Klare gesetzliche Regelungen und Standards gefordert

Pereira stuft den Umgang vieler Unternehmen mit kritischen Schwachstellen als problematisch ein. "Es muss sich ändern, dass Unternehmen ohne Konsequenzen davonkommen, wenn sie Verbraucher bewusst solchen Risiken aussetzen. Auf diese Weise könnten die meisten Sicherheitsvorfälle bereits präventiv verhindert werden", erklärt Pereira.

Der Forscher fordert klare gesetzliche Regelungen und Standards für die verantwortungsvolle Offenlegung von Sicherheitslücken (Responsible Disclosure). Derzeit bewegen sich Sicherheitsforscher – zumindest hierzulande – mit ihrer Arbeit häufig in einer rechtlichen Grauzone, wie der Fall Modern Solution verdeutlicht.

Hersteller entziehen sich ihrer Verantwortung

In der Vergangenheit hat Pereira immer wieder erlebt, dass gemeldete Schwachstellen nicht ernst genommen wurden oder dass Unternehmen sogar gezielt versuchten, Sicherheitsprobleme unter den Teppich zu kehren, anstatt sie zu beheben.

"Vielen Unternehmen scheint nicht klar zu sein, dass dies keine langfristige Lösung ist und das Problem noch verschlimmert", sagt der Forscher. "Für viele ist das eine Ego-Sache. Sie wollen nicht akzeptieren, dass jemand eine kritische Schwachstelle in ihrer Organisation aufgedeckt hat, und dann geht es intern oft darum, einen Schuldigen zu finden."

Pereira fordert diesbezüglich ein deutliches Umdenken. Von den Herstellern wünscht er sich mehr Transparenz und schnellere Reaktionen. "Unternehmen sollten mit solchen Meldungen völlig transparent umgehen und sie zügig adressieren", sagt Pereira. Als positive Beispiele nennt er Unternehmen wie Google oder Mozilla – bei diesen gebe es schon seit Jahrzehnten transparente und verantwortungsvolle Offenlegungsprozesse.

Immerhin konnte der eine oder andere Hersteller im Rahmen der Berichterstattung dazu bewegt werden, die von Pereira gemeldeten Probleme zu untersuchen. Ob die Sicherheitslücken allesamt und vor allem zeitnah geschlossen werden, bleibt jedoch abzuwarten. Bis es so weit ist, bleiben viele Krankenhäuser der Gefahr möglicher Angriffe aber offenkundig ausgesetzt.