– 49 –
Zudem besteht die Gefahr von Verlust oder Diebstahl mobiler Endgeräte und somit der darauf gespeicherten Daten. Für den Datenschutz und die Datensicherheit ist der
Vorteil der drahtlosen Kommunikation gleichzeitig eine
Gefahr: Es besteht keine direkte physikalische Verbindung der Geräte untereinander; sie sind Teilnehmer an einem offenen Medium. Offen bedeutet dabei, dass eine
räumliche Begrenzung auf bestimmte Bereiche, z. B. nur
die Geschäftsräume eines Unternehmens, nahezu unmöglich ist. Funkwellen breiten sich unkontrolliert und
unbegrenzt aus. Ist ein Gebäude komplett mit der Funkinfrastruktur „ausgeleuchtet“, so ist mit an Sicherheit
grenzender Wahrscheinlichkeit auch immer außerhalb des
Gebäudes ein Empfang der Funkwellen möglich. Angriffe auf die Daten in Form von Mitschnitten, Auswertungen und Manipulationen sind möglich. Denial-ofService-Attacken (DoS-Attacken) sind in ungeschützten
Funknetzen relativ einfach durchführbar, ebenso wie
Man-in-the-middle-Attacken, bei denen durch geschickte
Positionierung von Funkkomponenten echte Gegenstellen
vorgegaukelt werden und dadurch z. B. die Datenübertragung zu bestimmten Netz-Segmenten protokolliert oder
blockiert werden kann. Große Sicherheitsrisiken bestehen
bereits, wenn Geräte „Out-Of-The-Box“ eingesetzt werden, also ohne Anpassung der Konfiguration und mit
„Default“-Passwörtern. Auch wer sich auf die eingebauten, im jeweiligen Standard definierten Sicherheitsmechanismen verlässt, ist oft nicht sicher.
Zwar unterstützen die gängigen WLAN-Komponenten lediglich das Wired Equivalent Privacy (WEP) – Verfahren, das im Standard zu WLAN festgeschriebene Verschlüsselungsverfahren, doch selbst dies ist in der
Voreinstellung der meisten Access-Points und WLANKarten deaktiviert. Zudem bietet es keine hinreichende
Sicherheit, wenn im Netz sensible Daten übertragen
werden sollen. Entsprechende Angriffswerkzeuge und
Informationen darüber, wie diese einzusetzen sind, können leicht aus dem Internet heruntergeladen werden. Werden
zusätzlich herstellerspezifische, außerhalb des jeweiligen
Standards liegende Sicherungsmöglichkeiten angeboten,
ist eine genaue Prüfung dieser Mechanismen wichtig.
So kann es beispielsweise sein, dass bestimmte Sicherungsmechanismen (bei WLAN-Technologien) nur
zwischen Client und Access-Point funktionieren, die
gleichen Mechanismen zwischen Access-Points (wenn
diese z.B. als Funkbridge eingesetzt werden) aber nicht
möglich sind. Hintergrundinformationen kann hier in
vielen Fällen das Internet liefern.
Die Angriffsszenarien ließen sich hier beliebig fortführen.
Wie bereits dargestellt, reichen in der Regel die voreingestellten Sicherheitseinstellungen der Geräte nicht aus, um
sich gegen Angriffe zu schützen. Jeder Anwender muss
wissen, dass Funknetze nur mit zusätzlichen Sicherheitsmaßnahmen den Anforderungen des Datenschutzes genügen.
Weiterführende Information: Orientierungshilfe „Datenschutz in drahtlosen Netzen“ des Arbeitskreises „Technische und organisatorische Datenschutzfragen“ des Bundes und der Länder http://www.bfd.bund.de/technik/oh_
funknetze.pdf.
K a s t e n zu Nr. 4.2.4
WLAN: So können Sie sich schützen
●
Standard-Netzwerknamen ändern
●
Standard-Passworte an allen Komponenten ändern
●
MAC-Adress-Filterung einschalten
●
WEP Verschlüsselung mit maximaler Schlüssellänge
einschalten und Schlüssel periodisch wechseln
●
Sendeleistung am Access-Point optimieren
●
DHCP-Server am Access-Point abschalten
●
●
●
●
●
Funk-LAN-Komponenten nur bei Gebrauch einschalten
Konfiguration des Access-Point nur über sichere Kanäle (SSL benutzen)
Zusätzliche Verschlüsselung (VPN-Tunnel) verwenden
Einsatz eines Authentifikations-Servers (Radius-Server)
Alle Clients vor Computerviren schützen
4.3
Kontroll- und Beratungsbesuche
4.3.1
Zur Frage des Einsatzes von Hack- und
Crackwerkzeugen
Der Einsatz von Hack- und Crackwerkzeugen bei Kontrollen ist kritisch zu sehen. Gleichwohl gibt es Situationen, in denen solche Werkzeuge Erkenntnisse über die
Unsicherheiten in einem Netz liefern können.
Bei einer Kontrolle im Personalbereich fanden meine
Mitarbeiter offene CD-ROM-Laufwerke mit der Möglichkeit, den Startvorgang durch Änderung der BIOSKonfiguration von diesen Laufwerken auszuführen (vgl.
hierzu auch Nr. 4.3.2). Um eventuell vorhandene weitere
Sicherheitslücken erkennen zu können, haben meine Mitarbeiter den Startvorgang mittels einer speziellen CD
Live Linux Knoppix, die vom BSI 2002 herausgegebenen
worden ist, vorgenommen. Durch Starten mit „Knoppix“
konnten die lokalen Zugriffsbeschränkungen umgangen
und auf eine Vielzahl von Daten, sowohl auf der lokalen
Festplatte wie im Netzwerk, zugegriffen werden. Da das
CD-ROM-Laufwerk nicht gesichert war, konnte mit der
Knoppix-CD festgestellt werden, ob der Rechner und
welche Programme sich starten ließen sowie welche Daten im Netzwerk im direkten Zugriff waren.
Die mit der CD gefundenen Sicherheitslücken habe ich
gegenüber der verantwortlichen Stelle beanstandet. Diese
monierte, ich hätte bei der Kontrolle Hack- und Crackwerkzeuge eingesetzt, die zu Beeinträchtigungen des ITBetriebes geführt hätten. Selbstverständlich ist die von
mir verwendete Software kein „Hack- und Crackwerkzeug“, wie dies im Internet oftmals angeboten wird. Meines
Erachtens sollte jeder, der für IT-Sicherheit zuständig ist,
Werkzeuge wie nessus, etherreal oder airsnort einsetzen,
um ein realistisches Bild vom Sicherheitsniveau eines
BfD
20. Tätigkeitsbericht
2003–2004