Weniger als fünf von 100 Computern im Internet sind mit ihrer Software auf dem aktuellsten Stand und damit bestmöglich gegen Sicherheitslücken in den Programmen abgesichert. Das ist das Ergebnis einer Statistik von rund 20.000 Computern, mit denen Anfang Januar in einem Zeitraum von einer Woche erstmals die vom IT-Sicherheitunternehmen bereitgestellte Test-Software PSI genutzt wurde. Das meldet Jakob Balle, IT Development Manager, in Secunias "Security Watchdog" Blog.
Für die Statistik werden über 5.000 gängige Anwendungen betrachtet, von Browser und E-Mail-Client bis zu diversen Media Playern. Dabei wird festgestellt, ob auf untersuchten Computern unsichere, alte Versionen laufen, zu denen es aktuellere Patches gibt, die bekannte Sicherheitslücken in den Anwendungen schließen.
Das Ergebnis bei fast 1,8 Mio. Anwendungen auf den 20.000 Computern ist erschreckend: Auf fast 42 Prozent der Computer wurden elf oder mehr unsichere Programme entdeckt, wohingegen nur rund 4,5 Prozent der Computer mit allen Anwendungen auf dem aktuellsten Sicherheits-Stand waren.
"Das sind Statistiken von Usern, die Secunias Webseite verwenden", betont Secunia-Sicherheitsexperte Thomas Kristensen. Diese seien, wie auch Balle im Blog-Eintrag unterstreicht, wahrscheinlich sicherheitsbewusster als der Durchschnitt der Internet-Nutzer. Demnach erscheine es wahrscheinlich, dass der Nutzungsgrad unsicherer, ungepatchter Programm-Versionen im Internet allgemein sogar noch höher läge.
Wie wichtig aktualisierte Software-Versionen sind, zeigt sich etwa am Beispiel von Apples QuickTime-Player. Hier gab es Ende November 2007 eine äußerst kritische und von Hackern aktiv genutzte Sicherheitslücke, für die es seit Dezember einen Apple-Patch gibt. Doch selbst Software auf dem aktuellsten Stand schützt nicht immer.
Ende letzter Woche wurde eine neue Quicktime-Lücke bekannt, die ebenfalls einen Fehler in der Bearbeitung des Streaming-Protokolls RTSP ausnutzt. "Ich wäre diesmal ebenso besorgt", schätzt Kristensen das Gefahrenpotenzial ähnlich hoch ein wie bei der November-Lücke. Allerdings sei zum neu entdeckten Sicherheitsrisiko bisher kein aktiver Exploit bekannt. (pte/cm)