Forum: Netzwelt
WLAN-Sicherheitslücke: Großer Ärger vor allem für kleine Firmen
DPA

Die KRACK-Attacke ist für Unternehmen potenziell noch gefährlicher als für Privatnutzer. Wir haben bei Firmen wie Bosch und Bayer nachgefragt, wie sie ihre sensiblen Daten im WLAN schützen.

Seite 1 von 3
keinblattvormmund 19.10.2017, 19:11
1. WLAN hat im Unternehmen nichts zu suchen

WLAN hat im Unternehmensumfeld einfach nichts zu suchen. Wenn, dann nur vollkommen getrennt vom LAN für Gäste. Da haben Sicherheitslücken keine Auswirkungen aufs Unternehmen. Ich habe noch nie erlebt, dass es zwingende Gründe für WLANs in Unternehmen gab. Für Funkscanner in der Logistik gibt es andere, sicherere und bessere Funklösungen. Wenn Anforderungen kommen, dass Mitarbeiter unbedingt ein WLAN bräuchten, so ist das immer "nice to have" aber nicht "must have".

Beitrag melden Antworten / Zitieren
keine-#-ahnung 19.10.2017, 19:36
2. #fakenews? So sad!

Die "Krack-Attacke" betrifft nicht das komplette WPA2-Protokoll, sondern lediglich die Standards 802.11r und 802.11s. Seriöse Hersteller von business-routern implementieren 802.11s gar nicht erst, 802.11r ist bei solchen Produkten i.d.R. im factory default inaktiv und muss manuell aktiviert werden, bspw. weil man zu geizig ist, sich einen WLAN-controller für die Konfiguration mehrerer AP zu leisten.
Ich bin zwar Laie (als solcher habe ich mich aber unmittelbar nach Bekanntwerden mit meinem Router-Hersteller kurzgeschlossen), halte die praktische Gefahr durch diesen crack aber eher für vernachlässigbar. Meine WLAN tuckern weiter - privat wie auch beruflich.

Beitrag melden Antworten / Zitieren
noch_ein_forenposter 19.10.2017, 19:37
3. Kann man nicht verallgemeinern

Zitat von keinblattvormmund
WLAN hat im Unternehmensumfeld einfach nichts zu suchen. Wenn, dann nur vollkommen getrennt vom LAN für Gäste. Da haben Sicherheitslücken keine Auswirkungen aufs Unternehmen. Ich habe noch nie erlebt, dass es zwingende Gründe für WLANs in Unternehmen gab. Für Funkscanner in der Logistik gibt es andere, sicherere und bessere Funklösungen. Wenn Anforderungen kommen, dass Mitarbeiter unbedingt ein WLAN bräuchten, so ist das immer "nice to have" aber nicht "must have".
Abgesehen davon haben viele Unternehmen auch eine VPN-Lösung, die das Problem dann auch sofort erschlägt. Gut, beim Mittelstand vielleicht nicht immer, aber bei Bosch und Bayer garantiert. Das ganze ist extrem gehyped. Da hat man ganz andere Security-Probleme.

Und klar muss man Gäste-LAN vom Firmen-LAN trennen, aber das hat mit der Sache an sich nichts zu tun.

Beitrag melden Antworten / Zitieren
bold_ 19.10.2017, 19:43
4. Bei privaten SF Telekom eine radikale Unternehmenspolitik

So ist es richtig!

1. Während man für Geld in einer Firma arbeitet, haben WA, FB & Co.nichts zu suchen in den Köpfen und auf den Wischfones der jungen Leute.

2. "Bring your own device" kann nur dazu führen, daß etwas ins Firmennetz eingeschleift und/oder etwas abgesaugt wird. Mitarbeiter dürfen keine Firmengeheimnisse verraten, wenn sie sich aber zum Trojanischen Pferd machen, ist das ganz klar Geheimnisverrat. Beim "manuellen" Verrat kennen sie noch das Ausmaß ihres Verrats - wenn sie den Hackern den Weg bereiten, kann alles Mögliche passieren, also neben Diebstahl auch noch Sabotage!

Ich möchte heutzutage weder Einkäufer für Damenmode sein noch IT-Sicherheitsbeauftragter in einer Firma. Der eine muß einen "dead stock" befürchten und der andere eine "dead company"...

Beitrag melden Antworten / Zitieren
keine-#-ahnung 19.10.2017, 19:57
5. Wie Sie die aufgedeckte Lücke im WPA-Stack ...

Zitat von noch_ein_forenposter
Abgesehen davon haben viele Unternehmen auch eine VPN-Lösung,
"Abgesehen davon haben viele Unternehmen auch eine VPN-Lösung" ... mittels VPN erschlagen wollen, bleibt aber Ihr sahniges Geheimnis.

Beitrag melden Antworten / Zitieren
cosmose 19.10.2017, 20:15
6.

Zitat von keinblattvormmund
WLAN hat im Unternehmensumfeld einfach nichts zu suchen. Wenn, dann nur vollkommen getrennt vom LAN für Gäste. Da haben Sicherheitslücken keine Auswirkungen aufs Unternehmen. Ich habe noch nie erlebt, dass es zwingende Gründe für WLANs in Unternehmen gab. Für Funkscanner in der Logistik gibt es andere, sicherere und bessere Funklösungen. Wenn Anforderungen kommen, dass Mitarbeiter unbedingt ein WLAN bräuchten, so ist das immer "nice to have" aber nicht "must have".
Wie realisieren Sie kostengünstig flächendeckende Mobiltelefonie in großen Lagerhallen/Möbelhäusern? Richtig, mit WLAN und passender VOIP-Hardware.
Selbstverständlich laufen diese Geräte in einem komplett anderen VLAN als der Datenverkehr. Damit ist die pauschale Aussage, dass WLAN im Unternehmensumfeld nichts zu suchen hat, grundfalsch.

Beitrag melden Antworten / Zitieren
noch_ein_forenposter 19.10.2017, 20:26
7. Ist zwar nicht sahnig

Zitat von keine-#-ahnung
"Abgesehen davon haben viele Unternehmen auch eine VPN-Lösung" ... mittels VPN erschlagen wollen, bleibt aber Ihr sahniges Geheimnis.
(wie auch immer man in dem Zusammenhang auf diesen Begriff kommen kann), aber VPN stülpt WPA2 eine weitere Verschlüsselung drüber. Genauso wie auch übliche SSL-Verbindungen - auch ohne VPN - sicher sind. Das ganze ist weitgehend eine Blase. Das Problem besteht nur, wenn WPA2 Ihre einzige Verschlüsselung für die Verbindung ist.

Steht übrigens alles im Artikel.

Beitrag melden Antworten / Zitieren
keine-#-ahnung 19.10.2017, 20:45
8. "Steht übrigens alles im Artikel."

Ich stehe auch in diesem Fall recht kritisch zu einigen Artikeln auf SPON (nicht zuletzt deswegen wird eine nicht wirklich unerhebliche Zahl meiner posts ... sagen wir mal ... wegmoderiert. Vermutlich denn auch dieser?).
Sei es drum ... VPN und WLAN ist so miteinander verbandelt wie ein Trabant 601 S deluxe und ein Wiener Schnitzel. Also eigentlich ... gar nicht :-) . Mit einem VPN tunneln sie getrennte Netzwerksegmente über das allherschende www, im WLAN sind Sie - nomen est omen - immer lokal unterwegs. Also quasi im eigenen LAN. Nur halt ohne WLAN-Kabel :-). Public WLAN-Kolibris lasse ich da jetzt mal aussen vor. Und im eigenen Netzwerkbereich ein VPN abzubilden ist nicht nur abenteuerlich. Es ist over IPsec schlicht unmöglich ... Ihnen fehlen da einige basics, sorry.

Beitrag melden Antworten / Zitieren
rstevens 19.10.2017, 21:18
9.

Zitat von keinblattvormmund
WLAN hat im Unternehmensumfeld einfach nichts zu suchen. Wenn, dann nur vollkommen getrennt vom LAN für Gäste. Da haben Sicherheitslücken keine Auswirkungen aufs Unternehmen. Ich habe noch nie erlebt, dass es zwingende Gründe für WLANs in Unternehmen gab. Für Funkscanner in der Logistik gibt es andere, sicherere und bessere Funklösungen. Wenn Anforderungen kommen, dass Mitarbeiter unbedingt ein WLAN bräuchten, so ist das immer "nice to have" aber nicht "must have".
Was sind denn schon zwingende Gründe? Es gibt auch keine zwingenden Gründe für Virtualisierung, Cloud, VOIP, agile Entwicklung, DevOps, um nur mal einige Beispiele zu nennen. Alles geht auch auf Blech im eigenen RZ mit Wasserfall. Rechner kommen ans Kabel. Wer braucht schon Mobiltelefone? Jeder bekommt sein Schreibtischtelefon und gut ist.

IT Abteilungen nach diesem Muster erreichen möglicherweise ein besseres Sicherheitsniveau, wobei selbst das nicht gesagt ist. Allerdings werden sie den Anforderungen der Mitarbeiter an die Dienstleistung der IT-Abteilung nicht gerecht. Und gerade WLAN ermöglicht in Unternehmen Zusammenarbeit, die sonst oft nicht möglich war. Da kommt der Kollege zum Testen an den Arbeitsplatz des Entwicklers. Der eine Testet, der andere ändert. Beide haben Netz, weil das Latpop im WLAN ist. Die wenigsten dürften jeden Arbeitsplatz früher mit 2-3 Kabeln ausgestattet haben. Gleiches gilt für Meetingräume. Spontane Arbeitsmeetings in der Kantine, weil wieder mal alle Meetingräume belegt sind. Kalendersynchronisation für das Mobiltelefon ohne das Mobil-Datenvolumen zu belasten. Es gibt unglaublich viele Gründe für WLAN in Unternehmen. Zwingend sind sie natürlich nicht. Aber sie ermöglichen besseres Arbeiten und es spart zudem noch einen Haufen Geld ein. Wenn man es richtig macht, hält sich das Risiko auch in Grenzen und ist nicht höher als viele andere Risiken einer Unternehmens-IT.

Beitrag melden Antworten / Zitieren
Seite 1 von 3