Prophezeiungen, die sich selbst erfüllen

Wer mit der »Sicherheit« Geschäfte macht, muss mit Angst und Gefahr argumentieren. Soll seine Sicherheit diese doch eindämmen.

Auf dem Gebiet der IT-Security ist es unter anderem üblich, mit Proof-of-Concepts neue Angriffsformen durchzuspielen. Ist die jeweilige Gefahr nur ein komplexes Gedankenkonstrukt, oder ließen sich mit Verfahren X, Dienst Y oder Protokoll Z tatsächlich Angriffe fahren? Diese Grundlagenforschung greift prinzipiell dem voraus, was auf Unternehmen, Privatpersonen und Provider zukommen kann.

Einige Sicherheitsexperten kritisieren die Publikation der Ergebnisse, denn sie sind eine unerschöpfliche Quelle der Inspiration. Welcher Malware-Autor erfährt nicht gern, dass er Würmer auch auf PDAs und Smartphones, per Instant-Messaging oder Skype verschicken kann. Die Spezialisten werfen den Anbietern hierbei vor, dass ihre Analysen stark von Verkaufsinteressen getrieben sind.

Ein Hersteller prognostiziert, was künftig möglich wird, die Feindseite setzt es um, der Hersteller hat bereits das Gegenmittel zur Hand. Die Engländer sagen dazu »self fulfilling prophecy«.

Ist die scharfe Kritik angebracht? Mitnichten, denn es ist immer besser zu wissen, was theoretisch möglich wäre, und bereits die Gegenmittel in der Hand zu haben, als komplett überrascht zu werden. Außerdem liegen die Hersteller keineswegs jedes Mal goldrichtig. Bestes Beispiel ist das Proof-of-Concept für Malware auf Handhelds. Bereits vor rund einer halben Dekade hat ein Anbieter bewiesen, dass Smartphones zu Opfern werden können. Die Malware-Gemeinde hat diesen Pfad allerdings hartnäckig ignoriert, weil sie schlicht zu wenig Opfer vermutete. Erst jetzt, da immer mehr Privat- und Businessanwender diese Geräte nutzen, sind sie ein interessantes Ziel geworden.

Ähnlich ist die Ausgangslage bei anderen Kommunikationsdiensten wie Skype oder Instant-Messaging (IM). Je mehr Benutzer sie verwenden, desto mehr Sogwirkung entfalten diese Anwendungen. Dass die Gefahr gerade bei IM ihr Dasein als theoretisches Hirngespinst hinter sich gelassen hat, zeigt ein Fall bei Reuters. Die Agentur musste ihren IM-Dienst komplett ausschalten, weil ein Wurm ihn als Trägermedium missbrauchte. Die Real-World Labs haben daher drei Security-Appliances getestet (s. Seite 34), die von sich behaupten, den IM-Dienst vor all den Schädlingen zu säubern.

Die diesjährige Cebit wird, wie die Threat-Reports zahlreicher Anti-Malware-Anbieter, daneben die Gefahr für Mobile-Clients in den Vordergrund stellen. Denn das ist auch eine »self fulfilling prophecy«: Autoren von Malicious-Code werden jeden Pfad, an dessen Ende sie eine signifikante Zahl von Opfern vermuten, für ihre Zwecke missbrauchen.

Ihr Michael Piontek