0 
Die gravierende Sicherheitslücke in der weit verbreiteten Programmiersprache PHP steht aus Sicht eines Experten der bundeseigenen Cyberagentur exemplarisch für ein Problem, das die IT-Sicherheit noch länger beschäftigen dürfte. Daniel Gille, Leiter des Bereichs Schlüsseltechnologien, sagte der Deutschen Presse-Agentur, man befinde sich derzeit wohl in einem „kleinen Tal der Tränen“.
Angreifer derzeit im Vorteil
Langfristig könnte sich die Lage stabilisieren, weil Software nicht unbegrenzt viele Schwachstellen aufweisen könne. Aktuell seien Angreifer jedoch klar im Vorteil: Sobald eine Sicherheitslücke öffentlich werde, könnten sie oft schon innerhalb von Minuten oder wenigen Stunden Angriffe darauf aufbauen. Früher habe dieser Prozess häufig noch Wochen oder sogar Monate gedauert.
Die Behebung solcher Lücken verlaufe dagegen dezentral und entsprechend langsamer. Das zeigt sich auch beim aktuellen PHP-Fall: Zahlreiche Betreiber nahmen ihre Webseiten erst nach mehreren Stunden oder sogar erst nach mehr als einem Tag wieder in Betrieb, nachdem notwendige Updates eingespielt worden waren. Das Bundesamt für Sicherheit in der Informationstechnik bewertet das Risiko der Schwachstelle als außergewöhnlich hoch. Hinweise auf erfolgreiche Angriffe gegen die Bundesverwaltung liegen den Behörden bislang nicht vor. Das Digitalministerium prüft zudem, ob es zu einem Abfluss von Daten gekommen ist.
Deutlicher Anstieg bei bekannten Schwachstellen
Dass es sich nicht um einen Einzelfall handelt, legt eine Untersuchung des US-Konzerns IBM nahe. Dessen Sicherheitseinheit X-Force registrierte bei großen Softwareanbietern wie Microsoft, Oracle und auch beim Browser Google Chrome einen starken Zuwachs an bekannt gewordenen Sicherheitslücken. Zwischen Januar und September dieses Jahres wurden demnach mindestens 10.124 Schwachstellen erfasst – ein Anstieg von rund 578 Prozent im Vergleich zum Vorjahreszeitraum. Mehr als die Hälfte der mithilfe von KI entdeckten Lücken wurde nach branchenüblichen Bewertungsmaßstäben als hoch oder kritisch eingestuft.
KI soll Software robuster machen
Gille erwartet, dass Künstliche Intelligenz künftig stärker dazu beitragen wird, Programmcode von vornherein sicherer und weniger anfällig zu entwickeln. Die Cyberagentur bereitet dafür ein Forschungsprogramm vor, das demnächst ausgeschrieben werden soll.
Noch weiter reichen Überlegungen, KI selbst als Basis eines Betriebssystems einzusetzen. Nach Angaben von Gille hat die Cyberagentur den Auftrag, solche Ansätze experimentell zu erforschen. Denkbar sei ein System mit grundlegend anderer Architektur, das nicht mehr auf einem einzigen festen Code basiert. Dadurch könnten Schwachstellen künftig nicht mehr automatisch alle Systeme betreffen, die dieselbe Software nutzen.
Unter Fachleuten für Betriebssysteme ist diese Idee allerdings umstritten. Gille betonte, es handele sich um eine völlig offene Forschungsfrage, auf die derzeit niemand eine verlässliche Antwort geben könne.
Quelle: dpa/bearbeitet durch Julian Weber
