Microsoft: Staaten sollen WannaCry als Weckruf sehen

Das Wochenende war von WannaCry überschattet, einer Ransomware, die Dateien zigtausender Rechner verschlüsselte und ein Lösegeld forderte. Die ausgenutzte Lücke stammte dabei von der NSA (gestohlen, nicht von der NSA veröffentlicht) und wurde von Microsoft bereits im März gestopft. Wie das Wochenende nun aber zeigte, hat dies nicht ausgereicht, auch heute werden noch Rechner mit der Ransomware lahmgelegt, außerdem ist eine weitere Angriffswelle mit abgeändertem Code nicht auszuschließen.

Microsoft ging sogar so weit, dass eigentlich nicht mehr unterstützte Systeme wie Windows XP einen Patch zur Verfügung gestellt bekommen haben. Microsoft richtet sich nun noch einmal an die Regierungen der Welt, die diese Attacke als Weckruf sehen sollen. Vor allem auf staatlicher Seite. Denn anstatt die Nutzer zu schützen, wie es eigentlich Aufgabe eines Staates ist, werden hier Lücken zu Spionagezwecken zurückgehalten, die auch Nutzer betreffen können, die nicht Ziel von staatlichen Aktionen sind.

Microsoft ist der Meinung, dass Staat, der Technik-Sektor und die Nutzer zusammenarbeiten müssen, um sich gegen solche Angriffe zu schützen. Microsoft selbst beschäftigt 3500 Sicherheitsforscher, offenbar nicht genug, wenn solche Lücken erst durch Leaks an das Tageslicht kommen. Aber den schwarzen Peter kann hier getrost hin- und herschieben. IT-Admins, die Systeme nicht aktuell halten; Staaten, die Lücken nicht veröffentlichen; und selbst Microsoft könnte man nicht genügend „Sicherheitsforschung“ unterstellen.

Was allerdings an Microsofts Weckruf schon wieder gefährlich klingt, ist der Ruf nach Zusammenarbeit mit den Staaten. Ja, man möchte sich gegen Cyberkriminalität schützen, aber wenn diese Cyberkriminalität vom Staat ausgeht – wies es bei WannaCry durchaus der Fall ist, ist halt auch keinem geholfen. Man kann hier Staaten und Kriminelle durchaus in eine Schublade packen, denn beide haben zwar unterschiedliche Intentionen, aber das gleiche Ziel: Einen Eingriff in das System des Nutzers.

Deutsche Politiker meldeten sich natürlich auch direkt zu Wort. Verkehrsminister Alexander Dobrindt sieht dringenden Bedarf an einer Erhöhung des IT-Sicherheitsniveaus zum Schutz wichtiger Infrastrukturen:

„Das betrifft die Energie- und Wasserversorgung genauso wie Verkehrsinfrastruktur oder das Gesundheits- und Finanzwesen.“

SPD-IT-Experte Lars Klingbeil (der Titel ist echt schon fast ironisch, wenn man die folgende Aussage betrachtet) möchte gerne eine Ausweitung der Produkthaftung, damit Hersteller zu regelmäßigen Updates gezwungen werden. Was das mit diesem Fall zu tun hat? Gute Frage, es ist ja nicht so, dass keine Updates zur Verfügung standen. Vielleicht hat er das auch mit seinem Android-Smartphone verwechselt, man weiß es nicht.

Ziemlich sicher ist, dass dies nicht der letzte Angriff seiner Art war. Lücken in Systemen wird es immer geben. Am besten schützt man sich durch regelmäßige Updates, zumindest als Privatanwender. Bei Unternehmen ist das nicht immer so einfach, allerdings ist es auch falsch zu sagen, dass es unmöglich ist. Oftmals eine Frage des Geldes und hier wird eindeutig am falschen Ende gespart, wenn Systeme nicht aktuell gehalten werden, nur damit Software XY weiterhin funktioniert.

Gefällt dir der Artikel? Dann teile ihn mit deinen Freunden.

Sascha Ostermaier

Technik-Freund und App-Fan. In den späten 70ern des letzten Jahrtausends geboren und somit viele technische Fortschritte live miterlebt. Vater der weltbesten Tochter (wie wohl jeder Vater) und Immer-Noch-Nicht-Ehemann der besten Frau der Welt. Außerdem zu finden bei Twitter (privater Account mit nicht immer sinnbehafteten Inhalten) und Instagram. PayPal-Kaffeespende an den Autor.

Das könnte dir auch gefallen…

Mit dem Absenden eines Kommentars willigst du unserer Datenschutzerklärung und der Speicherung von dir angegebener, personenbezogener Daten zu.

11 Kommentare

  1. Staaten sollten Kryptowährungen verbieten. Damit wird das Kassieren von Lösegeld plötzlich ganz unheimlich schwierig.

  2. 2ei_4ss9gasnn7hc@byom.de says:

    Staaten sollten Gedanken verbieten. Damit wird das verfassen von unqualifizierten Kommentaren plötzlich ganz unheimlich schwierig.

  3. Das ganze hab ich hier schon am Wochenende geschrieben.
    Nach die Misere will jetzt auch noch Dobrind mitmischen. Dazu kommen noch die Tipps vom BSI. Manchmal ist es besser einfach einmal die Klappe zu halten und nicht auf den Zug zu springen den sie selbst mit verursacht haben. Passt jetzt schön von v.d.L abzulenken mit ihrer Hilfstruppe.

    Aber zurück zum Thema, ursächlich sehe ich die NSA und die Hilfs-Admins in der Pflicht. Auch wenn M$ ein Bug hatte, der auch schon älter war – wurde dieser jedoch zeitnah nach bekannt werden gefixt.

    Die NSA stellte sich selbst als Opfer dar, nachdem sie die Lücke jahrelang genutzt haben um unschuldige abzuhören, was man ja unter Freunden nicht macht. Merke: wenn man betrügt und denn beklaut wird ist das immer noch nicht Rechtens!

    Auch das nicht alle Updates funktionieren sehe ich ein, aber ich setzte die Kenntnisse, Wissen und handeln eines Admins voraus sich mit den updates zu befassen, zu testen und denn im Netzwerk aufzurollen.

    Warum die Netzwerke überhaupt so konzipiert wurden ist mir ebenfalls schleierhaft, auch dort sehe ich ein Versäumnis der Admin gegen die Datensicherheit und Schutz zum Vorteil der Bequemlichkeit!

  4. NanoPolymer says:

    Gerade der letzte Punkt im Artikel beschreibt wohl das eigentliche Problem sehr gut. Habe ich so selber oft genug erlebt. Bei uns in der Firma lief auch ewig ein alter Rechner unter XP für eine alte Software, Klassiker.

    Gerade bei größeren Rechner Farmen werden dann auch mal gerne die Updates deaktiviert, weil es zu aufwendig ist sicherzustellen das nach einem Update auch alles noch sauber läuft. Muss ja erst alles getestet werden oder auch nicht -.-

    @microfox gute Idee xD

  5. Stimmt, irgendjemand sollte 2ei_4ss9gasnn7hc@byom.de das Verfassen von unqualifizierten Kommentaren verbieten.

  6. Christian says:

    Naja, microfox hat schon Recht. Bargeld will man abschaffen weil Terroristen damit Terroristen es schwerer haben, aber kryptowährung bleibt legal? Passt nicht so ganz.

  7. @christian, ganz einfach wie in den USA gesehen, dort würden Bitcoins beschlagnahmt und später per Auktion verkauft – the winner is…..

    Ein Schelm wer böses denkt!

  8. Kann hier natürlich nicht viel sagen, aber bei einem deutschen Konzern, wird IE11 aktiv genutzt um SAP Applikationen nutzen zu können, da deren IT keine Ahnung hat, dort gab es auch schon einen ähnlichen verschlüsselungstrojaner fall.

  9. SAP ist ja auch die deutsche Lager-Universal-Lösung für alle Zwecke. Das wird so hoch gehypt, das viele einfach denken wie toll das ist. Sucht einfach mal nach SAP und NSA und ihr werdet sehen das das die einen die anderen gerne behilflich sind und sogar eine Zweigstelle neben der NSA steht – wie praktisch. Für mich ist es eines der größten deutschen U-Boot, dem alles egal ist, sofern das Geld stimmt – Hauptsache Dividende wir erwirtschaftet!

    Sie ind in viele großen Betrieben vertreten mit ihrer zweitklassigen Software von der Automobilindustrie bis zum TÜV, das nenne ich „Abgreifen deluxe“ das es immer mal Probleme gibt – Zufall???

  10. Für alle die es interessiert, was Uschi’s Cyber-Gurken-Truppe dazu sagt:
    http://www.aktiencheck.de/news/Artikel-Tagesspiegel_Bundeswehr_will_Sicherheitslecks_IT_Systemen_nutzen-7901081

    Und nachher jammern….

  11. „Am besten schützt man sich durch regelmäßige Updates, zumindest als Privatanwender.“
    .. und durch regelmäßige Backups!

Du willst nichts verpassen?
Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den Hauptfeed abonnieren. Alternativ könnt ihr euch via E-Mail über alle neuen Beiträge hier im Blog informieren lassen. Einfach eure E-Mail-Adresse hier eingeben, dann bekommt ihr 1x täglich morgens eine Zusammenstellung. Mit dem Absenden willigst du unserer Datenschutzerklärung und der Speicherung von dir angegebener, personenbezogener Daten zu.