Das BSI nimmt sich der Router-Sicherheit an
Das BSI hat ein Testkonzept vorgestellt, das die Sicherheit von Endkunden-Routern vergleichbar machen soll. Die "wesentliche Sicherheitskomponente zum Schutz des internen Netzes" soll endlich sicher werden.
![Testkonzept BSI](https://heise.cloudimg.io/width/610/q85.png-lossy-85.webp-lossy-85.foil1/_www-heise-de_/imgs/18/1/6/0/9/1/2/9/bsi-testaufbau-e8fe86c3210ed43e.png)
(Bild: BSI)
- Fabian A. Scherschel
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Entwurf eines Konzeptes vorgestellt, mit dem Router auf Sicherheitslücken getestet werden sollen. Ziel ist es, einheitliche Kriterien zu etablieren, um die Sicherheit der Geräte messbar und vergleichbar zu machen. Bis zum 30. November können Hersteller solcher Geräte und Internet Service Provider den Entwurf kommentieren und per E-Mail Ergänzugsvorschläge an das BSI schicken.
"Häufig bildet ein solcher Router die einzige zentrale und wesentliche Sicherheitskomponente zum Schutz des internen Netzes [...] Der Absicherung des Routers kommt daher eine herausragende Bedeutung zu."
– Das BSI-Papier zur Wichtigkeit von Router-Sicherheit
Es liegt einiges im Argen
Router-Sicherheit ist ein leidiges Thema, wie auch ein Blick in die entsprechende Rubrik "Router" bei heise online deutlich macht. Endkunden-Geräte haben zwangsläufig Lücken und das Stopfen der solchen scheint bei den meisten Herstellern nicht besonders hoch auf der Prioritätenliste zu stehen. Auch das BSI begründet seinen Konzeptentwurf damit, dass die Sicherheit – oder mangelnde Sicherheit – eines solchen Gerätes ein wichtiges Kaufkriterium sei. Besonders die geplante Abschaffung des Routerzwangs mache dies zu einem akuten Thema.
Neben der Aktualität der Geräte-Firmware, den Funktionen zur WLAN-Verschlüsselung und der WPS-Umsetzung wird nach den Vorschlägen des BSI auch die Router-Firewall geprüft. Dazu werden die Funktionsweisen allein an Hand des Webinterfaces und anderer dokumentierter Zugriffsmöglichkeiten auf das System getestet – eine Prüfung des Quellcodes der Software ist nicht geplant. Für die einzelnen Tests werden dann Punkte verteilt, die am Ende einen Gesamtwert ergeben, welcher die Sicherheit des getesteten Routers widerspiegeln soll.
(Bild: BSI)
Während der Großteil des BSI-Konzeptes öffentlich ist, stellt die Behörde Kapitel 4 und 5 nur auf Anfrage bereit. Etwaige Interessenten müssen eine Einverständniserklärung unterschreiben und zusichern, dass sie die dort enthaltenen Informationen nicht für Angriffe verwenden. In Kapitel 4 des Entwurfes geht es um technische Aspekte der "sicherheitsrelevanten Funktionen" von Routern, etwa der Umgang des Gerätes mit aktuellen RFCs die DNS betreffen. Kapitel 5 beschreibt konkrete Angriffe, die in der Vergangenheit bekannt wurden.
Der Konzeptentwurf des BSI als PDF:
(fab)