16 Jahre alter Wi-Fi-Fehler bringt Router-Sicherheit in Erklärungsnot

Ein 16 Jahre alter Fehler im Wi-Fi-Code von Broadcom bringt ein altes Problem der Router-Branche brutal zurück auf den Tisch: Sicherheitslücken verschwinden nicht, nur weil der Chip-Hersteller seinen Teil irgendwann als erledigt betrachtet.

Im konkreten Fall geht es um eine Schwachstelle im Umfeld von WPS, also jener Komfortfunktion, mit der Geräte schneller ins WLAN kommen sollen. Laut den veröffentlichten Details kann ein Angreifer in Funkreichweite Router übernehmen und an sensible Daten kommen, ohne den WLAN-Schlüssel zu kennen. Der Fehler bekam den Namen WPSplinter. Broadcom hat demnach den verwundbaren Code 2018 ersetzt, der Fix landete aber nicht automatisch auf den betroffenen Geräten.

Das ist der entscheidende Punkt. Für Nutzer klingt „Bug behoben“ nach Entwarnung. Für Router heißt es oft das Gegenteil. Zwischen Chip-Zulieferer, Referenzdesign, Hersteller-Firmware, Provider-Anpassung und tatsächlichem Update beim Kunden liegen Jahre – oder für viele Geräte: gar nichts. Genau dort entstehen diese ewigen Sicherheitslücken, die formal mal bearbeitet wurden, in der Praxis aber millionenfach weiterleben.

Besonders unerquicklich ist hier, dass es nicht um ein exotisches Detail geht, sondern um Router. Also Geräte, die dauerhaft online sind, selten gepflegt werden und in Haushalten wie kleinen Firmen meist unbeachtet in der Ecke stehen. Wenn dort eine Schwachstelle über Wi-Fi ausnutzbar ist, sinkt die Hürde für Angreifer deutlich. Es braucht keinen Zugang aus dem Internet und keinen gestohlenen Admin-Login. Funkreichweite reicht.

WPS steht dabei schon lange in der Kritik. Die Funktion wurde gebaut, um WLAN einfacher zu machen. Genau diese Bequemlichkeit hat sie immer wieder zum Sicherheitsproblem gemacht. Wenn nun alter Broadcom-Code in vielen Geräten weiterläuft, ist das keine Randnotiz, sondern ein strukturelles Versagen über mehrere Ebenen der Lieferkette.

Für betroffene Nutzer ist die Lage unerquicklich simpel: Viele werden nie ein Update sehen. Das gilt vor allem für ältere Router, gebrandete Provider-Modelle und Billiggeräte mit kurzer oder praktisch nicht vorhandener Update-Pflege. Wer WPS noch aktiviert hat, sollte die Funktion abschalten. Ebenso sinnvoll: prüfen, ob der Hersteller aktuelle Firmware anbietet. Falls ein Gerät seit Jahren keine Updates mehr bekommt, ist Austausch oft die ehrlichste Sicherheitsmaßnahme.

Für die Branche ist der Fall peinlich. Router sind Kern-Infrastruktur im Alltag, werden aber noch immer wie Wegwerf-Hardware behandelt. Lange Support-Zeiten, klare Update-Zusagen und nachvollziehbare Sicherheitskennzeichnungen sind dort eher Ausnahme als Standard. Solange sich das nicht ändert, bleiben solche Altlasten kein Unfall, sondern Normalzustand.

Der Broadcom-Fall ist deshalb mehr als eine weitere Router-Meldung. Er zeigt, wie schlecht das Sicherheitsmodell vieler Netzwerkgeräte noch immer funktioniert. Nicht, weil niemand den Fehler einmal angefasst hätte. Sondern weil zwischen „Code ersetzt“ und „Gerät beim Kunden geschützt“ eine Lücke klafft, in die ganze Produktgenerationen fallen.