Patchen wird zum Tagesgeschäft

Was die Hersteller gerade liefern

Fortinet

Der Hintergrund zu Fortinet: Am 21. Oktober kündigte der Hersteller Sicherheitsupdates an. Einen Tag später waren sie für FortiOS, FortiManager und FortiAnalyzer verfügbar, mit kritischen und hohen Fixes. FortiOS ist das Betriebssystem der FortiGate-Firewalls, FortiManager verwaltet sie zentral und FortiAnalyzer wertet die Protokolle aus. Fortinet empfahl, das als vorrangige Änderung zu behandeln und nicht als normalen Wartungsrhythmus. Sicherheitsforscher rechneten damit, dass die Lücken rasch nachgebaut und ausgenutzt werden.

Citrix und Sophos

Bei Citrix ist es ähnlich. Ende September musste der Hersteller acht Lücken in NetScaler schliessen, womit unteranderem der sichere Zugriff auf Cloud-Infrastruktur geregelt wird. Zwei davon wurden bereits ausgenutzt, bevor es überhaupt einen Patch gab. Und am 12. November folgte das nächste Bulletin, diesmal mit 28 Lücken, darunter laut ersten Berichten neun kritische. Sophos lieferte am 6. November ein kritisches Firewall-Update, welches nach der Installation des Hotfixes einen erneuten Neustart brauchte.

Veeam

Bei Veeam, Hersteller einer führenden Backup-Lösung, waren wir in diesem Jahr gleich mehrfach dran. Im Januar gab es Updates für vier Lücken, eine davon kritisch. Im März folgten sieben weitere, darunter mehrere kritische. Im Juni kam eine weitere kritische Lücke dazu. Im August erschienen wieder Updates. Und im Oktober gleich zweimal: Am 6. Oktober wurde eine kritische Lücke geschlossen. Am 27. Oktober folgte die nächste kritische, die ein Angreifer sogar ohne Anmeldung ausnutzen konnte.

Dass es gerade das Backup trifft, ist kein Zufall. Erpresser-Gruppen nehmen Veeam häufig ins Visier, weil die Sicherung für die Wiederherstellung so wichtig ist.

Microsoft

Und dann ist da Microsoft. Im November waren es am Patch Tuesday über 1’000 behobene Lücken. Darunter eine bereits ausgenutzte Lücke in Outlook: Eine präparierte Nachricht kann das Programm ohne die übliche Warnung mit einem fremden Ziel verbinden. Die Zahl allein sagt allerdings wenig. Fachleute weisen darauf hin, dass nur ein kleiner Teil der Lücken die meisten Unternehmen wirklich betrifft. Genau diesen Teil zu finden, ist die Arbeit.

Woher das Tempo kommt

Mehr Lücken, früher gefunden

Warum kommt das gerade jetzt so oft vor? Ein Teil der Erklärung ist künstliche Intelligenz, denn sie findet Fehler in Software viel schneller als früher. Anthropic berichtet, dass sein Modell «Claude Mythos Preview» im ersten Monat mit seinen Partnern über 10’000 schwere oder kritische Lücken in wichtiger Software gefunden hat. Das ist gut, denn was jemand findet und meldet, lässt sich schliessen. Der Engpass liegt laut Anthropic inzwischen beim Prüfen, Melden und Beheben. Microsoft rechnet damit, dass die monatlichen Updates weiter zunehmen werden.

Was wir nicht wissen

Wie viel davon bei einzelnen Herstellern auf KI zurückgeht, lässt sich von aussen nicht konkret sagen. Fortinet und Citrix schreiben, dass sie selbst KI einsetzen. Das heisst aber nicht, dass jede einzelne Lücke daher stammt. Ebenso können wir nicht seriös beurteilen, wie stark Angreifer dieselben Werkzeuge nutzen. Klar ist nur, was wir in den letzten Wochen erlebt haben: Die Meldungen kommen praktisch täglich und die Hersteller bitten um Tempo. Die Richtung ist aber klar.

Wie wir damit umgehen

Tempo statt Abwarten

Wenn Lücken immer schneller gefunden werden, entscheidet Geschwindigkeit darüber, wie gut ein Unternehmen geschützt bleibt. Wir gehen nicht davon aus, dass es bald ruhiger wird, und «Abwarten und nichts tun» ist heute keine Option mehr. Bei Geräten, die von aussen erreichbar sind, sprechen wir von Tagen und nicht von Wochen.

Schnell, aber nicht hektisch

Schnell heisst bei uns aber nicht hektisch. Wir wissen vorher, was wir ändern. Und wir wissen, wie wir es zurückdrehen könnten, wenn etwas nicht wie erwartet läuft.

Wachsam bleiben

Und wir bleiben wachsam. Eine Herstellermeldung nehmen wir auch dann ernst, wenn es schon die fünfte im Monat ist und sich langsam nach Routine anfühlt.

Nicht die Zahl der Updates zählt, sondern wie schnell das Richtige zuerst dran ist.