Fast fünf Milliarden US-Dollar, so die Marktforscher von Frost & Sullivan, werden in diesem Jahr weltweit für drahtlose Netzwerke ausgegeben - etwa fünfmal so viel wie 2000. Zunehmend sind es neben Privatleuten auch Unternehmen, die die Kosten- und Bequemlichkeitsvorteile von Wireless Local Area Networks (WLAN) nutzen. Laut Mummert Consulting betreibt jede dritte große deutsche Firma heute ein WLAN, ein weiteres Drittel plane die Einführung. Die Sicherheitsstandards im WLAN entsprechen jedoch oft nicht professionellen Ansprüchen; zum Beispiel sind nur 38 Prozent der Funknetze in Deutschland verschlüsselt, wie Ernst & Young herausgefunden hat. Der Rest steht Eindringlingen zumeist offen wie Scheunentore.
Die Sicherheitslücken sind teilweise technisch bedingt; ein WLAN, zumindest keines nach den heute üblichen Standards IEEE 802.11 b und g, kann nicht so sicher sein wie ein kabelgebundes Netzwerk. Aber zu den prinzipiellen Sicherheitseinschränkungen, die sich etwa dadurch ergeben, dass Funksignale eben nicht an den Unternehmensmauern enden, sondern von Externen aufgefangen werden können, kommen Management-Fehler. Werden die konsequent vermieden, lassen sich mit der heute verfügbaren Technik Funknetze von akzeptabler Sicherheit betreiben.
Die Einschränkungen
Was macht WLANs strukturell unsicherer als Kabelnetze? Die größte Lücke ist der Komfort: Hersteller liefern Komponenten zumeist als "Plug-and-Play"-Lösungen aus; nicht einmal die ohnehin unzulänglichen Sicherheitsmechanismen sind aktiviert. Die Möglichkeit, die Kommunikation zwischen Clients und Access Point durch das "Wired Equivalent Protocol" (WEP) zu verschlüsseln und so zumindest ein wenig sicherer zu machen, bleibt dann ungenutzt. "Der gesamte Datenstrom kann so mitgesnifft werden", warnt Christian Aust. Das heißt, alle Daten sind im Klartext auch für Unbefugte lesbar.
Aber selbst mit WEP-Verschlüsselung bleiben große Lücken: Erstmal sind die verwendeten Schlüssel mit 64 oder 128 Bit (abzüglich einer Initialisierung von 24 Bit Länge) zu kurz, um echte Sicherheit zu bieten. Erschwerend kommt hinzu, dass eine periodischer Wechsel der Schlüssel (Key Management) in WEP nicht vorgesehen ist. Händische Anpassungen sind extrem aufwändig, weil die neuen Schlüssel auf jedem Client und dem Access Point einzeln eingetragen werden müssen. In WEP müssen sich zudem nur die Client authentisieren (mit dem selben Schlüssel übrigens, der auch für die Datenverschlüsselung verwendet wird); nicht wechselseitig auch die Access Points. Kein Problem für gewiefte Angreifer, einen falschen Access Point in ein Netzwerkeinzuschleusen und die "gutgläubigen" Endgeräte aller Nutzer nach Strich und Faden auszuhorchen.
Damit nicht genug: Jeder Access Point identifiziert sein Netzwerk mittels einer Service Set Identity (SSID). Ist die einem Client bekannt, kann er sich am Access Point anmelden. Im "Open Network", einer möglichen Betriebsart, ist das sogar nicht einmal erforderlich; jede SSID wird dann akzeptiert. Die "Broadcast-Funktion" der Access Points erhöht das Risiko noch, denn damit wird die SSID permanent in der Gegend herumgesendet. Das Ausschalten der Broadcast-Funktion - bei neueren Zugangsgeräten leicht möglich- nützt auch kaum etwas, denn die SSID wird dann immer noch im Kontext der Verbindungsmanagement-Informationen - die im WEP nicht verschlüsselbar sind - als Klartext übertragen. Wer sich mit dem WEP-Protokoll auskennt, bekommt eine SSID also in jedem Fall mit geringem Aufwand heraus. Für Fachmann Aust ist die WEP-Verschlüsselung daher für den Business-Einsatz untauglich; "WEP ist vollständig korrumpiert und damit gescheitert", lautet sein hartes Urteil.
Kaum besser sieht es mit der Zugangsbeschränkung für Clients zum Access Point durch die Hardware-Adresse (MAC-Adresse) der Netzwerkkarten in Laptops oder anderen Endgeräten aus. Damit haben zwar nur die Clients Zugriff auf die Access Points, deren Adresse dort bekannt ist. Aber diese Art von Ausweis wird, wie die SSID, unweigerlich im Klartext übertragen und damit leicht zum Opfer von Sniffern. Für versierte Hacker ist "Adress Spoofing" dann eine Kleinigkeit, warnt Aust: "Bei vielen Netzwerkkarten können die MAC-Adressen modifiziert und auf erschnüffelte Adressen angepasst werden". Die Verwaltung von MAC-Adressen in größeren Netzen ist zudem eine echte Strafarbeit, denn sie müssen einzeln aus den Clients ausgelesen und händisch in die Software Access Points eingepflegt werden.
"Ein WLAN nach derzeitigem Standard (IEEE 802.11 b oder g, d. Red.) ist nicht sicherer als das Internet", lautet das desillusionierende Verdikt von Fachleuten wie Aust.
Die technischen Neuerungen
In den vergangenen zweieinhalb Jahren ist die Zahl der WLAN-Optionen für deutsche Business-Anwender jedoch gewachsen. Ende 2002 hat die Regulierungsbehörde für Telekommunikation und Post (RegTP) die Standards 802.11a und 802.11 h im lizenzpflichtigen 5-Gigahertz-Band freigegeben - wenn auch begrenzt: Die Sendeleistung darf 30 Milliwatt nicht überschreiten. Damit soll verhindert werden, dass solche Funknetze über Gebäue hinaus abhörbar sind, etwa durch "War-Driver", die mit dem Laptop auf dem Beifahrersitz herumfahren, auf der Suche nach offenen WLANs, in die sie eindringen könenn, zu welchen Zwecken auch immer. Gegenüber Eindringlingen in den inneren Bereich eines Gebäudes bietet der Standard jedoch keinen Schutz. Ein als Putzkraft getarnter Hacker müsste lediglich einen Access Point in der Besenkammer aufstellen, um sich im Netz wie daheim zu fühlen
Für Sicherheitsverantwortliche interessanter: Seit Juni vergangenen Jahres steht der IEEE-Standard 802.11i zur Verfügung. Er funktioniert im lizenzfreien 2,4 Gigahertz-Bereich, ist aber deutlich besser abgesichert. So findet zwingend eine gegenseitige Authentisierung von Geräten im Netz (also von Clients und Access-Points) statt, während in den herkömmlichen 2,4-Gigahertz-Standards 802.11 b und -g sich, wenn überhaupt, lediglich die Clients gegenüber dem Access Point ausweisen müssen. Zudem bietet der i-Standard ein Schlüsselmanagement nach dem Extensible Authentication Protocol (EAP) sowie paket- und sitzungsspezifische Schlüssel. Wenn außerdem dafür Sorge getragen wird, dass der Datenverkehr im Netz geloggt (protokolliert) wird, genügen i-WLANs den Auflagen des Bundesdatenschutzgesetzes für die Übertragung von Personendaten.
Anforderungen an das Management
Auf der sicheren Seite sind Verantwortlich für die IT-Sicherheit mit 802.11 i jedoch noch längst nicht; ein WLAN bleibt potenzielles Kriegsgebiet. So empfiehlt das National Institute of Standards and Technology (NIST) dringend davor, unternehmenskritische und personenbezogene Daten per Funknetz zu transportieren. Im Rahmen der Sicherheits-Policy im Unternehmen muss demnach festgelegt werden, welche Daten auf welchen Wegen übertragen werden dürfen. Natürlich ebenfalls festzulegen, ergänzt Aust: "Wer was darf, also Berechtigungsprofil für Nutzer, Geräte und Anwendungen".
Aust macht den primär am Komfort orientierten IT-Managern kaum Hoffnung. Geht es um sensible Daten und Anwendungen, müsse die Sicherheit signifikant -mitunter mit hohem Aufwand - verbessert werden, fordert der Berater. Für Bereiche wie Konferenzräume, Forschungs- und Entwicklungsabteilungen können nach seiner Ansicht sogar bauliche Maßnahmen wie etwa die elektromagnetische Abschirmung in einem faradayschen Käfig erforderlich werden. Dringend verbesserungsbedürftig sei die Authentisierung im Funknetz, etwa durch das "Extensible Authentication Protocol" (EAP) mithilfe spezieller Server, die eine Authentisierung nicht nur der Clients und Access Points, sondern auch der User im Netz ermöglichen. Zusätzliche Sicherheit könne es bringen, das Funknetz in ein virtuelles Privatnetz (VPN) einzubinden.
Allen zusätzlichen Maßnahmen zum Trotz würde Aust ein WLAN mit optimaler Sicherheit sowohl vom Internet als auch vom Intranet abschotten. Er empfiehlt, ein WLAN-Gateway in der "demilitarisierten Zone" zwischen einer internen und externen Firewall aufzubauen. Die Access Points lägen dabei in der öffentlich zugänglichen Netzsphäre; Verkehr mit mobilen Clients dagegen liefe dann zwangsläufig über das Gateway. Auch virtuelle Netze (VLANs) bieten ein Plus an Sicherheit, weil ihre Struktur für Angreifer schwerer zu durchschauen sind - aber nicht undurchschaubar. Mobile Clients sollten durch Virenschutzprogramme und Personal Firewalls sowie mittels lokalerVerschlüsselung für die Verwendung im WLAN konditioniert werden.
Ganz klar: Die Komfortvorteile von Funknetzen sind uneingeschränkt nur auf Kosten der Sicherheit zu haben. Wer WLANs im Unternehmen einsetzt, kommt um Anpassungen der Sicherheits-Policy und einigen administrativen und technischen Aufwand nicht herum.
Heinrich Seeger (cwtopics@computerwoche.de)