WLAN-Passwort im QR-Code: wann das vertretbar ist
Die Karte ist gestaltet, der Drucker läuft warm, der Finger schwebt über der Taste. Es geht um eine Ferienwohnung, der Code soll an die Küchenwand, und der Gedanke kommt spät: Veröffentliche ich hier gerade mein WLAN-Passwort an jeden, der diese Wohnung bucht?
Ja. Genau das sind Sie gerade dabei zu tun. Die brauchbare Frage ist nicht, ob der Code das Passwort preisgibt, sondern ob das dort, wo die Karte hinkommt, eine Rolle spielt.
Der Code ist das Passwort, im Kostüm
Ein WLAN-QR-Code enthält den Netzwerknamen, den Sicherheitstyp und das Passwort als Text. Das Muster aus Quadraten ist eine Art, Zeichen so zu schreiben, dass eine Kamera sie schnell liest. Es ist kein Schloss, kein Schlüsselaustausch und keinerlei Verschlüsselung.
Halten Sie irgendeinen Scanner darauf und er kann Ihnen die rohe Nutzlast zeigen, ohne sich mit irgendetwas zu verbinden. Nichts Exotisches ist nötig und nichts wird ausgehebelt. Den Inhalt zu lesen ist das vorgesehene Verhalten, eine allgemeine Eigenschaft des Formats und Teil dessen, was Scannen tatsächlich tut.
Der ehrliche Vergleich ist also nicht "Code gegen Passwort auf einer Karte". Er lautet "Passwort in einer Schrift, die Ihr Telefon schneller liest". Wer das geschriebene Passwort hätte abschreiben können, kann den Code kopieren, mit weniger Mühe und weniger Tippfehlerrisiko.
Wer ihn lesen kann, und aus welcher Entfernung
Nehmen Sie an, dass jeder, der die Karte sehen kann, das Passwort hat. Nicht jeder, der sie scannt: jeder, der sie sieht.
Eine Telefonkamera bei mäßigem Zoom erfasst eine Wandkarte quer durch den Raum, und das Bild braucht nur genug Auflösung für das Muster, nicht für das menschliche Auge. Das Dekodieren kann später passieren, anderswo, in Ruhe. Es gibt kein Scan-Ereignis, keinen Log-Eintrag und nichts auf Ihrer Seite, das jemals darauf hindeuten würde.
Das klingt beunruhigend, bis einem auffällt, dass es ein ganz normales Schild beschreibt. Schilder sind quer durch den Raum lesbar. Das Sicherheitsmodell für eine WLAN-Karte ist dasselbe wie für ein Whiteboard: den Raum kontrollieren oder akzeptieren, dass der Raum öffentlich ist.
Eine Caféwand und eine Küchenschublade sind verschiedene Probleme
Eine Karte im Café, in der Lobby, im Wartezimmer oder im Coworking ist absichtlich öffentlich. Ihr ganzer Zweck ist, dass Fremde sie ohne Nachfragen benutzen. Behandeln Sie die Zugangsdaten darauf als veröffentlicht, denn das sind sie, und stellen Sie nichts dahinter, was Sie nicht hinter ein veröffentlichtes Passwort stellen würden. Das heißt: Die Karte zeigt auf ein Gastnetz und nie auf das Netz mit dem Kartenterminal, dem Büro-Dateiserver, den Überwachungskameras oder dem Drucker im Backoffice.
Eine Karte in einer Privatwohnung ist allen ausgesetzt, die die Wohnung betreten. Gäste, eine Reinigungskraft, ein Handwerker, ein Babysitter, ein Lieferbote, der in den Flur tritt. Für die meisten Haushalte ist dieser Personenkreis in Ordnung, und eine Karte am Kühlschrank ist eine vernünftige Sache. Die Exposition ist nicht null, aber sie entspricht der Ihrer Ersatzschlüssel in der Schale daneben.
Eine Karte in einer Ferienwohnung liegt dazwischen. Jeder Gast über die Lebensdauer dieser Karte bekommt Zugangsdaten, die nach der Abreise weiter funktionieren, zusammen mit allen, denen er sie gezeigt hat.
Der Fehler ist fast immer ein Foto
Räumliche Nähe ist selten der Weg, auf dem das durchsickert. Fotos sind es.
Das Inseratfoto einer aufgeräumten Küche mit sichtbarer Karte auf der Arbeitsplatte. Das Auspackvideo, in dem ein neuer Router neben seinem Aufkleber steht. Der Videoanruf, bei dem eine Homeoffice-Wand hinter Ihnen im Bild ist. Der Urlaubspost aus einer Ferienwohnung mit der Infokarte auf dem Tisch. Ein Urlaubsfoto vom Caféinneren, auf dem zufällig das Thekenschild mit drauf ist.
Codes überstehen das besser als Text. Ein Muster, das auf einem Foto klein, schräg oder leicht unscharf ist, kann trotzdem lesbar sein, und Screenshots und Re-Uploads behalten öfter genug Details, als man annimmt. Ein in Schreibschrift auf dieselbe Karte geschriebenes Passwort wäre in dieser Größe vermutlich unleserlich; der Code wird es nicht sein.
Die Abhilfe ist, Bilder vor dem Posten zu prüfen und den Code unkenntlich zu machen, wenn er im Bild ist. Einen Teil des Musters zu überdecken reicht für sich allein nicht immer, weil das Format darauf ausgelegt ist, Beschädigung zu überstehen, also lohnt es sich, das richtige Entfernen oder Unkenntlichmachen korrekt statt beiläufig zu machen.
Die Trennung ins Gastnetz erledigt die meiste Arbeit
Die eine Änderung, die all das beherrschbar macht, ist, das Netz, auf das die Karte zeigt, von dem Netz zu trennen, in dem Ihre eigenen Geräte leben.
Fast jeder aktuelle Router kann ein zweites Netz mit eigenem Namen und eigenem Passwort betreiben. Schalten Sie es ein, geben Sie ihm ein Passwort, das sonst nirgends verwendet wird, und erzeugen Sie die Karte daraus mit einem WLAN-Generator. Wenn der Router im Gastnetz Client-Isolierung anbietet, schalten Sie sie ein, damit verbundene Geräte einander nicht erreichen und nicht sehen können, was im Hauptnetz liegt.
Der Effekt ist, dass die gedruckten Zugangsdaten aufhören, ein Generalschlüssel zu sein. Sie werden zur Fahrkarte ins Internet und zu nichts sonst, und die Kontrolle darüber zu verlieren kostet Sie Bandbreite statt Zugriff auf Ihre Dateien, Ihre Kameras und Ihren Arbeitslaptop. Das ist dasselbe geschichtete Denken hinter der allgemeinen Sicherheitspraxis für Codes, angewandt auf Zugangsdaten, die Sie bewusst herausgeben.
Wechseln, und was der Nachdruck kostet
Ein Gastnetz-Passwort sollte sich in einem gewissen Rhythmus ändern. Vierteljährlich ist für ein Unternehmen ein vernünftiger Ausgangswert; für eine Ferienwohnung nach jedem Aufenthalt, bei dem etwas komisch wirkte; für zuhause, wenn es sich nicht mehr nach demselben Personenkreis anfühlt.
Es gibt echte Kosten, und etwas anderes zu behaupten hilft niemandem. Ein WLAN-Code ist im Moment seiner Erstellung festgelegt. Er trägt das Passwort in sich, kann also nicht später umgeleitet werden wie eine Weiterleitung. Ändern Sie das Passwort, und jede gedruckte Karte im Haus ist jetzt falsch.
Planen Sie das ein, statt es zu entdecken. Halten Sie das Design einfach genug, um in fünf Minuten nachzudrucken, legen Sie die Datei dorthin, wo die nächste Person sie findet, und halten Sie die Zahl der ausgehängten Exemplare klein genug zum Abzählen. Billiges Papier, das Sie ersetzen, schlägt teures Acryl, das Sie nie aktualisieren.
Gastzugang, Störerhaftung und die Wand zur Nachbarwohnung
Die kürzeste Antwort steckt in jedem handelsüblichen Router, der in deutschen Haushalten steht: der Gastzugang. Er vergibt einen eigenen Netznamen mit eigenem Passwort, trennt die Geräte der Gäste vom Heimnetz und lässt sich einzeln neu setzen, ohne dass Fernseher, Drucker und Sprachassistent ihre Verbindung verlieren. Das Passwort des Hauptnetzes gehört nie auf eine Wand, das des Gastnetzes darf es. Damit ist die eigentliche Frage nicht mehr, ob ein Passwort in einem Code stehen darf, sondern welches.
Zur Haftung, weil danach jeder fragt: Die früher gefürchtete Störerhaftung für den Anschlussinhaber ist mit der Änderung des Telemedienrechts entfallen, dessen Regeln heute im Digitale-Dienste-Gesetz stehen. Wer sein WLAN teilt, haftet also nicht mehr für die Rechtsverstöße seiner Gäste, wobei ein Anspruch auf Sperrung bestimmter Inhalte bestehen kann. Der Grund für Vorsicht ist deshalb nicht mehr die Abmahnung, sondern eine schlichtere Tatsache: Wer das Passwort hat, ist in Ihrem Netz.
Bleibt die Reichweite der Karte. Ein Zettel an der Küchenwand ist durch ein Fenster mit ein wenig Zoom lesbar, und im Mehrfamilienhaus verrät ein Netzname, der Wohnung, Etage oder Familienname enthält, dem Nachbarn genau, welches Netz zu wem gehört. Nennen Sie das Gastnetz neutral, hängen Sie die Karte an eine Wand, die nicht vom Treppenhaus oder von der Straße aus einzusehen ist, und legen Sie ein zweites Exemplar in die Schublade statt an das Fenster.
Das ist nicht dasselbe wie ein Code, den jemand bei Ihnen platziert
Zwei verschiedene Probleme landen regelmäßig unter einer Überschrift. Ihre eigene Karte gibt Zugangsdaten preis, die Sie bewusst teilen, und dagegen helfen die oben genannten Maßnahmen.
Das andere Problem läuft in die Gegenrichtung: der Code eines anderen, dort platziert, wo Sie ihn scannen, gebaut, um Sie irgendwohin zu schicken, wo Sie nicht hinwollten. Ein Aufkleber über einer Parkuhr, eine falsche Netzwerkkarte in einer Lobby. Diese Bedrohung dreht sich darum, was nach dem Scannen passiert, und sie ist im Beitrag über gefälschte und manipulierte Codes behandelt. Halten Sie die beiden im Kopf getrennt, denn die Abwehrmaßnahmen haben nichts gemeinsam.
Öffnen Sie heute Abend Ihre Router-Einstellungen und prüfen Sie, ob das Gastnetz an ist. Wenn es aus ist, schalten Sie es ein, geben Sie ihm ein Passwort, das nirgendwo sonst vorkommt, und drucken Sie die Karte daraus, bevor Sie irgendetwas anderes drucken.