NSA: Netzwerke lassen sich auch ohne Zero-Day-Lücken hacken

Eigenen Angaben zufolge ist der US-Auslandsgeheimdienst National Security Agency (NSA) nicht auf Zero-Day-Lücken angewiesen, um einzelne Computer mit Malware zu infizieren und in Netzwerke einzudringen.

Wie Motherboard berichtet, hat dies jedenfalls hat Rob Joyce, Chef der Hacking-Abteilung Tailored Access Operations (TAO), Ende vergangener Woche auf der Sicherheitskonferenz Usenix Enigma in San Francisco erklärt. Sicherheitslücken, für die es noch keine Patches gibt, spielen ihm zufolge bei staatlichen Hackerangriffen eher eine untergeordnete Rolle.

NSA-Zentrale in Fort Meade, Maryland, USA (Bild: nsa.gov)

NSA-Zentrale in Fort Meade, Maryland, USA (Bild: nsa.gov)

„Viele Menschen nehmen scheinbar an, dass staatliche Hackerangriffe mit Zero Days betrieben werden. Man hat einen Generalschlüssel, schließt die Tür auf und schon ist man drin. So ist das nicht“, zitiert ihn Motherboard. Stattdessen seien Ausdauer und Konzentration auf das Ziel gefragt. „Es gibt so viele weitere Vektoren, die leichter, weniger riskant und oft auch produktiver sind als dieser Weg.“

Joyce nannte unzureichend geschützte Geräte, die auch für private Zwecke genutzt werden, als ein Beispiel für einen möglichen Angriffspunkt. „Warum sollte man sich um professionell verwaltete Netzwerke bemühen, wenn die Leute ihre Laptops mit nach Hause nehmen und dort deren Kinder am Abend zuvor Spiele per Steam heruntergeladen haben?“

Der Sicherheitsexperte Bruce Schneier weist laut zudem darauf hin, dass Zero-Day-Lücken nur eine kurze Lebenserwartung haben. „Wenn sie entdeckt werden, werden sie entweder benutzt oder öffentlich gemacht, und dann werden sie geschlossen. Wenn man sie hortet, dann werden sie von jemand anders gefunden. Benutze sie oder verliere sie.“

Anfang November 2015 hatte die NSA die Nutzung von Zero-Day-Lücken für Spionagezwecke eingeräumt. Nach eigenen Angaben legt sie allerdings 91 Prozent der Anfälligkeiten gegenüber den jeweiligen Softwareherstellern offen. Die restlichen 9 Prozent wurden schon vor der Offenlegung durch die NSA vom Anbieter behoben oder aus Gründen der „nationalen Sicherheit“ geheim gehalten.

Nach Angaben von ehemaligen und gegenwärtigen US-Regierungsvertretern soll die NSA Sicherheitslücken oftmals zuerst für eigene Zwecke wie Cyberangriffe nutzen. Erst danach soll sie Technologieanbieter informieren, damit sie diese Fehler beheben und Updates an ihre Kunden ausliefern können. Laut Motherboard entscheidet die NSA selbst von Fall zu Fall, ob sie eine Zero-Day-Lücke ausnutzt oder einem Hersteller meldet.

Trotzdem beharre Joyce darauf, Zero-Day-Lücken seien nicht die wichtigste Waffe im Hacking-Arsenal des Geheimdiensts. „Es gibt einen Grund, warum das Advanced Persistent Thread (Deutsch: fortschrittliche anhaltende Bedrohung) genannt wird, weil wir stöbern und stöbern und warten und warten.“ Manchmal müsse man nur darauf warten, dass ein Unternehmen Support per Fernzugriff erhalte. „Wir suchen nach einer Öffnung und der Gelegenheit, unsere Mission abzuschließen.“

[Mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Anja Schmoll-Trautmann
Autor: Anja Schmoll-Trautmann
Redakteurin
Anja Schmoll-Trautmann Anja Schmoll-Trautmann Anja Schmoll-Trautmann

Neueste Kommentare 

Eine Kommentar zu NSA: Netzwerke lassen sich auch ohne Zero-Day-Lücken hacken

  • Am 2. Februar 2016 um 08:04 von someone

    „Es gibt einen Grund, warum das Advanced Persistent Thread (Deutsch: fortschrittliche anhaltende Bedrohung) genannt wird

    -> „Threat“ :)

Schreib einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *