„Hacker“ im Fernsehen … – Die Katastrophe ist eine ganz andere

Heute Abend ist eine neue Folge von „Hacker im Fernsehen“ in der Reihe „Hacker und Journalisten“ angekündigt. Auf ZEIT Online bringt Patrick Beuth schon mal einen Vorgeschmack: „Jedes USB-Gerät kann zur Waffe werden“. Ui!

[ Update: nach diesem Bericht auf heise online wird deutlicher, um was es wirklich geht und wie der Angriff funktioniert. Tatsächlich steckt mehr dahinter, als die anderen Berichte hergegeben haben. Siehe auch meinen Kommentar unten. Und gerade habe ich den WDR-Bericht gesehen. Dort wird suggeriert, dass die neuen Erkenntnisse dafür sorgen, dass ein Angreifer den angegriffenen Computer steuern und überwachen oder die Kamera anschalten kann. Dies hat aber nichts direkt mit dem USB-Stick zu tun, sondern es wurde einfach eine entsprechende Schadsoftware heruntergeladen. Und die könnte natürlich auch von einem Virenscanner erkannt werden, wie jede andere Schadsofware auch. Der USB-Stick ist eben eine weitere wenn auch sehr interessante und spezielle Möglichkeit für die Infizierung. ]

Die Hacker haben die Firmware eines USB-Sticks gehackt, hey wow! Sie „haben eine ganze Familie von neuartigen Angriffen entwickelt“, und bei Monitor heißt es sogar: „Sie manipulierten nicht den eigentlichen Speicherchip des USB-Sticks sondern den eingebauten Prozessor (Microcontroller)“. Boa ey, voll die Superhacker. Oder etwa nicht?

Nein. Nur Show. Wenn da nicht noch deutlich mehr kommt, wird mal wieder eine Sau durchs Sommerloch getrieben, die eher eine nüchterne Betrachtung verdient hat. [ Update: Die Erkenntnisse zum Umprogrammieren von USB-Controllern sind nicht nur Show. Aber das, was Monitor daraus gemacht hat ist im Wesentlichen Show. ] Per USB anschließbare Tastaturen gibt es schon lange, programmierbare Chips um beliebige Eingaben zu erzeugen auch. Denn nichts anderes wird dort genutzt: ein USB-Gerät meldet sich als Tastatur an und macht Eingaben, die ein Programm starten. Ähnliches wird zum Beispiel gerne für die automatische Eingabe von Einmal-Passwörtern genutzt. Auch frei programmierbare komplexe USB-Controller sind auf dem Markt verfügbar. Vollkommen Legal. Vollkommen normal. Interessanter würde es werden, wenn beispielsweise die Webcam entsprechend intelligent umgeschrieben werden würde und sich als Tastatur oder Speicherstick ausgibt – davon ist aber bisher nicht die Rede.

Und natürlich kann die simulierte Tastatur statt der Eingabe eines generierten Einmal-Passworts o.ä. auch alles andere „eingeben“, was man per Tastatur eingeben kann. Zum Beispiel die Tastendrücke, um ein Programm herunterzuladen und zu starten – wenn das Betriebssystem das erlaubt. Es geht also alles, was auch ein fremder Nutzer machen könnte, wenn er vor dem betreffenden Computer sitzt. Dazu muss man aber keine Firmware manipulieren oder irgendwelche Chips auseinandernehmen. Nur ein bisschen basteln. Kein Skandal, keine Hardware-Sicherheitslücke, nix. Die Überwachung des Nutzers geschieht nicht durch den USB-Stick. Der ist nur dazu da, mit ein paar Tastatureingaben das eigentliche Programm herunterzuladen und zu installieren. Wenn der Nutzer denn die entsprechenden Berechtigungen hat, der Bildschirm nicht gesperrt ist und so weiter.

Niemand würde eine Show aus „darf ich mal 5 Minuten an Ihren Computer“ machen, wenn danach eine Schadsoftware installiert ist. Aber wenn ein selbsternannter "Hacker" kommt und irgendwelches Zeug erzählt, dann finden sich immer Journalisten die eine Story draus machen.

Kann also jedes USB-Gerät „zur Waffe“ werden? Nein, Unsinn. Man kann aber in jedes beliebige Gehäuse eines USB-Gerätes etwas anderes einbauen. Zum Beispiel etwas, das sich als Tastatur anmeldet und Tasten drückt. Oder Zufallszahlen generiert. Oder Roboter steuert. Und wer Spaß daran hat, kann natürlich auch einen vorhandenen Chip analysieren und umprogrammieren. Das kann sogar sehr interessant sein.

Man kann der Geschichte aber wenigstens etwas gutes abgewinnen: Vielleicht verstehen ein paar Menschen mehr, dass in einem „USB-Stick“ alles stecken kann: Speicher, ein TV-Empfänger, eine Tastatur ohne Tasten, ein WLAN-Adapter oder was auch immer. Und vielleicht verstehen einige auch, dass ein auf dem Computer laufendes Programm eben alles machen kann, was es darf. Aber: wenn die Darstellung bei Monitor genauso unprofessionell-reisserisch ist wie bei ZEIT Online, dann schürt das ganze nur Diffuse Angst ohne etwas zu erklären. Die Vorab-Meldung auf der Webseie lässt schlimmstes befürchten: „Experten sprechen von einer ,Katastrophe für den Datenschutz'“. Welch ein Unsinn. Mit Datenschutz hat das erst mal nicht viel zu tun.

Schade. Aber: es ist eben Sommerloch. Die Katastrophe ist, dass Journalisten offensichtlich nicht mehr mitdenken und jeden Unsinn nachplappern.