Standardpasswörter kein Sicherheitsrisiko?

Natürlich stimmt es, dass ein verantwortungsvoller Administrator Standardpasswörter in einem System ändert, bevor dieses in die Produktion geht. Jedenfalls theoretisch. In der Praxis führen Zeitdruck und pragmatische Überlegungen oft dazu, dass solche Standardpasswörter eben nicht geändert werden. In der Praxis sind nicht geänderte Standard-Passwörter eines der häufigsten Einfallstore. Das sieht offenbar auch das US-CERT so, das erst im Juni einen Alert zu den "Gefahren durch Default-Passwörter im Internet" herausgab.

Um so mehr verwundert es, wenn jetzt das für Industriesteuerungen insbesondere in kritischer Infrastruktur zuständige ICS-CERT die Auffassung vertritt, dass "dokumentierte, änderbare Standardpasswörter keine Schwachstelle" seien. Gerade in hochkritischen Systemen, die Teil der Grundversorgung eines Landes sind, darf es nicht vorkommen, dass ein Produktionssystem nur über ein Standardpasswort gesichert ist, das über entsprechende Listen leicht zu ermitteln ist.

Deshalb ist es zwingend erforderlich, klare Richtlinien aufzustellen, die das Problem an der Wurzel packen anstatt die Verantwortung allein den Systemadministratoren aufzubürden. Ein CERT sollte Systeme, die mit Standard-Passwörtern am Netz sind, als Sicherheitsproblem begreifen und auch so benennen: Ein solches System hat ein Sicherheits-Loch – und dafür ist auch der Hersteller verantwortlich. Das erzeugt hoffentlich den notwendigen Druck, Produkte von vorn herein so zu konzipieren, dass bei der Installation ein neues Passwort gesetzt werden muss. (fab)

PS: Und es sage keiner, dass solche Steuerungs-Systeme ohnehin nicht über das Internet zu erreichen wären. Unsere Recherchen mit Suchmaschinen wie Shodan beweisen regelmäßig das Gegenteil. Aber das ist eine andere Geschichte. (fab)