Internet Explorer: Stellungnahme der ENISA zur kürzlich bekanntgewordenen Anfälligkeit des Browsers

Bisher kein „Patch“ verfügbar

[datensicherheit.de, 28.04.2014] Bezugnehmend auf die Warnungen von Microsoft am Sonntag, dass eine bisher unbekannte Schwachstelle in allen unterstützten Versionen des Internet Explorers (IE) ausgenutzt wird, die alle unterstützten Versionen von IE betrifft, und heimlichen Zugriff auf verwundbare Computer gewährt, kommentiert ENISA:

• Zur Klarstellung, ENISA ist kein operativer CERT, sondern ein Expertisezentrum, und kann dennoch eine kurze Situationsanalyse sowie ein Kommentar abgeben.
• Dies ist eine ernsthafte 0-Tag Attacke auf die Gesellschaft, „in-the-wild“ Attacke, welche zeigt, dass es keine 100%ige Sicherheit gibt und wie anfällig die Gesellschaft sein kann, wenn Sicherheit nicht frühzeitig angegangen wird. Daher setzen wir uns für eine „Sicherheit-vom-Design“ Strategie im Softwareprozess der Industrie ein.
• Dies ist eine signifikante Bedrohung für IE Nutzer, da es keine Schnellreparatur oder „Patch“ gibt.
• Anwender, die die oben genannten Risiken vermeiden wollen, sollten vorübergehend auf einen anderen Browser umsteigen, bis die Sicherheitslücke behoben wurde.
• Nutzer sollten ihre Systeme absichern und aktualisieren.
• Viele Anwender haben zwei verschiedene Browser installiert, daher sollten sie einfach umstellen können. Falls nicht, sollte dies ein guter Grund sein, einen weiteren Browser zu installieren, falls dieser benötigt wird.
• Falls dies nicht möglich ist, sollten IE Nutzer sicherstellen, dass sie EMET 4.1 oder 5.0 installiert und alle risikomindernden Maßnahmen eingeschaltet sowie VML und Flash ausgeschaltet sind.
• Der erweiterte Sicherheitsmodus (Enhanced Protection Mode, EPM) im IE sollte aktiviert sein. EPM wurde in der IE Version 10 eingeführt.
• Anwender sollten immer im Internet im eingeschränkten Anwender Modus und niemals mit dem Systemadministrator Account surfen.
• Eine der größten Probleme mit dieser Anfälligkeit ist, dass Windows XP Anwender dieser Bedrohung ausgeliefert sind, da kein Sicherheitsupdate für XP veröffentlicht wird (End of life).
• Da dies ungefähr 26% des kompletten Browsermarktes betrifft, zeigt dies, wie wichtig Cybersicherheit für die heutige Gesellschaft und Wirtschaft ist.
• Der Sicherheitsfirma FireEye zufolge hat eine unbekannte Gruppe von Hackern bereits gezielte Anfriffe auf Individuen und Organisationen unternommen.Da die Anfälligkeit zunehmend bekannter wird, aufgrund der Tools und Attacken, kann sich diese bald ausbreiten.
• Der Marktanteil vom Internet Explorer ist von 40% vor ein paar Jahren auf nun ungefähr 25% gefallen.
• Dennoch, in Europa sind Mozilla und Google Chrome the meistverwendeten Browser, während Anzeichen von stärkerem Nutzen des IE insbesondere in Dänemark, Grönland, Teilen Italiens, den Niederlanden und Monaco zu verzeichnen sind. Gleichwohl hat der IE einen beträchtlichen Anteil and Nutzervorzügen in der EU, daher ist Obacht nötig.
• IE ist vorrangig der Top-Browser in z.B. China, Angola und Grönland. [1]

Der Geschäftsführende Direktor der ENISA, Professor Udo Helmbrecht, kommentierte: „Wir müssen mehr in die Vorbeugung und Bereitschaft zur Cybersicherheit investieren und EU Einrichtungen mit den richtigen Ressourcen ausstatten, wenn wir die Wirtschaft und die moderne Gesellschaft von Europa schützen wollen.
Wir halten den Zugang zum Internet für selbstverständlich, doch trotz über 40 Jahre seit der Erfindung, und den 20 Jahren, in denen wir vom Internet abhängig waren, haben wir noch viel an Sicherheits-Hausaufgaben zu erledigen, wenn wir die Vorzüge des Internets genießen wollen.“

Weitere Informationen zum Thema:

ENISA (European Union Agency for Network and Information Security)
ENISA auf Deutsch

[1] http://commons.wikimedia.org/wiki/File:Countries_by_most_used_web_browser.svg

datensicherheit.de, 05.02.2014
Standardisierte Betriebsabläufe zur Bewältigung multinationaler Cyber-Krisen