Secunia Research: Mit schlechten Statistiken zum falschen Sicherheitseindruck
Flexera Software, Besitzer von Secunia, hat kürzlich seinen Personal Software Inspector Country Report veröffentlicht(öffnet im neuen Fenster) . Der Bericht erscheint quartalsweise und schlüsselt den Patchstatus der Anwender in einzelnen Ländern auf. Er zeigt, dass dieser Patchstand allgemein recht gut ist. Insbesondere das Betriebssystem wird von den Anwendern gepflegt, das suggerieren die Statistiken. Schwächen gibt es aber bei Drittherstellersoftware. Viele Nachrichtenseiten haben diese Statistiken kürzlich als seriösen Indikator verwendet, doch wie so viele Zahlenspiele hat auch der Secunia-Report erhebliche Schwächen. Erhoben wurden die Daten am 30. Juni 2016.
Zahlen sind mit Vorsicht zu lesen
Die Zahlen erhebt Secunia Research auf Grundlage seines Personal Software Inspector (PSI), sie müssen unter Vorbehalt betrachtet werden und gelten allenfalls für eine kleine, nicht repräsentative Anwenderschaft. Denn wer PSI installiert hat, gehört schon zu den technisch versierten Nutzern oder hat beispielsweise einen Administrator um sich herum, und sei es nur der Familienadministrator.
Ist der PSI nicht installiert, würden die Statistiken vermutlich deutlich schlechter aussehen. Uns sind diesbezüglich aber keine unabhängigen Erhebungen bekannt. Das korrekte Erheben dürfte mit einer repräsentativen Umfrage aufgrund der Komplexität des Themas nicht möglich sein. Dafür braucht es Telemetrie-Daten.
Nichtsdestotrotz sind die Zahlen interessant. Die deutschen PSI-Nutzer gehen mit ihrem Betriebssystem pflegsam um. Nur 4,6 Prozent der Anwender haben ein Betriebssystem mit einer bekannten Sicherheitslücke unter Windows. Der regelmäßige Patchday und das automatische Installieren dürften diese guten Werte erklären. Problematischer ist die Situation auf Anwendungsebene. Auf einem typischen deutschen Rechner sind 12,6 Prozent der Programme mit bekannten Sicherheitslücken installiert.
Software mit Herstellerunterstützung
Besonders beliebt ist noch immer Oracles Java Runtime Environment. Das ist in den vergangenen Jahren als besonders lohnenswertes Ziel für Angreifer aufgefallen. Immerhin 49 Prozent der deutschen PSI-Nutzer verwenden Java, davon fast die Hälfte ungepatcht. Das heißt, fast 25 Prozent der PSI-Nutzer sind nur durch Java prinzipiell angreifbar. Was die Statistik allerdings nicht verrät, ist, welche Angriffsvektoren offen sind. Aufgrund der zahlreichen Berichte dürften viele Java als Webplugin deaktiviert haben. Die Gefahr ist dann erheblich geringer.
Oracle liegt damit auf Platz 2 der ungepatchten Anwendungen. Den ersten Platz nimmt der Videolan-Client (VLC) ein. Der ist bei PSI-Nutzern etwas stärker verbreitet und hat einen Anteil von 56 Prozent. Wer PSI installiert hat, sieht in dem Player offenbar nur wenige Gefahren, die Ungepatcht-Rate liegt bei 65 Prozent. Eine ähnlich hohe Rate an unsicheren Installationen findet sich auf den Plätzen 4 und 5 mit dem Adobe Reader XI und Google Picasa. Die Anteile sind mit 19 respektive 15 Prozent aber geringer.
Der dritte Platz ist hingegen eine Besonderheit. Es handelt sich um Mozillas Browser Firefox 45, der auf 32 Prozent der Rechner installiert ist. Von ihm dürfte eigentlich die größte Gefahr ausgehen, denn den Browser nutzen Anwender in der Regel täglich. 42 Prozent der Installationen sind anfällig für einen Angriff über eine Sicherheitslücke.
Das Gefahrenpotenzial ist also selbst bei PSI-Nutzern recht hoch. PSI selbst schützt den Anwender nicht, die Software gibt nur Tipps, die offenbar regelmäßig ignoriert werden. Wie hoch die tatsächliche Gefahr ist, lässt sich so allerdings nicht einschätzen. Angreifer neigen dazu, sehr alte, gut dokumentierte Sicherheitslücken zu verwenden. Diese alten Versionen tauchen in den Snapshots von Secunia allerdings kaum auf. Das zeigt, dass auch die schlechten PSI-Nutzer ihren Rechner nicht allzu sehr vernachlässigen.
Aufgegebene Software und Schwächen bei der Erhebung durch Secunia
Es gibt allerdings eine scheinbar erschreckende Sonderstatistik. Und zwar die Programme, die seitens der Hersteller nicht mehr unterstützt werden. Immerhin 82 Prozent der Anwender hatten zum Zeitpunkt der Erhebung am 30. Juni 2016 noch den Flashplayer 21 installiert. Allerdings wurde erst wenige Tage vor der Erhebung die Version 22 veröffentlicht. Auch das lässt sich aus den Statistiken nicht erkennen. Secunia ist sich des Problems bewusst und räumt ein, dass dies die Statistiken verändern könnte.
Ohne entsprechendes Hintergrundwissen sollten die Statistiken besser nicht verwendet werden. In dem Flash-Fall ist bezeichnend, dass hier offenbar der Auto-Updater von Adobe im großen Stil versagt hat. Wir kennen das Problem: Bei einem Adobe-Patchday empfiehlt es sich, immer eine manuelle Überprüfung durchzuführen.
Secunia kann Browser nicht auseinanderhalten
Auffallend ist zudem ein hoher Anteil an Microsoft XML Core Services, Microsoft SQL Server Compact und Firefox 46 mit 60, 50 beziehungsweise 33 Prozent. Firefox ist auch hier wieder eine Besonderheit: Firefox 47 löste im Juni Firefox 46 ab, während Firefox 45 als Extended Support Release weiter aktuell blieb. Wir gehen davon aus, dass Secunia Research Firefox 45 ESR und die normale 45er-Version nicht unterscheiden kann, weswegen die Version 45 in der Statistik bei den unterstützten Browsern mit einem enormen Anteil auftaucht. Die ESR-Variante installieren Endanwender in der Regel nicht, sie wird seitens Mozilla kaum beworben.
Tatsächlich unangenehm ist aber der Anteil der Installationen von Java 6 SE und Java 7 SE. Der liegt bei PSI-Nutzern bei 14 beziehungsweise 20 Prozent. Aber auch hier ist nicht klar, wie sehr die Laufzeitumgebungen über das Internet erreichbar sind, sie stellen damit eine hohe Gefahr dar.
Eigenarten anderer Länder
Ein anderer Aspekt aus den Statistiken sind Unterschiede und Gemeinsamkeiten zwischen den Ländern. Oracles Java ist beispielsweise unter PSI-Nutzern in vielen Ländern weit verbreitet, wie ein Blick in die Statistiken der USA, Norwegens, Deutschlands, der Schweiz, Österreichs, Australiens und Japans zeigt. Werte um die 50 Prozent bei PSI-Nutzern sind üblich. Rechnet man noch ältere Java-Versionen dazu, kommt man schnell auf 60 bis 70 Prozent. Allerdings lassen sich Parallelinstallationen nicht aus den veröffentlichten Statistiken erkennen.
Der hierzulande sehr beliebte VLC-Player ist in den USA zudem nicht so beliebt und liegt bei nur 27 Prozent Marktanteil. Auffallend ist die dortige Verbreitung von Malwarebytes Anti-Malware. Von den 29 Prozent der US-Nutzer, die das Programm verwenden, müssten 37 Prozent das Programm wegen bekannter Sicherheitslücken aktualisieren. Auffallend ist in den USA zudem Putty. Das haben zwar nur 7 Prozent der Nutzer installiert, doch 68 Prozent der Installationen sind unsicher. Damit schafft es das kleine Programm dort auf den 9. Platz, da der hohe Anteil ungepatchter Versionen in den Statistiken als Faktor berücksichtigt wird.
Nennenswert ist zudem, dass der Bildbetrachter Irfanview nur bei deutschen und österreichischen Nutzern stark vertreten ist. US-Amerikaner und Schweizer interessieren sich offenbar nicht so sehr für das Programm. Bei den Australiern fällt in der Softwareliste die Verwendung von uTorrent und Audacity und in Japan das Packprogramm Lhaplus auf.
Doch all das täuscht nicht darüber hinweg, dass Secunias Quartalsberichte eine automatisiert ausgewertete Rohdatensammlung sind und der Hersteller nur in Fußnoten auf einige, aber nicht alle Schwächen der Erhebung hinweist. Ohne korrekte Interpretierung und Marktverständnis sind die Daten damit nur teils verwendbar.