O2-Kunden sollten umgehend Schlüssel ihrer WLAN-Router ändern

O2 hat Kunden vor einer gravierenden Sicherheitslücke in den ihnen zur Verfügung gestellten Routern gewarnt. Betroffen sind sowohl von O2 selbst ausgelieferte DSL-Router als auch solche, die vom Anbieter Alice vor der Übernahme durch O2 bereitgestellt wurden. Nutzern rät O2 dringend davon ab, den Standardschlüssel der Geräte zu verwenden.

Bei den Modellen WLAN Homebox 6431, 4421 und 1421 befindet sich auf der Unterseite ein Aufkleber mit dem WPA2-Schlüssel für das WLAN. Dieser ist standardmäßig voreingestellt, wenn Kunden das Funknetz am Router aktivieren. Laut O2 bietet das eingesetzte Verfahren zur Generierung dieses WLAN-Schlüssels Ansatzpunkte für Zugriffe durch Unbefugte.

Die Kunden werden daher dazu aufgefordert – falls nicht längst schon geschehen – , die WLAN-Schlüssel zu ändern. Der neue, eigene WLAN-Schlüssel sollte laut O2 aus mindestens zwanzig Zeichen bestehen, mit Groß- und Kleinschreibung variieren sowie Sonderzeichen und Ziffern enthalten. Von Namen und Geburtsdaten rät O2 ab. Für Nutzer, die mit Routern nicht so vertraut sind, hat der Provider eine Anleitung zur Änderung des WLAN-Schlüssels erstellt.

Im Dezember 2012 warnte O2 bereits einmal vor einer Sicherheitslücke in der Homebox 4421. Damals erlaubte ein Firmware-Fehler über Port 7170 aus dem Internet auf das Webinterface des Routers zuzugreifen. Gefährlich war das vor allem, wenn kein Konfigurationspasswort gesetzt war, da sich dann der Router aus der Ferne neu konfigurieren ließ, sowie Zugangsdaten und Anrufprotokolle ausgelesen werden konnten.

Sicherheitslücken in für SOHO- und KMU-Netze gedachten Routern sind in den vergangenen Monaten gehäuft bekannt geworden worden. Neben dem für viel Aufsehen sorgenden Problem bei AVM gab es auch Meldungen über Lücken bei Routern von Linksys, Asus und D-Link. Zudem hatte das BSI bereits im August vor einer vom Sicherheitsforscher Stefan Viehböck von SEC Consult entdeckten Lücke in den von Vodafone verteilten Routern EasyBox 802 und EasyBox 803 gewarnt. Sie waren ähnlich wie jetzt die O2-Modelle über eine unsichere Implementierung von WPA angreifbar.

Experten sehen als Problem, dass es für derartige Router keine automatischen Updates gibt oder Nutzer sich zumindest in ihre Router einloggen müssen, um Aktualisierungen anzuwenden. Viele Anwender behandelten ihren WLAN-Router aber als ein Gerät, das nach der einmaligen Einrichtung unbeaufsichtigt seinen Dienst versieht. Zur Problematik trägt auch bei, dass einige Hersteller bei der Entwicklung von Updates sehr zögerlich sind.