BR24 Logo
BR24 Logo
Startseite

BSI: Behörde bestätigt Gefahr für Millionen vernetzter Geräte | BR24

© BR
Bildrechte: picture alliance

BSI bestätigt Studie der IT-Sicherheitsfirma Forescout: TCP/IP-Stacks sind oft schadhaft.

14
Per Mail sharen
  • Artikel mit Audio-Inhalten

BSI: Behörde bestätigt Gefahr für Millionen vernetzter Geräte

Es gibt sie immer wieder: Sicherheitslücken in Hard- und Software. Die Sicherheitsfirma Forescout hat nun aber ein besonders krasses Problem entdeckt. Millionen vernetzter Geräte von gut 150 Herstellern sind von Software-Schwachstellen betroffen.

14
Per Mail sharen
Von
  • Christian Sachsinger

Die IT-Sicherheitsfirma Forscout hat das Internetprotokoll unter die Lupe genommen, genauer gesagt die sogenannten TCP/IP-Stacks, das ist Software, die in Geräten dafür sorgt, dass die Daten in Pakete zerteilt, verschickt und am Ende wieder zusammengebaut werden. Viele Programmierer verwenden hierbei frei verfügbaren Open-Source Software, um die Internet-Funktionalität etwa von Kameras, Türschlössern oder Stromzählern zu programmieren. Diese Software-Bauteile sind aber offenbar – was die Sicherheit angeht – ziemlich löchrig. Forscout hat 33 bislang unbekannte Sicherheitslücken entdeckt und die unter dem Namen AMNESIA:33 jetzt bekannt gegeben.

Es trifft so gut wie alle Arten vernetzter Geräte

Betroffen von den Problemen sind sehr viele Geräte mit Internetfunktionalität, die auch in privaten Haushalten gerne eingesetzt werden. Dazu zählen Kameras, Umgebungssensoren (z. B. Temperatur, Luftfeuchtigkeit), intelligente Beleuchtungssteuerungen, Drucker, vernetzte Audiosysteme. Bei der Gebäudeautomation gehören unter anderem Schließanlagen, Feuer- und Rauchmelder, Stromzähler und Klimaanlagen dazu. Fatal auch, dass die Probleme nicht nur zu Hause auftauchen können, sondern genauso in Bürogebäuden und Fabrikanlagen. Insgesamt zeigen vernetzte Geräte von über 150 Herstellern solche Lücken - auf der ganzen Welt.

Entdecken Hacker eine der Schwachstellen, können sie Daten stehlen, Computersysteme angreifen und zusammenbrechen lassen oder die Geräte (wie zum Beispiel den Türöffner) aus der Ferne kapern. Forescout listet auch die am stärksten betroffenen Sektoren auf: Regierungsstellen, das Gesundheitswesen, der Dienstleistungssektor und das verarbeitende Gewerbe.

BSI warnt ebenfalls vor AMNESIA:33

Dass IT-Sicherheitsfirmen vor Sicherheitsrisiken warnen, ist im Prinzip nicht ungewöhnlich und auch nicht, dass sie dazu selbst angefertigte Studien bemühen – solche Warnungen sollen das Geschäft mit den eigenen Sicherheitslösungen ankurbeln. In diesem Fall ist es aber mehr, als eine reine Marketing-Maßnahme. Das Bundesamt für Sicherheit in der Informationstechnik stimmt grundsätzlich der Bewertung von Forescout zu: es handele sich teilweise um kritische Schwachstellen, so BSI-Chef Arne Schönbohm.

Die Ausnutzung des verwundbaren Codes geschieht demnach, bevor Sicherheitsmechanismen des Betriebssystems bzw. eventuell vorhandene Antivirensoftware zum Tragen kommen. Wer Geräte mit diesen Schwachstellen verwendet, kann die Hacker also kaum mehr draußen halten, solange er nicht direkt die Lücke geschlossen hat. Andere Maßnahmen scheinen nicht viel zu bringen.

International koordiniertes Vorgehen der Behörden

Das BSI war bereits am 2. September von der amerikanischen Partnerbehörde CISA (Cybersecurity & Infrastructure Security Agency) über die Lücken informiert worden. Daraufhin hat die deutsche Behörde Unternehmen und Institutionen kontaktiert und ihnen Handlungsempfehlungen zur Verfügung gestellt. 31 Unternehmen wurden informiert, davon 14 in Deutschland.

"All jenen Unternehmen, die sich auf unseren Hinweis zurückgemeldet haben, haben wir bei der Schließung der problematischen Schwachstellen helfen können. Dennoch gibt es eine Anzahl von Unternehmen, die nicht reagiert haben." Arne Schönbohm, Präsident, Bundesamt für Sicherheit in der Informationstechnik

Mit dem heutigen Bekanntwerden der Sicherheitslücken beginn nun der Wettlauf zwischen Hackern und jenen Unternehmen, die die Lücken noch nicht dicht gemacht haben.

"Darüber spricht Bayern": Der neue BR24-Newsletter informiert Sie immer montags bis freitags zum Feierabend über das Wichtigste vom Tag auf einen Blick – kompakt und direkt in Ihrem privaten Postfach. Hier geht’s zur Anmeldung!