Sicherheitsupdates: Seit Jahren bekannte Sicherheitslücken oft ungepatcht

Rund ein Drittel der Sicherheitslücken in Unternehmensnetzwerken sind auf Schwachstellen zurückzuführen, die seit mehr als zwei Jahren bekannt sind und für die entsprechende Patches zur Verfügung stehen. Doch tausende Unternehmen haben diese nicht eingespielt und setzen sich damit einem eigentlich unnötigen Risiko durch Hackerangriffe aus. Das ergab die Studie „2020 Business Threat Landscape Report” der Sicherheitsexperten von Bitdefender. So waren 64 Prozent der gemeldeten und ungepatchten Schwachstellen in der ersten Hälfte des Jahres bereits seit 2018 oder sogar noch früher bekannt. Sogar Sicherheitslücken aus dem Jahr 2002 wurden noch gefunden.
‍
Es ist bekannt, dass Sicherheitsupdates Zeit und Ressourcen in Anspruch nehmen, ohne auf den ersten Blick einen Mehrwert für das Unternehmen zu haben – und doch sind sie die einzige Möglichkeit zu verhindern, dass bekannte Schwachstellen von Hackern ausgenutzt werden. Ungepatchte Sicherheitslücken hingegen bieten Kriminellen ein einfaches Einfallstor, um Daten zu stehlen oder Malware einzuschleusen. Auch Softwarehersteller fordern ihre Kunden dringend dazu auf, die Updates schnellstmöglich durchzuführen, nicht nur um die Sicherheit ihres Produkts weiter zu gewährleisten, sondern auch, um neue Funktionen zu erhalten und die Kompatibilität mit neuen Betriebssystemen sicherzustellen. Trotzdem scheinen viele Unternehmen noch viel zu langsam oder überhaupt nicht zu reagieren. Laut Bitdefender wurden bei sechs von zehn Organisationen derartige Sicherheitslücken festgestellt.
‍
Die Studie beleuchtet auch die Gründe, warum Unternehmen zur Verfügung stehende Sicherheitsupdates nicht einspielen – mit interessanten Ergebnissen, denn nicht immer ist Nachlässigkeit dafür verantwortlich. Oft spielen ganz andere Befürchtungen eine Rolle. So haben viele Unternehmen Angst davor, dass Updates einen negativen Einfluss auf das Netzwerk haben könnten und diese Angst ist stärker als die, Opfer von Cyberkriminellen zu werden. Als Stichwort nennt die Studie dabei „Backward Compatibility“, also die Fähigkeit neuerer Software, mit älteren Systemen im Netzwerk zu funktionieren. So könnte ein Programm nach dem Patch nicht mehr mit anderen, jedoch unternehmenswichtigen Programmen zusammenarbeiten. In diesem Fall bestünde das Risiko, dass das Netzwerk zusammenbricht und nur mit viel Zeit, Geld und Arbeit wieder zum Laufen gebracht werden könnte. Das Risiko durch die nicht geschlossene Sicherheitslücke wird in diesem Fall ganz bewusst in Kauf genommen, um die Arbeitsfähigkeit des Unternehmens zu erhalten.
‍
Die Sicherheitsexperten raten dazu, einen guten Überblick über die Struktur des eigenen Netzwerks zu behalten und dieses nicht wild wuchern zu lassen. So könne man etwaige Risiken durch einen Patch realistisch einschätzen. In den meisten Fällen lassen sich so Wege finden, die Sicherheitsupdates einzuspielen, ohne dabei die Arbeitsfähigkeit des Netzwerks zu riskieren. Sollte es trotz allem nicht möglich sein, bekannte Schwachstellen zu schließen, sollten unternehmenskritische, aber verwundbare Bereiche des Netzwerks soweit wie möglich isoliert und der Zugang streng kontrolliert werden, um Hackern nicht Tür und Tor zu öffnen.
‍
Die Größe und Komplexität moderner Infrastrukturen stellt Administratoren vor eine Mammutaufgabe. Hier die Übersicht über vorhandene Hardware wie Software Assets zu behalten, ganz zu schweigen vom Patchstand der einzelnen Systeme, ist für die IT-Abteilung im laufenden Betrieb nahezu unmöglich. Deshalb werden oft Kompromisse eingegangen und Sicherheitsupdates vernachlässigt. Ein fataler Fehler. Denn neue Schwachstellen gefährden die Sicherheit massiv und machen Unternehmen immer wieder angreifbar. Dabei bieten Managed Security Service Provider spezielle Vulnerability Management Services an, mit denen die Infrastrukturen rund um die Uhr auf Sicherheitslücken und kritische Konfigurationsveränderungen überwacht werden.