Las Vegas/Hamburg/Bonn - Hackerkongress ist ein irreführender Begriff: Veranstaltungen wie Black Hat oder Def Con in Las Vegas sind keine subversiven Treffen anonym und heimlich hackender Zeitgenossen, sondern weltweit beachtete Events, auf die nicht nur IT-Security-Experten gespannt schauen. Auch Großunternehmen und Organisationen präsentieren dort längst Konzepte und Lösungen - oder suchen danach. Vor allem aber präsentiert dort die Elite der IT-Sicherheitsexperten die neuesten Risiken für die digitale Welt.

Diesmal machten manche Fachleute schon Minuten nach ihren Präsentationen weltweit Schlagzeilen. So wie "Barnaby Jack", der öffentlich demonstrierte, wie er nicht nur im direkten Zugriff auf einen Geldautomaten, sondern sogar im telekommunikativen Zugriff darauf die Geldmaschine dazu bringen kann, Geld zu spucken wie ein Spielautomat , an dem man einen Gewinn landet. Barnabys Hack bezog sich konkret auf zwei Fabrikate, an denen er potentiell kostspielige Exempel statuierte, betrifft aber wohl auch Maschinen anderer Typen.

Denn ein Kernproblem, erklärte McAfees IT-Securityexperte Toralv Dirro am Rande der Konferenz gegenüber der "PC World", teilten ja nicht nur Geldautomaten, sondern viele wichtige Maschinen im öffentlichen Raum und Einsatz: Innen werkeln ganz normale, oft sogar überalterte Computer mit Standard-Betriebssystemen. Deshalb sei Barnabys Hack auch mehr als nur ein erfolgreiches Abzocken einer Bankmaschine: Es sei eine Warnung, wie empfindlich manche sicherheitskritische Infrastruktur in Wahrheit ist.

Vernetzung heißt auch, Zugang zu schaffen

Das war in diesem Jahr auch Thema zahlreicher anderer Vorträge. Immer stärker vernetzt sich die Welt, wird damit aber nicht unbedingt sicherer: Systeme, die dafür einst gar nicht gedacht waren, werden über Netzwerke zusammengeschlossen und so auch von außen erreichbar - ein nicht zu unterschätzendes Risiko für das öffentliche Leben. Je komplexer Systeme werden, desto größer die Gefahr, dass Sicherheitslücken übersehen werden. Wenn dann auch noch nur leidlich kompatible Systeme miteinander vernetzt werden, bedeutet der Einbruch an schwächster Stelle potentiell auch den Zugriff auf die stärker gesicherten.

Zumal Vernetzung auch dafür sorgt, dass aus alten, lange stabil laufenden Strukturen plötzlich potentiell bedrohte werden: Jonathan Pollet nahm in seinem Vortrag etwa den Trend zu intelligenten Stromnetzen und sogenannten "Smart Meter" ("Intelligente Stromzähler") aufs Korn. Dass man solche Systeme hacken könnte, um Strom zum Sonderpreis zu beziehen, kann man dabei noch als niedlich verbuchen. Dass von Elektrizitätsunternehmen Messegeräte verbaut werden, die bekannte Sicherheitsprobleme aufweisen, dagegen kaum: Tech-Alpträume wie der Hack-Angriff auf das Stromnetz werden damit ein gutes Stück plausibler.

Mit dem Stuxnet-Wurm tauchte in der vergangenen Woche erstmals ein Schädling auf, der dezidiert auf Kontrollsysteme für kritische Infrastrukturen zielt. Mehrere Experten bejahten die Frage, ob es bereits konkrete offene Sicherheitslücken gebe, über die sich kritische Infrastrukturen attackieren ließen.

Vom Handy bis zum W-Lan-Router - SPIEGEL ONLINE fasst die wichtigsten Nachrichten von der Black-Hat-Konferenz zusammen.

Abhörprogramm für Handys

Der Kryptografie-Experte Karsten Nohl von der Berliner Firma Security Research Labs zeigte eine Airprobe genannte Schnüffel-Software, mit der Gespräche in GSM-Funknetzen unbemerkt aufgezeichnet werden können. Für die Entschlüsselung der Gesprächsmitschnitte sind allerdings weitere Hilfsmittel nötig.

Nohl wies darauf hin, dass bereits seit zwei Jahren eine Lösung für die von Airprobe ausgenutzte Sicherheitslücke existiere, diese aber nur von wenigen Mobilfunkbetreibern eingesetzt wird. Ein nur schwer begreiflicher Umstand, da sowohl die Mobilfunknetze in Deutschland und weiten Teilen Europas als auch die von AT&T und T-Mobile in den USA nach dem GSM-Standard arbeiten - potentiell also zig Millionen Handynutzer über die von Nohl genutzte Lücke angreifbar sind.

Im Gegensatz zu Sicherheitslücken in Betriebssystemen wie Windows, für die man als Anwender zumindest insofern selbst aktiv werden kann, dass man bereitstehende Patches herunterlädt und installiert, besteht diese Möglichkeit bei GSM-Netzen nicht. Immerhin aber haben Handy-Kunden mit Airprobe nun die Möglichkeit, selbst auszuprobieren, ob ihre Gespräche aufgrund des fehlenden Schutzes mitgehört werden können. Security Research Labs will das Programm über das Internet frei verbreiten.

Angriffsziel Android

Erst vor wenigen Tagen wurde bekannt, dass eine Anwendung für Android-Handys die Nutzerdaten ausspäht und an einen Server in China sendet. Wie die Experten von Lookout, einer Firma für Handy-Sicherheitssoftware, auf der Black-Hat-Konferenz erklärten, war die als Sammlung von Bildschirmhintergründen getarnte Schadsoftware bereits millionenfach aus dem Android-Market heruntergeladen worden. Sobald sie installiert wurde, las sie Daten wie die Handy-Nummer und das Voicemail-Passwort aus dem Handy-Speicher aus und schickte diese an die Web-Seite www.imnet.us, die auf einen Eigentümer in der chinesischen Industriestadt Shenzhen registriert ist.

Anthony Lineberry, einer der Lookout-Experten, erklärte dazu in einem Vortrag, dass es ihm problemlos gelungen sei, sich über eine hinlänglich bekannte Linux-Sicherheitslücke einen sogenannten Root-Zugang zu diversen Android-Handys zu verschaffen. Ein solcher Zugang, so Lineberry, sei mit dem God-Mode vergleichbar, den man über Tricks in manchen Spielen aktivieren kann, um seiner Spielfigur gottähnliche Macht zu verschaffen. Man könne damit so ziemlich jede beliebige Funktion auf dem Gerät ausführen.

Die dafür ausgenutzte Lücke mit der Bezeichnung CVE-2009 1185 sei bereits seit einem Jahr bekannt, bisher aber noch nicht abgesichert worden, erklärte der Experte gegenüber der "Network World"  - Linux-Fans, die daran glauben, ihr Open-Source-System sei gegen solche Dinge immun, zumindest aber stets schnell geflickt, werden so etwas ungern hören.

Im Gegenteil: Die entsprechende Schadsoftware auf ein Handy einzuschleusen werde durch die Mechanismen des Android Market besonders leicht gemacht, so Lineberry, weil dort quasi jedermann ungeprüft Software einstellen kann, auch wenn diese nur als hübsche Hülle für eine Malware dient. Als sicherer beurteilt Lineberry dagegen Apples System, bei dem jede App eingehend überprüft wird, bevor sie für den App Store freigegeben wird.

Der Lookout-Experte sieht keine Möglichkeit, derartige Manipulationen völlig zu verhindern. Selbst wenn die von ihm genutzte Sicherheitslücke gestopft würde, könnten Kriminelle eine andere Lücke ausfindig machen und ihre Schadsoftware über eine andere Tarnsoftware in den Market einschleusen. Letztlich könne er Anwendern nur raten, nicht jede App unbesehen zu installieren und vor allem dann skeptisch zu werden, wenn eine App beispielsweise Zugriffsrechte auf die Internetverbindung des Handys einfordert.

"Cross Site Request Forgery" - Angriff auf den Heimrouter

Eine andere Präsentation demonstrierte ganz nebenbei, wie genau selbst deutsche Behörden inzwischen den Nachrichtenfluss von Hacker-Events wie dem Black-Hat-Kongress beobachten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) reagierte nur Stunden, nachdem eine akute Sicherheitslücke demonstriert wurde: Die Behörde warnt nun vor Angriffen auf private Internet-Router.

Eine neue Angriffstechnik mit der Bezeichnung "Cross Site Request Forgery" mache es möglich, den Router gewissermaßen von innen zu manipulieren, zitierte die Behörde am Freitag einen Black-Hat-Vortrag. Der Angreifer könne dann Passwörter, E-Mails oder sonstige private Daten ausschnüffeln sowie den Internetzugang für Angriffe auf andere Ziele kapern.

Der Sicherheitsexperte Craig Heffner hatte in Las Vegas gezeigt, wie sich die Technik für die Interpretation von Internetadressen im Domain Name System so manipulieren lässt, dass die Schutzmaßnahmen der Web-Browser ausgehebelt werden können. Bestehende Zugriffsbeschränkungen des Routers werden dann umgangen. In seinem Vortrag mit dem Titel "How to Hack Millions of Routers" (Wie man Millionen von Routern hackt) erklärte Heffner, dass er ein Software-Werkzeug entwickelt habe, das den Angriffsvorgang automatisiere.

Angesichts dieser Möglichkeiten empfiehlt das BSI "unbedingt eine sichere Konfiguration des Heimrouters". Im Einzelnen sollte man:

• ein sicheres individuelles Kennwort für den Router verwenden (das Anfangspasswort sollte bei der ersten Einrichtung des Geräts geändert werden)
• während der Konfiguration des Routers im Browser keine anderen Webseiten aufrufen
• nach Abschluss des Vorgangs den Browser schließen und den Router neu starten
• die Firmware des Routers (also die integrierte Gerätesoftware) regelmäßig auf Aktualität überprüfen und bei Bedarf aktualisieren - ein Passwort für das drahtlose Funknetz (W-Lan) einrichten und dabei den Sicherheitsstandard WPA2 verwenden.

Eigentlich solle man also ganz normale, fast profane Sicherheitsregeln beachten. Symptomatisch ist: Das Gros aller Sicherheitsprobleme hängt an altbekannten Systemschwächen - oder daran, dass Anwender oder sogar IT-Arbeiter sich nicht genügend darum kümmern, die Sicherheitsmaßnahmen zu ergreifen, die möglich sind. In 96 Prozent aller Fälle von Infiltrationen oder anderen Schäden durch Schadsoftware im Jahre 2009, machte in dieser Woche das IT-Sicherheitsunternehmen Verizon klar, seien die Schäden vermeidbar gewesen, weil längst Sicherheitslösungen vorlagen.