Seit einer Woche ist es offiziell: Der WLAN-Verschlüsselungsstandard WPA2, der in praktisch jedem Büro, jedem Café und jedem Wohnzimmer im Einsatz ist, hat eine grundlegende Schwachstelle. Ein belgischer Sicherheitsforscher hat am 16. Oktober Details zu den sogenannten Key Reinstallation Attacks veröffentlicht, kurz KRACK. Seitdem erreichen uns viele Anfragen von Kunden: Ist unser WLAN jetzt unsicher? Müssen wir alles abschalten? Hier ist unsere Einordnung zur KRACK-Lücke in WPA2, nüchtern und mit konkreten Handlungsempfehlungen.
Was ist KRACK?
Wenn sich ein Gerät mit einem WPA2-geschützten WLAN verbindet, handeln Gerät und Access Point in einem mehrstufigen Verfahren einen Schlüssel aus, mit dem die Daten verschlüsselt werden. Der Forscher hat gezeigt, dass ein Angreifer dieses Verfahren manipulieren kann: Er bringt das Gerät dazu, einen bereits verwendeten Schlüssel erneut zu installieren. Dadurch lässt sich die Verschlüsselung unter Umständen aushebeln, Datenverkehr mitlesen und in manchen Konstellationen sogar manipulieren.
Wichtig für die Einordnung:
- Der Angreifer muss sich in Funkreichweite Ihres WLANs befinden. Ein Angriff aus dem Internet ist mit KRACK nicht möglich.
- Das WLAN-Passwort wird durch KRACK nicht verraten. Ein Passwortwechsel hilft gegen diese Lücke nicht.
- Die Schwachstelle betrifft vor allem die Endgeräte, also Laptops, Smartphones, Tablets und andere WLAN-Clients. Access Points sind in bestimmten Betriebsarten ebenfalls betroffen.
- Zusätzlich verschlüsselte Verbindungen, etwa über HTTPS oder VPN, bleiben grundsätzlich geschützt.
Welche Geräte sind betroffen?
Da die Schwachstelle im Standard selbst liegt, sind grundsätzlich alle korrekt umgesetzten WPA2-Implementierungen betroffen. Wie schwer die Auswirkungen sind, unterscheidet sich aber je nach Betriebssystem:
| Gerät / System | Stand: 23. Oktober 2017 |
|---|---|
| Windows | Microsoft hat die Lücke nach eigenen Angaben bereits mit den Sicherheitsupdates vom Oktober geschlossen. |
| Android | Besonders betroffen, vor allem neuere Versionen. Google hat Updates angekündigt; bis sie auf den einzelnen Geräten ankommen, hängt stark vom Hersteller ab. |
| Linux | Ebenfalls stark betroffen; Korrekturen für die betroffene WLAN-Software stehen bereit und werden von den Distributionen verteilt. |
| Apple-Geräte | Apple hat Korrekturen angekündigt, die in Testversionen bereits enthalten sein sollen. |
| Router und Access Points | Viele Hersteller haben Stellungnahmen und erste Updates veröffentlicht. Betroffen sind vor allem Geräte im Repeater- oder Client-Betrieb und bei bestimmten Roaming-Funktionen. |
Die Lage ändert sich gerade täglich. Prüfen Sie deshalb für Ihre konkreten Geräte die aktuellen Angaben der Hersteller.
Was Unternehmen jetzt tun sollten
1. Endgeräte aktualisieren
Das ist der wichtigste Schritt. Stellen Sie sicher, dass auf allen Windows-Rechnern die Oktober-Updates installiert sind. Installieren Sie Updates für Mac, iPhone und iPad, sobald Apple sie freigibt. Bei Android-Geräten: Prüfen Sie, ob und wann der Hersteller ein Update liefert. Diensthandys, die keine Updates mehr erhalten, sind spätestens jetzt ein Fall für die Ablösung.
2. Firmware von Routern und Access Points prüfen
Schauen Sie auf den Seiten Ihrer Hersteller nach Hinweisen zu KRACK und spielen Sie verfügbare Updates ein. Besonders wichtig bei WLAN-Repeatern, Mesh-Systemen und Geräten, die selbst als WLAN-Client arbeiten.
3. Sensible Daten zusätzlich verschlüsseln
Achten Sie darauf, dass Webanwendungen, E-Mail und Fernzugriffe über verschlüsselte Verbindungen laufen: HTTPS im Browser, verschlüsselte Verbindungen zum Mailserver, VPN für den Zugriff aufs Firmennetz. Das schützt auch unabhängig von KRACK.
4. Kabel nutzen, wo es einfach geht
Für stationäre Arbeitsplätze, Drucker und Server ist ein Netzwerkkabel ohnehin die stabilere und sicherere Wahl. Bis alle Updates verteilt sind, kann es sinnvoll sein, besonders sensible Arbeiten nicht über WLAN zu erledigen.
5. Nicht in Panik verfallen
Schalten Sie WPA2 nicht ab und weichen Sie auf keinen Fall auf das veraltete WEP oder ein offenes WLAN aus. WPA2 bleibt mit Updates der richtige Standard. Ein offenes WLAN wäre ungleich schlimmer.
Die vergessenen WLAN-Geräte
Bei Laptops und Smartphones denkt jeder an Updates. Aber was ist mit dem WLAN-Drucker, der Überwachungskamera, dem Präsentationsbildschirm im Besprechungsraum, dem Kartenterminal oder der Zeiterfassung? Auch das sind WLAN-Clients, und viele davon bekommen selten oder nie Updates. Erfassen Sie diese Geräte, fragen Sie bei den Herstellern nach und überlegen Sie, ob ein Netzwerkkabel oder ein abgetrenntes Netzsegment die bessere Lösung ist.
Besonderer Blick auf das Gäste-WLAN
Viele Unternehmen bieten Besuchern ein Gäste-WLAN an. Das ist auch nach KRACK in Ordnung, wenn es sauber vom internen Netz getrennt ist. Gäste sollten nie ins gleiche Netz wie Ihre Server, Drucker und Arbeitsplätze gelangen. Wenn Sie nicht sicher sind, ob das bei Ihnen der Fall ist, ist jetzt ein guter Anlass, es zu prüfen.
Checkliste KRACK
- Windows-Rechner: Oktober-Updates installiert?
- Smartphones und Tablets: Update-Stand je Gerät erfasst, Updates eingeplant?
- Router, Access Points, Repeater: Herstellerhinweise geprüft, Firmware aktualisiert?
- Gäste-WLAN vom internen Netz getrennt?
- Fernzugriffe über VPN, Webanwendungen über HTTPS?
- Geräte ohne Update-Aussicht identifiziert und Ersatz geplant?
Unsere Einschätzung
KRACK ist eine ernstzunehmende Schwachstelle, aber kein Grund für Aktionismus. Ein gezielter Angriff erfordert Nähe, Fachwissen und Aufwand. Die größere Lehre ist eine altbekannte: Geräte, die keine Updates bekommen, werden früher oder später zum Risiko. Wer jetzt einmal sauber Bestand aufnimmt, welche Geräte im WLAN hängen und wer sie aktualisiert, ist auch für die nächste Lücke gut gerüstet.
Wir helfen Ihnen gerne
Sie möchten wissen, ob Ihr WLAN und Ihre Geräte nach KRACK auf dem aktuellen Stand sind, oder Ihr Gäste-WLAN sauber vom Firmennetz trennen? Das IT-Team der Mittelstandsoptimierer prüft Ihre Umgebung und spielt die nötigen Updates ein. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
