Abo
  • Services:

IoT-Sicherheitslücken: Kalifornien verbietet Standard-Passwörter

Ein kürzlich verabschiedetes Gesetz in Kalifornien soll für mehr Sicherheit bei vernetzten Geräten sorgen. Der wichtigste Punkt: Geräte müssen entweder einmalige Passwörter haben oder die Nutzer bei Inbetriebnahme zum Passwortwechsel zwingen.

Artikel veröffentlicht am , Hanno Böck
Login mit admin/admin? Solche Standardzugangsdaten will Kalifornien mit einem Gesetz verbieten.
Login mit admin/admin? Solche Standardzugangsdaten will Kalifornien mit einem Gesetz verbieten. (Bild: Albaniaman/Wikimedia Commons/CC-BY-SA 3.0)

Im US-Bundesstaat Kalifornien wurde ein Gesetz verabschiedet, das die Sicherheit von vernetzten Geräten reguliert. Insbesondere ist dabei vorgesehen, dass ab 2020 Geräte nicht mehr mit Standardpasswörtern ausgeliefert werden dürfen. Eine Motivation für dieses Gesetz dürfte das Mirai-Botnetz sein, bei dem vernetzte Geräte mit Standardpasswörtern massenhaft gehackt wurden.

Stellenmarkt
  1. IT des Bezirks Oberbayern GmbH, München
  2. PHOENIX CONTACT Electronics GmbH, Berlin

Das Gesetz mit dem Titel "SB-327 Information privacy: connected devices" wurde Ende September vom kalifornischen Senat verabschiedet. Es sieht demnach vor, dass vernetzte Geräte mit Sicherheitsfunktionen ausgestattet sind, die für die jeweilige Funktion und die vom Gerät verarbeiteten Daten angemessen sind.

Einmaliges Passwort oder Änderung bei Inbetriebnahme

Neben dieser vagen Anforderung, die sicherlich einigen Interpretationsspielraum lässt, gibt es eine sehr konkrete Anforderung an Passwörter: Hersteller haben demnach entweder die Möglichkeit, jedes Gerät mit einem einmaligen Passwort auszustatten, oder die Geräte müssen so gestaltet sein, dass das initiale Passwort geändert werden muss, bevor das Gerät in Betrieb genommen wird.

Geräte mit Standardpasswörtern haben in der Vergangenheit zu massiven Sicherheitsproblemen geführt. Im Jahr 2016 sorgte etwa das sogenannte Mirai-Botnetz für Ärger und zeigte, welche Gefahren das Internet der Dinge mit sich bringt.

Massenhaft wurden dabei vernetzte Geräte wie Router oder IP-Kameras mit der Mirai-Malware infiziert und anschließend für Denial-of-Service-Angriffe missbraucht. Zu den Opfern von Mirai gehörten die Webseite des Journalisten Brian Krebs, der französische Hosting-Provider OVH und der DNS-Service Dyn.

Der Grund, warum sich Mirai so rasant ausbreiten konnte: Auf vielen Geräten konnte man sich mit trivialen Standardnutzernamen und Passwörtern wie admin/admin einloggen. Selbst wenn eine Änderung der Standardpasswörter möglich ist, hilft das nicht viel, da viele Nutzer das Passwort nicht ändern. Im Netz kursieren zahlreiche Listen mit Standard-Logindaten für viele Geräte. Solche Geräte dürfen nach dem neuen Gesetz in Kalifornien bald nicht mehr verkauft werden.



Anzeige
Top-Angebote
  1. (heute u. a. JBL E50BT Over-ear Kopfhörer 49,00€ statt 149,00€)
  2. 159€
  3. (u. a. Samsung U28E590D für 240,19€ mit Gutschein: NBBSAMSUNGMONITOR und Acer KG271 für 205...

plutoniumsulfat 09. Okt 2018 / Themenstart

Eben nicht, bei einmalig kann man alle Geräte mit demselben PW ausstatten.

_spyro_88_ 09. Okt 2018 / Themenstart

... ist wohl die beste Idee: UI: "Sie müssen jetzt Ihr Kennwort ändern": User...

Tantalus 09. Okt 2018 / Themenstart

Was haben Sicherheitsvorschriften für Geräte mit Sozialismus zu tun? Gruß Tantalus

frostbitten king 09. Okt 2018 / Themenstart

Ja wenn die hersteller zu blöd sind und für den random generator als Seed nur die Mac...

Avarion 08. Okt 2018 / Themenstart

Dann gibts eine Geldstrafe für die Hersteller. Weil diese Art der Sicherung nicht dem...

Kommentieren


Folgen Sie uns
       


FritzOS 7 - Test

FritzOS 7 steckt voller sinnvoller Neuerungen: Im Test gefallen uns der einfach einzurichtende WLAN-Gastzugang und die praktische Mesh-Übersicht. Nachholbedarf gibt es aber noch bei der NAS-Funktion.

FritzOS 7 - Test Video aufrufen
Passwörter: Eine vernünftige Maßnahme gegen den IoT-Irrsinn
Passwörter
Eine vernünftige Maßnahme gegen den IoT-Irrsinn

Kalifornien verabschiedet ein Gesetz, das Standardpasswörter verbietet. Das ist ein Schritt in die richtige Richtung, denn es setzt beim größten Problem von IoT-Geräten an und ist leicht umsetzbar.
Ein IMHO von Hanno Böck

  1. Retrogaming Maximal unnötige Minis
  2. Streaming Heilloses Durcheinander bei Netflix und Amazon Prime
  3. Sicherheit Ein Lob für Twitter und Github

MacOS Mojave im Test: Mehr als nur dunkel
MacOS Mojave im Test
Mehr als nur dunkel

Wer MacOS Mojave als bloßes Designupdate sieht, liegt falsch. Neben Neuerungen wie dem Dark Mode bringt Apples neues Betriebssystem vieles, was die Produktivität der Nutzer steigern kann - sofern sie sich darauf einlassen.
Ein Test von Andreas Donath

  1. MacOS Mojave Lieber warten mit dem Apple-Update
  2. Apple Öffentliche Beta von MacOS Mojave 10.14 verfügbar
  3. MacOS 10.14 Mojave Apple verabschiedet OpenGL und verbessert Machine Learning

Desktops: Unnötige Sicherheitsrisiken mit Linux
Desktops
Unnötige Sicherheitsrisiken mit Linux

Um Vorschaubilder von obskuren Datenformaten anzeigen zu lassen, gehen Entwickler von Linux-Desktops enorme Sicherheitsrisiken ein. Das ist ärgerlich und wäre nicht nötig.
Ein IMHO von Hanno Böck

  1. Red Hat Stratis 1.0 bringt XFS etwas näher an Btrfs und ZFS
  2. Nettools Systemd-Entwickler zeigen Werkzeuge zur Netzkonfiguration
  3. Panfrost Freier Linux-GPU-Treiber läuft auf modernen Mali-GPUs

    •  /