E-Mail-Sicherheitslücke in LTE-Router von Drei
LTE-Router des Mobilfunkers Drei weisen eine Sicherheitslücke auf, wie ein aufmerksamer futurezone-Leser entdeckt hat. Auf jedem Handy mit Drei-Branding ist standardmäßig auch ein Drei-E-Mail-Account eingerichtet. Sofern der Nutzer jenen nicht anders konfiguriert hat, lautet jener <Telefonnummer>@drei.at. Auch Besitzer eines Drei-LTE-Routers haben wahlweise eine Drei-E-Mail-Adresse.
Problematisch wird es, wenn man sich nun mit einem gebrandeten Drei-Handy bei einem Drei-Router anmeldet. Dann hat man über den Standard-Account nicht mehr Zugriff auf seine Drei-Mails, sondern auf die des Router-Besitzers. Der Leser berichtet über einen Vorfall, wo ein Verwandter, dem er Zugriff auf sein WLAN gegeben hat, plötzlich die fremden E-Mails abrufen und auch darüber versenden konnte.
Außerdem erlangt man per WLAN auch Zugriff auf die Drei-Kundenzone. Heikle Informationen oder Änderungen lassen sich dort ohne Eingabe des Kundenkennwortes jedoch nicht machen.
Drei sieht kein Problem
Auf Anfrage der futurezone bestätigte Drei dieses Verhalten der LTE-Router. So kann sich jeder Nutzer des WLANs sowohl in die Drei-Kundenzone einloggen als auch E-Mails über den Account abrufen und verschicken. "Der 3HuiTube ist für die private Internetnutzung zu Hause gedacht. Wir weisen unsere Kunden deshalb immer wieder darauf hin, Passwörter nicht weiterzugeben; bzw. nur an vertrauensvolle Personen", so Drei-Sprecher Tom Tesch. Sollten die Passwörter dennoch weitergegeben werden, ist der automatische Login abschaltbar. Dies kann jedoch nicht vom Nutzer selbst gemacht werden, dazu muss das 3ServiceTeam kontaktiert werden.
Das Verhalten sei laut Tesch standardmäßig so eingestellt, weil "Kunden erfahrungsgemäß einen 3HuiTube privat nutzen und somit nur von Partnern/ Familienmitgliedern mitgenutzt wird".
Vorsicht
Besitzer eines Drei-LTE-Routers sollten dies also bedenken, wenn sie den WLAN-Schlüssel ihres Routers weitergeben bzw. das automatische Einloggen über die Service Hotline bzw. das Support-Team deaktivieren.