Wie oft in der IT schweben den Uninitiierten die Fragezeichen schon über dem Kopf, sobald man nur wenige Worte eines Artikels zu Sicherheitsvorfällen liest. In diesem Beitrag erklären wir die wichtigsten Begriffe, wenn es um IT-Sicherheit und Sicherheitslücken geht. Denn gerade in diesem Bereich ist es wichtig, am Ball zu bleiben, um sich und Ihr Unternehmen zu schützen.
Die Kunst der digitalen Reparatur
Betrachten Sie Ihre IT einmal so, wie die ältere Generation ihre Strümpfe pflegt: Genauso wie in Strümpfen können in Software (Sicherheits)Lücken entstehen, die schnellstmöglich gestopft bzw. behoben werden sollten – sonst besteht die Gefahr der Ausweitung. Was mit einem kleinen Loch in der Socke beginnt, kann schnell zum Entblößen des „Großen Onkels“ führen. Das ist vergleichbar mit Sicherheitslücken in Softwareprogrammen: Je länger man diese unbehandelt (ungepatched) lässt, umso größer die Wahrscheinlichkeit, dass sie ausgenutzt und von Cyberkriminellen ausgeweitet werdnen.
Löcher stopfen: Patches im Überblick
Patches sind die digitalen Stopfmittel für Sicherheitslücken. Es gibt verschiedene Arten von Patches, darunter:
- Sicherheitsupdates: Schließen bestehende Sicherheitslücken oder schützen vor neuen Angriffsmethoden.
- Funktionsupdates: Bieten neue Funktionen für die Software oder verbessern vorhandene.
- Bugfixes: Beheben Fehler (Bugs) im Code, um reibungslose Ausführung zu gewährleisten.
- Hotfixes: Dringendes Update nach der Entdeckung von Bedrohungen, um Sicherheitslücken schnellstmöglich zu schließen.
Patchday: Ein fester Tag für digitale Sicherheit
Der Ursprung des Patchdays (dt. Patch/Update-Tag) liegt in den
Microsoft-Update-Veröffentlichungen, die seit 2003 jeden zweiten Dienstag eines
Monats erfolgen (der sogenannte „Patch Tuesday“ [dt. Patch Dienstag]).
Dieser Trend wurde von anderen Unternehmen wie Oracle, Adobe und SAP
übernommen. Warum ein fester Tag? Die Planbarkeit und Kommunikation von Veröffentlichungen
ermöglichen es Unternehmen bzw. deren Administratoren, sich auf mögliche
Ausfallzeiten vorzubereiten. An diesem Tag werden nicht nur einzelne Patches,
sondern oft mehrere veröffentlicht, wobei nur ein Neustart erforderlich ist,
statt mehrere pro Monat. Diese Vorgehensweise verringert (Ausfall-)Zeit und Kosten.
Exploit Wednesday: Die dunkle Seite des Patch-Tuesdays
Exploit Wednesday [dt. Ausbeute-Mittwoch] steht für den Zeitraum nach dem Patchday, an dem Angreifer Sicherheitslücken ausnutzen. Denn mit der Veröffentlichung von Sicherheitsupdates werden natürlich auch Informationen zur Natur der eigentlichen Sicherheitslücke bekannt. Diese nutzen Cyberkriminelle aus, denn Patches werden nicht immer sofort installiert. Solche Sicherheitslücken werden oftmals innerhalb weniger Stunden nach Veröffentlichung der Patches ausgenutzt (daher Exploit Wednesday).
Es ist es entscheidend, dass Unternehmen schnell reagieren und ihre Systeme aktualisieren, um mögliche Angriffe zu verhindern.
CVE: Die Klassifizierung von Sicherheitslücken
Das Common Vulnerabilities and Exposures (CVE, dt. etwa Allgemeine Schwachstellen und Anfälligkeiten ) -System identifiziert, benennt und katalogisiert Sicherheitslücken. Eine CVE-ID folgt dem Muster CVE-JJJJ-NNNNN (CVE - Jahr - fortlaufende Nummer). Dies erleichtert die Identifikation und Bekämpfung von Schwachstellen.
Risikobewertung nach CVSS: Die Bedrohungseinschätzung
Das Common Vulnerability Scoring System (CVSS, dt. Allgemeines Bewertungssystem für Schwachstellen) bewertet und priorisiert Sicherheitsvorfälle auf einer Skala von 1 bis 10. Die Einschätzung erfolgt danach, wie leicht eine Sicherheitslücke ausgenutzt werden kann, der Sensibilität betroffener Daten und der möglichen Ausweitung des Zugriffs für Angreifer. Die Wertigkeit gliedert sich in Niedrig, Mittel, Hoch und Kritisch.
0-day / Zero-Day: Die unsichtbare Bedrohung
Eine besonders gefährliche Art von Sicherheitslücken sind sogenannte 0-day oder Zero-Day-Exploits. Dabei handelt es sich um Sicherheitslücken, die den Entwicklern noch nicht bekannt sind. Der Name Zero-Day (Null Tage) kommt daher, dass die Entwickler keine Zeit, also null Tage, haben, um das Problem zu beheben. Angreifer können diese Lücken oft über lange Zeiträume ausnutzen, was die rasche Entwicklung von Gegenmaßnahmen umso wichtiger macht, sobald diese entdeckt worden.
Die Welt der IT-Sicherheit ist ständig in Bewegung, und das Patchen von Sicherheitslücken ist ein kontinuierlicher Prozess.
Natürlich hinkt der Vergleich zu Socken: Ein Loch im Strumpf betrifft in der Regel nur eine Person; Sicherheitslücken in Software können Millionen von Menschen gefährden. Wir können nur immer wieder predigen: Regelmäßige Patches/Updates sind der unsichtbare Faden, der Ihre IT-Sicherheit zusammenhält.
