Produktpiraterie 2.0

• IN

Qualität und Sicherheit ist Kunden viel wert. Qualitätsmarken bieten Orientierung beim Kauf. Was passiert, wenn dieses Vertrauen erschüttert wird?

12. September 2017: „Erstmals bündelt Avast die Security-­Lösungen, die nach der Übernahme von AVG im September 2016 getrennt nebeneinander herliefen, zu einer Business-Suite für KMU. „Avast Business“ umfasst drei erweiterte Lösungen zur Endpoint-Security, die kleine Unternehmen vor digitalen Gefahren schützen sollen.“ Sechs Tage später heißt es in den Medien: „Avast verteilt Malware mit Optimierungsprogramm. (…) Für Nutzer gab es keine Möglichkeit, die verseuchte Version zu erkennen.“

Manifeste Erschütterung des Glaubens in „Supply Chain Security“

Zwei Meldungen – nur wenige Stunden auseinander liegend. Sie bedeuten erneut eine manifeste Erschütterung des Glaubens in „Supply-Chain-Security“. Der zu Cisco gehörende Talos-Blog schreibt: „Supply chain attacks are a very effective way to distribute malicious software into target organizations. This is because with supply chain attacks, the attackers are relying on the trust relationship between a manufacturer or supplier and a customer.“ Das Problem also: Das Vertrauen in eine Marke, in einen Geschäftspartner wird von der Organisierten Kriminalität gezielt ausgenutzt, die Sicherheitssysteme bei einem von beiden überwunden um die Produkte eines seriösen Anbieters als Verteilplattform für schadhafte Produkte – in diesem Falle Software – zu nutzen.

Das weltweit verfügbare Programm „CCleaner“ wurde seit November 2016 über zwei Milliarden mal installiert, mit einer Steigerung der Nutzerzahlen von rund fünf Millionen neuen Nutzern pro Woche. Talos berichtet weiter: „Am 13. September registrierten wir einen Alarm unseres „Malware Protection Systems“. Bei näherem Hinsehen stellten wir fest, dass die Version „CCleaner v5.33“ betroffen war. Wir stellten weiterhin fest, dass, trotz der gültigen Signatur, nicht nur CCleaner installiert wurde, sondern eben auch Malware.“ Die betroffene Software war seit dem 15. August online. Die neue Version (5.34) wurde am 12. September veröffentlicht. Der Schadcode konnte sich demnach fast einen Monat lang durch den Download der CCleaner-Applikation verbreiten. Man geht davon aus, dass rund 2,3 Millionen Kunden betrogen und deren Rechner infiziert wurden.

Noch ist unklar, welches Ziel diese Attacke hatte. Klar ist jedoch: Zielgerichtet wurde das Vertrauen der Kunden in vermeintlich verlässliche Marken ausgenutzt. Im Umkehrschluss bedeutet das: Gerade die großen, vertrauenswürdigen Marken, Produzenten und Händler sind das Ziel der Organisierten Kriminalität. Wer das Produkt einer bekannten Marke kauft, nimmt es mit der Kontrolle nicht mehr so genau. Fatal, wenn die Anbieter selbst bei ihren Sicherheitsmaßnahmen unzuverlässig gearbeitet haben.

Das Beispiel „CCleaner“ mag derzeit in der digitalen Ökonomie auf Grund seiner Tragweite außergewöhnlich sein. Das Vorgehen ist jedoch in der schnell getakteten Branche der Programmierer und Softwarehersteller leider üblich. Und nicht nur dort: Gleiches gilt für die Hersteller von Hardwareprodukten. Vertrauenswürdige Marken sind nicht nur für Kunden attraktiv, sondern auch für die Organisierte Kriminalität. Ein Beispiel mehr, dass Qualitätsanbieter jeder Branche sehr viel mehr in die eigene Sicherheit investieren müssen, wollen sie nicht weiter als Trojanisches Pferd dienen.