GI: “Sicherheitslücken veröffentlichen!”
Die Gesellschaft für Informatik (GI) hat die Behörden aufgefordert, Informationen über Sicherheitslecks unverzüglich zu veröffentlichen.
Anlass der Forderung sind Berichte über chinesische Angriffe auf Computer der Bundesregierung. Diese Attacken konnten selbst von einschlägigen Behörden erst nach Monaten abgewehrt werden, hieß es von der GI.
Dies deute daraufhin, dass Verfahren eingesetzt wurden, die nur den Angreifern bekannte Sicherheitslücken ausnutzten. Solche Angriffe – auch aus anderen Ländern – dürften auch zur Wirtschaftsspionage eingesetzt werden.
Die GI warne daher Firmen, Behörden und Privatleute vor unveröffentlichten Sicherheitslücken (Less Than Zero Day) in aller Art von Software. Gegen diese zum Teil seit Jahren von Kriminellen genutzten Lecks gebe es keinen Schutz, sofern die Schwachstellen nicht publik werden. Die GI fordere die Behörden daher dringend auf, alle ihnen bekannten Sicherheitslücken in Software unverzüglich bekannt zu machen.
Der Gesetzgeber sollte den Behörden die Veröffentlichung aller Lecks vorschreiben und deren Verheimlichung sanktionieren, hieß es. Die Behörden sollten zudem weit verbreitete Software auf bisher nicht veröffentlichte Lücken untersuchen.
Derweil könne mit Anti-Viren-Programmen, Honeypot-Systemen, Intrusion-Detection- und Intrusion-Protection-Systemen versucht werden, Hacker-Attacken zu erkennen. Eine Verschlüsselung der Daten und Dateinamen mache es einem Angreifer schwerer, weil er auf eine Entschlüsselung im Hauptspeicher warten müsse, bis er nutzbare Informationen erhalte.
Verschlüsselung sei allerdings – entgegen einer weit verbreiteter Ansicht – kein Allheilmittel. Dateisysteme kopierten Dateien aus “Sicherheits”- und Verwaltungsgründen oftmals auch vor ihrer Verschlüsselung oder nach ihrer Entschlüsselung an mehrere Stellen, die ein Angreifer einsehen könne.
Die einzig wirklich widerstandsfähige Sicherheitsmaßnahme seien Stand-Alone-Systeme, die keinerlei physische Verbindung zum Internet besitzen (auch nicht über andere IT-Systeme, Netze oder Modems). Diese Stand-Alone-Systeme würden bereits von vielen Unternehmen zur Verarbeitung ihrer wertvollsten Daten genutzt.
