Die Sicherheitsbedrohung für Computer und Netzwerke kommt nicht immer über das Internet. Mit vergleichsweise kleinen und unscheinbaren Geräten lassen sich physische Zugänge, drahtlose Netzwerke, USB-Schnittstellen oder Funkverbindungen auf ihre Sicherheit testen – und unter Umständen auch missbrauchen. Besonders bedroht sind Unternehmen, aber auch Behörden. Hier folgt eine Vorstellung dieser Geräte, die die IT-Sicherheit bedrohen können.

Viele der nachfolgenden Werkzeuge wurden ursprünglich für Penetrationstests und die Sicherheitsforschung entwickelt. In den falschen Händen können sie jedoch erhebliche Risiken darstellen. Besonders problematisch ist dabei, dass einige der Geräte äußerlich kaum von gewöhnlichem Zubehör zu unterscheiden sind. Ein USB-Stick kann sich gegenüber einem Computer als Tastatur ausgeben, ein Ladekabel kann zusätzliche Elektronik enthalten und ein kleines Netzwerkgerät kann unauffällig zwischen Computer und Ethernet-Anschluss installiert werden.

1. Wi-Fi Pineapple: Gefälschte WLAN-Netze#

Ein Wi-Fi Pineapple ist ein Gerät zur Analyse und zum Test drahtloser Netzwerke. Eine seiner bekanntesten Anwendungsmöglichkeiten besteht darin, einen WLAN-Zugangspunkt nachzuahmen. In einem Café könnte beispielsweise ein Netzwerk mit einem Namen eingerichtet werden, der dem tatsächlich angebotenen WLAN entspricht. Ein Gerät, das sich automatisch mit bekannten Netzwerknamen verbindet, kann dadurch unter Umständen dazu gebracht werden, eine Verbindung zum falschen Zugangspunkt aufzubauen. Der Datenverkehr läuft anschließend zunächst über das von dem Angreifer kontrollierte Gerät. Je nach verwendeten Verschlüsselungs- und Sicherheitsmechanismen können dadurch Informationen über Verbindungen sichtbar werden oder Nutzer auf manipulierte Internetseiten umgeleitet werden.

Solche Szenarien werden häufig mit Man-in-the-Middle-Angriffen in Verbindung gebracht. Moderne HTTPS-Verbindungen erschweren zwar das einfache Mitlesen verschlüsselter Inhalte erheblich, schützen aber nicht vor jeder Form der Manipulation oder Täuschung. Für Sicherheitsprüfungen ist ein solches Gerät deshalb interessant, weil sich damit untersuchen lässt, wie sich Endgeräte gegenüber fremden oder manipulierten WLAN-Zugangspunkten verhalten.

2. USB Rubber Ducky: Ein USB-Gerät, das sich als Tastatur ausgibt#

Der USB Rubber Ducky sieht auf den ersten Blick wie ein gewöhnlicher USB-Stick aus. Sein entscheidender Unterschied besteht jedoch darin, dass er sich gegenüber dem Computer nicht notwendigerweise als Speichergerät, sondern als Tastatur identifizieren kann. Das Betriebssystem behandelt eine solche Tastatur grundsätzlich als legitimes Eingabegerät. Dadurch können vorbereitete Tastatureingaben automatisiert und mit hoher Geschwindigkeit ausgeführt werden. Ein entsprechend programmiertes Gerät kann beispielsweise Anwendungen öffnen und Befehle eingeben. Damit lässt sich in Sicherheitsprüfungen untersuchen, ob ein Computer beziehungsweise dessen Benutzer ausreichend gegen unbekannte USB-Geräte geschützt ist.

Die eigentliche Schwachstelle liegt dabei häufig nicht im USB-Gerät selbst, sondern in der Tatsache, dass Betriebssysteme Eingabegeräte grundsätzlich vertrauen müssen. Ein USB-Anschluss kann deshalb eine unerwartete Angriffsfläche darstellen. Eine besonders einfache Schutzmaßnahme besteht darin, unbekannte USB-Geräte nicht an den eigenen Computer anzuschließen. Ein vermeintlich verlorener USB-Stick sollte daher nicht aus Neugier ausprobiert werden.

3. LAN Turtle: Ein unauffälliges Netzwerkgerät#

Die LAN Turtle ist für einen anderen Angriffsvektor konzipiert. Das Gerät kann zwischen einem Computer und einer Ethernet-Verbindung eingesetzt werden und ist dadurch äußerlich weniger auffällig als ein typisches Netzwerkgerät. Unter seiner unscheinbaren Oberfläche befindet sich ein Linux-basiertes System. Je nach Konfiguration kann ein solches Gerät unter anderem zur Analyse des Netzwerkverkehrs, zur Manipulation von DNS-Anfragen oder zur Herstellung eines Fernzugangs verwendet werden.

Gerade die physische Platzierung macht das Szenario problematisch. Wird ein Gerät unbemerkt in einem Büro oder Serverraum installiert, kann es unter Umständen über längere Zeit unentdeckt bleiben. Für Penetrationstests ist das ein wichtiges Szenario: Ein Unternehmen kann über hervorragend gesicherte Internetzugänge verfügen und trotzdem gefährdet sein, wenn Unbefugte physischen Zugang zu den Netzwerkanschlüssen erhalten.

4. Key Grabber USB: Hardwarebasierte Aufzeichnung von Tastatureingaben#

Ein Ein USB-Keygrabber oder USB-Keylogger kann zwischen einer kabelgebundenen Tastatur und dem Computer angeschlossen werden. Anders als bei einem softwarebasierten Keylogger muss auf dem Computer selbst keine entsprechende Schadsoftware installiert werden. Das Gerät kann die Tastatureingaben erfassen und intern speichern. Einige Varianten verfügen darüber hinaus über Möglichkeiten zur drahtlosen Übertragung der aufgezeichneten Daten. Gerade diese Eigenschaft macht Hardware-Keylogger aus Sicht der IT-Sicherheit interessant. Klassische Sicherheitssoftware auf dem Computer kann ein Gerät, das zwischen Tastatur und USB-Anschluss sitzt, unter Umständen nicht ohne Weiteres erkennen.

Die Gegenmaßnahme ist vergleichsweise banal, aber wirkungsvoll: Physische Anschlüsse sollten ebenso kontrolliert werden wie die auf einem Computer installierte Software. In besonders geschützten Umgebungen können regelmäßige Kontrollen der Hardware deshalb Bestandteil eines Sicherheitskonzepts sein.

5. Bash Bunny: Mehrere Angriffsmöglichkeiten über einen USB-Anschluss#

Der Bash Bunny verfolgt ein ähnliches Grundprinzip wie der USB Rubber Ducky, ist jedoch wesentlich vielseitiger. Das Gerät kann gegenüber einem Computer unterschiedliche USB-Geräte simulieren, beispielsweise eine Tastatur, einen Netzwerkadapter oder ein Speichermedium. Dadurch lassen sich verschiedene Szenarien für Sicherheitstests realisieren. Die Bedeutung solcher Geräte liegt weniger darin, dass sie eine völlig neue Angriffstechnik darstellen. Entscheidend ist vielmehr die Kombination verschiedener Möglichkeiten in einem kleinen, leicht transportierbaren Gerät.

Für Unternehmen bedeutet dies, dass USB-Schnittstellen nicht ausschließlich als Speicher- oder Datenübertragungsrisiko betrachtet werden sollten. Auch Geräte, die sich gegenüber dem Betriebssystem als vermeintlich legitime Peripheriegeräte ausgeben, müssen berücksichtigt werden.

6. Proxmark: RFID-Systeme auf dem Prüfstand#

RFID-Technik begegnet uns im Alltag an zahlreichen Stellen. Zutrittskarten, Mitarbeiterausweise und bestimmte elektronische Schließsysteme nutzen RFID beziehungsweise verwandte Technologien zur Identifikation. Der Proxmark ist ein Forschungs- und Testgerät, mit dem sich verschiedene RFID-Systeme untersuchen lassen. Je nach verwendeter Technologie können Karten und Tags ausgelesen, analysiert und in bestimmten Fällen emuliert oder kopiert werden.

Wie erfolgreich ein solcher Angriff ist, hängt entscheidend von der eingesetzten RFID-Technologie ab. Ältere und schlecht geschützte Systeme sind wesentlich anfälliger als moderne Smartcards mit starken kryptografischen Schutzmechanismen. Damit wird ein grundlegendes Prinzip der physischen Sicherheit deutlich: Ein Zutrittssystem ist nicht allein deshalb sicher, weil es eine elektronische Karte verwendet. Entscheidend ist vielmehr, wie die Karte und das dahinterstehende Authentifizierungsverfahren technisch aufgebaut sind.

7. Flipper Zero: Ein vielseitiges Werkzeug für Funk- und Zugangssysteme#

Der Flipper Zero hat durch soziale Medien eine ungewöhnlich große Bekanntheit erlangt. Das kleine Gerät verfügt über verschiedene Schnittstellen und kann unter anderem RFID- und NFC-Technologien, Infrarot sowie bestimmte Funkfrequenzen verarbeiten. Dadurch lassen sich zahlreiche elektronische Systeme untersuchen. Dazu gehören beispielsweise Funkfernbedienungen, Zugangssysteme oder Infrarotgeräte.

Die große öffentliche Aufmerksamkeit hat dazu geführt, dass der Flipper Zero teilweise als „Hackergerät“ wahrgenommen wird. Technisch handelt es sich jedoch zunächst um ein vielseitiges Werkzeug für Forschung, Entwicklung und Sicherheitsanalysen. Entscheidend ist der konkrete Einsatz. Das Untersuchen eines eigenen Systems oder eines ausdrücklich zur Prüfung freigegebenen Systems ist etwas völlig anderes als das unbefugte Kopieren eines fremden Zugangssignals. Der Flipper Zero zeigt damit exemplarisch, dass die Verfügbarkeit eines Werkzeugs und die Rechtmäßigkeit seiner Verwendung zwei unterschiedliche Fragen sind.

8. HackRF One: Funk sichtbar und analysierbar machen#

Funkwellen bilden die Grundlage für einen erheblichen Teil unserer technischen Infrastruktur. WLAN, Bluetooth, Funkfernbedienungen und zahlreiche andere Systeme übertragen Informationen über elektromagnetische Wellen. Software Defined Radios, kurz SDR, ermöglichen es, solche Signale mit geeigneter Software zu empfangen und zu analysieren. Der im Video angesprochene HackRF One deckt einen breiten Frequenzbereich ab und kann nicht nur Signale empfangen, sondern auch senden.

Damit eignet sich ein SDR sowohl für Forschung als auch für Sicherheitstests an drahtlosen Kommunikationssystemen. Die Möglichkeit zur Übertragung macht solche Geräte allerdings besonders sensibel. Je nach Frequenz und verwendetem Protokoll können beispielsweise Funksignale analysiert, reproduziert oder gezielt gestört werden. Die technische Möglichkeit allein bedeutet jedoch nicht, dass eine solche Nutzung erlaubt ist. Funkfrequenzen unterliegen gesetzlichen Regelungen, und das absichtliche Stören oder Manipulieren fremder Funkkommunikation kann erhebliche rechtliche Konsequenzen haben.

9. OMG-Kabel: Wenn das Ladekabel zum Angriffswerkzeug wird#

Besonders schwer zu erkennen sind manipulierte USB-Kabel. Geräte wie sogenannte OMG-Kabel sehen gewöhnlichen Ladekabeln äußerlich sehr ähnlich, können im Inneren jedoch zusätzliche Elektronik enthalten. Ein manipuliertes Kabel kann gegenüber einem Computer beispielsweise Eingabegeräte simulieren und dadurch automatisierte Eingaben ausführen. Je nach Ausführung können außerdem drahtlose Kommunikationsmöglichkeiten integriert sein. Das macht solche Kabel zu einem besonders anschaulichen Beispiel für eine grundlegende Schwachstelle der IT-Sicherheit: Vertrauen richtet sich nicht nur auf Software. Auch physische Gegenstände können manipuliert werden.

Wer ein fremdes USB-Kabel verwendet, kann deshalb nicht ohne Weiteres erkennen, welche Elektronik tatsächlich darin verbaut ist. Eine einfache Sicherheitsregel lautet daher: Für sensible Geräte sollten möglichst eigene, vertrauenswürdige Kabel und Netzteile verwendet werden.

10. RFIDler: Open-Source-Werkzeug für RFID-Forschung#

Der RFIDler verfolgt einen ähnlichen Ansatz wie der Proxmark, konzentriert sich jedoch stärker auf bestimmte, insbesondere ältere RFID-Systeme. Sein besonderer Wert liegt in der offenen und modularen Gestaltung. Dadurch eignet sich das Gerät nicht nur zur praktischen Sicherheitsprüfung, sondern auch dazu, die Funktionsweise von RFID-Systemen auf technischer Ebene zu untersuchen.

Gerade ältere Zugangssysteme können Schwächen aufweisen, die bei modernen kryptografisch abgesicherten Systemen nicht mehr bestehen. Für Sicherheitsforscher sind solche Geräte deshalb wertvoll, weil sie die Untersuchung konkreter Implementierungen ermöglichen und Schwachstellen sichtbar machen können.

11. Signal Jammer: Wenn Funkkommunikation gezielt gestört wird#

Ein Signal Jammer verfolgt einen grundsätzlich anderen Ansatz. Statt Informationen auszulesen oder Systeme zu imitieren, versucht ein Störsender, die eigentliche Kommunikation zu unterbrechen. Dazu wird auf einer bestimmten Frequenz beziehungsweise in einem Frequenzbereich ein starkes Störsignal ausgesendet. Empfänger können dadurch Schwierigkeiten bekommen, die regulären Signale noch zuverlässig zu erkennen.Betroffen sein können je nach Gerät beispielsweise Mobilfunk, WLAN, GPS oder andere Funkverbindungen.

Das Problem liegt darin, dass ein Störsender nicht zuverlässig zwischen „erlaubter“ und „unerwünschter“ Kommunikation unterscheiden kann. Eine Störung kann deshalb nicht nur das eigentlich anvisierte Gerät treffen, sondern auch unbeteiligte Personen und sicherheitsrelevante Systeme. Insbesondere die Beeinträchtigung von Notrufen macht den Einsatz solcher Geräte zu einem erheblichen Sicherheitsrisiko. Der Betrieb von Störsendern ist daher in vielen Rechtsordnungen streng reguliert beziehungsweise verboten.

12. Lockpicking: Die klassische physische Schwachstelle#

Nicht jede Sicherheitsprüfung benötigt elektronische Geräte. Auch klassische Schlösser können Teil eines Penetrationstests sein. In technischen Einrichtungen finden sich beispielsweise Schlösser an Serverschränken, Netzwerkverteilern, Telekommunikationsanlagen oder anderen Zugangspunkten. Werden dort einfache oder veraltete Schließsysteme eingesetzt, kann der physische Zugang unter Umständen vergleichsweise leicht überwunden werden.

Für Sicherheitstests stehen verschiedene Werkzeuge zur Verfügung, darunter Lockpicks oder speziell gefertigte Schlüssel. Das Beispiel verdeutlicht, dass digitale Sicherheit und physische Sicherheit nicht voneinander getrennt betrachtet werden können. Ein perfekt abgesicherter Server ist nur dann geschützt, wenn auch der Raum und die Infrastruktur, in der er steht, entsprechend gesichert sind.

13. Physischer Zugang: Ein unterschätztes Sicherheitsrisiko#

Die verschiedenen Geräte haben eine Gemeinsamkeit: Sie setzen häufig nicht bei einer klassischen Schwachstelle in einer Software an, sondern bei einer physischen Möglichkeit des Zugriffs. Ein Angreifer muss nicht zwangsläufig einen Server über das Internet kompromittieren. Es kann genügen, einen ungeschützten USB-Anschluss zu erreichen, ein Netzwerkgerät zwischenzuschalten, einen Mitarbeiterausweis zu kopieren oder Zugang zu einem Serverraum zu erhalten. Damit wird eine zentrale Erkenntnis der IT-Sicherheit deutlich: Digitale Sicherheitsmaßnahmen können physische Schwachstellen nicht vollständig kompensieren.

14. Fazit#

Viele der beschriebenen Geräte wurden ursprünglich nicht für kriminelle Zwecke entwickelt. Sie werden von Sicherheitsforschern verwendet, um die Widerstandsfähigkeit von Systemen zu überprüfen. Gerade weil die Geräte reale Angriffsmöglichkeiten nachvollziehbar machen, können sie einen wichtigen Beitrag zur Verbesserung der Sicherheit leisten. Unternehmen und Behörden können beispielsweise kontrolliert testen, ob Mitarbeiter unbekannte USB-Geräte anschließen, ob Netzwerkanschlüsse ausreichend geschützt sind oder ob Zugangskontrollen technisch noch zeitgemäß sind.

Dabei sind nicht unbedingt die spektakulärsten Geräte die größte Gefahr. Besonders problematisch sind Technologien, die sich unauffällig in den Alltag integrieren lassen: ein USB-Gerät, ein Ethernet-Adapter oder sogar ein gewöhnliches Ladekabel. Für die IT-Sicherheit von Behörden und Unternehmen bedeutet das, dass Schutzmaßnahmen nicht an der Firewall enden dürfen. Ein umfassendes Sicherheitskonzept muss auch physische Zugänge, Peripheriegeräte, Funktechnik und das Verhalten der Benutzer berücksichtigen. Noch wichtiger: Sicherheit ist nicht nur eine Frage der Software. Wer ein System schützen will, muss auch berücksichtigen, wer physischen Zugang zu seiner Hardware und Infrastruktur hat.