Die Gesellschaft für Informatik e.V. (GI) hat eine Studie vorgelegt, die sich im Auftrag von Fritz (ehemals AVM) mit der Router-Sicherheit und digitalen Souveränität in Deutschland auseinandersetzt. Sie sieht insbesondere Heimnetz-Router als unterschätztes Risiko. Die IT-Fachleute haben auch Handlungsempfehlungen abgeleitet.

In der Studie analysierten die Autoren 2190 Sicherheitslücken mit CVE-Einträgen aus den Jahren 2020 bis 2025, die die größten Router-Anbieter in Deutschland betreffen. Diese dienen Angreifern als Einfallstor, um Internetrouter zu kapern und etwa Passwörter für E-Mail-Konten oder andere Online-Dienste abzugreifen, wie zuletzt im April des Jahres bekannt wurde. Der Betrachtungszeitraum blendet die Fritz-Router betreffende, größere Wellen schlagende Sicherheitslücke aus dem Jahr 2014 aus. Die Router in Deutschland verteilen sich laut Studie auf Fritz mit 51 Prozent Marktanteil, unter der Telekom-Marke segelnde Geräte mit 19 Prozent, mit Vodafone-Branding versehene Router (12 Prozent) und schließlich TP-Link (2 Prozent), D-Link (2 Prozent) und Netgear mit einem Prozent Marktanteil im Jahr 2025.

Die Schwachstellenanalyse lässt OEM-Hersteller wie Arcadyan oder ZTE aus, die sich etwa hinter einigen Telekom- oder Vodafone-Routern verbergen, da sie sich nicht korrekt zuordnen lassen. Netgear wies demnach mit 1016 CVE-Einträgen die höchste absolute Zahl an Schwachstellen auf, was 46 Prozent der untersuchten CVEs entspricht. D-Link folgte mit 955 CVEs (44 Prozent). TP-Link steuerte noch 218 CVEs bei (10 Prozent) und Fritz wies in dem Zeitraum einen CVE-Eintrag auf. Bei der Berücksichtigung des Schweregrads der Schwachstellen sieht die Verteilung etwas anders aus: D-Link hatte 280 CVEs mit kritischem Risiko, Netgear 149, TP-Link noch 60 und Fritz keine.

Unterschiede in der Firmware-Qualität

Die GI schließt aus diesem Verhältnis auf unterschiedliche Qualität der Firmwares der Geräte. Zur Bewertung der Zahlen ist weiterhin die Disclosure-Politik der Unternehmen zu berücksichtigen. Netgear betreibt etwa ein öffentliches Bug-Bounty-Programm, bei dem IT-Sicherheitsforscher Geldprämien erhalten können. Außerdem geht der Hersteller als CNA (CVE Numbering Authority), die eigene CVE-Einträge erstellen kann, sehr transparent mit Schwachstellen um. Zwar dokumentiert Fritz Schwachstellen auf einer Security-Seite, allerdings erfolgt keine CVE-Vergabe. Das erklärt auch die geringe Anzahl an CVE-Einträgen.

Die GI weist weiter auf die unterschiedlichen Support-Zeiträume hin. Billigere Geräte fallen üblicherweise früher aus der Herstellerunterstützung heraus. Hier greift in absehbarer Zeit immerhin der Cyber Resilience Act (CRA), mit Mindestsupportzeiträumen und weiteren Herstellerpflichten. Aufgrund der langen Umsetzungsfristen könnten aber noch Jahre vergehen, bis alle Anbieter das umsetzen. Eines der aktuellen Probleme ist demnach, dass viele Geräte das Ende ihres Supportzeitraums bereits erreicht haben und keine Sicherheitsupdates mehr erhalten, ohne dass Verbraucher davon erfahren.

In der Studie gibt die Gesellschaft für Informatik e.V. auch Handlungsempfehlungen für die Bundesregierung. Sie soll „die Logik des EU Cybersecurity Act 2 auf den Heimnetzbereich“ übertragen und „Transparenzpflichten für Hersteller und Lieferketten bei Consumer-Routern“ einführen. Dahinter steckt die Idee, etwa Anbieter aus China, die potenziell eine Gefahr darstellen können, aus europäischer Infrastruktur zu verdrängen und europäische Produkte vorzuziehen, um externe Abhängigkeiten zu reduzieren.

Der Co-Autor der Studie und Referent für Politik und Wissenschaft bei der GI, Niklas Sax, ordnet das so ein: „Deutschland ist im internationalen Vergleich [hinsichtlich der Router-Sicherheit] gut aufgestellt, denn der hohe Marktanteil europäischer Hersteller ist ein echter Standortvorteil. Aber diese Ausgangslage ist kein Selbstläufer. Die Dynamiken in den USA zeigen, dass sich Marktanteile schnell zugunsten nicht-europäischer Hersteller verschieben können. Das ist nicht nur eine Frage der Marktsouveränität, sondern schafft neue Angriffsflächen für gezielte Einflussnahme von Drittstaaten.“

(dmk)

Firewalls und VPN-Gateways sind ein lohnendes Angriffsziel – bewachen sie doch das Eingangstor in Unternehmensnetzwerke. Ein Sicherheitsforscher hat nun nach eigenen Angaben eine großangelegte Angriffskampagne gegen Geräte des Herstellers Fortinet aufgedeckt. An die 74.000 sollen kompromittiert worden sein.

Wer hinter dem Angriff steckt ist unklar, Entdecker Volodymyr Diachenko erwähnt jedoch eine „russischsprachige Cybercrime-Gruppe mit mehreren Mitgliedern“. Diese habe zunächst massenhaft Zugangsdaten – etwa aus vorherigen Datenlecks – bei Fortinet-Geräten durchprobiert, insgesamt 1,16 Milliarden Kombinationen aus Benutzernamen und Passwörtern.

Auch die Zahl der über „FortiBleed“ angegriffenen Geräte ist astronomisch: Es seien 320.000 gewesen. Die Hälfte aller über das Internet erreichbaren Fortinet-Geräte. Davon hätten die Kriminellen bei 73.932 Fortinet-Appliances in aller Welt erfolgreich Zugangsdaten abgegriffen, führt Diachenko aus. Die Angaben lassen sich nicht unabhängig überprüfen. In der Mehrzahl der Fälle waren wohl die Management-Interfaces aus dem Internet zugänglich.

Doch wie die Angreifer genau auf die Geräte kamen, bleibt unklar. Sicherheitsexperte Kevin Beaumont vermutet, sie hätten womöglich eine bislang noch unbekannte Sicherheitslücke genutzt, um sich Zugriff zu verschaffen. Dann hätten sie die Gerätekonfiguration abgezogen und die dort enthaltenen Passwort-Hashes mittels eines spezialisierten Clusters mit 48 GPUs und einer Bruteforce-Attacke geknackt. In älteren Versionen der Fortinet-Firmware sind Passwörter mit dem Verfahren SHA256 mit Salt gehasht, das sich im Vergleich zu der ab FortiOS 7.2.11 üblichen PBKDF2-Variante mit zufälligem Hash erheblich effizienter mittels Werkzeugen wie hashcat angreifen lässt.

Inzwischen hat eine Fortinet-Sprecherin gegenüber TechCrunch erklärt, dass das Unternehmen von einer Zugangsdaten-Diebstahl-Kampagne mit Fortinet-Firewalls und -VPN zum Ziel mitbekommen habe. Den Analysen des Herstellers zufolge handelt es sich bei den Daten um solche aus vorherigen Vorfällen sowie um mittel Brute Force geknackten Zugangsdaten. Sie stünden nicht mit jüngeren Vorfällen oder Sicherheitsmitteilungen in Verbindung. Kevin Beaumont, der die Daten einsehen konnte, stellt die Situation anders dar: „Die IP-Adressen sind zum Großteil unterschiedlich zum Belsen-Group-Leak, der 15.000 Geräte umfasste. [Die Daten] enthalten hauptsächlich Geräte, die nicht in diesem Leak waren und dieses Mal sind die meisten Geräte noch online – das hier sind keine Daten aus 2022.“

Auch deutsche Geräte betroffen

Unter den betroffenen Geräten sind auch gut 120, deren Domain auf einen Standort in Deutschland schließen lässt, darunter verschiedene Geräte im Netz der Telekom oder bei Mercedes-Benz. Das Threat-Intelligence-Unternehmen Hudson Rock ließ uns eine Liste der betroffenen de-Domains zukommen und hat eine Informationsseite mit Abfragemöglichkeit eingerichtet.

Betroffene sollten alle Zugangsdaten auf kompromittierten Geräten mit sicheren Passwörtern neu vergeben, verdächtige Zugriffe auf nachgelagerte Netze prüfen und Mehrfaktorauthentifizierung, etwa bei der VPN-Anmeldung, forcieren. Da zur Stunde nicht einmal klar ist, ob die Angriffe über eine bestehende Sicherheitslücke in FortiOS stattfanden, gibt es auch keine Patches, eine Stellungnahme seitens Fortinets Sicherheitsteams steht ebenfalls aus.

Da Fortinet-Geräte Zugang zu Netzwerken bereitstellen, sind sie beliebtes Ziel von Angreifern. Am Mittwoch wurden etwa Angriffe auf FortiSandbox bekannt.

(cku)

Estland soll das erste Land der Welt werden, das digitale Identitäten für KI-Agenten ausstellt. Das hat der Premierminister des Landes, Kristen Michal, angekündigt. Er greife dabei den Vorschlag eines KI-Beirats auf und danke diesem. Michal möchte, dass Estland jenes Land wird, in dem Künstliche Intelligenz so intensiv genutzt wird wie sonst nirgendwo.

KI-Agenten sind Softwareroutinen, die zwar Auftraggeber haben, aber eigenständig Entscheidungen berechnen und ausführen. Dabei nutzen sie regelmäßig Zugangsdaten zu Konten ihrer Auftraggeber, seien es E-Mail-Konten, Cloud-Speicher oder Bankkonten. Damit erhalten sie die selben Rechte wie der Auftraggeber selbst. Entscheidet ein Agent unvorteilhaft, kann das richtig ungemütlich und teuer werden, beispielsweise durch Datenlöschung oder Geldverschwendung. Auch unerwünschte Datenausleitung ist ein mögliches Problem.

Rechteverwaltung statt alles oder nichts

Michal will diese Situation nicht hinnehmen. „Agenten müssen beschränkte, kontrollierbare und überprüfbare Autorisierung haben“, schreibt der seit knapp zwei Jahren amtierende Regierungschef. „Zum Beispiel muss es möglich sein, zu bestimmen, ob ein Agent Daten nur lesen kann, Dokumente ausarbeiten oder innerhalb eines fixen finanziellen Rahmens agieren darf.“

Dabei könnten eigenständige digitale Ausweise für KI-Agenten tatsächlich helfen. Eine eigenständige Identität kann ermöglichen, dass sich der KI-Agent gegenüber dem von ihm genutzten System als Agent im Auftrag eines bestimmten Auftraggebers ausgibt, anstatt so zu tun, als wäre er sein Auftraggeber selbst. Anhand dieser Unterscheidung kann das genutzte System dann granulär Zugriff auf Funktionen gewähren oder eben auch nicht.

Michal möchte Vertrauen in die neue Technik stärken. Und er denkt außenpolitisch: Wenn Estland es schaffe, „schnell und weise“ zu agieren, könne es auch als kleines Land dazu beitragen, internationale Standards zu beeinflussen. Ob die digitalen Identitäten optional oder für (bestimmte) KI-Agenten verpflichtend werden sollen, hat der liberale Politiker noch nicht gesagt. Ebenso wenig hat er über seinen Zeitplan gesprochen.

(ds)