Conficker nicht zu stoppen: Warum er in Unternehmen wütet

Der Conficker-Wurm mit seinen Auswirkungen zeigt, dass die Gefahr von empfindlichen Betriebsstörungen jederzeit real ist. Zwar führt Conficker keine zerstörerischen Aktionen aus, beispielsweise das Löschen von Daten, und sendet nach dem aktuellen Stand der Dinge auch keine Daten "nach Hause", bringt jedoch den geordneten Betrieb eines Computernetzwerkes durcheinander.

So können sich Benutzer oft nicht mehr anmelden. Falls doch, erreichen sie viele Domains im Internet nicht mehr. Konkret hat das dazu geführt, dass französische Kampfflugzeuge am Boden bleiben mussten, und die Bundeswehr sah sich gezwungen, einige Dienststellen vom Netz zu nehmen. Ferner darf man davon ausgehen, dass in vielen betroffenen Unternehmen die Business Continuity nicht sichergestellt war.

Ein geschätzte Verbreitung des Conficker-Wurm in den Varianten B und C auf über 12 Millionen Rechnern hätte nicht sein müssen, wenn man den Patch MS08-067 vor Ende Dezember 2008 eingespielt hätte. Man muss jedoch die Gründe von Behörden und Unternehmen verstehen, warum sie gerade auf Servern darauf verzichten, regelmäßig Updates einzuspielen. Die Erfahrung zeigt, dass das Einspielen eines Updates Seiteneffekte haben kann. Ein Server kann nach einem Update Probleme bis hin zum Gesamtausfall aller Dienste verursachen.

Hier ist Microsoft durchaus gefordert. Sicherheitsupdates dürfen nur die Beseitigung des Sicherheitsproblems beinhalten. Wenn in der gefixten Datei bereits neue Features aus einem späteren Development Branch enthalten sind, dann ist die Gefahr von Seiteneffekten groß. Dass Microsoft komplette Service Packs von Betriebssystemen in die gleiche Kategorie einordnet wie Security-Fixes, muss grundsätzlich kritisiert werden. Hier muss Microsoft klar trennen und diese Trennung ebenso glaubhaft vermitteln. Sonst werden Unternehmen weiterhin auf Server-Updates verzichten.

Äußerst gefährdet für Angriffe aller Art sind Betreiber von NT 4.0 oder früheren Versionen von Windows NT. Entgegen landläufiger Meinung, gibt es noch viele Großunternehmen, die bisher kein Migrationsprojekt von NT-Domänen hin zu den Active Directory Services gewagt haben. Hier besteht keine ernsthafte Alternative zur baldigen Durchführung der Migration, auch wenn sie mit nicht unerheblichen Kosten verbunden ist.