NSA-Direktor General Keith Alexander in Erklärungsnot
NSA-Direktor General Keith Alexander in Erklärungsnot (Bild: Saul Loeb/AFP/Getty Images)

NSA Geheimdienste lassen sich Sicherheitslücken liefern

Tausende US-Firmen tauschen angeblich Informationen über Schwachstellen in ihren Produkten gegen Geheimdienstwissen. Behörden können das für Angriffe nutzen.

Anzeige

US-Technologie-Unternehmen stellen der NSA nicht nur Nutzerdaten zur Verfügung, wie die Enthüllungen von Edward Snowden belegen. Sie melden den US-Geheimdiensten auch Sicherheitslücken ihrer Produkte, bevor sie diese Informationen veröffentlichen. Das berichtet die Nachrichtenagentur Bloomberg unter Berufung auf Informanten, die mit den Vorgängen vertraut sein sollen. Diesen Wissensvorsprung können die US-Behörden nutzen, um in Netzwerke und Computer einzudringen, bevor es ein Sicherheitsupdate durch den Anbieter gibt.

Zero-Day-Attacken heißen solche Angriffe, weil sie praktisch sofort nach der Entdeckung einer Sicherheitslücke stattfinden. Das Wissen um solche Sicherheitslücken ist zu einem begehrten Handelsgut geworden.

So hieß es in einem Reuters-Bericht vor einigen Wochen: "Viele talentierte Hacker, die früher zunächst ein Unternehmen wie Microsoft alarmierten, wenn sie in dessen Produkten eine Sicherheitslücke entdeckten, verkaufen diese Information mittlerweile an den Höchstbietenden - manchmal über Zwischenhändler, die den letztlichen Käufer niemals treffen. Militär und militärische Dienstleister geben zig Millionen Dollar im Jahr für solche Informationen aus." Und zwar nicht zur Abwehr, sondern zum Angriff auf fremde Computer. Im Extremfall für ausgefeilte Attacken wie mit Stuxnet.

50.000 US-Dollar oder mehr bringt der Verkauf einer Zero-Day-Schwachstelle, heißt es im Reuters-Bericht. Solche Summen zahlen nur Kriminelle und Regierungen. Das Nachsehen haben Unternehmen: Microsoft und Apple bezahlen gar nichts für solche Funde, weil sie niemanden zusätzlich motivieren wollen. Facebook, Mozilla, Google und andere haben sogenannte Bug-Bounty-Programme, in denen sie Belohnungen für entdeckte Sicherheitslücken ausloben. Google hat zum Beispiel gerade erst beschlossen, mehr als bisher zu zahlen. 50.000 Dollar für eine Lücke hat aber auch Google noch nie gezahlt.

Es sind nicht nur Hacker, die ihre Funde weitergeben. Laut Bloomberg werden die US-Behörden auch direkt von den Unternehmen beliefert, wenn deren eigene Sicherheitsspezialisten eine Schwachstelle entdecken. Im Tausch dafür bekommen die Unternehmen Zugang zu Geheimdienstinformationen, heißt es in dem Bericht. Und sie stellen sich auf diese Weise gut mit der Regierung, aus Überzeugung oder aus geschäftlichen Interessen.

Nur wenige Mitarbeiter hätten Einblick in diese Vorgänge, oft würden die Verhandlungen direkt zwischen den Vorständen und Spitzenvertretern der Behörden geführt.

Zu den sogenannten "vertrauenswürdigen Partnern" von NSA, CIA, FBI und militärischen Einheiten zählen unter anderem Hersteller von Hardware und Software, Banken, Antivirenspezialisten und Firmen aus dem Bereich der Satellitenkommunikation.

Mit PRISM hat dieser Vorgang nichts zu tun. Bei den Daten und Informationen, die diese Firmen übergeben, soll es sich nicht um private Nutzerdaten handeln. Vielmehr gehe es um Gerätespezifikationen oder Softwareschwachstellen. So würde etwa Microsoft seine Funde erst den Geheimdiensten melden, bevor es sich daran macht, Patches für seine Nutzer zu entwickeln.

Ein Microsoft-Sprecher sagte Bloomberg, man wolle der US-Regierung einen Vorsprung für die Risikoabschätzung und eigene Schutzmaßnahmen geben. Informanten jedoch, die für die Regierung oder eines der beteiligten Unternehmen arbeiteten, sagten Bloomberg, solche Informationen könnten auch für Angriffe genutzt werden.

Aus Sicherheitsforschern werden so zunehmend Unsicherheitsforscher. Es geht ihnen nicht mehr darum, Lücken zu finden, um sie schnell zu schließen, sondern damit sie ausgenutzt werden können.

Allerdings können auch Spezialisten aus anderen Ländern diese Schwachstellen entdecken und ihrerseits an Regierungen oder Kriminelle verkaufen oder sie selbst ausnutzen. Die Strategie, eine Lücke so lange offen zu halten, bis die eigene Seite sie ausnutzt, ist also riskant. Vor allem für die Endverbraucher.


Thaodan 17. Jun 2013

Er hat das letzte Wort was zu tun ist, allerdings nicht darüber was auch getan wird.

Thaodan 17. Jun 2013

Erst wenn der Staat fällt gelten sie offiziell so, oder meinst du Stasi und Gestapo...

posix 17. Jun 2013

https://ixquick.com/deu/ https://duckduckgo.com/ FirefoxOS Sailfish Ubuntu Phone OS...

posix 17. Jun 2013

Man kann auch gleich alles schwarz malen. Setzen 6 Die USA haben also die Macht jeden...

Eheran 15. Jun 2013

Heißen diese Sicherheitslücken nicht so, weil sie eben schon VOR veröffentlichung...

Kommentieren



Anzeige

  1. Web Developer (m/w)
    RTL interactive GmbH, keine Angabe
  2. Softwareentwickler (m/w)
    Hegenscheidt-MFD GmbH & Co. KG, Erkelenz
  3. Wissenschaftliche Mitarbeiterin / Wissenschaftlicher Mitarbeiter am Lehrstuhl für Informatik
    Universität Passau, Passau
  4. Forschungsingenieur (m/w) Computer Vision: Tracking, Machine Learning
    Robert Bosch GmbH, Hildesheim

 

Detailsuche


Spiele-Angebote
  1. World of Warcraft: Warlords of Draenor
    26,99€ statt 41,99€
  2. NEU: Tom Clancy's Splinter Cell: Blacklist
    7,64€ USK 18
  3. NEU: Spiele von Warner reduziert
    (u. a. Lego Batman 3 PS4 34,99€, Mittelerde GOTY PS4 35,97€, Lego Hobbit PS4 25,97€)

 

Weitere Angebote


Folgen Sie uns
       


  1. Trotz einstweiliger Verfügung

    Mytaxi brüskiert Taxizentralen wieder mit 50-Prozent-Rabatt

  2. The Witcher 3

    Neue Kisten für alle Plattformen

  3. Android 5.1

    Paranoid Android veröffentlicht neuen Lollipop-Build

  4. Atom ausprobiert

    Githubs konfigurierbarer Editor ist vielversprechend

  5. 850 Evo und Pro

    Samsung veröffentlicht erste Consumer-SSDs mit 2 TByte

  6. Streaming

    Parallele Benutzung von Apple Music stoppt Wiedergabe

  7. Erneuter Gewinnrückgang

    Samsung verschätzt sich bei Galaxy S6 und S6 Edge

  8. Store-Zubehör

    Anbieter müssen Designvorgaben von Apple einhalten

  9. US-Polizei

    iPhone-Hüllen können zur tödlichen Gefahr werden

  10. City-Surfer

    VW will elektrisches Dreirad bauen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Musik-Streaming-Dienste: Apple Music klingt wie alle anderen
Musik-Streaming-Dienste
Apple Music klingt wie alle anderen
  1. Apple Music iCloud verpasst der eigenen Musik einen Kopierschutz
  2. Apple Music Beats 1 kann auch mit Android-Geräten gehört werden
  3. Musik-Streaming Apple einigt sich offenbar mit Indie-Labels

BND-Selektorenaffäre: Die Hasen vom Bundeskanzleramt
BND-Selektorenaffäre
Die Hasen vom Bundeskanzleramt
  1. Geheimdienst NSA spähte Dutzende Telefone der Regierung Brasiliens aus
  2. Ex-Minister Pofalla NSA-Affäre war doch nicht beendet
  3. BND-Sonderermittler Graulich Zen-Buddhist mit Billig-Smartphone und Virenscanner

Intel Compute Stick im Test: Der mit dem Lüfter streamt
Intel Compute Stick im Test
Der mit dem Lüfter streamt
  1. Management Intel-Präsidentin tritt zurück und Mobile-Chef muss gehen
  2. FPGAs Intel wird Kauf von Altera heute ankündigen
  3. FPGAs Intel will FPGA-Experten Altera doch noch kaufen

  1. Re: Nice

    MatzeXXX | 10:49

  2. Re: Mit kommen die Tränen.

    S-Talker | 10:49

  3. Re: Verrückt

    Orthos | 10:48

  4. Re: ICh glaube nicht das die Leute dafür schon zu...

    D43 | 10:48

  5. Re: Werden jetzt auch Faschings-Pistolen verboten?

    Icestorm | 10:47


  1. 10:37

  2. 10:34

  3. 10:19

  4. 10:03

  5. 09:51

  6. 08:47

  7. 08:34

  8. 08:30


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel