Die schmutzigen Geheimnisse der Security-Industrie

Branchenkritiker der Security-Industrie, wie Bruce Potter, kritisieren weniger die „schnelle Mark“ im Geschäft mit der Angst. Im Vordergrund stehen vielmehr die löchrigen Schutzkonzepte.

Bruce Potter nennt das Kind gerne „The Dirty Secrets of the Security Industry“, obwohl er weiß, dass er sich damit nicht nur Freunde macht. So präsentiert der Experte seine provokanten Thesen immer wieder auf einschlägigen Fachkonferenzen, etwa im vergangenen Jahr auf der Hackerkonferenz Defcon im Spielerparadies Las Vegas. Entsprechend groß war seine Zuhörerschaft.

Um sich selbst vor den Risiken und Nebenwirkungen seines gesprochenen Wortes zu schützen, streut der Gründer der Non-Profit-Organisation Shmoo Group gleich zu Beginn seiner Vorträge einen entsprechenden Warnhinweis mit ein. Bei seinen Ausführungen handle es sich nur um seine persönliche Meinung und nicht unbedingt um eine wissenschaftlich fundierte Analyse.

Trotzdem hat Potter die Zuhörer auf seiner Seite, wenn er das Ende der „tiefen Verteidigungslinie im Internet“ propagiert. Das Ende des Firewall-Zeitalters habe innerhalb des letzten Jahrzehnts den Beginn der „Defense in Depth“ eingeleitet, argumentiert der Sicherheitsexperte.

Jedoch sei die erweiterte Netzwerkabwehr mit Elementen wie Intrusion Detection, Antivirenschutz und Anti-Spam zu keiner Zeit in der Lage gewesen, die Probleme im globalisierten Datenverkehr ausreichend in den Griff zu bekommen. Auch mit Hilfe der Multifaktor-Authentifizierung lasse sich kaum ein ausreichendes Schutzniveau herstellen. „Es gibt immer noch schlechten Code“, pointiert der Experte.

Seine Hauptkritik richtet Bruce Potter neuerdings an die mit viel Aufwand und Marketing propagierten serviceorientierten Architekturen (SOA). „Das Netzwerk soll überall sein und SOA soll über allem herrschen“. Mit Hilfe von XML-basierten Firewalls und Single-Sign-On lasse sich jedoch schädlicher Code kaum ausschalten.

Dass derartige Behauptungen mit Blick auf serviceorientierte IT-Architekturen nicht gänzlich aus der Luft gegriffen sind, bestätigt auch ein kürzlich vom Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichtes „SOA Security Kompendium„, das zahlreiche Schwachstellen und Handlungsdefizite aufzeigt.