WannaCry: Cyber-Attacke sollte Initialzündung für Taten sein

TeleTrusT kritisiert derzeitiges IT-Sicherheitsniveau in Deutschland

[datensicherheit.de, 18.05.2017] Der Bundesverband IT-Sicherheit e.V. (TeleTrusT) sieht nach eigenen Angaben die weltweit verteilten Angriffe mit der Schadsoftware „WannaCry“ als Weckruf für das gemeinsame Handeln der Verantwortlichen in Unternehmen und Organisationen. Gleichzeitig warnt TeleTrusT vor insgeheimer staatlicher Nutzung von IT-Sicherheitslücken.

Absage an Ausnutzung von „Zero Day Exploits“

Bei „WannaCry“ handelt es sich offenkundig um Erpressungssoftware, die eine Sicherheitslücke in Microsofts „Windows“-Betriebssystem ausnutzt. Die US-Geheimdienstbehörde NSA soll sie für eigene Spähangriffe genutzt und nicht an Microsoft gemeldet haben.
Nun haben Hacker diese Sicherheitslücke, welche die NSA offensichtlich schon lange kennt und nutzt, für einen erfolgreichen Angriff gegen Kritische Infrastrukturen, wie z.B. in Deutschland die Deutsche Bahn und Krankenhäuser in Großbritannien, verwendet. Microsoft hatte zwar einen Patch zum Schließen der Lücke veröffentlicht – auf vielen Rechnern wurde die Schwachstelle jedoch offenbar nicht rechtzeitig bereinigt.
„Dem Ausnutzen von Sicherheitslücken, für die es noch keinen Schutz gibt (Zero Day Exploits), durch staatliche Institutionen erteilen wir eine Absage. Solange Nachrichtendienste erkannte Schwachstellen nicht den betroffenen Herstellern melden, sondern für Zwecke des Ausspähens nutzen, wird der Weg bereitet für Cyber-Attacken, die eigentlich verhindert werden können“, betont Prof. Dr. Norbert Pohlmann, der TeleTrusT-Vorsitzende.

Schlecht gewartete, veraltete und ungesicherte, aber dennoch vernetzte Systeme als Ursache

Besonders beunruhigend sei, dass viele der aktuell betroffenen Systeme zu Betreibern Kritischer Infrastrukturen gehörten. Gerade dort sollte das Bewusstsein für IT-Sicherheit geschärft sein und entsprechende Vorkehrungen – wie zum Beispiel eine sinnvolle Separierung – getroffen werden, und zwar nicht erst dann, wenn die Betreiber durch Gesetzgebung dazu gezwungen werden.
„Wie viele Weckrufe sind noch erforderlich, damit Unternehmen und Organisationen endlich reagieren und IT-Sicherheit die erforderliche Beachtung schenken? Wieder einmal sind schlecht gewartete, veraltete und ungesicherte, aber dennoch vernetzte Systeme die Ursache für den Erfolg eines großflächigen Angriffs. Das derzeitige IT-Sicherheitsniveau erfüllt die Ansprüche offensichtlich nur ungenügend, obwohl wir insbesondere in Deutschland über vertrauenswürdige IT-Sicherheitstechnologien verfügen“, so der kritische Kommentar des stellvertretenden TeleTrusT-Vorsitzenden, Dr. Rainer Baumgart.
Es sei höchste Zeit, „dass die Verantwortlichen zusammenarbeiten, um mit Hilfe einer gemeinsamen und klaren Cyber-Sicherheitsstrategie dafür zu sorgen, dass der Digitalisierungsprozess nachhaltig sicher und vertrauenswürdig umgesetzt wird, damit solche Angriffe in Zukunft verhindert werden“.
Diese essentiellen Forderungen habe ein Gremium aus IT-Sicherheitsexperten bereits in einem „Manifest IT-Sicherheit“ ausformuliert. Die aktuelle, schwere Cyber-Attacke sollte als Initialzündung dienen, um nun Taten folgen zu lassen.

Weitere Informationen zum Thema:

TeleTrusT
Manifest IT-Sicherheit / Gemeinsames Thesenpapier von TeleTrusT und Bundesverband der IT-Anwender (VOICE)

datensicherheit.de, 16.05.2017
WannaCry-Attacken: Verantwortung übernehmen statt Schuld zuweisen

datensicherheit.de, 13.05.2017
WannaCry: Weltweite Cyber-Attacken mit neuer Ransomware