DsiN-Blog

Der IT-Sicher­heitsblog für den Mit­tel­stand

Themen

Tipp des Monats

Machen Sie in nur zehn Minuten den IT-Sicher­heits­check von Deutschland sicher im Netz. Der Test liefert Hand­lungs­emp­feh­lungen, mit denen Sie die eigene IT-Sicher­heitslage ver­bessern können.

News­letter

Um neue Bei­träge regel­mäßig zu erhalten, können Sie hier unseren News­letter abon­nieren:

Die „Schuld­frage“ oder „wer ist ver­ant­wortlich?“

Erst Tes­la­Crypt, Locky, jetzt Wan­naCry: Wer ist denn schuld daran? “

Schon wieder ein Tro­janer, der die Fest­platte ver­schlüsselt. Das gibt es doch schon länger, warum macht denn niemand was dagegen?“
Wenn man solchen Angriffen hilflos aus­ge­setzt ist– vor allem wenn man viel­leicht selbst betroffen ist – wird  schnell der Ruf nach einem Schul­digen laut. In ver­schie­denen Foren, Artikeln und Dis­kus­sionen Im Internet wurde in den letzten Wochen heftig darüber dis­ku­tiert, wer denn nun die Schuld daran trägt. Natürlich gibt es die „bösen Jungs“ die solche Software über­haupt schreiben, aber vor allem bei „Wan­naCry“ wurden Infor­ma­tionen über die aus­ge­nutzten Schwach­stellen bekannt, die zu Schuld­fragen bis in den Bereich der Ver­schwö­rungs­theorien führten.

Ganz oben auf der Liste der „Schul­digen“ steht die National Security Agency (NSA), die fast schon mys­ti­fi­zierte Spio­na­ge­ab­teilung in den USA. Sie hat von den Pro­blemen seit fünf Jahren gewusst und nichts gesagt. Damit wurde die Chance ver­passt, die Sicher­heits­lücke  recht­zeitig zu schließen. Nicht nur Ver­schwö­rungs­theo­re­tiker stellten die Frage wie viele solchen Lücken noch der NSA bekannt sind und geheim gehalten werden. Dabei waren die bei Wan­naCry aus­ge­nutzten Schwach­stellen bereits im Februar 2017 bei Microsoft bekannt.

An zweiter Stelle wird daher sofort der Her­steller genannt. Microsoft hat zwar am 12. März 2017 einen Patch ver­öf­fent­licht, aller­dings nicht für Windows XP und ältere Microsoft-Betriebs­systeme. Wan­naCry konnte sich deshalb auch so ver­breiten, da Windows XP und ältere Ver­sionen immer noch im Einsatz sind und nicht jeder seine Systeme immer auf den neu­esten Stand hält.

Damit kommen wir zum nächsten „Schul­digen“, dem Benutzer selbst. Warum werden in so einem sen­siblen Bereich wie einem Kran­kenhaus, bei Auto­mo­bil­her­stellern oder bei der Deut­schen Bahn alte oder unge­patchte Com­puter über­haupt ein­ge­setzt? Es ist nicht erst seit Wan­naCry bekannt, dass die zeitnahe Instal­lation von Updates gegen Angriffe hilft. Sind die Kunden also selbst Schuld an dem Problem?

Wieso sollte denn der Anwender daran schuld sein, schließlich gibt er viel Geld für Pro­dukte zur Ver­bes­serung seiner IT-Sicherheit aus (Viren­scanner, Firewall, etc.). Haben wir dann mit der Sicher­heits­in­dustrie den wahren Schul­digen gefunden? Seit Jahren ver­dient sie Geld damit Pro­dukte zu ver­kaufen, die uns Anwender schützen sollen. Bei über 230.000 infi­zierten Sys­temen darf man sicherlich die Frage stellen ob die Pro­dukte versagt haben.

Jeder der oben auf­ge­führten „Schul­digen“ wird sicherlich Gründe anführen können, wie Wan­naCry hätte ver­hindert werden können, wenn die Anderen besser reagiert hätten. Aber solche „was wäre wenn“ Situa­tionen zu dis­ku­tieren ist schwierig.

Mein „Lieb­lings-Schul­diger“ ist in dem Fall die NSA, vor allem weil es so bequem ist. Aber natürlich habe ich durch das Wissen über eine Schwach­stelle noch keinen Patch, das Update ist damit noch nicht instal­liert und der Sicher­heits­in­dustrie hilft reines Wissen alleine auch nicht weiter. IT-Sicherheit ist ein kom­plexer Prozess bei dem jeder seinen Teil dazu bei­tragen muss. Daher mein Appell an alle Betei­ligten:

  • • NSA, teilt euer Wissen mit der Gemein­schaft.
    • Her­steller, ori­en­tiert euch an der Rea­lität am Markt, Windows XP ist noch nicht tot.
    • Anwender, schaltet endlich die alten und unge­patcheten Systeme ab. Es muss nicht immer die neueste Version sein, aber ohne Update gibt es keinen Schutz vor Schwach­stellen und damit keine Sicherheit.
    • Sicher­heits­in­dustrie, was wir kaufen sollte helfen und vor allem auch benutzbar sein. Schutz vor Wan­naCry & Co. per Knopf­druck oder noch besser auto­ma­tisch.

Haben Sie auch einen „Lieb­lings-Schul­digen“? Dann schreiben Sie doch einen Kom­mentar in meinem Blog.

4 Kommentare zu „Erst TeslaCrypt, Locky, jetzt WannaCry: Wer ist denn schuld daran? “

  • Wilfried Käufler sagt:

    Jeder ist seines Glückes Schmied”.
    Wenn ich mich nicht schlau mache und mich nur auf Dritte ver­lasse, weil es so bequem ist und ich dannn bei
    Bedarf einen Schul­digen habe, dann ver­diene Ich kein
    Mitleid.
    Ein PC ist kein Spielzeug und nicht nur zum Zocken und
    Surfen im Internet gedacht.
    Ich muss ständig dazu lernen um meinen PC sicher zu halten. Wozu gibt das BSI, das DSiN etc.
    Wozu gibt es Sicher­heits­news­letter und Apps
    wie Basin. Also bitte mehr Zeit für Sicherheit,Updates
    und keine Zeit für unbe­kannte Emails mit Anhängen
    ver­wenden.
    “Die Neu­gierde ist der Tod von der Hälfte aller jungen
    Katzen die uner­fahren sind”

  • Helmut sagt:

    Meiner Meinung nach ist die Finanz­wirt­schaft und Politik daran schuld. 

    Nicht nach ver­folgbare Zah­lungs­mittel wie Bit­Coins gehören ver­boten.

    Geld­trans­ak­tionen sollten national und inter­na­tional zu 100% trans­parent und nach­voll­ziehbar sein! So würde man den Erstellern von Ran­so­meware ein für alle mal die Geschäfts­grundlage ent­ziehen. (mal abge­sehen von den vielen anderen Vor­teilen)

    • Anita Möllering sagt:

      Hallo Helmut,
      vielen Dank für Ihren Kom­mentar. Wir sind der festen Über­zeugung, dass solange es tech­nisch-orga­ni­sa­to­rische sowie mensch­liche Schwach­stellen wei­terhin zulassen, Cyber­kri­mi­nelle diese mit hoher Wahr­schein­lichkeit auch unter strik­teren finanz­re­gu­la­to­ri­schen Rah­men­be­din­gungen aus­nutzen. Alleine (Wirtschafts-)Sabotage und Spionage würde ein veri­tables Geschäfts­modell für Cyber­kri­mi­nelle bleiben.
      Mit freund­lichen Grüßen
      Anita Möl­lering, Deutschland sicher im Netz

      • Seiler sagt:

        Hallo, ich Inter­netscout, habe kürzlich einen sehr denk­wür­digen Kom­mentar gehört ” Manche Her­steller haben das Thema Inter­net­si­cherheit nicht im Focus”.
        Damit lässt sich eben viele Geld ver­dienen!!!

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Roland Wagner, DATEV eG

Dipl. Inf. (Univ); OSSTMM Pro­fes­sional Security Tester (OPST zer­ti­fi­ziert seit 2011). Roland Wagner ist seit 1999 bei der Datev im Umfeld Inter­net­dienste und IT-Security tätig. Hier beschäftigt er sich haupt­sächlich mit Sicher­heits­un­ter­su­chungen und IT-Forensik.

 

Koope­ra­ti­ons­partner

Für DATEV sind Daten­schutz und Daten­si­cherheit seit Gründung des Unter­nehmens zen­trale Ele­mente in der Geschäfts­po­litik. Daher enga­giert sich DATEV mit dem Blog für mehr IT-Sicherheit im Mit­tel­stand.

Neueste Kom­mentare