IT-Sicherheit: Frühwarnsysteme setzen auf Angst- und Panikkäufe

Welchen Kurs nimmt ein potenzieller Schädling und welches Ausmaß der Verwüstung auf der Skala bis Warnstufe Fünf richtet er möglicherweise an? Mit Frühwarnsystemen in der IT-Sicherheit ist es fast so kompliziert wie mit Prognosen bei dem kürzlich vor der amerikanischen Küste tobenden Hurrikan Katrina. Wer kann schon genau prognostizieren, an welchen Standorten genau welche Schäden auftreten – oder wo Warnmeldungen sogar eher übertrieben waren?

Nicht nur bei Klimaforschern, auch in der Security-Branche sind so genannte Frühwarnsysteme wissenschaftlich umstritten. „Es kommt schon vor, dass Alerts, die breit an die Presse verteilt werden, mehr dem Marketing als der Aufklärung dienen“, sagt Sicherheitsberater Stefan Strobel, Geschäftsführer der Heilbronner Cirosec GmbH. Allerdings läge das Problem nicht darin, Warnungen quasi frei zu erfinden, sondern in der Bewertung, die eventuell nicht auf die eigene Situation des Unternehmens passe.

Doch spendet diese Erkenntnis nicht allzu viel Trost. Nicht wenige Unternehmen sind von der Flut akuter Warnmeldungen über IT-Sicherheitslücken – so genannte Security Alerts – ziemlich erschlagen. Insbesondere kleine und mittelständische Unternehmen ohne große organisatorische Sicherheitsstrukturen beziehungsweise klar geregelte Verantwortlichkeiten verfügen kaum über die Zeit, neben den üblichen Standardschutzmaßnahmen noch zwischen Hype und nutzwertbezogener Information zu filtern.

„IT-Sicherheit wird oft instrumentalisiert, um mehr Umsatz zu machen“, bestätigt Penetrationstester Sebastian Schreiber, Geschäftsführer der Syss GmbH. Hinzu kommt, dass etliche Anbieter angesichts zweistelliger Wachstumsraten in diesem Jahr etwas übermütig die Werbetrommel rühren. „Unternehmen sollten nicht gerade die Tagesschau als Grundlage für ihre Prioritäten beim Stopfen von Sicherheitslücken nutzen“, gibt indes Thorsten Wichmann, Geschäftsführer des Berliner Marktforschers Berlecon Research, zu bedenken.

Der Marktforscher sieht einen kontinuierlichen Strom an entdeckten Sicherheitslücken und Patches, den in erster Linie von Administratoren wahrnehmen. Meist jedoch haben unbekannte Lücken weit größere Folgen als die öffentlich diskutierten Varianten, etwa indem Datendiebe Zugriff auf sensible Kundendaten erhalten. „Was fehlt sind harte und valide Fakten, weil die Betrogenen die wirklich gravierenden Fälle von Industriespionage gar nicht bemerken“, weiß auch Sebastian Schreiber um das aktuelle Informationsdefizit.