Wifi-Sicherheitslücke bei WeWork

Teemu Airamo, ein Kunde des demnächst an die Börse strebenden Anbieters WeWork in Manhattan, musste leider feststellen, dass das Netzwerk seines neuen Arbeitsplatzes ähnlich unsicher ist wie ein offenes Flughafen-Netzwerk. Bereits 2015, als Airamo das Büro innerhalb des WeWork-Komplexes bezog, überprüfte er die Sicherheit des zur Verfügung gestellten WLANs – und stellte verblüfft fest, dass er hunderte Geräte und Dokumente anderer Unternehmen im selben Bürokomplex identifizieren konnte. Natürlich meldete er seine Entdeckung direkt dem zuständigen WeWork-Manager, erhielt aber die lapidare Antwort, dass man Bescheid wisse.

Mittlerweile sind vier Jahre vergangen und es hat sich nichts geändert. Noch immer findet Airamo bei seinen regelmäßigen Sicherheitschecks des Netzwerks Finanzdaten, geschäftliche Transaktionen, Kundendatenbanken und E-Mails, aber auch vernetzte Computer, Server und sogar Kaffeemaschinen anderer WeWork-Mieter. Und es kommt noch schlimmer, denn offenbar benutzen verschiedene WeWork-Locations dasselbe WLAN-Passwort – und das wird nicht nur an die regulären Mieter herausgegeben, sondern auch an Kurzzeitmieter, die nur einen Konferenzraum oder einen Schreibtisch für ein paar Stunden mieten. Auch Besucher erhalten dieses Passwort ohne Probleme. Potenzielle Hacker müssten also lediglich einmal einen Raum bei WeWork mieten, um sich Zugriff auf die Daten der Mieter in unterschiedlichen Locations zu verschaffen. Hinzu kommt, dass dieses Passwort als Klartext in der WeWork-App angezeigt wird und darüber hinaus nicht besonders stark ist.

In einer Stellungnahme des Unternehmens heißt es, dass WeWork die Sicherheit und Privatsphäre seiner Mitglieder ernst nehme und alles dafür tue, um sie vor digitalen und physischen Bedrohungen zu schützen. Außerdem gebe es die Möglichkeit, verschiedene Sicherheitsmaßnahmen hinzu zu buchen, wie privates VLAN oder private SSIDs. Doch das kostet extra – eine lukrative Einnahmequelle in Zeiten, in denen Industriespionage und Hackerangriffe allgegenwärtig sind und Unternehmen große Kraftanstrengungen unternehmen, um sich zu schützen. Nutzen die Angestellten, externe Mitarbeiter oder Dienstleister allerdings einen Co-Working-Space mit derart schlechten Sicherheitsvorkehrungen in der Basisversion, ist all diese Mühe vergebens. Denn Airamo fand auch sensible Daten von externen Unternehmen, die nie Mieter von WeWork waren oder deren Dienstleistungen genutzt hatten, darunter zwei Kreditunternehmen, eine Versicherung und ein Personaldienstleister.

Dabei wäre es für WeWork eigentlich gar nicht so schwer, die Probleme zu beheben. Ähnlich wie viele Hotels es tun, könnte man das WLAN so konfigurieren, dass die einzelnen Geräte isoliert werden. So könnte man die Aktivitäten der Nutzer voreinander verbergen. Auch Firewalls würden dabei helfen, unberechtigte Scans des Netzwerks zu verhindern. Dass man nicht dieselben schwachen Passwörter an unterschiedlichen Locations nutzen sollte, versteht sich eigentlich von selbst. Stattdessen bietet WeWork Sicherheit als Zusatz-Feature an – welches sich selbstverständlich nicht so gut verkaufen würde, wenn die Basisversion bereits ein gesundes Maß an Sicherheit böte. Teemu Airamo hat sich mit seinem Unternehmen dafür entschieden, dieses Spiel nicht mitzuspielen und sich selbst um Sicherheitsvorkehrungen bemüht. Für einige Jahre nutzte er einen VPN-Tunnel. Da dieser jedoch die Internetverbindung extrem verlangsamte, baute er einen Raspberry Pi für seine Zwecke um, bei dem die Datenströme durch eine Blockchain-ID authentifiziert werden. Für den Otto-Normal-Mieter von WeWork dürfte das allerdings ohne Hilfe nicht so einfach möglich sein. Ihnen bleibt die langsamere Verbindung über VPN oder die kostenpflichtige Buchung eines Sicherheitspakets. Sicher ist jedoch, dass jeder, der sich in einen Shared Workspace einmietet, genau darauf achten sollte, ob und wie das verwendete WLAN geschützt ist und im Bedarfsfall entsprechende Maßnahmen ergreift.