Mehr Verantwortung bei Sicherheitslücken gefordert

Window Snyder, Sicherheitschefin bei Mozilla stellte am vergangenen Samstag auf der Hacker-Konferenz ShmooCon in Washington fest, dass Software-Entwickler voll und ganz Hackern ausgeliefert sind, wenn es um die Veröffentlichung von Sicherheitslücken geht. "Die Macht liegt in den Händen der Entwickler, die Software analysieren," sagte Snyder. "Sie bestimmen, wann sie eine Lücke veröffentlichen und sie kontrollieren die Information, egal, ob ein Software-Anbieter rechtzeitig reagiert oder nicht."

Schon seit mehreren Jahren diskutiert man in der Software-Branche darüber, wann man Details über Schwachstellen an die Öffentlichkeit weitergeben sollte. Die Branche fordert, dass Sicherheitslücken zunächst vertraulich behandelt werden sollten. Würden Details über die Sicherheitslücken zu früh veröffentlicht werden, könnten diese Kriminellen bei ihren Angriffen helfen, so das Argument.

Auch hier gibt es jedoch Ausnahmen. So ist Dave Aitel, Mitarbeiter beim Sicherheitsunternehmen Immunity der Meinung, dass die Forderung der Software-Branche nichts weiter als ein Werbetrick der Hersteller ist.

Er findet, dass die Informationen über neuentdeckte Schwachstellen so schnell wie möglich an die Öffentlichkeit gelangen sollten, damit ein Unternehmen den Fehler auch wirklich bereinigt. "Die Veröffentlichung ist der einzige Weg, damit Sicherheitslücken tatsächlich geschlossen werden", so Aitel.