Angreifer werten neue Software-Lücken in Minuten aus, Updates dauern Tage
Angreifer nutzen neue Sicherheitslücken inzwischen innerhalb von Minuten oder Stunden aus, während Updates oft Tage brauchen. Ein Experte der Cyberagentur des Bundes sieht darin eine Entwicklung, die noch länger andauern dürfte, und setzt Hoffnungen auf KI.
Angreifer können neu veröffentlichte Sicherheitslücken inzwischen innerhalb von Minuten oder Stunden auswerten und daraus Angriffe entwickeln. Früher dauerte dieser Prozess oft Wochen oder Monate. Nach Einschätzung von Daniel Gille, Abteilungsleiter für Schlüsseltechnologien bei der Cyberagentur des Bundes, wird sich an diesem Ungleichgewicht vorerst wenig ändern.
Gille sagte der Deutschen Presse-Agentur: „Wir befinden uns wahrscheinlich gerade schon momentan in einem kleinen Tal der Tränen.“ Denkbar sei, dass irgendwann ein Plateau erreicht werde, weil Software nicht unendlich viele Schwachstellen haben könne. Derzeit aber haben Angreifer klar die Oberhand. Das Beheben von Sicherheitslücken erfolgt dagegen dezentral, weil jeder Betreiber seine eigenen Systeme aktualisieren muss, und das dauert deutlich länger als der Angriff selbst.
Die schwerwiegende Lücke in der weit verbreiteten Programmiersprache PHP zeigt dieses Muster deutlich. Viele Betreiber haben ihre Webseiten erst nach Stunden oder mehr als einem Tag wieder ans Netz genommen, nachdem sie Updates installiert hatten. Das Bundesamt für Sicherheit in der Informationstechnik stuft das Risiko der Lücke als außerordentlich hoch ein. Bislang meldeten Behörden keine erfolgreichen Angriffe auf die Bundesverwaltung. Das Digitalministerium prüft jedoch, ob Daten abgeflossen sind.
Dass es sich dabei nicht um einen Einzelfall handelt, deutet eine Auswertung des US-amerikanischen IT-Konzerns IBM an. Dessen Sicherheitsteam X-Force beobachtete bei zahlreichen großen Softwareanbietern, darunter Microsoft, Oracle und der Browser Google Chrome, einen dramatischen Anstieg bekanntgewordener Sicherheitslücken. Von Januar bis September dieses Jahres waren es demnach mindestens 10.124 Schwachstellen, ein Plus von rund 578 Prozent gegenüber dem Vorjahreszeitraum. Mehr als die Hälfte dieser mithilfe von KI entdeckten Lücken wurde nach einem in der Branche verwendeten Punktesystem als hoch oder kritisch eingestuft. Die Zahlen zeigen, dass Künstliche Intelligenz die Suche nach Schwachstellen erheblich beschleunigt, und zwar auf beiden Seiten.
Gille setzt darauf, dass KI künftig auch helfen kann, Programmcode so zu schreiben, dass er weniger angreifbar ist. Die Cyberagentur bereitet dazu nach seinen Angaben ein Forschungsprogramm vor, das demnächst ausgeschrieben werden soll. Noch weiter gehen Überlegungen, Künstliche Intelligenz selbst als Grundlage eines Betriebssystems zu nutzen. Die Behörde hat dazu den Auftrag, experimentell zu forschen. Ein solches System hätte demnach möglicherweise eine grundsätzlich andere Architektur statt eines einzigen festen Codes. Schwachstellen würden dann nicht mehr flächendeckend sämtliche Systeme betreffen, die dieselbe Software verwenden.
Unter Betriebssystem-Experten ist die Idee allerdings umstritten. Gille räumt ein, dass die Frage offen ist: „Das ist tatsächlich eine komplett offene Forschungsfrage. Das kann wahrscheinlich kein Mensch zum heutigen Zeitpunkt beantworten.“ Bis dahin bleibt nach seiner Einschätzung die Lücke zwischen Entdeckung und Behebung der zentrale Schwachpunkt der digitalen Sicherheit.
6
