Sicherheitsupdate-Rückblick 2010

Dieser Blick zurück greift wichtige Fragen und interessante
Details auf, die im Zusammenhang mit den im vergangenen Jahr veröffentlichen
Microsoft-Sicherheitsupdates auftauchen.

Hinsichtlich der Anzahl der Updates war 2010 ein Rekordjahr:
Insgesamt wurden 106 Sicherheits-Bulletins herausgegeben. Die hohe Zahl ist
einerseits dadurch begründet, dass mehr Schwachstellen in Microsoft-Produkten
entdeckt wurden. Andererseits vergibt Microsoft im Schnitt weniger CVEs
(Common Vulnerabilities and Exposures) pro Bulletin. Insgesamt wurden 266 CVEs
behandelt – die bislang höchste Zahl in einem Kalenderjahr. Für Freunde der
Statistik: Es gab 71 Bulletins für Windows, 20 für Office und sechs für den
Internet Explorer. Ein Bulletin betrifft Windows und Office gleichermaßen.

Warum wurden mehr Sicherheitslücken in Microsoft-Produkten
entdeckt? Weil immer bessere Methoden zur Schwachstellensuche auf ständig älter
werdende Produkte treffen. So feierte das immens beliebte Windows XP Service
Pack 2 in diesem Jahr seinen zehnten Geburtstag. Kurz nach der Jahrtausendwende
eingeführt, ist das System längst nicht so robust gegenüber Angreifern wie das
moderne Windows 7.

Die Zahlen belegen dies: 49 Bulletins betrafen im vergangen
Jahr Windows 7. Windows Vista wurde 54 Mal behandelt. Windows XP hingegen 60
Mal. Nicht zuletzt den robusteren neuen Systemen ist es wahrscheinlich zu
verdanken, dass der Schweregrad der entdeckten Lücken – von Microsoft mit
Begriffen wie „Kritisch“ oder „wichtig“ bezeichnet – im Mittel seit zirka zwei
Jahren sinkt.

Knapp 80 Prozent aller an Microsoft herangetragenen
Schwachstellen wurden verantwortungsbewusst gemeldet. Das heißt, die Details
zur Lücke wurde erst offengelegt, nachdem Microsoft ein Sicherheitsupdate
bereit gestellt hat. Dieser Weg der Coordinated Vulnerability Disclosure bietet
den Anwendern von Softwareprodukten größtmöglichen Schutz, da der betroffene
Hersteller das Update ohne Zeitdruck entwickeln und hinreichend testen kann.

Werden im Jahr 2011 noch mehr Sicherheitsupdates
veröffentlicht als in den vergangenen zwölf Monaten? Darauf können weder ich
noch die US-Kollegen eine Antwort geben. Unsere Glaskugeln sind in der letzten
Woche des Jahres regelmäßig zur Wartung in der Werkstatt :-)

Was ich aber mit Bestimmtheit vermelden kann, sind meine
besten Wünsche für das kommende Jahr an Sie, werte Leser. Rutschen Sie sicher
ins neue Jahr 2011 und bleiben Sie uns weiterhin gewogen – auch wenn das
Beschäftigen mit Sicherheitsupdates eher zu den unangenehmen Aufgaben eines
IT-Profis gehört.