Das Verbot der FCC markiert einen Wendepunkt in der westlichen Sicherheitspolitik. Alle im Ausland hergestellten Consumer-Router wurden auf die sogenannte Covered List aufgenommen. Ausnahmen sind nur möglich, wenn das Department of Defense (DoW) oder das Department of Homeland Security (DHS) eine explizite „Conditional Approval” erteilen – bislang gibt es solche Genehmigungen nur für Drohnensysteme und Software-Defined Radios von Herstellern wie SiFly Aviation und Mobilicom. Bemerkenswert: Starlink-Router aus Texas sind ausgenommen, weil sie in den USA produziert werden.
Die Begründung der FCC ist unmissverständlich: Ausländische Router “schaffen Lieferkettenrisiken, die die US-Wirtschaft, kritische Infrastruktur und Verteidigungsfähigkeit gefährden” und “stellen ein schwerwiegendes Cybersicherheitsrisiko dar, das sofort kritische Infrastruktur beeinträchtigen und amerikanische Bürger direkt schädigen kann”.
Besonders alarmierend sind die dokumentierten Angriffsszenarien. Die chinesische Gruppe Storm-0940 betreibt das Botnet CovertNetwork-1658 (auch als Quad7 bekannt), das zur Durchführung hochentwickelter Password-Spray-Angriffe verwendet wird. Salt Typhoon hat kompromittierte ausländische Router als Sprungbretter genutzt, um sich tief in amerikanische Netzwerke einzunisten und von dort aus lateral zu bewegen – eine klassische Taktik für Langzeitangriffe auf kritische Infrastruktur in den Bereichen Kommunikation, Energie, Transport und Wasserwirtschaft.
Router sind faktisch das erste Ziel von Cyberangriffen. Sie dienen als primärer Zugangskanal zum Internet und ermöglichen es Angreifern, Netzwerke zu überwachen, Daten abzugreifen und Malware bereitzustellen. Historisch zeigt sich das Problem bereits 2014, als Edward Snowden-Dokumentationen offenbarten, dass die NSA regelmäßig Router vor dem Export manipuliert.
Für die deutsche Cybersicherheitslandschaft hat dieses amerikanische Verbot Signalwirkung. Während es bereits gekaufte Router nicht betrifft und Einzelhandelsketten vorhandene Modelle weiter verkaufen dürfen, sollten Unternehmen und Privatanwender in Deutschland überprüfen, welche Routermodelle sie einsetzen. Besonders kritisch sind Geräte unbekannter Hersteller oder solche aus Drittländern ohne etablierte Sicherheitsstandards. Experten empfehlen, verstärkt auf europäische oder amerikanische Hersteller mit nachgewiesenen Sicherheitsaudits zu setzen und regelmäßige Firmware-Updates durchzuführen.