Ringen um Sicherheit beim kommenden Mobilfunkstandard WhatsApp sorgt für Sicherheit bei 5G

Sogar in Zeiten von 5G werden mit unsicheren Mobilfunknetzen leben müssen, sagt Sicherheitsguru Bruce Schneier. Dennoch hat die britische Regierung jetzt Pläne vorgestellt, um kritische Infrastrukturen besser vor Angriffen zu schützen.

Anbieter zum Thema

Arvato Systems

TXOne Networks

Arctic Wolf Networks Germany GmbH

Geht es um die Sicherheit von Mobilfunknetzen und kritischen Infrastrukturen, dann gehört mittlerweile anscheinend ein gewisser Argwohn gegenüber chinesischen Ausrüstern zum guten Ton. Die britische Regierung spricht allgemeiner von „high risk vendors“ und will deren Einfluss künftig zurückdrängen. Sicherheitsexperte Bruce Schneier glaubt derweil, dass es damit allein keineswegs getan sein wird.

Britische Pläne

Die am 28. Januar von der britischen Regierung vorgestellten Empfehlungen gründen sich auf eine „Telecom Supply Chain Review“. In deren Rahmen habe das National Cyber Security Centre (NCSC) technische und sicherheitsrelevante Analysen durchgeführt.

Ergebnis sind verschiedene Ratschläge. Produkte von High Risk Vendors sollen demnach nicht mehr als 35 Prozent der Systeme in Zugangsnetzen stellen. Ganz ausgeschlossen werden sollen die genannten Anbieter bei...

• kritischen Infrastrukturen zur Gefahrenabwehr (Safety),

• sicherheitsrelevanten Funktionen im Kernnetz (Core) sowie

• sensiblen geographischen Lokationen, wie Kernkraftwerken und Militärgeländen.

Zudem setzt sich die Regierung für die Vielfalt der Ausrüster in Netzen ein. Hierfür wolle man etwa offene und interoperable Standards unterstützen, welche die Eintrittsschranke für neue Anbieter senken.

Frühestmöglich sollen entsprechende gesetzliche Regelungen auf den Weg gebracht werden, um die das neue „Telecoms Security Framework“ auf den Weg zu bringen.

Schneier äußert grundlegende Kritik

Aus Sicht Bruce Schneiers dürfte dieser Ansatz jedoch nicht genügen, um die Sicherheitsprobleme von Mobilfunknetzen zu lösen. Der Sicherheitsexperte hatte bereits Mitte des Monats zahlreiche Schwachpunkte in einem Blogbeitrag zusammengestellt.

Darin geht Schneier weit über die Bedenken gegenüber chinesischen 5G-Ausrüstern hinaus und skizziert generelle, herstellerübergreifende Bedenken. Sein Credo dabei: Im Vergleich zu 4G biete 5G zwar deutliche Verbesserungen in Sachen Sicherheit; die allerdings genügen nicht.

Dabei konzentriert sich Schneiers Argumentation auf folgende drei Punkte:

• Die Standards seien schlicht zu komplex, um sicher implementiert zu werden. Zudem verwische mit 5G zusehends die Grenze zwischen Zugangs- und Core-Netz. Zunehmend virtualisierte Systeme erhöhten überdies die Zahl möglicher Angriffspunkte.

• Mit 5G wird 4G nicht auf der Stelle verschwinden. In rückwärtskompatiblen und gemischten Infrastrukturen bleiben bestehende Schwachstellen weiterhin erhalten.

• Zahlreiche der mit 5G vorgesehenen Sicherheitsfunktionen seien optional und es stehe Netzwerkbetreibern frei, diese zu implementieren – oder eben auch nicht. Bei der Entwicklung von 5G sei zudem mehr Wert auf Performance, Kosten und Markteinführungszeit gelegt worden als auf Sicherheit. Ergänzend verweist Schneier auch auf schlechte Erfahrungen mit den Vorgängerstandards: Bei 4G hätten Netzwerkbetreiber selbst verpflichtende Security Features aus Kostengründen ignoriert.

Nichtzuletzt unterstellt Schneier staatlichen Akteuren ein teils mangelndes Interesse an sicheren Netzen. So hätte die NSA nur allzu gern IT-Schwachstellen genutzt, um weltweit Daten zu sammeln. Das FBI habe zudem selbst neue Lücken installieren wollen.

OTT kann einige Probleme lösen

Schneiers Resümee lautet: Es ist zu spät, um 5G-Netze abzusichern. Als Behelfslösung für eine abhörsicherere Kommunikation könnten Over-the-top-Dienste (OTT) fungieren, darunter Messenger wie WhatsApp. Als ungelöstes Problem benennt der Sicherheitsexperte derweil per Schadsoftware angreifbare Smartphones – gegen die auch sichere Mobilfunkprotokolle keine Abhilfe böten.

Unterschiedliche Gewichtungen: Schneier vs. NCSC

Schneiers Kritik an 5G steht freilich nicht unwidersprochen im Raum. So relativiert das NCSC unter anderem die Gefahren einer weniger strikten Trennung von Core- und Zugriffsnetzen bei 5G. Zwar rückten die sensiblen Funktionen des Core tatsächlich ein wenig weiter nach außen. Für genügend Sicherheit könne jedoch ein entsprechend angepasstes Netzwerkdesign sorgen.

Pointiert drückt es das NCSC in folgendem Beispiel aus: Wer sensible Daten leichtfertig in einem angreifbaren Edge-Device verarbeite, das auf einem Bus-Wartehäuschen installiert ist, der brauche sich auch nicht mehr um die Zuverlässigkeit seines Hardwareausrüsters sorgen.

(ID:46337676)