Windows XP: Microsoft warnt vor “Ewigem Zero-Day”

Der 8. April 2014 besiegelt das Supportende des inzwischen fast 13 Jahre alten Betriebssystems Windows XP. Nachdem Microsoft sich ab diesem Datum definitiv nicht mehr um die Pflege des Systems kümmern wird, sei mit schwerwiegenden Sicherheitsrisiken zu rechnen, denn es wird dann keinerlei Sicherheitsupdates, Aktualisierungen oder technische Unterstützung mehr geben.

Vor allem bei Unternehmen ist Windows XP nach wie vor fest etabliert. Und Unternehmen scheuen auch besonders die Migration auf eine aktuellere Version des Betriebssystems. “Ich habe mit einigen Kunden gesprochen, die erst dann von Windows XP umsteigen wollen, wenn die Hardware versagt, auf der es läuft”, beklagt Microsoft-Manager Tim Rains in einem Blog. Als Leiter von Microsofts Trustworthy Computing ist er für die Sicherheit von Betriebssystemen verantwortlich.

Nach dem Auslaufen des Supports sieht er das Risiko, dass Angreifer “im Vorteil gegenüber den Verteidigern sind, die weiterhin auf Windows XP bauen, weil die Angreifer wahrscheinlich mehr Informationen über Schwachstellen in Windows XP haben werden als Verteidiger”. Angreifer könnten nach jedem von Microsoft veröffentlichten Sicherheitsupdate kurzfristig auf die damit behobenen Sicherheitslücken schließen und dann Code zur Ausnutzung auf Systemen entwickeln, die nicht aktualisiert werden.

Sie könnten außerdem erproben, ob die jeweiligen Schwachstellen auch in Produkten mit gleicher oder ähnliche Funktionalität vorkommen. Aus diesem Grund liefere Microsoft Sicherheitsupdates stets gleichzeitig für alle betroffenen Produkte aus. Nach dem 8. April 2014 aber könnten XP-Nutzer nicht mehr auf diesen Vorteil bauen: “Ab dem ersten Monat, in dem Microsoft Sicherheitsupdates für unterstützte Versionen von Windows veröffentlicht, werden Angreifer durch Reverse Engineering dieser Updates die Schwachstellen finden und testen, ob Windows XP die gleichen Schwachstellen aufweist.”

Sei das der Fall, würden sie Exploit-Code zu entwickeln versuchen, mit dem sie die Schwachstellen unter Windows XP ausnutzen können. Bei XP sei jedoch nicht mehr auf die Behebung von Schwachstellen durch Sicherheitsupdates zu rechnen. Daher werde Windows XP laut Rains “für immer eine Zero-Day-Schwachstelle haben”. Damit greift er auf einen Begriff zurück, der eigentlich für bislang unbekannte Sicherheitslücken steht.

Der Manager weist außerdem auf eine erheblich höhere Infektionsrate bei Windows-XP-Systemen im Vergleich zu moderneren Betriebssystemen wie Windows 7 oder Windows 8 hin, wie aus Microsofts eigenen Erhebungen hervorgehe. Die Kunden sollten sich außerdem die Frage stellen, ob sie noch auf die System-APIs von XP vertrauen können, die von Antivirus-Software genutzt wird.

“Für einige Kunden könnte dieses Vertrauen in die Integrität ihrer Systeme okay sein, aber für die meisten wird das nicht akzeptabel sein”, argumentiert er. Warnend führt er weiterhin an, dass die integrierten Sicherheitsfeatures von Windows XP nicht mehr hinreichend vor modernen Bedrohungen schützten, die sich zunehmend gegen Client-Anwendungen wie Webbrowser und Dokumentenbetrachter richteten.

Laut NetMarketshare.com verfügte Windows XP im Juni 2013 noch immer über einen Marktanteil von über 37 Prozent unter den Desktop-Betriebssystemen. Microsoft macht dennoch klar, den Supportzeitraum definitiv nicht über den 8. April 2014 hinaus zu verlängern. Stattdessen ist in den kommenden acht Monaten vermutlich mit einer Serie von zunehmend lauter werdenden  Sicherheitswarnungen aus Redmond zu rechnen.

[mit Material von Bernd Kling, ZDNet.de]

Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.