Mitternachtshacking

Die Telekom (bzw. T-Online) hat ihren Kunden da einen ADSL-WLAN-Router Speedport W 700V angedreht, der per Browser aus dem Internet konfigurierbar ist. So etwas ist bekanntlich keine besonders gute Idee. Dieses Konfigurationsinterface lässt sich leider auch nicht abschalten und wenn die Anwender schlechte Passwörter verwenden oder sogar das Standardpasswort („0000“) lassen, kann man z.B. die Zugangsdaten klauen oder anderen Unsinn anstellen. Das Gerät wird von Arcadyan, einem Joint Venture von Accton und Philips hergestellt. Verbockt haben das beide:

1. Arcadyan hat, es musste wohl billig sein, schlicht ein paar Konfigurationsoptionen oder eine brauchbare ACL-Implementierung weggelassen. (Vielleicht wollten sie auch nur nicht von Harald Welte verklagt werden.)
2. T-Online hat das eigentlich übliche Due Dilligence beim Abschluss eines solchen Liefervertrags grob vernachlässigt, bereits bei einfachen Tests der Geräte hätte so etwas auffallen müssen.

Nun gut, jetzt gibt es ein Firmware-Update auf 1.16, das dieses Problem löst. Das laden die Router sogar automatisch (ich hoffe das hat T-Online vorher auch getestet), es dauert nur eine ganze Weile bis das auf allen Geräten drauf ist. Nicht jeder ist schließlich rund um die Uhr online.

Und da ist T-Online auf die geniale Idee gekommen, einfach komplett für alle User, vermutlich auf allen Routern, den TCP-Port 8085 zu sperren. Den Port verwendet normalerweise eh keiner. Herausgekommen ist das, weil eine Bank für ihr Online-Banking zufällig genau diesen Port nutzt, lt. IANA ist der Port „unassigned“. Im Prinzip ist das nichts neues. Das Leibniz Rechenzentrum der Münchner Hochschulen macht so ettwas auch, da nennt sich das Sicherheitspaket D und sperrt von außen den Zugriff auf bestimmte Microsoft-Ports.

Nur, das LRZ kommuniziert mit den angeschlossenen Instituten. Da weiß jeder Bescheid. T-Online sperrt einfach und gibt niemandem Bescheid. Auch wenn eine solche Maßnahme im Sinne der meisten Kunden ist, halte ich es für absolut inakzeptabel, dass solche Sperren nicht öffentlich bekanntgegeben werden. Für jeden sonstigen Werbekäse verschickt T-Online ja auch eine E-Mail.

Ach ja, die Kollateralschäden: World of Warcraft braucht in vielen privaten Server-Installationen die Ports 3724, 8080 und 8085. Sipgate bietet über Port 8085 anscheinend eine Abfrage des Onlinestatus und Sun Java will den Port auch für irgendwas verwenden. Dumm gelaufen.

Andererseits könnte das auch eine clevere Geschäftsidee sein:

• Internet-Zugang Basisanschluss (nur Port 80 HTTP): 19,90 Euro
• Aufpreis Mailabruf per POP3: 4,95 Euro
• Aufpreis WoW Ports: 4,95 Euro

Da kann man richtig was verdienen. Beim Mailversand mit eigenen Mailadressen kassiert T-Online ja schon länger. Das war übrigens einer der Hauptgründe, warum ich nicht mehr bei T-Online bin. Da bleibt es dem Verbraucher unbelassen, mit den Füßen abzustimmen. Aber das passiert eh schon.

Ist das eigentlich noch mit Netzneutralität vereinbar?

Anmerkung: Der SpeedPort W701V von AVM ist davon übrigens nicht betroffen.