FSB nutzt Standardpasswörter auf Routern

In vielen Gebäuden steht irgendwo ein Router in einem Schrank. Er wurde vor Jahren installiert, seine Firmware wurde nie aktualisiert, und das werkseitige Passwort funktioniert noch immer. Solange das Gerät keine sichtbaren Probleme macht, fasst es niemand an. Genau diese Unsichtbarkeit macht solche Technik für russische Nachrichtendienste interessant.

Eine gemeinsame Warnung der NSA, des FBI und von Nachrichtendiensten aus mindestens acht europäischen Staaten nennt nun eine konkrete russische Einheit: Das FSB-Zentrum 16 soll solche vergessenen Geräte systematisch ausnutzen (CISA). Zu der Koalition gehören Frankreich, Italien, Polen, Schweden, Finnland, Estland, Dänemark und Tschechien (NCSC NZ). Die Warnung ist damit nicht nur amerikanisch. Sie beschreibt schlechte Router-Hygiene als gemeinsame Schwachstelle westlicher Staaten.

Wie der Grundriss des Netzes nach draußen gelangt

Viele Router haben noch eine alte Fernverwaltungsfunktion aktiviert, mit der Administratoren Geräte über ein Netzwerk steuern können. In der Fachsprache heißt sie SNMP. Die frühen Versionen dieses Protokolls stammen aus einer Zeit, in der Sicherheit kaum eingebaut war. Das „Passwort“ ist oft nur eine kurze Zeichenfolge, häufig unverändert aus der Werkseinstellung: wörtlich „public“ oder „private“. Wer das Internet automatisiert absucht, kann solche Zugänge erraten (CISA).

Gelingt der Zugriff, kann der Angreifer den Router anweisen, seine eigene Konfigurationsdatei zu kopieren und an einen fremden Server zu senden (NSA). Diese Datei ist gewissermaßen das Notizbuch des Geräts: welche Systeme im Netz existieren, wie Datenströme gelenkt werden und teils auch, wo Zugangsdaten abgelegt sind. Der Angreifer erhält damit eine interne Karte der Organisation und oft Hinweise, wie er tiefer in das Netz eindringen kann.

Das finnische Cybersicherheitszentrum formulierte es entsprechend praktisch: Schwach geschützte Netzwerkgeräte eröffneten einen Weg für Cyberangriffe, und Organisationen sollten solche Fernverwaltungszugänge nicht aus dem öffentlichen Internet erreichbar lassen (Kyberturvallisuuskeskus). Der entscheidende Punkt ist eben nicht technische Raffinesse, sondern Nachlässigkeit bei Geräten, die im Alltag kaum Beachtung finden.

Das Rückgrat europäischer Volkswirtschaften liegt offen

Die Warnung nennt die betroffenen Sektoren ausdrücklich: Kommunikation, Energie, Finanzdienstleistungen, Behörden, die Verteidigungsindustrie und das Gesundheitswesen (CISA). Das ist im Kern die Funktionsstruktur jeder europäischen Volkswirtschaft.

Deutsche Berichte hoben die Asymmetrie hervor: Router und andere Grenzgeräte, die zwischen einer Organisation und dem offenen Internet stehen, werden oft weniger genau überwacht als Server oder Laptops. Dabei reicht eine einzige Fehlkonfiguration, damit ein Angreifer mit der Vermessung des Netzes beginnen kann (Handelsblatt, cyberdeutsch.news). Auch die italienischen Nachrichtendienste AISE und AISI unterzeichneten die Warnung (Decode39). Der finnische Dienst Supo veröffentlichte parallel eine nationale Warnung an Unternehmen und kritische Sektoren (Supo).

Das Risiko endet nicht beim ersten Opfer. Ein kompromittierter Router kann als Weiterleitungsadresse für spätere Angriffe dienen: Feindlicher Datenverkehr läuft dann durch das Netz des Opfers und sieht für Dritte so aus, als komme er von einem vertrauenswürdigen europäischen Unternehmen. Das verschleiert die Herkunft des Angriffs und erschwert die Erkennung für Partner und Zulieferer entlang der Kette (AttackIQ).

Die Lösung ist unspektakulär, und genau das ist das Problem

Die empfohlenen Gegenmaßnahmen sind bewusst nüchtern: alte SNMP-Versionen abschalten, auf SNMPv3 mit echter Authentifizierung umstellen, Standardpasswörter ändern, Fernverwaltung nur aus bekannten Netzen zulassen, Firmware aktualisieren und Geräte ersetzen, die keine Sicherheitsupdates mehr erhalten (NSA). Das finnische Cybersicherheitszentrum ergänzt, Protokolldaten sollten sechs bis vierundzwanzig Monate lang gesammelt und aufbewahrt werden (Kyberturvallisuuskeskus).

Jeder Punkt auf dieser Liste lässt sich von einer IT-Abteilung heute umsetzen, ohne neue Regulierung und ohne geheimdienstliche Sonderinformationen. Die Lücke liegt nicht beim Wissen, sondern bei der Prioritätensetzung. Ein Krankenhaus oder eine Kommunalverwaltung kann auf Arbeitsplatzrechnern solide Sicherheitsstandards haben, während ein Router in einer Außenstelle noch immer das Passwort trägt, mit dem er 2018 ausgeliefert wurde.

Genau vor diesem Muster warnen rund zwanzig Staaten. Der russische Staat bricht hier nicht durch hochentwickelte Abwehrsysteme. Er nutzt Wartungszugänge, die nie geschlossen wurden. Die Spionage skaliert, weil derselbe kleine Betriebsfehler in Tausenden Netzen immer wieder vorkommt.