Fragen? Antworten! Siehe auch: Alternativlos
Wie einem Mitglied der AG KRITIS vertraulich zugetragen wurde, hätte die Citrix-Sicherheitslücke bereits einige Tage oder Wochen vor der ersten Meldung von Citrix am 17.12.2019 an das BSI gemeldet werden können. Mitarbeiter eines DAX30-Konzerns hatten schon früher Kenntnis über die Sicherheitslücke erlangt – entschieden sich aber, diese nicht dem BSI zu melden. Mangels Vertrauen, dass diese Erkenntnisse nicht auch über das BMI an die Sicherheitsbehörden zur Ausnutzung gelangen würden!ACH NEE. Na sowas. Tja. Hätte uns doch nur jemand vorher gewarnt.
Seit wieviel Jahren bläst der CCC jetzt in dieses Horn? 10? 20? 30?
Nun kann man ja verschieder Meinung sein, ob der Staat bei kritischen Infrastrukturen seine Finger im Spiele haben sollte oder nicht. Man könnte aus zwei Gründen dagegen sein. Entweder man ist Marktfundamentalist und findet, der Markt solle das selber regeln. Oder man hat bei Snowden zugehört und will den Staat grundsätzlich raus haben aus allen Sicherheitsfragen in der Wirtschaft. Es ist schließlich bekannt, dass die Bundesregierung es sich im Rektum der USA bequem gemacht hat und denen wie ein Schoßhündchen alle Informationen gibt, die sie haben wollen, in der Hoffnung, dann von CIA und NSA über Terroranschläge informiert zu werden, die wir nicht hätten, wenn wir nicht den USA in ihre Kriege hinterherziehen und helfen würden.
Ich persönlich sehe daher die Meldepflichten der Kritis-Unternehmen sehr kritisch, weil das eben nicht alles sofort veröffentlicht wird. Dann könnte ich damit leben. Aber so? So ist das doch geradezu der Prototyp von privilegierten Informationen, an denen die Amerikaner mit GANZ großer Sicherheit genug Interesse haben, um da voll im Bild zu sein, wo die Schwachstellen ihrer "Verbündeten" liegen. Es ist mir unbegreiflich, wieso die Kritis-Firmen das einfach so schlucken. Immerhin reden wir hier von dem Land, das als erstes und bisher einziges im Ausland Cyberwar durchgeführt hat, mit dem Ziel Dinge kaputtzumachen. Im Iran. Stuxnet. Ihr hörtet vielleicht davon.
Es ist mir auch unbegreiflich, wieso die Kritis-Unternehmen diesen Scheiß nicht selbst geregelt kriegen! Stattdessen fahren die alle Windows und Outlook und Active Directory und wundern sich dann über Emotet und Eternalblue. Patchen hält niemand für nötig.
Ja und dann weiß ich auch nicht. Vielleicht ist das ja einfach Schicksal. Vielleicht haben wir den Untergang einfach verdient. Das ist der Totmannschalter der Evolution. Wenn die Spezies zu mächtig wird, richtet sie sich durch technische Inkompetenz selber zugrunde.