DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE Bei der Ausnutzung einer Schwachstelle veranlasst ein Angreifer ein Software-Produkt dazu, vom Entwickler nicht vorgesehene Aktionen durchzuführen. So können zum Beispiel sensible Informationen offengelegt werden (vgl. Kapitel Diebstahl und Missbrauch von Identitätsdaten, Seite 18), eingeschleuste Schadprogramme zur Ausführung veranlasst werden (vgl. Kapitel Schadprogramme, Seite 9), oder Software zum Absturz gebracht werden. Schwachstellen in Software-Produkten sind unerwünscht und häufig auch bedrohlich. Sobald sie bekannt werden, sollten sie daher zeitnah beseitigt werden. Schwachstellen unterscheiden sich in ihrer Kritikalität, ihrem individuellen Bedrohungspotenzial und darin, ob bereits Gegenmaßnahmen, zum Beispiel in Form von Updates, zur Verfügung stehen. Die Kritikalität einer Schwachstelle ergibt sich vereinfacht aus drei Aspekten: der Relevanz des betroffenen Software-Produkts für Anwenderinnen und Anwender, dem Aufwand oder den Voraussetzungen zur erfolgreichen Ausnutzung der Schwachstelle sowie den möglichen Auswirkungen auf die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Zusammengenommen ergeben diese Aspekte das individuelle Risiko einer Schwachstelle für Anwenderinnen und Anwender. Im Allgemeinen kann davon ausgegangen werden, dass das korrekte Funktionieren einer Software ebenso wichtig ist wie der Zweck, den sie erfüllen soll. Eine derartige Risikobewertung kann beispielsweise unter Anwendung des BSI IT-Grundschutzes erstellt werden. Spätestens wenn eine Schwachstelle öffentlich wird, muss davon ausgegangen werden, dass Angreifer aktiv nach Wegen suchen, diese Schwachstelle für Angriffe auszunutzen. Es ist daher im besonderen Interesse von Nutzerinnen und Nutzern eines Software-Produkts, dass der Hersteller die Schwachstelle durch ein Sicherheitsupdate schnellstmöglich schließt. Um Schwachstellen zu finden und schließen zu können, noch bevor sie ausgenutzt werden, setzen einige Unternehmen mittlerweile auf sogenannte Bug-Bounty-Programme. Hierbei werden Entwickler und IT-Sicherheitsforscher gegen eine Belohnung dazu aufgerufen, aktiv nach Schwachstellen zu suchen. Das Suchen nach Schwachstellen ohne Erlaubnis des Herstellers ist in der Regel rechtlich untersagt, da die bei der Suche angewendeten Methoden zum Beispiel gegen die Allgemeinen Geschäftsbedingungen (AGB) bei Erwerb und Einsatz der Software verstoßen. Die Suche kann für IT-Sicherheitsforscher daher zu juristischen Konsequenzen führen, wenn sie nicht ausdrücklich beauftragt wurde. Die Anzahl von kritischen Schwachstellen kann durch eine entsprechende Designphilosophie bereits während der Software-Entwicklung reduziert werden. Um Software-Produkte sicherer zu gestalten, müssen Security by Design und Security by Default umgesetzt werden. Die Security-by-Design-Philosophie setzt bereits zu Beginn einer Software-Entwicklung an und wird im kompletten Produktlebenszyklus berücksichtigt. Dabei nimmt die Sicherheit eines Software-Produkts einen vergleichbaren Stellenwert ein, wie beispielsweise die Nutzerfreundlichkeit. Besonders bei Software, die in sensiblen Bereichen eingesetzt wird, ist der Stellenwert sogar deutlich höher. Das Security-by-Default-Konzept stellt die Konfiguration einer Software bei der Auslieferung in den Fokus. So erlaubt eine Vielzahl von Software-Produkten den Nutzerinnen und Nutzern unterschiedliche Konfigurationen vorzunehmen, um dem jeweiligen Anwendungszweck zu entsprechen oder zwischen Nutzbarkeit und Sicherheit abzuwägen. Bei einer Auslieferung im Sinne des Security by Default ist die Standardeinstellung (Default) die sicherste Konfiguration, in der die Software betrieben werden kann. Dieses Konzept ist relevant, da immer häufiger Fälle bekannt werden, in denen die initiale Konfiguration nicht angepasst und schließlich durch Angreifer ausgenutzt wurde. Der Umgang mit Schwachstellen in Software-Produkten ist ein wesentlicher Faktor für die sichere Digitalisierung in Deutschland. Der breitere und intensivere Einsatz von Bug-Bounty-Programmen, CVD-Prozessen (vgl. Kapitel Computer Emergency Response Team für Bundesbehörden, Seite 67), Security by Design und Security by Default zeigt, dass dieses Verständnis von immer mehr Software-Herstellern, IT-Sicherheitsforschern und staatlichen Organisationen geteilt wird. Gerade beim Umgang mit Schwachstellen zeigte sich auch im aktuellen Berichtszeitraum die digitale Eigenverantwortung der Anwenderinnen und Anwender. Ihnen obliegt es, ihre Software angemessen zu pflegen. Hierzu zählen das Einspielen von Aktualisierungen und das Reagieren auf Herstellerhinweise, falls noch kein Patch zur Verfügung steht. Aber selbst bei kritisch zu wertenden Schwachstellen hat das BSI immer wieder beobachtet, dass zur Verfügung stehende Aktualisierungen verzögert oder gar nicht eingespielt werden. Die Mitwirkung der Anwenderinnen und Anwender war auch im Berichtszeitraum gefordert, denn am 14. Januar 2020 endete der Support für die Microsoft-Produkte Windows 7 und Windows Server 2008 (R2). Seitdem werden kritische oder wichtige Sicherheitsupdates für diese Betriebssysteme nur noch für Kundinnen und Kunden des kostenpflichtigen Extended-Security-Updates-Programms zur Verfügung gestellt. Andere Nutzer erhalten keine Sicherheitsupdates mehr. Die Betriebssystemversi- 23