Abo
  • IT-Karriere:

Secunia Research: Mit schlechten Statistiken zum falschen Sicherheitseindruck

Secunia Research schaut sich regelmäßig an, wie gut Anwender ihre Systeme pflegen. Die gute Nachricht: Windows wird in der Regel aktualisiert. Die schlechte: Bei den Programmen sind selbst versierte Anwender nachlässig. Die Statistiken sind aber mit Vorsicht zu genießen.

Artikel veröffentlicht am ,
Die Verteilung der Sicherheitslücken bei deutschen Nutzern
Die Verteilung der Sicherheitslücken bei deutschen Nutzern (Bild: Flexera/Secunia)

Flexera Software, Besitzer von Secunia, hat kürzlich seinen Personal Software Inspector Country Report veröffentlicht. Der Bericht erscheint quartalsweise und schlüsselt den Patchstatus der Anwender in einzelnen Ländern auf. Er zeigt, dass dieser Patchstand allgemein recht gut ist. Insbesondere das Betriebssystem wird von den Anwendern gepflegt, das suggerieren die Statistiken. Schwächen gibt es aber bei Drittherstellersoftware. Viele Nachrichtenseiten haben diese Statistiken kürzlich als seriösen Indikator verwendet, doch wie so viele Zahlenspiele hat auch der Secunia-Report erhebliche Schwächen. Erhoben wurden die Daten am 30. Juni 2016.

Zahlen sind mit Vorsicht zu lesen

Inhalt:
  1. Secunia Research: Mit schlechten Statistiken zum falschen Sicherheitseindruck
  2. Secunia kann Browser nicht auseinanderhalten

Die Zahlen erhebt Secunia Research auf Grundlage seines Personal Software Inspector (PSI), sie müssen unter Vorbehalt betrachtet werden und gelten allenfalls für eine kleine, nicht repräsentative Anwenderschaft. Denn wer PSI installiert hat, gehört schon zu den technisch versierten Nutzern oder hat beispielsweise einen Administrator um sich herum, und sei es nur der Familienadministrator.

Ist der PSI nicht installiert, würden die Statistiken vermutlich deutlich schlechter aussehen. Uns sind diesbezüglich aber keine unabhängigen Erhebungen bekannt. Das korrekte Erheben dürfte mit einer repräsentativen Umfrage aufgrund der Komplexität des Themas nicht möglich sein. Dafür braucht es Telemetrie-Daten.

Nichtsdestotrotz sind die Zahlen interessant. Die deutschen PSI-Nutzer gehen mit ihrem Betriebssystem pflegsam um. Nur 4,6 Prozent der Anwender haben ein Betriebssystem mit einer bekannten Sicherheitslücke unter Windows. Der regelmäßige Patchday und das automatische Installieren dürften diese guten Werte erklären. Problematischer ist die Situation auf Anwendungsebene. Auf einem typischen deutschen Rechner sind 12,6 Prozent der Programme mit bekannten Sicherheitslücken installiert.

Software mit Herstellerunterstützung

Stellenmarkt
  1. Alfred Kärcher SE & Co. KG, Winnenden
  2. BWI GmbH, Meckenheim, München

Besonders beliebt ist noch immer Oracles Java Runtime Environment. Das ist in den vergangenen Jahren als besonders lohnenswertes Ziel für Angreifer aufgefallen. Immerhin 49 Prozent der deutschen PSI-Nutzer verwenden Java, davon fast die Hälfte ungepatcht. Das heißt, fast 25 Prozent der PSI-Nutzer sind nur durch Java prinzipiell angreifbar. Was die Statistik allerdings nicht verrät, ist, welche Angriffsvektoren offen sind. Aufgrund der zahlreichen Berichte dürften viele Java als Webplugin deaktiviert haben. Die Gefahr ist dann erheblich geringer.

Oracle liegt damit auf Platz 2 der ungepatchten Anwendungen. Den ersten Platz nimmt der Videolan-Client (VLC) ein. Der ist bei PSI-Nutzern etwas stärker verbreitet und hat einen Anteil von 56 Prozent. Wer PSI installiert hat, sieht in dem Player offenbar nur wenige Gefahren, die Ungepatcht-Rate liegt bei 65 Prozent. Eine ähnlich hohe Rate an unsicheren Installationen findet sich auf den Plätzen 4 und 5 mit dem Adobe Reader XI und Google Picasa. Die Anteile sind mit 19 respektive 15 Prozent aber geringer.

Der dritte Platz ist hingegen eine Besonderheit. Es handelt sich um Mozillas Browser Firefox 45, der auf 32 Prozent der Rechner installiert ist. Von ihm dürfte eigentlich die größte Gefahr ausgehen, denn den Browser nutzen Anwender in der Regel täglich. 42 Prozent der Installationen sind anfällig für einen Angriff über eine Sicherheitslücke.

Das Gefahrenpotenzial ist also selbst bei PSI-Nutzern recht hoch. PSI selbst schützt den Anwender nicht, die Software gibt nur Tipps, die offenbar regelmäßig ignoriert werden. Wie hoch die tatsächliche Gefahr ist, lässt sich so allerdings nicht einschätzen. Angreifer neigen dazu, sehr alte, gut dokumentierte Sicherheitslücken zu verwenden. Diese alten Versionen tauchen in den Snapshots von Secunia allerdings kaum auf. Das zeigt, dass auch die schlechten PSI-Nutzer ihren Rechner nicht allzu sehr vernachlässigen.

Aufgegebene Software und Schwächen bei der Erhebung durch Secunia

Es gibt allerdings eine scheinbar erschreckende Sonderstatistik. Und zwar die Programme, die seitens der Hersteller nicht mehr unterstützt werden. Immerhin 82 Prozent der Anwender hatten zum Zeitpunkt der Erhebung am 30. Juni 2016 noch den Flashplayer 21 installiert. Allerdings wurde erst wenige Tage vor der Erhebung die Version 22 veröffentlicht. Auch das lässt sich aus den Statistiken nicht erkennen. Secunia ist sich des Problems bewusst und räumt ein, dass dies die Statistiken verändern könnte.

Ohne entsprechendes Hintergrundwissen sollten die Statistiken besser nicht verwendet werden. In dem Flash-Fall ist bezeichnend, dass hier offenbar der Auto-Updater von Adobe im großen Stil versagt hat. Wir kennen das Problem: Bei einem Adobe-Patchday empfiehlt es sich, immer eine manuelle Überprüfung durchzuführen.

Secunia kann Browser nicht auseinanderhalten 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. 177,90€ + Versand (Bestpreis!)
  2. täglich neue Deals bei Alternate.de
  3. (u. a. Grafikkarten, Monitore, Mainboards)

Simon B. 20. Aug 2016

So lange diese nicht im Browser als Plugin aktiviert sind, sind sie zwar immer noch...

vlad_tepesch 17. Aug 2016

das erklärt das ganze natürlich. So ein sch*** (Und führt auch gleichzeitig Blexy mit...

FreiGeistler 16. Aug 2016

Gibts übrigens alle portabel, auch java inklusive Launcher. Ausser natürlich Flash.

tKahner 16. Aug 2016

Manche der hier besprochenen Problemprogramme laufen bei mir (leider) auch. z.B. Flash...

Anonymer Nutzer 16. Aug 2016

Einfacher gesagt als getan: Bei OpenSource Software ist es durchaus verwunderlich dass...


Folgen Sie uns
       


Google Nest Hub im Hands on

Ende Mai 2019 bringt Google den Nest Hub auf den deutschen Markt. Es ist das erste smarte Display direkt von Google. Es kann dank Google Assistant mit der Stimme bedient werden und hat zusätzlich einen 7 Zoll großen Touchscreen. Darauf laufen Youtube-Videos auf Zuruf. Der Nest Hub erscheint für 130 Euro.

Google Nest Hub im Hands on Video aufrufen
Mordhau angespielt: Die mit dem Schwertknauf zuschlagen
Mordhau angespielt
Die mit dem Schwertknauf zuschlagen

Ein herausfordernd-komplexes Kampfsystem, trotzdem schnelle Action mit Anleihen bei Chivalry und For Honor: Das vom Entwicklerstudio Triternion produzierte Mordhau schickt Spieler in mittelalterlich anmutende Multiplayergefechte mit klirrenden Schwertern und hohem Spaßfaktor.
Von Peter Steinlechner

  1. Bus Simulator angespielt Zwischen Bodenschwelle und Haltestelle
  2. Bright Memory angespielt Brachialer PC-Shooter aus China

IT-Headhunter: ReactJS- und PHP-Experten verzweifelt gesucht
IT-Headhunter
ReactJS- und PHP-Experten verzweifelt gesucht

Marco Nadol vermittelt für Hays selbstständige Informatiker, Programmierer und Ingenieure in Unternehmen. Aus langjähriger Erfahrung als IT-Headhunter weiß er mittlerweile sehr gut, was ihre Chancen auf dem Markt erhöht und was sie verschlechtert.
Von Maja Hoock

  1. Bundesagentur für Arbeit Informatikjobs bleiben 132 Tage unbesetzt
  2. IT-Berufe Bin ich Freiberufler oder Gewerbetreibender?
  3. Milla Bund sagt Pläne für KI-gesteuerte Weiterbildungsplattform ab

Das andere How-to: Deutsch lernen für Programmierer
Das andere How-to
Deutsch lernen für Programmierer

Programmierer schlagen sich ständig mit der Syntax und Semantik von Programmiersprachen herum. Der US-Amerikaner Mike Stipicevic hat aus der Not eine Tugend gemacht und nutzt sein Wissen über obskure Grammatiken, um Deutsch zu lernen.
Von Mike Stipicevic

  1. Programmiersprachen, Pakete, IDEs So steigen Entwickler in Machine Learning ein
  2. Software-Entwickler Welche Programmiersprache soll ich lernen?

    •  /