Cybersecurity: Es gibt keinen Platz für Nachlässigkeiten mehr

Nie zuvor kamen Sicherheitslücken, veraltete Softwarestände und vergessene Abhängigkeiten so schnell ans Licht – und damit in das Visier von Angreifern – wie heute.

KI-gestützte Systeme leiten mittlerweile aus einem veröffentlichten Patch ab, welcher Fehler ursprünglich vorlag, und bauen daraus in kürzester Zeit einen funktionsfähigen Exploit. Anschließend durchforsten sie das Netz automatisiert nach genau jenen Systemen, die diesen Fehler noch in sich tragen und über eine Internetverbindung verfügen. Was früher mit etwas Glück vielleicht noch verborgen blieb, weil niemand systematisch danach suchte und der Aufwand zu hoch war, wird so innerhalb von Stunden sichtbar.

Diese neue Geschwindigkeit im Wettlauf zwischen Angreifern und Verteidigern deckt allerdings nicht nur einzelne Schwachstellen auf, sondern vielmehr ein strukturelles Problem, das viele Unternehmen lange ignorieren konnten: mangelndes Wissen über die eigene Software-Landschaft. Wer nicht genau weiß, welche Bibliotheken, in welcher Version, an welcher Stelle im eigenen Betrieb laufen, geht ein noch höheres Risiko ein als schon zuvor. Das Tempo, in dem heute aus einem Patch ein Angriff wird, hat sich von Wochen auf Stunden verschoben. Was früher als Randnotiz im nächsten Wartungsfenster durchging, entscheidet heute darüber, ob ein Unternehmen zum Ziel von Angriffen wird oder nicht.

Aber, und auch das gehört glücklicherweise zur Wahrheit, diese KI- und Automatisierungs-basierte Tempoverschärfung wirkt nicht nur einseitig zugunsten der Angreifer. Dieselben Analyseverfahren, die aus Patches automatisiert Exploits ableiten, funktionieren ebenso umgekehrt – als Werkzeug, mit dem Unternehmen ihre eigene Infrastruktur systematisch auf genau solche Schwachstellen prüfen können, bevor Angreifer sie finden. Damit ist die Frage, ob geeignete Mittel zur Gegenwehr existieren, im Grunde beantwortet: Sie existieren. Der eigentliche Flaschenhals ist damit in erster Linie nicht mehr die Technologie selbst, sondern die Bereitschaft, proaktiv zu handeln. In der Praxis betreiben tausende Unternehmen bis heute längst veraltete, ungepatchten Schwachstellen. Nicht aus Unwissenheit, sondern weil das System läuft und niemand den Aufwand einer Aktualisierung auf sich nimmt.

Gegenmaßnahmen sind vorhanden, beginnen aber in der Regel mit dem Verantwortungsbewusstsein. Etwa über eine vollständig kartierte Systemlandschaft und dem Wissen, welche Komponenten in welcher Version wo eingesetzt sind. Kritisch ist ebenfalls die eigene Reaktionszeit, um Fixes gezielt auf die tatsächlich eingesetzten, oft veralteten Versionen anwenden zu können, ohne jedes Mal ein komplettes Upgrade zu erzwingen.

Eben weil genau diese Punkte mit Blick auf die neue Geschwindigkeit so kritisch sind, gibt es bereits erste handfeste technologische Lösungen. Lightwell von Red Hat und IBM identifiziert dafür einerseits Schwachstellen in Komponenten des gesamten Software-Stacks eines Unternehmens. Steckt eine neu bekannt gewordene Lücke auch in einer älteren, im Unternehmen noch aktiven Version, wird der Fix gezielt dorthin zurückportiert, geprüft, signiert und ausgeliefert, ohne den Umweg über ein vollständiges Versions-Upgrade. Andererseits setzt Lightwell konkret bei der Praxis an: Ein bereitstehender Fix nützt wenig, wenn er erst Wochen später produktiv wird. Entsprechende Unterstützung beim Aufbau automatisierter, schneller Deployment-Prozesse gehört deshalb ebenso zum Angebot.

Wird insbesondere Open-Source-Software durch diese Entwicklung nun besonders angreifbar, weil ihr Code für jeden einsehbar ist? Die Praxis widerspricht dem. Was zunächst wie ein Nachteil wirkt, kehrt sich bei genauerem Hinsehen um: Offener Code wird am gründlichsten geprüft, getragen von einer jahrzehntelangen, eingeübten Praxis im Umgang mit gemeldeten Schwachstellen. Verfahren wie Responsible Disclosure gehören seit Jahrzehnten zum Alltag aktiver Projekte. Die eingeübte Reaktionsfähigkeit von Open Source erweist sich im KI-Zeitalter damit als Vorteil, vorausgesetzt, Unternehmen nutzen sie auch tatsächlich für die eigene Infrastruktur.

Am Ende entscheidet nicht nur neue Technologie darüber, wer in diesem beschleunigten Wettlauf bestehen kann, sondern wer bereit ist, Verantwortung für die eigene, oft unübersichtlich gewachsene Software-Landschaft zu übernehmen. Und das am besten, bevor es einen schwerwiegenden Sicherheitsvorfall gibt.