{"id":263421,"date":"2022-03-15T11:20:05","date_gmt":"2022-03-15T10:20:05","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=263421"},"modified":"2022-10-12T18:17:43","modified_gmt":"2022-10-12T16:17:43","slug":"endlich-das-bsi-warnt-nun-vor-dem-einsatz-von-kaspersky-virenschutzprodukten","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2022\/03\/15\/endlich-das-bsi-warnt-nun-vor-dem-einsatz-von-kaspersky-virenschutzprodukten\/","title":{"rendered":"Das BSI warnt nun vor dem Einsatz von Kaspersky-Virenschutzprodukten"},"content":{"rendered":"

\"Sicherheit[English<\/a>]Kann man Virenschutzprodukte der russischen Firma Kaspersky in Unternehmen und Beh\u00f6rden bedenkenlos einsetzen? Nach dem \u00dcberfall Russlands auf die Ukraine ist diese Frage brandaktuell geworden. Nach l\u00e4ngerem Z\u00f6gern hat das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) jetzt eine Empfehlung ausgesprochen. In Kurz: Das BSI empfiehlt, die Anwendungen aus dem Portfolio von Virenschutzsoftware des Unternehmens Kaspersky durch alternative Produkte zu ersetzen.<\/p>\n

<\/p>\n

Was lange g\u00e4rt wird endlich gut<\/h2>\n

\"\"So ganz spontan schoss mir die obige \u00dcberschrift durch den Kopf, als ich den Hinweis von Gerold (danke daf\u00fcr) auf die Empfehlung des Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) las. Denn ich hatte bereits im Blog-Beitrag Sind Kaspersky & Co. als Sicherheitsl\u00f6sungen noch einsetzbar?<\/a> verschiedene Implikationen bez\u00fcglich des Einsatzes dieser Produkte aufgezeigt. Sicherheitssoftware l\u00e4uft auf der Ebene des Systems mit h\u00f6chsten Privilegien und kann jede Menge Schaden anrichten. Auch wenn Kaspersky immer eine Verbindung zur russischen Regierung und der betreffenden Geheimdienste verneint, kann man sich sp\u00e4testens seit dem \u00dcberfall und Einmarsch Russlands auf die Ukraine, nicht mehr auf \"Gut Glauben\" verlassen. Vielmehr ist davon auszugehen, dass bei entsprechendem Druck Russlands auch Kaspersky kooperieren muss. Die Folgen k\u00f6nnen weitreichend sein und beginnen bei Spionage und \u00dcberwachung bis hin zu Sabotage und Lahmlegung von Computersystemen.<\/p>\n

Ende 2017 kam in den USA die Anordnung, dass der Einsatz von Kaspersky-Produkten in US-Beh\u00f6rden verboten wurde. Ich hatte dies im Beitrag Kaspersky in US-Beh\u00f6rden endg\u00fcltig verboten<\/a> angesprochen. Und auch in den Niederlande gibt es seit 2018 die Anweisung der Regierung, Produkte von Kaspersky auf Regierungssystemen zu verbannen. Ich hatte im Blog-Beitrag Sind Kaspersky & Co. als Sicherheitsl\u00f6sungen noch einsetzbar?<\/a> auf diesen Sachverhalt hingewiesen. Aber in Deutschland tat sich diesbez\u00fcglich weder von der Bundesregierung noch vom Verfassungsschutz oder den Sicherheitsbeh\u00f6rden nicht. Auch das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) bliebt stumm, wie ich im Blog-Beitrag Kaspersky-Einsatz in Deutschland \u2013 das BSI schweigt<\/a> angemerkt habe.<\/p>\n

Gab in Kommentaren hier im Blog und speziell auch in diversen Facebook-Gruppen dann entsprechende Antworten, dass das alles Unsinn sei und man auf Kaspersky vertrauen k\u00f6nne. Ein Kommentar lautetet \"nicht immer nach dem Staat rufen, die Verbraucher sind m\u00fcndig\", was ich pers\u00f6nlich als Binse eingestuft habe. Aber eine offizielle Einstufung durch das BSI hat noch eine andere Ebene: Beh\u00f6rden und Firmen k\u00f6nnen sich bei einem Einsatz nicht mehr darauf berufen \"das BSI hat ja nicht gewarnt\". Das ist jetzt deutlich anders.<\/p><\/blockquote>\n

Jetzt aber: Kaspersky-Produkte aussortieren<\/h2>\n

Nun hat das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) sich aber zu einer eindeutigen Position durchgerungen. Das BSI warnt nach \u00a77 BSI-Gesetz vor dem Einsatz von Virenschutzsoftware des russischen Herstellers Kaspersky. Die Beh\u00f6rde empfiehlt<\/a> nun, Anwendungen aus dem Portfolio von Virenschutzsoftware des Unternehmens Kaspersky durch alternative Produkte zu ersetzen. Die Begr\u00fcndung des BSI ist f\u00fcr mich einleuchtend<\/p>\n

Antivirensoftware, einschlie\u00dflich der damit verbundenen echtzeitf\u00e4higen Clouddienste, verf\u00fcgt \u00fcber weitreichende Systemberechtigungen und muss systembedingt (zumindest f\u00fcr Aktualisierungen) eine dauerhafte, verschl\u00fcsselte und nicht pr\u00fcfbare Verbindung zu Servern des Herstellers unterhalten. Daher ist Vertrauen in die Zuverl\u00e4ssigkeit und den Eigenschutz eines Herstellers sowie seiner authentischen Handlungsf\u00e4higkeit entscheidend f\u00fcr den sicheren Einsatz solcher Systeme. Wenn Zweifel an der Zuverl\u00e4ssigkeit des Herstellers bestehen, birgt Virenschutzsoftware ein besonderes Risiko f\u00fcr eine zu sch\u00fctzende IT-Infrastruktur.<\/p>\n

Das Vorgehen milit\u00e4rischer und\/oder nachrichtendienstlicher Kr\u00e4fte in Russland sowie die im Zuge des aktuellen kriegerischen Konflikts von russischer Seite ausgesprochenen Drohungen gegen die EU, die NATO und die Bundesrepublik Deutschland sind mit einem erheblichen Risiko eines erfolgreichen IT-Angriffs verbunden. Ein russischer IT-Hersteller kann selbst offensive Operationen durchf\u00fchren, gegen seinen Willen gezwungen werden, Zielsysteme anzugreifen, oder selbst als Opfer einer Cyber-Operation ohne seine Kenntnis ausspioniert oder als Werkzeug f\u00fcr Angriffe gegen seine eigenen Kunden missbraucht werden.<\/p><\/blockquote>\n

Das ist in einer Weise deutlich, wie ich sie vom BSI nicht erwartet h\u00e4tte (Fachleuten war diese Aussage dagegen immer klar). Zwar k\u00f6nnen alle Nutzerinnen und Nutzer der Kaspersky-Virenschutzsoftware von solchen Operationen betroffen sein. Wenn der PC von Tante Anna durch Kaspersky lahm gelegt wird, ist das zwar doof, h\u00e4lt sich mit den Implikationen aber in Grenzen.<\/p>\n

Anders sieht es bei Unternehmen und Beh\u00f6rden mit besonderen Sicherheitsinteressen und den Betreibern Kritischer Infrastrukturen (KRITIS) aus. Diese sind in besonderem Ma\u00dfe gef\u00e4hrdet. Und genau dort setzt die BSI-Empfehlung jetzt Ma\u00dfst\u00e4be, falls dort immer noch Kaspersky-Produkten verwendet werden. Die genannten Adressaten haben laut BSI die M\u00f6glichkeit, sich vom BSI oder von den zust\u00e4ndigen Verfassungsschutzbeh\u00f6rden beraten zu lassen.<\/p>\n

Die Warnung des BSI ist jetzt glasklar: Unternehmen und andere Organisationen sollten den Austausch wesentlicher Bestandteile ihrer IT-Sicherheitsinfrastruktur sorgf\u00e4ltig planen und umsetzen. W\u00fcrden IT-Sicherheitsprodukte und insbesondere Virenschutzsoftware ohne Vorbereitung abgeschaltet, w\u00e4re man Angriffen aus dem Internet m\u00f6glicherweise schutzlos ausgeliefert. Der Umstieg auf andere Produkte ist mit vor\u00fcbergehenden Komfort-, Funktions- und Sicherheitseinbu\u00dfen verbunden.<\/p>\n

Das BSI empfiehlt, eine individuelle Bewertung und Abw\u00e4gung der aktuellen Situation vorzunehmen und dazu gegebenenfalls vom BSI zertifizierte IT-Sicherheitsdienstleister hinzuzuziehen. Bleibt f\u00fcr mich die Frage: Wird Kaspersky in diesem Bereich \u00fcberhaupt noch eingesetzt, oder wurden diese AV-Produkte bereits seit l\u00e4ngerer Zeit ersetzt?<\/p>\n

Erg\u00e4nzungen:<\/strong> Die Berichterstattung schl\u00e4gt hohe Wellen – und Eugene Kaspersky bezeichnet die BSI-Empfehlung als politische Entscheidung – was hier nie bestritten wurde. Seit Ver\u00f6ffentlichung der BSI-Entscheidung sind mir einige weitere Fundsplitter unter die Augen gekommen, die ich hier einfach mal verlinke.<\/p>\n