Sicherheitslücken die (fast) keinen kümmern

Diesmal hat es den Adobe Flash Player erwischt: “Gravierende Sicherheitslücke – Adobe Flash Player sofort abschalten“, schreien die Schlagzeilen. Die Aufregung dauert jeweils ungefähr einen Tag lang, dann wird es ruhig um die neuste superkritische Sicherheitslücke in unserer IT-Infrastruktur. Wie gefährlich die jeweilige Schwachstelle ist und welche Schäden verursacht wurden, lässt sich später nur schwer oder gar nicht herausfinden. Genauso schwer, wie sich User finden lassen, die den Ratschlägen der “Experten“ folgen und ihren Flash Player tatsächlich ausschalten. 

Die meisten Videos im Net werden immer noch mit Adobe Flash Player
angeschaut. Schwachstellen in der Software sind deshalb für Hacker sehr
attraktiv. Viele User scheint das aber nicht zu kümmern.
                                                                             Screenshot via Adobe

“Sicherheitsforscher entdecken immer wieder große Lücken in Adobes weitverbreiteten Flash-Player. Nun hat der bekannte Virenforscher Kafeine eine besonders gefährliche Schwachstelle ausfindig gemacht, die von Cyberkriminellen bereits ausgenutzt wird. Dazu verwenden sie eine Webseite mit speziell präparierten Inhalten, die dem Computer Adware unterjubelt. Das ist eine Software, die Werbenetzwerke austrickst und immer wieder gefälschte Klicks und Seitenaufrufe verursacht. Außerdem wird der infizierte Rechner Teil eines großen Botnetzwerkes, mit dem etwa Cyber-Attacken auf Regierungswebseiten ausgeführt oder Spam-Mails verschickt werden…“

So berichtete der Stern über die neuste Sicherheitslücke (genannt CVE-2015-0311), die uns wahrscheinlich wirklich und ernsthaft beunruhigen sollte. Doch ähnliche Sicherheitswarnungen sind inzwischen so zahlreich geworden, dass die meisten User überhaupt nicht mehr darauf reagieren. Eine – zugegebenermassen nicht repräsentative - Umfrage bei Freunden und Bekannten hat ergeben, dass niemand, den wir kennen, irgendwelche Massnahmen ergriffen hat, um der Bedrohung, die vom Flash Player ausgeht, zu begegnen.  Eine Google-Nachrichtensuche zum Thema “Adobe Flash Player Sicherheitslücke“ findet mehr als 1000 Artikel – fast alle mit bedrohlichen Überschriften – und trotzdem bleiben die User komplett unberührt?

Da läuft doch etwas falsch!

Könnte es sein, dass profilierungssüchtige Sicherheitsexperten Warnungen veröffentlichen, die nicht wirklich notwendig und nutzbringend sind (ausser vielleicht für jene Hacker, die sie ausnützen wollen? Sind vielleicht sogar die grossen Antivirus-Sicherheitsfirmen daran interessiert, in regelmässigen Abständen solche Meldungen zu veröffentlichen? Oder ist es einfach so, dass die User diesbezüglich vollkommen gleichgültig sind und auch auf ernstzunehmende Bedrohungen nicht mehr reagieren? (Unklar ist übrigens auch, ob eine umfassende Sicherheitslösung für den PC, wie zum Beispiel Symantec Norton 360, vor der oben beschriebenen Lücke schützt).

So oder so scheinen die vielen Warnungen über die neusten Sicherheitslücken ihr Ziel zu verfehlen – was sich irgendwann einmal sehr negativ auswirken könnte.

Allerdings scheint die Gefahr auch nicht ganz so enorm zu sein, wie man aufgrund des Pressewirbels annehmen dürfte. Wer nämlich den Stern-Artikel weiterliest, bevor er den Flash Player ausschaltet, kann sich diese Massnahme womöglich ersparen:

“Die Attacken funktionieren derzeit allerdings nur unter diversen Kombinationen von Windows und dem Internet Explorer, schreibt "Kafeine". Dem Experten zufolge sind Nutzer von Windows XP mit Internet Explorer (IE) in den versionen 6 bis 8, Windows 7 mit IE 8, Windows 8 mit IE 10 und das aktuelle Windows 8.1 mit IE 11 betroffen. Googles Chrome-Browser soll nicht für die Attacken anfällig sein, weil die Browser-eigenen Sicherheitsvorkehrungen greifen.“

Das ist doch schon mal eine gute Nachricht! Chrome statt IE – und schon sieht die Welt wieder sicherer aus. Auch bei Adobe arbeitet man an der Reparatur des Players und will schon dieses Wochenende einen Patch zur Verfügung stellen.