Sicherheitslücken: Staaten kaufen fleißig ein

(C) Kjetil Korslien, 2013, Bild: flickr (nicht portiert) (CC BY-NC 2.0)

Einem Bericht der New York Times zufolge, würde der Markt für Zero-Day-Sicherheitslücken seit längerer Zeit regelrecht boomen. Derartige Lücken könnte man mit entsprechenden Exploits (Ausnutzung von Schwachstellen) angehen. Die sog. Zero-Day-Exploits werden dabei am "nullten Tag" entwickelt, also am gleichen Tag, an dem die Schwachstelle entdeckt wurde, oder sehr kurz danach. Entwickler haben dadurch kaum Zeit, die Software und deren Nutzer zu schützen.

Laut New York Times heißt es nun, dass zu den wichtigsten Abnehmern derartiger Lücken speziell auch Staaten gehören. Softwarehersteller hatten in der Vergangenheit mit verschiedenen Möglichkeiten dafür geworben, dass solche Lücken gemeldet werden. Auch finanzielle Anreize werden dabei gemacht. Diese scheinen dabei aber wohl eher "mager" auszufallen. Durch die Entwicklung auf dem Schwarzmarkt dürften jene finanziellen Anreize eher ein Tropfen auf dem heißen Stein sein.

Immer häufiger bedienen sich hier auch zahlungskräftige Staaten und ihre Auftragnehmer. In der Zeitung wird Howard Schmidt mit den Worten zitiert, dass Regierungen zunehmend zu dem Schluss kämen, dass man das Land am besten dadurch schützen könne, indem man Schwachstellen in anderen Ländern findet. Schmidt ist ein ehemaliger Computersicherheits-Koordinator des US-Präsidialamtes.

Staatliche Stellen hätten seinen Angaben zufolge ein "großen Interesse", um mit derartigen Sicherheitslücken Vorteile zu erlangen. Sie ermöglichen einen "unerkannten und schnellen Zugriff", heißt es. Solche Schwachstellen, welche man auch verstärkt von illegalen Schwarzmarkbörsen aufkauft, bieten demnach die Grundlage für Spionage-Aktionen. Auch die Staatstrojaner zur Überwachung benennt man hier.

Mittlerweile sei in der Szene ein regelrechter "Goldrausch" ausgebrochen. Je nach Sicherheitslücke werden teils extrem hohe Summen ausgegeben, damit diese ausgenutzt werden können. Für zahlreiche auf derartige Lückenfindungen spezialisierte Firmen sei es ein erträgliches Geschäft, solche Sicherheitslücken an zahlungskräftige "Kunden" zu verkaufen. Verkaufen tut man teils auch an den Höchstbietenden, und das weltweit. Unter anderem Regierungsstrukturen in Israel, Großbritannien, Russland, Indien, Brasilien, Nordkorea und weitere Länder zählen zu den "Lücken-Käufern".

Die Geschäfte würden mittlerweile aber auch differenzierter ablaufen. Es geht oft nicht mehr um eine feste Summe die gezahlt wird, sondern Sicherheitsexperten ("Lücken-Finder") erhalten Bonuszahlungen für jeden Monat, in dem das Wissen über die Lücke exklusiv bleibt. Mit eingebunden wären auch Broker, welche entsprechende Deals gegen eine prozentuale Provision vermitteln.

---