Cyberagentur sieht Angreifer bei IT-Lücken im Vorteil

Die Cyberagentur des Bundes rechnet damit, dass schwerwiegende Software-Schwachstellen vorerst ein zentrales Problem der IT-Sicherheit bleiben. Anlass ist eine kritische Lücke in der verbreiteten Programmiersprache PHP. Nach Einschätzung von Daniel Gille, Abteilungsleiter für Schlüsseltechnologien bei der Cyberagentur, können Angreifer bekannte Fehler heute sehr schnell ausnutzen. Künstliche Intelligenz könnte nach seiner Einschätzung künftig stärker helfen, Programme von Beginn an widerstandsfähiger zu machen.

Schnelle Angriffe, langsame Reparaturen

Gille beschreibt die aktuelle Lage als schwierige Phase für Verteidigerinnen und Verteidiger. Er sprach von einem „kleinen Tal der Tränen“. Zwar sei denkbar, dass die Zahl der auffindbaren Fehler irgendwann nicht weiter steige. Derzeit liege der Vorteil aber bei den Angreifern.

Der Grund ist ein strukturelles Ungleichgewicht. Wer angreifen will, kann eine öffentlich gewordene Schwachstelle rasch analysieren und daraus eine Attacke entwickeln. Nach Gilles Darstellung geschieht das inzwischen teils binnen Minuten oder Stunden. Früher habe dieser Prozess oft deutlich länger gedauert.

Das Schließen solcher Lücken verläuft dagegen verteilt über viele Betreiber, Hersteller und Dienstleister. Updates müssen bereitgestellt, getestet und eingespielt werden. Bei der PHP-Sicherheitslücke zeigte sich, wie lang dieser Vorgang dauern kann: Viele Webseiten gingen erst nach Stunden wieder online, andere nach mehr als 24 Stunden.

Das Bundesamt für Sicherheit in der Informationstechnik bewertet das Risiko der PHP-Lücke als außerordentlich hoch. Erfolgreiche Angriffe auf die Bundesverwaltung wurden bislang nicht gemeldet. Das Digitalministerium prüft, ob Daten betroffen sind.

Stark steigende Zahl bekannter Schwachstellen

Die Entwicklung betrifft nicht nur einen einzelnen Fall. Eine Auswertung des US-Technologiekonzerns IBM deutet auf einen deutlichen Anstieg neu bekannt gewordener Sicherheitslücken hin. Das IBM-Sicherheitsteam X-Force erfasste von Januar bis September mindestens 10.124 Schwachstellen bei großen Softwareanbietern und verbreiteten Produkten.

Gegenüber dem Vorjahreszeitraum entspricht das einem Zuwachs von rund 578 Prozent. Betroffen waren unter anderem große Anbieter wie Microsoft und Oracle sowie weit verbreitete Software wie der Browser Google Chrome. Mehr als die Hälfte der durch KI aufgespürten Schwachstellen wurde nach einem in der Branche üblichen Bewertungssystem als hoch oder kritisch eingestuft.

Die Zahlen zeigen auch die ambivalente Rolle künstlicher Intelligenz. Sie hilft dabei, Schwachstellen schneller zu finden. Dadurch werden Risiken sichtbarer, zugleich wächst aber der Druck auf Hersteller und Betreiber, rasch zu reagieren. Je schneller Fehler öffentlich werden, desto kürzer ist das Zeitfenster, in dem Systeme abgesichert werden müssen.

KI als Werkzeug für sichereren Code

Die Cyberagentur setzt darauf, künstliche Intelligenz künftig stärker in der Entwicklung sicherer Software einzusetzen. Nach Gilles Einschätzung kann KI dabei helfen, Programmcode so zu schreiben, dass er weniger leicht angreifbar ist. Die Agentur bereitet dafür ein Forschungsprogramm vor, das demnächst ausgeschrieben werden soll.

Noch weiter reichen Überlegungen, KI nicht nur als Hilfsmittel für Entwicklerinnen und Entwickler zu nutzen, sondern als Grundlage eines Betriebssystems. Ein solches System könnte anders aufgebaut sein als klassische Software mit festem Code. Die Idee dahinter: Wenn Systeme nicht überall identisch funktionieren, treffen einzelne Schwachstellen nicht automatisch eine große Zahl gleich aufgebauter Installationen.

Gille betont jedoch, dass diese Richtung wissenschaftlich offen ist. Unter Fachleuten für Betriebssysteme gilt der Ansatz als umstritten. Er bezeichnete die Frage als „komplett offene Forschungsfrage“.

Einordnung

Software-Schwachstellen sind seit Jahren ein Kernproblem der digitalen Sicherheit. Neu ist die Geschwindigkeit, mit der automatisierte Verfahren Risiken finden und Angriffe vorbereiten können. Für Behörden, Unternehmen und Betreiber kritischer Dienste wird damit nicht nur die Qualität von Software wichtiger, sondern auch die Fähigkeit, Aktualisierungen schnell und verlässlich einzuspielen. KI verschärft den Wettlauf zunächst, könnte langfristig aber auch Teil der Abwehr werden.