Am vergangenen Dienstag hat Microsoft seinen monatlichen Schwung Sicherheitsupdates ausgeliefert. Die Zahl darin ist so gross, dass sie zunächst nach einem Tippfehler aussieht.
Je nachdem, wer zählt, sind es 964, 966, 973 oder 974 geschlossene Lücken. Die Abweichungen haben einen harmlosen Grund: Manche Zählungen nehmen Cloud-Dienste und fremde Bausteine dazu, andere nicht. Für die Grössenordnung ist das gleichgültig.
Zum Vergleich: Im Juli waren es 570, im August 400. Es ist der grösste Patch-Dienstag, den es je gab.
Woher die Zahl kommt
Der Grund steht in den meisten Meldungen erst weit unten, und er ist die eigentliche Nachricht: Microsoft hat begonnen, Sicherheitslücken mit einem KI-gestützten System zu suchen.
Das ist keine Überraschung, jedenfalls nicht für Leser dieser Seite. Wir haben im August beschrieben, dass solche Werkzeuge zu mehr und schnelleren Updates führen werden, und Anfang September ergänzt, wer sie bekommt und wer nicht.
Womit wir nicht gerechnet haben, ist das Tempo. Zwischen der Vorhersage und ihrem Beleg lagen achtzehn Tage, und der Beleg fällt kräftiger aus als erwartet: eine Verdoppelung innerhalb eines Monats.
Warum die Zahl für Ihren Betrieb fast nichts bedeutet
Bevor daraus Unruhe entsteht: Diese Zahl ist für einen normalen Betrieb praktisch bedeutungslos, und es lohnt sich zu verstehen, warum.
Sie umfasst das gesamte Angebot eines Konzerns — Cloud-Dienste, Entwicklerwerkzeuge, Serverprodukte, den Browser, Linux-Bausteine, Verwaltungssysteme für Rechenzentren. Ein Handwerksbetrieb mit acht Windows-Arbeitsplätzen und Office ist von einem kleinen Bruchteil davon betroffen, und dieser Bruchteil kommt über die automatische Aktualisierung ohnehin herein.
Das ist wichtig, weil grosse Zahlen eine unangenehme Wirkung haben: Sie lähmen. Wer «fast tausend Lücken» liest, schliesst daraus leicht, dass ohnehin nichts zu machen sei — und tut dann weniger statt mehr. Genau das wäre die falsche Reaktion, denn an der Handlung ändert sich nichts. Automatische Updates an, Neustarts nicht wochenlang aufschieben, fertig.
Die zwei, die zählen
Interessant sind nicht die neunhundert. Interessant sind zwei.
Zwei der geschlossenen Lücken wurden bereits angegriffen, bevor es den Patch gab. Beide erlauben einem Angreifer, der schon auf dem Rechner ist, sich die höchsten Systemrechte zu verschaffen. Eine steckt in einer internen Kommunikationskomponente von Windows; die andere, und das ist die bemerkenswerte, im Windows Update Stack — also ausgerechnet in dem Teil, der Updates einspielt.
Beide sind formal nur als «wichtig» eingestuft, nicht als «kritisch», weil ein Angreifer für sie bereits Zugang zum Rechner braucht. Das klingt beruhigend und ist es nicht. Rechteausweitung ist nie der erste Schritt eines Angriffs, sondern der zweite — und der erste ist der Anhang, den jemand geöffnet hat. Wer nur auf die als «kritisch» eingestuften Lücken schaut, sieht systematisch an dieser Sorte vorbei.
Dass eine davon im Update-Mechanismus selbst sass, ist mehr als eine Anekdote. Wir haben vorgestern über Proxmox geschrieben, wo ein Hersteller eine Lücke schloss, ohne zu bemerken, dass es eine war. Hier ist es die Komponente, der wir das Schliessen aller anderen Lücken anvertrauen. Beides führt zur selben Einsicht: Der Update-Weg ist keine unbeteiligte Instanz, sondern selbst Teil der Angriffsfläche.
Was eine solche Zahl noch aussagt
Und damit zu dem Punkt, der über diesen Monat hinausreicht.
Wir sind gewohnt, die Zahl gemeldeter Sicherheitslücken als Hinweis auf die Qualität einer Software zu lesen. Viele Meldungen, schlechte Software. Wenige Meldungen, saubere Arbeit. Auf dieser Annahme beruhen Anbietervergleiche, Ausschreibungen und manches Bauchgefühl bei der Auswahl.
Diese Annahme trägt nicht mehr.
Wenn die Zahl gefundener Lücken davon abhängt, wie gründlich gesucht wird, misst sie nicht mehr die Software, sondern die Suche. Microsofts Produkte sind über Nacht nicht doppelt so löchrig geworden. Sie waren im August genauso löchrig wie im September — es hat nur niemand hingesehen.
Daraus folgt etwas Unbequemes für die Auswahl von Software und Dienstleistern: Wenige Sicherheitsmeldungen sind kein Gütesiegel. Sie können bedeuten, dass jemand sorgfältig arbeitet. Sie können genauso bedeuten, dass niemand sucht. Zwischen beidem lässt sich von aussen kaum unterscheiden — mit einer Ausnahme: Wer regelmässig meldet, sucht nachweislich. Wer nie meldet, hat das noch nicht bewiesen.
Die brauchbare Frage an einen Anbieter lautet deshalb nicht mehr «Wie viele Lücken hatten Sie?», sondern «Wie finden Sie welche, und wie schnell schliessen Sie sie?»
Was diese Woche zu tun ist
Automatische Updates prüfen, nicht einführen. Die meisten Betriebe haben sie aktiv. Der häufigere Fall ist ein Gerät, das seit Monaten nicht neu gestartet wurde — und ein eingespieltes Update, das erst nach dem Neustart wirkt.
Auf Server gesondert schauen. Im selben Paket steckt eine als kritisch eingestufte Lücke im Windows-DNS-Dienst mit dem Höchstwert 9,8 von 10. Sie wird bisher nicht angegriffen, aber Server werden seltener neu gestartet als Arbeitsplätze, und genau dort bleiben Updates am längsten wirkungslos liegen.
Geräte ohne Support gesondert behandeln. Was keine Updates mehr bekommt, ist von dieser Meldung gar nicht erst berührt — dort bleiben die Lücken einfach offen. Die drei Wege aus dieser Lage haben wir beim Supportende von Office 2021 beschrieben.
Bei den Systemen in unserer Wartung läuft das ohne Zutun. Wenn Sie nicht sicher sind, ob bei Ihnen tatsächlich alles ankommt, was ausgeliefert wird: Das lässt sich in einer Stunde feststellen, und die Antwort ist hinterher eine Tatsache statt einer Annahme.