Beteiligte zum Stillschweigen verpflichtet

Die Beteiligten geben sich sehr zugeknöpft, was Details aus den Beratungen betrifft. Inzwischen liegt ein neuer Entwurf für die Router-TR vor, der bis Ende Januar kommentiert werden soll. In dem Entwurf soll eine Gefährdungsanalyse (Threat Model) enthalten sein, um den Geltungsbereich der TR besser abgrenzen zu können. Möglicherweise fordert die TR, dass Nutzer die Fernkonfiguration durch den Provider unterbinden können müssen und dass es keine WPS-Pin mehr geben darf. Ende Februar gibt es ein weiteres Treffen der Arbeitsgruppe.

Der Kabelnetzbetreiberverband Anga teilte auf Anfrage mit: "Diese Arbeiten sind auf Wunsch der Beteiligten derzeit nicht öffentlich. Hier werden sensible Fragen der IT-Sicherheit besprochen, deren Einzelheiten nicht den Weg in die Öffentlichkeit finden sollen. Das Arbeitspapier beruht auf einem Router-Testkonzept, das selbst den Beteiligten der Diskussion nur nach entsprechender Verpflichtung auf die Vertraulichkeit zugänglich gemacht wird."

Müssen Router fremde Software erlauben?

Kaum anders lautet die Stellungnahme des BSI: "Die Router-TR befindet sich derzeit in einer Arbeitsversion in der Diskussion innerhalb der Arbeitsgruppe und liegt somit noch nicht in einer Fassung vor, die an Interessenten außerhalb der AG weitergegeben werden könnte." Trotz der kontroversen Diskussion plant das BSI nach eigenen Angaben, die Richtlinie "im zweiten Quartal 2018" zu veröffentlichen.

Hauptstreitpunkte sind derzeit: Müssen die Router so konzipiert sein, dass Nutzer ihre eigene Firmware wie OpenWRT/LEDE aufspielen können? Und für welchen "Mindesthaltbarkeitszeitraum" müssen Hersteller ihre Produkte anbieten und Sicherheitsupdates garantieren? Es ist kein Wunder, dass Hersteller und Provider in diesen beiden Punkten die Vorgaben möglichst niedrig halten wollen. Laut Rieger sagten einige Hersteller zum Thema "Mindesthaltbarkeitsdatum": "Wenn wir das draufschreiben, dann ist der Verkauf dieser Router ja nicht mehr wirtschaftlich."

AVM verwendet alte Samba-Versionen

Es zeichnet sich ab, dass die Fähigkeit zum Einspielen von kundeneigener Firmware eine "Kann-Regelung" wird. Das Einspielen solcher Firmware soll hardwareseitig durch einen speziellen Knopf sowie durch eine Nutzerauthentifizierung geschützt werden. Eine Kann-Regelung würde vermutlich bedeuten, dass nur wenige Anbieter eine solche Möglichkeit vorsähen. Vor allem nicht die Kabelnetzbetreiber. Ihnen wäre wohl am liebsten, wenn eine solche Möglichkeit dazu führte, dass die Router für unsicher erklärt würden und kein Gütesiegel mehr erhalten könnten. Problematisch für die Nutzer: Wenn das "Mindesthaltbarkeitsdatum" abgelaufen ist, können die Geräte nicht mehr sicher betrieben werden.

Doch das ist nicht der einzige Grund, warum Nutzer eigene Firmware bevorzugen könnten. So bestätigte Fritzbox-Hersteller AVM auf Anfrage von Golem.de, eine veraltete Version der Open-Source-Software Samba einzusetzen und diese selbst zu warten, anstatt die neueren Versionen unter der GPLv3-Lizenz zu nutzen. Kunden, denen dies zu unsicher ist, können daher nicht auf gewartete Software-Versionen ausweichen und müssen darauf vertrauen, dass der Hersteller die ungewartete Software selbst ausreichend patcht.