Streit um Routersicherheit: Asus muss sich zu 20 Jahren Code-Audits verpflichten

Der Hardwarehersteller Asus muss jetzt 20 Jahre lang unabhängige Code-Audits seiner Firmware über sich ergehen lassen, weil er in den Jahren 2013 und 2014 bei der Sicherheit geschlampt hat. Außerdem darf das Unternehmen keine falschen Angaben zur Sicherheit mehr machen.

Artikel veröffentlicht am ,
Ein Asus-Router mit vielen Antennen. Doch wie sieht es mit der Sicherheit aus?
Ein Asus-Router mit vielen Antennen. Doch wie sieht es mit der Sicherheit aus? (Bild: Screenshot Golem.de)

Der Status der Routersicherheit ist insgesamt beschämend: fehlende Firmware-Updates, unsichere Standardkonfigurationen und schlechte Standardpasswörter. Wegen massiver Sicherheitslücken in der Firmware musste sich Asus seit 2014 mit einem Verfahren [PDF] bei der US Federal Trade Commission auseinandersetzen. Jetzt musste sich das Unternehmen in einem Vergleich zu mehr Sicherheit verpflichten [Der Vergleich im PDF].

Stellenmarkt
  1. Systemadministrator (w/m/d)
    Zimmer + Kreim GmbH & Co. KG, Brensbach
  2. Datenbankentwickler:in (m/w/d)
    Kassenärztliche Vereinigung Schleswig-Holstein, Bad Segeberg
Detailsuche

Die Sicherheitslücken traten seit dem Jahr 2013 in verschiedenen Komponenten der Router auf: in der webbasierten Verwaltungsoberfläche, außerdem bei den Diensten Aicloud und Aidisk. Diese sendeten persönliche Daten und Anmeldedaten von angeschlossenen USB-Sticks in der Standardeinstellung über unverschlüsselte FTP-Verbindungen quer durch das Internet. In der Folge übernahmen Hacker mindestens 12.900 Geräte. Als Asus im Juni 2014 von den Problemen erfuhr, stellte das Unternehmen zwar einen Monat später einen Patch bereit - teilte den Kunden aber für mehr als acht Monate nicht mit, dass sie ihre Geräte patchen sollten.

Update-Funktion der Geräte war kaputt

Die Firmware der betroffenen Router hatte zwar ein Interface, um nach Updates zu suchen. Doch weil Asus den Update-Server falsch konfiguriert hatte, führte die Suche meist ins Leere - Nutzer wähnten sich also in Sicherheit, auch wenn sie monatealte Firmware mit Sicherheitslücken benutzten. Die Richterin monierte in dem Verfahren auch, dass Asus die Router als "sicher" beworben, aber viele grundlegende Sicherheitsstandards in der Produktion nicht beachtet habe.

Um eine größere Strafe abzuwenden, hat Asus einem Vergleich zugestimmt. Alle zwei Jahre in den kommenden 20 Jahren soll die Firmware der Router einem unabhängigen Code-Audit unterzogen werden, um mögliche Sicherheitslücken aufzudecken. Das Unternehmen musste außerdem versprechen, Nutzer stets über die aktuellen Sicherheitsupdates zu informieren und ihnen auch eine verständliche Anleitung mitzuliefern, wie diese Updates zu installieren sind. Wenn das Unternehmen dabei ertappt würde, irreführende Angaben über die Sicherheit der eigenen Geräte zu machen, müsste für jeden einzelnen Verstoß eine Strafe von 16.000 US-Dollar gezahlt werden.

Nachtrag vom 25. Februar 2016, 16:15 Uhr

Golem Akademie
  1. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, Online
  2. Penetration Testing Fundamentals
    23.-24. September 2021, online
  3. Linux-Systeme absichern und härten
    8.-10. November 2021, online
Weitere IT-Trainings

Ein Sprecher von Asus in Deutschland hat sich bei uns gemeldet und darauf hingewiesen, dass deutsche Nutzer vor zwei Jahren mit einer entsprechenden Landing-Page auf die Updates hingewiesen worden seien.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anonymer Nutzer 26. Feb 2016

Siehste, mir fällt da auch nix ein :( Was hat Huawei denn auf den Markt gebracht? Die...

Hotohori 25. Feb 2016

Die traurige Wahrheit, leider.

nicoledos 25. Feb 2016

freiwillige Audits sind so viel wert wie selbst gemalte Biosiegel.

backdoor.trojan 25. Feb 2016

Und ich war erstaunt, wie lange und oft Updates für meinen RT-N56U kamen... Habe den...

danber 24. Feb 2016

alternative Firmware unterbinden wollen. Das ist mir zu hoch...



Aktuell auf der Startseite von Golem.de
Von Cubesats zu Disksats
Satelliten als fliegende Scheiben

Leichte und billige Satelliten, die auch zu Mond und Mars fliegen können: Aerospace Corp hat den neuen Standardformfaktor Disksats entwickelt.
Von Frank Wunderlich-Pfeiffer

Von Cubesats zu Disksats: Satelliten als fliegende Scheiben
Artikel
  1. Full Self Driving: Tesla-Fahrer dürfen Beta nur bei Wohlverhalten nutzen
    Full Self Driving
    Tesla-Fahrer dürfen Beta nur bei Wohlverhalten nutzen

    Die Testversion des Full-Self-Driving-Pakets sollen nur Tesla-Fahrer nutzen dürfen, deren Fahrverhalten einwandfrei ist.

  2. Umweltfreundlicher Sattelschlepper: Iveco und Nikola starten E-Lastwagen-Produktion in Ulm
    Umweltfreundlicher Sattelschlepper
    Iveco und Nikola starten E-Lastwagen-Produktion in Ulm

    Die Nikola-Zugmaschine Tre mit Elektroantrieb soll zunächst für den US-Markt gefertigt werden, später auch für Europa.

  3. Echtzeit-Strategie: Age of Empires 4 braucht nicht die schnellste Hardware
    Echtzeit-Strategie
    Age of Empires 4 braucht nicht die schnellste Hardware

    Die vollständigen Specs für den Technik-Test von Age of Empires 4 liegen vor. Spieler können ab heute Abend in die Historie eintauchen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Corsair Vengeance LPX DDR4-3200 16 GB 63,74€ und 32 GB 108,79€ • Alternate (u. a. Creative SB Z SE 71,98€, Kingston KC2500 2 TB 181,89€ und Recaro Exo Platinum 855,99€) • Breaking Deals mit Club-Rabatten • ASUS ROG Crosshair VIII Hero WiFi 269,99€ • iPhone 13 vorbestellbar [Werbung]
    •  /