Johannes Schätzl, SPD-Digitalpolitiker und Informatiker, hat eine scharfe Kritik am Bundesamt für Sicherheit in der Informationstechnik (BSI) geäussert. Anlass ist die jüngste kritische Sicherheitslücke in PHP, einer weit verbreiteten Programmiersprache, die auf Millionen von Webservern weltweit läuft. Schätzl argumentiert, dass das traditionelle Modell der IT-Sicherheit, bei dem Patches nach Schwachstellenentdeckung verteilt werden, nicht mehr ausreichend ist.
Das zentrale Problem ist die rasante Geschwindigkeit, mit der moderne Angreifer Schwachstellen heute ausnutzen können. Durch den Einsatz von Künstlicher Intelligenz und automatisierten Exploit-Generatoren können Cyberkriminelle und staatliche Akteure Sicherheitslücken nun innerhalb von Stunden oder sogar Minuten nach ihrer öffentlichen Bekanntmachung angriffsbereit machen. Das klassische Modell, wonach Administratoren Zeit haben, Patches aufzuspielen, funktioniert in dieser neuen Realität nicht mehr.
Schätzl fordert eine grundlegende Neukonzeption der deutschen Cyberabwehr. Das BSI, so seine Kritik, sitze oft in einer reaktiven Position und versuche, mit Updates hinterherzulaufen. Was notwendig ist, sind präventive, proaktive Ansätze: bessere Sicherheitsstandards bei der Software-Entwicklung von Anfang an, stärkere Anforderungen an Hersteller, Sicherheit in den Code-Review-Prozess zu integrieren, und möglicherweise auch staatliche Investitionen in sichere, offene Alternativen zu weit verbreiteter Software.
Ein weiterer Aspekt ist das sogenannte "Zero-Day"-Problem. Wenn eine Schwachstelle noch gar nicht offiziell bekannt ist, können Angreifer sie monatelang oder länger ausnutzen, bevor Patches verfügbar sind. Mit KI-gestützter Schwachstellenanalyse wird es zunehmend schwieriger, solche Lücken geheim zu halten.
Für KMU-IT-Abteilungen bedeutet dies eine doppelte Herausforderung: Sie müssen zum einen ihre Infrastruktur ständig aktuell halten und monitoring verstärken, um Angriffe schnell zu erkennen. Zum anderen sollten sie sich bewusstsein, dass traditionelle Patch-Management-Prozesse alleine keine vollständige Sicherheit mehr bieten. Segmentierung von Netzwerken, reduzierte Berechtigungen und Verhaltensüberwachung werden immer wichtiger.