Weltweite Sicherheitslücke in Hotels entdeckt

IT-Sicherheitsexperten haben herausgefunden, dass elektronische Schließsysteme in Hotels und weltweiten Hotelketten gehackt werden können. Möglich wäre die Methode offenbar bei mehr als eine Million Hotelzimmer in 166 Ländern. Mitarbeiter der Firma F-Secure demonstrierten in der vergangenen Woche Reportern von WDR, NDR und Süddeutscher Zeitung wie der Einbruch ins Hotelzimmer gelingen kann, ohne Spuren zu hinterlassen.
Die IT-Experten, die seit 15 Jahren zu elektronischen Schließsystemen forschen, fanden eine schwere Sicherheitslücke in einem System des schwedischen Unternehmens Assa Abloy. Laut Homepage sichert das Unternehmen weltweit in 42.000 Hotels mehr als sieben Millionen Türen.
In diesem konkreten Fall geht es um die Hotelkarten, mit denen die Gäste die Türen ihrer Zimmer öffnen. Die Forscher demonstrierten den Reportern, dass lediglich eine einzige Hotelkarte ausreiche, um am Ende alle Gästezimmer des jeweiligen Hotels öffnen zu können. Aus dereinen Hotelkarte konnten die IT-Techniker einen Generalschlüssel erstellen, der dann alle Türen öffnen kann. Der Vorgang dauert nur ein paar Sekunden. Darüber hinaus gelang es den IT-Experten über das Netzwerk der betroffenen Hotels auch Kundendaten auszulesen.
Nach Angaben von Christophe Sut, Vizechef von Assa Abloy, könnten weltweit mehr als eine Million Türen betroffen sein, in Deutschland etwa 30 000 Hotelzimmer. Sein Unternehmen gehe nicht von einer riskanten Sicherheitslücke aus. Schließlich hätten die Forscher mehr als zehn Jahre dafür gebraucht, diese aufzuspüren. „Hotelgäste können sich weiterhin sicher in ihren Zimmern fühlen.“
Die IT-Forscher informierten Assa Abloy im März 2017. Seit Februar dieses Jahres können die betroffenen Hotels ihre Schließsysteme aktualisieren. Jedoch muss das neue System, eine Art Update, bei jeder einzelnen Tür eingespielt werden.
Am 26. April 2018 werden die Sicherheitsexperten ihre Forschung auf einer renommierten Fachkonferenz in Miami präsentieren. Technisch tiefer gehende Details sollen jedoch zum Schutze der Hotels nicht veröffentlicht werden.
Quelle: WDR Westdeutscher Rundfunk