Original-URL des Artikels: https://www.golem.de/news/debatte-nach-wanna-cry-sicherheitsluecken-veroeffentlichen-oder-zurueckhacken-1705-128024.html    Veröffentlicht: 26.05.2017 09:02    Kurz-URL: https://glm.io/128024

Debatte nach Wanna Cry

Sicherheitslücken veröffentlichen oder zurückhacken?

Wie nach einem schwerwiegenden IT-Sicherheitsvorfall üblich sollen die Probleme rund um Wanna Cry politisch bekämpft werden. In den USA soll dafür der Umgang der Geheimdienste mit Sicherheitslücken neu geregelt werden, andere Politiker fodern: Lasst Unternehmen hacken!

Nach dem Wanna-Cry-Angriff ist in den USA erneut eine Debatte um den Umgang mit Sicherheitslücken durch die Sicherheitsbehörden des Landes aufgekommen. Die bei den Angriffen genutzten Exploits stammen aus dem Bestand der NSA und wurden offenbar jahrelang aktiv für Angriffe genutzt, möglicherweise schon vor dem Support-Ende von Windows XP. Die Schwachstellen wurden von einer Hackergruppe mit dem Namen Shadow Brokers veröffentlicht, zuvor hatte die Gruppe versucht, die Informationen gegen Geld zu versteigern.

Politiker und die IT-Sicherheits-Community versuchen nun, eine Antwort auf die rasante weltweite Verbreitung der Malware zu finden. Dabei sollen auch Sicherheitsbehörden wie Geheimdienste zur Verantwortung gezogen werden - denn sie besitzen oft selbst Exploits. Andere fordern: Lasst die Unternehmen zurückhacken. In Zukunft soll es klare Regeln geben, an die sich die Dienste und Unternehmen halten sollen, um weniger Ad-Hoc-Entscheidungen treffen zu müssen.

Im Falle der Shadow-Broker-Exploits traf die NSA offenbar eine solche Ad-Hoc-Entscheidung und meldete die in der Wanna-Cry-Kampagne genutzten Schwachstellen wie Eternalblue und Doublepulsar an Microsoft. Allerdings erst nachdem klar war, dass die Shadow Broker die entsprechenden Informationen in ihrem Besitz hatten. Die NSA fand über die Jahre offenbar Gefallen an der Effektivität der Exploits. Es sei "wie Fischen mit Sprengstoff", sollen Mitarbeiter des Dienstes gesagt haben.

Immerhin hatte Microsoft so die Chance, die Schwachstellen zu patchen, bevor die Exploits selbst von der Gruppe veröffentlicht wurden. Offiziell bestätigen wollte die NSA die Weitergabe der Informationen bislang allerdings nicht, die Washington Post bezog sich in ihrer Berichterstattung auf mehrere anonyme Quellen.

Der US-Senator Brian Schatz will das Problem der durch Behörden gehorteten Sicherheitslücken daher mit einem neuen Gesetzesvorschlag angehen, der die Abkürzung Patch-Act trägt. Der volle Titel lautet: Gesetz für die Möglichkeit, Hackern entgegenzutreten (Protecting Our Ability to Counter Hacking Act, PDF). Mit dem Gesetz soll der in den USA bereits existierende Vulnerabilities Equities Prozess zum Melden von Sicherheitslücken durch staatliche Behörden um ein verbindliches Gremium ergänzt werden.

Der Vulnerabilities Equities Act

Anhand verschiedener Kriterien sollen Behörden bereits heute entscheiden, ob eine der Regierung bekannte Sicherheitslücke durch Behörden wie die NSA ausgenutzt werden darf oder an den Hersteller gemeldet werden muss, damit dieser die Schwachstelle schließt. Nicht alle Schwachstellen findet die Regierung selbst, einige werden direkt von Hackern für zum Teil erhebliche Summen eingekauft. Im Jahr 2013 soll allein die NSA 25 Millionen US-Dollar für entsprechende Ankäufe ausgegeben haben.

Der Prozess selbst wurde nach jahrelangen Beratungen durch den ehemaligen US-Präsidenten Barack Obama mit der National Security Policy Directive Nummer 54 eingerichtet [PDF]. Bislang werden Sicherheitslücken zwar schon intern gemeldet, und es wird diskutiert, ob diese an den Hersteller weitergegeben werden. Der Prozess basiert allerdings nur auf einem Dekret und hat keine Gesetzeskraft.

Besonders strenge Maßstäbe legen sich die Beteiligten dabei bislang offenbar nicht auf - das will Schatz mit seinem Entwurf ändern. Künftig soll das sogenannte Vulnerabilities Equities Review Board als dauerhafte Institution mit gesetzlicher Basis eingerichtet werden, wenn beide Parlamentskammern dem Gesetz zustimmen.

Geheimdienste entscheiden über die Veröffentlichung

Die Kriterien, nach denen die Mitglieder, darunter die Chefs der Geheimdienste und Vertreter von Ministerien, sofern sie betroffen sind, entscheiden, bleiben allerdings vage. Die Mitglieder des Gremiums sollen versuchen, zu ermessen, ob und welchen Schaden die Veröffentlichung einer Sicherheitslücke den USA zufügen würde. Detaillierte Kriterien dazu sollen erst nach Veröffentlichung des Gesetzes erarbeitet werden.

Unklar ist, wie genau das Board diese Abwägung treffen soll - und ob Entscheidungen zur Weitergabe der Informationen erneut geprüft werden, wenn sich wichtige Rahmenbedingungen ändern, also neue Sicherheitslücken einen erfolgreichen Exploit einfacher machen oder davon ausgegangen werden muss, dass ein Exploit, wie im Fall der Shadow Brokers, kompromittiert ist.

Außerdem soll ermittelt werden, welche Personen die betroffenen Technologien mit Sicherheitslücken nutzen - also hauptsächlich Privatanwender, Unternehmen oder aber nur Unternehmen in spezialisierten Bereichen. Dabei soll auch festgestellt werden, ob die Produkte in "wichtigen Internet-Infrastrukturen" eingesetzt werden oder ob andere "kritische Infrastrukturen" von der Sicherheitslücke betroffen sind.

Heartbleed als Auslöser der Vulnerability-Diskussion

Damit dürfte sich Schatz auf die Anschuldigungen beziehen, die US-Regierung habe vorab über die Heartbleed-Sicherheitslücke Bescheid gewusst, die Informationen aber geheim gehalten. Nach Heartbleed hatte die US-Regierung erstmals Stellung zum eigenen Umgang mit Sicherheitslücken genommen.

Verlässliche Studien zum Thema 0-Day-Exploits gibt es nur wenige. Trotzdem soll das Board darüber befinden, wie wahrscheinlich es ist, dass eine andere Organisation als die US-Bundesregierung ebenfalls verwertbare Informationen über eine bestimmte Schwachstelle besitze. Das dürfte in der Praxis sehr schwer sein. Unklar ist, welche Indikatoren dabei herangezogen werden sollen.

Das Gesetz würde für die Regierung nicht nur Prüfpflichten bringen, sie müsste künftig auch begründen, warum ein bestimmter Exploit vorgehalten werden solle. Dabei soll unter anderem konkret begründet werden, warum die Schwachstelle wichtig sei oder für "spezifische, aktive Geheimdienstoperationen" genutzt werde. Bei dem mehrheitlich aus Geheimdienstkreisen bestehenden Gremium ist allerdings nicht zu erwarten, dass tatsächlich eine rigide Kontrolle stattfindet.

Spannend ist auch die Definition einer "bekannten Sicherheitslücke". Denn selbst wenn Informationen über Sicherheitslücken wie bei den Shadow Brokers "unautorisiert" kopiert wurden, soll die Sicherheitslücke nicht als öffentlich bekannt eingestuft werden. Damit hätten die Dienste die Möglichkeit, eine solche Lücke weiterhin nicht an den Hersteller zu melden. Andere Abgeordnete wollen hingegen einen anderen Weg einschlagen und Unternehmen zu Hackern machen.

Oder doch einfach zurückhacken?

Der republikanische Kongressabgeordnete Tom Graves schlägt vor: Firmen, die einer "Cyberattacke" ausgesetzt seien, sollen die Möglichkeit bekommen, zurückzuhacken. So hätte die Verbreitung der Wanna-Cry-Malware verhindert oder zumindest eingedämmt werden können, sagte Graves der Financial Times. "Ich glaube, es hätte einen positiven Einfluss gehabt, und möglicherweise die Ausbreitung [der Malware, Redaktion] in den USA verhindern können".

Im Falle eines Angriffs dürften Unternehmen dann nicht mehr nur Informationen aus ihren eigenen Logs und Servern nutzen, um den Angriff einzudämmen, sondern dürften auch versuchen, Rechner der Angreifer mit verschiedenen Methoden lahmzulegen. Unklar bleibt dabei bislang, ab welcher Hürde ungewöhnliche Zugriffe als Cyberangriff gewertet werden dürfen, und der Einsatz welcher Mittel dann für verhältnismäßig erklärt wird.

Gerade im Hinblick auf die aktuelle Wanna-Cry-Debatte erscheint es wenig realistisch, dass ein solches Gesetz positive Auswirkungen auf die IT-Sicherheit haben könnte. Denn im Fokus der Angriffe waren Unternehmen und Privatleute, die ihre Systeme nicht gepatcht, SMB1 aktiviert und einen Zugriff auf das Internet gestattet hatten. Ein "Zurückhacken", wie immer das auch aussehen soll, hätte hier wenig gebracht.

Zudem darf in Frage gestellt werden, ob es eine gute Idee ist, wenn Firmen, die offenbar grundlegende Security-Regeln nicht befolgen, unkontrolliert Angriffe gegen vermeintliche Hacker starten dürfen. Sogar der mutmaßliche staatliche Stuxnet-Angriff zeigt, wie schwer es ist, die Folgen eines gezielten Angriffs zu begrenzen.

"Die Tech-Community und die Cyber-Community"

Graves und weitere Unterstützer des Gesetzes wollen bei der Überarbeitung ihres Entwurfes Kritik aus der Security-Community berücksichtigen, sind aber weiter von ihrem Vorhaben überzeugt: "Wir haben viel Input, Feedback und Unterstützung bekommen. Es ist ganz klar: Die Tech-Community, die Cyber-Community und die finanzielle Community wollen Werkzeuge und Ressourcen bekommen, um sich zu verteidigen", sagte Graves der Financial Times.

Ein Problem lösen indes beide Vorhaben nicht: langsame Patchzyklen in Unternehmen. Gerade in streng regulierten Branchen und bei Unternehmen mit vielen Maschinenzulieferern müssen oft Prozesse eingehalten werden, bei denen die Updates ausführlich geprüft werden. Das verzögert die Implementierung entsprechender Updates oft über längere Zeiträume. Angriffe müssten dann über andere Mechanismen abgefangen werden. Eine einfache Antwort auf Wanna Cry gibt es daher leider bislang nicht.  (hg)


Verwandte Artikel:
BND-Gesetz: Journalisten klagen gegen Überwachung   
(30.01.2018, https://glm.io/132478 )
Fluggastdaten: Regierung dementiert Hackerangriff auf deutsches PNR-System   
(10.03.2018, https://glm.io/133261 )
Trotz Reform: BND lässt neues Kontrollgremium angeblich auflaufen   
(08.12.2017, https://glm.io/131561 )
IT-Sicherheit: Der Angriff kommt - auch ohne eigene Fehler   
(02.01.2018, https://glm.io/131790 )
Not Petya: Maersk erneuerte IT-Infrastruktur in zehn Tagen   
(26.01.2018, https://glm.io/132407 )

© 1997–2019 Golem.de, https://www.golem.de/