BSI will Sicherheitsniveau von Breitbandroutern vergleichbar machen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) plant Mindestanforderungen an die Sicherheit von Breitbandroutern. Mittels einheitlicher Kriterien soll sich die Sicherheit solcher Geräte besser messen und vergleichen lassen. Das sei nach der Abschaffung des Routerzwangs nötig, weil Verbraucher mehr Möglichkeiten bei der Auswahl ihres Router erhielten und die Sicherheit ein wichtiges Kaufargument darstelle, so die Behörde.

In einem ersten Konzeptentwurf beschreibt das BSI, welche Anforderungen ein Breitbandrouter aus seiner Sicht erfüllen muss und wie sich überprüfen lässt, ob er diese erfüllt. Außerdem enthält er eine Liste mit neun Punkten, die auf jeden Fall erfüllt werden müssen, damit das Gerät überhaupt eine Empfehlung erhalten kann. Hersteller haben nun bis zum 30. November Zeit, den Entwurf zu kommentieren oder gegebenenfalls Änderungs- oder Ergänzungsvorschläge zu machen.

Im Rahmen der geplanten Tests werden zahlreiche Sicherheitsaspekte überprüft. Je nachdem, wie gut diese erfüllt werden, wird das Gerät mit einer bestimmten Anzahl Punkten bewertet. Deren Summe ergibt dann einen Gesamtwert, den Verbraucher bei ihrer Kaufentscheidung einfach und ohne technisches Verständnis vergleichen können. Kriterien sind beispielsweise die Aktualität der Firmware und die Versorgung mit Updates, die Umsetzung der WLAN- und WPS-Verschlüsselung, die Anforderungen an das Passwort für die Verwaltungsoberfläche sowie die Funktionen der Router-Firewall.

Zu den neun Aspekten, die immer erfüllt sein müssen, damit der Router überhaupt in die Bewertung aufgenommen wird, gehört beispielsweise ein über die Weboberfläche auslösbares Firmware-Update. Außerdem sollte die Firewall eingehende Verbindungen auf Clients im LAN oder WLAN blockieren, kein undokumentierter, geöffneter Port an der WAN-Schnittstelle existieren und die WAN-Schnittstelle nicht auf DNS- oder UPnP-Abfragen antworten.

Darüber hinaus darf der Router keine bekannten Schwachstellen aufweisen. Konkret nennt das BSI hier Heartbleed als Beispiel. Die Weboberfläche darf ab Werk nicht von außen erreichbar sein und muss HTTPS unterstützen, sofern der Fernzugriff möglich ist. Zusätzlich darf die VoIP-Implementierung nach außen keine Extension anbieten, die sich ohne Authentifizierung nutzen lässt.

Das BSI argumentiert damit, dass die Sicherheitsfunktionen der Breitbandrouter oft der einzige Schutz für das Heimnetzwerk seien. Das ist in den meisten Fällen sicher richtig. Außerdem hat es sich gezeigt, dass auf die meisten Anbieter in Bezug auf die regelmäßige Aktualisierung der Firmware älterer Gerät kaum Verlass ist – und wenn sie doch ein Update anbieten, erfahren das die Nutzer nur selten und spielen es noch seltener ein. Fritzbox-Hersteller AVM hat daher bereits im vergangenen Jahr in seiner Firmware FritzOS eine automatische Aktualisierungsfunktion eingeführt. Andere Anbieter sperren sich dagegen aber noch.

[mit Material von Peter Marwan, ITespresso.de]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de