Sicherheitslücke bei WLAN-Chips: Milliarden Geräte betroffen
Update vom 25. März 2025:
Mittlerweile hat Hersteller Espressif auf die Meldung reagiert und Entwarnung gegeben. Laut einer Pressemitteilung handelt es sich um Debug-Befehle, die nur zu internen Kommunikation zwischen den Bluetooth-Schichten genutzt werden. Die Befehle stehen remote nicht zur Verfügung.
WLAN und Bluetooth sind aus der heutigen Zeit nicht mehr wegzudenken. Damit eine Kommunikation zustande kommt, sind allerdings passende Chips notwendig, die unter anderem vom chinesischen Halbleiterhersteller Espressif Systems produziert werden. Deren Mikrocontroller sind besonders günstig und kommen in einer Vielzahl von Geräten zum Einsatz – und genau dieser Umstand wird jetzt zu einem Problem.
Kriminelle können durch die Schwachstelle an sensible Daten gelangen
Bei den betroffenen ESP32-Chips konnten sich die Sicherheitsforscher von Tarlogic als vertrauenswürdiges Gerät ausgeben, wodurch sie an sensible Daten, wie beispielsweise Passwörter, Bankdaten oder persönliche Daten, gelangen. Deutlich schwerwiegender ist, dass potenzielle Angreifer Mitschnitte anfertigen können, da sie unbemerkt Mikrofone und Kameras aktivieren können.
Ein Hauptproblem stellt die große Verbreitung des Mikrocontrollers dar. So wird dieser beispielsweise nicht nur in Smartphones, Tablets oder günstigen Arduino-Platinen eingesetzt, sondern auch im Bereich der automatischen Steuerung. So sind sogar medizinische Geräte oder vernetzte Türschlösser (das SwitchBot Smart Lock gibt es auf Amazon, als Alternative zu kaufen) angreifbar.
Schutzmaßnahmen sind das A und O
Die sicherste Möglichkeit bestünde darin, betroffene Geräte vom Netz zu nehmen. Dies ist allerdings weder rentabel noch durchführbar.
- Nutzung starker Passwörter und Verschlüsselungsmethoden
- Regelmäßige Updates
- Ungenutzte Funktionen deaktivieren
- Zugriff beschränken
- Mitarbeiter schulen
Der Verizon DBIR (Data Breach Investigations Report) 2024 zeigt, dass die Ausnutzung von Schwachstellen im Vergleich zu 2023 um 180 Prozent gestiegen ist. Dabei stellen schwache Zugangsdaten mit 38 Prozent eine große Gefahr dar. Weiterhin gelangen Angreifer mittels Phishing (15 Prozent) an sensible Daten. Im geschäftlichen Umfeld ist es daher unerlässlich, die Mitarbeiter zu schulen und ausnahmslos starke Passwörter zu implementieren.
Weiterhin sollte mit dem Einspielen von Softwareupdates nicht zu lange gewartet werden, denn wie die Studie zeigt, benötigen Unternehmen zwischen der Bereitstellung und Installation von Patches im Schnitt 55 Tage – ein langes Zeitfenster, in dem Kriminelle bereits an Daten gelangen können.
