Neuer ETSI-Standard zur Meldung von Sicherheitslücken

Das bisher mehr für die Standardisierung von Hintertüren für Überwachungsbehörden als für IT-Security bekannte europäische Normeninstitut für Telekoms ETSI beschäftigt sich nun mit der Auffindung von nicht-normierten Sicherheitslücken.

Von Erich Moechel

Die Entdeckung immer neuer, kritischer Sicherheitslücken in IT-Equipment der Industrie hat spät aber doch auch das europäische Normeninstitut für Telekoms (ETSI) aufgeweckt. Noch bis 15. September läuft die öffentliche Begutachtungsfrist für eine ETSI-Spezifikation, die den Meldevorgang von Sicherheitslücken durch Dritte vereinheitlichen soll.

Seit der Einführung von LTE (4G) gelten in den ehedem proprietären Netzen der Telekoms zunehmend die Standards der IT-Welt. Dem trägt diese Spezifikation Rechnung, indem wichtige Abläufe in der IT-Sicherheit nun auch für die Welt der Telekoms normiert werden. Die Spezifikation zeigt aber auch, dass man hier noch ziemlich am Anfang steht.

Sicherheitslücken, Strafen, Datenschutz

Der aktuelle Cyberangriff auf T-Mobile USA, bei dem mehr als 50 Millionen Kundendaten gestohlen wurden, demonstriert die Notwendigkeit, einen solchen Standard auch in der Telekombranche zu etablieren. Es ist bereits der sechste große Sicherheitsgroßvorfall innerhalb von vier Jahren bei der US-Tochterfirma der Deutschen Telekom. Anders als in Europa, wo seit der Einführung der Datenschutzgrundverordnung (DSGVO) 2016 immer häufiger Strafen verhängt werden, die auch Großkonzerne nicht mehr aus der Portokasse bezahlen können, gibt es in den USA kein auch nur annähernd vergleichbares Regime.

In Europa drohen bei grober oder wiederholter Fahrlässigkeit im Umgang mit Kundendaten Strafen, die bis zu vier Prozent des Konzernumsatzes betragen können. Dieser Umstand hatte offenbar dazu beigetragen, dass IT-Sicherheitslücken von der Industrie nun langsam ernst genommen werden. Auf die DSGVO folgten nämlich 2018 die Standards ISO/IEC 29147 und ISO/IEC 30111, in denen sowohl der Einmeldungsprozess wie auch der weitere Umgang mit neu entdeckten Schwachstellen in von außen - also aus dem Internet - sichtbaren IT-Systemen bis zu einem gewissen Grad normiert wurden.

Die Standards und die Praxis

Auf diese beiden ISO-Standards beruft sich die ETSI-Spezifikation ebenso wie auf eine Handvoll von Publikationen der „Internet Engineering Taskforce“ (IETF), der Sicherheitsorganisation FIRST, des US-Forschungsinstituts MITRE und des „National Institute of Standards and Technology“ (NIST) der USA. Vorausgesetzt wird in diesem Guide des Technischen Komitees TC Cyber im ETSI nur sehr wenig. Einleitend werden sogar einfachste Begriffe wie „Exploit“ oder „Payload“ erklärt und in dieser Tonart geht es auch weiter. Dieser ETSI-Entwurf formalisiert eine Konvention zur Einmeldung von Sicherheitslücken, die von den Großkonzernen längst praktiziert werden und die ist in etwa wie folgt:

Sicherheitsforscher, die in einer vom Internet aus sichtbaren Anwendung „Bugs“ entdecken - also Programmierfehler, falsche Umsetzung eines technischen Sicherheitsstandards usw. - melden diese an das betreffende Unternehmen bzw. an den Hersteller eines Geräts, wenn der Bug direkt im Betriebssystem etwa eines Webservers oder Routers sitzt. Sodann versucht das Unternehmen in einem „Triage“ genannten Prozess, den Fehler in einer Testumgebung zu reproduzieren und seinen Gefährdungsgrad zu bewerten. Je nach Schwere erfolgt dann entweder ein „Hotfix“, also ein Provisorium zur Absicherung, auf das in meist beträchtlichem Zeitabstand die tasächliche Fehlerbehebung in den betreffenden Systemen folgt.

Kaffeehäferl und Dankesbriefe, bezahlt wird nicht

Der Guide hat wenig direkt mit Technik zu tun, vielmehr sollen Methoden, Vorgangsweisen und vor allem die Kommunikationsprozesse der Site-Betreiber mit dem Entdecker des Bugs vereinheitlicht werden. Und da geht man im ETSI davon aus, dass Sicherheitsforscher in erster Linie bekannt und öffentlich gewürdigt werden wollen. Von einer „Bug Bounty“ - einer Art „Kopfgeld“ auf die gefährlicheren Schwachstellen - wie sie Google, Apple und eine ganze Reihe weiterer, großer Unternehmen ausgeschrieben haben, ist nämlich nirgendwo im Guide die Rede.

Die Crux an einem solchen allgemeinen Sicherheitsstandard ist nämlich, dass er nicht an eine bestimmte Zielgruppe adressiert ist. Was für ein kleines oder mittelständisches Unternehmen (KMU) an Maßnahmen zur Auffindung von Sicherheitslücken gut genug ist, kann für einen Großkonzern wie die Deutsche Telekom AG viel zu wenig sein. Mit einem KMU verbinden Sicherheitsforscher nun einmal andere Erwartungen als mit einem milliardenschweren Weltkonzern. Letztere sind nämlich die „Stakeholder“ im European Telecom Standards Institute, das nichts anderes ist als ein Verein bei Nizza, der von den großen Telekoms und ihren Zulieferern wie Ericsson, Nokia oder Huawei vollständig dominiert wird.