Wie veraltete Hardware neue Sicherheitsrisiken birgt

# Veraltete Technik? Wie alte Hardware neue Sicherheitsrisiken schafft

In der sich schnell entwickelnden digitalen Landschaft von heute verlassen sich viele Organisationen und Einzelpersonen weiterhin auf veraltete Hardware für kritische Operationen. Während die Verwendung von Altsystemen kosteneffektiv oder praktisch erscheinen mag, birgt sie erhebliche Sicherheitsrisiken, die oft unterschätzt werden. Dieser ausführliche technische Blog wird untersuchen, wie alte Hardware neue Bedrohungen für Ihre Cybersicherheitslage einführen kann – einschließlich Hardware-Backdoors, Standard-Anmeldedaten, nicht patchbare Schwachstellen und Techniken zur Ausnutzung in der realen Welt. Wir liefern auch praktische Scanbefehle und Codebeispiele zum Erkennen risikoreicher Hardware in Ihrer Umgebung, was diesen Leitfaden sowohl für Anfänger als auch für fortgeschrittene Nutzer nützlich macht.

---

## Inhaltsverzeichnis

- [Einleitung: Warum alte Hardware ein Sicherheitsrisiko darstellt](#einleitung-warum-alte-hardware-ein-sicherheitsrisiko-darstellt)
- [Hardware-Backdoors: Eine versteckte Bedrohung](#hardware-backdoors-eine-versteckte-bedrohung)
    - [Was ist ein Hardware-Backdoor?](#was-ist-ein-hardware-backdoor)
    - [Berüchtigte Beispiele](#berüchtigte-beispiele)
    - [Moderne Prozessoren und Fernzugriff](#moderne-prozessoren-und-fernzugriff)
    - [Proof-of-Concepts: Rakshasa](#proof-of-concepts-rakshasa)
- [Standard-Anmeldedaten und Firmware-Schwächen](#standard-anmeldedaten-und-firmware-schwächen)
    - [Unveränderliche und festprogrammierte Passwörter](#unveränderliche-und-festprogrammierte-passwörter)
    - [Firmware-Sicherheitsprobleme bei Altsystemen](#firmware-sicherheitsprobleme-bei-altsystemen)
- [Nicht patchbare Schwachstellen](#nicht-patchbare-schwachstellen)
    - [Nicht unterstützte Hardware und Sicherheitsvernachlässigung](#nicht-unterstützte-hardware-und-sicherheitsvernachlässigung)
    - [Beispiele: Meltdown, Spectre und mehr](#beispiele-meltdown-spectre-und-mehr)
- [Reale Vorfälle und spektakuläre Angriffe](#reale-vorfälle-und-spektakuläre-angriffe)
- [Scannen nach veralteter Hardware: Praktischer Leitfaden](#scannen-nach-veralteter-hardware-praktischer-leitfaden)
    - [Kommandozeilenwerkzeuge](#kommandozeilenwerkzeuge)
    - [Parsing und Automatisierung der Erkennung mit Bash und Python](#parsing-und-automatisierung-der-erkennung-mit-bash-und-python)
- [Risikominderung bei veralteter Hardware](#risikominderung-bei-veralteter-hardware)
- [Fazit](#fazit)
- [Referenzen](#referenzen)

---

## Einleitung: Warum alte Hardware ein Sicherheitsrisiko darstellt

Organisationen betreiben häufig alte Server, Router, Desktops, eingebettete Geräte oder Verbraucherelektronik über ihre beabsichtigte Lebensdauer hinaus. Die Gründe reichen von der Mentalität "Wenn es nicht kaputt ist, repariere es nicht" bis hin zu Budgetbeschränkungen oder der Notwendigkeit der Kompatibilität mit veralteter Software.

Allerdings wird veraltete Hardware zu einer **Sicherheitsverpflichtung** aufgrund von:

- Fehlenden Updates oder Patches für entdeckte Schwachstellen
- End-of-life (EOL)-Komponenten ohne Unterstützung durch den Anbieter
- Designfehlern in Firmware und Hardware
- Standard- oder fest verankerten Anmeldedaten
- Inkompatibilität mit modernen Sicherheitsprotokollen

Die Architektur, Firmware und eingebettete Sicherheit alter Hardware entspricht selten der heutigen Landschaft von Angriffen. Dies ermöglicht es Bedrohungsakteuren, Schwachstellen auf eine Weise auszunutzen, die für traditionelle Softwaresicherheitsverteidigungen unsichtbar ist.

---

## Hardware-Backdoors: Eine versteckte Bedrohung

### Was ist ein Hardware-Backdoor?

Ein **Hardware-Backdoor** ist ein absichtlicher oder zufälliger Fehler im physischen Design eines Geräts, der das Umgehen von Sicherheitsmechanismen ermöglicht. Im Gegensatz zu softwarebasierten Malware-Programmen können Hardware-Backdoors während der Fertigung, der Lieferkette oder der Firmware-Phasen eingeführt werden und sind extrem schwer zu erkennen oder zu beseitigen, ohne physische Komponenten zu ersetzen.

Backdoors können in folgenden Komponenten existieren:

- CPUs
- System-BIOS oder UEFI-Firmware
- Netzwerkkarten und Controller
- Eingebettete Controller und IoT-Chips

#### **Warum sind Hardware-Backdoors gefährlich?**

- Sie arbeiten auf einer niedrigeren (tieferen) Berechtigungsebene als jede installierte Software (einschließlich des OS und Hypervisors).
- Antivirus-, EDR- und die meisten Sicherheitstools können sie nicht sehen oder entfernen.
- Angreifer können Formate oder eine Neuinstallation des Betriebssystems überdauern.
- Sie können Daten exfiltrieren, Hardware aus der Ferne steuern oder Geräte nach Belieben unbrauchbar machen.

### Berüchtigte Beispiele

#### **Rakshasa BIOS Backdoor**

Sicherheitsforscher Jonathan Brossard hat ([The Hacker News, 2012](https://thehackernews.com/2012/08/researcher-demonstrate-hardware-based.html)) einen hardware-basierten Backdoor (Rakshasa) demonstriert, der das System-BIOS/UEFI durch eine kompromittierte Firmware ersetzt und verdeckte Persistenz erreicht. Einmal installiert, kann Malware:

- OS-Löschungen/Neuinstallationen überleben
- Sich selbst wiederherstellen, selbst nach Firmware-Upgrades oder -Neu-Flashings
- Rootkits, Datenexfiltrierwerkzeuge transportieren oder sogar das System sabotieren

#### **Supermicro Motherboard Spy Chip**

Bloomberg berichtete 2018 über angebliche Manipulationen in der chinesischen Lieferkette, bei denen bösartige Chips in Supermicro-Motherboards eingefügt wurden, die von großen US-Firmen genutzt wurden, möglicherweise, um eine Fern-Backdoor zu ermöglichen. Auch wenn diese Berichte umstritten sind, unterstreichen sie doch das globale Risiko von Lieferketten.

---

### Moderne Prozessoren und Fernzugriff

Heute integrieren führende CPUs von Intel und AMD Management-Engines auf niedriger Ebene wie Intel Management Engine (IME) und AMD Platform Security Processor (PSP):

- **IME/AMD PSP**: Mikrokontroller, die in Silizium eingebettet sind, für Systemmanagement auch bei "ausgeschaltetem" Gerät.
- Diese Controller laufen auf proprietärer Firmware, die weitgehend außerhalb der Benutzerkontrolle liegt.
- Wenn sie kompromittiert oder absichtlich mit einem Backdoor versehen sind, ermöglichen sie Fernverwaltung, nicht nachweisbare Rootkit-Installation und sogar "Remote-Kill-Switches".

**Wie im [r/privacy Subreddit](https://www.reddit.com/r/privacy/comments/1w5u9l8/cpu_hardware_backdoors/) diskutiert:**
> Moderne Intel- und AMD-Prozessoren ermöglichen Fernzugriff via Hardware und haben die tiefste Berechtigungsebene, die Remote-Kill-Switches erlauben kann...

#### **Auswirkungen:**

- Angreifer oder böswillige Akteure mit Kenntnissen über nicht dokumentierte Zugänge können Betriebssystem-gesicherte Sicherheitskontrollen umgehen.
- Es gibt keine zuverlässige Möglichkeit für Endbenutzer, diese Komponenten unabhängig zu überprüfen oder vollständig zu deaktivieren.

---

### Proof-of-Concepts: Rakshasa

Rakshasa, von Brossard, ist bemerkenswert für:

- **Portabilität**: Kann auf den meisten Motherboards installiert werden, die eine beschreibbare BIOS/UEFI-Funktionalität unterstützen.
- **Unsichtbarkeit**: Wird von typischen AV-/Endpunktsicherheitstools nicht erkannt.
- **Persistenz**: Überdauert Firmware-Upgrades durch strategische Platzierung und Infektionen auf Firmware-Ebene.

**Technische Zusammenfassung aus dem [Hacker News Artikel](https://thehackernews.com/2012/08/researcher-demonstrate-hardware-based.html):**
> "...der Backdoor ermöglicht es dem Angreifer, auf das kompromittierte System aus der Ferne zuzugreifen und sogar Malware nach einer vollständigen Systemlöschung neu zu installieren."

#### Weitere Details:
[Jonathan Brossard’s Rakshasa BIOS Backdoor - Präsentationsfolien](https://archive.defcon.org/html/defcon-20/dc-20-speakers.html#Brossard)

---

## Standard-Anmeldedaten und Firmware-Schwächen

### Unveränderliche und festprogrammierte Passwörter

Legacy-Hardware (Router, Drucker, Kameras, IoT- und Industriegeräte) wird häufig ausgeliefert mit:

- Werkseitig eingestellten Administrationskonten mit Standardpasswörtern (“admin/admin”, “root/root”)
- In die Firmware eingebetteten Passwörtern, die vom Benutzer nicht geändert werden können
- Backdoor-/Testkonten, die während der Herstellung/Prüfung belassen wurden

**Angreifer scannen oft nach diesen exponierten Geräten.** Suchmaschinen wie [Shodan](https://www.shodan.io/) können angeschlossene Geräte mit offenen Telnet-/SSH-/HTTP-Administratorports finden, und jeder mit den Standard-Anmeldedaten kann sich anmelden und die Kontrolle übernehmen.

#### **Reale Vorfälle:**

- **Mirai Botnet (2016):** Nutzt Standard-Anmeldedaten in IP-Kameras und Routern, um ein massives DDoS-Netzwerk zu schaffen, das Internet-Giganten wie Twitter, Reddit und Paypal beeinträchtigte.
- **Industrial Control Systems (ICS):** Versorgungsbetriebe und Wasseraufbereitungsanlagen, die über das Internet exponiert sind, konnten mit Standard-Hard-Coded-Anmeldedaten kontrolliert werden.

### Firmware-Sicherheitsprobleme bei Altsystemen

Firmware ist oft:

- Schlecht dokumentiert
- Basierend auf veralteten Betriebssystemen (z. B. Linux 2.4, VxWorks, „uraltes“ RTOS)
- Jahrelang nicht gepatcht (wenn überhaupt)
- Ohne moderne Kryptografieprotokolle gestaltet

Ein Fehler in alter Firmware kann es Angreifern ermöglichen, mit wenig Aufwand die vollständige Kontrolle zu übernehmen, und Anbieter bieten häufig keine Upgrade-Pfade für solche Geräte.

---

## Nicht patchbare Schwachstellen

### Nicht unterstützte Hardware und Sicherheitsvernachlässigung

Wenn Hardware das "Ende ihres Lebenszyklus" erreicht, stellen Anbieter den Support ein:

- Keine Freigabe von Firmware-Patches mehr, selbst für kritische Sicherheitslücken
- Sicherheitsfehler werden zu "immerwährenden Schwachstellen" für jedes verbleibende Gerät im Einsatz

Angreifer können öffentliche Exploits entwickeln (nirgends sonst zu verstecken), wissend, dass Geräte nicht repariert werden können.

### Beispiele: Meltdown, Spectre und mehr

Die **Meltdown und Spectre** CPU-Bugs, die 2018 bekannt wurden, verdeutlichten, wie grundlegendes Hardwaredesign universelle Risiken einführen kann. Diese Schwachstellen ermöglichten es Angreifern:

- Sensitiven Speicher innerhalb desselben Systems zu lesen (Spectre)
- Hardware-Isolierung zu umgehen (Meltdown)

Patches für einige Chips waren einfach nicht möglich, insbesondere für ältere Prozessoren, die keine Microcode-Update-Mechanismen haben. Ältere Geräte bleiben *dauerhaft ausnutzbar*.

**Andere nicht patchbare Schwachstellen:**

- Ältere Intel-CPUs (vor 2012) ohne Maßnahmen gegen spekulative Ausführungsangriffe
- WLAN-Chipsätze mit Protokollfehlern (z. B. KRACK-Schwachstelle) und ohne Firmware-Updates
- Alte BMC/IPMI-Controller mit Remote-Root-Fehlern und ohne Patch-Möglichkeit

---

## Reale Vorfälle und spektakuläre Angriffe

### Fallstudien

1. **Mirai Botnet**: Nutzt Standard-Anmeldedaten in Tausenden von IoT-Geräten.
2. **Stuxnet (2010)**: Zielte auf nukleare Zentrifugen mit Fehlern sowohl in Windows als auch in industrieller PLC-Hardware.
3. **Shadow Brokers Leak (2017)**: Brachte NSA-Tools ans Licht, die alte Netzwerkhardware über Altschwachstellen ausnutzten.
4. **TRITON Malware (2017)**: Zielte auf industrielle Sicherheitscontroller und nutzte alte und ungepatchte Schwachstellen aus, um Sicherheitsmechanismen zu deaktivieren.

### Auswirkungen

- **Datendiebstahl:** Angreifer können geistiges Eigentum über nicht nachweisbare, persistente Backdoors extrahieren.
- **Störungen:** Kompromittierte Hardware kann ferngesteuert deaktiviert werden ("Kill-Switch").
- **Rufschaden:** Sicherheitsverletzungen aufgrund veralteter Hardware führen oft zu rechtlichen und rufschädigenden Konsequenzen.

---

## Scannen nach veralteter Hardware: Praktischer Leitfaden

### Kommandozeilenwerkzeuge

#### **Hardware-Erkennung unter Linux**

Um die Hardware zu identifizieren und Hersteller, Modell und Firmware-Version zu überprüfen:

```bash
sudo dmidecode | less

Auflisten von PCI/USB-Geräten, einschließlich Netzwerkkontrollern:

lspci
lsusb

CPU-Unterstützung auflisten und Mikrocode-Alter entdecken:

cat /proc/cpuinfo
dmesg | grep microcode

Aktuelle BIOS/UEFI-Version abfragen:

sudo dmidecode -t bios

Netzwerkgeräteerkennung

Alle Geräte im Netzwerk lokalisieren, die möglicherweise Standard-Anmeldedaten oder veraltete Firmware haben:

nmap -sV 192.168.1.0/24

Scannen nach häufigen Standard-Anmeldedatenports (http/telnet/ssh):

nmap -p 22,23,80,443,8080 192.168.1.0/24

Firmware-Versionsprüfungen (mit `curl` und `wget`):

curl -s http://<gerät-ip>/ | grep -i firmware

Parsing und Automatisierung der Erkennung mit Bash und Python

Beispiel eines Bash-Skripts zum Melden von BIOS-Versionen und CPU-Infos

#!/bin/bash
echo "Sammeln von BIOS-Informationen..."
sudo dmidecode -t bios | grep -E 'Vendor|Version|Release Date'

echo "Erkennung der CPU..."
cat /proc/cpuinfo | grep -E 'model name|flags' | uniq

Python für Netzwerkgeräte-Bannerparsing

import nmap

nm = nmap.PortScanner()
nm.scan('192.168.1.0/24', arguments='-sV -p 22,23,80,443,8080')

for host in nm.all_hosts():
    print("Host : %s" % host)
    for proto in nm[host].all_protocols():
        print("Protokoll : %s" % proto)
        ports = nm[host][proto].keys()
        for port in ports:
            service = nm[host][proto][port]['product']
            version = nm[host][proto][port]['version']
            print("Port : %s\tDienst: %s\tVersion: %s" % (port, service, version))

Fortgeschritten: Erkennung von Standard-Anmeldedaten-Risiken mit Hydra

Auf identifizierten Geräten nutzen Sie hydra, um nach Standard-Anmeldedaten zu überprüfen:

hydra -L users.txt -P passwords.txt <gerät-ip> http-get

Warnung: Nur auf Geräten verwenden, die Sie besitzen oder für die Sie eine Genehmigung haben, um sie zu testen!

Risikominderung bei veralteter Hardware

Bestandsaufnahme: Führen Sie eine genaue Liste aller Geräte, ihrer Hardwaremodelle und Firmware-/Softwareversionen.
Herstellerunterstützung überprüfen: Überprüfen Sie regelmäßig, welche Geräte noch unterstützt werden und Updates erhalten.
Altsysteme isolieren: Platzieren Sie nicht unterstützte Hardware in separaten, durch eine Firewall geschützten Netzwerksegmenten mit strengen Zugriffskontrollen.
Standardpasswörter ändern: Konfigurieren Sie stets neue, starke Passwörter auf jedem Gerät oder deaktivieren Sie ungenutzte Dienste.
Firmware aktualisieren/ersetzen: Aktualisieren Sie, wenn möglich, die Firmware auf die neueste, sichere Version.
Physische Sicherheit: Verhindern Sie physische Manipulationen an Geräten, um das Risiko von Hardwareimplantaten zu reduzieren.
Ruhestellung oder Ersatz: Stilllegen oder ersetzen Sie Geräte, die nicht aktualisiert oder gepatcht werden können.
Überwachung auf Eindringlinge: Setzen Sie Netzwerküberwachungs- und Protokollkorrelationswerkzeuge ein, um ungewöhnliches Verhalten von Althardware zu erkennen.

Wie wir herausgestellt haben, ist alte Hardware nicht nur ein Leistungsengpass – sie ist ein Sicherheitspulverfass. Von Hardware-Backdoors, über Standard-Anmeldedaten und nicht patchbare Schwachstellen, bis hin zu den Realitäten moderner und veralteter Ausnutzungsmethoden, untergraben veraltete Geräte Ihre Sicherheitslage auf den tiefsten Ebenen. Angriffe, die diese Schwächen ausnutzen, sind nicht länger theoretisch; sie waren die Ursache großer Sicherheitsverletzungen und persistenter Bedrohungen weltweit.

Handlungsschritte:

Regelmäßig Ihre Hardware scannen und inventarisieren
Gefährdete Infrastruktur aktualisieren oder stilllegen
Mitarbeiter über die Gefahren veralteter Firmware, Standard-Anmeldedaten und Lieferkettenangriffe aufklären

Mit proaktivem Management können Sie die Risiken minimieren, die von veralteter Technologie ausgehen, und sich gegen sowohl klassische als auch moderne hardwarebasierte Bedrohungen verteidigen.

Referenzen

Durch das Verstehen und Angehen der Sicherheitsrisiken veralteter Hardware schützen Sie nicht nur Ihre Infrastruktur – Sie tragen dazu bei, das breitere digitale Ökosystem zu sichern.

Wie veraltete Hardware neue Sicherheitsrisiken birgt

Bringen Sie Ihre Cybersecurity-Karriere auf die nächste Stufe