# taz.de -- NSA meldet Windows-Sicherheitslücke: Big Brother hilft Microsoft | |
> Ein US-amerikanischer Geheimdienst findet eine Windows-Sicherheitslücke | |
> und informiert Microsoft. Das könnte Teil einer neuen Strategie sein. | |
Bild: Hat Microsoft diesmal dabei geholfen, eine Sicherheitslücke in Windows 1… | |
BERLIN taz | Microsoft hat Hilfe von ungewöhnlicher Seite bekommen. Die | |
National Security Agency (NSA) wies den Technikkonzern auf eine | |
Sicherheitslücke im aktuellen Betriebssystem Windows 10 und verschiedenen | |
Windows-Server-Versionen hin. Daraufhin hat [1][Microsoft] [2][die | |
Sicherheitslücke an seinem „Patch-Tuesday“ geschlossen]. | |
Die Sicherheitslücke namens [3][„CVE-2020-0601“] sei „hochgefährlich“… | |
die Chefin der [4][erst im Oktober gegründeten NSA-Abteilung für | |
Cybersicherheit] [5][Anne Neuberger] auf einer Pressekonferenz sagte. | |
Microsoft schreibt in seiner offiziellen Mitteilung, die Sicherheitslücke | |
betreffe die sogenannte Krypto-Bibliothek. Angreifer*innen [6][könnten | |
Malware so präparieren], dass sie von Windows als vertrauenswürdige Quelle | |
erkannt würde. | |
Laut Microsoft seien so [7][„Man-in-the-middle-Angriffe“] möglich, durch | |
die kriminelle Hacker etwa den Datenverkehr abfangen. Microsoft selbst | |
stuft den Sicherheitspatch in der Kategorie „wichtig“ ein. Jeden zweiten | |
Dienstag im Monat spielt der US-amerikanische Tech-Konzern | |
Sicherheitsupdates auf seine Betriebssysteme. | |
Kurioserweise ist das elf Jahre alte Windows 7 von der Sicherheitslücke | |
anscheinend nicht betroffen. Das bei vielen Windows-User*innen beliebte | |
Betriebssystem wird seit dem 14. Januar [8][nicht mehr von Microsoft | |
unterstützt]. | |
Sicherheitslücke war NSA schon Wochen bekannt | |
[9][Laut der Washington Post] hat die NSA die Sicherheitslücke schon vor | |
ein paar Wochen entdeckt. [10][In einem Dokument] gibt die NSA Hinweise | |
auch an Nutzer*innen, die Sicherheitslücke zu schließen, auch wenn sie das | |
Microsoft-Update nicht einspielen können. Das US-Militär habe das | |
Sicherheitsupdate wohl schon vor dem Patchday erhalten, [11][schreibt der | |
Tech-Journalist Brian Krebs]. Microsoft dementiert und sagt, niemand | |
bekomme die Updates vor dem offiziellen Patchday. | |
Laut Neuberger ist das Vorgehen der NSA Teil der Aktion „[12][Turn a new | |
leaf“]. Teil des Neuanfangs solle demnach sein, Tech-Unternehmen auf Fehler | |
in ihrer Software und Hardware aufmerksam und das Wissen auch öffentlich zu | |
machen. Es sei wichtig, Vertrauen aufzubauen, sagte Neuberger, das | |
Schließen von Lücken habe oberste Priorität. | |
Nach eigenen Angaben hat die NSA die Schwachstelle nicht ausgenutzt. Im | |
vergangenen Jahr stellte die NSA ihr hauseigenes Analysetool Ghidra als | |
Open-Source-Software [13][der Öffentlichkeit zur Verfügung]. Auch die | |
[14][Vorratsdatenspeicherung soll in den USA enden] – aber nur, weil man | |
die entsprechenden Werkzeuge schon [15][seit Monaten nicht mehr benutzt | |
hat]. | |
NSA wird nicht jede Sicherheitslücke melden | |
In der Vergangenheit nutzte die NSA Schwachstellen in IT-Infrastruktur und | |
Software gnadenlos für Spionagezwecke aus und entwickelte eigene Tools | |
dafür. Im Falle von „[16][Eternal Blue“] von 2016 war das ein kolossaler | |
Fehlschlag. | |
Denn das Tool wurde von einer kriminellen Hackergruppe [17][geleakt,] | |
Millionen von Windows-Nutzer*innen waren so potenzielle Angriffsziele. Das | |
wiederholte sich mit der [18][Malware „WannaCry“] im Jahr 2017. Mit dem | |
gezielten Melden von Sicherheitslücken will die NSA, so vermuten | |
Expert*innen, ein erneutes Debakel verhindern. | |
Ob die NSA Sicherheitslücken veröffentlicht oder für die eigene Spionage | |
nutzt, geschieht auf der Grundlage des sogenannten [19][Vulnerabilities | |
Equities Process]. Der Geheimdienst wägt dabei ab, ob er Informationen über | |
IT-Schwachstellen an die Öffentlichkeit gibt oder nicht. „Im Falle von | |
Microsoft ist es wahrscheinlich, dass die Gefahr der Sicherheitslücke für | |
die Allgemeinheit den Nutzen für die eigene Spionage überwogen hat“, sagt | |
Richard Gold der taz. Er arbeitet beim US-amerikanischen Unternehmen | |
[20][Digital Shadows] im Bereich Sicherheitstechnik. | |
Der Abwägungsprozess wird Gold zufolge auch in Zukunft stattfinden. Jede | |
Sicherheitslücke in Windows wird die NSA also trotz Kurswechsel nicht | |
melden. | |
15 Jan 2020 | |
## LINKS | |
[1] /Microsoft-macht-E-Books-unlesbar/!5609314 | |
[2] https://www.theguardian.com/technology/2020/jan/14/microsoft-rolls-out-wind… | |
[3] https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020… | |
[4] https://www.nsa.gov/News-Features/News-Stories/Article-View/Article/1973871… | |
[5] https://en.wikipedia.org/wiki/Anne_Neuberger | |
[6] https://www.geekwire.com/2020/nsa-opts-turn-new-leaf-disclosing-windows-vul… | |
[7] https://en.wikipedia.org/wiki/Man-in-the-middle_attack | |
[8] /Update-Aus-fuer-Windows-7/!5655417 | |
[9] https://www.washingtonpost.com/gdpr-consent/?destination=%2fnational-securi… | |
[10] https://media.defense.gov/2020/Jan/14/2002234275/-1/-1/0/CSA-WINDOWS-10-CR… | |
[11] https://krebsonsecurity.com/2020/01/cryptic-rumblings-ahead-of-first-2020-… | |
[12] https://twitter.com/briankrebs/status/1217125030452256768 | |
[13] https://www.wired.com/story/nsa-ghidra-open-source-tool/ | |
[14] /NSA-will-Datensammlung-beenden/!5587967/ | |
[15] https://www.nytimes.com/2019/03/04/us/politics/nsa-phone-records-program-s… | |
[16] https://www.wired.com/story/eternalblue-leaked-nsa-spy-tool-hacked-world/ | |
[17] https://www.wired.com/2016/08/shadow-brokers-mess-happens-nsa-hoards-zero-… | |
[18] https://www.theguardian.com/technology/2017/may/12/nhs-ransomware-cyber-at… | |
[19] https://www.whitehouse.gov/sites/whitehouse.gov/files/images/External%20-%… | |
[20] https://www.digitalshadows.com/ | |
## AUTOREN | |
Denis Giessler | |
## TAGS | |
Microsoft | |
Windows | |
NSA | |
Edward Snowden | |
Spionage | |
Schwerpunkt Überwachung | |
Windows | |
Schwerpunkt Überwachung | |
Schwerpunkt Überwachung | |
## ARTIKEL ZUM THEMA | |
Update-Aus für Windows 7: Software-Opa in Rente | |
Am 14. Januar beendet Microsoft die Unterstützung für sein beliebtes | |
Betriebssystem Windows 7. Experten sprechen von einer „tickenden | |
Zeitbombe“. | |
Autobiografie von Edward Snowden: Der achte Harry Potter | |
Mit nur 36 Jahren verteidigt Edward Snowden sein Lebenswerk: die Enthüllung | |
der US-Massenüberwachung. Sein Buch ist aber auch ein Versprechen. | |
NSA will Datensammlung beenden: Ein bisschen ausgehorcht | |
Dass der US-Geheimdienst die Vorratsdatenspeicherung in den USA nicht mehr | |
zu brauchen scheint, ist neu. Die restliche Überwachung läuft weiter. |