Ving Card: Sicherheitslücke in Millionen Hoteltüren gefunden

Sicherheitsforschern ist es gelungen, einen Generalschlüssel zu erstellen, mit dem alle Türen eines Hotels geöffnet werden können. Weltweit sollen über eine Million Türen betroffen sein, ein Patch steht bereit.

Artikel veröffentlicht am 25. April 2018, 17:00 Uhr, Hauke Gierow

Ein Stapel von Hotelkarten (Bild: F-Secure)

Türschlösser von weltweit rund einer Million Hoteltüren sind für Angriffe anfällig. Wie die finnische IT-Sicherheitsfirma F-Secure schreibt, können elektronische Schlüsselkarten zum Zutritt in Räume genutzt werden, auch wenn sie nicht dafür programmiert wurden. Die auf der Karte hinterlegten Informationen lassen sich nach Angaben des Unternehmens nutzen, um einen Generalschlüssel für das jeweilige Hotel zu berechnen. Hinweise darauf, dass die Lücke von Kriminellen genutzt wird, gebe es nicht.

Der Hersteller der Schlösser, Assa Abloy, ist seit April 2017 über das Problem informiert und hat ein Update entwickelt. Dieses muss jedoch bei jeder einzelnen Tür eingespielt werden. Da das Team von F-Secure nach eigenen Angaben seit mehr als 10 Jahren an dem Angriff gearbeitet hat, geht das Unternehmen davon aus, dass sich dieser von Kriminellen nicht einfach nachstellen lässt. Technische Details zu der Attacke hält F-Secure zudem zurück, auf der Sicherheitskonferenz Infiltrate in Miami soll es allerdings einen Vortrag dazu geben. Der Angriff soll sowohl mit Karten auf Magnetstreifenbasis als auch mit RFID-Chips funktionieren.

Das Team hatte die Schlösser aufwendig per Reverse Engineering untersucht und dabei verschiedene kleinere Fehler gefunden, die sich am Ende zu einem Exploit zusammenfassen ließen. "Als wir verstanden hatten, wie das System konzipiert wurde, tauchten zunächst scheinbar harmlose Mängel auf. Wir haben diese dann kreativ kombiniert, um eine Methode zur Erstellung von Generalschlüsseln zu entwickeln," sagte Timo Hirvonen von F-Secure.

In Deutschland etwa 30.000 Türen betroffen

"Sie können sich sicherlich vorstellen, was ein Mensch mit bösartigen Absichten alles anstellen könnte, wenn er mit einem Generalschlüssel, der im Grunde kinderleicht generiert wurde, jedes Hotelzimmer betreten kann", sagt Tomi Tuominen von F-Secure. In Deutschland sollen von der Lücke rund 30.000 Hoteltüren betroffen sein.

"Ich möchte dem R&D-Team von Assa Abloy persönlich für die hervorragende Zusammenarbeit bei der Behebung dieser Probleme danken", sagte Tuominen. "Aufgrund ihrer Arbeit und der Bereitschaft, die durch unsere Forscher identifizierten Probleme zu beheben, ist die Hotelwelt heute ein sicherer Ort. Wir bitten jede Einrichtung, die diese Software nutzt, das Update so schnell wie möglich einzuspielen."

2012 hatte eine Einbruchsserie in den USA die Verwundbarkeit elektronischer Schließsysteme aufgezeigt: Ein Mann hatte mit einem selbstgebauten Werkzeug Hunderte Hoteltüren geknackt und dabei zahlreiche private Gegenstände oder Fernseher aus den Zimmern gestohlen. Dazu nutzte er unter anderem die Arduino-Plattform.