Mcert geißelt Patchday-Zyklen als Sicherheitsrisiko
Die Sicherheitsfirma für Mittelständler in Deutschland, Mcert Deutsche Gesellschaft für IT-Sicherheit, hat noch einmal eindringlich vor festen Patchzyklen gewarnt.
Die neuartigen Angriffsmethoden auf die IT von Unternehmen würden ein flexibleres Vorgehen bei der Bekämpfung erfordern, teilte das Mcert mit. Derzeit bleibe den Verantwortlichen kaum noch Zeit für eine Reaktion, wenn ein Angriff erfolge.
Schließlich machten sich die Angreifer zunutze, dass einige Softwarehersteller die Lücken in ihren Programmen an festen Tagen schließen. An diesen so genannten Patchdays werden gleich mehrere Softwarelöcher auf einmal abgedichtet. “Die Täter scheinen Sicherheitslücken auf Vorrat zu haben, die sie unmittelbar nach dem Patchtag ausnutzen”, vermutet Mcert-Geschäftsführer Stefan Gehrke. Diese bislang unbekannten Lücken stehen dann bis zu vier Wochen offen und können von den Angreifern unmittelbar ausgenutzt werden (Zero-Day-Exploit).
Angriffe auf die IT-Systeme von Unternehmen werden zunehmend gezielt ausgeführt und haben mehr und mehr einen kriminellen Hintergrund. Die Eindringlinge nutzen dabei unbekannte Lücken in Programmen, die von den Software-Herstellern noch nicht geschlossen worden sind. Besonders betroffen davon waren in letzter Zeit die Büroprogramme Word, Excel und Powerpoint von Microsoft.
Die Experten von Mcert haben zudem festgestellt, dass überwiegend Unternehmen mit infizierten Bürosoftware-Dateien angegriffen werden. Dieser Umstand lasse auf gezielte Industriespionage schließen. Nach Erkenntnissen des SANS Institutes sollen die Urheber dieser Schadsoftware in Asien sitzen, so das Mcert. Es sei zudem davon auszugehen, dass diese ihre Kenntnisse über Sicherheitslücken auch an Interessierte verkaufen.
Jedoch könne nicht die Bürosoftware an sich abgeschafft werden und auch deren Nutzung müsse weiterhin möglich sein, räumten die Experten ein. Daher gibt Mcert folgende Tipps: Mitarbeiter sensibilisieren, so dass sie nicht mehr jede Datei vertrauensvoll öffnen; nicht ausschließlich auf Antivirensoftware verlassen, da diese selten auf dem allerneusten Stand sei; Nutzerrechte der Mitarbeiter beschränken – auch in kleineren Firmen; sich permanent über Sicherheitsfragen informieren.
