Welches Betriebssystem ist unsicher?

Im Moment geistern Zahlen einer Statistik durchs Netz, die nach Meinung vieler Interpretationen belegen sollen, dass Windows gar nicht so unsicher ist, wie gemeinhin behauptet, da darin 2014 weniger Fehler als in anderen Systemen gefunden wurden. Das reißt viele Quellen wie Foren, Webseiten und Fachmagazine derzeit zu Aussagen hin wie „MacOS X, iOS und Linux gefährlicher als Windows“.

Was ist nun davon zu halten? Wie so oft zeigt sich, dass Zahlen und Statistiken geduldig sind. Wenn man sie interpretiert, muss man versuchen, in ihnen nicht nur das zu sehen, was man sehen will. Ich möchte mich hier um eine nüchternere Betrachtung der gegebenen Zahlen bemühen, weise aber vorab darauf hin, dass auch ich in den Zahlen meine ganz gegensätzliche Auffassung von der Sicherheit der Betriebssysteme eher bestätigt als herausgefordert sehe. 😉

Die Statistik

Zunächst einmal ein Blick auf die Zahlen. Es handelt sich, wie es heißt, um eine Statistik aus der National Vulnerability Database, einer Datensammlung der US-Regierung, die nicht gerade ein Muster nutzbaren Webdesigns ist. Aber nehmen wir einmal an, dass die Zahlen stimmen.

Stein des Anstoßes ist eine Statistik der im Jahr 2014 neu entdeckten Sicherheitslücken in Betriebssystemen:

Auf den ersten Blick sind in den Apple-Betriebssystemen und im Linux-Kernel tatsächlich mehr neue Sicherheitslücken in 2014 gefunden worden als in Windows. In der Diskussion im Internet stoßen sich viele daran, dass die Windows-Versionen aufgeschlüsselt werden, wohingegen Linux, iOS und OS X jeweils zu einer Gruppe zusammengefasst werden. Allerdings kann man daraus nicht folgern, dass die Windows-Versionen aufaddiert werden müssten. Aus der großen Ähnlichkeit der Zahlen lässt sich eher ableiten, dass die Sicherheitslücken dieselben sind, dass also zum Beispiel die 36 Sicherheitslücken in Windows 7 und 8 jeweils identisch sind, Vista zwei davon nicht enthält usw.

Der Betriebssystemkern von Windows ändert sich von Version zu Version kaum. Wenn die Sicherheitslücken dieselben sind, bedeutet das also, dass eine neu entdeckte Sicherheitslücke für praktisch alle gängigen Windows-Versionen gilt. Windows XP darf da ruhig mitgenannt werden, es taucht in dieser Liste wohl nur deshalb nicht auf, weil es auch nicht mehr gepatcht wird – genau so macht es Microsoft in seinen Security Advisories selbst auch.

Es stehen also bis zu 36 neue Lücken in 2014 im Konsumenten-Windows (die Serverversionen haben zwei mehr, aber das lasse ich mal außer Acht) neben 119 in Linux, 127 in iOS und 147 in OS X.

Was die Zahlen nicht zeigen

Leider wird keine Aussage darüber getroffen, ob die Sicherheitslücken auch geschlossen wurden. Das wäre eine interessante Frage: Jeder Linux-Besitzer weiß, dass er fast täglich Sicherheitsupdates bekommt. Der Linux-Kern erscheint alle 12 Wochen mit Millionen von Änderungen im Programmcode neu. Der Kern von Windows 2000 war laut Wikipedia der NT-Kernel 5.0, der von Windows 8.1 ist NT-Kernel 6.3. Dazwischen liegen 5 weitere Versionen. Diese Zahl an Versionen schafft der Linux-Kernel in etwas über einem Jahr.

Der Linux-Kern ändert sich also mit wesentlich höherer Frequenz. Es kommt mehr Code hinzu, in dem mehr neue Lücken sein können. Schon allein deshalb ist es gut möglich, dass mehr Lücken darin entdeckt werden als in dem alten NT-Kernel, der immerhin 15 Jahre Reifezeit hinter sich hat. Wichtiger ist, wie viele dieser Lücken geschlossen werden und wie schnell das geschieht. Hier stehen die schnellen Patches von Linux einem monatlichen Patchday seitens Microsoft gegenüber, der häufig nicht einmal alle bereits bekannten Lücken schließt.

Was auch noch zu beachten ist: Linux ist Open Source. Eine Sicherheitslücke kann durch Betrachten und Analysieren des Quellcodes entdeckt oder wenigstens bestätigt werden. Der Windows-Kern ist hingegen proprietär, eine Sicherheitslücke ist daher weniger leicht zu belegen und wird durch Ausprobieren oder (verbotenes) Reverse Engineering entdeckt.

Ignoriert: die Schwere der Lücken

Vor einer Beobachtung drücken sich die meisten Windows-freundlichen Interpretationen dieser Zahlen: Das Verhältnis der Schwere der Sicherheitslücken. 43,5% der Sicherheitslücken in OS X gelten als schwer, als hohes Sicherheitsrisiko. In iOS sind es 25,2%, in Linux 20,2%, in Windows 8 aber 66,7%. Windows ist also deutlicher Spitzenreiter bei den schweren Sicherheitslücken, wenn man das Verhältnis betrachtet. Und mehr noch: leichte Sicherheitslücken kommen nach dem zugrunde liegenden Einstufungssystem in keiner Windows-Version vor. Alle Windows-Sicherheitslücken sind also mindestens mittelschwer.

Weitere Informationen

Die Sicherheitslücken im Betriebssystem machen nach den Informationen der NVD lediglich 13% der gesamten Sicherheitslücken aus. Es ist eine schon länger bekannte Tatsache, dass auch Windows wesentlich anfälliger für Angriffe und Infektionen durch andere Bestandteile des Programmpakets Windows oder durch weit verbreitete Software von Drittanbietern wie Java, Flash und Adobe Reader ist, als durch Lücken im System selbst.

Eine weitere interessante Zahl ergibt sich aus einem Vergleich der Sicherheitslücken in Browsern: hier ist der Internet Explorer nämlich unangefochtener Spitzenreiter mit 242 Lücken, davon 220 schwer, also 90,9%. Keine andere Software hat so viele Lücken und dabei auch noch so einen extremen Anteil schwerer Sicherheitslücken:

Über ähnliche Zahlen habe ich früher schon berichtet. Immer noch gilt: ein Browser ist grundsätzlich kein vertrauenswürdiges Programm, er ist das wichtigste Ziel von Angriffen und für die Installation z.B. von Banking Trojanern oder anderer Schadsoftware. Der Internet Explorer ist aber mit Privilegien im Windows-Betriebssystem ausgestattet, die seine Sicherheitslücken deutlich gefährlicher machen, als es die Sicherheitslücken in beliebigen anderen Browsern sind. Er ist nicht einmal aus dem System entfernbar. Microsoft selbst hat den Internet Explorer als integralen Bestandteil des Betriebssystems bezeichnet. Eigentlich müssten seine Fehler also auf die in der Liste der Betriebssystemfehler aufgeschlagen werden.

Fazit

Sich aufgrund der reinen Menge im Systemkern entdeckter Sicherheitslücken auf einem Windows-System in Sicherheit zu wiegen, bedarf schon eines gehörigen Maßes an Bereitschaft zum Selbstbetrug. Um das zu erkennen, ist auch keine Statistik notwendig. Wer sich mit Computer Service beschäftigt, weiß, welche Geräte er trotz eingespielter Updates, Antivirenprogrammen, Personal Firewalls und weiteren Schutzmaßnahmen regelmäßig von Schadsoftware befreit.