Microsoft schließt neue Lücken schneller als Apple

Apple wirbt seit Jahren mit einer ganzen Serie von Werbespots, in denen man die eigenen Produkte mit Windows und dem klassischen PC vergleicht. Dabei kommt besonders Windows Vista selten gut weg, aber auch die angeblich mangelnde Sicherheit von Windows im Allgemeinen ist ein Hauptthema der Apple-Werbung. Während der Sicherheitskonferenz Black Hat wurden nun aber Forschungsergebnisse veröffentlicht, die nahelegen, dass auch Apple noch einiges nachbessern müsste. Forscher des ETH Zürich untersuchten, wie oft Microsoft und Apple in den letzten sechs Jahren in der Lage waren, schnell Patches für neu gemeldete Schwachstellen in ihren Produkten bereit zu stellen.

Die Wissenschaftler analysierten 658 Schwachstellen, die Microsoft-Produkte betrafen und 738, die in Apples Erzeugnissen bestanden. Dabei beschäftigte man sich ausschließlich mit solchen Lücken, die in der Datenbank des US-Heimatschutzministeriums als hohes oder mittleres Risiko eingestuft wurden. Bei ihrer Auswertung stellten die Forscher fest, dass Apple Microsoft beim Schließen neuer Schwachstellen hinterher hinkt.

Vor dem Jahr 2005 lag die Zahl der Schwachstellen, die zum Zeitpunkt ihrer öffentlichen Bekanntgabe noch ungepatcht waren, bei Apple angeblich immer unter 20. Seitdem hat sich dies aber grundlegend geändert, so dass die Zahl der offenen Lücken bei Apple inzwischen sogar höher ist als bei Microsoft, hieß es.

Die Ursachen dafür können nach Angaben der Forscher vielfältig sein. Eine möglicher Grund sei, dass Apple erst spät damit begonnen hat, enge Beziehungen zu Sicherheitsexperten knüpfen. Außerdem geht man davon aus, dass Apple weniger aufmerksam war, weil es früher weniger Schwachstellen gab. Gerade das Fehlen von Kontakten zu Sicherheitsspezialisten sei ein Nachteil für Apple.

Die Schweizer Forscher betonten ausdrücklich, dass es sich um unabhängige Untersuchungen gehandelt habe. Die Ergebnisse der Untersuchungen zu den 0-Day-Patches von Microsoft und Apple lassen sich in Form eines PDF-Dokuments herunterladen.

Weitere Infos: Exposing Vendors (In)security Performance (PDF)