Wirtschaft

Mailboxen sind leicht zu knacken

Aufgepasst, wer mit Cablecom telefoniert. Seine Mailbox kann leicht ausgeschnüffelt werden. Cablecom anerkennt die Sicherheitslücke und reagiert sofort.

Eigentlich ist das Anrufbeantwortersystem von Cablecoms Festnetztelefonie überaus praktisch. Man kann, wo immer man ist, auf die Cablecom-Box zugreifen - selbst ohne Telefon. Der Zugriff ist auch über das Internet möglich.

So praktisch das ist, so sehr staunten ein paar Informatikstudenten, als sie vor wenigen Tagen feststellten, dass sie mit Leichtigkeit Meiers und Müllers Cablecom-Box heimsuchen konnten. Da lässt sich dann nicht nur nachlesen, wer bei Meiers angerufen hat, sondern auch abhören, wer Müllers was auf den Beantworter gesprochen hat - vertraulich hin oder her.

Sie seien zunächst erschrocken, als sie feststellten, wie einfach der Zugang zu den Daten zu bewerkstelligen sei, sagt Marco Birchler, einer der Studenten. Immerhin gebe es auf Mailboxen auch vertrauliche Daten. Tatsächlich finden sich in diesen Systemen nicht nur die Geburtstagsgrüsse von Tante Frieda, sondern beispielsweise auch delikate Geschäftsverbindungen - für Leute mit kriminellen Energien ein gefundenes Fressen.

Der Zugang auf die Cablecom-Box via Internet führt über ein Login und ein Passwort. Beim Login ist die Telefonnummer einzugeben, die meist öffentlich zugänglich ist. Das Passwort ist eine vierstellige Zahlenkombination. In der Bedienungsanleitung werden die Telefonkunden von Cablecom zwar aufgefordert, das Standardpasswort, bestehend aus vier Nullen, zu ändern. Auch bei Cablecom scheint man aber zu wissen, dass viele Kunden das dennoch nicht tun. Deshalb ist im System eine zusätzliche Sicherung eingebaut. Gibt man das Standardpasswort 0000 ein, erscheint ein Fenster, das einem den Zugang verweigert - allerdings bloss auf den ersten Blick. Weil dieses Sicherheitselement nicht auf dem zentralen Cablecom-Server, sondern dem lokal benutzten Computer basiert, lässt es sich auch für Nichtinformatiker einfach umgehen.

Böses Erwachen bei Cablecom

Mit der Geschichte konfrontiert, rieb man sich bei Cablecom gestern zunächst die Augen. Eine interne technische Abklärung bestätigte dann aber den Befund. «Wir haben eine Sicherheitslücke», räumte Sprecher Martin Wüthrich ein und bedankte sich herzlich für den Hinweis. Im Sinn einer Sofortmassnahme beschloss Cablecom, den Zugang zur Cablecom-Box via Internet zu deaktivieren. Die Schuld für das Leck sieht die Cablecom aber nicht bei sich selbst. Gemäss Wüthrich wurde vor zehn Tagen eine neue Voicemail-Plattform installiert. Man werde jetzt vom Lieferanten eine Nachbesserung verlangen.

Damit ist im Urteil der Informatikstudenten, die unter dem Namen brocit.ch ein eigenes Unternehmen aufgebaut haben, das Problem erst halb gelöst. Die Benutzung eines vierstelligen Zahlenpasswortes bezeichnet Birchler als «himmeltraurig». Sie seien innert kürzester Zeit zu knacken - etwa mit Programmen, die in der Branche unter dem Namen «brute force attack» (brutaler Gewaltangriff) bekannt sind.

Das heisst: Selbst wenn sich Cablecom-Kunden sicherheitsbewusst verhalten und ihr Passwort verändern, ist mit einem vierstelligen Zahlencode im Internet echte Sicherheit nicht wirklich gegeben. Auch diese Sache will man bei Cablecom jetzt überdenken. Man wolle die Einführung eines sechsstelliger Codes prüfen, sagt Wüthrich. Betroffen sind immerhin 260 000 Festnetzabonnenten.