Software-Schwachstellen auf Höchststand – Experten warnen vor Gefahren

Die jährliche Auswertung des Hasso-Plattner-Institut (HPI) zeigt eine gefährliche Entwicklung. Noch nie wurden so viele Sicherheitslücken in Software-Produkten gefunden, wie im vergangenen Jahr. Das jährlich gemessene Wachstum hält damit leider an. Im Jahr 2014 wurden 7.700 Sicherheitslücken, im Jahr 2016 8.100 Sicherheitslücken und im Jahr 2017 11.000 Sicherheitslücken gemeldet und durch Updates behoben. Die Dunkelziffer noch nicht erkannter oder nicht gemeldeter Sicherheitslücken ist nach Schätzungen von Security-Experten noch um ein Vielfaches höher.

Ein Wachstum der gemeldeten Schwachstellen wurde in allen Risikobereichen bemerkt. Laut HPI gab es mit 51 Prozent das größte Wachstum bei mittelschwer eingestuften Sicherheitslücken, die damit absolut bei 6.700 gemeldeten Lücken lagen. Auch Sicherheitslücken von denen ein hohes Risiko ausgeht nahmen um 17 Prozent im Vergleich zu 2016 zu. Insgesamt wurden im Jahr 2017 3300 Sicherheitslücken gemeldet, von denen ein hohes bis sehr hohes Risiko ausging. HPI nannte keinen Grund für diesen starken Anstieg.

Professor Dr. Christoph Meinel, Direktor von HPI sagte dazu, dass „die aktuellen Rekordwerte der registrierten Sicherheitslücken alarmierend sind, da immer größere Bereiche des wirtschaftlichen, politischen und gesellschaftlichen Lebens von komplexen Software-Lösungen abhängen. Auch Systeme, für die gar keine Updates mehr entwickelt werden, stellen ein hohes Sicherheitsrisiko dar und können einen großen wirtschaftlichen wie auch persönlichen Schaden verursachen.“ Gemeint ist damit beispielsweise Microsoft Windows XP, das immer noch auf Millionen mit dem Internet verbundenen Geräten eingesetzt wird, obwohl es keinerlei Updates mehr gibt.

Das Hasso-Plattner-Institut nutzt den Europäischer Datenschutztag um vor den großen Gefahren die von unsicherer Software ausgehen zu warnen. Insbesondere da Anwender kaum Einfluss auf die Sicherheit der Software, die in immer mehr Bereiches des täglichen Lebens genutzt wird, Einfluss nehmen können müssen sich die Hersteller ihrer Verantwortung bewusst sein.

Meinel fordert deshalb, dass die Politik verpflichtende Richtlinien für Sicherheitsstandards sowohl für Software als auch für Hardware verabschiedet. „Für IoT-Produkte bedarf es einer Definition von klaren Sicherheitsrichtlinien. Nur so können Hersteller künftig gezwungen werden, mangelhafte Produkte vom Markt zu nehmen. Auch muss es möglich sein, die Hersteller zur Haftung heranzuziehen, wenn durch verpasste Software-Updates Schäden entstehen.“

Eine Analyse des Sicherheitsanbieters Malwarebytes zeigt, dass nicht nur die Anzahl der Schwachstellen entscheidend für die IT-Sicherheitslage ist. Auch die ständig neuen Taktiken und Strategien der kriminellen Cracker müssen berücksichtigt werden. Im vergangenen Jahr nahmen gezielte Angriffe auf Unternehmen zu, aber auch Ransomware (Erpressungstrojaner), Bankentrojaner, Adware und Trojaner die Kryptowährungen schürfen verbreiteten sich stark.

Die von HPI erstellte Statistik basiert auf Daten de CVSS-Basescore der Sicherheitslecks. Die Daten werden seit 1999 erhoben und umfassen 95.000 Software-Schwachstellen.