Der Sicherheitscheck für 'Einstellen und vergessen'

In den letzten Wochen wurden vier voneinander unabhängige Sicherheitsvorfälle bekannt. Ein Forscher fand heraus, dass eine Nachrüst-Autoalarmanlage namens KARR – verbaut in schätzungsweise über 2 Millionen Fahrzeugen – von jedem innerhalb der Bluetooth-Reichweite lautlos entriegelt, deaktiviert oder ausgeschaltet werden kann. Ein Bedrohungsforscher bei Bitsight entdeckte, dass ein beliebter, billiger Streaming-Stick, der H96, seit Jahren unbemerkt die Internetverbindungen seiner Besitzer vermietet und betrügerische Anzeigen anklickt, während er sich als Mobiltelefon ausgibt. Ein Hacker bekannte sich in Fällen schuldig, die mit den Daten von über 100 Millionen Menschen in Verbindung standen – der Zugang gelang nicht durch einen raffinierten Exploit, sondern über Kundenpasswörter, die seit einer Infostealer-Infektion Jahre zuvor unverändert herumlagen, auf Konten, bei denen niemals eine Zwei-Faktor-Authentifizierung aktiviert worden war. Und Forscher demonstrierten, dass Malware unter den richtigen Bedingungen Passkeys extrahieren kann, die über den Google Passwortmanager synchronisiert wurden – genau jenes System, das viele von uns gezielt eingeführt haben, um dem Passwortrisiko zu entkommen.

Für sich genommen handelt es sich um vier unterschiedliche Problemkategorien: einen Hardwarefehler, ein betrügerisches Lieferkettenschema, eine Datenpanne bei einem Unternehmen und ein Problem bei der Umsetzung von Kryptografie. Doch sie teilen eine gemeinsame Ursache, die nichts mit der jeweiligen Technologie zu tun hat. In jedem Fall wurde das verwundbare Element einmal installiert, aktiviert oder erstellt – und danach hat es sich niemand mehr angesehen.

Das Muster hinter den Schlagzeilen

Sicherheitsschulden häufen sich genau an den Stellen an, denen man keine Aufmerksamkeit mehr schenkt. Eine Autoalarmanlage wird im Rahmen eines Zubehörpakets beim Händler eingebaut und kommt einem nie wieder in den Sinn – bis sie der Grund dafür ist, dass das eigene Auto in fremde Hände gelangt. Ein Streaming-Stick wird an den Fernseher angeschlossen, funktioniert jahrelang einwandfrei und fällt nie auf, weil er weiterhin genau das abspielt, was man von ihm verlangt – der Anzeigenbetrug und das Teilen der Bandbreite laufen unsichtbar nebenher. Ein Zugangsdatensatz wird erstellt, funktioniert bei einer Anmeldeaufforderung und liegt dann jahrelang in einer Datenbank, lange nachdem das Gerät, über das er durchgesickert ist, in Vergessenheit geraten ist – denn das Ändern eines Passworts, an das man nicht denkt, ist keine Aufgabe, die sich jemand in den Kalender einträgt. Ein Passkey wird eigens dafür eingerichtet, "sicherer als ein Passwort" zu sein, und genau dieser Ruf wird zum Grund, nicht mehr darüber nachzudenken, was das Gerät schützt, auf dem er liegt.

Für keinen dieser Fälle brauchte es einen hochentwickelten Angreifer, der eine völlig neue, von niemandem vorhergesehene Schwachstelle aufspürt. Bei der Autoalarmanlage und dem Passkey-Diebstahl steckte durchaus echte technische Forschung dahinter. Doch was den Schaden tatsächlich in diesem Ausmaß ermöglichte, war die Lücke zwischen "einmal eingerichtet" und "nie wieder angeschaut".

Eine 20-minütige Bestandsaufnahme der Dinge, die Sie bereits besitzen

Um den Großteil dieser Lücke zu schließen, müssen Sie weder etwas kaufen noch ein anderer Mensch werden. Sie brauchen einen einzigen Durchgang durch die oben genannten Kategorien – behandelt als wiederkehrende Pflicht, nicht als einmalige Einrichtungsaufgabe.

1. Nachrüst- und Zubehörgeräte

Gehen Sie alles durch, was von Dritten nachträglich eingebaut wurde und nicht werkseitig verbaut ist – Autoalarmanlagen, Dashcams, smarte Schlösser, nachgerüstete Tracker. Prüfen Sie in der App oder auf der Website des Herstellers, ob es einen Firmware-Update-Mechanismus gibt, und führen Sie ihn tatsächlich aus. Speziell zur KARR-Alarmanlage weisen Forscher darauf hin, dass ein einfaches optisches Erkennungsmerkmal ein "KARR"-Aufkleber am Fahrerfenster ist; wenn Sie einen solchen haben, erkundigen Sie sich beim Installateur oder Hersteller nach einem Patch, statt einfach anzunehmen, dass alles in Ordnung ist. Die grundlegendere Gewohnheit, die es sich anzueignen lohnt: Alles, was über Funk verfügt und eine Hersteller-App hat, ist ein Gerät, das gelegentliche Wartung braucht – genau wie Ihr Telefon oder Laptop.

2. Was auch immer an Ihrem Fernseher hängt

Generische Streaming-Boxen, die auf Marktplätzen unter Namen wie H96 verkauft werden und oft mit einer einmaligen Gebühr für "unbegrenzte" Inhalte beworben werden, verdienen einen genauen Blick. Wenn Sie eine besitzen, sollten Sie wissen: Das Risiko besteht nicht nur in raubkopierten Inhalten – es besteht darin, dass sich das Gerät selbst wie ein zweiter Computer in Ihrem Netzwerk mit einer eigenen Agenda verhalten könnte. Wenn Sie nicht überprüfen können, was ein Gerät in Ihrem Netzwerk tut, und es von einer unbekannten Marke stammt, die für den Preis etwas zu Gutes verspricht, ist das Grund genug, es in einem Gastnetzwerk zu isolieren oder es durch ein gängiges Streaming-Gerät eines Unternehmens zu ersetzen, das einen Ruf zu verlieren hat.

3. Alte Passwörter, besonders wiederverwendete oder ruhende

Die Datenpanne im Zusammenhang mit dem Schuldeingeständnis des mit Snowflake in Verbindung gebrachten Hackers wurde nicht durch einen Fehler in der Plattform verursacht. Sie wurde durch Zugangsdaten verursacht, die Jahre zuvor von Malware auf dem Computer einer Person abgegriffen wurden – Zugangsdaten, die niemand geändert hat, bei Konten, bei denen die Zwei-Faktor-Authentifizierung ausgeschaltet war. Das ist ein vollständig vermeidbarer Fehlerfall, und er ist verbreitet: Jedes Konto, das Sie einmal eingerichtet haben und in das Sie sich nur selten einloggen, ist genau die Art von Konto, das gerade jetzt mit einem geleakten, Jahre alten Passwort dastehen könnte. Wenn Ihr Passwortmanager eine Prüfung auf Datenlecks oder Mehrfachverwendung anbietet, führen Sie sie durch. Wenn ein Konto Zwei-Faktor-Authentifizierung erlaubt und sie ausgeschaltet ist, schalten Sie sie ein – diese eine Maßnahme allein hätte den Einbruch verhindert, bei dem die Daten von über 100 Millionen Menschen offengelegt wurden.

4. Das Konto, das Ihre Passkeys bewacht

Passkeys sind gegenüber Passwörtern eine echte Verbesserung, wenn es speziell um Phishing und Mehrfachverwendung geht. Doch die jüngste Forschung zum Diebstahl synchronisierter Passkeys über den Google Passwortmanager ist eine nützliche Erinnerung daran, dass ein Passkey keine Magie ist – er erbt die Sicherheit des Kontos und Geräts, über das er synchronisiert wird. Das bedeutet: Das Konto, das Ihren Passwortmanager oder Ihre Passkey-Synchronisierung verwaltet, verdient den stärksten Schutz, den Sie aufbringen können: einen starken, einzigartigen Code auf dem Gerät selbst, Zwei-Faktor-Authentifizierung auf dem Konto, das die Synchronisierung durchführt, und Aufmerksamkeit dafür, was Sie auf diesem Gerät installieren – denn die Forschung stützt sich auf Malware, die bereits auf dem Gerät läuft, nicht auf eine Schwachstelle, die man den Passkeys selbst "wegpatchen" könnte.

Warum sich das jetzt lohnt und nicht erst später

Keine dieser vier Geschichten beschreibt eine Bedrohung, wegen der Sie heute in Panik geraten müssten. Aber alle vier beschreiben Bedrohungen, die über Monate oder Jahre hinweg gewachsen sind, genau weil niemand noch einmal nachgeschaut hat. Die Lösung ist kein neues Werkzeug und kein Abonnement – es geht darum, einen wiederkehrenden Zeitpunkt festzulegen, vielleicht im Rahmen einer Gewohnheit, die Sie ohnehin schon haben, wie das Prüfen Ihres Kontoauszugs, um eine unspektakuläre Frage zu den Dingen zu stellen, die Sie bereits besitzen und denen Sie bereits vertrauen: Wann habe ich zuletzt danach gesehen, und hat außer mir noch jemand einen Grund, ein Auge darauf zu haben?