SPIEGEL ONLINE

SPIEGEL ONLINE

19. Oktober 2017, 18:54 Uhr

WLAN-Sicherheitslücke

Großer Ärger vor allem für kleine Firmen

Von

Die KRACK-Attacke ist für Unternehmen potenziell noch gefährlicher als für Privatnutzer. Wir haben bei Firmen wie Bosch und Bayer nachgefragt, wie sie ihre sensiblen Daten im WLAN schützen.

Eine Sicherheitslücke im Verschlüsselungsprotokoll WPA2 betrifft WLAN-Geräte auf der ganzen Welt. Wie sehr kann man jetzt noch auf die Vertraulichkeit seiner Verbindungen vertrauen?, fragen sich seitdem zahlreiche Internetnutzer. Die Antworten darauf variieren, je nachdem, nach wen man fragt (siehe Kasten am Textende, dort finden Sie Tipps und Informationen für Privatnutzer).

Fest steht dagegen: Für viele Unternehmen ist die Lücke ein Problem, das sich nicht einfach ignorieren lässt. Der KRACK genannte Angriff könnte schnell zur realen Gefahr werden. Software-Updates müssen her, im Zweifel für alle Geräte. Denn vielerorts tauschen die Mitarbeiter untereinander sensible Daten aus, etwa Preistabellen, Infos über Prototypen oder Berichte über Produktionsprobleme - teils sogar mit privaten Geräten, die im Unternehmensnetzwerk angemeldet sind.

Verbände und IT-Experten raten Konzernen daher, besonders wachsam zu sein, wenn Mitarbeiter ein Firmen-WLAN benutzen. "In Unternehmen herrscht ein ganz anderer Datenverkehr als bei Privatnutzern, der interessant sein könnte für Betriebsspionage", sagt Marc Bachmann von Digitalverband Bitkom. "Die Gefahr ist viel größer, dass sensible Daten bei Unternehmen abgegriffen werden." Die Mitarbeiter sollten die Augen offen halten und darauf achten, wer sich auf dem Firmengelände rumtreibe.

Zudem sollten die Unternehmen überprüfen, ob die IT-Infrastruktur einen Angriff auf Firmen-Hotspots ausschließt, sagt Bachmann. Dazu sollten die Geräte auf dem neuesten Stand sein und "die Mitarbeiter bei sensibler Kommunikation grundsätzlich Verschlüsselung nutzen, etwa HTTPS-Verbindungen". Auch VPN-Software könne eine Lösung sein.

Telekom verbietet Kommunikation mit privaten Smartphones

Bei der Telekom zeigt man sich auf Anfrage gewappnet - und setzt auf eine streng kontrollierte Kommunikation. Ein Sprecher des Telekommunikationskonzerns sagt: "Auch wenn wir das Gefahrenpotenzial insgesamt als niedrig einstufen, nehmen wir die Sicherheitslücke ernst." Man stehe im engen Kontakt mit Herstellern und achte darauf, dass alle Geräte im Unternehmen auf dem neuesten Stand seien.

Bei der Telekom sei es üblich, dass die IT-Abteilung die Betriebssysteme aller Smartphones und Laptops anpasse, die an die Mitarbeiter verteilt werden. Alle Daten fließen laut Telekom durch einen VPN-Tunnel, E-Mails werden verschlüsselt versendet. Damit seien sensible Informationen auch dann gesichert, wenn jemand das WLAN ausspäht.

Bei privaten Smartphones fährt die Telekom eine radikale Unternehmenspolitik: Mitarbeiter dürfen die eigenen Geräte demnach nicht zur dienstlichen Kommunikation nutzen, mit Ausnahme geschäftlicher Telefonate.

Für viele Konzerne kommt die WLAN-Lücke offenbar überraschend. Entsprechend zurückhaltend äußert man sich zu KRACK - und arbeitet noch an Abwehrmaßnahmen. Von Bosch etwa heißt es, man beobachte kontinuierlich, ob jemand die IT-Infrastruktur angreife. "Im Bedarfsfall sind wir vorbereitet, um illegale Zugriffe auf Bosch-Daten zu unterbinden", sagt eine Sprecherin. Weitere Angabe wolle man nicht machen.

Experten arbeiten an Sicherheitsmaßnahmen

Beim Pharmakonzern Bayer will man sich grundsätzlich nicht näher dazu äußern, wie geschäftliche Daten im drahtlosen Firmennetzwerk geschützt werden. Auch bei Siemens hält man sich bedeckt. Die Schwachstellen bei WPA2-Verbindungen seien bekannt "und werden bereits von Siemens-Experten untersucht", sagt ein Konzernsprecher.

Neben den großen Unternehmen dürfte die WLAN-Schwachstelle vor allem viele kleine und mittelgroße Betriebe zu Konsequenzen zwingen. Wer keine Geschäftstelefone an Mitarbeiter verteilt und keine große IT-Abteilung zur Verfügung hat, der kann die Daten kaum kontrollieren, die Angestellte mit ihren privaten Smartphones über das Firmen-WLAN schicken.

Noch gibt es zum Beispiel für iPhones und Android-Geräte kein offizielles Sicherheitsupdate, anders als für Windows-Rechner. Und es ist teilweise nur schwer nachzuvollziehen, welche Apps eine sichere HTTPS-Verbindung benutzen.

Um die Kontrolle zu behalten und um ganz sicher zu gehen, könnte in manchen Unternehmen ohne professionelle IT-Infrastruktur daher vor allem eine Maßnahme sinnvoll sein: ein vorübergehendes Abschalten der WLAN-Hotspots. Bis die nötigen Software-Updates kommen, müssen die Daten dann vielleicht erst einmal wieder durchs LAN-Kabel geschickt werden.

URL:


© SPIEGEL ONLINE 2017
Alle Rechte vorbehalten
Vervielfältigung nur mit Genehmigung