Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Entwurf eines Konzeptes vorgestellt, mit dem Router auf Sicherheitslücken getestet werden sollen.
Ziel ist es, die Sicherheit von Breitband-Routern, wie xDSL-, Kabel-Routern und ähnlichen, messbar zu machen und ein einheitliches Sicherheitsniveau der Geräte zu erreichen. Insbesondere vor dem Hintergrund der Gesetzesinitiative zur Abschaffung des so genannten Routerzwangs, die im Falle der Umsetzung Internetnutzern mehr Möglichkeiten bei der Auswahl ihres Routers bietet, ist die Sicherheit eines solchen Gerätes ein wichtiges Entscheidungskriterium beim Kauf.
Router-Sicherheit ist ein leidiges Thema, wie auch ein Blick in die entsprechende Rubrik bei heise online deutlich macht. Endkunden-Geräte haben zwangsläufig Lücken und das Stopfen der solchen scheint bei den meisten Herstellern nicht besonders hoch auf der Prioritätenliste zu stehen. Auch das BSI begründet seinen Konzeptentwurf damit, dass die Sicherheit – oder mangelnde Sicherheit – eines solchen Gerätes ein wichtiges Kaufkriterium sei. Besonders die geplante Abschaffung des Routerzwangs mache dies zu einem akuten Thema.
Neben der Aktualität der Geräte-Firmware, den Funktionen zur WLAN-Verschlüsselung und der WPS-Umsetzung wird nach den Vorschlägen des BSI auch die Router-Firewall geprüft. Dazu werden die Funktionsweisen allein an Hand des Webinterfaces und anderer dokumentierter Zugriffsmöglichkeiten auf das System getestet – eine Prüfung des Quellcodes der Software ist nicht geplant. Für die einzelnen Tests werden dann Punkte verteilt, die am Ende einen Gesamtwert ergeben, welcher die Sicherheit des getesteten Routers widerspiegeln soll.
Während der Großteil des BSI-Konzeptes öffentlich ist, stellt die Behörde Kapitel 4 und 5 nur auf Anfrage bereit. Etwaige Interessenten müssen eine Einverständniserklärung unterschreiben und zusichern, dass sie die dort enthaltenen Informationen nicht für Angriffe verwenden. In Kapitel 4 des Entwurfes geht es um technische Aspekte der "sicherheitsrelevanten Funktionen" von Routern, etwa der Umgang des Gerätes mit aktuellen RFCs die DNS betreffen. Kapitel 5 beschreibt konkrete Angriffe, die in der Vergangenheit bekannt wurden.