Was lernen wir von den PHP-Sicherheitslücken?

Viele Werkzeuge – und insbesondere KI – können für konträre Zwecke eingesetzt werden. Das hat der F.A.Z.-Autor richtig erkannt. Diese Erkenntnis ist jedoch nicht neu. Problematisch ist der Titel des Beitrages, der suggeriert, „alte IT“ sei eine Gefahr, weil sie alt sei. Der oben zitierte Schlusssatz passt auch zum Titel und suggeriert, die Hauptgefahr gehe von alter Software aus.

Diese Kernbotschaft des F.A.Z.-Beitrags ist irreführend. Der F.A.Z.-Beitrag legt den logischen Schluss nahe, man brauche nur „in die Jahre gekommene Software“ zu ersetzen, und eine große Gefahr sei gebannt. Die ComConsult-Erfahrung mit dem PHP-Problem führt mich zu einem anderen Schluss. Die Erfahrung war wie folgt:

Wir haben von den PHP-Schwachstellen früh genug erfahren und schnell genug darauf reagiert, um zusammen mit unserem Web-Hosting-Partner die Schwachstellen zu beheben. Die Prozesse der IT-Sicherheit haben funktioniert. Die wichtigste Lehre daraus lautet also: Für Informationssicherheit braucht man Werkzeuge UND Prozesse.

Von „veralteter Software“ als Gefahr zu sprechen führt deshalb in die Irre, weil sie schließen lässt, „neue Software“ sei per se sicherer. Die meisten Sicherheitsvorfälle der letzten Jahre gingen jedoch nicht auf „alte Software“ zurück, sondern darauf, dass bereits verfügbare und bekannte Abhilfen nicht genutzt wurden. Sicherheitslücken in Software wird es auf absehbare Zeit immer wieder geben. Es kommt darauf an, Prozesse für den Umgang damit zu etablieren. Nicht von ungefähr gibt es in allen unseren Betriebskonzepten und IT-Service-Ausschreibungen einen Passus zum Umgang mit Schwachstellen gemäß dem Common Vulnerability Scoring System (CVSS). Dieses System kategorisiert bekannte Schwachstellen, sogenannte Common Vulnerabilities and Exposures (CVE), nach Kritikalität. Ein wichtiger Parameter in jedem Service Level Agreement (SLA) bzw. Operational Level Agreement (OLA), d.h. in jeder Regelung von externem und internem IT-Service, ist die Geschwindigkeit der Reaktion auf CVE gemäß CVSS.

Ohne eine solche Regelung nützt auch nagelneue Software nichts. Wenn ich „alte IT“ nicht beherrsche, weil mir die lebenswichtigen Prozesse fehlen, werde ich auch „neue IT“ nicht beherrschen.