„Die Frage ist nicht, ob man gehackt wird, sondern wann", sagte Robert Rogenmoser, CEO von Securosys, am Swiss Economic Forum vom 9. Juni 2016 in Interlaken.

Das Erkennen von Software-Schwachstellen in Netzwerkkomponenten ist eine schwierige Aufgabe. Zudem wird jeder, der einen Software-Bug identifiziert hat, gründlich überlegen, was er mit seinem neuen Wissen anfangen soll. Idealerweise sollte der Forscher den Softwarehersteller informieren, damit rechtzeitig ein Patch entwickelt und zur Verfügung gestellt werden kann, sodass die Sicherheitslücke schnell beseitigt werden kann. Danach könnte er seine Erkenntnisse der Wissenschaftsgemeinschaft vorstellen oder die Medien informieren.

INTERESSE AN SCHWACHSTELLEN IST GROSS

Leider halten sich nicht alle Forscher an dieses Vorgehen. Das Interesse an Schwachstellen, die Zero-Day-Attacken ermöglichen würden, ist und war schon immer gross. Bis vor wenigen Jahren waren es ausschliesslich die Geheimdienste, die mit der exportorientierten Technologiebranche zusammenarbeitete, wie wir aus Ed Snowdens Enthüllungen wissen. Mittlerweile zeigen auch Strafverfolgungsbehörden und Staatsanwaltschaft verstärktes Interesse an der Ausnützung von Sicherheitslücken – für die Terrorprävention. Sobald sie im Besitz von Werkzeugen sind, die es ihnen ermöglichen, in geschützte Netzwerke verdächtiger Personen einzudringen, ist es auch in ihrem eigenen Interesse, solche Schwachstellen vertraulich zu behandeln. 

SCHADCODE VOM AMERIKANISCHEN GEHEIMDIENST

Die jüngsten Enthüllungen haben uns über bisher unbekannte Schwachstellen in Geräten der US-amerikanischen Unternehmen Cisco, Fortinet und Juniper sowie der in China ansässigen Topsec informiert. Anscheinend stammt der Schadcode für die Exploits vom amerikanischen Geheimdienst NSA.

Viele CEOs und CIOs könnten argumentieren: "Was kümmert es mich, ob die NSA oder die Europol meine Daten lesen? Wir haben wirklich nichts zu verbergen! "

SCHÜTZENSWERT – NICHT VERBERGENSWERT

Das mag wahr sein, aber die Frage lautet nicht, ob man etwas zu verbergen hast, sondern ob man etwas Schützenswertes hat. In der Tat wurde der angebliche NSA-Code für die Ausnutzung unbekannter Schwachstellen von einer unbekannten Gruppe namens "Shadow Brokers" zum Verkauf angeboten. Solche Werkzeuge sind interessant für Kriminelle, die ständig nach neuen Wegen in geschützte Netzwerke suchen, um vertrauliche Informationen zu sammeln und von ihnen zu profitieren. 

TIPP: PRODUKTE MIT GUTER ARCHITEKTUR

Allen, die sich gegen Zero-Day-Angriffe schützen wollen, geben wir folgende Ratschläge: Halten Sie sich fern von staatlich infiltrierter Hard- und Software. Setzen Sie vielmehr auf Produkte, für die Sicherheit kein Add-On-Feature von komplexer Software ist, sondern Teil einer gut fundierten Architektur, und zwar nachweislich zuverlässig.

Sie finden diese Art von Produkten bei Securosys - für den nachhaltigen Schutz Ihrer wertvollsten Daten.

Andreas Curiger, CTO/CSO Securosys