Informatik-Prof: Die Sicherheits-Branche hat komplett versagt

Ein Sicherheits-Experte hat der Software- und insbesondere auch der Security-Branche vorgeworfen, hinsichtlich der Entwicklung von aktuellen Bedrohungen weitgehend versagt zu haben. Die grundlegenden Probleme würden schlicht nicht angegangen, was die Risiken immer größer werden lasse. Nach Auffassung von Eugene Spafford, der selbst als Informatik-Professor an der Purdue University tätig ist, sei das Problem eines immer stärker werdenden Cybercrime-Syndikates zu einem guten Teil hausgemacht. Das erklärte er auf der FIRST-Konferenz zum Thema Computer-Sicherheit in Boston. Wenn es so weitergehe, werde die Zukunft nicht gut aussehen, prognostizierte er.

"Statt sichere Systeme zu bauen, entfernen wir uns immer weiter von soliden Konstruktionen, indem immer mehr Layer obendrauf gepackt werden", so Spafford laut einem Bericht von CRN. Für die Software-Hersteller ginge es ausschließlich darum, ein Produkt schnell auf den Markt zu bekommen, statt es erst einmal richtig fertigzustellen.

Das habe zu einer Situation geführt, in der schlecht programmierte Software zu immer komplexeren Gebilden zusammengefügt wird und die Angriffsfläche vieler Organisationen so immer größer wird. Diese müssten dann finanziell dafür büßen. Schätzungen zufolge beläuft sich der Schaden, der durch Computer-Kriminalität entsteht, auf jährlich rund 500 Milliarden Dollar weltweit.

Immer nur neue Security-Layer

Um die Situation halbwegs im Griff zu behalten, versucht die Sicherheits-Industrie mit zusätzlichen Schichten die Risiken abzumildern. Doch hierbei versage die Branche zunehmend. Laut Spafford werde die Bandbreite der im Umlauf befindlichen Malware immer größer, während sich die Erkennungsmöglichkeiten in der letzten Zeit kaum verbessert hätten. Schadcodes liegen oft monatelang auf Systemen herum und werden erst entdeckt, wenn sie spürbar sensible Datenbestände attackieren.

Die Sicherheits-Industrie sei im Grunde nur damit beschäftigt, auf die nächste Eskalationsstufe zu reagieren, statt sich mit den grundlegenden Problemen zu befassen. "Wir haben die sicheren Systeme eigentlich aufgegeben", so Spafford. Was auch wenig verwunderlich sei - denn die Branche verdiene gut daran, nicht die Basis solider zu gestalten, sondern immer neue und komplexere Schutzmechanismen zu verkaufen.