Öffentliches WLAN gefahr­los betreiben und nutzen

Anbieter zum Thema

Security-Insider

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Keeper Security EMEA Ltd.

NCP engineering GmbH

Knackpunkt: Hotspot-Anmeldung

Wenn HTTP durchgehend freigegeben ist, kann der Benutzer ungeschützt im Internet surfen. Die IT-Abteilung wird versuchen diesen Fall bei einem öffentlichen Netzzugang wie einem Hotspot so weit wie möglich einzuschränken. Doch die Anmeldung am Hotspot muss trotzdem möglich sein. Ein Weg dieses Dilemma zu lösen ist es, das Protokoll nur für eine kurze Zeit bei Bedarf freizugeben.

Der Nutzer startet dazu manuell die Suche nach dem Hotspot und die Personal Firewall wird für eine bestimmte Zeitspanne, etwa zwei Minuten, freigeschaltet. Das funktioniert, erlaubt dem Anwender aber, in diesen zwei Minuten jede beliebige Webseite aufzurufen. Und natürlich hindert ihn niemand daran, die Suche mehrfach auszulösen und immer wieder zwei Minuten lang ungeschützt im Web zu surfen.

Eine Lösung stellt moderne VPN-Software, wie der Secure Client von NCP, dar. Sie kombiniert verschiedene Techniken, um hohe Sicherheit und Flexibilität zu gewährleisten. Befindet sich ein Benutzer mit seinem Endgerät im Empfangsbereich eines öffentlichen WLAN, wählt er den Menüpunkt „Hotspot-Anmeldung“. Der NCP Secure Client sucht daraufhin automatisch den Hotspot und baut, bei einem anmeldungsfreien Dienst, den VPN-Tunnel automatisch zur Gegenstelle auf. Wird eine Benutzereingabe vom Hotspot-Anbieter gefordert, kann der Secure Client einen gehärteten und funktional eingeschränkten Browser starten. Er lässt sich nur für die Anmeldung an Hotspots nutzen und bringt maximale Sicherheit für diesen kritischen Vorgang. Über Dateirechte und HASH-Werte kann zusätzlich sichergestellt werden, dass nur dieser Mini-Browser ausschließlich dann gestartet wird, wenn eine Anmeldung am Hotspot ansteht.

Firewall dynamisch konfigurieren

Abhängig von der notwendigen Kommunikation werden die entsprechenden Firewall-Regeln dynamisch erzeugt. Ebenso kontrolliert wird die Anzahl der IP-Adressen, die der Browser über die Anmeldungswebseite kontaktiert. Nun kann der Anwender seine Zugangsdaten eingeben und nach erfolgreicher Anmeldung mit dem NCP Secure Client die VPN-Verbindung zu seiner Firmenzentrale aufbauen. Eine direkte Kommunikation zum Internet unter Umgehung des VPN-Tunnels ist während der Anmeldung ausgeschlossen. Besonders elegant lässt sich die Anmeldung über Wireless Internet Service Provider Roaming (WISPr) abwickeln. Mit diesem Protokoll ist kein Browser mehr notwendig, der VPN-Client streamt die notwendigen Daten mittels XML an den Hotspot-Server.

Firewalls benötigen unterschiedliche Regeln für das heimische LAN und für nicht-vertrauenswürdige Netze. Was im LAN erlaubt ist, ist vermutlich in einem fremden Netz verboten. Wer sich über ein fremdes Netz per VPN mit dem LAN verbindet, ist erst dann im sicheren Netz angekommen, wenn der Tunnel korrekt etabliert ist und nicht umgangen werden kann.

Für die Personal Firewall stellt das natürlich ein Problem dar, da sie nicht wissen kann, wie ein Netz zu behandeln ist. Die Entscheidung nur auf den IP-Adressbereich zu basieren funktioniert in vielen Fällen nicht. Gerade kleine und mittelgroße Firmen nutzen intern einen Standard-IP-Bereich wie 192.168.x.x und NAT für die Verbindung mit dem Internet. Verbindet ein Mitarbeiter von Firma A seinen Laptop mit dem Netz von Firma B, die zufällig den gleichen IP-Adressbereich nutzt, schaltet seine Firewall im schlimmsten Fall alle Ports und Protokolle frei.

Automatik für Freund oder Feind

Um hier automatisiert die richtige Wahl zu treffen, sollte die Firewall selbst in der Lage sein, das heimische Netz durch einen Friendly Net-Server (FNS) im LAN zu erkennen. Ist er erreichbar, kann die Firewall den reduzierten Regelsatz anwenden, fehlt er im internen Netz, gelten automatisch die restriktiveren Regeln. Komfortabel ist es auch, wenn der VPN-Client mit Firewalls am Hotspot umgehen kann, die keine IPsec-Verbindung zulassen. Mit der neuen Path-Finder-II-Technologie schaltet der NCP Secure Client automatisch von IPsec auf SSL um, falls spezielle Application Firewalls oder Proxies den Aufbau des klassischen IPsec-Tunnels blockieren. Für den Anwender erfolgt der Wechsel transparent, ein Icon zeigt den aktiven SSL-Modus an.

Trotz automatisierter Hotspot-Anmeldung und Friendly Net-Detection ist es sinnvoll, grundlegende Sicherheitsmaßnahmen zu beachten. Natürlich ist ein Hotspot der deutschen Telekom oder der Bahn vertrauenswürdiger als der Hotspot eines Restaurants oder ein gänzlich unidentifizierter Access-Point. Wenn mehrere verfügbar sind, sollte man immer den bekannteren Anbieter wählen.

Bye, bye, Störerhaftung

Von diesen verlässlichen Anbietern könnte es bald viel mehr geben. Die unsägliche Störerhaftung, die Betreiber offener WLAN-Hotspots für Rechtsverstöße der Nutzer verantwortlich machte, ist gefallen. Nachdem die konservative politische Fraktion lange auf der Störerhaftung bestanden hatte, kam nach einem Gutachten des EuGH-Generalanwalts im März Bewegung in die Situation. Das Gutachten ergab, dass zumindest Gewerbetreibende, die der Öffentlichkeit ein kostenloses WLAN zur Verfügung stellen, nicht für das verantwortlich sind, was die Nutzer damit tun.

In Deutschland wird noch nicht einmal zwischen gewerblichen und privaten Hotspots unterschieden, es war klar, dass ein folgendes Urteil des europäischen Gerichtshofs die deutsche Gesetzgebung als europarechtswidrig demaskieren würde. Nun einigte sich die große Koalition auf die lange umstrittene Reform des Telemediengesetzes (TMG), mit der Hotspot-Betreiber praktisch vollständig von der Störerhaftung befreit werden. Lief bisher jeder Hotspot-Anbieter Gefahr, straf- und zivilrechtlich belangt zu werden, wenn Nutzer illegale Aktivitäten über seinen Hotspot durchführten, herrscht jetzt bald Rechtssicherheit für die Anbieter. Die Folge dürfte eine Vielzahl von neuen privaten und gewerblichen Hotspots im öffentlichen Raum sein.

Noch ist das Gesetz nicht verabschiedet, aber die Regierungskoalition hat sich auf die lange umstrittene Reform des Telemediengesetzes (TMG) geeinigt. Auch private und nebengewerbliche Anbieter, wie ein Restaurant, sollen das so genannte Providerprivileg der gewerblichen Anbieter genießen. Sie müssen ihr WLAN nicht mehr mit einer Vorschaltseite oder mit einer Passwortsperre sichern. Das Gesetz könnte bereits im Herbst 2016 in Kraft treten. Dann gibt es endlich den passenden rechtlichen Rahmen für die bereits zuhauf verfügbaren technischen Lösungen.

Die Angebotspalette reicht vom Heim-Router über dedizierte Gateways auf Linux-Basis und Windows-10-PCs bis hin zu gewerblichen Hotspot-Lösungen. Egal welche Plattform zum Einsatz kommt, wichtig ist in jedem Fall, auf die Trennung von lokalem Netz und dem Netzsegment mit dem Hotspot-Traffic zu achten. Gerade bei Routern für den Hausgebrauch ist nicht immer klar, ob der Hotspot-Teil in einem VLAN separiert oder auf eine andere Art und Weise vom Rest des LANs getrennt ist.

(ID:44080464)