Nach dem PHP-Schock: Droht uns jetzt eine Welle neuer Cyber-GAUs?

TTS-Player überspringen↵Artikel weiterlesen

Die aktuelle schwere PHP-Sicherheitslücke hat gezeigt, wie ein jahrelang unbemerkter Fehler in einer weltweit verbreiteten Software plötzlich für Alarm sorgen kann. Behörden nahmen Internetangebote vom Netz, Unternehmen mussten im Eiltempo Sicherheitsupdates installieren. Doch war das ein außergewöhnlicher Einzelfall oder müssen wir uns auf weitere Cyber-GAUs dieser Größenordnung einstellen?

Niemand kann seriös vorhersagen, wann die nächste vergleichbare Sicherheitslücke auftaucht. Klar ist aber: Die Suche nach Programmierfehlern verändert sich. Künstliche Intelligenz kann große Mengen Programmcode untersuchen und Sicherheitsexperten dabei unterstützen, Schwachstellen wesentlich schneller aufzuspüren. Das hilft den Verteidigern, könnte aber auch Angreifer schneller machen.

KI findet Fehler, die Menschen übersehen

Große Computerprogramme bestehen teilweise aus Millionen Zeilen Code, werden über viele Jahre weiterentwickelt und mit anderen Systemen verbunden. Dabei können Fehler entstehen, die lange Zeit niemand bemerkt. Manche sind harmlos, andere können Hackern einen Zugang ermöglichen.

Genau hier kommt KI ins Spiel. Sie kann verdächtige Stellen in großen Code-Mengen aufspüren, die Menschen möglicherweise übersehen. Dabei erzeugt sie diese Sicherheitslücken nicht, sondern hilft, bereits vorhandene Fehler zu finden. Wenn künftig mehr Schwachstellen entdeckt werden, heißt das deshalb nicht automatisch, dass auch mehr Programmierfehler entstehen. Einige davon könnten bereits seit Jahren unbemerkt in der Software stecken.

Erik Heyland vom IT-Sicherheitsinstitut AV-TEST hält weitere Funde von ähnlicher Tragweite für durchaus möglich. Zu BILD sagt er: „KI kann Sicherheitslücken schneller aufspüren – zum Vorteil der Verteidiger, aber auch potenziell der Angreifer.“

Mehr entdeckte Schwachstellen müssen deshalb zunächst keine schlechte Nachricht sein. Denn solange ein Fehler verborgen bleibt, kann ihn der Hersteller auch nicht reparieren. Findet dagegen ein Sicherheitsforscher die Lücke zuerst, kann ein Update entwickelt werden, bevor Kriminelle sie ausnutzen.

Doch auch Hacker können KI einsetzen

Genau darin liegt allerdings die Kehrseite: Die gleichen Fähigkeiten, die Sicherheitsexperten unterstützen, stehen grundsätzlich auch Angreifern zur Verfügung. KI kann ihnen helfen, Programmcode schneller zu untersuchen oder einzelne Schritte bei der Entwicklung eines Angriffs zu beschleunigen. Damit wird aus dem Kampf gegen Hacker immer stärker ein Wettlauf.

Wird eine kritische Sicherheitslücke entdeckt, müssen Entwickler den Fehler analysieren, beseitigen und möglichst schnell ein Update veröffentlichen. Unternehmen und Behörden wiederum müssen herausfinden, welche ihrer Systeme betroffen sind, und diese aktualisieren. Währenddessen versuchen Kriminelle, dieselbe Schwachstelle zu verstehen und für Angriffe auszunutzen.

KI kann dieses Rennen auf beiden Seiten beschleunigen. Bei besonders gefährlichen und weit verbreiteten Lücken wird es deshalb immer wichtiger, wer schneller ist: der Betreiber mit seinem Sicherheitsupdate oder der Angreifer mit einer funktionierenden Angriffsmethode.

Eine Sicherheitslücke ist noch kein Hackerangriff

Trotzdem führt nicht jede entdeckte Schwachstelle automatisch zum Cyber-GAU. Entscheidend ist unter anderem, wie weit die betroffene Software verbreitet ist, wie leicht sich der Fehler ausnutzen lässt und wie schnell ein Sicherheitsupdate bereitsteht.

Das zeigt auch der aktuelle PHP-Fall. Die Lücken gelten als kritisch, weil Angreifer unter bestimmten Voraussetzungen fremde Befehle auf einem Webserver ausführen könnten. Das bedeutet jedoch nicht, dass sich automatisch jeder PHP-Server übernehmen lässt.

Auch für Verbraucher ist diese Unterscheidung wichtig. Der Besuch einer betroffenen Website bedeutet nicht automatisch, dass das eigene Gerät infiziert wird. Olaf Pursche, Leiter der eco-Kompetenzgruppe Sicherheit und Inhaber von Pursche Tactical, sagt zu BILD: „Die Schwachstellen können Angriffe auf Server ermöglichen, ohne dass sich der Angreifer vorher anmelden muss. Das bedeutet aber nicht, dass automatisch das Smartphone oder der Computer jedes Besuchers infiziert wird. Das unmittelbare Problem liegt zunächst beim Betreiber der betroffenen Website.“

Updates schließen die Lücke, aber nicht jedes Risiko

Für die bekannten PHP-Lücken gibt es inzwischen Sicherheitsupdates. Damit ist die Gefahr allerdings nicht automatisch vorbei. Betreiber müssen die Aktualisierungen installieren und zugleich prüfen, ob Angreifer möglicherweise schon vorher Zugriff auf ihre Systeme erlangt haben.

„Die Updates schließen die bekannten Sicherheitslücken, aber nicht automatisch die Folgen möglicher Angriffe“, so Erik Heyland.

Für Verbraucher besteht deshalb kein Grund zur Panik. Für Betreiber dagegen zählt vor allem Geschwindigkeit: Je schneller eine kritische Lücke geschlossen wird, desto kleiner wird das Zeitfenster, in dem Angreifer sie ausnutzen können.

Die wahre Gefahr liegt im Tempo

Genau darin könnte die eigentliche Lehre aus dem PHP-Fall liegen. Künftige Cyber-Krisen müssen nicht dadurch gefährlicher werden, dass KI plötzlich massenhaft neue Programmierfehler erzeugt. Sie könnten gefährlicher werden, weil vorhandene Fehler schneller entdeckt und anschließend sowohl von Verteidigern als auch von Angreifern analysiert werden.

Ein bislang verborgener Fehler kommt ans Licht, und innerhalb kürzester Zeit beginnt ein Wettlauf: Die einen wollen die Lücke schließen, die anderen wollen sie ausnutzen.

Damit entscheidet am Ende immer häufiger nicht nur, wie gefährlich eine Sicherheitslücke ist, sondern wer sie zuerst findet und wer danach schneller handelt.