Router sind wie Vasen. Man stellt sie hin, schaltet sie ein und ab da setzen sie Staub an. Beachtet werden sie erst wieder, wenn etwas zu Bruch geht. Und Scherben gibt es seit vergangener Woche genug. Nahezu täglich erscheinen Meldungen über Sicherheitslücken bei Routern. Sogar das Heimatschutz-Ministerium der USA warnt vor einer ganzen Liste von Lücken. Dass es zahlreiche Risiken bei Routern gibt, ist unter IT-Experten ein offenes Geheimnis. Nur um die Mängel wollte sich bislang niemand kümmern, denn für die Hersteller ist das teuer und für die Nutzer aufwändig.

Ein Router hat kurz umrissen zwei Aufgaben: Er soll das Tor zum Internet öffnen und die Nutzer daheim gleichzeitig vor Eindringlingen schützen. Dazu muss seine Software regelmäßig aktualisiert werden. Das ist aufwändig, beziehungsweise haben viele Nutzer keine Lust dazu oder wissen nicht einmal, dass das notwendig ist. Das Problem haben auch die Hersteller erkannt und setzen auf einfache Lösungen – teilweise mit den besten Absichten.

Eine dieser Lösungen nennt sich UPnP, ein Akronym für Universal Plug and Play. Diese Technik erlaubt es etwa einem Smartphone, in einem lokalen Netzwerk (Local Area Network – LAN) auf andere Geräte automatisch zuzugreifen. Etwa auf einen Netzwerkdrucker. UPnP ist praktisch, denn die Nutzer müssen nichts mehr tun. Die Geräte verbinden sich wie von Geisterhand selbst miteinander, wenn dieser Standard aktiv ist.

"Die Hersteller verletzen ihre Sorgfaltspflicht"

Das Problem: Bei UPnP vertrauen sich die Geräte blind, ohne Passwort. UPnP ist deshalb vor allem für das LAN gedacht. Wird es nach außen, also Richtung Internet geöffnet, kann jeder in das Heimnetz eindringen. Genau diese Einstellung war bei einigen Routern ab Werk aktiviert. Die Sicherheitsfirma Rapid7 warnte deshalb in der vergangenen Woche vor Routern, die UPnP aktiviert haben und veröffentlichte gleich drei mögliche Angriffsmethoden auf die Geräte. Bis zu 50 Millionen sind weltweit betroffen. Nutzer können nun auf der Seite von Rapid7 überprüfen, ob das auch für ihren Router gilt.

Auf die UPnP-Lücke haben Hersteller wie D-Link mittlerweile reagiert und Updates ihrer Router-Software ins Netz gestellt. Das ist nicht die Regel. Vor allem im unteren Preissegment sparen Hersteller an Software und Service. Oft setzen sie ihre Programme aus freier Software zusammen und entwickeln sie nicht weiter.

Das bestätigt auch Michael Horn. Horn beschäftigt sich mit Sicherheit in Netzwerken. Er ist sich sicher, dass das Chaos um UPnP leicht zu verhindern gewesen wäre. "Die Hersteller haben die Verantwortung, ihre Router zuzunageln, sodass UPnP nicht offen steht", sagt er. "Das ist schon eine grobe Verletzung ihrer Sorgfaltspflicht."

Noch dazu, da viele Käufer der Geräte auf die Werkseinstellungen der Router vertrauen. Was geradezu fahrlässig ist. Denn die Mehrheit der Router ist nicht besonders gut vor fremden Zugriff geschützt. Die voreingestellten Passwörter der Hersteller lauten dann beispielsweise "admin" oder "password". Listen solcher voreingestellten Passwörter gibt es sogar im Internet. Viele Geräte haben auch gar kein Passwort.