Studie: 5 von 6 SOHO-Routern haben Sicherheitslücken

Das American Consumer Institute (ACI) hat bei einer Studie (PDF) die Versorgung von WLAN-Routern für Verbraucher und kleine Büros mit Firmwareupdates untersucht. 83 Prozent der 186 analysierten Geräte von 14 Herstellern, darunter TP-Link, AVM, Belkin, Cerio, D-Link, Linksys, Netgear, Trendnet und Zyxel, waren demnach aufgrund ungepatchter Sicherheitslücken in der Firmware anfällig für Hackerangriffe.

Für die Studie wurden jeweils die aktuellen Firmware-Versionen der WLAN-Router untersucht und mit öffentlichen Datenbanken über Sicherheitslücken abgeglichen, die die jeweiligen Geräte betreffen. „Insgesamt fanden wird erschütternde 32.003 bekannte Anfälligkeiten in den untersuchten Geräten“, heißt es in der Studie.

Mehr als ein Viertel der mehr als 32.000 Schwachstellen waren mit den beiden höchsten Schweregraden „kritisch“ und „hoch“ bewertet. „Unsere Analyse zeigt, dass Router im Durchschnitt 12 kritische und 36 hoch riskante Anfälligkeiten enthielten, und zwar über das gesamte Testfeld hinweg.“

Als einen Hauptgrund für die große Zahl der sicherheitsrelevanten Bugs machte das ACI die Nutzung von Open-Source-Bibliotheken aus, da die Firmware oft die Schwachstellen ihrer kleineren Komponenten überimmt. Zudem fehlten automatische Update-Funktionen, weswegen die Geräte oft erst aktualisiert würden, nachdem Hersteller ihre Kunden auf neue Updates aufmerksam machten – was wiederum meist erst nach größeren Hackerangriffen auf einzelnen Geräte oder Schwachstellen geschehe. Als Beispiele nennt die Studie die Schadprogramme Mirai und VPNFilter.

Die Studie geht außerdem davon aus, dass die Einführung von Auto-Update-Funktionen das Problem der fehlenden Sicherheitsupdates kurzfristig nicht lösen wird. Es werde wahrscheinlich Jahre dauern, bis diese neuen Geräte die derzeit verwendeten WLAN-Router ersetzten. Bis dahin stellten ungepatchte Router weiterhin ein Risiko für Nutzer und die verbundenen IoT-Geräte dar.

„Firmware für bekannte Online-Bedrohungen gepatcht zu halten, mag für Hersteller eine Kostenbelastung sein, aber wenn sie dies nicht tun, müssen die Verbraucher gemeinsam die Last potenziell viel höherer Kosten durch Cyberkriminalität tragen“, mahnte das ACI.