Smartphones sind mittlerweile so eine Art zweites Zuhause geworden und sollten auch ebenso geschützt werden – mindestens mit einem Zugangscode. Es bleiben dann aber noch etliche digitale Türen, die sich nicht schließen lassen. Dazu gehören die WLAN-Verbindung und die Verbindung ins Mobilfunknetz. Beide Türen sind sinnvollerweise ständig geöffnet, wenn der Smartphone-Besitzer erreichbar sein und die Vorteile des Geräts nutzen will. So gesehen hat man da keine andere Wahl. Bei Bluetooth allerdings hat man sie. Und das ist auch wichtig: Diese Funktion sollte, wann immer sie nicht benötigt wird, ausgeschaltet sein.
Warum? Je weniger Bluetooth genutzt wird, desto geringer das Risiko für einen Angriff durch Dritte. Aktuell betreffen Schwachstellen namens BlueBorne potenziell rund fünf Milliarden Geräte weltweit, hat die Sicherheitsfirma Armis jetzt gewarnt. Hacker könnten Bluetooth-Verbindungen nutzen, um Erpressersoftware zu installieren. Die Fehler liegen zwar letztlich nicht bei Bluetooth selbst, sondern bei Schwachstellen in der Software, die den Standard nutzen. Die Folge ist jedoch die gleiche: Besteht eine Bluetooth-Verbindung, kann ein Angriff gelingen. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) rät Nutzern daher: updaten oder abschalten.
Mit dem Abschalten der Funktion schützt sich der Nutzer automatisch, wenn er Bluetooth nicht verwendet. Vor allem, wenn Bluetooth-Kopfhörer genutzt werden, sollte die Funktion jedes Mal deaktiviert werden, wenn die Kopfhörer beiseitegelegt werden. Das Risiko ist zu hoch, dass jemand in der Zeit, wenn die Kopfhörer nicht genutzt werden, die Schwachstelle ausnutzt. Sollte Bluetooth für Geräte wie eine Smartwatch den ganzen Tag über mit dem Smartphone verbunden sein, dann sollten wenigstens andere Geräte ausgeschaltet werden, die Bluetooth im Moment nicht verwenden.
Für Angreifer ist Bluetooth ein Traum
„Für Angreifer ist Bluetooth ein Traum“, sagt David Dufour, Vice President of Engineering and Cybersecurity beim Sicherheitsunternehmen Webroot. „Man sitzt mit seinem Rechner da, sucht nach Geräten, die Bluetooth angeschaltet haben und sieht, welches Betriebssystem und welche Bluetooth-Version der Nutzer verwendet.“ Das ganze Vorgehen sei für die Hacker ein Klacks, sagt Dufour.
Da sich die Gerätesicherheit grundsätzlich immer weiter verbessert, haben Sicherheitsforscher und Hacker sich in letzter Zeit zusätzlichen Funktionen und Gerätekomponenten zugewandt, um Lücken zu finden. Im Juli 2017 machten Sicherheitsexperten auf einen Fehler aufmerksam, der sich in einem WLAN-Chip in Geräten von rund einer Milliarde Nutzer befand, bevor er geschlossen wurde. Und 2015 fanden Experten eine kritische Sicherheitslücke in der Dateifreigabefunktion von Apples Airdrop per Bluetooth.
Und nun ist da BlueBorne. Apple war seit iOS 10 nicht mehr von der Schwachstelle betroffen. Microsoft hatte sie bei Windows im Juli gepatcht und Google arbeitet für Android derzeit an der Verteilung eines Updates, das die Lücke beseitigen soll, was noch dauern kann. Zusätzlich zu den Smartphones und PCs sind von BlueBorne aber auch IoT-Geräte betroffen, darunter Milliarden, die mit Bluetooth ausgestattet sind. Dazu gehören Smart-TVs, Lautsprecher und smarte LEDs. Viele dieser Geräte arbeiten mit Linux als Betriebssystem und besitzen keine Möglichkeit, ein Update aufzuspielen. Und wenn sie es doch können, erhalten sie oft keins. Linux selbst arbeitet an einem Patch, aber hat ihn bisher nicht veröffentlicht.
„Wir arbeiteten mit anderen Sicherheitsexperten zusammen und es dauerte nicht lange, bis wir mehrere Lücken gefunden hatten – insgesamt acht schwerwiegende Schwachstellen“, sagt Ben Seri, Head of Research beim Sicherheitsunternehmen Armis. „Wir gehen momentan davon aus, dass diese Lücken nicht die einzigen sind. Wir wollen künftig diese Art von Schwachstellen genauer unter die Lupe nehmen, weil sie von Sicherheitsexperten und Softwareanbietern weitgehend vernachlässigt wurden.“
Wenn Bluetooth dauernd angeschaltet ist, ist es auch ständig offen und wartet auf mögliche Verbindungen. Ein BlueBorne-Angriff beginnt auf die Art, wie es Dufour beschrieben hat, mit dem Scannen nach Geräten, auf denen Bluetooth aktiviert ist und der Abfrage nach Betriebssystem und Gerätetyp, um festzustellen, ob entsprechende Schwachstellen vorhanden sind. Sobald ein Hacker sein Ziel identifiziert hat, ist der Angriff eine Sache von Sekunden. Die betroffenen Geräte müssen nicht mal mit irgendeinem anderen Gerät verbunden sein. Sollte das doch der Fall sein, spielt das auch keine Rolle.
BlueBorne-Schwachstellen ermöglichen es Angreifern, die Kontrolle über die Geräte zu erlangen und ihnen sämtliche Zugriffsrechte zu geben, so dass Daten gestohlen werden können. Sollten sich andere Geräte mit angeschaltetem Bluetooth in der Nähe befinden, kann sich der Angreifer auch Zugang dazu verschaffen.
Wie bei allen Bluetooth-Remote-Exploits müssen sich die Angreifer nach wie vor in der Reichweite des Geräts befinden, das gehackt werden soll. Selbst mit der Veröffentlichung der Patches gegen BlueBorne gibt es vermutlich immer noch genug Geräte in dicht besiedelten Gebieten oder Geschäftshäusern, auf denen noch kein Update installiert wurde.
Sich gegen Bluetooth-Angriffe zu schützen, wird immer wichtiger. Das hat auch die Bluetooth Special Interest Group erkannt, die sich in letzter Zeit immer mehr mit der Sicherheit des Standards befasst hat, insbesondere mit Verbesserungen bei der Verschlüsselung. Dennoch ziehen Angriffe wie BlueBorne, die sich auf einzelne Bluetooth-Implementierungen auswirken, nach wie vor eine Menge Aufmerksamkeit auf sich. „Angriffe gegen nicht ausreichend gesicherte Bluetooth-Implementierungen können Angreifern unbefugten Zugriff auf vertrauliche Informationen und die unbefugte Nutzung von Bluetooth-Geräten und anderen Systemen oder Netzwerken, mit denen die Geräte verbunden sind, ermöglichen“, schreibt das National Institut of Standards and Technology in einem ausführlichen Update zu seinem „Guide to Bluetooth Security“.
Der Nutzer kann nicht immer kontrollieren, ob und wann Geräte für neu entdeckte Schwachstellen ein Update bekommen. Und er wird sich wahrscheinlich auch nicht davon abbringen lassen, Bluetooth weiterzuverwenden – trotz der Risiken. Aber er sollte Updates sofort installieren, wenn sie erscheinen und Funktionen ausstellen, wann immer sie nicht gebraucht werden. Sicherheit ist oft eine Abwägungssache zwischen Nutzen und Risiko. Im Fall von Bluetooth ist die Sache allerdings einfach: Risiko. Also besser abschalten!
