Backdoors in Routern: Wenn Netzwerkhardware ab Werk kompromittiert ist

Aktuelle Berichte zeigen: Weltweit vertriebene Router von OEM-Herstellern enthalten in manchen Fällen bereits ab Werk versteckte Zugänge. Für Unternehmen ist das ein besonders unangenehmes Risiko – denn hier hilft kein Patch-Management der Welt, wenn die Schwachstelle nicht in der Software steckt, die man selbst installiert hat, sondern fest in der Hardware verbaut ist, bevor das Gerät überhaupt ausgepackt wird.

Für KMU in Dresden, Sachsen und anderswo, deren gesamte Kommunikation, Cloud-Anbindung und Fernzugriffe über genau solche Netzwerkgeräte laufen, ist das kein abstraktes Problem. Ein kompromittierter Router am Netzwerkrand ist der ideale Angriffspunkt: Er sieht den gesamten ein- und ausgehenden Datenverkehr, bevor irgendeine Firewall oder ein Virenscanner überhaupt greifen kann.

Was sind Hardware-Backdoors konkret?

Anders als eine klassische Software-Schwachstelle, die durch ein Update entsteht oder behoben wird, ist eine Hardware-Backdoor fest in Firmware oder Chipsatz eines Geräts verankert. Typische Ausprägungen:

• Versteckte Zugangsdaten: Fest einprogrammierte Admin-Konten, die sich nicht über die reguläre Konfigurationsoberfläche entfernen lassen.
• Undokumentierte Dienste: Offene Ports oder Management-Schnittstellen, die im Handbuch nicht auftauchen, aber aktiv auf Verbindungen warten.
• Telemetrie an Drittserver: Firmware, die Konfigurationsdaten oder Zugangsdaten unbemerkt an Server des Herstellers oder Dritter überträgt.
• Remote-Zugriffsfunktionen: Fernwartungsfunktionen, die dem Hersteller (oder wer auch immer die Zugangsdaten kennt) vollen Zugriff erlauben, ohne dass der Betreiber davon weiß.

Das Perfide daran: Diese Funktionen tauchen in keinem CVE-Datenbankeintrag auf, solange sie nicht öffentlich bekannt werden. Ein Schwachstellenscanner findet hier in der Regel nichts, weil die Backdoor per Design existiert und nicht durch einen Programmierfehler entsteht.

Warum OEM-Hardware besonders betroffen ist

Viele Netzwerkgeräte, die unter unterschiedlichen Markennamen verkauft werden, stammen tatsächlich von wenigen Referenzherstellern (ODM/OEM). Ein Router mit Aufkleber der Marke A und einer der Marke B kann intern identische Hardware und Firmware-Basis haben. Wird in dieser Basis eine Hintertür eingebaut, betrifft das potenziell Millionen Geräte unter Dutzenden Markennamen gleichzeitig – unabhängig davon, wie vertrauenswürdig die einzelne Marke wirkt.

Für die Beschaffung bedeutet das: Der Markenname auf der Verpackung sagt wenig darüber aus, wer die Firmware tatsächlich entwickelt hat und wer im Zweifel Zugriff auf die Geräte im Feld hat.

Welche Risiken entstehen für Unternehmen

1. Vollständiger Traffic-Zugriff

Ein Router oder Switch mit Backdoor sitzt am neuralgischsten Punkt des Netzwerks. Wer hier Zugriff hat, kann Datenverkehr mitschneiden, umleiten oder manipulieren – oft ohne dass Endpoint-Security oder Netzwerküberwachung im internen Netz etwas davon mitbekommen, da der Angriff bereits vor der eigentlichen Firewall stattfindet.

2. Sprungbrett für weitere Angriffe

Kompromittierte Netzwerkgeräte werden häufig als Einstiegspunkt für Angriffe auf dahinterliegende Systeme genutzt oder in Botnetze eingebunden, die für DDoS-Angriffe oder als Proxy für weitere Angriffe missbraucht werden – während das eigentliche Unternehmen davon nichts bemerkt.

3. Fehlende Kontrolle über die Lieferkette

Gerade KMU beschaffen Netzwerkhardware oft über Distributoren oder Elektronikmärkte, ohne die Herkunft der Firmware im Detail zu prüfen. Das ist im Alltag nachvollziehbar, schafft aber genau die Intransparenz, die Hardware-Backdoors ausnutzen.

Was ostdeutsche KMU jetzt konkret tun können

Schritt 1: Netzwerkinventar erstellen

Bevor irgendetwas geprüft werden kann, muss klar sein, welche Geräte überhaupt im Netz stehen. Router, Switches, Access Points und Firewalls sollten mit Hersteller, Modell, Firmware-Version und tatsächlichem Chipsatz-Hersteller (nicht nur Markenname) dokumentiert werden.

Schritt 2: Auf offene Firmware und quelloffene Systeme setzen

Für den Netzwerkrand empfiehlt sich der Einsatz von Systemen, deren Quellcode einsehbar und community-geprüft ist, etwa OPNsense als Firewall-Basis. Anders als bei geschlossener OEM-Firmware lässt sich hier nachvollziehen, welcher Code tatsächlich läuft, und es gibt keine versteckten, nicht dokumentierten Dienste, die sich der Kontrolle entziehen.

Schritt 3: Auffälligen Netzwerkverkehr aktiv überwachen

Ein DNS-Filtering oder eine Netzwerküberwachung, die ausgehende Verbindungen zu unbekannten Zielen protokolliert, kann Hinweise auf unerwünschte Telemetrie oder Fernzugriffe liefern – auch wenn die Backdoor selbst unentdeckt bleibt.

Schritt 4: Kritische Geräte aus vertrauenswürdigen Quellen beschaffen

Bei Geräten, die am Netzwerkrand stehen oder VPN-Zugänge terminieren, lohnt sich die bewusste Wahl von Herstellern mit nachvollziehbarer Lieferkette und Sicherheitsreputation – auch wenn das im Einkauf etwas mehr Aufwand bedeutet als der günstigste verfügbare Router.

Schritt 5: Alte und nicht mehr unterstützte Geräte konsequent ersetzen

Router und Switches, die keine Firmware-Updates mehr erhalten, sollten grundsätzlich ausgetauscht werden – unabhängig von der Backdoor-Thematik ist ungepflegte Netzwerkhardware eines der häufigsten Einfallstore in KMU-Netzen.

Rexoma als Ansprechpartner in Dresden

Sie möchten wissen, welche Netzwerkgeräte in Ihrem Unternehmen tatsächlich verbaut sind und ob Ihre Firewall- und Router-Infrastruktur vertrauenswürdig ist? Rexoma unterstützt KMU in Dresden, Sachsen und ganz Ostdeutschland beim Aufbau transparenter, kontrollierbarer Netzwerkinfrastruktur auf Basis offener Systeme wie OPNsense – von der Bestandsaufnahme über den Austausch kritischer Hardware bis zur laufenden Überwachung.

Häufige Fragen (FAQ)

Wie erkenne ich, ob mein Router eine Backdoor enthält? Ohne Firmware-Analyse ist das für Laien kaum feststellbar, da Backdoors bewusst so gestaltet sind, dass sie im normalen Betrieb nicht auffallen. Ein Indiz können unerwartete ausgehende Verbindungen zu unbekannten Servern sein, die sich mit Netzwerküberwachung aufspüren lassen.

Sind teure Markengeräte automatisch sicherer als günstige OEM-Router? Nicht zwangsläufig. Viele Markenhersteller nutzen dieselbe OEM-Basis wie günstigere Anbieter. Entscheidend ist die Transparenz der Firmware und die Reputation des tatsächlichen Herstellers, nicht allein der Preis.

Reicht ein Firmware-Update, um eine Hardware-Backdoor zu schließen? Wenn die Backdoor absichtlich eingebaut wurde, hilft ein reguläres Update in der Regel nicht – der Hersteller müsste die Funktion aktiv entfernen. In vielen Fällen ist der Austausch des Geräts der einzig verlässliche Weg.

Ist OPNsense automatisch immun gegen solche Probleme? Quelloffene Systeme wie OPNsense bieten deutlich mehr Transparenz, da der Code öffentlich einsehbar und von einer Community geprüft wird. Ein Restrisiko bei der zugrundeliegenden Hardware (Mainboard, Netzwerkchips) bleibt dennoch bestehen, weshalb auch hier auf vertrauenswürdige Hardware-Basis geachtet werden sollte.

Lohnt sich ein Austausch der gesamten Netzwerkhardware für ein kleines Unternehmen? Ein kompletter Austausch ist selten notwendig. Sinnvoller ist es, zunächst die kritischen Geräte am Netzwerkrand – Firewall, VPN-Gateway, zentrale Switches – zu identifizieren und dort auf vertrauenswürdige, transparente Systeme zu setzen, während unkritische interne Geräte planmäßig im Rahmen des normalen Lebenszyklus ersetzt werden.