Microsoft: Staaten sollen WannaCry als Weckruf sehen

Das Wochenende war von WannaCry überschattet, einer Ransomware, die Dateien zigtausender Rechner verschlüsselte und ein Lösegeld forderte. Die ausgenutzte Lücke stammte dabei von der NSA (gestohlen, nicht von der NSA veröffentlicht) und wurde von Microsoft bereits im März gestopft. Wie das Wochenende nun aber zeigte, hat dies nicht ausgereicht, auch heute werden noch Rechner mit der Ransomware lahmgelegt, außerdem ist eine weitere Angriffswelle mit abgeändertem Code nicht auszuschließen.

Microsoft ging sogar so weit, dass eigentlich nicht mehr unterstützte Systeme wie Windows XP einen Patch zur Verfügung gestellt bekommen haben. Microsoft richtet sich nun noch einmal an die Regierungen der Welt, die diese Attacke als Weckruf sehen sollen. Vor allem auf staatlicher Seite. Denn anstatt die Nutzer zu schützen, wie es eigentlich Aufgabe eines Staates ist, werden hier Lücken zu Spionagezwecken zurückgehalten, die auch Nutzer betreffen können, die nicht Ziel von staatlichen Aktionen sind.

Microsoft ist der Meinung, dass Staat, der Technik-Sektor und die Nutzer zusammenarbeiten müssen, um sich gegen solche Angriffe zu schützen. Microsoft selbst beschäftigt 3500 Sicherheitsforscher, offenbar nicht genug, wenn solche Lücken erst durch Leaks an das Tageslicht kommen. Aber den schwarzen Peter kann hier getrost hin- und herschieben. IT-Admins, die Systeme nicht aktuell halten; Staaten, die Lücken nicht veröffentlichen; und selbst Microsoft könnte man nicht genügend „Sicherheitsforschung“ unterstellen.

Was allerdings an Microsofts Weckruf schon wieder gefährlich klingt, ist der Ruf nach Zusammenarbeit mit den Staaten. Ja, man möchte sich gegen Cyberkriminalität schützen, aber wenn diese Cyberkriminalität vom Staat ausgeht – wies es bei WannaCry durchaus der Fall ist, ist halt auch keinem geholfen. Man kann hier Staaten und Kriminelle durchaus in eine Schublade packen, denn beide haben zwar unterschiedliche Intentionen, aber das gleiche Ziel: Einen Eingriff in das System des Nutzers.

Deutsche Politiker meldeten sich natürlich auch direkt zu Wort. Verkehrsminister Alexander Dobrindt sieht dringenden Bedarf an einer Erhöhung des IT-Sicherheitsniveaus zum Schutz wichtiger Infrastrukturen:

„Das betrifft die Energie- und Wasserversorgung genauso wie Verkehrsinfrastruktur oder das Gesundheits- und Finanzwesen.“

SPD-IT-Experte Lars Klingbeil (der Titel ist echt schon fast ironisch, wenn man die folgende Aussage betrachtet) möchte gerne eine Ausweitung der Produkthaftung, damit Hersteller zu regelmäßigen Updates gezwungen werden. Was das mit diesem Fall zu tun hat? Gute Frage, es ist ja nicht so, dass keine Updates zur Verfügung standen. Vielleicht hat er das auch mit seinem Android-Smartphone verwechselt, man weiß es nicht.

Ziemlich sicher ist, dass dies nicht der letzte Angriff seiner Art war. Lücken in Systemen wird es immer geben. Am besten schützt man sich durch regelmäßige Updates, zumindest als Privatanwender. Bei Unternehmen ist das nicht immer so einfach, allerdings ist es auch falsch zu sagen, dass es unmöglich ist. Oftmals eine Frage des Geldes und hier wird eindeutig am falschen Ende gespart, wenn Systeme nicht aktuell gehalten werden, nur damit Software XY weiterhin funktioniert.