Was ist passiert?

Vor ungefähr zwei Wochen wurde publik, dass eine Prozessor-Sicherheitslücke existiert. Jeder Computer, jedes Smartphone und jedes Tablet nutzt als zentrale Einheit einen Prozessor, oft auch “CPU” genannt. Die Sicherheitslücke wurde bereits im Sommer durch Google entdeckt, doch vorerst geheim gehalten, damit Behörden, Unternehmen und Organisationen sich vorab wappnen und schützen können. Eine derart eklatante Sicherheitslücke bei einem solch zentralen Bauteil wie dem Prozessor ist eine absolute Neuheit im digitalen Computerzeitalter. Vor allem wenn man in Betracht zieht, dass die Sicherheitslücke quasi alle Prozessoren beeinflusst und dadurch jedes Gerät der Welt betroffen, hat der aktuelle Fall alleinig aufgrund seiner Größenordnung eine vollkommen neue Dimension erreicht.

Wer ist betroffen?

Im Grunde kann man sagen: Alle und Jeder. Alle Computer, alle Smartphones, alle Betriebssysteme, alle Programme. Es gibt zwar Ausnahmen und es sind nicht wortwörtlich “alle” betroffen, aber diese Ausnahmen machen nur wenige Prozentpunkte aus. Salopp gesagt: 99% aller Computer der Welt sind potentiell gefährdet. Das heißt, über die Sicherheitslücke könnte ein Angriff stattfinden.

Um es noch deutlicher auszudrücken: sowohl alle Windows-Computer als auch alle Apple-Computer, alle Smartphones und alle Tablets sowie alle Linux-Computer sind betroffen. Ebenso alle Server (Groß-Computer) von Unternehmen, Regierungen, Banken, Behörden, Google, Amazon, etc. pp.

Was ist so besonders an diesem Fall?

Grundsätzlich ist kurz zu erwähnen, dass es zwei Sicherheitslücken gibt: Sie heißen Meltdown & Spectre. Was ist der Unterschied zwischen den beiden? Ganz grob gesagt: Meltdown betrifft sehr viele Computer (80-90%) und Spectre betrifft nahezu alle Computer (99%). Die erste Besonderheit ist also: das Ausmaß.

Die Wirkungsweise der beiden Sicherheitslücken ist auf technischer Ebene sehr ähnlich. Beide Lücken existieren direkt im Prozessor, also im zentralen Bauteil eines jeden Computers. Das ist eine Neuheit, denn normalerweise ist ein Programm betroffen (Beispiel: Flash Player) oder ein Betriebssystem (Beispiel: Windows XP). Programme und Betriebssysteme können leicht ein Update erhalten und der Fehler kann dadurch auf Programmierebene behoben werden. Das Austauschen von Prozessoren geht aber nicht so leicht! Man versucht nun, die Lücken provisorisch zu stopfen, aber komplett abgesichert ist man nur, wenn man den Prozessor wechselt. Die zweite Besonderheit ist also: die Lücke kann nicht zu 100% geschlossen werden.

Es gibt eine weitere Schwierigkeit: Die Prozessorhersteller sind für den Fehler verantwortlich, sie müssen die Lücke schließen und eine Lösung erarbeiten. Aber die Prozessorhersteller selbst können die Lösung nicht in Umlauf bringen, die Lösung nicht auf die Computer und damit zu uns Nutzern nach Hause liefern. Hier muss das Betriebssystem (namentlich Windows, Apple und Linux) als “Lieferant” einspringen. Diese besondere Form der Zusammenarbeit so vieler großer Firmen dürfte weitere Probleme in der Bekämpfung der Sicherheitslücke mit sich bringen.

Welche Gerüchte stimmen?

Der Computer wird langsamer: Es gibt Medienberichte und Gerüchte, dass der Computer nach dem Update, welches die Sicherheitslücken schließen soll, langsamer wird. Das ist korrekt. Die Prozessorhersteller bestätigen, dass die Geschwindigkeit je nach Einzelfall zwischen 2% und 10% dauerhaft nachlassen wird. Dies lässt sich nicht verhindern.

Durch die Lücke kann ich ausgespäht werden: Ja, die beiden Sicherheitslücken erlauben theoretisch das Ausspähen aller Daten auf dem Computer.

Die Lücke wird bereits kriminell genutzt: Nein, das ist mit hoher Wahrscheinlich nicht der Fall. Gefunden wurde die Lücke durch interne Forschungsarbeiten zur Gefahrenbekämpfung bei Google. Google warnte daraufhin alle wichtigen internationalen Organisationen und andere Firmen. Dass die erste Beobachtung der Lücke durch ein Unternehmen stattfand und nicht während aktiver krimineller Handlungen im Internet entdeckt wurde, ist ein gutes Zeichen.

Schützt mich mein Virenscanner?

Nein. Die Lücken können nur durch ein Update des Betriebssystems abgesichert werden, und auch diese Absicherung ist nur teilweise wirksam. Aber beide Lücken, Meltdown und Spectre, sind nur schwer durch Kriminelle ausnutzbar. Auf gut deutsch gesagt: wer es schafft, diese Lücke auszunutzen, hat es nicht nötig, sich kriminell Geld dazu zu verdienen. Er wird aufgrund seiner Fähgikeiten mit Leichtigkeit einen extrem gut bezahlten Job in einem großen Unternehmen finden. Es ist also nicht so, als stünde hier nun eine Tür offen, die von jedermann sofort illegal genutzt werden kann, und die Cyberkriminellen nun auf gesetzloser wilder Diebstahltour sind und machen können, was sie wollen.

Falls die Lücke überhaupt jemals kriminell ausgenutzt wird, was möglicherweise niemals der Fall sein wird, dann wird dies nicht in den nächsten Wochen der Fall sein. Es wird wahrscheinlich sehr viel Zeit vergehen, bis ein Angriff erdacht ist, programmiert wurde und in Umlauf gelangt. Die ersten Opfer werden zudem vermutlich eher große Unternehmen sein, weil ein Krimineller hier finanziell wertvolle Daten erwartet. Bei privaten Computern (aus der Sicht des Kriminellen) ist der Aufwand im Vergleich zur Beute viel zu hoch. Für uns Privatnutzer gibt zwar sehr wohl Grund zur Besorgnis, aber aktuell keinen Grund zu Panik.

Was kann ich tun?

a) Updates
Leider können wir nicht sehr viel tun. Die Updates werden durch die Prozessorhersteller erarbeitet und dann über Windows (bzw. Apple, Android, Linux) verbreitet und installiert. Die einzige sorgsame Pflicht, die wir haben, ist, die Updates sowohl vom Betriebssystem als auch von Programmen durchzuführen, sobald sie verfügbar sind. Über die Verfügbarkeit informiert das Betriebssystem bzw. das Programm mit einer typischen Meldung: “Es ist ein Update verfügbar.”

b) Betriebssystemwechsel
Einige nutzen diesen Vorfall möglicherweise, um über den Wechsel des Betriebssystem nachzudenken. Allgemein gelten Apple- und Linux-Computer sicherer alsWindows-Computer. Wer jetzt aber denkt, nun endlich auf Apple oder auf Linux umzusteigen, um sich besser abzusichern, der wird enttäuscht. Diese Idee ist im aktuellen Fall sinnlos. Da der Fehler in einem Bauteil des Computers liegt, wird der Wechsel des Betriebssystems keine Besserung bringen.

c) Zeitreise
Eine zwar wirksame, aber eher amüsante und nicht praktische Lösung wäre es, einen Computer mit einem Baujahr vor 1995 zu benutzen. Denn Meltdown und Spectre sind erst in den Prozessoren nach 1995 vorhanden, die vorherigen Prozessorgenerationen sind nahezu unbelastet. Doch dieses Vorgehen ist natürlich kaum sinnvoll umsetzbar.

d) Neukauf
Da die Sicherheitslücke in einem Bauteil existiert, hilft letztendlich auch ein Update des Betriebssystem nur bedingt. Erst der Austausch des betroffenen Bauteils, also des Prozessors, ist zu 100% wirksam. Da Prozessoren aber oft nur kompliziert und teuer austauschbar sind, ist der Neukauf die sinnvollere Alternative. Denn in den neusten Prozessoren ist der Fehler nicht mehr vorhanden. Wer in den kommenden Monaten also einen neuen Computer (bzw. Smartphone oder Tablet) kauft, der darf sich in Sicherheit wähnen. Natürlich ist auch dies keine besonders praktikable Lösung, da wir nicht alle in der kommenden Woche einen neuen Computer kaufen können.

e) Köpfchen
Was jedoch garantiert immer hilft: den Kopf einschalten. Die aktuelle Sicherheitslücke wird nicht plötzlich, wie von Geisterhand, auf dem eigenen Computer aktiv werden. Ein Krimineller kann nicht “einfach so” in den Computer einbrechen. Auch nicht mit Hilfe dieser neuen beiden Sicherheitslücken. Es ist weiterhin ein Fehltritt des Menschen absolut notwendig. Nur, wer einen falschen Klick tätigt, zum Beispiel in einer Spam-Mail, ermöglicht den Kriminellen den Weg auf den Computer und damit die Möglichkeit zur Nutzung einer Sicherheitslücke. Das ist in diesem Fall nicht anders als in allen anderen Fällen zuvor.

Fazit

Kein Krimineller kann mit Hilfe irgendeiner Sicherheitslücke einen Computer ausspionieren oder Schaden anrichten, ohne dass zuvor das Opfer einen Fehler gemacht hat, wie zum Beispiel eine Spam-Mail geöffnet, eine schädliche Datei heruntergeladen oder eine gefährliche Internetseite besucht hat. Wir sind den Kriminellen nicht schutzlos ausgeliefert! Zudem wurde die Sicherheitslücke bislang lediglich “entdeckt”, aber das Ausnutzen derselben wurde noch nicht praktisch in einem kriminellen Ernstfall beobachtet. Es gibt keinen Hinweis darauf, dass Kriminelle diese Lücke bislang kannten, ausgenutzt haben oder aktuell ausnutzen.

Hat Ihnen dieser Beitrag von Levato gefallen?

Die Levato-Mitgliedschaft bietet über 700 hilfreiche Erklärfilme zu Computer, Internet und Smartphone.

Hier erhalten Sie einen Gutschein, um die Mitgliedschaft einen Monat lang kostenfrei zu testen – ohne Abonnement, ohne Risiko.

https://levato.de/magazin66

In einer Zusammenarbeit zwischen diesem Magazin und Levato verfassen Andreas Dautermann und Kristoffer Braun regelmäßig Beiträge für diesen Blog. Ihre Themen: Computer, Internet und Smartphone. Auf www.levato.de helfen sie älteren Menschen beim Umgang mit neuen Medien und Technologien. Dafür wurden sie bereits mehrfach ausgezeichnet.

Levato bei Facebook