Schwachstellen im Test - Wie uns Tastatur und Headset ausspionieren können

Das Nationale Testinstitut für Cybersicherheit NTC hat in 30 Computer-Peripheriegeräten 60 Schwachstellen entdeckt. Was das für uns heisst.

Wieso ist Computerzubehör nicht sicher? Während unsere Computer dank Virenschutz und regelmässigen Updates relativ gut gegen Cyberangriffe geschützt sind, gehen Geräte wie Tastaturen oder Headsets häufig vergessen. Dabei werden heikle Informationen genau über diese Geräte übertragen.

So könnte ein Angriff aussehen

Szenario 1: Lauschangriff

Viele Headsets lassen es zu, dass sich mehrere Geräte mit ihnen verbinden. So könnte jemand ein fremdes Headset als Wanze nutzen und mithören, was im Büro rund um dieses Headset gesprochen wird.

In einer Bank zum Beispiel werden regelmässig Insider-Informationen besprochen, zum Beispiel über einen bevorstehenden Merger, mit der sich am Finanzmarkt Geld machen liesse.

Szenario 2: Schatten-Tastatur

Eine kabellose Tastatur verbindet sich mit dem Computer mittels einem «Dongle», einem kleinen USB-Stick. Ein Angreifer könnte aus einer Entfernung von bis zu 100 Metern seine eigene Tastatur mit dem Computer verbinden und schädliche Befehle ausführen.

So könnte jemand zum Beispiel eine kritische Infrastrukur wie unsere Wasser- oder Stromversorgung mit Schadsoftware infizieren.

Szenario 3: Geheimer Konferenzteilnehmer

Über Konferenzsysteme werden Slides und Teambesprechungen aufgenommen und an den Computer geschickt. Ist diese Kommunikation nicht richtig verschlüsselt, kann jemand in der Nähe mithören und -schauen.

So könnten zum Beispiel Betriebsgeheimnisse in die Hände von Industriespionen fallen.

Szenario 4: Die Tastatur als Spion

Bei einigen Geräten lässt sich eigene Software einspielen. Dazu braucht ein Angreifer für kurze Zeit Zugang zum Gerät – er oder sie könnte sich zum Beispiel als Reinigungskraft oder Besucher ausgeben.

Ist die schädliche Software installiert, kann die Tastatur zum Beispiel alle Tastaturanschläge an die Angreifer senden – vom Passwort bis zum vertraulichen E-Mail können diese nun ganz einfach mitlesen.

Was hat das NTC konkret gefunden? Das Nationale Testinstitut für Cybersicherheit NTC hat periphere Geräte (Mäuse, Tastaturen, Headsets, Webcams, Docking-Stationen und Konferenzsysteme) untersucht und in den 30 getesteten Geräten 60 Schwachstellen gefunden, die Angreifern Zugang zu den Geräten verschaffen könnten. Ein Teil dieser Schwachstelle stuft das NTC als «schwerwiegend» oder sogar «kritisch» ein. Die meisten gefundenen Schwachstellen wurden inzwischen zwar von den Herstellern behoben, allerdings zeigt der Test, wie verwundbar diese Geräte sind und dass IT-Sicherheitsabteilungen ihnen häufig zu wenig Beachtung schenken.

Die Experten des NTC haben über ein Jahr lang Peripheriegeräte untersucht. Dazu haben sie sie auseinandergenommen und auf auffällige Chips und offene Schnittstellen untersucht, sie haben ihre Software analysiert, sie haben abgehört, was die Geräte funken und wie gut verschlüsselt sie es tun und sie haben sich die Konfiguration angeschaut.

Nationalen Testinstituts für Cybersicherheit NTC

Was soll ich tun? Das Risiko für Privatpersonen, via die eigene Computermaus ausspioniert zu werden, ist eher gering. Denn die Angriffe setzen häufig eine physische Nähe voraus oder sind recht aufwändig – eine Phishing-E-Mail ist für den durchschnittlichen Cyberkriminellen wohl die effizientere Variante. Die Ausnahme sind Personen, die ein erhöhtes Risiko haben, gezielt ausspioniert zu werden – Menschenrechtsaktivistinnen etwa oder Investigativjournalisten, die von einem autoritären Regime verfolgt werden. Diese Personen können sich schützen, indem sie auf kabellose Geräte verzichten und auf neue, qualitativ hochwertige Geräte von bekannten Herstellern setzen. Ausserdem gilt auch hier, wie bei allen vernetzten Geräten: Unbedingt das Standardpasswort ändern und regelmässig Updates installieren.

Tipps für exponierte Personen

Besonders von Cyberangriffen gefährdete Personen können laut dem NTC auf folgende Faktoren achten, um ihr Risiko zu minimieren:

• Statt kabellosen Geräten solche mit Kabel verwenden
• Neue Geräte von bekannten Herstellern statt Billigmodelle nutzen
• Standardpasswörter anpassen
• Updates regelmässig installieren – diese findet man auf der Webseite des Herstellers
• Nicht benötigte Funktionen ausschalten, zum Beispiel die Möglichkeit, mehrere Geräte zu verbinden
• Geräte an öffentlichen Orten (im Café, im Zug) nicht unbeaufsichtigt lassen

Was müssen Unternehmen tun? Das NTC rät Firmen, peripheren Geräten mehr Aufmerksamkeit zu schenken. IT-Abteilungen sollten für sie einen ähnlichen Prozess haben wie für Laptops oder Software: Sie sollten die Lieferkette überprüfen, regelmässige Updates liefern, alte Geräte aus dem Umlauf nehmen und die Mitarbeitenden für die Risiken sensibilisieren.