Das Symptom
Es gibt keins. Genau das ist das Problem.
Der Drucker im Flur funktioniert tadellos. Alle im Haus drucken darauf: die
Gehaltsabrechnung, den Arztbrief, die Kündigung, die Steuererklärung, das
Zeugnis des Kindes. Nichts stockt, nichts hängt, nichts meldet einen Fehler. Und
niemand hat je gefragt, in welcher Form diese Dokumente eigentlich durchs Netz
gehen, bevor sie aus dem Gerät kommen.
Die „Layer 8“-Wahrheit
Sie gehen im Klartext. Fast immer.
Das ist keine Nachlässigkeit eines einzelnen Herstellers, sondern eine
Entscheidung, die im Standard nachzulesen ist. RFC 8010 empfiehlt Clients und
Druckern die Unterstützung von TLS — empfiehlt, nicht verlangt. Und die Notiz
darunter ist eines der ehrlichsten Stücke Text, die man in einer Spezifikation
findet: Weil frühere Fassungen TLS nicht verlangt hätten, könne diese es
ebenfalls nicht verlangen. Direkt danach steht, was auf dem Spiel steht — dass
beim Drucken oft sehr private Dinge übertragen werden, genannt sind medizinische
Berichte, Leistungsbeurteilungen, Bankinformationen, und dass die Überwachung
von Netzen allgegenwärtig sei. Die Verfasser wussten also genau, was sie nicht
verlangen konnten.
Auf der Windows-Seite lässt sich dieselbe Entscheidung als Zahl ablesen. Es gibt
eine Richtlinie, die verschlüsselte Verbindungen zur Pflicht macht. Ihr
dokumentierter Standardwert ist 0 — aus. Ab Werk dürfen Drucker eingerichtet
werden, die kein IPPS beherrschen. Verschlüsselung ist hier nicht der Normalfall
mit einer Ausnahme, sondern die Ausnahme mit einem Schalter.
Zwei Irrtümer halten sich dabei besonders hartnäckig. Der erste: Man erkenne es
am Port. Man erkennt es nicht — RFC 7472 hält ausdrücklich fest, dass 631 für
beide Adressformen benutzt wird, für das verschlüsselte ipps ebenso wie für das
offene ipp. Der zweite: Im eigenen WLAN sei das egal. Das war schon vor dem
Gastzugang für Besucher fragwürdig und ist es seit dem ersten smarten Gerät im
selben Netz erst recht. Ein Netz ist kein Raum mit einer Tür, sondern ein Flur,
an dem viele Zimmer liegen.
Der Layer-8-Anteil daran ist nicht Bequemlichkeit, sondern eine falsche
Vorstellung davon, was ein Drucker ist. Man hält ihn für ein Endgerät wie eine
Lampe — es geht etwas hinein und ein Blatt kommt heraus. Tatsächlich ist er ein
Server im Netz, der Dokumente entgegennimmt, zwischenspeichert und auf einer
eingebauten Festplatte behält, oft länger, als irgendwer vermutet. Die Frage
lautet also nicht, ob jemand mitliest. Sie lautet, ob man je danach gefragt hat.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Erst nachsehen, wie die Warteschlange wirklich eingerichtet ist
Unter Linux und macOS beantwortet das ein einziger Befehl. Die CUPS-Handbuchseite beschreibt den Schalter als Anzeige der Drucker und des Geräts, an das sie angeschlossen sind. Herauskommt die Geräteadresse — und die beginnt entweder mit ipp, mit ipps oder mit etwas ganz anderem wie socket. Das ist die Auskunft, um die es hier geht, und sie kostet zwei Sekunden.
lpstat -v
2.Den Drucker selbst fragen, was er an Sicherheit anbietet
Raten ist unnötig, denn der Standard sieht die Frage vor. RFC 8011 führt zwei Eigenschaften, mit denen ein Client die Sicherheitsvorgaben eines Druckers ermitteln kann; für jede angebotene Adresse steht dort entweder none oder tls. Abrufen lässt sich das mit dem Prüfwerkzeug von CUPS, das laut Handbuchseite eine Testdatei für die Druckereigenschaften mitbringt. Steht im Ergebnis überall none, ist die Sache entschieden.
ipptool -tv ipp://drucker.example.com/ipp/print get-printer-attributes.test
3.In der Weboberfläche des Geräts nachsehen, ob es TLS überhaupt kann
Viele Geräte können mehr, als bei ihnen eingerichtet ist: ein Zertifikat erzeugen, IPP über TLS anbieten, den unverschlüsselten Zugang abschalten. Wo diese Schalter sitzen und wie sie heißen, unterscheidet sich von Hersteller zu Hersteller — hier endet die belegbare Auskunft. Was dagegen für alle gilt: Ein Gerät, dessen Weboberfläche selbst nur über http erreichbar ist, hat für dieses Thema noch nie jemand angefasst.
4.Die Warteschlange auf die verschlüsselte Adresse umstellen
Kann das Gerät es, wird die Warteschlange neu auf die ipps-Adresse gesetzt. Die Handbuchseite zu lpadmin beschreibt den Schalter als Setzen der Geräteadresse der Warteschlange und verweist für die Liste der möglichen Adressen auf lpinfo. Wichtig ist der Modellwert everywhere: Die Handbuchseite hält fest, dass er den Drucker unter der angegebenen IPP-Adresse abfragt — und dass alle anderen Modelle abgekündigt sind.
lpinfo -v
sudo lpadmin -p Drucker -E -v ipps://drucker.example.com/ipp/print -m everywhere
5.Die Verbindung zum Druckserver getrennt davon absichern
Eine Sache wird hier oft verwechselt: Verschlüsselung zum Drucker und Verschlüsselung zum Druckserver sind zwei verschiedene Strecken. Die CUPS-Werkzeuge haben dafür einen eigenen Schalter — bei lpoptions beschrieben als Einschalten der Verschlüsselung zur Kommunikation mit dem CUPS-Server, bei lpadmin ausdrücklich abhängig von der Stellung im Befehl. Die Handbuchseite kommentiert das mit bemerkenswerter Offenheit als unglückliche historische Eigenart.
6.Unter Windows die Richtlinie bewusst setzen — oder bewusst nicht
Wer verhindern will, dass unverschlüsselte Drucker überhaupt eingerichtet werden, setzt die Richtlinie Require IPPS for IPP printers unter Computerkonfiguration im Zweig Drucker. Die Kehrseite steht in derselben Beschreibung: Dann lassen sich nur noch Drucker einrichten, die IPPS beherrschen. In einem Haushalt mit einem älteren Gerät ist das kein Gewinn, sondern eine Sperre. Die Entscheidung gehört getroffen, nicht geerbt.
7.Wenn nichts davon geht, das Risiko benennen statt es wegzureden
Ein Drucker, der kein TLS kann, bleibt unverschlüsselt — daran ändert kein Schalter etwas. Dann hilft nur, das Ergebnis anzuerkennen und den Umgang anzupassen: solche Geräte nicht ins Gastnetz und nicht ins offene WLAN, keine Personalunterlagen und keine Arztbriefe darüber, und beim nächsten Gerätekauf die Frage nach IPPS auf die Liste. Das ist weniger befriedigend als eine Anleitung mit Häkchen am Ende — aber es ist die Lage.