Sicherheitslücke in Druckern ermöglicht Datendiebstahl

Forscher der Columbia University in New York haben in netzwerkfähigen Druckern eine Sicherheitslücke gefunden, die Datendiebstahl und Manipulationen an der Hardware ermöglichen. Laut Salvatore Stolfo, dem Leiter der Untersuchung, sind generell an das Internet angebundene Drucker anfällig. Bei einer Demonstration der Sicherheitslücke manipulierten die Wissenschaftler ein Gerät so, dass es überhitzte und Rauch ausstieß, bevor es sich selbstständig abschaltete. Es sei auch gelungen, Druckdaten an einen Computer umzuleiten.

Wie MSNBC berichtet, lässt sich die Anfälligkeit mittels speziell gestalteter Firmware-Updates ausnutzen. Angreifer könnten einen Drucker neu programmieren und die vollständige Kontrolle übernehmen. Davon betroffen seien Millionen bereits installierter Geräte, weswegen es keinen einfachen Fix gebe. Unklar sei, ob die Schwachstelle bereits ausgenutzt werde.

Firmware-Updates seien in der Regel vertrauenswürdig und besäßen keine digitalen Signaturen, die ihre Herkunft bestätigten, erklärten die Forscher. Hewlett-Packard teilte MSNBC zufolge mit, dass nur vor 2009 produzierte Drucker auf die geschilderte Weise manipuliert werden könnten, weil ihnen eine Sicherheitsfunktion fehle. Die Forscher wollen jedoch einen der anfälligen Drucker erst im September 2011 gekauft haben.

In einer Pressemitteilung weist HP einige der Vorwürfe als „ungenau“ zurück. Bisher lägen keine Berichte von Kunden über unerlaubte Zugriffe auf Drucker vor. Die Vermutung, ein Gerät könne durch Veränderungen an der Firmware in Brand geraten, sei „falsch“. Jeder LaserJet-Drucker des Unternehmens besitze einen Überhitzungsschutz, der unabhängig von der Firmware arbeite und die Fixierstation abschalte, wenn sie zu heiß werde. Die Schwachstelle an sich, also die Möglichkeit, Drucker per Firmware-Update zu manipulieren, bestätigte HP jedoch.

Moderne Drucker sind im Grunde genommen Computer, die ein komplexes, eingebettetes Betriebssystem ausführen und über umfangreiche Netzwerk- und Verarbeitungsfunktionen verfügen. Sie besitzen aber nicht die Sicherheitsfunktionen, die über Jahre hinweg für netzwerkfähige PCs entwickelt wurden.