Wie Kriminelle Router kapern können
Berlin · Rund 900 000 Router der Deutschen Telekom sind durch eine Cyber-Attacke lahmgelegt worden. Die technischen Hintergründe sind noch nicht gänzlich geklärt. Doch Experten warnen vor weiteren Angriffen.
War es Unvermögen oder eine ungezielte Attacke? Der Hacker-Angriff, der am vergangenen Wochenende fast eine Million Router der Deutschen Telekom in die Knie zwang, gibt weiterhin Rätsel auf. Unklar ist, wie bedrohlich die Lage wirklich war. Was feststeht, ist, welchen Weg die Hacker genommen haben: Die Angreifer haben eine Schwachstelle in den Routern der Telekom für ihre Attacke ausgenutzt. Die Geräte, die zum Beispiel einen Haushalt mit dem Internet verbinden, haben Software-Schnittstellen, über die sie der Netzbetreiber zur Wartung ansprechen kann. Eine davon, der "Port 7547", wurde bei dem Angriff als Einfalltor für die Schadsoftware genutzt. Dieser Anschluss hätte eigentlich nur auf Anfragen aus dem Computersystem des Netzbetreibers reagieren dürfen. Er öffnete sich aber auch für die Angreifer.
Sowohl die Deutsche Telekom als auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) vermuteten hinter den Angriffen ein Netzwerk ferngesteuerter Rechner, sogenannter Bots, deren Ziel es sei, internetfähige Alltagsgeräte zusammenzuschalten und für weitere Angriffe zu missbrauchen. Es gibt nun unterschiedliche Einschätzungen, wie groß die reale Gefahr durch diese Sicherheitslücke war. Zunächst gingen Beobachter davon aus, dass die betroffenen Router um ein Haar Teil des Botnetzes geworden wären. Dafür hätten sie dazu gebracht werden müssen, Schadsoftware aus dem Internet herunterzuladen, die den Kriminellen Einfluss auf das Verhalten der Geräte gegeben hätte. Dieses Netz aus internetfähigen Geräten, insbesondere Haushaltsgeräten, war laut Sicherheitsexperten auch für den Angriff auf den Internet-Dienstleister Dyn genutzt worden, der in den USA im Oktober zahlreiche beliebte Dienste wie Twitter , Netflix und Ebay lahmlegte.Der Versuch sei nur deshalb misslungen, weil der entsprechende Schadcode nur im Arbeitsspeicher abgelegt wurde, sodass ein Neustart des Geräts ihn wieder entfernte.
Die IT-Webseite "heise online" berichtet jedoch, dass das Betriebssystem der Telekom-Router gar nicht in der Lage gewesen wäre, den entsprechenden Schadcode auszuführen. Was die Geräte zum Absturz gebracht habe, sei die schiere Menge an Anfragen gewesen, mit denen Hacker die Ports der Router bombardierten.
Inzwischen hat die Telekom die Lücke nach eigenen Angbaen mit Updates weitgehend geschlossen. Nach Recherchen der Sicherheits-Firma IT Cube Systems waren neben der den zwei betroffenen "Speedport"-Routern der Telekom möglicherweise auch weitere Provider wie Türk Telekom, die britische Talktalk Group und die spanische Movistar betroffen.
Wie "heise online" weiter berichtet, war ein potenzieller Angriff allerdings schon seit rund drei Wochen absehbar. Die Sicherheitslücke war seit einem Angriff in Irland am 7. November bekannt. Seit dieser Zeit "lief also die Uhr für die Telekom", sagt das Fachportal. Warum der Konfigurations-Port, über den die Angreifer eindrangen, überhaupt von außen ansprechbar war, sei nach wie vor rätselhaft. "Eigentlich hätten die Verantwortlichen wissen müssen, dass dies irgendwann zu Problemen führt."
Wie auch immmer der konkrete Fall gelagert sein sollte, er die Debatte über die Sicherheit der Informationstechnologie befeuert. Nach Ansicht Tim Berghoff vom IT-Sicherheitsdienstleister G Data ist die Attacke jedenfalls nur die "Spitze des Eisbergs": "Angriffe auf Schwachstellen von Routern sind für Angreifer äußerst lukrativ", sagt Berghoff. Theoretisch sei es möglich, die Geräte unbemerkt zu kapern und später zu einem Botnetz zu verbinden, über das dann etwa Spam-Mails versendet oder auch sensible Daten ausspioniert werden könnten. Durch eine Änderung der Verbindungs-Einstellungen könnten sie die Nutzer auf gefälschte Webseiten lotsen und ihnen dort Einwahl-Daten wie Passwörter oder eventuell auch Kreditkarten-Informationen abknöpfen.
Als Reaktion auf die Sicherheitslücken bei den Routern hat sich Bundesinnenminister Thomas de Maizière (CDU ) jüngst bei der Innenministerkonferenz von Bund und Ländern in Saarbrücken für strengere Sicherheitsvorgaben ausgesprochen. Der Ressortchef sagte: "Es ist schon berechtigt kritisch zu fragen, welche Qualitäts- und Sicherheitsstandards verlangt werden."
