Am 11. August dieses Jahres nahm die US-Cybersicherheitsbehörde eine Schwachstelle in Ciscos VPN-Software in ihren Katalog der aktiv ausgenutzten Lücken auf. Ein einziger Aufruf von aussen, ohne Anmeldung, genügt, um ein betroffenes Gerät zum Neustart zu bringen. Betroffen sind verbreitete Firewall- und VPN-Systeme, einen Behelf gibt es nicht — nur das Update. Die Frist, die US-Bundesbehörden für das Einspielen gesetzt bekamen, betrug drei Tage.
Drei Tage. Im selben Sommer erschien der jährliche Auswertungsbericht von Verizon zu weltweit über 22'000 bestätigten Sicherheitsvorfällen. Er nennt eine andere Zahl: 43 Tage. So lange dauert es im Median, bis eine Organisation eine bekannte Schwachstelle vollständig geschlossen hat.
Zwischen diesen beiden Zahlen liegt das Problem, um das es hier geht.
Was sich verschoben hat
Jahrelang war die Antwort auf die Frage, wie Angreifer in ein Netz gelangen, dieselbe: über Zugangsdaten. Gestohlen, erraten, abgephisht. Deshalb drehte sich fast alles um Passwörter und Zwei-Faktor-Authentifizierung — zu Recht.
Diese Antwort stimmt nicht mehr. Nach der aktuellen Auswertung erfolgte in 31 Prozent der Fälle der erste Zugang über eine ungepatchte Schwachstelle. Der Missbrauch von Zugangsdaten liegt bei 13 Prozent. Das Verhältnis hat sich also nicht leicht verschoben, sondern umgedreht.
Das heisst nicht, dass Passwörter unwichtig geworden wären. Es heisst, dass daneben ein zweiter Weg entstanden ist, der inzwischen breiter ist — und der anders funktioniert. Ein gestohlenes Passwort braucht jemanden, der darauf hereinfällt. Eine ungepatchte Lücke braucht niemanden. Sie wird von Systemen gefunden, die das Internet automatisiert absuchen, und sie steht so lange offen, bis jemand das Update einspielt.
Warum ausgerechnet die Geräte am Rand
Wenn Schwachstellen der Weg sind, dann sind die interessantesten Ziele jene Systeme, die zwei Eigenschaften gleichzeitig haben: Sie sind vom Internet aus erreichbar, und sie stehen an einer Stelle, von der aus es weitergeht.
Das trifft auf genau die Geräte zu, die den Netzrand bilden. Die Firewall. Das VPN-Gateway, über das Mitarbeitende aus dem Homeoffice hereinkommen. Der Router, das NAS mit Fernzugriff, die Fernwartungsschnittstelle der Telefonanlage. Sie stehen per Definition offen — das ist ihre Aufgabe. Und wer sie übernimmt, steht nicht irgendwo im Netz, sondern an der Tür, durch die alles läuft.
Dazu kommt eine unangenehme Eigenschaft dieser Geräte: Sie fallen nicht auf. Ein Server, der nicht mehr will, meldet sich. Eine Firewall, die seit vier Jahren ihre Arbeit tut, meldet sich nie. Genau das ist der Grund, warum sie so oft veraltet ist — nicht Nachlässigkeit, sondern die Abwesenheit jedes Anlasses, hinzusehen.
Es wird nicht besser, sondern langsamer
Die zweite Zahl aus demselben Bericht ist die unangenehmere. Von den Schwachstellen, die als nachweislich ausgenutzt geführt werden — also der Kategorie, bei der es keine Diskussion darüber gibt, ob sie relevant sind —, wurden im vergangenen Jahr 26 Prozent vollständig behoben. Im Jahr davor waren es 38 Prozent.
Die Zeit bis zum Patch ist im selben Zeitraum von 32 auf 43 Tage gestiegen. Die Zahl der kritischen Lücken je Organisation liegt im Median um die Hälfte höher als zuvor.
Alle drei Werte zeigen in dieselbe Richtung: Es kommt mehr herein, als abgearbeitet wird. Das ist keine Frage des guten Willens. Es ist eine Frage der Kapazität — und in einem KMU ohne eigene IT-Abteilung ist diese Kapazität schnell erschöpft.
Was das für ein KMU heisst
Der erste Reflex lautet oft: Das betrifft Konzerne mit grossen Netzen. Er trifft nicht zu. Ein Betrieb mit zwölf Mitarbeitenden hat heute in der Regel eine Firewall, einen VPN-Zugang fürs Homeoffice, vielleicht ein NAS mit Fernzugriff. Das sind dieselben Gerätekategorien, um die es oben geht — nur in kleiner.
Der Unterschied liegt anderswo: Im Konzern gibt es jemanden, dessen Aufgabe es ist, den Katalog der ausgenutzten Schwachstellen zu verfolgen. Im KMU gibt es diese Person nicht. Dort steht das Gerät im Technikraum und läuft. Bis es nicht mehr läuft, oder bis jemand anderes es benutzt.
Was jetzt tatsächlich hilft
Schreiben Sie auf, was am Netzrand steht. Eine Liste auf einer halben Seite genügt: Gerät, Hersteller, Modell, aktuelle Firmware-Version, wer sie einspielt. Wer diese Liste nicht hat, kann die Frage «sind wir betroffen» bei der nächsten Meldung nicht beantworten — und muss dann jedes Mal von vorn anfangen.
Abonnieren Sie die Sicherheitsmeldungen Ihrer Hersteller. Jeder ernsthafte Anbieter von Firewalls und VPN-Systemen betreibt eine Mailingliste für Sicherheitshinweise. Das ist der einzige Kanal, der Sie erreicht, bevor es in der Zeitung steht.
Trennen Sie die zwei Arten von Updates. Ein Funktionsupdate kann warten, bis es passt. Ein Sicherheitsupdate für ein Gerät, das vom Internet aus erreichbar ist, kann das nicht. Wer beides gleich behandelt, behandelt beides falsch.
Fragen Sie, was wirklich offen stehen muss. Viele Fernzugänge sind historisch gewachsen: einmal für einen Lieferanten geöffnet, nie wieder geschlossen. Was zu ist, kann nicht angegriffen werden — das ist die einzige Massnahme in dieser Liste, die nichts kostet und dauerhaft wirkt.
Klären Sie, wer zuständig ist. Das ist die Frage, an der es in der Praxis am häufigsten scheitert. Nicht weil niemand könnte, sondern weil alle annehmen, jemand anderes tue es.
Was wir abdecken — und was nicht
Hier gehört eine Klarstellung hin. Für Websites und Server, die bei uns laufen, spielen wir Sicherheitsupdates ein und überwachen, ob die Systeme erreichbar und unverändert sind. Das ist Teil des Wartungsvertrags mit Monitoring, und dort gilt der obige Befund für uns genauso: Wir verfolgen die Meldungen, damit Sie es nicht müssen.
Die Firewall in Ihrem Büro betreiben wir nicht. Sie steht in Ihrem Netz, nicht in unserem, und wir würden Ihnen einen schlechten Dienst erweisen, wenn wir diesen Unterschied verwischen. Was wir tun können, ist Ihnen sagen, welche Fragen Sie Ihrem IT-Partner stellen sollten — und welche Geräte auf die Liste gehören.
Wenn Sie einen Server bei uns betreiben und unsicher sind, welche Dienste darauf von aussen erreichbar sind: Das schauen wir uns an. Es ist eine überschaubare Frage mit einer klaren Antwort, und sie beantwortet sich am besten, bevor jemand anderes sie beantwortet.