Mehrmals hat Tim Philipp Schäfers in den vergangenen Monaten gezeigt, welche Folgen ein leichtfertiger Umgang mit Domains haben kann: Anfang des Jahres entdeckte der Sicherheitsforscher von Mint Secure, dass sich das Bundesamt für Migration und Flüchtlinge (BAMF) ein Sicherheitsproblem schuf, weil es Test-Accounts für seine Systeme mit fiktiven E-Mail-Adressen auf einer Domain anlegte, die das Bundesamt nicht kontrollierte: testtraeger.de. Schäfers holte sich die bis dahin unregistrierte Domain und erhielt so Zugriff auf einen Administrator-Account eines Test-Systems.

Im Dezember folgte eine weitere Recherche: Frühere Behörden-Domains wurden leichtfertig abgestoßen, auch hier im Fall des BAMF. Das hieß früher BAFl und ließ die Domain bafl.de offenbar einfach auslaufen. Als Schäfers die Domain einige Jahre später für sich registrierte, stellte er fest, dass weiterhin regelmäßig automatisierte sowie manuelle Anfragen aus dem IP-Adress-Bereich von Bundesbehörden bei der Domain ankamen. Mittlerweile hat Schäfers die Domain zum BAMF zurückübertragen, berichtete er in einem Vortrag zum Thema auf dem 39. Chaos Communication Congress.

Eine Kleine Anfrage zeigte außerdem, dass Dritte abgelegte Behörden-Domains für sich registrieren und offenbar deren vormalige Vertrauenswürdigkeit ausnutzen, um dort Werbung für illegales Glücksspiel zu platzieren oder gar Schadsoftware zu verteilen. Eine Liste aller Bundesdomains zu veröffentlichen, verweigerte die Bundesregierung jedoch.

All das zeigt: Ein achtloser Umgang mit Domains ist sowohl ein Risiko für IT-Sicherheit als auch ein Einfallstor für Manipulation und Desinformation.

Deutschland und Estland sind Nachbarn auf der Tastatur

Auf dem 39. Chaos Communication Congress fasst Schäfers seine Erkenntnisse zusammen und präsentiert ein neues Problem: die Gefahr durch sogenannte Typosquatting- und Bitsquatting-Domains. Also Domains, die echten Web-Adressen ähnlich sind und die schnell durch Tippfehler und Fehler in der Datenverarbeitung entstehen.

Schäfers registrierte eine solche Domain. Sie heißt: bund.ee. Nur ein Buchstabe unterscheidet sie von bund.de, einer wichtigen Domain, die die deutsche Bundesregierung verwaltet und mindestens seit 1998 nutzt. Statt der Länder-Domain von Deutschland steht also dort diejenige von Estlands.

Bei einem Besuch von bund.de leitet die Seite auf das Bundesportal weiter. Darüber sollen Bürger:innen auf Verwaltungsleistungen von Bund, Ländern und Kommunen zugreifen können. Auf den zahlreichen Subdomains von bund.de finden sich beispielsweise Websites von Ministerien wie die des Innenministeriums unter bmi.bund.de. Auf anderen Unterseiten wie id.bund.de können sich Bürger:innen mit der BundID anmelden. Das ist ein zentrales Konto, über das sie etwa Bescheide von Behörden empfangen oder sich online ausweisen können. Unter gesund.bund.de befindet sich eine Service-Seite des Gesundheitsministeriums mit Informationen zur Arztsuche oder zu Diagnosen.

Schäfers war also gespannt, welche Anfragen bei bund.ee ankommen würden.

Menschen und Maschinen „vertippen“ sich

Dass Menschen aus Versehen versuchen würden, eine bund.ee-Adresse aufzurufen, war absehbar: Die Buchstaben D und E liegen auf den meisten Tastaturen direkt nebeneinander, schnell hat man sich vertippt und eine Mail nicht an beispielsweise „bewerbung@bmg.bund.de“, sondern „bewerbung@bmg.bund.de“ verschickt. Das sind menschliche Fehler. Treten die nicht nur bei einmaligen Vertippern auf, sondern haben sie sich in eine Konfigurationsdatei geschlichen, besteht der Fehler permanent, solange er nicht entdeckt wird.

Aber auch Maschinen versuchen teils, die falsche Domain bund.ee zu erreichen, etwa wenn es durch eine Fehlfunktion in der Übertragung zu einem falschen Bit kommt. In ASCII-Kodierung entspricht die „00110100“ einem „d“, die „00110101“ einem „e“. Also nur das letzte Bit ist anders, ein „Bitflip“. Damit liegen „d“ und „e“ auf Bitebene ähnlich nah aneinander wie auf vielen Tastaturen.

Dass es zu einem Datenverarbeitungsfehler kommt, ein Bit „umkippt“ und dann ein Gerät die falsche Adresse ansteuert, kann unterschiedliche Ursachen haben. Große Hitze beeinträchtigt mitunter die Funktion von Computern und Bauteilen, sodass es zu Fehlern kommt. Intensive kosmische Strahlung, etwa nach Sonnenstürmen, ebenfalls. IT-Sicherheitsforscher von Cisco zeigten auf einer Konferenz im Jahr 2021, dass Bitsquatting-Domains ein Problem werden können.

Welche genauen Ursachen die Anfragen hatten, die Schäfers an bund.ee erfasste, lässt sich nicht feststellen. Sie zeigen aber: Würde ein böswilliger Angreifer Tipp- und Verarbeitungsfehler ausnutzen, sich eine entsprechende Domain registrieren und eine Weile mitlauschen, was auf der Adresse passiert, könnte er eine Menge Informationen erfahren, die nicht für ihn bestimmt sind.

So zeigte Schäfers in seinem Vortrag, dass er Anfragen von einem Webmail-System des Bundesamtes für Risikoermittlung erhielt und Hostnamen interner Systeme mitgeteilt bekam. Außer wurden offenbar Mails versucht zuzustellen – unter anderem zu bnd.bund.ee.

Probleme lassen sich vermeiden

Schäfers Sicherheitsforschung zeigt: Behörden – und andere – sollten sorgfältig mit Domains umgehen. Aus den Problemen, die er in diesem Jahr fand, lassen sich einige hilfreiche Lehren ziehen.

• Man sollte niemals Domains für Test-Accounts nutzen, die man nicht selbst kontrolliert. Die Ausnahme: explizit dafür vorgesehene Domain-Endungen oder Adressen. Dazu gehören etwa die Top-Level-Domains „.test“ oder „.example“. Auch „example.com“ kann sicher genutzt werden, da sie dauerhaft reserviert ist und nicht frei registriert werden darf. Test-Domains sollten auch sorgfältig dokumentiert, Test-Accounts regelmäßig auf notwendige Berechtigungen geprüft werden.
• Domains, die nicht mehr benötigt werden, sollten nicht einfach achtlos wieder freigegeben werden. Schon bei der Registrierung einer neuen Domain sollten öffentliche Stellen überlegen, wie sie im späteren Verlauf damit umgehen. Verweise auf die Domain müssen aus anderen Systemen entfernt werden. Ist das Risiko zu hoch, dass Dritte die Domain missbräuchlich nutzen, sollte sie dauerhaft unter Kontrolle der Behörde bleiben. Um den Umgang mit Domains zu regeln, sollte es mindestens einheitliche Handlungsempfehlungen geben. Diese fehlen Bundesbehörden-übergreifend bislang.
• Um zu vermeiden, zahllose extra registrierte Domains zu verwalten, sollten öffentliche Stellen auf Subdomains vertrauenswürdiger Adressen zurückgreifen, die eindeutig als Web-Auftritt staatlicher Institutionen zu erkennen sind. Für Bundesbelange steht dafür bund.de zur Verfügung. Die Domain gov.de ist Bestandteil einer „digitalen Dachmarke“, die auch Institutionen auf Länder- und kommunaler Ebene nutzen können. Sie ist aber noch sehr wenig verbreitet.
• Behörden sollten klassische Vertipper- oder Bitsquatting-Domains im Blick haben, Methoden zur Vermeidung entsprechender Fehler implementieren und sie gegebenenfalls auch registrieren.
• Geheimhaltung, welche Domains öffentliche Stellen nutzen, hilft nicht weiter. Sie verhindert Sicherheitsforschung und erschwert es Nutzenden zu prüfen, welche Domains zu staatlichen Stellen gehören.

Geheimhaltung löst keine Probleme

Um etwas Licht ins Dunkle zu bringen, veröffentlicht Tim Philipp Schäfers gemeinsam mit FragDenStaat nun eine Liste mit 2.000 derzeit bekannten Behörden-Domains und Subdomains: von 60-jahre-sozialstaat.de über brexit-training.it.bund.de bis punktereform.de.

Die Liste ergänzt bereits bestehende Domain-Listen, die Menschen teils mit Informationsfreiheitsanfragen erhalten hatten. Strukturiert Domains mithilfe des Informationsfreiheitsgesetzes herauszufinden, ist jedoch nicht erfolgversprechend. Das Verwaltungsgericht Köln urteilte in einem Verfahren gegen das Bundesgesundheitsministerium, dass Behörden ihre Domain-Listen nicht offenbaren müssen.

Doch auch alternative Methoden geben Informationen über die Web-Adressen des Staates: „Suchmaschinen, automatisierte DNS-Scans, Zertifikatstransparenz-Logs, Fehlkonfigurationen oder einfache Leaks führen häufig dazu, dass solche Domains früher oder später entdeckt werden“, schreibt Schäfers auf FragDenStaat. „Die Annahme, eine unbekannte Domain bleibe dauerhaft unsichtbar, ist daher realitätsfern.“

Generell lehnt er den Ansatz der Geheimhaltung ab. Die bringe keine Sicherheit vor gezielten Angriffen. „Moderne IT-Sicherheit folgt deshalb dem Grundsatz, dass Systeme auch dann sicher sein müssen, wenn ihre Architektur und ihre Adressen bekannt sind“, so Schäfers. Denn: „Sicherheit entsteht nicht durch Verbergen – sondern durch Transparenz.“

Die Vision ist verlockend: Humanoide Roboter sollen uns in naher Zukunft „schmutzige“ oder gefährliche Arbeiten abnehmen. Konzerne wie Tesla und dessen Eigentümer Elon Musk treiben das Thema voran, doch der Marktführer bei den Stückzahlen ist oft der chinesische Hersteller Unitree. Dessen Modell G1 wird bereits massiv vertrieben – laut den Forschern Shipei Qu, Zikai Xu und Xuangan Xiao sind über 50.000 Einheiten verkauft. Doch während die Hardware beeindruckende Fortschritte macht, scheint die IT-Sicherheit in der Entwicklung kaum eine Rolle zu spielen. Unter dem provokanten Titel „Skynet Starter Kit“ zerlegten die Experten auf dem 39. Chaos Communication Congress (39C3) in Hamburg das Ökosystem der Roboter.

Der Unitree G1 wird standardmäßig per App oder einer Game-Controller-ähnlichen Funkfernbedienung gesteuert. Shipei Qu von der chinesischen IT-Sicherheitsfirma Darknavy erklärte am Sonntag, dass das Team das Funkmodul per Blackbox-Reverse-Engineering untersuchte, da der Hersteller die Chip-Beschriftungen entfernt hatte. Durch den Einsatz von Software Defined Radio (SDR) und „educated guessing“ fand das Trio heraus, dass der Roboter auf dem LoRa-Protokoll im 2,4-GHz-Band funkt.

Das Ergebnis der Analyse war erschreckend: Es gibt keine Verschlüsselung und nur eine extrem schwache Authentifizierung. Die Forscher konnten den sogenannten „Sync-Word-Parameter“ (2 Bytes) per Brute-Force knacken und so die Kontrolle über fremde Roboter übernehmen. In einer aufgezeichneten Demo zeigten sie, wie ein Angreifer einen G1 fernsteuern kann, ohne jemals physischen Zugriff oder das Pairing-Passwort gehabt zu haben. Die Antwort von Unitree auf diesen Fund: Die Lücke könne erst in der nächsten Hardware-Generation geschlossen werden.

WebRTC und Cloud: Einfallstor für Botnetze

Zikai Xu beleuchtete die Netzwerkschnittstellen. Über Protokolle wie WebRTC und MQTT kommuniziert der Roboter mit dem Internet und der Smartphone-App. Hier stießen die Forscher auf fundamentale Designfehler. So wird das Passwort für den Fernzugriff oft trivial aus der Seriennummer des Geräts abgeleitet.

Noch brisanter ist der Angriff auf den „Embodied AI Agent“. Der G1 nutzt das große Sprachmodell (LLM) von ChatGPT, um Sprachbefehle zu interpretieren und in Aktionen umzusetzen. Den Forschern gelang ein Prompt-Injection-Angriff: Durch gezielte Sätze brachten sie die KI dazu, Systembefehle mit Root-Rechten auszuführen. Damit wird die KI, die eigentlich die Interaktion erleichtern soll, zum Trojanischen Pferd, das Angreifern vollen Zugriff auf das Betriebssystem (einen Root-Shell) gewährt. Von hier aus lässt sich nicht nur der Videostream der Kopfkamera abgreifen, sondern theoretisch auch ein Botnetz aus tausenden Robotern koordinieren.

Vom Konsum-Roboter zur physischen Bedrohung

Eindrucksvoll ist auch die Arbeit von Xuangan Xiao, der sich mit der Manipulation der Bewegungssteuerung beschäftigte. Die günstigere „Air“-Version des G1 ist softwareseitig so beschnitten, dass sie bestimmte komplexe Bewegungen nicht ausführen kann. Um diese Sperren zu umgehen, analysierte das Team die tief verschleierten Binärdateien der Steuerung.

Die Tüftler entdeckten eine virtuelle Maschine (VM) mit rund 80 eigenen Instruktionen, die nur dazu dient, die eigentliche Logik vor Reverse Engineering zu schützen. Nach zwei Wochen intensiver Arbeit konnten sie die VM disassemblieren und die Firmware patchen. Damit schalteten sie nicht nur gesperrte Funktionen frei, sondern „lehrten“ den Roboter auch gefährliche Bewegungen. In einer zweiten Demo nutzten sie diese Kontrolle, um den Roboter auf ein Codewort hin gezielte, kraftvolle Boxschläge gegen eine Testpuppe ausführen zu lassen. Terminator lässt grüßen!

Security-by-Design fehlt völlig

Die Forscher ziehen ein düsteres Resümee. Aktuelle kommerzielle Roboter sind ihnen zufolge vernetzte, KI-gesteuerte cyber-physische Systeme, denen grundlegende Schutzmechanismen fehlen. Während Hersteller wie Boston Dynamics (Spot) detaillierte Sicherheitskonzepte vorlegten, priorisierten Massenhersteller wie Unitree den Schutz ihrer Immaterialgüterrechte vor dem der Nutzer. Dass Unitree erst in diesem Jahr damit begonnen hat, ein dediziertes Sicherheitsteam aufzubauen, unterstreicht laut den Darknavy-Testern, wie weit die Branche der Humanoiden-Bauer noch hinter gängigen IT-Sicherheitsstandards zurückbleibt. Die „drei Gesetze der Robotik“ von Asimov sind in der Welt von Unitree & Co. derzeit eine ferne Illusion.

(kbe)

Der Website Have I been Pwned, dem Cybersecurity-Experten Alon Gal und databreaches.net zufolge sind sensible Kundendaten von 2,3 Millionen Wired-Nutzern im Netz veröffentlicht worden. Weitere Millionen könnten folgen, da die Daten mutmaßlich aus einem umfassenderen Datendiebstahl bei der Wired-Mutterfirma „Condé Nast“ stammen sollen. Betroffen könnten dann auch Daten von bekannten Magazinen wie Vogue, The New Yorker, GQ, Glamour und Vanity Fair sein. In entsprechenden Foren wird bereits gedroht, Daten von mehr als 40 Millionen Nutzern zu veröffentlichen.

Lovely brauchte Kontakthilfe

Demnach wurde der Blog databreaches.net schon im November von einer Person mit dem Alias „Lovely“ kontaktiert, die Wege suchte, mit Wired in Kontakt treten zu können. Die Kontaktaufnahme mit Wired und auch der Mutterfirma Condé Nast sei zunächst gescheitert, mithilfe des databreaches-Blogs konnte Lovely aber schlussendlich mit Wired kommunizieren. Wired gegenüber soll Lovely sechs Sicherheitslücken gemeldet und die erbeuteten Daten als Druckmittel für Zahlungen eingesetzt haben. Gemäß dem databreaches-Blog sind diese Informationen allerdings mit Vorsicht zu genießen, da sich Lovely unter falschen Angaben an den Blog wandte und auch im Kommunikationsverlauf weitere falsche Angaben machte.

Dass die bisher geleakten Daten sehr wahrscheinlich echt sind und tatsächlich von Wired stammen, wurde unter anderem von Alon Gal verifiziert. Sie umfassen mithin 2,3 Millionen E-Mail-Adressen, 285.936 Namen, 32.426 Telefonnummern und 102.479 Wohnadressen. Laut Have I Been Pwned sind aber auch Geburtsdaten, Angaben zum Geschlecht, sowohl Anzeigennamen als auch bürgerliche Namen und Ortsdaten Teil der Sammlung. Die letzten Datenbankeinträge sollen vom 8. September 2025 sein.

Wired und Condé Nast haben sich zu dem Vorfall bisher nicht öffentlich geäußert.

(kbe)