
- Speedport W 724V Typ A (Telekom, Huawei)
- Speedport Hybrid (Telekom, Huawei)
- Speedport W 724V Typ C (Telekom, Sercomm), laut Liste wahrscheinlich betroffen
- EasyBox 804 (Vodafone, Sercomm), mindestens bis Firmware 05.02_5_4_8_1_325_1_21_1_8
- TP-Link Archer C3150, Archer C5400, Archer VR2800, Archer VR600, Archer VR900, TD-VG5612, VR1600
Aufgepasst beim Typ: Hinter demselben Speedport-Namen stecken je nach Variante unterschiedliche Hersteller und damit unterschiedliche Technik. Ob du Typ A, B oder C hast, steht auf dem Typenschild. Auch umgekehrt gilt Vorsicht: Nicht jede Hardware- und Firmwareversion eines gelisteten Modells muss verwundbar sein, heißt es auf der Projektseite. Eine Fritz!Box taucht auf der Liste nicht auf.
Das sagen Vodafone und die Telekom
Vodafone erklärt gegenüber inside digital, alle aktuell vermarkteten Router und „nahezu alle Router, die bei Vodafone-Kunden tatsächlich im Einsatz sind“, seien nicht betroffen. Das gelte für alle Fritz!Boxen sowie für die Router von Hitron, Compal, Sagemcom und Samsung. „Für einen ganz kleinen Teil sehr alter (vor Jahren ausgegebenen) Router befinden sich unsere Experten aktuell noch in der Klärung, ob diese tatsächlich betroffen sind oder nicht“, so ein Sprecher auf unsere Anfrage. Die Prüfung könne noch ein paar Tage dauern. Welche Modelle das sind und wie viele Kunden sie noch nutzen, sagt Vodafone nicht. Die Telekom reagierte bisher nicht auf unsere Anfrage. TP-Link teilte mit, die Sache befinde sich aktuell in Klärung.
Wie groß ist die Gefahr?
Panik ist nicht angebracht. Ein Angreifer muss in WLAN-Reichweite sein, ein Massenangriff über das Internet ist nicht möglich. Interessant ist die Lücke damit vor allem für gezielte Angriffe auf Firmen, Hotels oder bestimmte Personen. Kaiser betont allerdings, der Angriff funktioniere auch über größere Distanzen. Ein Auto vor der Tür kann reichen. Hinweise auf tatsächliche Angriffe nennt Kaiser bislang nicht.
Hilft es, WPS abzuschalten?
Vielleicht. Kaiser rät, sich nicht darauf zu verlassen, denn der Schalter im Routermenü legt den fehlerhaften Programmteil nicht zwingend still. Anders sieht es aus, wenn der Anbieter WPS so abschaltet, dass der Baustein tatsächlich nicht mehr erreichbar ist. Der belgische Anbieter Proximus hat genau das bei allen seinen Routern getan, Kaiser hält dessen Kunden damit für geschützt. Die eigentliche Lösung ist ein Firmware-Update. Ob es das für die alten Speedports und die EasyBox 804 noch gibt, ist offen.
Nutzt du noch eines der genannten Geräte, frag bei deinem Anbieter nach einem Austausch. Ein Router, der seit Jahren unbeachtet im Flur blinkt, hat sich die Rente ohnehin verdient. WLAN hat sich massiv weiterentwickelt und neue Router leisten schlichtweg mehr.