FRITZ!Boxen gekapert [UPDATE]

Die Berichte in den Medien überschlagen sich derzeit, ich versuche mal, das Ganze ein bisschen zu ordnen. Anscheinend wurden FRITZ!Boxen, das sind DSL-Router mit Telefoniefunktionen des deutschen Anbieters AVM, in mehreren Fällen gekapert und für teure internationale Telefonate missbraucht.

Alles begann mit einem (inzwischen vom Netz genommenen) Artikel vom 28.01.2014 in der Westdeutschen Allgemeinen Zeitung. Dort wird von einem 1&1-Kunden berichtet, über dessen FRITZ!Box unerlaubte Telefonate ins Ausland geführt wurden. Der Router war mit einem Passwort geschützt, das zu den 16 Millionen vom BSI sichergestellten Datensätzen gehört. Außerdem wurden auf dem PC des Nutzers zwei Spähprogramme („Trojaner“) gefunden.

Darüber berichten in den letzten Tagen weitgehend übereinstimmend auch heise Netze, teltarif.de und golem.de. Hier ist immer nur die Rede davon, dass es einige wenige Fälle gab, in denen FRITZ!Boxen mit bekannten Zugangsdaten systematisch angegriffen wurden.

Auf Spiegel Online wurde nun gestern Abend eine Meldung veröffentlicht, die mit weiteren, etwas reißerisch aufgemachten Informationen aufwartet und dadurch Panik schürt. So soll ein Kunde von Unitymedia, der Elektrotechnik studiert [aha!], bemerkt haben, dass über seine FRITZ!Box massenhaft und offenbar automatisiert ins Ausland telefoniert worden war. Dieser Nutzer gibt vor, sein für die FRITZ!Box verwendetes Passwort sei nicht in den Datensätzen des BSI enthalten gewesen, denn er habe keine Benachrichtigung erhalten [was nicht heißt, das keine Antwort versendet wurde!]. Auch sei auf seinem Rechner bei einem Virenscan mit zwei unterschiedlichen Programmen […] keine Spähsoftware gefunden worden [klar, weil die Zugangsdaten schon vorher bekannt waren!].

Eine Sicherheitslücke oder ein Backdoor ähnlich dem kürzlich in den Routern diverser Hersteller gefundenen schließt man bei AVM dem Vernehmen nach jedoch aus.

Verlässliche Fakten bietet nur eine [inzwischen aus dem Netz entfernte] Sonderseite von AVM mit Sicherheitshinweisen zum mutmaßlichen Telefonmissbrauch. Hier wird beschrieben, wie geprüft werden kann, ob das eigene System betroffen ist, was im Falle eines Falles zu tun ist und welche Maßnahmen für eine „zusätzliche Sicherheit“ sorgen::

• Unbekannte IP-Telefone in der Telefoniegeräte-Verwaltung löschen.
• Die Callthrough-Option in der Rufumleitungs-Verwaltung deaktivieren.
• Die Kennwörter der Benutzer, denen der „Zugang aus dem Internet erlaubt“ ist, ändern.
• Das neueste FRITZ!OS einspielen.
• Eine Rufsperre für Auslandstelefonate einrichten.
• Den „Internetzugriff auf die FRITZ!Box über HTTPS“ komplett sperren.

Update vom 07.02.2014

In einer gestern Abend versendeten [und inzwischen aus dem Netz entfernten] Extraausgabe des Sicherheits-Newsletters „SICHER INFORMIERT“ bestreitet das BSI nun einen Zusammenhang mit den oben erwähnten 16 Millionen kompromittierten Adressen.
Who knows…