Kommentar: Behördliches Versagen Wenn auf Sicherheitswarnungen kein Knall folgt

Anbieter zum Thema

A-H-S

bb-net media GmbH

WatchGuard Technologies GmbH

Alle, die jetzt glauben, es wäre der gefühlt 1.000.000te Artikel zu Corona, den muss ich leider enttäuschen. Denn auch wenn es der Politik und der Wirtschaft gerade sehr gelegen kommt von den eigentlichen Problemen abzulenken, geht nicht alles im medialen Virustrommelfeuer unter.

Ich bin selber Mac-User und nutze seit vielen Jahren auch das iPhone und iPad. Ganz wie ein Konzern sich das wünscht, bin ich im Apple-Universum zu Hause. Auch viele meiner Kunden nutzten in Ihren Firmen iPhones und iPads. Die Produkte laufen stabil und haben eine – für IT-Produkte – lange Laufzeit. Der hohe Preis der Produkte relativiert sich so. Ein weiterer, in der heutigen Zeit nicht unwichtiger Punkt war die gefühlte Sicherheit im Apple-Universum. Während Windows schon seit vielen Jahren mit schwerwiegenden Sicherheitsproblemen und Angriffen zu tun hat, war es bei Apple recht entspannt. In grauer Vorzeit sicherlich auch der im Verhältnis zu Windows geringen Verbreitung geschuldet, gilt dies für die neuere Zeit sicherlich nicht mehr, besonders im Bereich iPhone und iPad.

Beidseitiges Vertrauen

Ich verfolge seit langer Zeit den Ansatz, dass der beste Security-Schutz immer noch beim Kunden vor dem Monitor sitzt. Der geschulte Mitarbeiter, der nicht jedes Attachment ohne nachzudenken öffnet oder mich im Zweifelsfall vorher kontaktiert, verhindert mehr als jeder Virenschutz und jede Firewall. Keine in letzter Zeit propagierte KI kann zum heutigen Zeitpunkt den gesunden Menschenverstand ersetzen. Diese Methodik erfordert allerdings auch ein gewisses Maß an Vertrauen in beide Richtungen. Das heißt, dass ich den Kunden nicht mit Nebensächlichkeiten belästige oder die Warnfrequenz auf Nerv-Niveau erhöhe. Somit weiß der Kunde eine Warnung auch als Wichtig einzustufen und hoffentlich sein Verhalten anzupassen.

Dann kam Ende April die Meldung in den Medien über eine neue, brandgefährliche Lücke im Mail-System von iOS 12/13. Bei genauerer Durchsicht erschien die Lücke wirklich sehr gefährlich, da sich der Schadcode unter iOS 13 allein durch das Anschauen der Mail aktivieren würde. Dies hatte natürlich eine neue Qualität an Bedrohlichkeit, denn bisher war dafür immer noch eine Interaktion mit der E-Mail nötig. Als dann noch die entsprechende Warnung über das BSI verbreitet wurde, gingen bei mir alle Alarmglocken an. Allerdings waren die behördlich empfohlenen Workarounds nicht wirklich praktikabel. Am Ende lief es immer darauf hinaus, das E-Mail-System im iOS abzuschalten. Dieser Shutdown würde jedoch einen erheblichen Einfluss auf den normalen Workflow mit den Geräten bei meinen Kunden bedeuten. Keine gern gesehene Lösung also. Da es sich aber um eine so schwerwiegende, akute Lücke handelte, wird Apple sicher schnellstens einen Patch bereitstellen, dachte ich mir. So entschloss ich mich eine Rundmail mit Handlungsanweisungen an meine Kunden zu verschicken. Somit hatte ich von meiner Seite alles getan, um Schaden von meinen Kunden abzuwenden. Allerdings um den Preis der E-Mail-Isolation auf ihren Mobilgeräten.

Was passiert, wenn nichts passiert?

Von diesem Tag an wartete ich auf den Patch von Apple und weitere Berichte über massenhafte Ausnutzung der Lücke bei all den ungepatchten iOS-Geräten dieser Welt. Die Zeit verging und es passierte genau gar nichts. Keine Täglichen Berichte des BSI zur Katastrophenlage mit der Zahl der infizierten iPhones und der gehackten Promi-Accounts. Auf meinen Systemen keine verdächtigen Mails in den Postfächern. Auch hielt sich der mediale Hype in Grenzen. Nach ein paar weiteren Tagen mit demselben Ergebnis schrieb ich folgende Mail an die Pressestelle des BSI:

„…in meiner Rolle als Consultant habe ich nach dem 24.4.2020 meine Kunden vor der Lücke gewarnt. Die darauf folgenden Maßnahmen führten natürlich zu starken Nutzungseinschränkungen. Dies nehmen meine Kunden nur hin, wenn wirklich eine Gefahr besteht. Leider ist in den letzten Tagen keine Meldung mehr zu der Lücke aufgetaucht. Wieso reagiert Apple so langsam? Bei so ultrakritischen Lücken müsste es doch auch schon eine weltweite Welle von Angriffen auf die ungepatchte Lücke geben? Auch hier gibt es keine Meldungen. Wenn ich solche Warnungen verschicke, erwarte ich eine reale Gefahr. Passiert jetzt nichts, mache ich mich unglaubwürdig. Meine Kunden warten nicht auf eine ominöse zweite Welle. Noch schlimmer ist es, dass meine Kunden auf weitere Meldungen von mir nicht mehr so regieren wie bisher und die Situation damit bei einer wirklichen Gefahr außer Kontrolle gerät.“

Hier die Antwort vom BSI vom 6.5.2020:

„…haben Sie vielen Dank für Ihre Anfrage.
Insbesondere Fragen der technischen Umsetzung eines auf der Schwachstelle des iOS-Mailclients beruhenden Angriffs sind technisch sehr komplex. Über bestimmte entscheidende Informationen zur Klärung des Sachverhalts verfügt alleine das verantwortliche Unternehmen Apple. Das BSI führt seine weiteren Untersuchungen daher vor allem im Zuge der gut etablierten direkten Zusammenarbeit mit dem Apple-Konzern durch. Wir arbeiten gegenwärtig daran, unsere gemeinsame Einschätzung des Schadpotenzials und möglicher eingetretener Schadwirkungen der Sicherheitslücke zu verfeinern.“

Die Konsequenz

Aus dieser Antwort schließe ich zwei Dinge:

1. Das BSI verlässt sich scheinbar auf Sekundärinformationen und schickt aus meiner Sicht sehr leichtfertig Meldungen heraus, die sowohl meine Kunden in ihrer Arbeit als auch mein Verhältnis zum Kunden beeinflussen. Wenn eine Institution mit behördengleichem Auftreten Informationen weitergibt, gehört ein hohes Maß an Verantwortung dazu. Ich kann daraus wohl nur schließen, dass im BSI gar keine Experten sitzen, die eine Information verifizieren können. Wie will das BSI denn dann den Positivfall testen. Was ist, wenn Apple die Lücke gar nicht geschlossen hat? Wie wollen sie das überprüfen? Sie ordnen quasi einen Mail-Shutdown für Mobilgeräte an, und dann war es nichts als heiße Luft. Wieso haben sie Apple nicht vor der Veröffentlichung kontaktiert und um eine Einschätzung gebeten. Oder sind ihre Verbindungen nicht so gut und auch sie erhalten aus dem Hause Apple noch nicht mal einen Kommentar?

2. Ich werde in Zukunft noch vorsichtiger sein, bevor ich eine meiner seltenen Warnungen verschicke. Denn für mich ist es schon sehr peinlich, wenn ich so ein Fass aufmache und dann kommt nichts. Wie ich in meiner E-Mail an das BSI bereits geschrieben habe, beruht ein Teil meines Erfolges auf der Vertrauensbasis zum Kunden. Wenn ich jetzt Katastrophen herbeirede, die aber nie stattfinden schwächt dies meine Position erheblich.

Wir alle sehen gerade im realen Leben, wie sehr sich Menschen durch Angst und Misstrauen beeinflussen lassen und man sich auf der Suche nach verlässlichen Informationen im medialen Nirwana verläuft. Jeder will Experte sein, zig Meinungen und Interessengruppen und Lobbyisten, die mit uns ihr eigenes Süppchen kochen wollen. Ich erwarte vom BSI geprüfte Informationen zu eventuellen Gefahren und eine kompetente Einschätzung der Situation, die nicht auf Hörensagen beruht. Oder zumindest die Kennzeichnung der Artikel als Eigenprodukt oder Info aus der Computerbild. So werde ich in der Zukunft besser differenzieren können welcher Verschwörungstheorie ich folge. Schon kurz nach der Warnung des BSI tauchten im Netz überall Zweifel an dem Gefahrenpotenzial auf. Wäre nicht ab da wenigstens eine Überprüfung der eigenen Position angebracht gewesen? Aber erst Ende Mai hat das BSI seine Aussage angepasst. Wenn ich für mich nun das große Bild betrachte, wird mir ganz unwohl, wenn ich davon ausgehe, dass das BSI mit seinen Aussagen die strategische Richtung unserer Digitalpolitik mit beeinflusst.

(ID:46639535)