US-Militär will Exploits kaufen und bringt so viele Nutzer in Gefahr

Das US-Militär hat per Anzeige nach Personen gesucht, die Interesse daran haben, ihm Informationen über Sicherheitslücken sowie komplette Exploits zu verkaufen. Das Projekt, das vor allem nach so genannten Zero-Day-Lücken sucht, ist bei der US Navy angesiedelt.
Infografik: Sicherheitsrisiko Software
In der öffentlichen Wahrnehmung gibt es im Grunde vor allem zwei Ziele, zu denen Informationen über neu entdeckte Sicherheitslücken fließen: Über den Schwarzmarkt gehen sie zu Kriminellen, die mit ihrer Hilfe Angriffe auf Rechner und Netzwerke durchführen, der andere Weg geht zum jeweiligen Hersteller, damit das Problem aus der Welt geschafft wird.

Doch auch die Organisationen von Staaten haben ein großes Interesse an entsprechenden Informationen. Üblicherweise sind dies vor allem die Geheimdienste, die sich auf diesem Weg Zugänge zu Rechnern ihrer Zielobjekte verschaffen. Das Militär benötigt Kenntnisse über aktuelle Sicherheitslücken hingegen, um sich für den so genannten Cyberwar zu wappnen - also quasi digitale Waffen zu entwickeln, mit denen wichtige Systeme von Gegnern angegriffen werden können.

Die nun bekannt gewordene Suche der US-Marine nach entsprechenden Informationen und auch den Personen, die geübt in der Entwicklung von passenden Exploits sind, stieß allerdings schnell auf Kritik. Als die US-Bürgerrechtsorganisation EFF einen Beitrag zu dem Thema veröffentlichte, ruderte die Navy entsprechend schnell zurück.

Diese suchte mit ihrer Veröffentlichung nach Schwachstellen und Exploits für populäre Anwendungen von Herstellern wie Microsoft, Adobe, Google, Apple und anderen. Möglichst sollte es sich um Zero-Day-Lücken handeln, für die noch keine Patches verfügbar sind. Notfalls wollte man sich aber mit solchen zufrieden geben, die nicht älter als sechs Monate bekannt sind und wo Patches noch entsprechend wenig verbreitet sein dürften.

Das Problem an einem solchen Handeln liegt schlicht darin, dass dadurch Millionen Nutzer einem anhaltenden Sicherheits-Risiko ausgesetzt sind. Denn es muss damit gerechnet werden, dass die fraglichen Schwachstellen auch anderen Kreisen bekannt werden. Das Militär wird sich mit seinem Wissen allerdings kaum an die Software-Hersteller wenden, da man die Lücken nur ausnutzen kann, wenn keine Patches bereitgestellt werden.