Auch fast zehn Jahre später bleibt der KRACK-Fall lehrreich, weil er zeigt, wie ein etablierter Sicherheitsstandard durch Implementierungsfehler ausgehebelt werden kann und wie wichtig regelmäßige Firmware-Updates für Netzwerkgeräte sind. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 16. Oktober 2017 eine Warnung zu kritischen Schwachstellen im WPA2-Sicherheitsstandard für WLAN-Netzwerke veröffentlicht. Die als KRACK (Key Reinstallation Attack) bezeichneten Schwachstellen betreffen alle aktuellen WLAN-fähigen Geräte, unabhängig von Hersteller oder Betriebssystem.

Was KRACK ermöglicht

Ein Angreifer im WLAN-Funkbereich kann die Schwachstellen ausnutzen, um den verschlüsselten WLAN-Datenverkehr zu entschlüsseln und mitzulesen. Das bedeutet: Daten, die über WLAN übertragen werden, gelten als potenziell kompromittierbar, selbst wenn die WPA2-Verschlüsselung aktiv ist.

Besonders stark betroffen:

Android-Geräte
Linux-basierte Systeme

Eingeschränkt betroffen:

Windows-Systeme
Apple-Geräte (macOS, iOS)

Ein wichtiger Faktor: Der Angreifer muss sich physisch im Funkbereich des WLAN-Netzwerks befinden. Remote-Angriffe über das Internet sind mit dieser Methode nicht möglich.

BSI-Empfehlungen

Das BSI rät bis zur Verfügbarkeit von Sicherheitsupdates:

Kein Online-Banking und kein Online-Shopping über WLAN durchführen
Für sensible Datenübertragungen einen VPN-Tunnel verwenden
Kabelgebundene Verbindungen bevorzugen, wo verfügbar
WPA2 trotz der Schwachstelle nicht deaktivieren, da ältere Standards wie WEP oder WPA erheblich unsicherer sind
Sicherheitsupdates umgehend einspielen, sobald sie vom Gerätehersteller bereitgestellt werden

Was Unternehmen jetzt tun sollten

Für Unternehmensumgebungen gelten diese Schritte:

Access Points und Router auf verfügbare Firmware-Updates prüfen
Betriebssystem-Updates auf allen WLAN-fähigen Geräten einspielen
Sensible Kommunikation bis zur Behebung über VPN leiten
Mitarbeitende informieren, dass WLAN aktuell als unsicher einzustufen ist

Häufige Fragen

Können Angreifer KRACK auch über das Internet ausnutzen?

Nein. Der Angreifer muss sich physisch im Funkbereich des betroffenen WLAN-Netzwerks befinden. Ein Remote-Angriff über das Internet ist mit dieser Methode nicht möglich.

Sollte WPA2 wegen KRACK deaktiviert werden?

Nein, das BSI rät ausdrücklich davon ab. Ältere Standards wie WEP oder WPA sind erheblich unsicherer. Bis Sicherheitsupdates verfügbar sind, empfiehlt das BSI stattdessen, auf Online-Banking und Online-Shopping über WLAN zu verzichten, sensible Übertragungen per VPN abzusichern und kabelgebundene Verbindungen zu bevorzugen.

Welche Geräte waren besonders stark betroffen?

Android-Geräte und Linux-basierte Systeme waren am stärksten betroffen, Windows-Systeme und Apple-Geräte (macOS, iOS) nur eingeschränkt.

Einordnung heute: WPA3 und die Lehre für KMU

Nahezu zehn Jahre nach KRACK ist WPA3 der aktuelle Sicherheitsstandard für WLAN-Netzwerke und in modernen Access Points, Routern und Endgeräten Standard. WPA3 schließt die damalige KRACK-Schwachstelle durch ein robusteres Schlüsselaustauschverfahren und schützt zusätzlich besser gegen Wörterbuch-Angriffe auf schwache Passwörter. Für Unternehmen bleibt die eigentliche Lehre aus KRACK jedoch unabhängig vom konkreten Standard: Ein einzelner Sicherheitsmechanismus reicht nicht aus, wenn Firmware-Updates auf Access Points, Routern und Endgeräten nicht zeitnah eingespielt werden. Segmentierte Netzwerke, ein aktuelles Patch-Management und eine dokumentierte Netzwerkplanung verkleinern die Angriffsfläche, egal welche Schwachstelle als Nächstes bekannt wird.

Wie sich Netzwerke sinnvoll segmentieren und mit modernen WLAN-Standards planen lassen, beschreibt der Beitrag Netzwerkplanung für Wachstum: Switching, VLAN, Wi-Fi 6 und 7. Ergänzend dazu die Grundlagen zur Absicherung von Netzübergangspunkten im Beitrag Netzwerksicherheit: Netzübergangspunkte mit Firewalls.

Ist WPA2 heute noch sicher genug?

Für neue Installationen empfiehlt sich WPA3, weil der Standard die KRACK-Schwachstelle schließt und zusätzlich gegen Passwort-Angriffe härtet. Bestehende WPA2-Netzwerke lassen sich durch aktuelle Firmware, starke Passwörter und Netzwerksegmentierung deutlich absichern, ein schrittweiser Umstieg auf WPA3-fähige Geräte bleibt aber sinnvoll.

Netzleiter unterstützt Unternehmen in Hamburg und der Metropolregion beim Update von Access Points und Routern, bei der Einrichtung von VPN-Verbindungen für sichere Kommunikation und bei der Umstellung auf WPA3-fähige WLAN-Infrastruktur. Mehr zur Cybersecurity und Datensicherung finden Sie unter /leistungen.

Für eine Einschätzung Ihrer aktuellen WLAN-Sicherheit sprechen Sie mit unserem Vertrieb: 040 20 94 97 67 oder vertrieb@netzleiter.com.