»Einer für die Galerie«, sagen Fußballkommentatoren gerne, wenn ein Torwart einen harmlosen Schuss mit einer Applaus heischenden Flugeinlage abwehrt. WannaCry war auch so eine Einladung zur Galerie, und zwar für jeden IT-Administrator, der seine Hausaufgaben gemacht hatte. Der Schaden, den die Ransomware angerichtet hatte, macht es heute leicht, die eigene Unbeschadetheit als Zeichen einer erfolgreichen Prävention zu deuten. Ich kann vor dieser Perspektive nur warnen. Denn weder sind XP-Mammuts in der Verwaltung ausgestorben, noch erfahren 20-stellige Passwörter, Update-Orgien oder Datensparsamkeit breite und tiefe Zuneigung.

WannaCry war kein Härtetest. Die Gefahr war im Vorfeld lange bekannt und Admins hatten mit dem Microsoft-Patch schnell ein wirksames Gegenmittel zur Hand. Zudem wurde die Verbreitung des Wurms (mehr oder weniger zufällig) sehr frühzeitig unterbunden. Doch haben wir bei der nächsten Sicherheitslücke wieder so viel Glück?

Wir sollten WannaCry als Warnschuss nehmen! Für alle, aber besonders für jene, die nicht mehr gewartete Betriebssysteme im Einsatz haben, für jene, die ihre Updates ausschließlich in festen Intervallen einspielen, für jene, die ihr Backup stets live synchronisieren (und somit von der Ransomware gleich mitverschlüsseln lassen) und alle diejenigen, die an die Zauberkraft der Firewall und Perimeter-Sicherheit glauben (siehe ÖFIT-Whitepaper).

Die Öffentlichkeit redet im Zuge von WannaCry gern über die zweifelhaften Geschäfte der Geheimdienste mit unbekannten Sicherheitslücken. Das ist sicher eine interessante Debatte, aber sie wird uns auf mittlere Sicht nicht sicherer machen. Wer Sicherheit will, sollte mindestens ebenso viel und intensiv über Resilienz, Update-Policies und IT-Grundschutz-Konzepte reden und sie umsetzen. Und wir sollten die Anwenderinnen und Anwender in die Debatte einbinden. IT-Sicherheit mag die Arbeit von Spezialisten sein, aber sie fängt bei den Anwendern an. Die vielleicht zentrale Frage ist aber: Wo ist Vernetzung sinnvoll und wo übersteigt das Risiko den Nutzen? Und nein: Wer sich diese Frage stellt, hat nicht kapituliert, sondern ist Realist.

Auch noch unbeschadet zu bleiben, wenn es mal nicht mehr nur »Einer für die Galerie« ist, sondern ein ernsthafter, weil unerwarteter Angriff – das ist die wahre Herausforderung.

Eine spannende Lektüre wünscht Ihnen,
Dr. Matthias Flügge
Leitung Geschäftsbereich Digital Public Services

Digital Gipfel
12.-13.06.2017, Ludwigshafen (Info)

Zukunftskongress Staat & Verwaltung
20./21.06.2017, Berlin (Info)

Seminar »Strategic Open Government Data Provision«
03.07.2017, Berlin (Info)

KITS-Konferenz: »Rückblick und Ausblick IT-Sicherheit«
06.07.2017, Berlin (Info)

Workshop »Baukasten E-Akte: modular - digital – innovativ«
12.09.2017, Berlin, (Info)

PITS - Public-IT-Security
12./13.09.2017, Berlin (Info)

Fachtagung IT-Beschaffung
20./21.09.2017, Berlin (Info)

Seminar »Vertrauen durch Produktzertifizierung«
21.09.2017, Berlin (Info)

it-sa - IT-Security-Messe
10.-12.10.2017, Nürnberg (Info)

Jahrestagung E-Akte
15./16.11.2017, Berlin (Info)