Logitech, wir haben ein Problem

Was ist passiert?

Viele kabellose Eingabegeräte des schweizerisch-amerikanischen Herstellers Logitech sind über Funk angreifbar und können ein Sicherheitsrisiko darstellen. Darüber berichtet das deutsche IT-Portal heise.de am Montag. Das Problem: Gewisse Schwachstellen lassen sich nicht beheben.

Welche Logitech-Geräte sind betroffen?

Angreifbar sind laut Bericht:

• alle Logitech-Geräte, die mit der Unifying-Funktechnik arbeiten. Der Hersteller liefere die betroffenen Unifying-USB-Empfänger seit 2009 bis heute mit kabellosen Tastaturen und Mäusen aus.

• Unifying komme sowohl bei preiswerten Einsteigerprodukten als auch bei aktuellen Spitzenmodellen (wie zum Beispiel der Logitech MX Master 2S) zum Einsatz.

• Man erkenne die betroffenen USB-Receiver an einem kleinen orangefarbenen Logo mit Stern.

So sieht der USB-Receiver auslogitech.com

Was können Angreifer tun?

Durch das Ausnützen der Sicherheitslücken können Angreifer Tastatureingaben belauschen und so eingetippte Mails, Passwörter etc. aufzeichnen.

Ein Angreifer könne auch selbst aktiv werden und eigene Tastenbefehle an den PC seines Opfers senden. Und das sei nicht weniger gefährlich, denn auf diese Weise lasse sich der Rechner leicht mit Schadcode infizieren.

Das Risiko dürfte für normale User gering sein, weil gezielte Angriffe einen hohen Aufwand bedeuten und wohl nur drohen, wenn es sich um lohnende Ziele handelt.

Was sollen Logitech-Kunden tun?

Die Firmware auf den neusten Stand bringen und sich an grundlegende Vorsichtsmassnahmen halten.

Es ist ziemlich kompliziert, wie aus dem bei heise.de veröffentlichten Beitrag hervorgeht. Denn es bestehen mehrere, zum Teil jahrealte Sicherheitslücken.

• Zwei Sicherheitslücken soll Logitech im Jahr 2016 durch Firmware-Updates behoben haben. Allerdings sind diese Updates nicht überall installiert worden.

• Einige der von Sicherheitsforscher Marcus Mengs gemeldeten Sicherheitsprobleme will Logitech nicht beheben, da sonst die Kompatibilität zwischen den Unifying-Produkten nicht mehr aufrechterhalten werden könne.

• Zwei weitere Sicherheitslücken sollen durch ein neues Firmware-Update im August geschlossen werden.

Das Problem laut heise.de: Das Installieren der Firmware-Updates sei nicht einfach: Was User tun können:

1. Zunächst sollte man sicherstellen, dass auf dem USB-Empfänger die aktuelle Firmware installiert ist, damit zumindest die seit 2016 bekannten Sicherheitslöcher gestopft seien. Der Haken: Das klappt nicht mit der Unifying-Software, sonder nur mit dem "Logitech Firmware Update Tool" (SecureDFU), das man installieren muss.

2. Aber auch nach den Updates bleiben die Unifying-Receiver "nach derzeitigem Stand verwundbar", schreibt heise.de. Logitech rate darum dringend: "... einen Computer (mit einem USB-Empfänger) immer dort aufzubewahren, wo Fremde nicht physisch darauf zugreifen oder ihn manipulieren können. Darüber hinaus sollten Nutzer die gängigen Sicherheitsmassnahmen ergreifen, um fremden Nutzern den Zugriff zu erschweren."

Das soll heissen, um auf Nummer sicher zu gehen, müsste man Tastatur und Maus beim Verlassen des Arbeitsplatzes wegschliessen. Das Problem: Ein Angreifer benötige nur einen unbeobachteten Moment und wenige Sekunden Zugriff auf den Receiver, um die Funkverbindung dauerhaft aus der Distanz attackieren zu können.

Das deutsche IT-Portal rät darum: "Grundsätzlich sollte man sich die Frage stellen, ob es überhaupt eine Funktastatur oder -maus sein muss. Denn am sichersten ist immer noch eine Kabelverbindung."

Was sagt Logitech?

Gegenüber heise.de versprach das Unternehmen, dass es seine Kunden "auf zwei Kundensupportseiten über die Risiken und die empfohlenen Vorgehensweisen" informieren werde.

Vor zehn Tagen hat Logitech auf seiner Support-Seite einen Beitrag mit dem Titel "Logitech Unifying Receiver Update" veröffentlicht. Darin wird eine Firmware-Aktualisierung in Aussicht gestellt und bestätigt, dass das Unternehmen mit dem Sicherheitsforscher Marcus Mengs in Kontakt stehe.

Der Sicherheitsforscher habe die Schwachstellen in einer kontrollierten Umgebung identifiziert, heisst es. "Die Schwachstellen wären komplex zu replizieren und würden eine physische Nähe zum Ziel oder sogar den Zugriff darauf erfordern. Dennoch nehmen wir die Privatsphäre unserer Kunden ernst und danken Mengs, dass er uns darauf aufmerksam gemacht hat."

Dieser Artikel erschien erstmals auf "Watson.ch"