News Abmahnungen: Voreingestelltes WLAN-Passwort reicht aus

[DekWizArt]

Ich gehe mal von einem Torrent aus, über ihren Anschluss lief der Upload, während andere direkt von ihr Teile gedownloaded haben.

 

[G00fY]

WLAN Passwörter identisch? Welche Hersteller machen den so einen Schwachsinn?

IdR sind diese nicht identisch, lassen sich aber (ähnlich wie ältere Seriennummern) nach einem bestimmten Muster berechnen.

Auch falls der Hersteller unterschiedliche PWs benutzt, das WI des Routers / Modems ist meistens der Schwachpunkt meiner Meinung nach!
[...]
...und schon hat man volle Kontrolle.

Was genau meinst du? Wenn das WPA2 Kennwort ausreichend lang und sicher gewählt ist, kommt da erstmal so schnell keiner rein. Selbst ein Brutforce mittels GPUs und Rainbow-Tables kann extrem lange dauern.

Der Artikel ist auch widersprüchlich. Weshalb? Erfolgte nun eine Verteilung (Upload) oder Download? Wie soll ich den nur mit einem Download etwas verteilen?

Lesen hilft. Über den Anschluss wurden illegal Inhalte verteilt "Zugang für illegale Downloads" (Upload) und deshalb wurde der Besitzer für die illegalen Downloads (von anderen Nutzern) haftbar gemacht.

 

[Cardhu]

Ich habe Leute im Bekanntenkreis, denen sogar dies zuviel wäre und die hinschmeißen würden bzw. "Kannste mal bitte...?!". Die Frage ist wirklich, was man Otto Normalbürger zumuten kann, wenn er die Steuererklärung schon fast nicht mehr alleine hinbekommt

Wenn sie dann jemanden fragen müssen, ist doch immerhin gesichert, dass ein anderes Kennwort verwendet wird
Und für meine erste selbstgemachte Steuererklärung hab ich sehr sehr lange gebraucht
Das hat auch nichts mit Bildung zu tun. Wenn man sich nicht mit Technik befasst, speziell einem Router, und kauft dann so ein Teil mit integriertem WLAN, dann finde _ich_ schon, dass Lieschen Müller und co erwarten dürfen, dass das bereits vergebene WLAN Passwort irgendwelchen Richtlinien entspricht und sicher ist. Ansonsten muss einfach darauf hingewiesen werden vom Hersteller. Für die ist das nämlich kein Beinbruch, da die sich mit der Thematik auskennen sollten

 

[areiland]

Selbst wenn man die Leute dazu auffordert doch mal das PW und vielleicht auch den Name zu ändern...

Ich lasse den Namen bewusst auf dem Schema der Herstellervorgabe, vergebe ihn aber selbst. Denn auch ein selbst vergebener Name, mit Bezug auf den Besitzer, kann eine Einladung zum Angriff auf das Wlan sein. Mein Netzwerkschlüssel wird auf einen selbst gewählten 16stelligen Schlüssel abgeändert, Fernzugriffe auf den Router oder Portweiterleitungen sind ausgeschlossen.

 

[marcymarc]

... Naja, mit Bildung hat das nichts zu tun! Eher mit fehlenden Interesse. ..... Nebenbei ist eine Steuererklärung absolut unübersichtlich und je nach Lage auch komplizierter

Und für meine erste selbstgemachte Steuererklärung hab ich sehr sehr lange gebraucht
Das hat auch nichts mit Bildung zu tun. Wenn man sich nicht mit Technik befasst, speziell einem Router, und kauft dann so ein Teil mit integriertem WLAN, dann finde _ich_ schon, dass Lieschen Müller und co erwarten dürfen, dass das bereits vergebene WLAN Passwort irgendwelchen Richtlinien entspricht und sicher ist.

Ich meinte ja auch nicht, dass eine Steuererklärung trivial ist. Im Gegenteil. Ich habe den Vergleich gewählt, weil Technik auch nicht trivial ist - beides lernt man nicht in der Schule sondern nur durch Selbstbemühungen. Fehlendes Interesse möchte ich jetzt nicht bei allen Unkundigen unterstellen, meine Großeltern haben einfach nicht den Zugang zur Materie und Vergesslichkeit hilft da nicht weiter. Trotzdem wollen sie nicht abgehängt sein und mit der Technik gehen - eine Technik die nunmal nicht kinderleicht ist.

Bei meinem Vergleich bezog ich mich eher darauf, dass auch geführte Installationen ein Grundverständnis ("was ist ein Passwort und wozu benötige ich es?", "Wenn ich es kenne, wie sag ich es Tante Erna, damit die mit ihrem Schmaadfohn auch hier süüürphen kann?") voraussetzen. Das kann kein Argument sein, um Schuldfragen zu klären. Oder wir müssen Führerscheine einführen.

 

[phifalk]

Wie wurde denn bewiesen dass der Verstoß durch Dritte ausgeführt wurde?

 

[TrueAzrael]

Wie wurde denn bewiesen dass der Verstoß durch Dritte ausgeführt wurde?

Müsste für gewöhnlich nicht der Ankläger beweisen das der Beklagte Schuld ist und nicht der Beklagte beweisen das er es nicht war? Kann aber bei Abmahnungen auch anders sein...

 

[hallo7]

Im Zweifel für den Angeklagten gilt vor allem bei Strafgerichten, bei Zivilgerichten kann das schon etwas verwässern. Da muss man im Endeffekt den Richter überzeugen.

 

[DKK007]

Google ist aber nicht der Gerätehersteller. Sicherheitsupdates für Android werden den Geräteherstellern schnell zur Verfügung gestellt, diese liefern sie aber nur langsam oder gar nicht an die Kunden aus.

Dann muss Google eben wie man es von Windows und Linux kennt die Möglichkeit bieten, Sicherheitsupdates selbst zu installieren.

 

[mkossmann]

Das Problem dabei dürfte sein, das die Gerätehersteller eventuell Android soweit modifiziert haben, das die Sicherheitsupdates nicht 1:1 übernommen werden können. Und oftmals die die Geräte auch gegen Modifizierungen durch den Benutzer gesichert. D.h. der Nutzer muß das Gerät "rooten" um Updates selber installieren zu können.

 

[Hypeo]

Indirekt werden die Hersteller dadurch dazu gezwungen, bei der Inbetriebnahme des Geräts dieses nach einem eigenen Passwort fragen zu lassen.
Für einige Einrichtungsvarianten vielleicht ein Umstand, aber man kann ja auch den externen Ausgang erst freischalten, wenn das Einrichtungspasswort geändert wurde.
Was kannst du in einem "Router-Intranet" schon anstellen im Hinblick auf die Betreiberhaftung?

 

[0815burner]

Ich würde sogar in den Raum werfen, das individuelle Passwörter meist unsicherer gewählt werden (1234 lässt Grüßen).

Schreibt der Hersteller dann ein gewisses Schema vor, werden sich 75%+ an dieses Minimum halten, wodurch die Angreifbarkeit auch wieder steigt.

@ phifalk: wenn ich beweisen kann, das ich zur Tatzeit z.B. auf arbeit war, habe ich erst mal ein gutes Alibi.

 

[chithanh]

Um mal wieder einen Autovergleich hervorzuholen: Ein Auto braucht auch HU/AU und eine gültige Haftpflichtversicherung, sonst darf es nicht auf öffentlichen Straßen fahren. Und der Fahrer muss seine Fähigkeiten in einer Führerscheinprüfung nachweisen, und zusätzlich einen Erste-Hilfe-Kurs absolvieren um bei einem Unfall verletzten Personen helfen zu können.

WLAN-Router, IP-Webcams und andere IoT-Geräte darf hingegen jeder ohne Nachweis der Fachkenntnis und ohne regelmäßige Prüfung der Sicherheit des Geräts einfach so ans öffentliche Internet hängen. Die Folgen sind bekannt.

Meiner Meinung nach gibt es nur zwei Abhilfen:

1. Die Geräte sollen sicher sein, auch wenn sie von jemandem ohne Fachkenntnis installiert werden, und der Hersteller ist verantwortlich, sie mit Sicherheitsupdates zu versorgen. Ggf. stellen sie den Betrieb nach Supportende ein, und der Anwender muss sie ausdrücklich und auf eigene Verantwortung wieder freischalten.
2. Alle Geräte für die das nicht der Fall ist, sollen von entsprechend qualifizierten Personen betreut werden. Dies muss nicht unbedingt der Anwender selbst sein, er kann sich dafür auch an eine Community wenden (z.B. Freifunk).

Dann muss Google eben wie man es von Windows und Linux kennt die Möglichkeit bieten, Sicherheitsupdates selbst zu installieren.

Google stellt im Wesentlichen nur den Sourcecode zur Verfügung, und Hersteller und interessierte Dritte können sich daraus selbst ein Android-Image bauen. Es gibt ganze Custom-ROM-Communities, die das tun.

Die Gerätehersteller selbst modifizieren Android zu sehr, als dass eine zentrale Versorgung mit Updates möglich wäre, und Google hat nur wenig Handhabe dagegen (da Opensource). Vielleicht können sie den Play Store als Druckmittel einsetzen, aber da müssen sie vorsichtig sein wegen Kartellproblematik.

Bei Chrome OS haben sie es besser gemacht, da werden die Softwarepakete für alle Geräte direkt bei Google gebaut und zentral verteilt.

 

[tek9]

Autovergleiche sind per se Bullschit.

 

[0815burner]

Und jeder Hersteller darf jeden Schrott den er will in den Umlauf bringen. Die Schuld jetzt bei dem Konsumvieh/ Nutzer zu suchen ist glaube ich zu weit hergeholt. In Deutschland gilt i.d.R das Vorsorgeprinzip. Das wird hier einfach nicht angewendet. Noch dazu wird das amerikanische Haftungsprinzip auch nicht angewandt.

Der Nutzer bekommt unsicheren Schrott und dann darf er auch noch für Schäden haften. Tolle Welt;-)
Und bevor wir diese Sachen in den Griff bekommen Schreit schon jeder nach IoT.
Es würde schon viel helfen, wenn bei IT Zeugs eine gedruckte, verständliche Anleitung beiliegen würde die über Risiken aufklärt. Das Lesen dann 2% der Leute und ein paar erzählen es sogar weiter. Leider findet sich aber in den Kartons nur Werbeblättchen.

Offtopic:
Eines stelle ich hiermit ein für alle mal fest:
Ich rufe nachher nicht bei Arni an und sage ihm das er schon wieder Skynet besiegen muss!

 

[tek9]

Nette Polemik.

Was hindert dich daran ein Passwort zu ändern und vorerst auf billige iot devices zu verzichten?

 

[McGybrush]

Problem ist das Gesetz. Wenn Konzerne eine gute Chance haben Durch klagen an grosse Summen Geld zu kommen dann klagen sie. Egal ob es moralisch korrekt oder inkorrekt ist. Sie tun es einfach ohne Rücksicht auf Verluste.

Wird der kleine vom Konzern mal im Stich gelassen oder verprellt nimmt er es meistens so hin.

So ist Kapitalismus. Der Kleine Mann muss klein gehalten werden. Wenn man die Sache von etwas weiter aussen betrachtet. Quasi wir lesen über diesen Fall und 50% bekommen Panik und tun jetzt etwas dagegen damit es nicht auch bei Ihnen passiert.

Mich würde mal interessieren ob der Vorfall verhindert worden wäre wenn ein selbst erstelltes Passwort hinterlegt worden wäre. Denn eine Sicherheitslücke umgeht doch aus meiner Logik eben das Passwort. Wenn man das Passwort woanders her aber kennt ist es ja keiner Sicherheitslücke. Sollte man das Passwort durch eine Lücke im Router erfahren dann ist es egal was da drin gestanden hätte. Es wäre ja dann Sichtbar geworden.

 

[KlaasKersting]

Gibt es denn überhaupt noch Hersteller, die heutzutage ernsthaft inkompetent genug sind, die Passwörter auf Basis eines fixen Merkmals (SSID/Seriennummer/identische PWs für alle Geräte/etc.) festzulegen und nicht einfach einen Random-Generator zu nutzen, der auf Basis der Kombination einer 10^16tel Sekunde in der Herstellung und eines weiteren Merkmals ein Passwort auswirft?

 

[tek9]

Problem ist das Gesetz. Wenn Konzerne eine gute Chance haben Durch klagen an grosse Summen Geld zu kommen dann klagen sie. Egal ob es moralisch korrekt oder inkorrekt ist. Sie tun es einfach ohne Rücksicht auf Verluste.

Wird der kleine vom Konzern mal im Stich gelassen oder verprellt nimmt er es meistens so hin.

So ist Kapitalismus. Der Kleine Mann muss klein gehalten werden. Wenn man die Sache von etwas weiter aussen betrachtet. Quasi wir lesen über diesen Fall und 50% bekommen Panik und tun jetzt etwas dagegen damit es nicht auch bei Ihnen passiert.

Mich würde mal interessieren ob der Vorfall verhindert worden wäre wenn ein selbst erstelltes Passwort hinterlegt worden wäre. Denn eine Sicherheitslücke umgeht doch aus meiner Logik eben das Passwort.

Netter Rant, aber die Opferrolle steht nicht jedem

 

[0815burner]

Privat versuche ich mich soweit das heute möglich ist davon fernzuhalten. Ganz ohne Internet will und kann ich auch nicht.

Aber ist das Problem geringer, wenn ICH auf IoT verzichte und das Passwort ändere? Wird es dann solche Probleme wie im Artikel nicht mehr geben? Nicht jeder ist IT Fachmann. Kein Internet ist heute aber auch fast unmöglich durchzuhalten. Verzicht aus Unwissenheit ist, glaube ich, keine Pflicht.

Wenn die Industrie hier nicht die Maßstäbe setzt und von diesem "Alles mit einem Klick vernetzen" wegkommt, wird es irgendwann ungemütlich. Die Ausdrucksweise war bewusst etwas polemisch gewählt, aber das Thema gehört angesprochen. Eine bessere Aufklärung der Konsumenten tut Not.