Der Fall von letzter Woche war symptomatisch für den Ärger, mit dem sich Systemadministratoren herumschlagen müssen: Am Montag warnte Microsoft vor einem Sicherheitsleck in der Webserver-Software von Windows 2000. Sehr schnell stellten die Redmonder dann einen Patch zur Verfügung und empfahlen dessen umgehende Installation. Zu schnell, wie sich bald herausstellte. Wenige Stunden, nachdem der Patch zum Download bereitgestellt wurde, gingen bereits die ersten Klagen von Kundenseite ein. Nach der Einspielung des Patch lief auf ihren Windows-2000-Systemen gar nichts mehr. Aufgeschreckt durch die eingehenden Meldungen informierte Microsoft tags darauf, dass der Patch nur in ausgesuchten Konfigurationen seinen Dienst erfüllen würde.
Doch wie hätte sich das Problem vermeiden lassen? Im vorliegenden Fall wurde das Leck erst bekannt, nachdem sich Hacker diese Verwundbarkeit bereits zunutze gemacht und verschiedenste Server attackiert hatten. Bei Microsoft geriet man unter Druck und war gezwungen, schnellstmöglich ein Gegenmittel zur Verfügung zu stellen. Wie man bei Microsofts Security Response Center eingestehen musste, hätte man das Patch-Problem möglicherweise vorzeitig entdeckt, wenn denn mehr Zeit für Tests zur Verfügung gestanden hätte.
Damit sich ähnliche Vorfälle wenn nicht vermeiden, so doch auf ein Minimum beschränken lassen, sind sowohl Software-Hersteller wie auch die Geschäftsführer auf Kundenseite gefordert: Von Microsoft erwarte ich, dass nur ausgiebig getestete Hotfixes und Patches mitsamt allen nötigen Informationen zur Verfügung gestellt werden. Immerhin handelt es sich beim vorliegenden Fall nicht um eine Ausnahmeerscheinung. Bereits vor zwei Jahren vermochte erst die dritte Patch-Version ein Sicherheitsleck im Exchange-Server zu stopfen.
Die Systemverantwortlichen ihrerseits dürfen sich nicht auf die Microsoft-internen Tests verlassen. Sie sind gezwungen, eine Testumgebung zu betreiben, um hier die Updates zu prüfen. Zwar bietet auch diese Vorgehensweise keine niet- und nagelfeste Sicherheit, doch lässt sich zumindest feststellen, wenn ein Patch das System komplett blockiert. Ein Testsystem auch nur in einer annähernd identischen Konfiguration zu betreiben, ist allerdings nur mit einem Riesenaufwand möglich. Das ausgiebige Testen von Patches nimmt enorm Zeit und Ressourcen in Anspruch, die allzu oft nicht zur Verfügung stehen.
Deshalb mein Aufruf an die Geschäftsleitungen: Stocken Sie die finanziellen Mittel für Ihre Administratoren auf! Ihre Investition wird sich in einer sichereren IT-Infrastruktur auszahlen.
(rd)
