FCC setzt ausländische Verbraucher-Router auf die „Covered List“

• Die US-FCC hat im Ausland hergestellte Verbraucher-Router neu in die „Covered List“ aufgenommen
• Durch diese Maßnahme wird die Zulassung neuer Modelle dieser Router untersagt
• Das Update erfolgte auf Grundlage der nationalen Sicherheitsbewertung von Behörden der US-Regierung
• Die FCC veröffentlichte die zugehörigen Dokumente per Pressemitteilung und Bekanntmachung in den Formaten DOCX, PDF und TXT
• Diese Entscheidung ist eine Reaktion auf Bundesebene, die auf eine stärkere Steuerung von Sicherheitsrisiken bei Netzwerkgeräten für Verbraucher abzielt

---

FCC setzt ausländische Verbraucher-Router auf die „Covered List“

• Die FCC (Federal Communications Commission) hat im Ausland hergestellte Verbraucher-Router neu in die „Covered List“ aufgenommen
  • Diese Maßnahme bedeutet ein Verbot der Zulassung neuer Modelle dieser Router
• Das Update erfolgte auf Grundlage der nationalen Sicherheitsbewertung von Behörden der US-Regierung, wobei ausdrücklich darauf hingewiesen wird, dass von den betreffenden Geräten ein mögliches Sicherheitsrisiko ausgehen könnte
• Die FCC veröffentlichte die entsprechenden Inhalte als Pressemitteilung (News Release) und offizielle Bekanntmachung (Public Notice) und stellt sie als DOCX-, PDF- und TXT-Dateien bereit
• Die Dokumente enthalten einen Link zu den FAQ zum Covered-List-Update und informieren über Änderungen der Regulierung für im Ausland hergestellte Router
• Diese Maßnahme wurde als Reaktion auf Bundesebene zur Stärkung des Managements von Sicherheitsrisiken bei Netzwerkgeräten für Verbraucher angekündigt

[GN⁺]

Hacker-News-Kommentare

• Die FCC führt eine Liste von Geräten und Diensten namens „Covered List“. In letzter Zeit haben Angriffe zugenommen, die Schwachstellen in ausländischen kleinen Heimroutern ausnutzen, aber das eigentliche Problem ist nicht das Herstellungsland, sondern die miserablen Sicherheitspraktiken der Hersteller. Da Regierungsbehörden keine sichere Firmware vorgeschrieben haben, hatten Hersteller keinen Grund, sich darum zu kümmern. Sowohl FCC als auch FTC sind eher an politische Interessen gebunden als am Verbraucherschutz, und am Ende haben die USA massenhaft Geräte mit katastrophaler Sicherheit hervorgebracht

  • „Sichere Firmware“ ist ein relativer Begriff. Wichtiger als perfekte Firmware sind kontinuierliche Updates. Hersteller stellen den Support aber nach drei Jahren ein, während Verbraucher Geräte 15 Jahre lang nutzen. Die Lösung ist, dass Verbraucher das Recht haben sollten, die Firmware selbst auszutauschen. Dann kann man selbst dann auf Open-Source-Firmware wechseln, wenn die Firma pleitegeht, und die Sicherheit ist höher
  • Ironischerweise haben viele Consumer-Geräte unter dem Vorwand der „Problemlösung“ eingebaute Backdoors. Dieses Problem ist nicht auf ausländische Produkte beschränkt. Der einzige Moment, in dem sich Regierungsbehörden wirklich für Sicherheit interessierten, war, als das FBI die Verschlüsselung schwächen wollte
  • Europa wird ab 2027 den Cyber Resilience Act umsetzen und damit Mindestanforderungen an die Sicherheit aller digitalen Produkte verbindlich machen. Dazu gehören das Verbot fest einprogrammierter Standardpasswörter, automatische Sicherheitsupdates und Datenverschlüsselung. Ob das wirkt, ist offen, aber der Versuch an sich ist positiv
  • Die FCC kümmert sich nur um Funkstörungen und ist keine Verbraucherschutzbehörde. Die FTC befasst sich ebenfalls mit unfairem Wettbewerb, nicht mit der Sicherheitsqualität
  • Es ist üblich, die Regierung zu kritisieren, aber diese Maßnahme wird hier so gelesen: „Man lässt Schwachstellen wissentlich bestehen und behebt sie erst, nachdem man sie selbst ausgenutzt hat.“ Inzwischen wirkt es fast so, als wäre es besser, Router einfach selbst zu bauen

• Der Kern der Ankündigung ist, dass ausländische Router grundsätzlich verboten sind, aber bei bedingter Zulassung (Conditional Approval) dennoch verkauft werden dürfen. Die FCC verlangt von Herstellern Angaben zu Rechtszuständigkeit, Herkunft der Bauteile, Plänen für Software-Updates und Plänen zum Ausbau der Produktion in den USA. Die Absicht scheint also zu sein, über das Zulassungsverfahren inländische Fertigung zu fördern

  • In der Praxis könnten aber nur Unternehmen zugelassen werden, die politische Schmiergelder (payola) zahlen, während andere blockiert werden. Ein ähnliches Muster sei bereits in der Zollpolitik zu sehen
  • Auf dem Papier sieht das großartig aus, in der Realität besteht aber das Risiko, dass es als Mittel zur persönlichen Bereicherung der Regierung missbraucht wird
  • Es ist schwer zu glauben, dass ein solches Verfahren als unparteiische technische Verwaltung betrieben wird; am Ende werde es wohl eine „Pay-to-Play“-Struktur
  • Letztlich liest sich das wie: „Mit Zöllen klappt es nicht, also setzen wir Handelspartner diesmal auf andere Weise unter Druck“
  • Manche sehen es zynisch so, dass nur Firmen durchkommen, die für Trumps private Projekte gespendet haben

• Es gibt auch die Sorge, dass diese Maßnahme der Ausgangspunkt für den Aufbau eines Überwachungssystems sein könnte. Wenn bei in den USA hergestellten Routern ein staatlicher Fernzugriff vorgeschrieben würde, könnte am Ende jeder Haushalt an ein Überwachungsnetz angeschlossen sein. Der einzige Vorteil des Freihandels sei, dass kein einzelner Staat die gesamte Bevölkerung überwachen kann

  • Beispielsweise soll die Xfinity-Router-App neuerdings eine Funktion zur „Bewegungserkennung im Haus über WiFi“ haben
  • Im Scherz wurde gesagt, man müsse amerikanische, chinesische und russische Router in Reihe schalten, damit keine Seite vollständigen Backdoor-Zugriff bekommt
  • Tatsächlich könnte es aber über bloße Überwachung hinaus zur Grundlage für die Kontrolle des inländischen Internets werden. Wie im Fall Iran könnte eine Struktur geschaffen werden, mit der Regierungen Gewalt durch Informationsblockaden verschleiern können

• Wenn man echte Sicherheit will, sollte man Geräte nicht verbieten, sondern Firmware offenlegen, damit sie auditierbar ist

  • Backdoors können allerdings nicht nur in der Firmware, sondern auch im Siliziumchip selbst versteckt sein. Vollständige Verifikation ist praktisch unmöglich, daher ist Supply-Chain-Sicherheit entscheidend. Diese Maßnahme wirkt jedoch eher wie ein Instrument von Trumps Waffenisierung des Handels
  • Offene Firmware ist kommerziell schwer erfolgreich zu machen, aber Projekte wie OpenWRT One sind gute Beispiele. Das gemeinsam von Software Conservancy und Banana Pi entwickelte Modell funktioniert gut
  • Wegen FCC-Vorschriften ist es für Nutzer jedoch schwierig, RF-Geräte frei zu modifizieren, und es gibt Ausnahmen beim „Right to Repair“. Solange der Kongress das nicht ändert, sind reale Fortschritte schwer
  • Außerdem ist es für normale Nutzer unmöglich zu prüfen, ob die Firmware tatsächlich dem Quellcode entspricht. Ein durchschnittlicher Ladenbesitzer hat keine Möglichkeit, das zu verifizieren

• Durch das jüngste Urteil Loper Bright Enterprises v. Raimondo (2024) wurden die Befugnisse der FCC deutlich geschwächt. Daher wird bezweifelt, ob eine Beschränkung ausländischer Router einer rechtlichen Prüfung standhalten kann

  • Jemand kritisierte, der konservativ-republikanisch geprägte Supreme Court habe lediglich die Befugnis der Exekutive zum Einsammeln von Bestechungsgeldern gestärkt

• Obwohl von einem vollständigen Verbot ausländischer Consumer-Router die Rede ist, wird die Frage aufgeworfen, ob es überhaupt US-amerikanische Router gibt

  • Laut einem heise.de-Artikel gibt es kaum in den USA produzierte Router
  • Bestehende Modelle dürfen allerdings weiterverkauft werden. Nach den Regeln der FCC zur „Covered List“ gilt die Maßnahme nur für neue Modelle. Manche Anbieter könnten auch Switches ohne Firmware importieren und sie in den USA neu flashen
  • Sogar Cisco produziert nicht in den USA
  • Es gibt auch Wege, Kleincomputer wie den Raspberry Pi in Router umzuwandeln
  • Manche vermuten, dass Starlink möglicherweise eine Ausnahme sein könnte

• Die FCC könnte mit dieser Maßnahme versuchen, ihre Regulierungsbefugnisse über das Internet auszuweiten. Dabei wird auf eine frühere Diskussion verwiesen und gesagt, dass es in der Vergangenheit ähnliche Fälle gab

• Für Hersteller könnte die Lösung darin bestehen, Produkte nicht als Router, sondern als Universalcomputer zu verkaufen. Es gibt bereits viel Hardware, die sich als NAS, Firewall oder Proxy-Server nutzen lässt

  • Die meisten Verbraucher wollen jedoch ein fertiges Produkt mit dem Namen „Router“. Wer DIY-Netzwerkgeräte möchte, macht das ohnehin bereits so

• Selbst wenn ein chinesisches Unternehmen Router in einer Fabrik in den USA herstellt, bleibt das Supply-Chain-Risiko bestehen. Tatsächlich seien die IoT-Geräte, die bereits mit Heimnetzwerken verbunden sind, noch gefährlicher. Diese Maßnahme wird daher eher als politische Geste denn als echte Veränderung gesehen

• Am Ende bleibt die Frage: Wie viele Consumer-Router gibt es überhaupt, die nicht aus dem Ausland stammen?