Steganos entdeckt massive Sicherheitslücke in Hotel-WLANs

(Berlin, 05. März 2013) Unsicheres WLAN in Berliner Kettenhotels: Das IT-Sicherheitsunternehmen Steganos hat nun bei einem Test-Hack sich Zugang zu sensiblen Daten in Hotel-Netzwerken verschaffen. Dazu benötigten die Experten nur ein Smartphone und eine spezielle Netzwerkanalyse-App. Unverschlüsselte Daten von Gästen, die über den Hotel-Router ins Internet gehen, können so problemlos mitgelesen werden, teilöte Steganos mit. Um das Mitschneiden dieser Daten im WLAN zu verhindern, hat Steganos das Programm „Steganos Online Shield 365“ entwickelt.

Schauplatz der WLAN-Hacks waren mehrere Hotels namhafter Ketten in Berlin Mitte. Während sich ein Steganos-Mitarbeiter mit seinem Notebook in das öffentliche WLAN des Hotels einloggte, startete ein anderer Mitarbeiter von seinem Smartphone aus die Netzwerkanalyse-App dSploit. Der Mitarbeiter am Smartphone konnte nicht nur das Mail-Passwort problemlos mitlesen, sondern ganze Facebook-Sitzungen live übernehmen. So konnten gefälschte Nachrichten auf Facebook gepostet werden, private E-Mails mitgelesen, Instant-MessagingNachrichten abgefangen werden und vieles mehr. Ursache ist eine eklatante Sicherheitslücke vieler öffentlicher WLANs. Die Daten, die zwischen dem Notebook und dem Router ausgetauscht werden, also alle Daten, die beim Surfen anfallen, werden im Regelfall unverschlüsselt übertragen. Sicher ist der Nutzer nur dann, wenn die angesurfte Webseite eine HTTPS-Verbindung anbietet.

Denn nur dann können die Daten TLS-verschlüsselt (TLS = Transport Layer Security – früher SSL – ist ein Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet) übertragen werden. Manche Router verfügen über eingebaute Schutzmechanismen gegen Tools wie dSploit – man weiß jedoch nie, ob in einem öffentlichen WLAN ein solcher Router zum Einsatz kommt.

„Es ist unfassbar, wie leicht sich öffentliche WLANs immer noch hacken lassen. Dabei sind diese Sicherheitslücken in der Branche längst bekannt. Und man benötigt kaum technisches Verständnis oder Hackerkenntnisse“, erklärte Steganos-Chef Gabriel Yoran. „Mit den abgefangenen Passwörtern hätten wir die Online-Identität des Mitarbeiters übernehmen können. Das Aussperren vom eigenen Facebook-Account oder der Versand von Spam über den Computer des Mitarbeiters wären dann noch harmlose Szenarien gewesen. Durch die Verwendung des Autorisierungsverfahrens Facebook Connect, das auf vielen Websites zum Einsatz kommt, könnte man sich so die Identität seines Opfers aneignen – selbst wenn man ‚nur’ den Facebook-Zugang mitgeschnitten hat.“