Berlin - Computer und Smartphones sind nach Einschätzung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) einem „Risiko auf sehr hohem Niveau“ ausgesetzt. Das geht aus dem BSI-Bericht zur Lage der IT-Sicherheit in Deutschland 2015 hervor, der am Donnerstag in Berlin vorgestellt wurde.
Besonders großen Handlungsbedarf sehen das BSI und das Innenministerium bei Software-Sicherheitslücken. Bundesinnenminister Thomas de Maizière (CDU) warf einigen Herstellern vor, nicht genug zur Risikovermeidung zu unternehmen. „Angesichts der hohen Zahl von erkannten Schwachstellen tendieren einige IT-Hersteller dazu, für die aus ihrer Sicht weniger schwerwiegenden Sicherheitslücken in ihren Produkten keine Sicherheitsupdates mehr bereitzustellen. Das verschärft die Gefährdungslage unnötig.“
Besonders schlecht schneiden in dem BSI-Report für kritische Schwachstellen die Programme Adobe Flash und Microsoft Internet Explorer sowie die Betriebssysteme OS X von Apple und Windows von Microsoft ab. Bei ihnen wurde bis September 2015 jeweils mehr als 100 kritische Schwachstellen registriert.
Das BSI kritisierte in dem Report auch den Umgang einzelner Smartphone-Hersteller mit der Sicherheitslücke „Stagefright“ im Google-Betriebssystem Android. Dies sei „ein prominentes Beispiel für das schleppende, teilweise nachlässige Update-Verhalten der Gerätehersteller“. Über verschiedene Verwundbarkeiten hätten Angreifer unbemerkt Kontrolle über die Smartphones erlangen können. Sicherheitsupdates seien von den Geräteherstellern oftmals mit monatelanger Verzögerung ausgeliefert worden. Ältere Geräte würden teilweise gar nicht mehr mit Updates versorgt, so dass Sicherheitslücken offenblieben.
De Maizière berichtete bei der Präsentation des BSI-Reports von einem Anstieg der Angriffe auf die Netze des Bundes. Diese Zahl habe sich in 2015 massiv von durchschnittlich fünf Attacken pro Tag im Vorjahr auf 15 erhöht.
BSI-Präsident Michael Hange sprach von einer „digitalen Sorglosigkeit“ in der Wirtschaft. „Alle Unternehmen müssen sich darauf einstellen, dass Cyber-Angriffe durchgeführt werden und auch erfolgreich sind.“ Die Firmen müssten sich bei der Abwehr von Angriffen nicht nur mit der Frage beschäftigen, wie man einem Angriff vorbeugen kann. Es gehe auch darum, einen erfolgten Einbruch zu erkennen.
