Bundesamt für Sicherheit in der Informationstechnik

M 2.389 Sichere Nutzung von Hotspots

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Benutzer

Bei Hotspots handelt es sich um einen räumlich begrenzten Funkbereich, der auf einen Raum, eine Halle oder eine Produktionsstätte begrenzt sein kann. Meistens werden Hotspots explizit für die Nutzung durch fremde Teilnehmer aufgebaut. Ihr Hauptzweck ist üblicherweise der drahtlose Zugang zum Internet. Häufig findet man solche Hotspots in Hotels, Flughäfen, Messehallen, Bahnhöfen und Kongresszentren.

Hotspots sollten immer als unsicheres Netz betrachtet werden, zum einem, da das dort vorhandene Sicherheitsniveau von außen nur schwer einzuschätzen ist und zum anderen, da die meisten Hotspots ihre Dienste in Form von Shared-Networks anbieten. Dadurch kann im Allgemeinen der Zugriff von jedem Endgerät auf jedes andere teilnehmenden Endgerät möglich sein. Ist das Risiko, das bei der Nutzung eines Hotspots entsteht, generell nicht abschätzbar, so ist es auch möglich, die Nutzung von Hotspots durch die WLAN-Sicherheitsrichtlinie vollständig zu verbieten. Dann ist aber auch technisch sicherzustellen, dass ein WLAN-Client nicht auf einen solchen Hotspot zugreifen kann.

Die Betreiber von Hotspots können viel für die Sicherheit der von ihnen angebotenen Funkstrecke und anderen Dienstleistungen tun (siehe M 4.293 Sicherer Betrieb von Hotspots ), ohne Mitarbeit der Benutzer ist eine vernünftige Absicherung allerdings nicht zu erreichen. Hierzu gehören unter anderem folgende Maßnahmen:

  • Die Benutzer sollten nachfragen, welche Sicherheitsvorkehrungen am Hotspot getroffen worden sind, um dessen Sicherheitsniveau und die Vertrauenswürdigkeit des Betreibers einschätzen zu können.
  • Vor der Benutzung sollten sie sich nach der Preisgestaltung und der Art der Abrechnung erkundigen. Aus Sicht der Verbraucher ist interessant, wie viel personenbezogene Daten bekannt gegeben werden müssen und wie mit diesen umgegangen wird. Die Benutzer sollten außerdem darauf achten, dass ihre Authentisierungsdaten am Hotspot nicht gespeichert werden oder missbraucht werden können. Die Authentisierung sollte grundsätzlich verschlüsselt erfolgen.
  • Jeder Benutzer eines Hotspots sollte sich über seine Sicherheitsanforderungen im Klaren sein und danach entscheiden, ob bzw. unter welchen Bedingungen für ihn eine Nutzung des Hotspots akzeptabel ist.
  • Spätestens dann, wenn finanzrelevante, personenbezogene oder andere sensible Daten wie Kreditkartennummern, PINs, Passwörter oder auch E-Mails übertragen werden sollen, muss sichergestellt werden, dass alle notwendigen Sicherheitsmaßnahmen auf dem Client, vor allem Verschlüsselung, aktiviert sind. Als Beispiel wäre hier das sichere Bearbeiten von Emails über eine HTTPS-Webschnittstelle bzw. über die hierfür vorgesehenen sicheren Internetprotokolle (Secure POP, IMAPS, SMTP mit SSL/TLS) zu nennen.
  • Wenn der Betreiber die Verschlüsselung auf der Funkstrecke gewährleistet, könnte prinzipiell auf Verschlüsselung auf der Applikationsebene verzichtet werden. Als zusätzliche Sicherheitsmaßnahme sollte diese aber weiter durchgeführt werden, auch da diese unter eigener Kontrolle steht. Insbesondere Passwörter sollten nie unverschlüsselt über fremde Netze übertragen werden.
  • Zum Zugriff auf ein organisationsinternes Netz sollte generell vom WLAN-Client eine verschlüsselte Verbindung über den vertrauenswürdigen Access Point der Institution aufgebaut werden.
  • Wenn man sich im Bereich eines Hotspots befindet, diesen aber nicht benutzen möchte, so sollte die WLAN-Schnittstelle am WLAN-Client abgeschaltet sein, um ein zufälliges Einbuchen zu vermeiden.
  • Falls der Betreiber für die Authentisierung am Hotspot Zertifikate anbietet, sollten die Benutzer deren Korrektheit überprüfen. Auch wenn dies lästig ist, sollten Angaben wie Fingerprint, Gültigkeitsdauer, Inhaber sowie die Zertifizierungsinstanz des Zertifikates auf Plausibilität überprüft werden.
  • Generell müssen bei allen mobilen Clients, die sich in verschiedene WLANs einbuchen können, weitere lokale Schutzmaßnahmen implementiert werden, wie z. B. Zugriffsschutz, Benutzerauthentisierung, Virenschutz, Personal Firewall, restriktive Datei- und Ressourcenfreigabe auf Betriebssystemebene, lokale Verschlüsselung, etc. Weitere Maßnahmen für einen WLAN-Client finden sich in der Maßnahme M 4.297 Sicherer Betrieb der WLAN-Komponenten .
  • Für die Nutzung von Hotspots empfiehlt es sich außerdem, spezielle Benutzerkonten mit sicherer Grundkonfiguration und restriktiven Rechten anzulegen. Keinesfalls sollte sich ein Benutzer mit Administratorrechten von seinem Client aus an externen Netzen anmelden.

Prüffragen:

  • Benutzung eines externen Hotspots: Entsprechen die Algorithmen und Sicherheitsverfahren des Hotspots dem aktuellen Stand der Technik?

  • Benutzung eines externen Hotspots: Erfolgt die Übertragung sensibler Daten ausschließlich unter Verwendung entsprechender Sicherheitsmaßnahmen und sicherer Protokolle?

  • Erfolgt der Zugriff auf ein internes Netz der Organisation nur über vertrauenswürdige Access Points und Verbindungen?

  • Ist in der Sicherheitsrichtlinie der erlaubte Zugriff auf Hotspots definiert?

  • Wird die Gültigkeit der Hotspot-Zertifikate bei der Authentisierung überprüft?

  • Werden für die Nutzung an externen Hotspots separate Benutzerkonten mit einer sicheren Grundkonfiguration und restriktiven Berechtigungen verwendet?

  • Wird die Anmeldung an externe Hotspots mit administrativen Benutzerkonten verhindert?

Stand: 13. EL Stand 2013