Sie sind hier: HomeTelekommunikation

Kommentar: Hacking-Team und Windows: Der Patch ist da - und jetzt beginnt das Problem

Microsoft hat sehr schnell reagiert. Nachdem Trend Micro – neben anderen Herstellern – eine Sicherheitslücke (CVE-2015-2426) in allen Windows-Versionen entdeckt hat, die im Zusammenhang mit dem Hacking-Team-Hack stehen, haben die Redmonder innerhalb weniger Stunden einen Notfallpatch (MS15-078) veröffentlicht. Damit scheint alles gelöst, nicht wahr? Im Gegenteil, aus Unternehmenssicht beginnt das Problem erst jetzt.

Bildquelle: © savoieleysse - fotolia.com

Rechner und Server auf Windows-Basis finden sich in allen Bereichen heutiger Unternehmen, einschließlich der Produktion, wo Laufzeiten bekanntlich alles sind. Außerdem befinden sich dort auch in den nächsten Jahren weiterhin bereits von Microsoft abgekündigte Versionen wie Windows XP oder Windows Server 2003 im Einsatz. Für diese Versionen jedoch stellt Microsoft auch im Fall der aktuellen Sicherheitslücke nur dann Sicherheitsupdates bereit, wenn ein verlängerter, entsprechend teurer Support-Vertrag besteht.

Aber ganz unabhängig davon, ob ein Unternehmen Anspruch auf Wartung hat oder nicht – die Tatsache allein, dass ein Notfallpatch vorliegt, löst das Sicherheitsproblem nicht. Soll das IT-Sicherheitsteam eine Nachtschicht einlegen und das Update überall einspielen – auch auf die Gefahr hin, dass ein nicht getesteter Patch unter Umständen die Produktionsbänder stilllegt? Ist die Gefahr überhaupt so groß, wie deren Einstufung durch Microsoft als „kritisch“ nahelegt?

Um diese Fragen zu beantworten, muss das Thema IT-Sicherheit im allgemeinen Risikomanagement eines Unternehmens fest verankert sein. Nur wenn bereits alle Systeme nach ihrem Risiko bewertet wurden, lässt sich eine nach Prioritäten geordnete Maßnahmenliste, welcher Rechner oder welcher Server sofort oder erst später gepatcht werden muss oder kann, erstellen. Aber auch das ist nur eine notwendige, keine hinreichende Voraussetzung. Denn wie „kritisch“ ist eine Sicherheitslücke wirklich? Einen ersten Hinweis darauf liefern amtliche Seiten, die das Gefahrenpotenzial aktueller Bedrohungen einschätzen. Solche Seiten gibt es sowohl von US-amerikanischer als auch von deutscher Seite. Erst wenn eine solche unabhängige Einschätzung vorliegt, können Unternehmen das damit zusammenhängende Risiko bewerten und danach handeln.

Einmal mehr zeigen sich hier zwei Dinge: Erstens gibt es keine absolute IT-Sicherheit, vielmehr bemisst sich ihr relatives Niveau nach dem Risikomanagement des jeweiligen Unternehmens. Zweitens aber ist IT-Sicherheit nur zu einem Teil eine technische Frage; erst wenn entsprechende Prozesse implementiert sind, lassen sich das Zeitfenster vom Bekanntwerden einer Sicherheitslücke über die Veröffentlichung eines Sicherheitsupdates bis zum Einspielen des Patches sowie das damit zusammenhängende unternehmensspezifische Risiko minimieren. Um dieses Zeitfenster zu erweitern und gleichzeitig das Risiko zu senken, sollten Unternehmen freilich über die Implementierung von Lösungen nachdenken, die Sicherheitslücken virtuell abschirmen können, bis Patches vorhanden sind und eingespielt werden können.