An einem einfachen Beispiel einer BSI-Sicherheitswarnung, Basis: IT-Sicherheitsgesetz, kann man sehen: Die Fähigkeit zur Update-Durchführung ist auch bei scheinbar simplen Lösungen ein wichtiger Aspekt.
Produktbeispiel: Schwachstelle bei Türschlossantrieb
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit dem 10. August 2022 vor dem Einsatz des Funk-Türschlossantriebs HomeTec Pro CFA3000 des Herstellers ABUS. Die Warnung erfolgt gemäß §7 BSI-Gesetz (BSIG). Ausführliche Informationen erhält man hier: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Technische-Sicherheitshinweise-und-Warnungen/Warnungen-nach-Par-7/ABUS/abus_node.html).
Um das konkrete Produkt oder auch den betroffenen Hersteller soll es an dieser Stelle weniger gehen. Eine nachträglich entdeckte Schwachstelle ist ein Ereignis, das prinzipiell jeden Hersteller intelligenter Lösungen ereilen kann. Sorgfalt und Tests im Qualitäts- und Sicherheitsmanagement für Produkte können nur die Wahrscheinlichkeit deutlich senken.
Der aktuelle Fall, gerade wegen der leicht verständlichen Funktion des Produkts, bietet jedoch die Gelegenheit, sich wichtige Aspekte vor Augen zu führen.
Details zu Fall und Umgang
Es handelt sich um ein Auslaufmodell. Eine Nachfolgelösung ist verfügbar, allerdings nicht leicht vom akut betroffenen Vorgänger zu unterscheiden.
Erste Konsequenz: Bei anstehenden Neubeschaffungen muss man sehr genau aufpassen, nicht an das Auslaufmodell zu geraten. Auch bei der Bewertung, ob man bei verbauten Exemplaren konkret betroffen ist, muss man genau hinschauen. Einfach zu entscheiden ist nur: Wer eine entsprechende Lösung vor März 2021 gekauft hat, ist sicher betroffen – erst ab diesem Zeitpunkt kam die Nachfolgegeneration auf den Markt.
Fatal:
- Die Schwachstelle betrifft die Kernfunktion des Produkts: Sie lässt sich dazu ausnutzen, mit dem Produkt gesicherte Türen unbefugt über die Drahtlos-Schnittstelle zu entriegeln.
- Laut Herstellerauskunft gibt es für die Produktgeneration mit der Schwachstelle keine Möglichkeit zu einem Update, mit dem das Problem beseitigt werden könnte.
Wichtige Überlegungen und Lehren zum Fallbeispiel
Wer möglicherweise betroffen ist, muss klären und entscheiden, wie er damit umgeht. Ein Austausch kostet nicht nur Geld für die Ersatzbeschaffungen (ärgerlich genug), er muss auch organisiert werden und verursacht Aufwand. Bei großen verbauten Stückzahlen kann eine Priorisierung nach Einschätzung der konkreten Gefährdungslage nötig sein.
Wer nicht akut betroffen ist, kann trotzdem prüfen, ob er aus dem Beispiel für sich wertvolle Lehren ableiten kann.
Für beide Sichtweisen gibt es wichtige Aspekte, die das Beispiel gut vor Augen führt:
- Update-Fähigkeit: Wichtig für Produktauswahlen und -einsatz
Ohne Update-Fähigkeit kann eine nachträglich erkannte Produktschwäche durch den notwendigen Austausch zu beträchtlichem finanziellen Schaden führen. Preis und Stückzahl betroffener Installationen spielen dabei natürlich eine Rolle. Bei fest verbauten Lösungen kann der Folgeschaden zudem deutlich über dem Preis der Ersatzbeschaffung liegen, soll der Austausch ohne hinterher sichtbare Spuren erfolgen. Weiterer eventuell schädlicher Faktor: Hat man keinen vorbereiteten Betriebsansatz für solche Update-Vorgänge, muss man improvisieren und womöglich erhöhten Aufwand und Vorlauf durch Wegezeiten in Kauf nehmen.
- Gute Dokumentation zu konkreten Installationen: der entscheidende Unterschied
Begehungen sind der aufwändigste Weg, um Austauschkandidaten zu ermitteln. Je nach Einsatzort und Einbauweise von Lösungen ist die Zugänglichkeit zu Informationen, die eine konkrete Produktversion bei Sichtprüfung identifizieren, erschwert. Nicht jedes Produkt lässt sich am Betriebsort umfassend auslesen, um hierüber Generation und Versionsstand etc. zu identifizieren.
- Vorsicht: Drahtlostechnik „unauffällig“ angreifen – oft leichter, als man glaubt
Kriminelle halten sich nicht an Spezifikationen aus Standards. Drahtlosschnittstellen, die für Nutzung aus kurzer Entfernung gedacht sind, lassen sich mit modifiziertem Equipment auch über größere Entfernungen abhören oder beeinflussen. Bekannte Methoden zum „Knacken“ von Zentralverriegelungen oder Key-Less-System-Lösungen bei PKWs sind dazu aktuelle Beispiele. Ein sehr drastisches Beispiel kann man unter „Blue Rifle“ per Suchmaschine finden – eine Vorführung, dass man Bluetooth über Kilometer hinweg abhören kann.
Der Angreifer, der etwa eine Tür per Schwachstelle entriegelt, muss also in dem Moment nicht auffällig in der Nähe dieser Tür zu sehen sein. Ein Komplize, der die Tür dann wie selbstverständlich aufdrückt, kann sich für einen Beobachter völlig unauffällig verhalten. Ähnliche Abläufe lassen sich für andere Lösungen zur Gebäude- und Objektsicherung oder für andere IoT-Anwendungen ausdenken, die per Funk überlistet werden könnten.
Wer vom konkreten, durch das BSI gemeldeten Beispiel betroffen ist, für den mögen solche Überlegungen zu spät kommen. Als Anreiz, es in anderen Fällen zukünftig besser zu machen bzw. gezielt nachzubessern, kann die Meldung und ihre Betrachtung dennoch wertvoll sein.
