Original-URL des Artikels: https://www.golem.de/news/windows-xp-wechselmuffel-im-patch-dilemma-1404-105772.html    Veröffentlicht: 10.04.2014 12:58    Kurz-URL: https://glm.io/105772

Windows XP

Wechselmuffel im Patch-Dilemma

Das offizielle Ende des XP-Supports bedeutet nicht, dass keine Patches mehr im Netz auftauchen dürften. Für Nutzer könnte es aber gefährlich werden, solche Dateien zu installieren.

Das Supportende für Windows XP gilt längst nicht für alle Nutzer. Nicht nur die britische Regierung, auch das Land Niedersachsen zahlt in den nächsten Monaten viel Geld dafür, dass Tausende oder gar Hunderttausende Windows-XP-Rechner weiterhin von Microsoft betreut werden. Kritische und wichtige Sicherheitsupdates inklusive, teilte die britische Regierung mit. Es ist wohl nur eine Frage der Zeit, dass Windows-XP-Patches im Netz auftauchen. Doch wie können Nutzer sicherstellen, dass die Dateien tatsächlich von Microsoft stammen?

Der Softwarekonzern will selbst gar keine Details zu der Supportverlängerung bekanntgeben. "Wir gewähren in Ausnahmefällen Unternehmen und Organisationen Support für Windows XP auch nach dem 8. April. Die Voraussetzung ist, dass der Kunde bereits einen Migrationsplan hat", teilte Microsoft auf Anfrage von Golem.de mit. Vertragsinhalte würden nicht kommentiert. Entscheidend für Nutzer ist aber die Tatsache, dass es keine offiziell autorisierten Sicherheitsupdates für XP mehr geben wird, selbst wenn eine Vielzahl von Behörden- und Firmenrechnern noch damit versorgt werden soll. "Kein Patch, der nach diesem Tag erscheint, wird von Microsoft kommen, sondern von dritter Seite, die wir nicht kontrollieren können und für die wir keine Verantwortung übernehmen können", hieß es weiter.

Bis zu 120.000 Dollar für Zero-Day-Exploits

Dass solche Patches für die von Microsoft betreuten Behörden und Firmen notwendig werden, erwartet der Chaos Computer Club. "So lange Windows XP noch auf Millionen von Rechnern genutzt wird, ist es natürlich ein interessantes Angriffsziel. Vor allem werden Sicherheitslücken ja nicht geschlossen und können über lange Zeit ausgenutzt werden", sagte Falk Garbsch vom CCC auf Anfrage von Golem.de. Zumal Hacker das Supportende abgewartet haben dürften, um neue Schwachstellen auszunutzen. Auf der Sicherheitskonferenz Troopers präsentierten Forscher jüngst eine Liste, wonach Zero-Day-Exploits für Windows auf dem Schwarzmarkt derzeit für etwa 60.000 bis 120.000 US-Dollar gehandelt werden. Es dürfte daher für viele Nutzer eine große Versuchung darstellen, im Netz kursierende Patches zu installieren.

Doch damit könnte genau das Gegenteil von dem passieren, was verhindert werden soll. Denn auch Kriminelle könnten auf die Idee kommen, privaten XP-Anwendern per Spam oder auf anderem Wege angebliche Sicherheitsupdates unterzuschieben. "Falls Kriminelle hier einen Weg entdecken, um Trojaner einzuschleusen, könnte dies passieren", sagte Garbsch. Die betroffenen Nutzer stehen damit vor einem Dilemma: Entweder sie betreiben ihr System weiter mit inzwischen bekanntgewordenen Lücken, oder sie laufen Gefahr, ein nichtautorisiertes Update zu installieren, das erst recht ihren XP-Rechner manipuliert.

Keine Kernel-Patches von Drittanbietern

Die Empfehlung des CCC ist daher klar: Er würde generell davon abraten, im Netz kursierende Patches zu installieren, sagt Garbsch. Auch Microsoft äußert sich erwartungsgemäß dazu nicht anders. Dies betrifft zudem den Support über Drittanbieter, die laut Microsoft durchaus noch Support für Windows XP anbieten können. "Wir möchten aber betonen, dass dieser Support keine Security-Updates und Hotfixes wird bieten können, die den Windows-Kernel betreffen", hieß es weiter. "Kunden, die von dritter Seite Patches und Hotfixes angeboten bekommen, sollten deshalb sehr vorsichtig sein. Weder kann Microsoft garantieren, dass es sich um 'echte' Patches handelt, die tatsächliche XP-Probleme adressieren, noch, dass solche Patches diese Probleme auch beheben."

Eine Lösung könnte darin bestehen, dass solche angeblichen Patches von Microsoft oder einer anderen Seite auf ihre Sicherheit hin überprüft werden. Doch dazu wird es wohl nicht kommen. Nicht nur Microsoft lehnt jede Verantwortung für solche Patches ab und will diese nicht kontrollieren. Auch der CCC winkt ab: "Das können wir nicht und werden wir auch nicht. Es ist nahezu unmöglich, irgendwelche Schadfunktionen in Patches auszuschließen", sagte Garbsch.

BSI hält Privatnutzer für überfordert

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht sich ebenfalls nicht zuständig, vor solchen Patches im Einzelfall zu warnen. "Privatanwendern empfehlen wir den Wechsel auf ein aktuelles System mit automatischer Update-Funktion", sagte Behördensprecher Matthias Gärtner auf Anfrage. Für die meisten Anwender dürfte die manuelle Pflege des Betriebssystems und weiterer Komponenten der Rechnerinfrastruktur eine Überforderung darstellen, sagte Gärtner weiter. Das schließe auch ein, die Authentizität der Systemaktualisierung zu überprüfen.

Wer ohne offiziellen Microsoft-Support an XP festhält, sollte daher besser nicht darauf vertrauen, im Laufe des nächsten Jahres doch noch Patches einspielen zu können. Der Weiterbetrieb in einer abgeschotteten Umgebung oder virtuellen Maschine wäre da schon die sicherere Methode.  (fg)


Verwandte Artikel:
Support-Ende: Ist Windows XP wie ein Kopierer?   
(07.04.2014, https://glm.io/105675 )
IMHO: Mama, dein Windows XP muss sterben!   
(07.04.2014, https://glm.io/105406 )
Windows XP: Britische Regierung zahlt bis 2015 für Support   
(05.04.2014, https://glm.io/105637 )
Rabattaktion: Microsoft zahlt Windows-XP-Wechslern 100 Euro   
(02.04.2014, https://glm.io/105554 )
Windows XP: Niedersachsen verlängert Support für ein Jahr   
(27.03.2014, https://glm.io/105424 )

© 1997–2019 Golem.de, https://www.golem.de/