Microsoft kritisiert NSA wegen Sicherheitslücke

Microsoft-Präsident Brad Smith erhebt schwere Vorwürfe gegen die US-Regierung. Sie habe es zugelassen, dass das »Wanna-Cry«-Virus nicht isoliert wurde, welches nun britische Krankenhäuser und andere internationale Einrichtungen geschädigt hat.

»Dieser Angriff ist nur ein weiteres Beispiel dafür, warum das Horten von Sicherheitslücken durch Regierungen ein solches Problem ist«, schrieb Smith, der auch Chefjustiziar des Unternehmens ist, am Sonntag. Schadsoftware sei aus Regierungsbesitz in die Öffentlichkeit gekommen und habe großen Schaden angerichtet. »Ein vergleichbares Szenario mit konventionellen Waffen wäre es, wenn dem US-Militär Tomahawk-Raketen gestohlen worden wären.«

Die Kommentare von Smith waren bislang die direktesten Vorwürfe an die National Security Agency (NSA). Diese hatte die Sicherheitslücke in der Software von Microsoft entdeckt, sich diese Informationen aber von Hackern stehlen lassen, welche sie weiterverkauft haben, woraufhin nun das Virus gestartet wurde. Bei »Wanna Cry« handelt es sich um eine bestimmte Schadsoftware art - Ransomware - die Besitzer aus ihren Computern aussperrt, bis diese 600 Dollar (550 Euro) in der nicht verfolgbaren Währung Bitcoin zahlen, um wieder Zugang zu erhalten. Der Angriff wurde am Freitag gestartet und legte ein Fünftel der Systeme in britischen Krankenhäusern lahm. Dann breitete sich das Virus aus und schädigte 200 000 Anwender in 150 Ländern, wie EUROPOL erklärte. Rund 60 Prozent der infizierten Computer befinden sich in Russland.

Bis Montag hatte »Wanna Cry« auch asiatische Länder erreicht. Chinesische Staatsmedien berichten von 40 000 betroffenen Einrichtungen. Die USA sind dagegen weitgehend verschont geblieben. Ein anonymer britischer Hacker, der sich »Malware Tech« nennt und Berichten zufolge für die US-Internetsicherheitsfirma Kryptos Logic arbeitet, hatte eine Welle des Angriffs abgewehrt, indem er nicht registrierte Domainadressen kaufte, die bei dem Angriff verwendet wurden - für elf Dollar. Doch viele Experten erwarten weitere Angriffe durch Hacker, die das Virus verändern werden. Smith hat zudem beklagt, dass auf Wikileaks Sicherheitslücken veröffentlicht wurden, welche die CIA entdeckt hat.

Microsoft beschäftigt 3500 Mitarbeiter mit der Gefahrenabwehr, wie Smith erklärte. Doch die Computerbesitzer stünden auch in der Verantwortung - sie müssten sich Sicherheitsaktualisierungen auch installieren. So hatte Microsoft die Sicherheitslücke bereits im März geschlossen. Doch die betroffenen britischen Krankenhäuser nutzen noch das Betriebssystem XP, das von Microsoft nicht mehr automatisch aktualisiert wird. Das Unternehmen hat nun auch eine Aktualisierung für Windows XP bereitgestellt.

»Dieser Angriff zeigt einen Aspekt von Internetsicherheit, nämlich, dass Technologieunternehmen und Kunden eine gemeinsame Verantwortung haben«, so Smith. Dass zwei Monate nach dem Schließen der Sicherheitslücke immer noch so viele Computer angreifbar gewesen seien, unterstreiche dies. »Je mehr sich die Internetkriminellen weiterentwickeln, umso weniger können sich Kunden schützen, wenn sie ihre Systeme nicht regelmäßig aktualisieren.«

Von der US-Regierung gab es bislang noch keinen Kommentar. »Wie auch immer man darüber denkt, dass die US-Regierung für Unsummen solche Internetwaffen entwickelt, ist es doch sicher eindeutig, dass sie diese Waffen ausreichend schützen sollte«, meint Philipp Hallam-Baker von der Internetsicherheitsfirma Comodo. »Wenn jemand eine Nuklearwaffe verloren hätte, würden Köpfe rollen. CIA und NSA haben Sicherheitslücken in einem großen Ausmaß offenbart und nun zeigen sich die Folgen.«