Worum geht es bei der aktuellen Sicherheitslücke? Eigentlich soll das Verschlüsselungsverfahren WPA2 kabellose Verbindungen schützen. Bislang galt es als sicher - im Gegensatz zu älteren Standards wie WPA oder WEP. Nun allerdings haben Forscher der Katholischen Universität Löwen die Verschlüsselung geknackt. Mit der "Krack" getauften Attacke können Angreifer sie aufbrechen. So ist es möglich, Daten, die via W-Lan gesendet und empfangen werden, mitzulesen und zu manipulieren.

Wer ist betroffen? Laut dem BSI derzeit alle aktiven W-Lan-fähigen Endgeräte. Betroffen ist also potenziell jeder, der W-Lan nutzt - nicht nur an öffentlichen Hotspots etwa in Cafés, sondern auch in der eigenen Wohnung.

Wie groß ist die Gefahr? Laut Branchenverband WiFi Alliance gibt es keine Hinweise, dass die Sicherheitslücke bereits von Cyberkriminellen missbraucht wird. Bis es so weit ist, dürfte es aber nicht mehr lange dauern, sagt Dirk Engling, Sprecher des Chaos Computer Clubs (CCC). "Die Sicherheitslücke ist nicht so komplex. Ich rechne damit, dass sie innerhalb der nächsten Woche zum Ausprobieren veröffentlicht wird." Spätestens dann könnte sie jeder ohne höheres technisches Verständnis nutzen.

Wie würde so eine Attacke ablaufen? Voraussetzung ist, dass der Angreifer sich im Funkbereich des W-Lan-Signals aufhält. Das heißt, dass Attacken nicht wie bei anderen Sicherheitslücken millionenfach über das Internet ausgeführt werden können. In einem Mehrfamilienhaus würde es aber beispielsweise bedeuten, dass Nachbarn auf das W-Lan anderer Bewohner zugreifen könnten. "Und quasi jeder, der an dem Haus vorbeiläuft, je nachdem, wie man wohnt", sagt Engling.

Wie können sich Nutzer schützen? Die gute Nachricht ist: Die Sicherheitslücke lässt sich Experten zufolge durch ein Software-Update schließen. Verschiedene Hersteller haben bereits ein solches angekündigt; mehrere Spezialisten für Netzwerk-Technik wie Cisco, Intel oder Aruba stellten bereits Updates zur Verfügung. Bei Microsoft wurde die Sicherheitslücke schon in den frisch veröffentlichten Software-Aktualisierungen berücksichtigt. Das Berliner Unternehmen AVM, Hersteller der verbreiteten Fritzbox, erklärte, man werde "falls notwendig wie gewohnt ein Update bereitstellen". Nutzer sollten diese Updates schnellstmöglich aufspielen.

Was kann ich noch machen? "Durch die Sicherheitslücke werden alle Geräte im Netzwerk sichtbar", sagt Engling. Das heißt, alle Geräte im Heimnetzwerk sind gefährdet, ihre Software sollte aktualisiert werden. "Das ist jetzt ein guter Moment, um alle Geräte zu überprüfen: Schauen Sie nach, in welchem Zustand sie sind und wo sie Updates herbekommen." Generell sollten Verbraucher schon beim Kauf darauf achten, ob etwa ein günstiges Tablet später auch mit Updates versorgt wird. "Verzichten Sie im Zweifel lieber auf billige Hardware", rät Engling.

Was ist mit Online-Banking oder Einkaufen im Netz? Hier sind sich die Experten uneins. Das Bundesamt rät dazu, W-Lan-Netzwerke bis zur Verfügbarkeit eines Sicherheits-Updates nicht für sensible Transaktionen zu verwenden. "Nutzen Sie Ihr W-Lan-Netzwerk so, als würden Sie sich in ein öffentliches W-Lan-Netz einwählen, etwa in Ihrem Lieblings-Café oder am Bahnhof. Verzichten Sie auf das Versenden sensibler Daten. Auch das kabelgebundene Surfen ist weiterhin sicher", erklärte BSI-Präsident Arne Schönbohm. Andere Experten relativieren diese Warnung. Sowohl der Branchenverband Bitkom als auch Sicherheitsexperten wie Tim Berghoff von der Firma G-Data betonen, Online-Transaktionen via W-Lan seien weiterhin sicher, solange die Verbindung durch eine zusätzliche Verschlüsselungsschicht - HTTPS oder VPN (virtuelle private Netzwerke) - verschlüsselt ist. Es ist aber wichtig, eine SSL-Verbindung korrekt zu überprüfen. Engling rät: "Nutzen Sie einen modernen Browser. Achten Sie auf das grüne Schlüsselchen und darauf, ob in der URL-Zeile ein 'https' steht. Klicken Sie Sicherheitswarnungen nicht einfach weg. Und steuern Sie Internetseiten, etwa die Ihrer Bank, lieber von einem gespeicherten Link aus Ihrem Browserverlauf an."

Was ist noch wichtig? Nutzer sollten nicht den WPA2-Sicherheitsstandard deaktivieren, warnt das BSI: Ältere Standards gelten schon lange als unsicher. Auch das W-Lan-Passwort zu ändern, bringt nach Ansicht der Experten nichts. Sicher gehen können Nutzer, indem sie auf dem Smartphone nicht via W-Lan surfen - und zu Hause mit einem Netzwerkkabel ins Internet gehen. Dann aber sei es wichtig, das W-Lan zusätzlich zu deaktivieren: "Sonst bleiben Sie trotzdem angreifbar", sagt Engling.