KRACK: Kritische Schwachstelle in WPA2-WLAN-Verschlüsselung

Rückblick, Stand 18. Oktober 2026: Der Beitrag beschreibt die Lage vom Oktober 2017. KRACK zeigt, wie Implementierungsfehler einen etablierten Sicherheitsstandard aushebeln und warum Netzwerkgeräte regelmäßige Firmware-Updates brauchen. Was heute gilt, steht im Abschnitt zur Einordnung weiter unten.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 16. Oktober 2017 eine Warnung zu kritischen Schwachstellen im WPA2-Sicherheitsstandard für WLAN-Netzwerke veröffentlicht. Die als KRACK (Key Reinstallation Attack) bezeichneten Schwachstellen betrafen alle damals aktuellen WLAN-fähigen Geräte, unabhängig von Hersteller oder Betriebssystem. Forscher der belgischen KU Leuven hatten die Angriffe entdeckt und vergaben zehn CVE-Kennungen, von CVE-2017-13077 bis CVE-2017-13088 (Quelle: krackattacks.com, abgerufen am 18.10.2026).

Was KRACK ermöglichte

Ein Angreifer im WLAN-Funkbereich konnte die Schwachstellen ausnutzen, um den verschlüsselten WLAN-Datenverkehr zu entschlüsseln und mitzulesen. Daten, die über WLAN übertragen wurden, galten damit als potenziell kompromittierbar, selbst wenn die WPA2-Verschlüsselung aktiv war.

Besonders stark betroffen:

• Android-Geräte ab Version 6.0
• Linux-basierte Systeme mit wpa_supplicant ab Version 2.4, auf dem auch Android aufbaut

Eingeschränkt betroffen:

• Windows-Systeme
• Apple-Geräte (macOS, iOS)

Der Angreifer musste sich physisch im Funkbereich des WLAN-Netzwerks befinden. Remote-Angriffe über das Internet waren mit dieser Methode nicht möglich.

BSI-Empfehlungen vom Oktober 2017

Das BSI riet bis zur Verfügbarkeit von Sicherheitsupdates:

• Kein Online-Banking und kein Online-Shopping über WLAN durchführen
• Für sensible Datenübertragungen einen VPN-Tunnel verwenden
• Kabelgebundene Verbindungen bevorzugen, wo verfügbar
• WPA2 trotz der Schwachstelle nicht deaktivieren, da ältere Standards wie WEP oder WPA erheblich unsicherer sind
• Sicherheitsupdates umgehend einspielen, sobald sie vom Gerätehersteller bereitgestellt werden

Was Unternehmen damals tun sollten (Stand Oktober 2017)

Für Unternehmensumgebungen galten diese Schritte:

1. Access Points und Router auf verfügbare Firmware-Updates prüfen
2. Betriebssystem-Updates auf allen WLAN-fähigen Geräten einspielen
3. Sensible Kommunikation bis zur Behebung über VPN leiten
4. Mitarbeitende informieren, dass WLAN bis zum Einspielen der Updates als unsicher einzustufen ist

Einordnung heute: Updates und WPA3

Die Hersteller haben KRACK mit Updates behoben. Die Entdecker beschreiben, dass sich die Implementierungen abwärtskompatibel patchen lassen, ein gepatchter Client kann also weiter mit einem ungepatchten Access Point sprechen und umgekehrt, und dass die Updates sicherstellen, dass ein Schlüssel nur einmal installiert wird (krackattacks.com). Entscheidend ist damit, dass Access Points, Router und Endgeräte aktuelle Firmware haben.

Als Nachfolger von WPA2 gibt es WPA3. Laut Wi-Fi Alliance ist WPA3 für Wi-Fi-CERTIFIED-Geräte verpflichtend, WPA3-Personal schützt besser gegen Passwort-Ratenangriffe, und WPA3-Netzwerke verlangen Protected Management Frames (Wi-Fi Alliance, Security, abgerufen am 18.10.2026). Das BSI empfiehlt für WLAN-Passwörter bei WPA2 und WPA3 mindestens 20 Zeichen (BSI, Sichere Passwörter erstellen, abgerufen am 18.10.2026).

Für Unternehmen bleibt die Lehre aus KRACK vom konkreten Standard unabhängig. Ein einzelner Sicherheitsmechanismus reicht nicht aus, wenn Firmware-Updates auf Access Points, Routern und Endgeräten nicht zeitnah eingespielt werden. Segmentierte Netzwerke, ein aktuelles Patch-Management und eine dokumentierte Netzwerkplanung verkleinern die Angriffsfläche, egal welche Schwachstelle als Nächstes bekannt wird. Ein aktuelles Beispiel ist php2shell, eine PHP-Lücke, die auch Verwaltungsoberflächen von NAS, Routern und Firewalls betreffen kann.

Wie sich Netzwerke sinnvoll segmentieren und mit modernen WLAN-Standards planen lassen, beschreibt der Beitrag Netzwerkplanung für Wachstum: Switching, VLAN, Wi-Fi 6 und 7. Die Grundlagen zur Absicherung von Netzübergangspunkten erklärt der Beitrag Netzwerksicherheit: Netzübergangspunkte mit Firewalls.

Häufige Fragen

Konnten Angreifer KRACK auch über das Internet ausnutzen?

Nein. Der Angreifer musste sich physisch im Funkbereich des betroffenen WLAN-Netzwerks befinden. Ein Remote-Angriff über das Internet war mit dieser Methode nicht möglich.

Sollte WPA2 wegen KRACK deaktiviert werden?

Nein, das BSI riet 2017 ausdrücklich davon ab. Ältere Standards wie WEP oder WPA sind erheblich unsicherer. Bis Sicherheitsupdates verfügbar waren, empfahl das BSI stattdessen, auf Online-Banking und Online-Shopping über WLAN zu verzichten, sensible Übertragungen per VPN abzusichern und kabelgebundene Verbindungen zu bevorzugen.

Welche Geräte waren besonders stark betroffen?

Android-Geräte und Linux-basierte Systeme waren am stärksten betroffen, Windows-Systeme und Apple-Geräte (macOS, iOS) nur eingeschränkt.

Ist WPA2 heute noch sicher genug?

Für neue Installationen empfiehlt sich WPA3, das die Wi-Fi Alliance für zertifizierte Geräte vorschreibt. Bestehende WPA2-Netzwerke lassen sich durch aktuelle Firmware, ein WLAN-Passwort mit mindestens 20 Zeichen und Netzwerksegmentierung absichern, ein schrittweiser Umstieg auf WPA3-fähige Geräte bleibt aber sinnvoll.

Netzleiter unterstützt Unternehmen in Hamburg und der Metropolregion beim Update von Access Points und Routern, bei der Einrichtung von VPN-Verbindungen für sichere Kommunikation und bei der Umstellung auf WPA3-fähige WLAN-Infrastruktur. Mehr dazu auf der Seite Cybersecurity und Datensicherung und in der Leistungsübersicht.

Für eine Einschätzung Ihrer aktuellen WLAN-Sicherheit sprechen Sie mit unserem Vertrieb: 040 20 94 97 67 oder vertrieb@netzleiter.com.