Sicherheitslücken die (fast) keinen kümmern

Diesmal hat es den Adobe Flash Player erwischt: “Gravierende Sicherheitslücke – Adobe Flash Player sofort abschalten“, schreien die Schlagzeilen. Die Aufregung dauert jeweils ungefähr einen Tag lang, dann wird es ruhig um die neuste superkritische Sicherheitslücke in unserer IT-Infrastruktur. Wie gefährlich die jeweilige Schwachstelle ist und welche Schäden verursacht wurden, lässt sich später nur schwer oder gar nicht herausfinden. Genauso schwer, wie sich User finden lassen, die den Ratschlägen der “Experten“ folgen und ihren Flash Player tatsächlich ausschalten. 

Die meisten Videos im Net werden immer noch mit Adobe Flash Player
angeschaut. Schwachstellen in der Software sind deshalb für Hacker sehr
attraktiv. Viele User scheint das aber nicht zu kümmern.
                                                                             Screenshot via Adobe

“Sicherheitsforscher entdecken immer wieder große Lücken in Adobes weitverbreiteten Flash-Player. Nun hat der bekannte Virenforscher Kafeine eine besonders gefährliche Schwachstelle ausfindig gemacht, die von Cyberkriminellen bereits ausgenutzt wird. Dazu verwenden sie eine Webseite mit speziell präparierten Inhalten, die dem Computer Adware unterjubelt. Das ist eine Software, die Werbenetzwerke austrickst und immer wieder gefälschte Klicks und Seitenaufrufe verursacht. Außerdem wird der infizierte Rechner Teil eines großen Botnetzwerkes, mit dem etwa Cyber-Attacken auf Regierungswebseiten ausgeführt oder Spam-Mails verschickt werden…“

So berichtete der Stern über die neuste Sicherheitslücke (genannt CVE-2015-0311), die uns wahrscheinlich wirklich und ernsthaft beunruhigen sollte. Doch ähnliche Sicherheitswarnungen sind inzwischen so zahlreich geworden, dass die meisten User überhaupt nicht mehr darauf reagieren. Eine – zugegebenermassen nicht repräsentative - Umfrage bei Freunden und Bekannten hat ergeben, dass niemand, den wir kennen, irgendwelche Massnahmen ergriffen hat, um der Bedrohung, die vom Flash Player ausgeht, zu begegnen.  Eine Google-Nachrichtensuche zum Thema “Adobe Flash Player Sicherheitslücke“ findet mehr als 1000 Artikel – fast alle mit bedrohlichen Überschriften – und trotzdem bleiben die User komplett unberührt?

Da läuft doch etwas falsch!

Könnte es sein, dass profilierungssüchtige Sicherheitsexperten Warnungen veröffentlichen, die nicht wirklich notwendig und nutzbringend sind (ausser vielleicht für jene Hacker, die sie ausnützen wollen? Sind vielleicht sogar die grossen Antivirus-Sicherheitsfirmen daran interessiert, in regelmässigen Abständen solche Meldungen zu veröffentlichen? Oder ist es einfach so, dass die User diesbezüglich vollkommen gleichgültig sind und auch auf ernstzunehmende Bedrohungen nicht mehr reagieren? (Unklar ist übrigens auch, ob eine umfassende Sicherheitslösung für den PC, wie zum Beispiel Symantec Norton 360, vor der oben beschriebenen Lücke schützt).

So oder so scheinen die vielen Warnungen über die neusten Sicherheitslücken ihr Ziel zu verfehlen – was sich irgendwann einmal sehr negativ auswirken könnte.

Allerdings scheint die Gefahr auch nicht ganz so enorm zu sein, wie man aufgrund des Pressewirbels annehmen dürfte. Wer nämlich den Stern-Artikel weiterliest, bevor er den Flash Player ausschaltet, kann sich diese Massnahme womöglich ersparen:

“Die Attacken funktionieren derzeit allerdings nur unter diversen Kombinationen von Windows und dem Internet Explorer, schreibt "Kafeine". Dem Experten zufolge sind Nutzer von Windows XP mit Internet Explorer (IE) in den versionen 6 bis 8, Windows 7 mit IE 8, Windows 8 mit IE 10 und das aktuelle Windows 8.1 mit IE 11 betroffen. Googles Chrome-Browser soll nicht für die Attacken anfällig sein, weil die Browser-eigenen Sicherheitsvorkehrungen greifen.“

Das ist doch schon mal eine gute Nachricht! Chrome statt IE – und schon sieht die Welt wieder sicherer aus. Auch bei Adobe arbeitet man an der Reparatur des Players und will schon dieses Wochenende einen Patch zur Verfügung stellen.

Die Java-Gefahr - oder ein Leben ohne Java

Wahrscheinlich haben Sie es auch gelesen: Im Cyberspace herrscht wieder mal die grosse Panik. Diesmal sind es Adobe und Oracle, die ein Problem haben und Probleme verursachen.

Leben ohne Kaffee kann ich mir nicht gut vorstellen
 - leben ohne Java hingegen schon!

Am Donnerstag waren es verschiedene Medien, die Alarm schlugen, unter anderen auch heise.de und spiegel.de, weil vom deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) eine offizielle Warnung geäussert wurde. Fast alle Internetnutzer sind angesprochen, weil Adobes Flash-Player und Java, eine Software von Oracle, scheinbar grosse Sicherheitslücken aufweisen.  Zitat aus dem Spiegel:

“Die auf vielen Rechnern installierten Programme Java und Flash haben teils schwere Sicherheitslücken. Für die Java-Schwachstelle gibt es aktuell noch keine Lösung, Internetnutzer sollten das dazugehörige Plug-in im Browser daher vorübergehend deaktivieren. Betroffen ist die aktuelle Version 7, berichtet "Heise Security". Angreifer können durch die Lücke und über eine manipulierte Webseite Trojaner und andere Schädlinge auf fremde Rechner schmuggeln.
Es gilt also Abschalten statt Abwarten…“

Bei heise.de erfährt der geneigte User noch mehr Details  - und die tönen tatsächlich unschön:

“Die Schwachstelle wird bereits aktiv von Cyber-Kriminellen zur Verbreitung von Malware ausgenutzt. Laut dem Security-Blogger Brian Krebs gibt es passende Angriffsmodule für die Exploit-Kits Black Hole und Nuclear Pack. Laut Krebs hat der Black-Hole-Entwickler mit dem Pseudonym Paunch am gestrigen Mittwoch in Untergrundforen verkündet, dass der Zero-Day-Exploit eine Neujahrsgabe für seine zahlende Kundschaft sei. Da die Lücke mit Hilfe der Exploit-Kits mit geringem Aufwand auszunutzen ist, muss man damit rechnen, dass die Zahl der Seiten, auf denen der Java-Exploit lauert, im Laufe der nächsten Tage explodiert. Es genügt bereits, eine verseuchte Webseite aufzurufen, um Opfer einer Malware-Infektion zu werden. Der Angriffscode kann dabei auch auf seriösen Webseiten lauern.”

Heute, also zwei Tage später, wurden die Alarmsirenen noch schriller: Das amerikanische Homeland Security Departement warnte ebenfalls vor Java und empfahl, die Software sofort abzuschalten oder zu deinstallieren.

Da es für uns nicht möglich ist, den Ernst der Lage zu beurteilen, und weil ja Vorsicht bekanntlich besser ist als Nachsicht, haben wir uns also den Samstag mit den folgenden Massnahmen um die Ohren geschlagen. Flash-Player von Adobe muss gemäss den veröffentlichten Warnungen auf die neuste Version aktualisiert werden – das ist einfach, automatisch, und kann hier gemacht werden. Damit ist das Problem (vorläufig) gelöst.

Für das Java-Problem gibt es zwei Alternativen. Entweder, Sie deinstallieren alle Java-Software auf ihrem PC. Stellen Sie sicher, dass alle Versionen entfernt sind. Die allermeisten User werden es nicht mal merken, wenn Java (nicht zu verwechseln mit Java-Script) auf ihrem PC nicht mehr installiert ist. Es gibt nur wenige Websites, wo die Software wirklich gebraucht wird. 
Oder, wenn Sie nicht deinstallieren wollen, können Sie Java auch (für alle Browser) deaktivieren. Und zwar über die Systemsteuerung: Systemsteuerung/Java/Sicherheit/ oben links den Haken entfernen. Das gilt allerdings nur für die neuste Version der Software. Auch hier gilt: Vermissen werden Sie die Software wahrscheinlich nicht.

Noch ein Wort dazu, wie Oracle das neuste Java-Problem angeht –  es ist ja nicht das erste Mal, dass die Software mit Sicherheitslücken auf sich aufmerksam macht.

Oracle liess sich nicht aus der Ruhe bringen – und zwar im wahrsten Sinne des Wortes. Bis am Samstagnachmittag war ausser einem kleinen Twittereintrag absolut nichts zu diesem Thema von diesem riesigen Unternehmen  zu hören...
Diese Art von PR-Management spricht klar dafür, die digitale Existenz ohne Java fortzusetzen - wenn immer das möglich ist. Ich werde es jedenfalls versuchen.