Softwaresicherheit ist wie im Wilden Westen (und das wird uns noch teuer zu stehen kommen)

Ursprünglich veröffentlicht in CSO Online

Als (halbpensionierter) ethischer Hacker, Sicherheitsexperte und Computer-Geek durch und durch liegt mir Technologie sehr am Herzen. Ich interessiere mich dafür, wie sie entwickelt wurde, was sie bewirkt und wie sie unser Leben in bestimmten Bereichen verbessern oder effizienter gestalten kann. Ich schaue ständig „unter die Motorhaube“ von Geräten und sehe dabei einige der besten (und schlechtesten) Beispiele für Programmcode. Kürzlich habe ich mir angesehen, wie meine Klimaanlage per Android-App ferngesteuert werden konnte (man stelle sich meine Überraschung vor, als ich feststellte, dass jeder im WLAN-Netzwerk das Ding ohne jegliche Authentifizierung steuern konnte).

Softwaresicherheit ist für mich immer ein zentrales Thema, ebenso wie die reale Gefahr, die von unserem zunehmend digitalen Lebensstil geprägt vom Teilen persönlicher Informationen ausgeht. Schließlich bewegen wir uns in einem weitgehend unregulierten, unüberwachten und geflissentlich ignorierten Terrain. Wir befinden uns im Wilden Westen.

Als Gesellschaft schauen wir nicht unter die Motorhaube der Technologie, die wir täglich nutzen. Obwohl beliebte und hochgelobte TV-Serien wie Mr. Robot das allgemeine Bewusstsein schärfen, denken wir nicht sicherheitsorientiert... Tatsächlich haben die meisten von uns keine Ahnung, wie sicher die Software in der Vielzahl der Anwendungen, Dienste und zunehmend vernetzten Dinge ist, die wir kaufen und nutzen. Es ist nicht einmal so, dass wir ihnen blind vertrauen – wir denken einfach überhaupt nicht darüber nach.

Sony PlayStation Network (PSN), Ticketmaster, Yahoo!, Facebook, Target: Jedes einzelne dieser weit verbreiteten Unternehmen war bereits Opfer einer Datenpanne. Ihre Software-Schwachstellen wurden ausgenutzt und Millionen von Kundendatensätzen wurden offengelegt. Diese Beispiele stellen nur einen Bruchteil der weltweiten Sicherheitsverletzungen der letzten zehn Jahre dar. Sie sind eine kostspielige Folge mangelhafter Softwaresicherheit, die es Kriminellen ermöglicht, unsere wertvollen Informationen zu stehlen.

Wenn die meisten Menschen an Datenpannen denken, denken sie an Sicherheitsverletzungen von Informationen. Sie werden als Albtraum für das betroffene Unternehmen und als lästig für diejenigen verstanden, deren persönliche Daten betroffen sind, aber mal ehrlich: Was ist schon dabei? Wenn Sicherheit weiterhin ignoriert wird, sind die Folgen dann wirklich so gravierend? Bisher ist nichts wirklich Schlimmes passiert – Datenpannen haben zwar schwerwiegende Auswirkungen auf die verantwortlichen Unternehmen, aber das ist doch deren Problem, oder? Sie verlieren Geschäfte, sie verlieren das Vertrauen der Verbraucher; letztendlich ist es ihre Aufgabe, das zu regeln und für den Schaden aufzukommen.

Softwaresicherheit sollte für jedes Unternehmen Priorität haben.

Es gibt einen recht einfachen Grund, warum Softwaresicherheit nicht das Hauptanliegen jedes Unternehmens mit einem Entwicklungsteam ist: Es sind noch nicht genug Menschen zu Schaden gekommen und das Wissen über die Risiken ist noch nicht weit genug verbreitet.

Makaber? Vielleicht. Aber es ist die bittere Wahrheit. Regulierung, Baustandards und gesetzgeberische Aufmerksamkeit (etwa durch Regierungsbehörden) entstehen erst, wenn es echte menschliche Opfer gibt.

Nehmen wir zum Beispiel eine Brücke. Bauingenieure (ein Berufszweig, der Hunderte von Jahren alt ist) betrachten Sicherheit als Kernaspekt beim Bau einer Brücke. Ihr Ansatz geht weit über Ästhetik und grundlegende Funktionalität hinaus. Von jeder gebauten Brücke wird erwartet, dass sie strenge Sicherheitsvorschriften einhält, wobei sowohl das Bauingenieurwesen als auch die Gesellschaft im Laufe der Zeit gelernt haben, ein hohes Maß an Sicherheit zu erwarten. Eine Brücke, die heute nicht den Sicherheitsanforderungen entspricht, gilt als gefährlich und unbrauchbar. Dies ist eine Entwicklung, die wir in der Softwareentwicklung noch vor uns haben.

Als moderneres Beispiel werfen wir einen Blick auf die Spielzeugindustrie. In den 1950er Jahren gab es einen riesigen Anstieg bei der Produktion und dem Verkauf von Spielzeug dank des Babybooms nach dem Krieg. Interessanterweise stieg in dieser Zeit auch die Zahl der Notaufnahmebesuche aufgrund von Spielzeugunfällen. Spielzeugpfeile verursachten Augenverletzungen, Kleinteile (und abnehmbare Teile von größerem Spielzeug) wurden verschluckt, und Spielzeugöfen, die an kleine Mädchen vermarktet wurden, konnten höhere Temperaturen erreichen als normale Haushaltsöfen.

Es war eine Art „Wilder Westen“, mit kaum Regulierung, abgesehen von einigen wenigen isolierten Verboten und Produktrückrufen in den schlimmsten Fällen. Spielzeughersteller konnten im Grunde produzieren, was sie wollten, wobei Sicherheitsbedenken meist erst dann geäußert wurden, nachdem bereits mehrere Vorfälle gemeldet worden waren. Erst als Gesetze wie der Toy Safety Act von Richard Nixon aus dem Jahr 1969 verabschiedet wurden, wurden die Prüfung und das anschließende Verbot gefährlicher Spielzeuge zum Standard – in den USA und weltweit. Auch wenn Unfälle immer passieren werden, verfolgt die Spielzeugherstellung heute im Allgemeinen eine „Sicherheit zuerst“-Politik, und unsere Kinder sind weitaus weniger gefährdet.

In der Softwaresicherheit befinden wir uns derzeit im Wilden Westen. Abgesehen von offensichtlichen Gesetzen und Vorschriften zum Datenschutz (insbesondere in letzter Zeit durch die DSGVO) und zum Schutz von Kundendaten sowie der gesetzlichen Meldepflicht bei Datenpannen in einigen Ländern, wird in der Wirtschaft oder der Öffentlichkeit kaum über das Sicherheitsniveau gesprochen, das in Software integriert ist. Selbst diese Gesetze beziehen sich eher auf die Verantwortung des Unternehmens als auf die Software selbst oder die Einhaltung eines verbindlichen Sicherheitsstandards.

Wir werden dort hinkommen, aber es erfordert möglicherweise erst eine Spur der Verwüstung.

Gartner schätzt, dass bis 2020 8,4 Milliarden internetfähige Geräte im Einsatz sein werden; eine Zahl, die einen Anstieg von 31 Prozent gegenüber 2016 darstellt. Dazu gehören Unterhaltungselektronik sowie medizinische Geräte und branchenspezifische Ausrüstung. Das sind verdammt viele Möglichkeiten für einen Hacker.

Stellen Sie sich vor, die Software eines Herzschrittmachers ist unsicher. Ein Hacker könnte eindringen und potenziell das Herz seines Opfers zum Stillstand bringen (Sie halten das für lächerlich? Ärzte deaktivierten das WLAN in Dick Cheneys Herzschrittmacher, um ein mögliches Attentat durch Hacking zu verhindern). Eine vernetzte Mikrowelle oder ein Wasserkocher könnten aus der Ferne zur Explosion gebracht werden (zusammen mit allen möglichen Geräten des Internets der Dinge, die wir in unseren Häusern nutzen), oder bei einem vernetzten Elektroauto könnten die Bremsen deaktiviert werden. Das mag wie ein weit hergeholter Hollywood-Actionfilm klingen, aber wenn die Software eines dieser fortschrittlichen vernetzten Geräte gehackt werden kann, stehen wir tatsächlich vor einer potenziellen Katastrophe – genau wie bei den Bedrohungen, die wir bereits im Zusammenhang mit den explosiven Auswirkungen von Cyberangriffen in der Öl- und Gasindustrie behandelt haben.

Wir können den verheerenden Folgen böswilliger Hackerangriffe zuvorkommen, während unser Leben immer abhängiger von digitalen Systemen wird. Alles beginnt damit, Entwickler stärker für sicheres Programmieren zu begeistern und ernsthaft eine starke Sicherheitsmentalität und -kultur in Entwicklungsteams zu etablieren.

Hier beginnt Ihre Software-Revolution. Die Bankenbranche geht voran und setzt im Kampf gegen fehlerhaften Code auf spielerische Schulungen – ein innovativer Ansatz, der herkömmliche, langweilige Trainings auf den Kopf stellt. Tatsächlich nutzen die sechs größten Banken Australiens diese Methode bereits, um das Sicherheitsbewusstsein ihrer Entwickler zu schärfen. Erfahren Sie, wie unser Kunde, die IAG Group, mit seinem erstklassigen Turnier neue Maßstäbe gesetzt hat.