Verantwortung statt „Weiter so“ Gefahren aus der Software-Supply-Chain

Innerhalb einer Software-Lieferkette kann es zu bösen Überraschungen kommen. Denn Software beinhaltet immer öfter Drittanbieter-Code und Open-Source-Komponenten. Welche Probleme es gibt und worin diese begründet sind, zeigt dieser Beitrag auf.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

SYNOPSYS GmbH

Mit einem Software-Supply-Chain-Angriff ist im Consumer-Markt unfreiwillig mitgeladene Malware gemeint. Anwender laden Updates einer seriösen Software aus scheinbar sicheren Quellen – und plötzlich ist der Rechner mit einer Ransomware infiziert. Im industriellen Umfeld hingegen gibt es das Update-Problem ebenfalls, jedoch ist hier die Perspektive erweitert.

Man kann die Software-Supply-Chain wie die klassische Lieferkette bei physischen Gütern verstehen. In der Software-Entwicklung existiert längst ein stark arbeitsteiliges Produktions- und Liefermodell. Egal, ob das Produkt eine mobile App, ein medizinisches Gerät oder die Triebwerkssteuerung einer Boeing 787 ist: Software zu entwickeln bedeutet, sie aus diversen Komponenten zusammenzusetzen.

Software besteht heute zu wesentlichen Teilen aus Open-Source- oder Third-Party-Code. Wer seinen Code nicht genau kennt, kann böse Überraschungen erleben. Es gilt die alte Regel: Eine Lieferkette ist nur so stark wie das schwächste Glied. Das fatale an Lieferketten ist, dass sie schwieriger abzusichern sind, als interne Produktionsvorgänge.

Open-Source-Code ist auf den ersten Blick sehr praktisch: Man erhält die benötigte Funktionalität und spart gegenüber der eigenen Entwicklung Zeit und Geld. Allerdings kann Open-Source-Code Sicherheitsrisiken enthalten. Das liegt nicht an der Qualität des Codes, sondern an der Missachtung einfacher Prinzipien und einem anderen Handling von Sicherheitslücken bei Open Source.

Ein Beispiel der Kategorie „sträflicher Leichtsinn“ aus Zürich: Yourtaxi, ein Unternehmen, das dem US-Fahrtenvermittler Uber nacheifern wollte, hatte seine App Offshore in Indien programmieren lassen. Offenbar ohne jegliche Kontrolle oder Prüfung. Fahrtrouten, Namen, Telefonnummern, E-Mail-Adressen und Profilfotos – diverse Kundendaten waren übers Web suchbar.

Sicher ein kleines Datenleck im Vergleich zum großen Vorbild Uber und dessen über 57 Millionen via ungesicherter Datenbank-Schnittstelle abhandengekommenen Nutzerdaten. Doch es zeigt auf, wie gefährlich Auftragssoftware werden kann, wenn ihre Sicherheit nicht ausreichend überprüft wird.

Datenlecks liegen im Trend

An Datenlecks ist die Öffentlichkeit inzwischen offenbar zu sehr gewöhnt. Die Liste reicht von Adobe über eBay, Equifax, LinkedIn, MySpace, den Einzelhändler Target – bis hin zum derzeitigen Rekordhalter Yahoo. Alle diese namhaften Firmen verloren in den vergangenen Jahren Millionen Nutzerdatensätze an Hacker. Yahoo schaffte sogar 3 Milliarden.

Datenlecks sind nicht mehr die Ausnahme, sondern Trend. Die Studie „2017 Third party Data Risk“ des Ponemon Institute ergab, dass 56 Prozent der Befragten von einem Datenverlust durch Dritte betroffen waren, gegenüber 49 Prozent im Vorjahr. Warum ist das so? Unternehmen scheinen es Datendieben geradezu fahrlässig einfach zu machen. Sie agieren wie ein Hauseigentümer, der die Hausschlüssel an jeden Auftragnehmer (Klempner, Schornsteinfeger, oder den Jungen, der den Rasen mäht) ohne weitere Bedenken aushändigt. Selbst dann, wenn bereits die Nachbarn Opfer von Dieben geworden sind.

Nicht mein Code, nicht mein Problem?

Möglicherweise waren die Kosten von Datenlecks – und sogar die sehr großer Lecks, die Unternehmen weltweit in die Schlagzeilen bringen – langfristig doch nicht schmerzhaft genug, um einen umfassenden Sicherheitscheck zu veranlassen. Beim US-Einzelhändler Target etwa hatte das schwerwiegende Datenleck kaum Auswirkungen auf die Unternehmensbilanz. Der geschätzte Gesamtverlust lag irgendwo im Bereich von 250 Millionen Dollar.

Benjamin Dean von der School of International and Public Affairs an der Columbia University hat im Jahr 2015 dazu Berechnungen durchgeführt und festgestellt, dass der Verlust durch Abschreibungen auf etwa 105 Millionen Dollar gedrückt wurde. Der Umsatz hingegen stieg 2016 auf fast 73,8 Milliarden US-Dollar. Dean folgert daraus, dass die finanziellen Anreize für Unternehmen, in eine größere Informationssicherheit zu investieren, geringer sind als allgemein angenommen.

Blauäugigkeit schützt vor Strafe nicht

Doch auch Software-Entwickler agieren beim Thema Sicherheit oft blauäugig. Einen typischen Irrtum zur IT-Sicherheit stellt die sogenannte „nicht mein Code – nicht mein Problem“-Denkweise dar. Wer Third-Party-Code verwendet, tut dies häufig unter der Annahme, dass dieser Code bereits von jemand anderem auf Qualität und Sicherheit getestet wurde.

Das kann stimmen oder nicht stimmen. Fakt ist: Wenn ein Flugzeug wegen einer fehlerhaften Dichtungskomponente im Triebwerk abstürzt, ist jeder in der Lieferkette in ernsthaften Schwierigkeiten, vom Hersteller der Dichtungskomponente bis hin zum Triebwerkhersteller, dem Flugzeughersteller und natürlich der Fluggesellschaft selbst.

Sorgfaltspflicht in der Software Supply Chain

Software hat in puncto Sicherheit genau die gleichen Abhängigkeiten und Risiken in der Lieferkette, getragen werden diese aber lediglich vom Produktentwickler und dem Käufer. Unternehmen werden sich in Zukunft wohl verstärkt mit ihrer Software-Supply-Chain beschäftigen müssen, insbesondere wenn es um den Schutz personenbezogener Daten geht.

Den meisten Unternehmen mangelt es hier noch an Kontrolle und Einsicht. Zudem hat der zunehmende Druck auf die Gewinnmargen das Spiel verändert. Unternehmen suchen nach kreativen Möglichkeiten zur Kostensenkung. Insbesondere in den USA wird massiv von der Möglichkeit Gebrauch gemacht, Anwendungen offshore programmieren zu lassen. Da bleibt die Sicherheit dann oft auf der Strecke.

Das Risiko für Unternehmen aufgrund von Datenpannen und Datenlecks zu Geldbußen und Schadenersatz verurteilt zu werden, ist nicht zuletzt aufgrund neuer Gesetze, wie der nun gültigen DSGVO, stark gestiegen. Wenn es zum Daten-GAU kommt und der Fehler in der Lieferkette lag, dann wird der Fall letztlich vor Gericht geklärt werden müssen.

Dabei kann das Gericht die Sorgfaltspflichten der beteiligten Unternehmen durchaus verschieden einschätzen. Je mehr professionelle Ressourcen das Unternehmen zur Verfügung hat, desto höher wird das Haftungsrisiko. Die Anforderungen an Unternehmensstruktur und Verantwortlichkeiten ändern sich rapide.

Gunnar Braun

Bestehende Prozesse zur Überprüfung der Datensicherheit- und Verarbeitung tragen diesem Umstand oft nicht in ausreichendem Maße Rechnung. Ich rate Unternehmen deshalb dazu, professionelle Software Composition Analysis Tools zu nutzen, um den Code ihrer Software-Lieferanten unabhängig überprüfen zu lassen.

* Gunnar Braun ist Vertriebsingenieur bei Synopsys und unterstützt große Unternehmen bei der Erstellung von sicherer Software. Zuvor war er in verschiedenen Engineering- und Managementfunkionen im Bereich Embedded Systems, Simulation und Compilation bei CoWare tätig, einem Technologie-StartUp, das 2010 von Synopsys übernommen wurde. Er besitzt einen Diplomabschluss der RWTH Aachen.

(ID:45377297)