Handelsblatt

MenüZurück
Wird geladen.

02.03.2016

10:36 Uhr

Datenschutz in öffentlichen Netzen

Wenn der WLAN-Hotspot im Airport spioniert

VonChristof Kerkmann

Im Urlaub Fotos an die Lieben schicken, am Flughafen die Mails checken: Ohne WLAN-Hotspots wird das im Ausland teuer. Doch wer den nächstbesten Internetzugang nutzt, geht ein hohes Risiko ein – wie ein Experiment zeigt.

Wer im Urlaub kurz an die Familie schreiben will, nutzt gerne einen offenen WLAN-Hotspot. Es lässt sich aber kaum kontrollieren, ob die Daten dann sicher sind. dpa

Mit dem Smartphone im Café

Wer im Urlaub kurz an die Familie schreiben will, nutzt gerne einen offenen WLAN-Hotspot. Es lässt sich aber kaum kontrollieren, ob die Daten dann sicher sind.

BarcelonaRaus aus dem Flugzeug, rein ins Netz: Nach der Landung checken die meisten Fluggäste ihre E-Mails, suchen den nächsten Zug oder lesen die Nachrichten. Ein offener WLAN-Hotspot kommt bei Auslandsreisen gerade recht. Doch wer das nächstbeste Netzwerk nutzt, setzt sich einem erheblichen Risiko aus. Für Cyberkriminelle und Hacker ist es ein Leichtes, über solche Zugänge Daten zu stehlen.

Wie unbedarft selbst erfahrene Nutzer sind, zeigt eine Studie des IT-Sicherheitsspezialisten Avast: Das tschechische Unternehmen hat kürzlich vor der Mobilfunkmesse Mobile Word Congress (MWC) in Barcelona am Flughafen der Metropole zwei präparierte WLAN-Hotspots aufgestellt. Die Reisenden konnten über diese Zugänge ins Netz gehen, gaben dabei aber unbemerkt Informationen über sich preis. Das erschütternde Ergebnis: Binnen vier Stunden fielen 2000 Menschen darauf herein, darunter zahlreiche, die in der Mobilfunkbranche arbeiten und sich daher auskennen müssten.

Wie die Hacker zum Ziel kommen

Eine einzige Schwachstelle reicht

Wenn kriminelle Angreifer in ein Computersystem eindringen wollen, haben sie einen Vorteil: Sie müssen womöglich nur eine einzige Schwachstelle finden, um einen Rechner zu kompromittieren. Einige ausgewählte Angriffsmethoden.

Verspätetes Update

Es gibt praktisch keine fehlerlose Software – wenn Sicherheitslücken entdeckt werden, sollte sie der Hersteller mit einem Update schließen. Viele Firmen lassen sich jedoch Zeit, diese zu installieren und öffnen Angreifern somit Tür und Tor.

Angriff auf die Neugier

Der Mensch ist neugierig - das machen sich kriminelle Hacker zunutze: Sie verfassen fingierte E-Mails, die wichtige Dokumente oder ein lustiges Video versprechen, aber nebenbei die Zugangsdaten eines Mitarbeiters stehlen. Phishing wird diese Methode genannt.

Gutgläubigkeit als Einfallstor

„Hier ist die IT-Abteilung. Wir brauchen mal Ihr Passwort“: Nicht selten gelangen Angreifer mit einem dreisten Anruf an die Zugangsdaten eines Mitarbeiters. Wer gutgläubig ist, fällt auf diese Masche rein – obwohl die IT-Fachleute aus dem eigenen Haus nie so eine Frage stellen würden.

Ein Passwort, das nicht sicher ist

Ob Router oder Drucker: Viele Geräte werden mit einem Standardpasswort ausgeliefert. Wenn die IT-Abteilung es nicht verändert, haben Angreifer leichtes Spiel. „Die Handbücher mit dem Passwort stehen oft im Internet“, sagt Joachim Müller, Chef für IT-Sicherheit beim Dienstleister Ceyoniq Consulting.

Ein schwaches Glied

Angreifer suchen das schwächste Glied in der Kette, häufig alte Systeme. Zudem kennen professionelle Angreifer – neben Kriminellen auch Geheimdienste – oft Sicherheitslücken, die den Herstellern der Software noch nicht bekannt sind. Gegen solche Zero-Day-Exploits kann man sich kaum schützen.

Die Sicherheitsexperten tarnten ihre Datensauger allerdings geschickt. Einen Hotspot nannten sie Starbucks. Die amerikanische Cafékette bietet zu ihren teuren Getränken kostenlose Internetzugänge an. Dem anderen gaben sie den Namen „Free MWC“. Auch das klingt plausibel, weil es auf der Messe seit Jahren ein frei zugängliches WLAN gibt. Für die Tarnung mussten die Avast-Experten lediglich die Hotspots entsprechend benennen – das kann jeder mit einigen Mausklicks tun.

Die Avast-Experten konnten so den Datenverkehr über ihre Rechner schleusen und auswerten – zumindest den unverschlüsselten. Immerhin 30 Prozent der Browser-Aufrufe erfolgen offen. Sie konnten außerdem genau beobachten, wer welche Programme verwendet. So schaute ein Prozent der Nutzer gleich am Flughafen in einer Kuppel-App, wie die Chancen stehen. Sogar bei 60 Prozent der Nutzer ist es außerdem möglich gewesen, deren Identität herauszufinden – etwas über den Gerätenamen, in dem sich viele Nutzer verewigen.

Wenn Hacker die Verbindung über ihre Rechner lotsen, birgt das ein enormes Missbrauchspotenzial. „Wenn Nutzer nicht verschlüsseln, ist es machbar, ihnen schädliche Software unterzuschieben“, sagte Avast-Analyst Vladislav Iliushin. Im schlimmsten Fall landet ein Schnüffelprogramm auf dem Smartphone, das den Nutzer auch dann noch ausspäht, wenn er den Flughafen schon längst wieder verlassen hat.

Auch andere Szenarien sind nicht abwegig. Wenn Hacker etwa wissen, wie eine Person heißt und welche Apps sie nutzt, können sie womöglich die Zugangsdaten rekonstruieren – in den dunkeln Ecken des Netzes kursieren Millionen von Zugangsdaten aus Hackerangriffen. Da viele Nutzer ihre Passwörter selten verändern, können Kriminelle auf gut Glück versuchen, ob sie sich damit beispielsweise in das E-Mail-Konto einloggen können. Und das ist eine Art Generalschlüssel für viele andere Dienste im Netz.

Selbst wenn Apps die Daten verschlüsseln, sind die Nutzer nicht sicher. Denn viele Programmierer setzen die Technik nicht richtig ein. Wie gravierend das Problem ist, lesen Sie auf der nächsten Seite.

Direkt vom Startbildschirm zu Handelsblatt.com

Auf tippen, dann auf „Zum Home-Bildschirm“ hinzufügen.

Auf tippen, dann „Zum Startbildschirm“ hinzufügen.

×