WiFi4EU: Die WLAN-Sicherheit kommt später dran

Die Piratenpartei warnte kürzlich Städte und Gemeinden vor der Teilnahme an dem EU-Programm „Wifi4EU“, das den Aufbau kommunaler WLAN-HotSpots fördern soll.

„Das Wifi4EU-System ist technisch unsicher und verstößt rechtlich gegen das Grundrecht auf Datenschutz“, kritisierte Patrick Breyer von der Piratenpartei. „Wer über dieses, von der EU gesponsorte WLAN ins Internet will, muss sich künftig über eine zentrale EU-Datenbank persönlich identifizieren. Diese Identifikationspflicht leistet Überwachung und Abmahnungen Vorschub und das, obwohl derzeit jede Rechtsgrundlage dafür fehlt.“

Was sagt die EU-Kommission dazu? Wie steht es um den Datenschutz und die Sicherheit bei WiFi4EU?

Erstes Ziel von WiFi4EU ist der einfache Zugang

„Das Ziel der WiFi4EU-Initiative besteht darin, europaweit den einfachsten Zugang zu kostenlosen WLAN-Netzen in öffentlichen Räumen zu bieten, ohne dass Benutzer personenbezogene Daten angeben müssen“, so ein Kommissionssprecher.

Um diese grundlegende Funktionalität von Anfang an zu erreichen, basiere das einfachste Verfahren für die Kommunen auf einem Captive-Portal mit einer einfachen Ein-Klick-Schaltfläche, die keine Authentifizierung erfordert. Wenn eine Gemeinde aufgrund nationaler Gesetze zusätzliche Registrierungs- und Authentifizierungsverfahren für den Zugang zum Internet einführen muss, könne dies zusätzlich implementiert werden, erklärt die EU-Kommission.

WLAN-Sicherheit zu Beginn nicht zwingend

Die Gemeinden können eine gesicherte Verbindung aufbauen, dies ist jedoch in der ersten Phase nicht zwingend, wie der Kommissionssprecher betont. Dies bedeutet, dass die ersten WiFi4EU-Netzwerke ein ähnliches Sicherheitsniveau bieten wie andere öffentliche offene Wi-Fi-Netzwerke.

Die Kommunen müssten die Endnutzer angemessen informieren. Die Benutzer müssten bedenken, dass der Zugriff auf ein unsicheres WLAN-Netzwerk Risiken birgt und dass Vorsicht geboten ist, insbesondere bei sensiblen Internetaktivitäten wie Online-Banking.

Zentrale Sicherheit in WiFi4EU erst ab Phase 2 vorgesehen

Wie die EU-Kommission erläutert, bereitet sie parallel zum Aufbau der ersten WiFi4EU-HotSpots in der EU die Einführung eines einzigen europaweit sicheren Wi-Fi-Authentifizierungsdienstes vor, der alle WiFi4EU-Netzwerke in sichere öffentliche Wi-Fi-Netzwerke verwandeln soll, auf die sich die Benutzer verlassen könnten bei gesicherten und verschlüsselten Verbindungen zwischen ihrem Gerät und dem jeweiligen HotSpot.

In dieser sogenannten Phase 2 soll die Nutzung des Authentifizierungsdienstes für alle begünstigten Gemeinden obligatorisch und für Endbenutzer kostenfrei sein. Gleichzeitig könnten Benutzer die offenen Netzwerke ohne Authentifizierung weiterverwenden, wenn sie dies wünschten, versichert der Kommissionssprecher.

WiFi4EU-Netzwerke sollen von Anfang an vollständig datensparsame öffentliche Wi-Fi-Netzwerke sein, da die Kommunen den Zugriff ohne Angabe von personenbezogenen Daten ermöglichen müssen. Wenn die Kommunen nach nationalem Recht verpflichtet sind, personenbezogene Daten zu erheben (z. B. zur Vorratsdatenspeicherung), dürften sie personenbezogene Daten nicht zu kommerziellen Zwecken verwenden. Es gebe somit keine EU-weite Identifizierungsanforderung, da für die öffentlichen offenen Netze keine Authentifizierungsanforderung besteht, so der Kommissionssprecher.

Damit widerspricht die EU-Kommission den Vorwürfen, die unter anderem die Piratenpartei veröffentlicht hatte. Es stellt sich allerdings die Frage, wie sich die datensparsame Anmeldung mit der sicheren Variante von WiFi4EU in Einklang bringen lässt. Wie bewerten dies IT-Verbände, IT-Sicherheits- und Datenschutzaufsichtsbehörden?

Kritik: Mehr Sicherheit besser gleich zum Projektstart

Die Sicherheit bei WiFi4EU hätte gleich zu Beginn anders geregelt sein müssen, meint Prof. Dr. Norbert Pohlmann, Vorstand Ressort IT-Sicherheit im eco – Verband der Internetwirtschaft e. V.

„Da der Zugang zum Internet auch immer einen Angriffspunkt für Hacker darstellt, ist die Sicherheit von WiFi-Netzen ein wichtiger Punkt für die Umsetzung einer vertrauenswürdigen Digitalisierung”, so Prof. Pohlmann. „Daher ist es wichtig, dass bei WiFi4EU die Daten verschlüsselt werden und ein modernes, sicheres, benutzerfreundliches sowie datenschutzkonformes Authentifikationssystem angeboten wird, das den Zugang in der ganzen EU bei einer einmaligen Registrierung möglich macht.”

Die Empfehlung des eco-Vorstandes für IT-Sicherheit lautet deshalb: „Die Gemeinden sollten ihren Bürgern nur sichere und vertrauenswürdige WiFi-Netze anbieten, um so das Risiko eines Angriffes zu minimieren. Die Nutzer sollten darauf achten, dass das angebotene WiFi-Netz verschlüsselt ist, weil dadurch Angriffsvektoren reduziert werden können.”

Der IT-Sicherheitsverband TeleTrusT hält die Vorgehensweise im WiFi4EU-Projekt, erst in Phase 2 eine sichere Variante des kostenlosen WLANs anzubieten, für nicht optimal, aber vertretbar:
„Die in der Phase 1 des Rollouts fehlende Vorgabe zur Implementierung einer sicheren Verschlüsselung des Datenverkehrs im WLAN und die sichere Authentifizierung der Nutzer sind offensichtlich den Überlegungen der Kommission geschuldet, eine hohe Akzeptanz der Infrastruktur durch die Nutzer im öffentlichen Raum über möglichst geringe technische Hürden zu erreichen.”

Zu Beginn kein Sicherheitsvorteil gegenüber bestehenden HotSpot-Angeboten

„Zur Sicherheit der HotSpots macht die EU keine Auflagen”, so ein Sprecher des BSI (Bundesamt für Sicherheit in der Informationstechnik). „Sofern keine nationalen Gesetze dem entgegen stehen, kann der Zugang unverschlüsselt erfolgen, zudem soll eine Vorschaltseite eingerichtet sein, wie man sie auch von anderen öffentlichen WLANs an Flughäfen oder in Hotels kennt.”

Das BSI vergleicht die WiFi4EU-HotSpots mit anderen öffentlichen WLAN-HotSpots und sieht keine wesentlichen Unterschiede. „Die Risiken und empfohlenen Schutzmaßnahmen für die Nutzer gelten auch bei WLANs, die im Rahmen von WIFI4EU eingerichtet werden”, so das BSI.

Datenschutzbehörden wie der Europäische Datenschutzbeauftragte (EDSB) betonen die Bedeutung der Sicherheit der Zugriffspunkte: „Daher empfiehlt der EDSB grundsätzlich, sichere Zugangspunkte für das Internet anzubieten. Wir begrüßen den Plan der Kommission, in der zweiten Phase des Projekts Wifi4EU sichere Verbindungen vorauszusetzen.”

Datenminimierung darf auch bei WiFi4EU nicht fehlen

Doch wie steht es um den ebenfalls kritisierten Datenschutz bei WiFi4EU? „Im Rahmen des WiFi4EU-Förderprogramms sollen ausschließlich solche Daten erfasst werden, welche für die Teilnahme an der Initiative und deren Verwaltung durch die EU-Kommission benötigt und nur dann gespeichert werden, wenn dies für Kontroll- und Prüfungszwecke erforderlich ist”, erklärt ein Sprecher des Bundesverkehrsministeriums.

Wie der Europäische Datenschutzbeauftragte betont, gibt es keinen Grund, eine Registrierung der Nutzer zu erzwingen: „Im Einklang mit dem Grundsatz der Datenminimierung erfordert ein offenes und sicheres WLAN aus technischer Sicht grundsätzlich keine Form der Registrierung und Authentifizierung von Nutzern.”

Die EU-Kommission berichte jedoch, dass sie in einer zweiten Projektphase ein EU-weites System zur Nutzerauthentifizierung plant, so der EDSB. Der EDSB prüfe derzeit die Anforderungen an die Authentifizierung und Registrierung im Rahmen des WiFi4EU-Projekts.

Alternative Lösungen für die Authentifizierung suchen

Auch ein Mitarbeiter des Landesbeauftragten für den Datenschutz Rheinland-Pfalz, der gegenwärtig den Vorsitz der Datenschutzkonferenz der deutschen Datenschutzbehörden inne hat, betont die Datenminimierung: „Gerade mit Blick auf den Grundsatz der Datenminimierung sind m.E. dabei zum Beispiel auch anonyme Lösungen denkbar, die eine erfolgreiche (lokale) Authentifizierung bestätigen, ohne dass auf zentraler Ebene ein Personenbezug vorliegen muss.“

Der Bundesverband Digitale Wirtschaft (BVDW) betont, dass die geplanten Sicherheitsmaßnahmen nicht zulasten des Datenschutzes gehen dürfen: „Einerseits sind die Ansätze einer verschlüsselten Verbindung und Authentifizierung im Sinne der Sicherheit absolut begrüßenswert. Diese Datensicherheit darf aber nicht auf Kosten des Datenschutzes durchgesetzt werden – hier Bedarf es sorgfältiger Abwägung. Wenn hier eine Registrierungspflicht in einem zweiten Schritt implementiert werden soll, dürfen nach den Grundsätzen der DSGVO natürlich nur die Daten erhoben werden, die für die Erbringung des Dienstes notwendig sind.“

TeleTrusT sieht dies ähnlich: Es sei sicherlich zu prüfen, in wie weit dem Nutzer Informationen bei der Registrierung in der Authentifizierungsdatenbank abverlangt werden, die möglicherweise für den eigentlichen Betrieb nicht erforderlich sind. Zudem müsse sichergestellt werden, dass bei einer Authentifizierungsanfrage beim Netzzugriff so wenig personenbezogene Daten an den jeweiligen lokalen Netzbetreiber übertragen werden.

Ebenso sei grundsätzlich zu diskutieren, ob die umfänglichen Registrierungsdaten des Nutzers zum Beispiel lediglich in der lokalen Datenbank des Betreibers hinterlegt werden. Diese könnte zum Beispiel die Heimatgemeinde des Anwenders sein. In der globalen Authentifizierungsdatenbank würden dann nur Daten gespeichert, die eine Authentifizierung über entpersonalisierte Tokens ermöglichen, so TeleTrusT.

Kommentar des Autors: WLAN-Sicherheit muss Vorfahrt haben

Aktuell wird viel über 5G und über mögliche Sicherheitsprobleme bei 5G diskutiert. Gleichzeitig wissen wir, dass es auch in Zukunft kaum ohne WLAN-HotSpots gehen wird. Entsprechend ist die Diskussion um die Sicherheit bei WLAN-Angeboten wie WiFi4EU wichtig und mehr als berechtigt.

Die sichere Nutzung der WiFi4EU-HotSpots ist zu Beginn nur ein mögliches Angebot der Gemeinden. Später wird die offene WLAN-Lösung durch eine sichere Variante ergänzt. Der mündige Nutzer hat dann die Wahl, zum Beispiel für Online-Banking die sichere Variante zu nutzen.

Das Problem ist aber, dass die Nutzer bei bestehenden HotSpot-Angeboten oftmals auf die erforderliche Sicherheit verzichten. Umfragen wie „End User Risk Report 2018“ für Deutschland (Proofpoint) zeigen: 67 Prozent der Studienteilnehmer nannten Hotels, Cafés und internationale Flughäfen als Orte, an denen eine für ihre Daten sichere Nutzung kostenloser WLAN-Netzwerke möglich sei. In der Regel kann dies ein fataler Irrtum sein.

Bei aller Information der Nutzer über Vorschaltseiten besteht das Risiko bei WiFi4EU, dass die Anwender die von der Gemeinde angebotenen WLAN-HotSpots für sicher halten, gerade die von der eigenen Gemeinde.

Deshalb hätte WiFi4EU nicht als erstes Ziel haben sollen, möglichst einfache Zugänge zu WLAN-HotSpots zu schaffen, sondern möglichst sichere, von Beginn an versteht sich. Wenn die HotSpots dabei helfen sollen, die Digitalisierung der Gesellschaft voranzutreiben, muss man auch damit rechnen, dass wichtige digitale Verfahren über die HotSpots abgewickelt werden.

Während die Gemeinden schnell sein mussten, um rechtzeitig einen Förderantrag für WiFi4EU zu stellen, sollten sich die Nutzer bei WiFi4EU Zeit lassen und auf die Phase 2 warten. In dieser Phase 2, mit der eine sichere Variante angeboten werden wird, muss allerdings auf eine datenschutzkonforme Sicherheit geachtet werden. Dies fordert auch die EU-Kommission selbst.

Nun kommt es darauf an, bei der Umsetzung der Phase 2 auch Alternativen zu prüfen, die nach Möglichkeit ohne zentrale Nutzerdatenbanken auskommen. Vorschläge dazu haben Datenschützer und IT-Verbände bereits gemacht. Ebenso sollte an Alternativen gedacht werden, die es bereits vor WiFi4EU gab, wie Freifunk als Community-Alternative, mit entsprechenden Sicherheitsmaßnahme.