Sicher unterwegs? Gefahren für Technik auf Reisen

Die Welt da draußen ist gefährlich, zumindest für Notebook, Smartphone und Tablet. Wer sich etwa unvorbereitet in öffentliche WLANs stürzt, ist leichte Beute für Hacker. Ein Fallbeispiel.

Unterwegs lauern viele Gefahren – digital und unsichtbar. Um diese kennenzulernen, begleiten Sie den Pechvogel Otto auf einer scheinbar gewöhnlichen Dienstreise. Was er jedoch noch nicht ahnt: Heute haben es Cyber-Ganoven auf ihn abgesehen.

Es ist ein ganz normaler Donnerstag. Zwischen Otto und seinem wohlverdienten Wochenende steht nur noch eine Dienstreise. Für ihn ist das längst Routine. Alle zwei Wochen muss er dem Standort in München einen Besuch abstatten. Bei einem Kaffee checkt er noch mal seine Mails, ehe er sich ein Taxi zum Bahnhof bestellt – bequem per App. Fünf Minuten später vibriert sein iPhone, ein Mercedes in Elfenbeinweiß wartet vor seiner Haustür. Er streift sich seinen Mantel über und schnappt sich seinen treuen Begleiter, ein unverwüstliches ThinkPad, das ihm sein Chef vor zwei Jahren spendiert hat.

Er steigt ein und erwidert den obligatorischen Plausch mit dem Taxifahrer. Auf dem Weg zum Bahnhof bleibt der Mercedes in der morgendlichen Blechlawine stecken. Otto zieht sein iPhone aus der Tasche, um die zwischenzeitlich aufgelaufenen Benachrichtigungen wegzuwischen. Plötzlich erscheint auf dem Smartphone-Display der Hinweis „Bitte loggen Sie sich mit Ihrer Apple-ID ein, um mit der Nutzung fortzufahren“. Anscheinend hatte sich das Gerät unvermittelt von seinem Apple-Account abgemeldet. Otto kommt der Aufforderung ohne zu zögern nach, schließlich warten noch sieben Benachrichtigungen diverser Apps darauf, von ihm beachtet zu werden.

WLAN-Phishing
Unser Protagonist ahnt nicht, dass er seine Zugangsdaten nicht an Apple, sondern geradewegs an einen Ganoven geschickt hat. Der Täter nutzt den Umstand, dass sich WLAN-Clients gerne mit Netzen verbinden, mit denen sie schon mal Kontakt hatten. Der Schurke hat in diesem Fall ein WLAN namens „Telekom“ aufgespannt. Als das Taxi im Stau steckte, entdeckte Ottos iPhone das Netz und stellte eine Verbindung her, weil Otto vor einigen Monaten einen Telekom-Hotspot genutzt hatte. Die gefälschte Login-Seite tauchte daraufhin automatisch auf dem iPhone auf, um die Zugangsdaten einzusammeln.

Dafür nutzt der Täter ein sogenanntes Captive Portal, wie es auch bei den meisten legitimen Hotspots im Einsatz ist. Eigentlich dienen solche Portale dazu, Zahlungsdaten vom WLAN-Nutzer abzufragen oder die AGBs abnicken zu lassen. Der WLAN-Client überprüft dazu beim Verbindungsaufbau, ob er eine bestimmte Adresse abrufen kann – bei iOS etwa http://captive.apple.com/. Kommt der Text „Success“ zurück, dann besteht eine funktionsfähige, ungefilterte Verbindung zum Internet. Besteht die Antwort jedoch aus einer HTTP-Weiterleitung (HTTP-Statuscode 302), dann nimmt der Client an, dass er vom Router auf ein Captive Portal geleitet wird und zeigt die Zielseite an. Der Angreifer kann sein Opfer so auf eine beliebige Seite lotsen – in unserem Beispiel auf eine Phishing-Seite, die nach dem Apple-Account fragt.

Aber zurück zu unserer Geschichte. Otto ist bestens gelaunt, schließlich hat er von dem WLAN-Phishing nichts mitbekommen. Und das Wochenende ist quasi zum Greifen nah. Nach einer guten halben Stunde Stop-and-go erreicht das Taxi endlich den Bahnhof. Durch den zähfließenden Verkehr hat Otto gerade so seinen Zug verpasst. Um die 40 Minuten Wartezeit auf den nächsten ICE zu überbrücken, setzt er sich ins Bahnhofscafé und baut sein ThinkPad auf. Er aktiviert die Hotspot-Funktion seines iPhones und lädt die letzte Fassung seiner PowerPoint-Präsentation in die Cloud – sicher ist sicher.

Doch bevor der Upload abgeschlossen ist, vibriert sein iPhone: „Sie surfen jetzt mit reduzierter Geschwindigkeit, da Ihr inkludiertes Datenvolumen verbraucht ist“. Otto fällt ein, dass er bei der letzten Dienstreise vergessen hatte, sich ins Hotel-WLAN einzubuchen. Die beiden Folgen Game of Thrones haben offenbar ganz schön Traffic gefressen. Doch das findet unser Reisender nicht weiter tragisch, schließlich gibt es inzwischen überall WLAN. Und tatsächlich: Sieben offene Netze preisen ihre Dienste an. Otto entscheidet sich für das „Bahnhof-WLAN“ und kann wieder ungebremst surfen.

WLAN-Lauscher
Was Otto nicht weiß ist, dass auch ein Hacker gerade auf den Zug wartet und sich die Zeit vertreibt. Der Hacker lauscht im Monitor Mode auf der vom Bahnhofs-WLAN genutzten Frequenz mit und zeichnet alle Datenpakete auf, die an ihm vorbeifliegen. Öffentliche Netze sind meist unverschlüsselt, weshalb jeder in Funkreichweite sämtliche Daten mitschneiden kann – vergleichbar mit einem Radioempfänger. Der Angreifer sieht, welche Websites Otto ansteuert und welche Apps auf dem Smartphone aktiv sind. Zwar nutzen viele Dienste inzwischen die Transportverschlüsselung TLS/SSL, das Ziel der Verbindung ist jedoch nach wie vor im Klartext sichtbar. Und durch diese Klartext-Informationen bekommt der Angreifer viel über Otto heraus: Unser Protagonist surft auf heise.de, sein Outlook kommuniziert mit dem Mailserver des Arbeitgebers und sein Smartphone tauscht Daten mit den Servern der Dating-App Tinder aus. Die Infos stecken unter anderem im Common Name der mitgeschnittenen SSL-Zertifikate.

Otto ist immer noch gut gelaunt, denn er ist wieder online und hat auch von dieser Attacke nichts bemerkt – wie denn auch, schließlich hat der Hacker kein einziges Datenpaket verschickt. Otto macht sich kurze Zeit später auf den Weg zu Gleis 2. Unbemerkt folgt ihm der Hacker, dessen Interesse unser Hauptdarsteller offenbar geweckt hat. Der Zug fährt ein. Otto kann einen Sitzplatz ergattern. Noch bevor der ICE den Bahnhof verlassen hat, zieht Otto den behelfsmäßigen Klapptisch vom Vordersitz und stellt sein Notebook auf. Selbst wenn alles glatt läuft, ist der Zug noch über vier Stunden unterwegs. Diese Zeit will Otto produktiv nutzen. Zwei, drei Klicks später ist er auch schon wieder online, „WIFI on ICE“ sei Dank.

Fake-WLAN
Sie ahnen es sicher schon, auch dieses Mal ist unser Protagonist einem Angriff auf den Leim gegangen. Der Hacker vom Bahnhof sitzt nämlich nur drei Reihen weiter und begnügt sich nicht mehr damit, den WLAN-Verkehr passiv zu belauschen. Er hat einen akkubetriebenen WLAN-Router aus der Tasche geholt und ein eigenes Netz aufgespannt, das dem ICE-Bordnetz zum Verwechseln ähnlich sieht. Der Router ist per USB mit einem Smartphone verbunden und stellt allen Teilnehmern den erhofften Internetzugang zur Verfügung. Es handelt sich allerdings nicht um irgendeinen mobilen Router, sondern um einen WiFi Pineapple mit gefährlichen Extras. Das Gerät ist gespickt mit allen wichtigen Angriffstools – und sie sind nur einen Klick entfernt.

Zuerst macht Otto mit dem Angriffsmodul EvilPortal Bekanntschaft. Es präsentiert ihm wieder ein Captive Portal, dieses Mal auf seinem Windows-Notebook. Der Angreifer hat die Begrüßungsseite des legitimen ICE-WLANs kopiert und liefert sie an alle neuen Nutzer des Fake-Netzes. Er hat die Seite um einen Hinweis ergänzt, laut dem zur Nutzung des ICE-WLAN „aus Sicherheitsgründen“ ein Zertifikat installiert werden muss, das vermeintlich von der Deutschen Bahn stammt. Damit niemand an dieser technischen Hürde scheitert, hat der Hacker eine Schritt-für-Schritt-Anleitung ins Portal eingebaut. Otto schöpft keinen Verdacht und befolgt die Anleitung, schließlich sieht alles seriös aus.

Damit hat Otto jedoch einen fatalen Fehler begangen. Der Angreifer kann jetzt auch transportverschlüsselte Daten mitlesen, also Nachrichten in sozialen Netzwerken, Mails, Unternehmensdaten und vieles mehr. Dazu nutzt der Hacker das Angriffsmodul SSLsplit, welches sich als Man-in-the-Middle-Proxy in den TLS/SSL-Traffic einklinkt. Die Installation des Zertifikats war nötig, um das Vertrauen des Browsers zu gewinnen. Andernfalls hätte der Browser während der Attacke eine Zertifikatswarnung angezeigt. Der Hacker hat jetzt Zugriff auf Ottos Profile bei Facebook, LinkedIn und Xing. Er erhält nach und nach ein vollständiges Bild über Ottos persönliche und geschäftliche Beziehungen, während sein Opfer wenige Meter entfernt ahnungslos im Internet surft.

Im Facebook-Posteingang macht der Hacker schließlich eine interessante Entdeckung: Otto schreibt nicht nur mit seiner Verlobten, sondern kommuniziert auch rege mit einer Sandra aus München. Der Chatverlauf ist mit zahlreichen Herzchen geschmückt, Otto und Sandra haben sich offenbar zu 20 Uhr in der Lobby eines Münchner Hotels verabredet. Der ICE hält in Nürnberg, nur noch eine Stunde bis zum Ziel. Der Hacker beschließt, Otto nicht ungeschoren davonkommen zu lassen und überlegt, ihm per Netzwerkumleitung einen Trojaner unterzuschieben. Doch die Gefahr, dass er damit die Aufmerksamkeit von Ottos Virenscanner auf sich zieht, ist zu groß.

USB-HID-Angriff
Stattdessen zieht der Hacker einen USB-Stick aus seinem Rucksack. Es handelt sich um keinen Stick von der Stange, sondern um einen USB-Rubberducky. Das Angriffstool ist äußerlich nicht von einem gewöhnlichen USB-Stick zu unterscheiden, im Inneren befindet sich jedoch ein Microcontroller, der gegenüber dem Rechner eine USB-Tastatur simuliert. So kann der Rubberducky beliebige Zeichenfolgen eintippen, ohne den Virenschutz auf den Plan zu rufen. Der Hacker steht auf und bewegt sich Richtung Bord-WC. Als er Otto passiert, lässt er den Stick unauffällig auf den Boden fallen.

„Nächster Halt: München Hauptbahnhof“ schallt es aus den Zuglautsprechern. Otto packt seinen Kram zusammen, zieht seinen Mantel an und macht sich auf den Weg zur Tür. Dabei tritt er auf einen Gegenstand. Er hebt den USB-Stick auf und schaut sich um. Die meisten Mitreisenden stehen bereits im Gang und niemand scheint den Stick zu vermissen. Da Otto spät dran ist, lässt er ihn in seine Manteltasche fallen. Er steigt in das erstbeste Taxi und lässt sich zum Hotel fahren. Nach dem Einchecken macht er sich erst mal in seinem Zimmer frisch, schließlich ist er verabredet. Als er zu den Minztabletten in seinem Mantel greift, erfühlt er den aufgelesenen USB-Stick.

Von der Neugier getrieben steckt er das Fundstück in sein Notebook. Kurz darauf blitzt für wenige Sekunden ein blaues Fenster auf, durch das eine Buchstabenkolonne scrollt. Noch bevor er etwas entziffern kann, ist das Fenster auch schon wieder weg. Otto vermutet, dass es mit dem Windows-Update zu tun hat, das sein Rechner während der Zugfahrt gezogen hat. Auf dem Stick findet er zwar ein paar Urlaubsfotos, aber keine Namen oder Kontaktdaten. Es ist kurz vor acht. Otto belässt es dabei und macht sich auf den Weg in die Lobby.

Er ist unbesorgt, denn er weiß nicht, dass er seinen Rechner soeben mit einem Trojaner infiziert hat. Der aufgelesene USB-Rubberducky hat in Windeseile eine Powershell gestartet und darüber den Windows Defender deaktiviert. Der anschließende UAC-Dialog war keine Hürde – die virtuelle USB-Tastatur hat ihn einfach per Tastenfolge bestätigt. Nachdem der Virenschutz beseitigt war, hatte der Rubberducky freie Bahn und konnte ungehindert den Trojaner installieren. Den übrigen Verlauf des Abends überlassen wir Ihrer Fantasie. Auch fiktive Protagonisten sollten ein Recht auf Privatsphäre haben, oder?

Backdoor ins Firmennetz
Am nächsten Morgen macht sich Otto auf den Weg zu seinem eigentlichen Termin in der Münchner Niederlassung. Der Arbeitstag beginnt mit seinem Vortrag. Im Konferenzraum verbindet er sein ThinkPad mit dem Intranet des Unternehmens. Während er vor rund 15 Mitarbeitern die Geschäftszahlen präsentiert, kontaktiert sein Notebook unbemerkt den Hacker vom Vortag. Dieser kann sein Glück kaum fassen und nutzt die Verbindung, um sich erst mal im Intranet umzusehen. Es dauert nicht lang, bis er auf eine interessante Netzwerkfreigabe stößt. Er kopiert alles, was er kriegen kann – Kundendaten, Firmeninterna und sogar die peinlichen Fotos von der letzten Weihnachtsfeier. Otto ist voll und ganz auf seine Präsentation fokussiert und bemerkt von all dem nichts. Nach seinem Vortrag nimmt er noch ein paar Termine im Haus wahr und macht sich schließlich auf den Heimweg. Von seinem wohlverdienten Wochenende trennt ihn jetzt nur noch eine Zugfahrt.

Im Zug angekommen macht es sich Otto auf seinem Sitzplatz gemütlich. Statt PowerPoint steht nun Game of Thrones auf dem Programm. Dazu eine kühles Weißbier, als letzten Gruß an das vorbeirauschende München. Verdient ist verdient. Ungefähr auf halber Strecke zappelt sein iPhone und meldet eine eingetroffene SMS. Die Absendernummer kennt er nicht. Als er die Nachricht liest, fällt er vom Glauben ab: „Hey Otto, ich habe dich gehackt! Willst du, dass deine Verlobte von deiner Liaison mit Sandra erfährt? Soll ich die Daten von Eurem Backup-Server \\TRINITY bei MEGA hochladen? Nein? Dann überweise 2 Bitcoin an 19gJKt1qUytpijjZr5fDQuVnDS56oyMnKb! Du hast 6 Stunden. Bye“.

Sei kein Otto
Zugegeben, unser Protagonist Otto hatte ziemlich viel Pech auf einmal. Aber die Geschichte könnte sich genauso zugetragen haben. Denn sobald man das sichere Fahrwasser des privaten WLANs verlässt, kann schon eine einzige Unachtsamkeit unangenehme Konsequenzen haben.

Damit es Ihnen nicht wie Otto ergeht, erklären wir in c't 14/2019, wie Sie mit Ihrer Technik sicher unterwegs sind. Ein zentraler Bestandteil des Schutzwalls ist der Einsatz eines VPN-Tunnels. Durch die neue WireGuard-Technik ist das so einfach wie nie: App installieren, QR-Code scannen, fertig.

In unserer Marktübersicht finden Sie eine Auflistung von VPN-Anbietern, die bereits WireGuard sprechen. Darüber hinaus liefern wir konkrete Tipps zur Einrichtung. Darüber hinaus finden Sie in unserem Artikel über Schutzmaßnahmen weitere Handgriffe, mit deren Hilfe Sie auch unterwegs so sicher wie zu Hause sind.