06.02.2020, aktualisiert am 08.02.2020

3909

Stumpfe Frage: Wie funktioniert Teamviewer?

Guten Morgen,

ich habe tatsächlich grad mal eine wirklich stumpfe Frage: Wie funktioniert Teamviewer?

Damit meine ich jetzt nicht was man konkret einstellen kann oder wo man hinklicken muss, um eine Verbindung aufzubauen.
Sondern eher was auf Netzwerkebene geschieht, beim Verbindungsaufbau und -abbau, welchen Einfluss eine Firewall hat etc.

Habe dazu folgende Seite gefunden: https://www.teamviewer.com/de/trust-center/sicherheit/?utm_source=manual ...

Die Inhalte da verstehe ich so, dass über Port 5938 (Falls dieser in der Firewall gesperrt ist über Port 443 bzw. 80) vom Client eine Verbindung zu einem TV-Server aufgebaut wird. Dieser fungiert als eine Art Vermittler und tauscht die Public Keys der Parteien aus, damit diese direkt eine Verbindung zueinander aufbauen können. Diese Verbindung wird mit AES symmetrisch verschlüsselt, der AES-Key mit Hilfe des Public Keys der jeweiligen Gegenpartei verschlüsselt und so zum Partner übertragen, damit man eine symmetrische Verschlüsselung auf beiden Seiten hat.

Meine Fragen hierzu wären:

1) Wenn ich im Unternehmen den privaten Gebrauch von TV blocken wollen würde, müsste ich in der Firewall entweder auf Schicht 7 *.teamviewer.com sperren oder auf Schicht 4 Port 5938. Da TV aber alternativ andere Ports nutzt, würde die Sperrung auf Schicht 7 sinniger sein, richtig?

2) Basierend auf meinem obigen Verständnis von TV, scheint das ja erstmal nix schlechtes zu sein. Warum wird TV (aus Security-Sicht) denn immer wieder verpöhnt? Man hört/liest so Sprüche wie "TV ist wie eine Bohrmaschine durch die Firewall" oder "TV ist ### und unsicher".

3) Ein Berater sagte mal in einem Training, das ich besucht habe, man müsse Geräte, die per VPN an ein Netzwerk angeschlossen sind, wie Geräte behandeln, die physisch tatsächlich vor Ort stehen (aus Security-Sicht). Etwaige Malware könnte den Tunnel ja zur Ausbreitung nutzen etc.
Gilt TV als VPN? TV ist ja eigentlich zur Fernsteuerung und ggf. zur Datenübertragung gedacht.

4) Die Frage ist etwas allgemeiner: Ich habe gelesen (s.u.), dass wenn ein Client aus einem LAN eine Verbindung nach draußen durch eine Firewall initiiert (zB. zu einem Webserver) und die IP des Ziels von der Firewall NICHT geblockt wird (any => any), die Verbindung letztendlich aufgebaut wird und eine Datenübertragung stattfinden kann. Das macht ja auch Sinn.
Was würde aber passieren, wenn ich den Clients im inneren des Netzwerks aber eine Verbindung zu any erlaube, meine Firewall aber so einstelle, dass ankommende Pakete von einem bestimmten externen Server aber blockiert werden? Bezogen auf den 3-Way-Handshake müsste ja eigentlich das SYN-ACK Paket vom externen Server blockiert werden und ein Verbindungsaufbau wäre nicht möglich. Laut unten stehendem Text (fett markiert) wird eine Verbindung möglich sein, da der Client die initiiert hat. Oder ich bringe gerade Port Forwarding mit grundlegenden Funktionalitäten einer Firewall durcheinander

TeamViewer, LogMeIn and any other program that allows a zero config remote desktop session uses a third-party server.

For example, LogMeIn is a program similar to TeamViewer where you are able to remotely login to a computer outside of the network that you're currently on. You will notice that there are no external > configurations required for this type of remote session. This is due to the fact that the software that you installed on the remote machine (the LogMeIn client) initiates an outgoing request to the > LogMeIn servers. Since this client initiated the request, no port forwarding on the Firewall is required.

On your computer, outside of the network of the LogMeIn computer, can access this computer remotely through LogMeIn's website. This website accepts the initiated request from the remote > computer and keeps the connection alive to listen for a remote session request.

When you run TeamViewer, you are assigned an ID on their broker server. You make a connection to a Teamviewer ID, and TeamViewer passes the connection down through the TeamViewer client's > established tunnel to the destination and you then you are prompted for password and then the connection establishes afterwards.

Quelle: https://superuser.com/questions/661749/how-exactly-does-a-remote-program ...

Vielen Dank schonmal für das Durchlesen und für die Antworten.

Frohen Arbeitstag weiterhin

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 543998

Url: https://administrator.de/contentid/543998

Ausgedruckt am: 22.11.2024 um 11:11 Uhr

34 Kommentare

Neuester Kommentar

scheint das ja erstmal nix schlechtes zu sein.

Da bist du aber im Gegensatz zur Allgemeinheit sehr schlecht informiert:
https://www.heise.de/newsticker/meldung/TeamViewer-war-2016-Opfer-eines- ...
Das Böseste ist aber das TV einen Vermittlungshost benutzt. Es hat also mmer ein Ohr zwischen den Usern. Du hast es oben ja selber zitiert. Es "schnüffelt" also genau mit wer was wann macht und welche Daten sie noch dazu auswerten ist unbekannt.
Seit TV kein deutsches Unternehmen mehr ist sondern einem US Finanzinvestor gehört
https://www.heise.de/newsticker/meldung/Fernwartungsspezialist-TeamViewe ...
Ist so oder so höchst umstritten wie sicher die Daten sind.
In seriösen Unternehmen ist daher auch die Benutzung von Teamviewer aus gutem Grund strikt untersagt und per FW verhindert. Da gibt es erheblich bessere und vor allem sicherere weil vertraulichere Alternativen.
Zur Security fragt man auch immer externe Quellen und nicht den Hersteller selber oder fragst du auch die Frösche ob du den Teich auspumpen darfst ?

Moin,

in aller Kürze:
1: Ich weiß zwar nicht was Du mit Schicht meinst (OSI?), aber da TV "normale" HTTP(S) Ports (80etc) benutzt, musst Du dafür sorgen, dass deren Broker nicht erreichbar ist, ob der unter *teamviewer* erreichbar ist, musst Du in den Logs der FW prüfen. Anderer Ansatz ist das Whitelisting von Software innerhalb der Organisation

2: Da Du keine Kontrolle über den Datenverkehr hast und nicht wissen kannst wer ggfs. alles mithört, gilt TV u.a. als nicht vertrauenswürdig.

3. TV gilt nicht als VPN, kann aber m.E. einen VPN Tunnel aufbauen. Trotzdem sollte die Nutzung von TV genau überlegt werden.

Gruss

Noch dazu, wo Du ja auf der "Gegenseite" häufig irgendwann PW eintragen musst. Evtl. sogar über den Copy/Paste ...

Und der TV-Zwischenhost - so wie ich das verstehe - Zugriff auf den Schlüssel hat, bzw. haben könnte.

Zitat von @aqui:

scheint das ja erstmal nix schlechtes zu sein.

Danke für die Antwort und die Links. Das hab ich tatsächlich nicht gewusst.
Ich vermute, dass du darauf hinaus willst, dass TV (trotz asymmetrisch verschlüsselter Übertragung) den AES-Key abfangen und alles mitlesen könnte? Fände ich schon krass wenn es so wäre, dann kann man ja grundsätzlich niemandem mehr vertrauen

Zitat von @sabines:

Moin,

in aller Kürze:
1: Ich weiß zwar nicht was Du mit Schicht meinst (OSI?), aber da TV "normale" HTTP(S) Ports (80etc) benutzt, musst Du dafür sorgen, dass deren Broker nicht erreichbar ist, ob der unter *teamviewer* erreichbar ist, musst Du in den Logs der FW prüfen. Anderer Ansatz ist das Whitelisting von Software innerhalb der Organisation

2: Da Du keine Kontrolle über den Datenverkehr hast und nicht wissen kannst wer ggfs. alles mithört, gilt TV u.a. als nicht vertrauenswürdig.

3. TV gilt nicht als VPN, kann aber m.E. einen VPN Tunnel aufbauen. Trotzdem sollte die Nutzung von TV genau überlegt werden.

Gruss

Danke für die Antwort

1) Ja meine tatsächlich OSI. Konnte intern einen TV-Server identifizieren (Hostname: >diverse ASCII-Zeichen<.teamviewer.com). Daher war meine Vermutung, mit *.teamviewer.com alles blockieren zu können.
2) okay verstehe

danke

Also willst du wie aqui darauf hinaus, dass trotz Verschlüsselung alles mitgelesen kann und TV irgendwie an die private Keys kommt?

Zitat von @Visucius:

Noch dazu, wo Du ja auf der "Gegenseite" häufig irgendwann PW eintragen musst. Evtl. sogar über den Copy/Paste ...

Und der TV-Zwischenhost - so wie ich das verstehe - Zugriff auf den Schlüssel hat, bzw. haben könnte.

Danke

Verstehe den allgemeinen Tenor gerade so, dass TV nicht vertrauenswürdig ist, weil man nicht weiß was mit den Schlüsseln passiert.

Fände ich schon krass wenn es so wäre, dann kann man ja grundsätzlich niemandem mehr vertrauen

Das ist genau der Grund warum niemand TV trauen kann weil du eben nicht weisst woher die Schlüssel kommen und was die über ihren Vermittlungshost alles abschnorcheln.
Die meisten fallen drauf rein weil die Bedienung so schön einfach ist. Hast du dich mal in einer stillen Minute gefragt wie deren Geschäftprinzip ist ? Warum sollte ein Finanzinvestor der rein nur auf Rendite getrimmt ist aller Welt umsonst ein ein Remote Controll Tool "schenken" obwohl es ihn durch Strom und RZ Kosten von Servern usw. eine Stange Geld kostet und nichts einbringt. Warum fragen sich das Facebook und Google Nutzer nicht auch ? Es ist immer das gleiche Prinzip: Du bezahlst mit deinen persönlichen Daten ! Ein Schelm wer Böses dabei denkt...!
Deshalb in allen serösen Unternehmen ein NoGo !
Und bitte nicht immer mit Einzelthreads antworten. Das kann man auch mit einen @....davor intelligent zu einem zusammenfassen

Naja - so kann das gesehen werden - noch dazu, wo sie jetzt ja darauf achten, dass Du eine (wie ich finde) ziemlich teure Lizenz benötigst.

Und dann wird Dir als Alternative das "Shadowing von RDP" vorgeschlagen - ich bin nur zu doof, das entsprechend einzurichten. Also, nicht RDP, sondern das Shadowing

Deshalb wechselt man zu "any desk" - ein Spinoff von Ex-TV-Mitarbeitern, das auch in Europa beheimatet ist und ärgert sich in der Folge über die überraschend holprige Nutzbarkeit (laufende Freigaben notwendig, plötzlich werden keine Tastatureingaben übernommen, Neuverbinden mit extra Freigabe, klobige Client-Oberfläche, usw.)

Und merkt dann erst, was TV für ein Honey-Pot ist

Zitat von @Visucius:

Deshalb wechselt man zu "any desk" - ein Spinoff von Ex-TV-Mitarbeitern, das auch in Europa beheimatet ist und ärgert sich in der Folge über die überraschend holprige Nutzbarkeit (laufende Freigaben notwendig, plötzlich werden keine Tastatureingaben übernommen, Neuverbinden mit extra Freigabe, klobige Client-Oberfläche, usw.)

Und merkt dann erst, was TV für ein Honey-Pot ist

Naja, laß AnyDesk erstmal etwas "reifen", daß wird es "genausogut" wie TV.

lks

Der Punkt ist am Ende ja eh ein anderer: Wo findet jeder persönlich seinen Tradeoff

Wir leben in einem Land, in dem der eigene Geheimdienst im Auftrag von "fremden Mächten", die Bevölkerung an zentralen Schnittstellen abschnorchelt.

Irgendwo taucht dann die Frage auf, welchen Aufwand Du betreibst, um am Ende so oder so der Katz zu gehören. Wenns nicht der TV ist, dann schnappen sie "Dich" übers Smartphone oder Durchgriffsmöglichkeiten beim Provider oder der Nutzer lässt seinen Laptop für 10 Min. aus den Augen, wird auf die falsche Website "verleitet".
Verschlüsselung haben wir im Prinzip auch nix eigenes und die eigene Regierung arbeitet mit closed US-Software, usw. Von den Kunden-Flugdaten fange ich gar nicht erst an ...

Und das, wo die Amis schon in den 90ern beim Abschnorcheln der Siemens-Faxe der EU-Verwaltung ertappt wurden

Deinen Post könnte man jetzt wie folgt verstehen: "Naja, wenn "die" sowieso alles mitbekommen, dann spar ich mir die Arbeit es sicher zu machen und betreibe es so." Das kann man privat gerne machen, denn man ist nur für sich selbst verantwortlich.

In Unternehmen und Behörden sehe ich das als NoGo. Ein wichtiger Aspekt ist, dass wir als Betreiber/Admins/Unternehmen alles tun müssen, um dem Mithorchen ein Ende zu setzen. Soweit wie eben möglich und nach "Stand der Technik". Machen wir das nicht (bspw. Einsatz von alten Verschlüsselungen, unsicherer Software, Firwalls, und, und, und...), dann kann es zu Bußgelder kommen, die keiner will.

Könnte man - wenn man es unbedingt falsch verstehen möchte

Wie gesagt: Ein persönlicher(!) Tradeoff

Es ist ja nicht nur der "pöse Ami"! Es geht ja auch ums allgemeine Absichern vor "Dritten". Und da gibts halt Standards, die man einhalten sollte, die sich auch praktikabel umsetzen lassen. Und es gibt auch "die eigene Ehre"! Ich persönlich möchte ja meine Arbeit möglichst gut machen.

Aber wenn ich weltweit führenden DL nicht mehr vertrauen soll - d.h. mir meine Arbeit komplizierter (und damit auch teurer für den Kunden) mache, dann wird man in manchen Sachen halt abwägen. Bei TV im Speziellen ist es ja auch die Zeit des Kunden - an dessen Rechner Du operierst. Und nicht bei jedem hast Du auch VPN-Zugriff, was m.W. Voraussetzung für RDP-Shadowing wäre. Und jedes Mal hinfahren ist auch keine Lösung.

Ein gutes Beispiel ist z.B. der Einsatz von PGP bei firmenübergreifenden Mails. Da merkt man ganz schnell, wie weit es her ist mit dem Anspruch auf Vertraulichkeit, wenn damit das Handling unbequem wird

Hallo,

der TeamViewer vermittelt die Kontaktaufnahme - nicht aber die Datenpakete.

Gruß,
Jörg

Zitat von @117471:

der TeamViewer vermittelt die Kontaktaufnahme - nicht aber die Datenpakete.

Wenn man hinter NAT-Firewalls sitzt, vermittelt TV auch die Datenpakete. Diese Systeme können nicht direkt miteinander kommunizieren.

Perfektes Szenario für MITM!

lks

*hust* kostenlos ... *hust* Ist ja nicht so das Firmen die mit Remote-Support ihr Geld verdienen nicht ordentliche Lizenzkosten an TV abdrücken müssten.

Zitat von @bloodstix:

*hust* kostenlos ... *hust* Ist ja nicht so das Firmen die mit Remote-Support ihr Geld verdienen nicht ordentliche Lizenzkosten an TV abdrücken müssten.

Zusätzllich zu den Daten, die sie an TV/NSA liefern.

lks

Die lassen sich ja auch schlecht für die Aktionäre in der Bilanz abbilden. Hat Facebook ja schon bemerkt

Hast du dafür handfeste Beweise? Eure Paranoia in allen Ehren, aber wenns danach geht dürfte man gar nichts verwenden was nicht aus DE kommt.
Und da siehts dann wohl eher ziemlich mau aus insgesamt gesehen.

Grüße
bloody

Zitat von @bloodstix:

Hast du dafür handfeste Beweise?

braucht man nciht.

Wenn man weiß, daß das eine amerikanische Firma ist und die NSA per GAG-Order die anweisen kann, bestimmte Dinge zu tun, dann passiert das auch irgendwann. Man selbst ist zwar i.d.R. "unwichtig", aber wie das so ist mit Schleppnetzen, landet man oft schnell genug ohne eigenes verschulden mit in dem Netz. Und spätens seit Snowdens Enthüllungen weiß man, daß das was möglich ist auch gemacht wird.

es muß aber jeder selbst abwägen, ob er bereit ist, diese Risiko zu tragen.

lks

PS: Die NSA betreibt durchaus Witschaftsspionage zu Wohle der eigenen Wirtschaft. auch wenn das vornehmlich erstmal Terrorabwehr genannt wird.

"Nur weil du paranoid bist, heißt das nicht, dass sie nicht hinter dir her sind." (Terry Pratchett)

Naja, ich würde mal sagen, Du beschäftigst Dich mal mit "Edward Snowden" und dem, was der so an Unterlagen "geklaut" hat. Zumindest die Verschwörungstheorien aus meiner Kindheit wurde damit (fast) alle bestätigt.

Dazu evtl. noch folgende Stichwörter: BND/DE-Cix, Merkel Mobiltelefon, Fluggastdaten (Löschung in USA), Patriot Act, Safe Harbour, und den weltweiten Durchgriff auf Firmen, die in den USA ihren Hauptsitz haben und warum MS gegen die eigene Regierung klagte, usw.

Es gab da mal ne coole Arte-Dokumentation. Vielleicht hat ja jemand nen Link dazu.

Musst Du natürlich nicht. Aber ein wenig Augenmaß und Skepsis schadet bestimmt auch nicht.

Dazu ne kleine Geschichte, die mir irgendwann zuflog. Natürlich alles frei erfunden.

Es begab sich (angeblich) zum Ende der Nuller-Jahre, bei einer Beratungsfirma, die sich rühmte in allen DAX-Unternehmen tätig zu sein und sich schon einige Jahre anschickte auch in der hiesigen staatlichen Verwaltung Fuß zu fassen.

Die US-Mutter empfahl weltweit einheitlich auf VOIP zu setzen - um Kosten zu sparen. Die einheimische ISDN-Anlage flog raus, die Client-HW lieferte ne damals ziemlich junge/kleine Klitsche namens "Avaya", die "Nortel"-Switche ersetzte man konsequent durch "Cisco" - um die damit verbundenen Qualitätseinbußen in den Griff zu bekommen. (Guck mal "Cisco" und Snwoden und/oderSicherheitslücken)

Dem aufkommenden Thema "Carbon Footprint" (und den Reisekosten) begegnete man - ganz am Puls der Zeit - mit verstärktem Einsatz von Videokonferenz-Systemen der Firm "Polycom" in allen Filialen der Firma. Da die Verbindungsaufbau und die -qualität anfangs immer wieder zur Verärgerung führte, ließ man den US-Anbieter der HW die Konferenzen initiieren und routen.

Schon einige Jahre zuvor gab es eine interessante US-Initiative, deren Umsetzung wohl später am Anwender haperte: Die vorhandenen dezentralen Fileserver sollten in kontinentale, zentrale MS-Server-Strukuturen überführt werden, die sich gegenseitig abglichen. Ausschließlich die Schweizer Kollegen verließen die 5-Tages-Veranstaltung nach der Vorstellungsrunde.

Legendär waren in dem Zusammenhang auch die "Chinese-Walls". Auf der einen Seite erhob man Benchmarkdaten eines Unternehmens. Wenn die Teams nen Auftrag vom Wettbewerb erhielten, wurden diese als Vergleichswerte "anonymisiert" um diesem, seine Position zu verdeutlichen. Natürlich mit getrennten Teams, die sich niemals nicht irgendwo austauschen können/dürfen/sollen - aber in der gleichen Branch des Unternehmens Projekte abbilden.

Aber ich bin sicher - für diese ganzen Ideen und Umsetzungen gab es immer geduldiges Papier, auf dem steht, dass Sachen nicht vorkommen (dürfen), die dann aber theoretisch doch möglich wären aber niemals bewiesen werden könnten

Wenn man will, dass Sachen nicht passieren, dann sollte man die Strukturen dafür nicht schaffen!

Andere Baustelle: Ich musste damals immer schmunzeln wenn die EU, bzw. deren Beamte, über "ihre" Verhandlungslinie beim Freihandelsabkommen mit den USA berieten. Die waren doch schon blank, bevor sie überhaupt ihr Büro verließen.

Da ging es wirtschaftlich um Jahrzehnte und Billionen. Kann mir keiner weiß machen, dass die USA da irgendwas dem Zufall überlässt oder sich ein Land auf Augenhöhe nähert, dass nachweislich nicht mal den eigenen Bundestag und die Regierungschefin schützen kann

Was bist "Du" dagegen mit einer Teamviewer-Session, bei der Du einer Sachbearbeiterin einen Word-Problem fixt

Zitat von @Lochkartenstanzer:

Wenn man weiß, daß das eine amerikanische Firma ist...

Und ich dachte die kommen aus Göppingen?

Ist schon lange nicht mehr der Fall. US Eigner und damit sind sie dann direkt an die Schnüffel RZ der NSA angeschlossen...

Zitat von @T.Borgwald:

Zitat von @Lochkartenstanzer:

Wenn man weiß, daß das eine amerikanische Firma ist...

Und ich dachte die kommen aus Göppingen?

Schon lange nicht mehr.

Die ursprünglichen Eigentümer haben sich damit eine goldene Nase verdient..

lks

Edit: Tatschtatur-Fehler bereinigt.

@Lochkartenstanzer nochmal über dein Post lesen. Guten Morgen *Tasse Kaffee reicht*. ^^

Zitat von @bloodstix:

@Lochkartenstanzer nochmal über dein Post lesen. Guten Morgen *Tasse Kaffee reicht*. ^^

Danke für den Kaffee. Das war wie immer diese blöde Tatschtatur vom Minitelefon. Das kleine Display tut sein übriges zusammen mit der Altersweitsichtigkeit.

lks

Hallo,

Zitat von @aqui:

Ist schon lange nicht mehr der Fall. US Eigner und damit sind sie dann direkt an die Schnüffel RZ der NSA angeschlossen...

...genau so wie dein Betriebssystem. Sry, aber was in Windows alles an "brachliegenden" Funktionen (wie z.B. bei Bedarf aktivierbare Backdoors) enthalten ist, kannst Du ohne Einblick in die Quellcodes nicht einmal erahnen.

Ergo: Doppelmoral...

Gruß,
Jörg

Zitat von @117471:

Hallo,

Zitat von @aqui:

Ist schon lange nicht mehr der Fall. US Eigner und damit sind sie dann direkt an die Schnüffel RZ der NSA angeschlossen...

...genau so wie dein Betriebssystem. Sry, aber was in Windows alles an "brachliegenden" Funktionen (

aqui nutzt kein Windows, sondern BSD mit Apfelgeschmack.

lks

Hallo,

kein Wunder, dass er so auf diesen Zeroconf-Krempel mit dem Multicast herumreitet

Mac macht einsam

Freitagsgruss,
Jörg

Höre ich da gerade die ~~unsinnigen~~ Gehässigkeiten die der Kollege @fa-jka hier immer anprangert ?? Und jetzt macht er hier auch noch fröhlich mit !! 😈
Ein Glück das heute Freitag ist

und hier ein PiHole werkelt der Schnüffelei verhindert egal ob Apfel oder Gruselwinblows

Mal ganz ehrlich. Teamviewer nutzen wir nicht, weils einfach ###e langsam ist. Aber die Sicherheit?
Am besten Teamviewer verpöhnen, aber Windows 10 nutzen und darauf dann auch noch Facebook, Twitter oder WhatsApp-web?
Hmmm, habe ich ein Problem mit. 🤢😒
Dann muß man auch konsequent sein und das auch alles unterbinden bzw. nicht verwenden!

Vernüftig denkende Menschen (und dazu zählen ganz besonders IT Kundige !) sind in der Beziehung auch konsequent und nutzen kein Facebook. Wer das nach den ganzen Skandalen und weiterer ungezügelter Schnüffelei immer noch tut dem ist dann so oder so nicht mehr zu helfen.
Der will dann auch seine gesamte Persönlichkeit im Internet exponiert wissen... Vom gesamten Rest mal gar nicht zu reden da. Aber egal...ein langes Thema das in einem rein technischen Admin Forum absolut den Rahmen sprengt und auch fehl am Platze ist !