Die Erpressungs-Malware ‚WannaCry‘ legte vergangene Woche eine große Zahl von Computersystemen zeitweise lahm. Darunter waren auch einige Systeme, die in den Bereich kritischer Infrastrukturen fallen, etwa bei der Deutschen Bahn und zahlreichen Einrichtungen des englischen National Health Service (NHS). Mit verantwortlich für dieses Desaster ist der verantwortungslose Umgang der (US-)Geheimdienste mit Software-Schwachstellen und Werkzeugen zu deren Ausnutzung. Die Behörden müssen endlich aufhören, durch Geheimnistuerei und Herrschaftswissen die IT-Sicherheit zu gefährden.
WannaCry legte zahlreiche Computer lahm
Die Schadsoftware ‚WannaCry‘ legte Mitte Mai eine Vielzahl von IT-Systemen in aller Welt lahm. Laut dem Antivirus-Hersteller Kaspersky Labs wurden Rechner in mindestens 74 Ländern befallen. Besonders schwer betroffen war Großbritannien, wo zahlreiche IT-Systeme des NHS infiziert und in der Folge unbenutzbar waren, was für chaotische Zustände in einer Reihe von Krankenhäusern sorgte. Aber auch zahlreiche deutsche Unternehmen und Privatpersonen waren betroffen. Viele Rechner der Deutschen Bahn wurden durch ‚WannaCry‘ lahmgelegt, was teilweise zu (außergewöhnlich viel) Chaos und Verspätungen im Bahnverkehr führte.
‚WannaCry‘ gehört zur Kategorie der sogenannten Ransomware. Dabei handelt es sich um einen (aktuell nach einer mehrjährigen Flaute wieder sehr populären) Typ von Schadsoftware, der die Daten auf infizierten Geräten verschlüsselt. Nur nach Zahlung eines bestimmten Betrages (meist, wie auch bei ‚WannaCry‘, in Form von BitCoins oder anderer Krypto-Währung zu entrichten) wird den Betroffenen das Passwort zur Entschlüsselung zugeschickt. Daher stammt auch der Name: „Ransom“ ist das englische Wort für eine Lösegeld-Forderung, beispielsweise auch bei entführten Personen.
Schadsoftware aus den Laboren der NSA
Bei ‚WannaCry‘ handelt es sich nicht um irgendeine Standard-Schadsoftware aus einem russischen Trojaner-Baukasten. Die Vorarbeit für den Schädling wurde vielmehr vom US-Geheimdienst NSA geleistet. Die Behörde deckte die zugrunde liegende Windows-Schwachstelle auf und entwickelte auch ein Software-Werkzeug für deren Ausnutzung, einen sogenannten „Exploit“ (von englisch „to exploit“: ausbeuten, ausnutzen).
Dieser Exploit, Codename ‚Eternalblue‘ (womöglich eine lustige Anspielung auf Windows-Bluescreens?) diente dem Ziel, unbemerkt in die Rechner von Zielpersonen einzudringen. Er funktionierte auf Windows-Versionen von XP bis Server 2012 zuverlässig.
Vor Kurzem wurde ‚Eternalblue‘ zusammen mit einer ganzen Sammlung von NSA-Schadsoftware von der Hackergruppe „Shadow Brokers“ geleakt. Die Verantwortlichen hinter ‚WannaCry‘ mussten also nur noch eine entsprechende „Nutzlast“ schreiben, die Schaden auf den betroffenen Rechnern anrichtet – eine technisch eher triviale Aufgabe – und hatten die nun bekannt gewordene, potente Waffe in der Hand.
‚WannaCry‘ zeigt Baustellen bei der IT-Sicherheit auf
‚WannaCry‘ und der dadurch angerichtete Schaden zeigen eine ganze Reihe von aktuellen Problemen im Bereich der IT-Sicherheit auf, vom Umgang mit Ransomware über die Absicherung kritischer Infrastrukturen bis hin zur Tatsache, dass vielfach auch an wichtigen Stellen veraltete Betriebssysteme verwendet und Updates zu spät oder gar nicht aufgespielt werden.
Der Haupt-Diskussionspunkt aber ist ein anderer: der Umgang der Behörden, namentlich in diesem Fall der CIA und NSA, mit Software-Schwachstellen und Materialien zu deren Ausbeutung. ‚WannaCry‘ hat wieder einmal gezeigt, dass derartiges Wissen von den Behörden unter Verschluss gehalten wird.
Die Behörden müssen ihr Verhalten ändern
Wenn die Behörden sich benehmen wie IT-Kriminelle, indem sie Wissen über Sicherheitslücken für sich behalten und, statt gegen Angriffe auf Rechnersysteme vorzugehen, selbst Schadsoftware entwickeln, kann nichts Gutes dabei herauskommen. Es ist eine dumme, gefährliche Illusion, zu glauben, dass entsprechende Sicherheitslücken nicht früher oder später auch Kriminellen in die Hände fallen, sei es, weil diese unabhängig zum selben Forschungsergebnis kommen (auch in diesen Kreisen ist eine große Menge an Know-How vorhanden) oder weil, wie im Falle von ‚Eternalblue‘, die Behörden-Schadsoftware in unbefugte Hände fällt.
Für die Sicherheit der Bevölkerung ist es von großer Bedeutung, dass Sicherheitslücken in populärer Software, einmal entdeckt, sofort an die Hersteller der betroffenen Programme weitergeleitet werden, damit diese sie per Update beheben können. Von dieser Politik der „Responsible Disclosure“ dürfen auch Behörden nicht länger ausgenommen sein. Ebenso müssen die Geheimdienste aufhören, Staatstrojaner und andere Schadsoftware zu entwickeln. Allzu leicht fallen diese in die falschen Hände oder reißen durch fehlerhafte Konfiguration Sicherheitslücken auf den betroffenen Systemen auf. Wie ‚WannaCry‘ deutlich gezeigt hat, führt das Zurückhalten von sicherheitsrelevanten Informationen und heimliche Basteln mit Schadsoftware durch die Behörden keineswegs zu mehr Sicherheit – im Gegenteil.
Microsoft fordert Behörden zum Umdenken auf
Mittlerweile setzen sich auch namhafte Software-Unternehmen für ein verantwortungsbewussteres Handeln der Behörden ein. So fordert etwa US-Softwaregigant Microsoft, die Behörden müssten gefundene Sicherheitslücken künftig schnellstmöglich den betroffenen Software-Unternehmen melden, statt sie „zu horten, zu verkaufen oder auszunutzen“.
Hoffentlich wird diese einflussreiche Schützenhilfe in absehbarer Zeit ein Umdenken auslösen. Die einzige Möglichkeit, mit einer Software-Sicherheitslücke verantwortungsbewusst und zum Besten der Nutzergemeinde umzugehen, ist, ihre zeitnahe Behebung zu ermöglichen. Alles andere ist ein gefährliches Spiel mit dem Feuer. Das hat ‚WannaCry‘ noch einmal nachdrücklich gezeigt.
Image (adapted) by Markus Spiske (CC0 Public Domain)
Related Articles
Artikel per E-Mail verschicken
Schlagwörter: CIA, Cybersecurity, exploit, Hack, hacker, IT, microsoft, NSA, Ransomware, sicherheit, Sicherheitslücken, software, Trojaner, Wannacry