Sicherheitslücke bei Computerchips: Strengere Regeln für die IT-Branche

Rechner, Smartphones und Tablets gefährdet: Datenschutzexperten sind alarmiert. Grüne fordern europaweite Regeln für die Hersteller.

„Für das Hardware-Problem gibt es eine Software-Lösung“ Foto: reuters

Hardware-Firmen müssen vom Gesetzgeber enger an die Leine genommen werden. Das forderte der Grünen-Europa-Abgeordnete Jan Philipp Albrecht nach dem Bekanntwerden einer Sicherheitslücke bei mehreren Milliarden Prozessoren von Smartphones und Computern.

Ein Google-Expertenteam hatte die Sicherheitslücke in der vergangenen Woche öffentlich gemacht – neben dem Branchenführer Intel sind auch Prozessoren der kleineren Hersteller AMD und ARM betroffen. Hacker könnten die Hardware-Schwachstelle nutzen, um an Daten zu gelangen, die auf Computern oder Smartphones hinterlegt sind. Demnach sind Intel-Chips seit dem Baujahr 1995 betroffen.

Dass die Schwachstelle über zwei Jahrzehnte unentdeckt blieb, zeige, „dass Unternehmen entsprechende Sicherheitstests nur unzureichend vorgenommen haben“, sagte der Datenschutzexperte der grünen EU-Fraktion der taz. Das liege auch daran, dass sie vom Gesetzgeber „so gut wie keine Regeln“ auferlegt bekämen. Alle existierenden Standards beruhten derzeit auf freiwilliger Selbstverpflichtung – verbindliche Gesetze gebe es keine.

„Wir brauchen verpflichtende Standards auf EU-Ebene“, forderte Albrecht. IT-Unternehmen müssten beispielsweise zu regelmäßigen Sicherheitstests verpflichtet werden, um Schwachstellen rechtzeitig aufzudecken. Weder Hardware noch Software könnten zu 100 Prozent vor Hacker-Angriffen sicher sein, aber momentan investierten die Unternehmen zu wenig Geld in den Datenschutz.

Geldstrafen sind schwierig umzusetzen

Otmar Lell vom Bundesverband der Verbraucherzentrale kritisierte außerdem, dass es schwierig sei, Intel und andere Hardware-Hersteller zum Zahlen von Strafen zu verpflichten. Für eine Entschädigung müssten Nutzer nachweisen, dass sie einen individuellen Schaden davongetragen haben. „Es ist nicht leicht nachzuweisen, ob ein Schaden im Zusammenhang mit der Sicherheitslücke entstanden ist“, sagte Lell. Ein Hacker-Angriff hinterlasse selten Spuren – es lasse sich deshalb nicht feststellen, ob Daten geklaut wurden oder nicht.

Obwohl die Prozessoren von Intel, AMD und ARM weltweit in Computern und Smartphones verbaut sind, müssen Nutzer sich vorerst keine allzu großen Sorgen machen, meint Nabil Alsabah. „Für das Hardware-Problem gibt es eine Software-Lösung“, sagte der IT-Sicherheitsexperte des Digitalverbandes Bitkom der taz.

Der Nachweis von Schäden ist für Verbraucher sehr schwierig

Sowohl Microsoft als auch Apple hätten bereits Aktualisierungen für die aktuellen Betriebssysteme entwickelt, mit denen das Sicherheitsloch gestopft werde. Dennoch rät Alsabah grundsätzlich zu Vorsicht. „Eine absolute Sicherheit im digitalen Leben gibt es nicht.“

Comments

[bene42]

Mich wundert, mit welcher Sorglosigkeit die Informationsquellen ausgesucht worden sind.

Die grundsätzlichen Arbeiten sind in Graz gemacht worden, aber statt dort einen Ansprechpartner zu finden, kommt ein Noname der Bitkom zu Wort.

Ein unaufälliger Blick in die offen zugänglichen Debatten auf Mailinglisten, wie der Linux Kernel Mailing List, zeigen hier ein anderes Bild des Fehlers (eins von drei Problemen gelöst).

Auch hier würden sich einige deutschprachige Experten finden lassen.

Alles in allem hätte ich mir eine fundiertere Recherche gewünscht.

[Kartoffel]

Den ersten bekanntgewordenen Hardwarebug bei Intel hatte die Firma damals geheimgehalten, bis er durch einen Wissenschaftler nachgewiesen wurde. Auch hier hat das Unternehmen nicht unbedingt kundenfreundlich reagiert und die Problematik heruntergespielt... Ich frage mich wie Schäden die durch diesen Bug in der Vergangenheit entstanden sind nachträglich aufgedeckt werden soll, wenn bisher keine Malware bekannt ist die für diese Lücke optimiert ist? Wieso sind diese Schäden leicht nachzuweisen? Mal abgesehen davon, dass die Richtlinie erst ab Mai greift. Mein Tip für dich ist es sich zu solchen spezifischen Problemen doch lieber in der Fachpresse(Golem/Heise etc.) zu informieren, wenn dir die Berichterstattung hier nicht ausreicht.

[Velofisch]

@Kartoffel:

Wenn es in der Vergangenheit keinen (nachweisbaren) Angriff gab, gab es natürlich auch keinen Schaden. Der Schaden entsteht jetzt, da die Firmen ihre Hardware austauschen werden müssen. Dieser Schaden lässt sich dann sehr gut nachweisen.

Peinlich ist in der Tat die Informationspolitik von Intel. Nicht nur das Zurückhalten, sondern das Beschönigen des Problems. Da haben die sich wirklich lächerlich gemacht.

Es ist ein bekannter Aktionismus, Dinge zu fordern, die bereits beschlossen oder in Kraft sind. Das sollte man nicht mittragen, sondern entlarven.

Kritik an Intel und an der Rechtslage ist durchaus angebracht, sollte aber an den passenden Punkten ansetzen.

[Kartoffel]

@Velofisch:

Merci;-)

[Velofisch]

Dreimal knapp daneben ist auch vorbei:

 

1. Wenn die Sicherheitslücke in den letzten 20 Jahren nicht aufgedeckt wurde, spricht das nicht für besondere Schlamperei bei Intel - eher dafür, dass sie schwer zu finden war. Interessant wäre zu erfahren, ob deutsche Behörden diese Sicherheitslücke vorab kannten, aber untätig blieben, um sie selbst auszunutzen.

 

2. Ein Schaden ist leicht nachzuweisen. Ab Mai 2018 gilt die DS-GVO. Auf Rechnern mit so einer Sicherheitslücke dürfen personenbezogene Daten nicht abgelegt werden - Punkt. Damit können Käufer leicht nachweisen, dass die gekauften Rechner für den professionellen Einsatz nicht tauglich sind. Das reicht für einen Schadensersatzanspruch.

 

3. Es gibt die entsprechenden Standards. Was hinterherhinkt ist die Haftung der Hardwarehersteller. Ab Mai kommt nur die Haftung der Verwender dieser Hardware.

 

Könnt Ihr solche Artikel nicht mal von jemanden schreiben lassen, der eine Ahnung von der Materie hat?