NSA-Direktor General Keith Alexander in Erklärungsnot
NSA-Direktor General Keith Alexander in Erklärungsnot (Bild: Saul Loeb/AFP/Getty Images)

NSA Geheimdienste lassen sich Sicherheitslücken liefern

Tausende US-Firmen tauschen angeblich Informationen über Schwachstellen in ihren Produkten gegen Geheimdienstwissen. Behörden können das für Angriffe nutzen.

Anzeige

US-Technologie-Unternehmen stellen der NSA nicht nur Nutzerdaten zur Verfügung, wie die Enthüllungen von Edward Snowden belegen. Sie melden den US-Geheimdiensten auch Sicherheitslücken ihrer Produkte, bevor sie diese Informationen veröffentlichen. Das berichtet die Nachrichtenagentur Bloomberg unter Berufung auf Informanten, die mit den Vorgängen vertraut sein sollen. Diesen Wissensvorsprung können die US-Behörden nutzen, um in Netzwerke und Computer einzudringen, bevor es ein Sicherheitsupdate durch den Anbieter gibt.

Zero-Day-Attacken heißen solche Angriffe, weil sie praktisch sofort nach der Entdeckung einer Sicherheitslücke stattfinden. Das Wissen um solche Sicherheitslücken ist zu einem begehrten Handelsgut geworden.

So hieß es in einem Reuters-Bericht vor einigen Wochen: "Viele talentierte Hacker, die früher zunächst ein Unternehmen wie Microsoft alarmierten, wenn sie in dessen Produkten eine Sicherheitslücke entdeckten, verkaufen diese Information mittlerweile an den Höchstbietenden - manchmal über Zwischenhändler, die den letztlichen Käufer niemals treffen. Militär und militärische Dienstleister geben zig Millionen Dollar im Jahr für solche Informationen aus." Und zwar nicht zur Abwehr, sondern zum Angriff auf fremde Computer. Im Extremfall für ausgefeilte Attacken wie mit Stuxnet.

50.000 US-Dollar oder mehr bringt der Verkauf einer Zero-Day-Schwachstelle, heißt es im Reuters-Bericht. Solche Summen zahlen nur Kriminelle und Regierungen. Das Nachsehen haben Unternehmen: Microsoft und Apple bezahlen gar nichts für solche Funde, weil sie niemanden zusätzlich motivieren wollen. Facebook, Mozilla, Google und andere haben sogenannte Bug-Bounty-Programme, in denen sie Belohnungen für entdeckte Sicherheitslücken ausloben. Google hat zum Beispiel gerade erst beschlossen, mehr als bisher zu zahlen. 50.000 Dollar für eine Lücke hat aber auch Google noch nie gezahlt.

Es sind nicht nur Hacker, die ihre Funde weitergeben. Laut Bloomberg werden die US-Behörden auch direkt von den Unternehmen beliefert, wenn deren eigene Sicherheitsspezialisten eine Schwachstelle entdecken. Im Tausch dafür bekommen die Unternehmen Zugang zu Geheimdienstinformationen, heißt es in dem Bericht. Und sie stellen sich auf diese Weise gut mit der Regierung, aus Überzeugung oder aus geschäftlichen Interessen.

Nur wenige Mitarbeiter hätten Einblick in diese Vorgänge, oft würden die Verhandlungen direkt zwischen den Vorständen und Spitzenvertretern der Behörden geführt.

Zu den sogenannten "vertrauenswürdigen Partnern" von NSA, CIA, FBI und militärischen Einheiten zählen unter anderem Hersteller von Hardware und Software, Banken, Antivirenspezialisten und Firmen aus dem Bereich der Satellitenkommunikation.

Mit PRISM hat dieser Vorgang nichts zu tun. Bei den Daten und Informationen, die diese Firmen übergeben, soll es sich nicht um private Nutzerdaten handeln. Vielmehr gehe es um Gerätespezifikationen oder Softwareschwachstellen. So würde etwa Microsoft seine Funde erst den Geheimdiensten melden, bevor es sich daran macht, Patches für seine Nutzer zu entwickeln.

Ein Microsoft-Sprecher sagte Bloomberg, man wolle der US-Regierung einen Vorsprung für die Risikoabschätzung und eigene Schutzmaßnahmen geben. Informanten jedoch, die für die Regierung oder eines der beteiligten Unternehmen arbeiteten, sagten Bloomberg, solche Informationen könnten auch für Angriffe genutzt werden.

Aus Sicherheitsforschern werden so zunehmend Unsicherheitsforscher. Es geht ihnen nicht mehr darum, Lücken zu finden, um sie schnell zu schließen, sondern damit sie ausgenutzt werden können.

Allerdings können auch Spezialisten aus anderen Ländern diese Schwachstellen entdecken und ihrerseits an Regierungen oder Kriminelle verkaufen oder sie selbst ausnutzen. Die Strategie, eine Lücke so lange offen zu halten, bis die eigene Seite sie ausnutzt, ist also riskant. Vor allem für die Endverbraucher.


Thaodan 17. Jun 2013

Er hat das letzte Wort was zu tun ist, allerdings nicht darüber was auch getan wird.

Thaodan 17. Jun 2013

Erst wenn der Staat fällt gelten sie offiziell so, oder meinst du Stasi und Gestapo...

posix 17. Jun 2013

https://ixquick.com/deu/ https://duckduckgo.com/ FirefoxOS Sailfish Ubuntu Phone OS...

posix 17. Jun 2013

Man kann auch gleich alles schwarz malen. Setzen 6 Die USA haben also die Macht jeden...

Eheran 15. Jun 2013

Heißen diese Sicherheitslücken nicht so, weil sie eben schon VOR veröffentlichung...

Kommentieren



Anzeige

  1. Elektrotechniker / Auto­ma­tisierungs­techniker (m/w)
    KADIA Produktion GmbH + Co., Nürtingen (bei Stuttgart)
  2. SAP Basis Berater (m/w)
    4brands Reply GmbH & Co. KG, Gütersloh
  3. Anwendungsbetreuer (m/w) Customer Relationship Management (CRM)
    AGRAVIS Raiffeisen AG, Münster
  4. Projektassistent IT (m/w)
    Beumer Group GmbH & Co. KG, Beckum (Raum Münster, Dortmund, Bielefeld)

 

Detailsuche


Blu-ray-Angebote
  1. NEU: Nachts im Museum 2 [Blu-ray]
    7,99€
  2. Der Hobbit: Die Schlacht der fünf Heere (Steelbook) [Blu-ray] [Limited Edition]
    24,99€
  3. Game of Thrones - Staffel 4 (Digipack + Bonusdisc) (exkl. bei Amazon.de) [Blu-ray] [Limited Edition]
    44,99€

 

Weitere Angebote


Folgen Sie uns
       


  1. Smartwatch-Probleme

    Apple Watch saugt iPhone-Akkus leer und lädt nicht

  2. Facetime-Klon

    Facebook Messenger kann jetzt Video-Telefonate

  3. Quartalszahlen

    Bei Apple hängt weiter (fast) alles vom iPhone ab

  4. Mobilfunk

    United Internet kauft großen Anteil an Drillisch

  5. Play Ready 3.0

    Keine 4K-Filme ohne neues Hardware-DRM für Windows 10

  6. Konsolenhersteller

    Energiesparen ja, aber nicht beim Spielen

  7. RTL Disney Fernsehen

    Super RTL startet kostenpflichtige Streaming-Plattform

  8. Steam

    Gabe Newell über kostenpflichtige Mods

  9. Cross-Site-Scripting

    Offene Sicherheitslücke in Wordpress

  10. HTTPS

    Kaspersky ermöglicht Freak-Angriff



Haben wir etwas übersehen?

E-Mail an news@golem.de



Fuzzing: Wie man Heartbleed hätte finden können
Fuzzing
Wie man Heartbleed hätte finden können
  1. Fehlersuche LLVM integriert eigenes Fuzzing-Werkzeug
  2. Mozilla Firefox 37 bringt Zertifikatsperren und Nutzerfeedback
  3. IT-Sicherheit Regierung fördert Forschung mit 180 Millionen Euro

Fire TV mit neuer Firmware im Test: Streaming-Box wird vielfältiger
Fire TV mit neuer Firmware im Test
Streaming-Box wird vielfältiger
  1. Amazons X-Ray im Hands On Fire TV zeigt direkt Zusatzinformationen zu Filmen
  2. Update Amazon wertet Fire TV auf
  3. Workshop Kodi bequemer auf Amazons Fire TV verwenden

P8 im Hands On: Huawei setzt auf die Kamera
P8 im Hands On
Huawei setzt auf die Kamera
  1. Lite Huaweis kleines P8 kostet 250 Euro
  2. Huawei P8 Max Riesen-Smartphone mit 6,8-Zoll-Display kostet 550 Euro
  3. Netzwerk und Smartphone Huawei verdient 4,5 Milliarden US-Dollar

  1. Re: In 10.000 Jahren...

    Schläfer | 00:05

  2. Re: Totgeburt

    Schnapsbrenner | 00:04

  3. Re: Und wenn die Qualität weiter so abnimmt, dann...

    luarix | 00:02

  4. Re: "Angreifer benötigen aber meist Root-Rechte."

    Ninos | 27.04. 23:58

  5. Ein Glück die Zeiten sind vorbei

    Wimmmmmmmmy | 27.04. 23:57


  1. 23:47

  2. 23:08

  3. 22:54

  4. 22:40

  5. 18:28

  6. 17:26

  7. 17:13

  8. 16:24


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel