Mitteilung mit Anlage(n) (PDF 705 KB ) - Berliner ...

3.5
kehrungen trifft. Es fehlt der Schutz des Kabels. Der Parkplatz vor der Firma
könnte der Ausgangspunkt eines Angriffs auf das WLAN der Firma sein, für
den bei unzureichenden Sicherheitseinstellungen eine Funknetzwerkkarte
für das Notebook und eine Richtantenne, mit der die Empfangsmöglichkeiten
noch erhöht werden können, ausreichend sind. Die Datenströme können
einfach empfangen, aufgezeichnet, manipuliert und verfälscht zurück- oder
weitergesendet werden.
Mit den datenschutzrechtlichen Risiken hat sich die Internationale
Arbeitsgruppe Datenschutz in der Telekommunikation auf ihrer Frühjahrssitzung
am 14./15. April 2004 in Buenos Aires befasst und ein entsprechendes
Arbeitspapier verabschiedet 51 .
Folgende erste Schritte zur Absicherung eines WLANs sollten vom Administrator
unternommen werden. Sie erfordern weder zusätzliche Programme
noch Kosten und sind sehr einfach und leicht umzusetzen:
– Da die Geräte bei der Auslieferung mit Standard-Parametern wie z. B.
einem „Administrator Passwort“ ausgeliefert werden, müssen diese
unverzüglich verändert werden. Anderenfalls wird das Eindringen in
ein fremdes Netz einem Hacker sehr erleichtert, da er meist anhand der
MAC-Adresse des Access Points den Hersteller herausfinden und sich
somit die entsprechenden Handbücher mit den Standardpasswörtern
aus dem Internet ziehen kann.
– Mit der Service Set Identity Description (SSID = Netzwerkname) sind
gleich zwei Möglichkeiten zur Steigerung der Sicherheit möglich:
Erstens sollte die SSID umbenannt und so gewählt werden, dass keine
Rückschlüsse auf die Organisation möglich sind. Wird beispielsweise
der Behördenname verwendet, so kann ein Hacker unmittelbar erkennen,
ob in diesem Netz für ihn Daten von Interesse transportiert
werden.
Zweitens sollte die Bekanntgabe der SSID deaktiviert werden. Mit dem
Ausschalten der Broadcast-SSID kann das Wireless LAN mit relativ
einfachen Mitteln vor „fremden“ Rechnern verborgen werden, es wird
sozusagen unsichtbar. Angreifer müssen den Namen des Netzes wissen,
damit es angegriffen werden kann. Dieser Schritt kann ohne Mehrkosten
durch die örtliche Systemverwaltung vollzogen werden.
– Aktivierung der Wireless Equivalent Privacy (WEP)-Verschlüsselung.
Dies soll verhindern, dass ein Abhören der Funksignale möglich ist.
Dieses Verschlüsselungsverfahren gilt jedoch nicht als hinreichend
sicher, weil erhebliche Fehler in dem WEP-Algorithmus festgestellt
wurden. Es sollte daher immer eine LAN-weite zusätzliche Verschlüsselung,
beispielsweise IPSec, zum Einsatz kommen.
51 Arbeitspapier zu potenziellen Risiken drahtloser Netzwerke, vgl. Anlagenband, a.a.O., S. 74
44
Jahresbericht BlnBDI 2004
– Die ACL-Zugangskontrollliste dient der Eingabe der eindeutigen
MAC-Adresse der Funknetzwerkkarten am Access Point. Dadurch wird
die Kommunikation mit anderen – nicht eingetragenen – Funknetzwerkkarten
unterbunden. Dies stellt eine sehr einfache Möglichkeit dar,
mit Hilfe der Adressfilterung der MAC-Adressen unberechtigte Funknetzclients
abzuwehren.
– Durch die Bildung von Subnetzen können Bereiche mit einfachen Mitteln
getrennt werden, so dass sensible Teilnetze von anderen Netzen
geschützt werden können.
– Nicht benötigte Komponenten sollten deaktiviert sein.
– Die Administration des Access Points sollte ausschließlich über die
drahtgebundene Verbindung erfolgen, da sonst die drahtlose Verbindung
abgehört werden könnte.
Weiterführende Sicherheitsmaßnahmen
Die Verarbeitung von personenbezogenen Daten in einem Wireless-LAN,
das dem Standard 802.11b entspricht, ist ohne den Einsatz zusätzlicher
Sicherheitsmaßnahmen nicht zulässig – es sei denn, die Daten weisen nur
einen geringen Schutzbedarf auf.
Zur Gewährleistung der Vertraulichkeit, Integrität und Authentizität der
übertragenen Daten sind weiterreichende Maßnahmen erforderlich. Die folgende
Aufzählung soll kurz aufzeigen, wie eine weitere Reduzierung der
Risiken durch technische Maßnahmen erreicht werden kann:
– Die Trennung von Internet, Intranet und WLAN durch eine Firewall
sollte obligatorisch sein. Damit werden unberechtigte Zugriffe auf ein
Netz oder Netzsegment blockiert. Zwar könnten die übertragenen
Daten abgehört werden, aber das interne Netz bleibt hinter der Firewall
geschützt.
– Die automatisierte Zuteilung von IP-Adressen (mittels DHCP-Server)
sollte unterbunden werden, da ansonsten ein Angreifer – automatisch –
eine gültige IP-Adresse zugeteilt bekommt. Bei der nicht automatisierten
Vergabe der IP-Adressen muss der Hacker zuerst den IP-Adressraum
herausbekommen. Weiterhin sollte darauf geachtet werden, dass
der Adressraum nicht zu groß bemessen ist.
– Für die Absicherung des Datenstroms auf der Funknetzstrecke sollte
ein VPN- (Virtuell Private Network-) Tunnel aufgebaut werden, der die
auszutauschenden Daten zwischen dem WLAN-Client und der Firewall
durch Verschlüsselungstechnik – z. B. IPSec – schützt.
– Mit Hilfe eines Radius-Servers kann für eine gesichertere Authentifikation
bei der Anmeldung an die Basisstation gesorgt werden.
Jahresbericht BlnBDI 2004
3.5
45