Das US-Routerverbot und seine durchsichtige Begründung

Die USA lassen neue Routermodelle für den Verbrauchermarkt („Consumer-Grade“) nur noch zu, wenn sie zur Gänze in den USA entworfen, entwickelt und produziert werden. Das wäre eine tolle Nachricht für Hersteller solcher Router. Doch solche Produzenten gibt es nicht. Das zeigt sich schon daran, dass niemand „Made in USA Router for the Consumer Segment“ (MURCS) anpreist.

Bereits genehmigte Routermodelle dürfen weiter verkauft und genutzt werden, doch sind Updates von Firmware und Software verboten. Für Sicherheitsupdates gibt es eine Ausnahme bis 1. März 2027. Was als „consumer-grade“ gilt, ja sogar, was als „Router“ gilt, bleibt offen. Und bis heute schweigt die FCC zu Fragen von heise online, ob Open-Source-Software als inländisch oder ausländisch eingestuft wird, und wie es um ausländische Patente steht.

Gleichzeitig ist das Verbot streng: „Production generally includes any major stage of the process through which the device is made, including manufacturing, assembly, design, and development.“ Also jeder wichtige Schritt bei Design, Entwicklung, Produktion und Zusammenbau muss in den USA erfolgen. Mit Zusammenstecken asiatischer Teile in US-Gefängnissen wäre es nicht getan.

Die republikanisch geführte Regulierungsbehörde FCC (Federal Communications Commission) begründet das Verbot mit einer geheimen Feststellung nicht genannter Geheimdienste, wonach ausländische Verbraucher-Router ein „inakzeptables Risiko für die nationale Sicherheit“ darstellen. Diese Feststellung erfüllt formal die gesetzliche Vorgabe (47 U.S.C., Paragraph 1601[c]) für das Verbot. Dieselbe Floskel wandte die FCC im Dezember auch beim Verbot neuer ausländischer Flugdrohnenmodelle an.

Typhoon

Die veröffentlichte Zusammenfassung der geheimen Feststellung der geheimen Geheimdienste erwähnt mögliche Folgen mangelhafter Sicherheit bei Routern: „Störung von Netzverkehr, Ermöglichung lokaler Netzspionage und Verletzung von Immaterialgüterrechten.“ Dazu kommen scheinbar harte Fakten: „Zusätzlich waren im Ausland hergestellte Router direkt verwickelt in die Angriffe von Volt, Flax und Salt Typhoon, die kritische amerikanische Kommunikations-, Energie-, Verkehrs- und Wasserinfrastruktur im Visier hatten.“

Das ist nicht ganz falsch. Router hatten durchaus etwas damit zu tun. Und weil es nach US-Definition inländische Router nicht gibt, waren es, zwangsweise, ausländische Router.

Volt

2023 machte Microsoft darauf aufmerksam, dass chinesische Angreifer Betreiber kritischer Infrastruktur ausspionieren. Zur Verschleierung des Datenverkehrs nutzten sie tatsächlich fremde „Small Office/Home Office“-Router (SOHO). Die Abgrenzung zwischen SOHO und Consumer-Grade ist unklar, aber zweitrangig. Denn Volt Typhoons Einfallstore waren Lücken in Fortinet-Firewalls, die Verbraucher nicht zu betreiben pflegen.

Flax

Mit Flax Typhoon ist ein großes Botnet gemeint, das zum Zeitpunkt seiner Entdeckung 2024 über 260.000 Router und vernetzte Geräte des Alltagsgebrauchs (IoT) ahnungsloser Haushalte ausnutzte. Die zahlenmäßig meistbetroffenen Länder waren die USA, mit großem Abstand gefolgt von Vietnam und Deutschland. Das Botnet wird der Volksrepublik China zugeschrieben und nutzte 66 öffentlich bekannte Sicherheitslücken aus; die älteste war bereits 2015 bekannt.

Wie das amtliche Cybersecurity Advisory zeigt, sind 98,5 Prozent der Prozessoren der für Flax Typhoon missbrauchten Geräte in den USA entwickelt worden. Nur 1,5 Prozent waren demnach ARM-Geräte, deren Ursprung in britischen Designs liegt. Am Prozessordesign, das fortan amerikanisch sein muss, kann es also nicht gelegen haben. Das Advisory vom September 2024 empfiehlt unter anderem, Updates einzuspielen, Default-Passwörter durch eigene, starke zu ersetzen und Geräte vom Netz zu nehmen, wenn der Hersteller sie nicht mehr unterstützt. Woher man zuverlässig wissen soll, dass der Hersteller seine Produkte nicht mehr absichert, bleibt offen.

Salt

Salt Typhoon war eine erfolgreiche chinesische Spionage(-abwehr)-Mission in dutzenden Ländern. In den USA drangen die Angreifer bei großen Netzbetreibern ein, darunter AT&T, Verizon und T-Mobile. Ironie der Geschichte: Die Spione nisteten sich ausgerechnet in jenen Systemen ein, die die USA zum Abhören von Telefonaten und Kopieren fremder Datenübertragungen nutzen.

Die Eindringlinge nutzten bereits bekannte Lücken in riesigen Cisco-Routern, die niemand bei sich zu Hause betreibt. Die Netzbetreiber hatten es versäumt, voreingestellte Passwörter zu ändern und Updates gegen bekannte Softwarefehler einzuspielen. Gefürchtete Zero Days, also zuvor unbekannte Sicherheitslücken, wurden laut offiziellen US-Untersuchungen nicht ausgenutzt.

Das mit der Untersuchung befasste Cyber Safety Review Board hat Donald Trump auflösen lassen. Das war ihm so wichtig, dass die Anordnung am ersten Tag seiner zweiten Amtszeit als US-Präsident ergangen ist.