Gastkommentar: Mehr Patches – weniger Sicherheit?

Jährlich werden Unmengen von Sicherheitslücken geschlossen – gefühlt werden die Zahlen von Monat zu Monat höher. Ist dieses vermehrte Patchen ein Zeichen dafür, dass die Sicherheit zunimmt oder dass sie abnimmt? [...]

Die Zahl der Patches kann einen natürlich beunruhigen, denn zunächst scheinen mehr Patches eher etwas Negatives als etwas Positives zu sein. So einfach liegen die Dinge jedoch nicht.

Fest steht: Es werden mehr Zero-Day-Angriffe entdeckt als früher. Ein bevorzugtes Ziel für Angreifer war dieses Jahr Adobe Flash. Des Weiteren gibt es viele Exploit-Kits, die hochaktuelle Exploits liefern, sodass hier ein großes Risiko besteht. Deshalb ist es notwendig, die Patches einzuspielen und die IT-Systeme mit der gesamten installierten Software stets auf dem neuesten Stand zu halten.

2015 hat Microsoft insgesamt 135 Sicherheitsbulletins veröffentlicht – erheblich mehr, als es in den letzten Jahren durchschnittlich der Fall war. Neue Produkte von Microsoft erklären diesen Anstieg nur zu einem kleinen Teil: Für den neuen Browser Edge dieses Jahr gab es beispielsweise nur fünf spezifische Updates.  Der Zuwachs ist merheitlich auf Teile des Windows-Ökosystems zurückzuführen, die zum ersten Mal untersucht werden – eine Tendenz, die zeigt, um wie viel wichtiger die Computersicherheit im Lauf der Jahre geworden ist. Dass diese Probleme jetzt gefunden und behoben werden macht deutlich, wie stark der Stellenwert der Sicherheit in der IT insgesamt gestiegen ist.

Das Schwachstellenmanagement sowie die Installation von Patches ist eine große Verantwortung, die in dem schnellen Bestreben, neue Lösungen zu implementieren oder in die Cloud zu gehen, leicht vernachlässigt wird. Die Herausforderung ist hierbei folgende: Wie können wir aufhören, einfach den Dingen, die wir schon haben, dauernd neue hinzuzufügen, und uns stattdessen auf die Grundprinzipien besinnen und die IT per Design sicher gestalten? Mitarbeiter werden immer mobiler und müssen von mehreren Standorten aus arbeiten; ein Fakt, der bei allen Sicherheitsmaßnahmen von Anfang an berücksichtigen werden muss. Jeder Endpunkt ist als ein Gerät zu betrachten, das in einer rauen und gnadenlosen Umgebung auf sich allein gestellt ist.

Um diese Endpunkte laufend auf dem neuesten Stand zu halten und zu schützen, müssen sämtliche IT-Bestände kontinuierlich gescannt werden, so dass das zentrale Team jederzeit über den Status aller Endgeräte Bescheid weiß. Hierbei ist es egal, ob sich diese im Firmennetz befinden oder vielleicht niemals irgendeinen Standort des Unternehmens von innen sehen. Diese Scans werden am besten über die Cloud und nicht vom Rechenzentrum des Unternehmens aus durchgeführt. Auf diesem Weg können alle von dem besseren Überblick profitieren, ohne an unternehmensinterne IT-Systeme angebunden zu sein. Konzentrieren sich Unternehmen also auf die Gerätesicherheit anstatt nur auf die Netzwerksicherheit, kann Patchen auch künftig für sie von großem Wert sein.

* Wolfgang Kandek ist CTO bei Qualys.