Die schwerwiegende Sicherheitslücke in der weit verbreiteten Programmiersprache PHP ist nach Ansicht eines Experten der Cyberagentur des Bundes ein Beispiel für eine Entwicklung, die noch länger andauern dürfte. „Wir befinden uns wahrscheinlich gerade schon momentan in einem kleinen Tal der Tränen“, sagte Daniel Gille, Abteilungsleiter für Schlüsseltechnologien, der Deutschen Presse-Agentur.

Denkbar sei, dass irgendwann ein Plateau erreicht sei, da Software nicht unendlich viele Schwachstellen haben könne. Derzeit aber hätten Angreifer einen klaren Vorteil: Sie können eine veröffentlichte Sicherheitslücke innerhalb von Minuten oder Stunden auswerten und einen Angriff entwickeln. Früher habe das oft Wochen oder Monate gedauert.

Das Beheben solcher Sicherheitslücken geschehe dagegen dezentral, und das dauere deutlich länger. Das zeigt sich aktuell bei der PHP-Lücke. Viele Betreiber haben ihre Webseiten erst nach Stunden oder mehr als einem Tag wieder ans Netz genommen, nachdem sie Updates installiert hatten. Das Bundesamt für Sicherheit in der Informationstechnik stuft das Risiko der Lücke als außerordentlich hoch ein. Bislang meldeten Behörden keine erfolgreichen Angriffe auf die Bundesverwaltung; das Digitalministerium prüft, ob Daten abgeflossen sind.

Dass dies kein Einzelfall ist, deutet eine Auswertung des US-amerikanischen IT-Konzerns IBM an. Dessen Sicherheitsteam X-Force beobachtete bei zahlreichen großen Softwareanbietern wie Microsoft, Oracle oder auch dem Browser Google Chrome einen dramatischen Anstieg bekanntgewordener Sicherheitslücken. Von Januar bis September dieses Jahres waren es demnach mindestens 10.124, ein Plus von rund 578 Prozent gegenüber dem Vorjahreszeitraum. Mehr als die Hälfte dieser mittels KI entdeckten Schwachstellen wurden gemäß einem in der Branche verwendeten Punktesystem in ihrem Risiko als hoch oder kritisch eingestuft.

Cyberagentur-Experte Daniel Gille glaubt, KI werde künftig noch stärker dabei helfen, Programme so zu schreiben, dass er weniger angreifbar ist. Die Cyberagentur bereite dazu ein Forschungsprogramm vor, das demnächst ausgeschrieben werden soll. Noch weiter gehen Überlegungen, Künstliche Intelligenz selbst als Grundlage eines Betriebssystems zu nutzen.

Die Cyberagentur hat dazu nach Gilles Angaben den Auftrag, experimentell zu forschen. Demnach sei es denkbar, dass ein solches System eine grundsätzlich andere Architektur und nicht mehr den einen festen Code hätte. Schwachstellen einer Software würden dann nicht mehr flächendeckend sämtliche Systeme betreffen, die sie verwenden. Unter Betriebssystem-Experten sei die Idee allerdings umstritten. „Das ist tatsächlich eine komplett offene Forschungsfrage. Das kann wahrscheinlich kein Mensch zum heutigen Zeitpunkt beantworten“, sagte Gille.

(nen)