Sicherheitsrisiko durch AVM-Router noch akut

Sieben Monate alte Sicherheitslücke in der FritzBox wird wieder angegriffen

14.02.2014 von Bernhard Haluschak
Die AVM-Router wie FritzBox 7390 oder FritzBox 7270 und Co. wurden gehackt. Obwohl AVM schnell Sicherheits-Updates für die betroffenen Router zur Verfügung gestellt hat, sind viele FritzBox-Besitzer auch jetzt noch gefährdet.

Die weit verbreiteten und beliebten FritzBox-Router des Herstellers AVM haben Angreifer durch eine Sicherheitslücke in der AVM-Firmware bereits im Februar gehackt. Seit der vergangenen Woche liegen AVM nun Anzeichen dafür vor, dass die längst geschlossene Lücke erneut ins Visier der Hacker geraten ist.

Betroffen seien laut AVM nur solche Anwender, die das Security-Update vom Februar noch immer nicht aufgespielt, den Fernzugriff-Port 443 aktiviert haben und die über eine Telefoniefunktion (VoIP, Festnetz) verfügen. Die Betrüger suchten derzeit gezielt nach Geräten, bei denen sowohl das Update als auch die Neuvergabe der Kennwörter versäumt wurden - so AVM in einer bereits am vergangenen Freitag veröffentlichten Mitteilung.

Die Chronologie des Hacks

Erste Hinweise auf einen Missbrauch der FritzBox veröffentlichte AVM am 03.02.2014 in einem Sicherheitshinweis. Demnach bekam der Hersteller einige Dutzend Nachrichten, dass Unbekannte von außen auf FritzBox-Geräte unerlaubt zugreifen konnten und dort einen teuren Telefonmehrwertdienst zulasten des Besitzers eingerichtet hatten. Um weiteren Schaden von Router-Besitzern abzuwenden, empfahl AVM bereits in dieser Veröffentlichung, die Zugangsdaten für den HTTPS-Fernzugriff (Port 433) oder MyFritz!-Dienst zu ändern.

Foto: FRITZ!Box

Am 06.02.2014 verdichteten sich die Hinweise auf einen mutmaßlichen Telefonmissbrauch der entsprechenden FritzBox-Router durch die Fernzugriffsfunktion. Zusammen mit den Ermittlungsbehörden gab AVM Sicherheitsmitteilungen heraus, den Fernzugriff auf den Router durch den MyFritz-Dienst zu deaktivieren, um das Gefahrenpotenzial zu minimieren.

AVM Fritz!Box 7390 Firmware-Version 6.03
AVM Fritz!Box 7362 SL Firmware-Version 6.03
AVM Fritz!Box 7360 SL Firmware-Version 6.03
AVM Fritz!Box 7360 Firmware-Version 6.03
AVM Fritz!Box 7340 Firmware-Version 6.03
AVM Fritz!Box 7330 SL Firmware-Version 6.03
AVM Fritz!Box 7330 Firmware-Version 6.03
AVM Fritz!Box 7320 Firmware-Version 6.03
AVM Fritz!Box 7312 Firmware-Version 6.03
AVM Fritz!Box 7270 v2, / v3 Firmware-Version 5.54
AVM Fritz!Box 7240 Firmware-Version 5.54
AVM Fritz!Box 7170 Firmware-Version 4.88
AVM Fritz!Box 6842 LTE Firmware-Version 6.03
AVM Fritz!Box 6840 LTE Firmware-Version 6.03
AVM Fritz!Box 6810 LTE Firmware-Version 6.03
AVM Fritz!Box 3390 Firmware-Version 6.03
AVM Fritz!Box 3370 Firmware-Version 6.03
AVM Fritz!Box 3272 Firmware-Version 6.03
AVM Fritz!Box 3270 Firmware-Version 5.54

Tags darauf, am Freitag, 07.02.2014, berichtete AVM, dass die Angriffe auf die FritzBox jetzt technisch aufgeklärt seien. Demzufolge hätten die Täter den Router über den Port 443 angegriffen und seien in die FritzBox eigedrungen. Neben dem Telefonmissbrauch konnte AVM auch nicht ausschließen, dass diverse Passwörter und Zugangsdaten von den Angreifern aus dem Router entwendet wurden. Deshalb empfahl der Hersteller, alle entsprechenden sensiblen Zugangsdaten zu erneuern. Gleichzeitig wurde ein erstes Sicherheits-Update für die FritzBox 7390 veröffentlicht, weitere sollten in den nächsten Tagen folgen.

Wie versprochen, stellte AVM gleich am nächsten Tag, dem 08.02.2014, zahlreiche Firmware-Updates zum Download zur Verfügung und betonte: "AVM bedauert die damit verbundenen Unannehmlichkeiten und die vorübergehend entstandenen Einschränkungen. Nach dem Update können Fernzugriff und MyFritz wieder sicher eingesetzt werden."

Nach aktuellem Stand 13.02.2014 bietet der Berliner Router-Hersteller für 21 in Deutschland (siehe Bildergalerie) und 13 international vertriebene FritzBox-Modelle eine aktualisierte Firmware an.

Die Besitzer der AVM-Router FritzBox 6360, 6340, 6320 Cable sowie FritzBox 7570 müssen sich dagegen noch ein wenig gedulden. Die Updates dieser Systeme erfolgt über die entsprechenden Internetanbieter so bald wie möglich, verspricht AVM. In der Zwischenzeit sollten die Anwender aber den HTTPS-Internetzugriff auf der FritzBox checken und gegebenenfalls deaktivieren. Kabel Deutschland als großer Kabel-Provider hat bereits reagiert und erste Updates an seine Kunden verteilt. Andere Provider werden nachziehen. Sie müssen erst die neue Firmware auf den Routern evaluieren und freigeben. Dieser Prozess kann je nach Komplexität bis zu mehrere Tagen dauern.

Trotz des hohen Gefahrenpotenzials der Sicherheitslücke und das sofortige Zur-Verfügung-Stellen von Updates hat die BSI-Meldung vom 11.02.2014 überrascht. Denn in dieser gibt AVM bekannt, dass nur etwa 20 Prozent der FritzBox-Besitzer die Security-Firmware bis zu diesem Zeitpunkt aufgespielt haben. Dabei ist nicht bekannt, ob die Router-Besitzer die Fernzugriffsfunktion wirklich nutzen, denn im Auslieferungszustand ist diese Option deaktiviert.

Nichtsdestotrotz fordert das BSI alle FritzBox-Anwender nochmals dringend auf, das Sicherheits-Update einzuspielen. Auch an die Provider, die ihren Kunden eine FritzBox zur Verfügung gestellt haben, appelliert das BSI, sie mögen doch das AVM-Update baldmöglichst an diese weitergeben.

So installieren Sie die sichere FritzBox-Firmware

Wie Sie eine aktuelle Firmware-Version auf die FritzBox installieren, beschreiben wir nachfolgend in einer Schritt-für-Schritt-Anleitung.

Bevor eine neue FritzBox-Firmware installiert werden soll, überprüfen Sie zuerst die aktuelle Version und sichern gegebenenfalls Ihre Geräteeinstellungen.

FritzBox: Ein Firmware-Update lässt sich einfach per Web-Interface und mittels eines Assistenten durchführen.

Rufen Sie per Browser-Eintrag zum Beispiel bei der FritzBox 7490 mit http://fritz.box/ den Anmeldebildschirm der FritzBox auf. Nach Eingabe des Kennworts gelangen Sie auf die Übersichtseite des Gerätes. Nutzen Sie den Assistenten rechts in der Leiste, rufen die Option Update auf und folgen Sie den Anweisungen. Wir empfehlen die folgende Verfahrensweise:

Unter System / Sicherung / Sichern erstellen Sie eine Sicherungsdatei mit Ihren aktuellen Einstellungen. Folgen Sie dabei den Anweisungen im Menüreiter. Diese Datei kann später verwendet werden, um die ursprüngliche Konfiguration, die zum Beispiel durch eine Störung oder einen "Werks-Reset" verloren gegangen ist, wieder herzustellen.

Fritz!Box-Firmware-Update
Login: Willkommen bei der Fritz!Box.
Fritz!Box-Firmware-Update
Die Friz!Box Übersicht mit Detailinformationen.
Fritz!Box-Firmware-Update
Prüfen der installierten Firmware.
Fritz!Box-Firmware-Update
Aktuelle Firmware gefunden.
Fritz!Box-Firmware-Update
Wichtige Informationen und Neuigkeiten zum neuen Fritz!OS.
Fritz!Box-Firmware-Update
Wichtige Informationen und Neuigkeiten zum neuen Fritz!OS.
Fritz!Box-Firmware-Update
Sichern der Fritz!Box Einstellungen.
Fritz!Box-Firmware-Update
Hier können Sie die gesicherten Fritz!Box Einstellungen wiederherstellen.
Fritz!Box-Firmware-Update
In diesem Menü können Sie einen Neustart der Fritz!Box durchführen.
Fritz!Box-Firmware-Update
Um alle Einstelluneg zu löschen und die Fritz!Box in den Auslieferungszustand zu versetzen, können Sie die Werkseinstallungen hier laden.
Fritz!Box-Firmware-Update
Der Update-Vorgang des Routers in Aktion.
Fritz!Box-Firmware-Update
Das Aufspielen des Updates kann einige Minuten dauern.
Fritz!Box-Firmware-Update
Der Übersichtsbildschirm nach dem geglückten Update. Die Fritz!Box mit der aktuellen Fritz!OS-Version 6.03.
Fritz!Box-Firmware-Update
Die installierte Firmware unter System / Update nochmals auf die Richtigkeit checken.
Fritz!Box-Firmware-Update
Es ist keins aktuelle Firmware vorhanden.
Fritz!Box-Firmware-Update
Mit der "erweiterten Ansicht" (unterhalb des Arbeitsfensters) erscheint der Reiter FRITZ!OS. Hier können Sie manuell ein Firmware-Update aufspielen.
Fritz!Box-Firmware-Update
Aber zuerst sollten die Einstellungen der Fritz!Box gesichert werden, bevor die Image-Datei unter der Option Durchsuchen audgewählt wird.
Fritz!Box-Firmware-Update
Per Update-starten-Button wird die Image-Datei auf die Fritz!Box übertragen.
Fritz!Box-Firmware-Update
Jetzt ist Warten angesagt, bis sich die Fritz!Box mit der neuen Firmware wieder meldet.

Anschließend können Sie unter System / Update den Status der Firmware überprüfen. Mit der Funktion Neues FRITZ!OS suchen erfahren Sie, ob für den Router eine aktualisierte Firmware vorliegt. Haben Sie eine alte Version, können Sie im Prinzip das Firmware-Update jetzt über das Web-Interface der FritzBox einfach per Update starten einspielen lassen. Bei einem geglücktem Update - alle Einstellungen bleiben erhalten - meldet sich nach etwa fünf Minuten die FritzBox mit der Login-Oberfläche wie gewohnt wieder zurück.

Sie können aber auch die Firmware unter dem Reiter Firmware-Datei manuell aufspielen. Hierzu müssen Sie zuerst die passende Firmware vom AVM-Download-Server herunterladen. Es sollte sich dabei um eine Datei mit der Endung .image handeln. Diese Datei müssen Sie unter System / Update / Fritz!OS-Datei / Datei auswählen nutzen, um per Update starten die Installation der neuen Firmware durchzuführen. Wichtig dabei ist, das Sie die Ansicht: unten auf der FritzBox-Benutzeroberfläche auf Erweitert stellen, damit der Optionsreiter FRITZ!OS-Datei erscheint. (hal/sh)