3 Jahre galt der globale Standard „WPA2“ als sicher. Nun ist klar, dass Angreifer den Internet-Verkehr mitlesen können, wenn sie es darauf anlegen.

IT-Sicherheitsforscher haben gravierende Sicherheitslücken in nahezu allen Wifi-fähigen Geräten gefunden. Nutzen kriminelle Hacker diese aus, wären sie in der Lage, den Internet-Verkehr auszulesen, der über den kabellosen Netzanschluss läuft. Der Angriff, „Krack Attacks“ genannt (Krack steht dabei für key reinstallation attacks), nutzt eine Schwachstelle in WPA2 aus, einem Sicherheitsstandard, der die Wlan-Verbindung zwischen Endgeräten und dem Router absichert. Diese Daten werden normalerweise nur verschlüsselt übertragen, sind also nicht von Unbefugten mitzulesen. WPA2 galt mehr als ein Jahrzehnt lang als unknackbar.

Nun ist es den Forschern gelungen, das vierstufige Verfahren auszuhebeln, das immer dann zum Einsatz kommt, wenn sich ein neues Gerät mit dem Wlan-Netz verbinden will. Die digitalen Schlüssel, die also zum Beispiel zwischen einem Smartphone und dem Router hin- und hergeschickt werden, können mehrfach mit einem Zahlenwert versendet werden, anstatt nur einmal. Das erlaubt es Angreifern mitzulesen.

Allerdings müssen sie sich dafür in der Nähe befinden. Es ist nicht möglich, sich über das Internet nach Lust und Laune in Wlan-Netze einzuwählen und diese Angriffe durchzuführen. Das begrenzt den Schaden der Schwachstelle deutlich.

Nach Angaben des Branchenverbands Wifi-Alliance gebe es keine Anzeichen dafür, dass diese Schwachstellen auch „in freier Wildbahn“ ausgenutzt wurden….

Nichtsdestotrotz sei die Konsequenz dieses Angriffs „schlimm“, sagt der IT-Sicherheitsforscher Andreas Bogk: „Man kann den Leuten beim Surfen zuschauen.“ Das gelte für alle Webseiten, die nicht mit https abgesichert werden. Https ist ein Protokoll, das den Datenverkehr zwischen Rechnern und Webseiten zusätzlich verschlüsselt…..

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät dazu, WLAN-Netzwerke bis zur Verfügbarkeit von Sicherheits-Updates nicht für Transaktionen wie Banking und Online-Shopping oder zur Übertragung anderer sensibler Daten zu nutzen.

Hier sei ein Kommentar angebracht:

1. Wenn das denn nicht für Webseiten zutrifft, die mit https verschlüsselt sind, scheint der Hinweis des BSI eher eine Standardwarnung zu sein, was die Glaubwürdigkeit des BSI aus meiner Sicht etwas in Frage stellt.
   „Wenn ich zu einem Thema nichts beizutragen habe – siehe Dieter Nuhr….“
2. Und noch einmal zur Verdeutlichung: die Schwachstelle liegt auf der Seite der Geräte, die sich am Hotspot anmelden, nicht bei den Hotspots. Also kümmert Euch in erster Linie um Eure Smartphones und Tablets nicht nur um den Router….

hier geht es zum gesamten Artikel bei „Süddeutsche Zeitung“ – Achtung AdBlocker