Hacker unter der Wi-Fi-Tarnkappe

Hoher Anteil ungeschützter Wi-Fi-Netzwerke
Kürzlich bin ich 15 Minuten lang mit dem Taxi durch Manhattan gefahren. Das Ergebnis: Von den 106 gefundenen Wi-Fi-Netzwerken benutzten 77 keine Verschlüsselung. Wenn Angreifer ein Wi-Fi-Netzwerk als Startrampe benutzen, besteht wenig Hoffnung, sie dingfest zu machen. Wie bei traditionellen Attacken werden die Log-Dateien die Ermittler nur bis zum Ausgangsnetzwerk zurückführen. Wenn sie da ankommen, ist der Hacker längst über alle Berge.

Das ist für jedes Unternehmen ein Albtraum: Alle Anzeichen deuten auf Ihr Netzwerk als Ursprung, aber Sie ahnen nicht einmal, dass Sie etwas Böses getan haben. Selbst wenn ein Eindringling von außen in Verdacht gerät, kann der Netzwerk-Betreiber sich nicht seiner Verantwortung entziehen. Immerhin war er es, der die vom Hacker benutzten Ressourcen bereitstellte.

Rechtliche Folgen
Auf Unternehmen mit unsicheren Wi-Fi-Netzwerken, die bei Hacker-Angriffen benutzt werden, kommen unter Umständen auch juristische Folgen zu. Die Aufräumarbeiten nach einem Hacker-Angriff können sehr kostspielig sein, und die Opfer werden nach jemandem suchen, der ihnen den Schaden ersetzt. Da man den Hacker, der den Angriff ausführte, vielleicht niemals findet, werden die Opfer sich an diejenigen Firmen halten, die unwissentlich dem Hacker geholfen haben.

Ein Kläger könnte ein Gericht durchaus davon überzeugen, Schadenersatz zuzusprechen, wenn er nachweisen kann, dass der Netzwerk-Besitzer die „notwendige Sorgfaltspflicht“, sein System zu sichern, versäumt hat. Es gibt hierzu bislang noch nicht viele Präzedenzfälle, aber das Computer Emergency Response Team (CERT) Coordination Centre argumentiert in einem von ihm mitherausgegebenen Report über Downstream Liability („nachgelagerte Haftung“), es sei denkbar, dass Unternehmen schadenersatzpflichtig gemacht werden, wenn ihre Netzwerke bei Hacker-Angriffen benutzt wurden.

Das Konzept der Downstream Liability hat derzeit seine Bewährungsprobe in schottischen Gerichtssälen. FirstNet Online Management, ein schottischer Internet Service Provider, hat letztes Jahr Klage gegen Nike eingereicht, nachdem Hacker den Traffic von der Nike-Website auf die Protest-Website www.s11.org umgeleitet hatten, was zu einer zeitweisen Beeinträchtigung des Services für einige von FirstNet’s Kunden führte. FirstNet machte Nike’s mangelhafte Sicherheitsmaßnahmen für den Vorfall verantwortlich.

Ein weiterer Beleg, wie ernst Unternehmen diese Risiken inzwischen nehmen, ist die Tatsache, dass Versicherungsunternehmen bereits Policen für den Schutz bei solchen Prozessen anbieten.

Die Wi-Fi Verschlüsselung ist leicht zu knacken, und unverschlüsselte Netzwerke sind bei sog. „War Drivings“ leicht zu entdecken. Trotzdem bleibt das schwächste Glied in Wi-Fi-Netzwerken nach wie vor der Mensch.

Wenn es sein Ziel ist, ein unsicheres Netzwerk für eine Attacke zu finden, wird ein Hacker Netzwerke mit elementaren Sicherheitsvorkehrungen eher ignorieren und nach ungeschützten „Out of the Box“-Implementierungen suchen.

Unternehmen dürften es schwer haben, den Verdacht der Fahrlässigkeit abzuwenden, wenn nicht einmal die allerelementarsten Sicherheitsmaßnahmen ergriffen wurden. Auch wenn Hacker in unsichere Wi-Fi-Netzwerke eindringen können, dürften grundlegende Sicherheitsmaßnahmen wie eine automatische Verschlüsselung viel dazu beitragen, dass ein Netzwerk nicht für einen Angriff missbraucht wird.

Michael Sutton ist Senior Security Engineer bei iDefense, einem amerikanischen Sicherheits-Spezialisten