Mehr Grundlagenforschung im Bereich IT-Sicherheit

Zu den notorisch von Sicherheitslücken betroffenen Geräten gehört auch die Firmware von Routern, Modems, Firewalls und einfachen IoT-Geräten. Nicht alle Hersteller dieser Geräte sind traditionell auch Softwareentwickler und verfügen somit nicht unbedingt über die Kompetenz, sichere Software zu entwickeln. Auch hier gibt es zudem oft das Problem ungeprüfter Lieferketten und die blinde Übernahme von Code, ohne dass die Grundlagen der eingesetzten Software von den Herstellern überprüft werden.

Angesichts zahlreicher Sicherheitslücken und der immer größeren wirtschaftlichen Bedeutung funktionierender IT-Systeme wird gerade aus der Politik immer wieder eine Haftung für Sicherheitslücken durch die Hersteller gefordert. Die SPD und die CSU hatten entsprechende Forderungen sogar in ihren Wahlprogrammen. Unklar bleibt dabei nur, wie genau eine solche Haftung sinnvoll umgesetzt werden könnte. Wären Hersteller dann zum Beispiel für Lücken in Bibliotheken und Open-Source-Komponenten verantwortlich und müssten haften?

Und was ist mit zu Anschauungszwecken entwickelter Software wie Minix - die sich dann auf einmal in einem kommerziellen Produkt wiederfindet? Geht die Haftung dann auf den Hersteller der kommerziellen Produkte über oder verbleibt diese beim eigentlichen Entwickler?

Staatliche Zertifizierungen sind zudem keine Garantie für eine sichere IT. Das zeigte sich in diesem Jahr gleich mehrfach im Falle von staatlich zertifizierten Krypto-Verfahren angesichts des Duhk-Angriffs und einer Schwachstelle in Infineon-Chips, die Yubikeys genauso betrifft wie die estnischen Personalausweise mit eID-Funktionen. Warum sollte ein staatliches Siegel für Software dann ausgerechnet Sicherheit garantieren, wenn schon Datenschutzbehörden kaum mit der Aufsicht von Unternehmen hinterherkommen?

Kaputte Technik lässt sich oft nur schwer ersetzen

Am aktuellen Beispiel der stockenden Einführung der neuen TLS-Version 1.3 zeigt sich außerdem, wie umständlich es ist, neue Technologien flächendeckend zu verbreiten - selbst wenn alte Standards schon lange als unsicher gelten. Schon fehlerhafte Geräte weniger Hersteller können für die Dienstebetreiber wie Cloudflare inakzeptable hohe Fehlerraten verursachen. Wer also die IT-Sicherheit in wichtigen Systemen verbessern will, muss oft Jahre vor praktisch möglichen Angriffen damit beginnen, die Basis dafür zu schaffen.

Der beste Weg zu sichereren Grundlagen in der IT scheint daher zu sein, häufig genutzte Basiskompontenten künftig gründlicher auf Schwachstellen zu untersuchen - eine neue Grundlagenforschung im Bereich IT-Security. Bereits beim 33C3 hatte der Hacker Karsten Nohl nach einer Analyse der Sicherheit von Passenger Name Records im Flugverkehr dazu aufgerufen, "mehr Legacy-Systeme anzugreifen".