Home Scanner: Analyse des Heimnetzwerkes leicht gemacht

Der Portscan und das Aufdecken von Standard-Passwörtern

Eine wichtige Aktivität des Bitdefenders ist der Scannen der Ports. Dabei sucht er gezielt nach offenen Ports, denn durch diese offenen Tore, auch Backdoors genannt, können Hacker und andere Cyberkriminelle in das Netzwerk gelangen.

Des Weiteren sucht das Tool nach Standard-Passwörtern und anderen Log-in-Optionen bei den Geräten, die sich im Netzwerk befinden. Wenn das Programm aufdeckt, dass zum Beispiel der Router leichtsinnig nur mit dem Werkspasswort versehen ist, wird dieser Fakt ins Ergebnisprotokoll geschrieben. Das Tool gibt also nicht direkt Alarm, sondern meldet die Bedrohung in der Zusammenfassung der Prüfungsergebnisse.

Installation und Registrierung

Wenn Sie die Installation des Bitdefender Home Scanner abgeschlossen haben, müssen Sie sich beim Anbieter des Tools registrieren. Die Registrierung ist die Voraussetzung für die Nutzung der Software. Danach werden werden Sie zwei Mal dazu aufgefordert, zu bestätigen, dass es sich wirklich um Ihr eigenes Heimnetzwerk und um Ihren Netzwerkrouter handelt. Diese doppelte Abfrage hat einen juristischen Hintergrund, denn natürlich ist es in den meisten Ländern illegal, fremde Netzwerke auf Sicherheitslücken zu überprüfen. Nur wenn jemand ausdrücklich vom Eigentümer eines Netzwerkes dazu beauftragt wurde, dieses auf Schwachstellen zu überprüfen, wird das als Ausnahme von der Eigentumsregelung akzeptiert.

Vorsicht: Der Bitdefender Home Scanner kann einen temporären Defekt in ihrem Netzwerk auslösen. Der Computer von dem aus die Software Zugriff auf das Heimnetzwerk bekommt, kann vorübergehend durch das NAS oder den Router aus dem Netzwerk entfernt, beziehungsweise gesperrt werden. Als Konsequenz dieser Aktion hat dieser PC dann weder Zugriff auf das Internet, noch auf das Heimnetz. Die Blockade wird in dem Moment wirksam, wenn Ihr Router das Scannen der Software als Angriffsversuch wertet und deshalb die IP-Adresse des "Angreifers" blockt. High-End-Router und hochwertige NAS-Geräte erkennen es, wenn sich ein Absender wiederholt mit falschen Passwörtern anzumelden versucht. Und genau nach diesem Muster arbeitet der Bitdefender Home Scanner, wenn er versucht, sich mit den klassischen Standard-Passwörtern anzumelden. Sollte Ihr Router eine IP-Sperre über den Computer verhängen, mit dem Sie scannen, können Sie diese Sperre nur aufheben, indem Sie sich über ein mobiles Gerät im Netzwerk anmelden und dann dort die Blockade aufheben. Allerdings verfügt die Mehrzahl der für das private Heim üblichen Router nicht über diese Fähigkeit der automatischen Angriffserkennung. Sollte diese Sperre also bei Ihnen ausgelöst werden, dann können Sie sich über die technische Qualität Ihres Routers freuen.

Nach dem Abschluss des Netzwerksscans listet der Defender alle von ihm gefundenen Geräte mit den zugehörigen IP-Adressen auf. Die technischen Details und einen ausführlichen Bericht zu einem bestimmten Gerät können Sie nach einem Klick auf den jeweiligen Eintrag lesen. Neben den grundlegenden Informationen listet die Scan-Software potentielle Schwachstellen der Endgeräte auf. Der Bitdefender Home Scanner zeigt auch an, wenn die Firmware von Endgeräten bereit veraltet und damit anfällig für Angriffe ist.

Wenn alles im grünen Bereich ist, listet die Scan-Software einfach die Namen der Geräte und deren IP- und eventuelle Mac-Adresse auf, plus der Meldung: "No risk found". Doch oft findet der Bitdefender Home Scanner Sicherheitslücken, die unbedingt geschlossen werden müssen.

Sicherheitslücke Nummer 1: Die risikoreiche Zusammenstellung von Benutzername und Passwort

Der Bitdefender Home Scanner protokolliert eine unsichere Kombination aus Usernamen und Codewort. Diese Schwachstelle lässt sich jedoch nur schließen, wenn das jeweilige Gerät, beziehungsweise die dazugehörende Firmware einen Wechsel des Passworts zulässt. Um das herauszufinden, müssen Sie auf der Webseite des Herstellers oder im Handbuch nachlesen, welche Benutzerkonten im System vorgesehen sind und ob eine Änderung der Login-Dateien möglich ist.

Sollte das Geräte-Konto mit einem festen Passwort ausgestattet sein, können Sie ausprobieren, ob sich der Dienst abstellen lässt. Wie und ob das funktioniert, wird Ihnen ebenfalls im Handbuch angezeigt. Falls sich der Dienst nicht ausschalten lässt, können Sie diese Sicherheitslücke nicht direkt beheben. Lesen Sie in dem Fall in diesem Artikel unter der Überschrift: "Kein Update verfügbar: Sicherheitslücke detaillierter definieren" weiter.

Aber eventuell hatten Sie ja auch selbst ein unsicheres Passwort vergeben, dann ist eine Änderung der Zugriffsdaten eine Sache von Sekunden.

Sicherheitslücke Nummer 2: Antiquierte Netzprotokolle

Die Integration von smarten Geräten in das heimische Netzwerk kann zu einem Sicherheitsproblem werden. Denn die Hersteller dieser Geräte versäumen es gerne, Updates für die Software bereitzustellen. Damit die digitalen Recorder, smarten Hi-Fi-Anlagen und andere Geräte mit Netzanschluss innerhalb des Netzwerkes kommunizieren können, gibt es diverse Arten von Netzwerkprotokollen plus den dazugehörenden Diensten. Das SSH-Protokoll ist eines dieser Netzwerkprotokolle mit denen eine solche codierte Verbindung hergestellt werden kann. SSH (Secure Shell) ist prinzipiell verschlüsselt, doch sogar in verschlüsselten Netzprotokollen werden immer wieder Sicherheitslücken gefunden, welche via Update geschlossen werden sollten.

Meldet der Bitdefender Home Scanner eine Schwachstelle dieser Art bei Ihnen und Sie bekommen nur selten oder keine Updates vom Hersteller, denn empfehlen wir wie folgt vorzugehen:

So schließen Sie eine Sicherheitslücke, die sich auf SSH oder ein ähnliches Netzwerkprotokoll bezieht:

In der Regel werden Lücken dieser Art über ein Update der Geräte-Firmware geschlossen. Im Handbuch des jeweiligen Geräts finden Sie alle dazu nötigen Informationen. Im einfachsten Fall können Sie das Update über das Geräte-Menü herunterladen und installieren. Dieses Vorgehen ist bei allen hochwertigen smarten Komponenten möglich. Etwas umständlicher aber immer noch leicht machbar ist das Herunterladen des Updates auf einen USB-Stick, der danach mit dem Gerät verbunden wird. Sobald das Gerät eingeschaltet wird, wird das auf dem Stick gespeicherte Update heruntergeladen. Bitte halten Sie sich dabei detailliert an die Anleitung aus dem Handbuch oder der Webseite des Gerätes. Denn ein unsachgemäß durchgeführtes Update kann ein Gerät im schlimmsten Falle unbrauchbar machen.

Nach dem erfolgreichen Update der Firmware aktivieren Sie erneut den Bitdefender Home Scanner, um zu kontrollieren, ob die Aktion von Erfolg gekrönt war.

Kein Update verfügbar: Sicherheitslücke detaillierter definieren

Wenn es für Ihr Gerät kein Firmware-Update gibt, dann müssen Sie erforschen, ob die Sicherheitslücke in Ihrem Netzwerk in der Realität für einen Angriff offen ist. Dazu muss die Frage beantwortet werden: Kann jemand das Gerät aus dem Netz kontaktieren? Die Antwort auf diese Frage erhalten Sie leider nicht vom Bitdefender Home Scanner. Denn dazu muss man tiefer in die digitale Materie eintauchen als es dieses Tool vermag. Nur kontinuierliche Freigaben sind relativ einfach zu erkennen. Man spürt sie einfach über die geöffneten Ports am Router auf. Mit einem Portscanner, der die IP-Adresse Ihres Netzwerkes und der dort angeschlossenen Geräte untersucht, können Sie offene Ports identifizieren. Ein empfehlenswerter Portscanner ist unter www.dnstools.ch erreichbar. Nachdem Sie die Homepage geöffnet haben, gehen Sie zum Menüpunkt: portscanner.html. Durch diesen Klick wurde die Adresse Ihres Routers schon gelesen und unter dem Punkt: "Host" hinterlegt. Nun müssen Sie das Kästchen vor dem Eintrag: "Ich bin kein Roboter" aktivieren und dann auf "Scannen" klicken. Und schon kontrolliert das Programm sämtliche Standard-Ports und protokolliert ihren Zustand.

Mit der kostenlosen Online-Software von dnstools können Sie nur eine begrenzte Suche starten. Es werden nur die Standard-Ports gescannt. Ein weitaus gründlicherer Scan ist mit dem auf Portscans spezialisierten " Advanced Port Scanner" oder ähnlicher Software möglich.

Nach dem Start des "Advanced Port Scanner" müssen Sie dort zunächst die IP-Adresse des Routers eingeben. (Bitte verwechseln Sie nicht die lokale mit der öffentlichen Adresse. In diesem Fall ist die öffentliche Adresse gemeint.) Falls Sie Ihre IP-Adresse nicht kennen, können Sie die Nummernfolge zum Beispiel unter der Webseite www.wasistmeineip.de erfragen.

Nach der Eingabe Ihrer IP-Adresse in die dafür vorgesehene Textbox im Advanced Port Scanner, ändern Sie neben dem Eingabefeld den Eintrag auf: "Alle TCP-Ports 1-65535" und aktivieren dann den Button zum Scannen. Nun müssen Sie sich ein bisschen gedulden, denn das Tool benötigt ein wenig Zeit, bis sämtliche Ports gescannt sind. Sobald der Scanbutton sich wieder grün einfärbt, ist die Überprüfung abgeschlossen und die eventuell aufgespürten offenen Ports sind auf der rechten Seite der Softwaremaske aufgelistet.

Offen Ports versperren

Hat der Advanced Port Scanner einen offenen Port in Ihrem Netzwerk gefunden? Dann müssen Sie zunächst herausfinden, ob dieser Port zu dem Gerät führt, welches beim allgemeinen Scan schon als unsicher deklariert wurde. Oder führt der Port zu einem ganz anderen Gerät, zum Beispiel zu Ihrem Router? Um darüber Klarheit zu bekommen, müssen Sie die Weboberfläche Ihres Netzwerkrouters öffnen. Falls Sie die beliebte Fritzbox als Router verwenden, geben Sie den Term: "fritz.box" in die Adressleiste Ihres Browsers ein, mit dieser Eingabe öffnen Sie die Weboberfläche der Box. Falls die erweiterte Ansicht noch nicht aktiviert ist, klicken Sie nun diese Option an. Bis zum Modell Fritz-OS 6 müssen Sie unten auf der Hauptseite auf "Ansicht: Standard" klicken, um die erweiterte Ansicht zu aktivieren. Ab dem Nachfolgemodell Fritz-OS 7 finden Sie das Symbol zum Wechsel von der Standardansicht zur Erweiterten rechts oben auf der Übersichtsseite.

In der aktivierten erweiterten Ansicht können Sie sich nun die Freigaben anzeigen lassen. Diese Einträge sind unter: "Übersicht->Internet->Freigaben ->Portfreigaben". Dort steht kein Eintrag? Dann ist die Wahrscheinlichkeit hoch, dass der offene Port zu Ihrem Router gehört. Eventuell haben Sie ja den Fernzugriff aktiviert, in diesem Fall wäre der Port mit der Nummer 443 und dem Netzprotokoll SSL offen. Wenn Sie aber an dieser Stelle einen Vermerk über das als unsicher eingestufte Gerät finden, dann müssen Sie diese Freigabe direkt sperren. Und wenn der Vermerk nicht von Ihnen eingegeben wurde, müssen Sie zusätzlich UPnP ausschalten.

So deaktivieren Sie UPnP (Universal Plug and Play)

Indem Sie UPnP ausschalten, unterbinden Sie temporäre Freigaben. Die permanenten Freigaben sind durch den Portscan relativ einfach zu finden. Doch temporäre Freigaben können Geräte in Ihrem Heimnetzwerk selbst holen. Diese Art der nicht gewollten Selbstständigkeit läuft über UPnP. Da diese Freigaben nur vorübergehend erteilt werden, ist es relativ unwahrscheinlich sie bei einem einzigen Scan zu "erwischen".

Wenn Sie ein unsicheres Gerät in Ihrem Heimnetzwerk identifiziert haben, sollten Sie auf jeden Fall das "Universal Plug and Play" an Ihrem Router ausschalten. Durch das Deaktivieren stellen Sie sicher, dass das unsichere Gerät zumindest nicht vom Netz aus erreichbar ist. Damit ist Ihr WLAN hinreichend abgesichert.

Deaktivieren Sie den Punkt "Änderungen der Sicherheitseinstellungen über UPnP gestatten" in der Weboberfläche der Fritzbox. Mit diesem kleinen Klick verhindern Sie, dass sich Geräte über den Router eine Portfreigabe einrichten. Keine Regel ohne Abweichung, im Absatz über die Sicherheitslücke Nummer Drei finden Sie die Ausnahme für diese Regel und ihre Lösung.

Detaillierte Informationen über das unsichere Gerät anfragen

Das unsichere Gerät ist nun nur noch auf dem internen Weg erreichbar, aber um ganz auf Nummer sicher zu gehen, sollten Sie mit der Hilfe des Advanced Port Scanners weitere Informationen über das Problem einholen. Dafür starten Sie einfach die Software des Scanners und tragen die IP-Adresse des unsicheren Gerätes in die Zeile unter dem Button mit dem Titel "Scannen" ein. Dann drücken Sie den Button und lassen sich die detaillierten Ergebnisse anzeigen. Die Ergebnisliste enthält die Nummer des Ports, auf dem das getestete Gerät aktiv ist, sowie die Version des unsicheren Geräts samt der Art des Netzwerkprotokolls. Diese Daten können Sie nun für eine Suche via Google verwenden. Die Suchmaschine listet Ihnen die Webseiten auf, bei denen Sie Hilfe für Ihr bestimmtes Sicherheitsproblem finden.

Falls Sie nicht so tief in die Materie einsteigen möchten, können Sie sich auf die Zahlen des CVSS-Score stützen. Dieses System stuft Sicherheitslücken in Werte von 0,0 bis 10,0 ein. Sicherheitslücken mit einem Wert von 7 bis 10 sollten definitiv und möglichst rasch beseitigt werden. Ein CVSS-Score von 4 bis 6 lässt sich in der Regel nicht über das WWW ausnutzen, kann also vernachlässigt werden. Und ein Score von unter 4 wird erst dann zu einem Problem, wenn dazu weitere Lücken entstehen und sich aus dieser Sicherheitslückenkombination eine hochkritische Lücke ergibt.

Welchen Risikofaktor eine Sicherheitslücke besitzt, ist in weiten Teilen davon abhängig, ob sie sich über das Internet missbrauchen lässt, oder ob ihr nur eine lokale Bedeutung zukommt. Im zweiten Fall können Angreifer diese Schwachstelle nur ausnutzen, wenn sie sich bereits innerhalb Ihres Netzwerkes aufhalten. Wenn der Router gesichert ist und das Passwort für das WLAN geeignet ist, haben Angreifer normalerweise keine Chance. Nur wenn das Folgende passiert, können Hacker Ihr Netzwerk entern: Der Angreifer positioniert sich in der Nähe Ihres Hauses und installiert dort sein eigenes WLAN, welches stärkere Signale senden und empfangen kann, als Ihr Netzwerk und zudem den gleichen Namen wie Ihr WLAN hat. Es ist dann nur eine Frage der Zeit, wann sich das unsichere smarte Gerät mit dem feindlichen WLAN verbindet. Wenn das geschieht, kann der Hacker durch die Sicherheitslücke heimlich in Ihr Netzwerk einsteigen. Allerdings ist dieses Szenario recht weit hergeholt und Cyberkriminelle gehen wohl nicht den umständlichen Weg und campieren vor Ihrer Haustür.

Der Behelf bei unsicheren Geräten: Das private Heimnetzwerk für Onlinegeräte

Als unsicher deklarierte Geräte im Netzwerk können weiterhin bedenkenlos benutzt werden, wenn man sie zum Beispiel in ein virtuelles eigenes Netzwerk integriert. Die einfachste Möglichkeit für diesen Schritt bietet die Einbettung des Geräts in das WLAN für Besucher.

Sicherheitslücke 3: Die Cloud als Einfallstor für Cyberkriminelle

Webcams und ähnliche Geräte sind heutzutage via Netz erreichbar, da es für sie eine Kontaktstelle in der Cloud gibt. Um diese Vermittlungsstelle nutzen zu können, meldet sich der User via App oder Browser auf der Webseite des jeweiligen Herstellers an und richtet sich dort ein Nutzerkonto ein. Der Zugriff via Cloud wurde von Entwicklern eingerichtet, um potentielle Angriffspunkte in der Hardware zu minimieren und die Konfiguration für den User zu erleichtern. Das WLAN ist auf diese Weise recht gut geschützt, da es keinen Zugriff über offene Ports gibt, sondern die Vermittlung über das Internet geschieht.