Nach KRACK-Sicherheitslücke: Ist das WLAN wieder sicher?

Die Sicherheitslücke KRACK erschütterte im Oktober 2017 das Internet. Plötzlich war WLAN über die sicher geglaubte WPA2-Verschlüsselung angreifbar. Doch was wurde anschließend aus der Sicherheitslücke?

Hannover (dpa/tmn) - Im Oktober 2017 veröffentlichten Forscher der Universität Leuven in Belgien einen für die IT-Welt katastrophalen Bericht. Der Verschlüsselungsstandard WPA2, der in Milliarden Geräten weltweit für eine sichere WLAN-Verbindung sorgen soll, war geknackt worden.

Die Sicherheitslücke wurde KRACK getauft, als Abkürzung für Key Reinstallation Attack. WPA2 galt bis dahin als absolut sicher. Seit 2006 ist die Verschlüsselung verpflichtend für alle Geräte mit WiFi-Zertifizierung. Betroffen waren also nahezu alle WLAN-fähigen Geräte der vergangenen zwölf Jahre.

Was hat sich seit Oktober getan? Die gute Nachricht: Die Sicherheitslücke kann mittels eines Patch gestopft werden. Die schlechte Nachricht: Längst nicht alle Geräte bekommen das notwendige Update. «Die großen Hersteller - etwa Microsoft, Apple und Samsung - versorgen ihre aktuellen Geräte mit Updates», sagt Dennis Schirrmacher vom Fachmagazin «c't». Auch weit verbreitete Router wie die Fritz!Boxen bekämen automatische Updates. «Bei älteren Routern und vielen andern WLAN-Geräten passiert jedoch nichts.»

Das betrifft besonders das «Internet der Dinge»: Im WLAN eingeklinkte Geräte wie Smart-TVs oder Drucker werden in den meisten Fällen kein Update bekommen, besonders ältere Geräte nicht. Auch viele Router gehen leer aus. Diese von Hand upzudaten ist für Laien nicht einfach. Vielen Geräten bleibt die Sicherheitslücke also erhalten.

Aber wie hoch ist das Risiko, ohne Update per WPA2-Verschlüsselung zu surfen? «Der Aufwand ist für den Angreifer trotz der Lücke immer noch sehr hoch», sagt Schirrmacher. «Das lohnt sich nur bei besonders attraktiven Angriffszielen, wie etwa Industriespionage.» Im privaten Raum haben WLAN-Nutzer hingegen wenig zu befürchten.

Das liegt an der Schwachstelle, die KRACK ausnutzt. Grob vereinfacht werden bei WPA2 Datenpakete mit einem einmaligen Nummernschlüssel gesichert, der nicht mehrfach benutzt werden kann. Diese Schlüssel werden zwischen den Geräten ausgetauscht und können nicht ausgelesen werden. Beim Versuchsaufbau zu KRACK wurde dieser Schlüssel durch Manipulation des Funkverkehrs abgefangen. Der Empfänger wird in der Zeit blockiert und empfängt nur unvollständige Daten. Es kommt daher zur Wiederholung der Sendung - bei der nun derselbe Nummernschlüssel wie zuvor verwendet wird. Das Prinzip des einmaligen Schlüssels wird also ausgehebelt. Genaue Erklärungen dazu haben die Forscher der Universität Leuven auf einer Internetseite veröffentlicht.

Angreifer müssten also den WLAN-Funkverkehr manipulieren können. Bei der geringen Reichweite von heimischen Routern müssten sie dazu schon sehr nah an die Geräte herankommen. Bei öffentlichen Netzwerken, zum Beispiel auf Flughäfen oder in Cafés, besteht eher ein Risiko.

Doch auch hier ist ein gezielter Angriff schwer umzusetzen. Die Gefahr ist also sehr gering, Opfer von KRACK zu werden. Auf keinen Fall sollte daher auf die älteren WPA oder WEP-Verschlüsselungen umgestiegen werden. Diese sind wesentlich unsicherer und können mit viel geringerem Aufwand entschlüsselt werden. KRACK sorgt somit zwar für wenig Schaden, unsicher ist WPA2 nun aber trotzdem. Die WiFi Alliance kündigte als Reaktion im Januar auf der Technikmesse CES in Las Vegas die Weiterentwicklung WPA3 an. Diese Verschlüsselung soll nicht nur die KRACK-Lücke schließen, sondern auch Netzwerke besser schützen können, die nur mit einem schwachen Passwort gesichert sind.

Matteo Cagnazzo vom Institut für Internet-Sicherheit in Gelsenkirchen weist aber darauf hin, dass auch WPA3 keine Sicherheit für alle verspricht: «Es ist nicht gesagt, das ältere Geräte mit WPA3 kompatibel sind oder Updates bekommen. Wenn sie schon kein Update für KRACK bekommen haben, ist es noch unwahrscheinlicher.» Es könnten also Neuanschaffungen nötig sein, um mehr Sicherheit zu erlangen.

Genaue Informationen zur Kompatibilität stehen noch aus, ebenso ein genaues Veröffentlichungsdatum. Dieses Jahr soll es aber noch so weit sein. Bis dahin sollten Nutzer gerade an öffentlichen Hot Spots keine sensiblen Daten über das WLAN versenden.