Smart Home und Router-Sicherheit

Das Fraunhofer-Institut für Kommunikation, Informationsverarbeitung und Ergonomie FKIE (Fraunhofer FKIE) hat im Juni 2020 die Ergebnisse eines groß angelegten Tests zur Sicherheit von Internet-Routern für Privatkunden veröffentlicht. Die Ergebnisse der Studie waren ernüchternd, da bei fast allen getesteten Geräten Sicherheitsmängel festgestellt wurden.

Die Sicherheitsmängel waren recht unterschiedlicher Natur.
Bei fast allen Geräten von insgesamt 127 getesteten Routern für Privatnutzer von sieben großen Herstellern wurden Sicherheitsmängel festgestellt, teilweise sogar ganz erhebliche. Diese reichen von fehlenden Sicherheitsupdates, über einfach zu entschlüsselnde, hartcodierte Passwörter (die vom Benutzer auch nicht geändert werden können!) bis hin zu bereits bekannten Schwachstellen, die eigentlich längst behoben sein müssten.
Die Auswertung hat ergeben, dass kein einziger Router ohne Fehler war. Manche waren sogar von Hunderten bekannter Schwachstellen betroffen. 46 Router hatten in den letzten zwölf Monaten kein Sicherheitsupdate erhalten«, berichtet IT-Security-Experte und FKIE-Wissenschaftler Peter Weidenbach. Der Extremfall unter den geprüften Geräten hatte sogar 2.000 Tage lang kein Sicherheitsupdate mehr erhalten.

Ein Fazit der Tester des Fraunhofer FKIE lautet, dass die Vielzahl der aufgeführten Schwachstellen zeige, dass die Hersteller noch viel mehr Anstrengungen unternehmen müssen, um die Geräte deutlich sicherer zu machen.
Ein Weg dorthin könnte über die neue technischen Richtlinie des BSI für Breitband-Router  gehen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in einer Technischen Richtlinie für Breitband-Router das Mindestmaß an IT-Sicherheitsmaßnahmen definiert, das für Router im Endkundenbereich umgesetzt sein sollte. Für diese Technische Richtlinie hat das BSI nunmehr eine Prüfspezifikation erstellt, auf deren Basis Hersteller, Prüfstellen und andere Interessierte Breitband-Router detailliert auf die Einhaltung der Anforderungen der Technischen Richtlinie überprüfen können. Darüber hinaus werden die Technische Richtlinie und die zugehörige Prüfspezifikation in die Konzeption des IT-Sicherheitskennzeichens innerhalb des IT-Sicherheitsgesetzes 2.0 einfließen.