{"id":2562,"date":"2012-04-03T18:55:12","date_gmt":"2012-04-03T16:55:12","guid":{"rendered":"http:\/\/www.media-deluxe.de\/blog\/?p=2562"},"modified":"2016-04-20T06:19:08","modified_gmt":"2016-04-20T04:19:08","slug":"fragwuerdige-bsi-schwachstellenampel","status":"publish","type":"post","link":"https:\/\/www.media-deluxe.de\/blog\/2012\/04\/fragwuerdige-bsi-schwachstellenampel\/","title":{"rendered":"Fragw\u00fcrdige BSI-Schwachstellenampel"},"content":{"rendered":"

Anfang M\u00e4rz stellte das Bundesamtes f\u00fcr Sicherheit in der Informationstechnik (BSI) seine sogenannte Schwachstellenampel vor. Sie ist als regelm\u00e4\u00dfig aktualisierter Indikator f\u00fcr Sicherheitsl\u00fccken in g\u00e4ngigen Software-Produkten<\/em> gedacht. <\/p>\n

Kritische Java-L\u00fccken werden auf PC und Mac in gro\u00dfem Stil ausgenutzt<\/h2>\n

Es ist der 3. April. Zahlreiche Medien1<\/a><\/sup> und Sicherheitsspezialisten warnen seit Tagen vor in gro\u00dfem Stil durchgef\u00fchrten Computer-Angriffen, die auf Sicherheitsl\u00fccken in Java abzielen. F\u00fcr Windows wurden die aktuell ausgen\u00fctzten Schwachstellen (f\u00fcnf davon hatte Oracle in die h\u00f6chste Risikoklasse einordnet) bereits Mitte Februar durch Java SE 7 Update 3 bzw. Java SE 6 Update 31 geschlossen2<\/a><\/sup>. Nat\u00fcrlich haben zahlreiche PC-Anwender dieses Update derzeit immer noch nicht eingespielt. F\u00fcr Mac-User sieht es noch schlechter aus, denn Apple hat noch gar keine gepatchte Version seiner hauseigenen Java-Implementierung ausgeliefert, weshalb Apple-J\u00fcngern von Sicherheitsfachleuten empfohlen wird, auf ihren Macs Java komplett zu deaktivieren bis ein entsprechendes Update verf\u00fcgbar ist (Stichwort: \u201eFlashback-Trojaner\u201d).<\/p>\n

Schwachstellen in der Schwachstellenampel<\/h2>\n

Um wohl genau solchen Gefahren zu begegnen, hat das BSI vor einem Monat seine Schwachstellenampel<\/em> ins Netz gestellt: \u201eDie Schwachstellenampel ist ein Indikator, der die aktuelle Sicherheitslage in Bezug auf Sicherheitsl\u00fccken in g\u00e4ngigen Softwareprodukten verdeutlicht.\u201d Wir schauen nach:<\/p>\n

Als letztes \u00c4nderungsdatum wird derzeit der 20.03.2012 angegeben.<\/p>\n

\"BSI<\/p>\n

Dass das so beruhigend aussieht, wirkt auf mich unter den gegebenen Umst\u00e4nden nat\u00fcrlich sehr beunruhigend. Es gibt dann noch eine weitere Tabelle mit \u201eInformationen zu Schwachstellen, ohne dass diese zuverl\u00e4ssig einem bestimmten Produkt des jeweiligen Herstellers zugeordnet werden k\u00f6nnen.\u201d Das trifft f\u00fcr den oben genannten Fall zwar nicht zu, aber der Vollst\u00e4ndigkeit halber bilde ich auch diese Tabelle hier ab.<\/p>\n

\"BSI<\/p>\n

Ich verstehe nicht wem diese Ampel was mitteilen m\u00f6chte. Tatsache ist, dass alle Mac-Anwender Java vollst\u00e4ndig deaktivieren und alle PC-Anwender sich nur dann sicher f\u00fchlen sollten, wenn sie sich vergewissert haben, dass ihr System mit der aktuellen Java-Version l\u00e4uft. Inwiefern diese Schwachstellenampel dabei behilflich sein soll ist mir unverst\u00e4ndlich, und in der gegenw\u00e4rtigen Form halte ich sie sogar eher f\u00fcr kontraproduktiv. <\/p>\n

Alternative: Secunia PSI<\/h2>\n

Wie es richtig ginge, zeigt das d\u00e4nische Sicherheitsunternehmen Secunia mit seinem Tool Secunia PSI (Personal Software Inspector)<\/em>3<\/a><\/sup>. Die f\u00fcr Privatanwender kostenlose Software durchsucht den Computer nach ausf\u00fchrbaren Programmen, meldet Verwundbarkeiten und bietet automatische oder manuelle L\u00f6sungen an.<\/p>\n

\"\"<\/p>\n

Freilich braucht man ein gewisses Ma\u00df an Vertrauen zu einem Anbieter, wenn man ihn den eigenen Softwarebestand scannen l\u00e4sst. W\u00e4hrend viele Anwender Secunia dieses Vertrauen entgegenbringen, da das Unternehmen als Sicherheitsspezialist im Missbrauchsfall um seinen hervorragenden Ruf und somit um sein gesch\u00e4ftliches \u00dcberleben bangen m\u00fcsste, haben deutsche staatliche Institutionen in Zeiten verfassungswidriger Bundestrojaner dieses Vertrauen nat\u00fcrlich l\u00e4ngst verspielt. Der Versuch des BSI, eine \u00e4hnliche, n\u00fctzliche L\u00f6sung anzubieten, w\u00fcrde nicht nur bei der viel zitierten \u201eNetzgemeinde\u201d allenfalls h\u00f6hnisches Gel\u00e4chter erzeugen. Wom\u00f6glich ahnt man das beim BSI schon und probiert es gar nicht erst…<\/p>\n

Weiterf\u00fchrende Links<\/h2>\n