Hasso-Plattner-Institut
Hasso-Plattner-Institut
  
Login
 

12.01.2017

News

HPI-Analyse: Anzahl der Software-Schwachstellen leicht rückläufig

Im Jahr 2016 sind weltweit insgesamt weniger Software-Sicherheitslücken gemeldet worden als im Vorjahr. Nach Analyse des Hasso-Plattner-Instituts (HPI) wurden in den vergangenen zwölf Monaten rund 5.600 Schwachstellen registriert. Ende 2015 waren es noch gut 6.400 gewesen. 

Veröffentlichte Sicherheitslücken insgesamt (Quelle: Hasso-Plattner-Institut, Stand: Januar 2017)

Die Auswertung der Wissenschaftler zeigt außerdem, dass sich die Verteilung der Schwachstellen nach Schweregrad kaum geändert hat. Wie im Vorjahr handelt es sich vorwiegend um Sicherheitslücken mit mittlerem Schweregrad (2016: 52%; 2015: 53%), ein Drittel sind Software-Schwachstellen mit hohem Schweregrad (2016: 39%; 2015: 37%). Der Großteil aller Sicherheitslücken könnte der HPI-Analyse zufolge "remote", also aus der Ferne, ausgenutzt werden (2016: 84%; 2015: 86%). Die Bewertung der Kritikalität basiert auf dem Common Vulnerability Scoring System (CVSS), einem Industriestandard zur Einstufung von Sicherheitslücken.

(Zum Vergrößern bitte klicken)

Computernutzer sollten regelmäßig Updates durchführen

"Es ist erfreulich, dass immer mehr IT-Unternehmen die Bedeutung von Schwachstellen erkannt haben", so HPI-Direktor Professor Christoph Meinel. Die Unternehmen fürchteten zu Recht Imageverluste durch den Verkauf oder das Ausnutzen von Schwachstellen. Computernutzer sollten jedoch weiterhin darauf achten, alle Software-Produkte regelmäßig auf verfügbare Updates zu überprüfen und so immer auf dem aktuellen Stand zu halten.

Über die Website www.hpi-vdb.de können Nutzer mithilfe der HPI-Datenbank für IT-Angriffsanalysen per Selbstdiagnose ihren Browser und Browser-Plugins kostenlos auf erkennbare Schwachstellen überprüfen lassen. Außerdem lassen sich über den Dienst individuelle Listen mit selbst genutzten Programmen erstellen, die dann permanent auf Sicherheitslücken überprüft werden.

HPI-Datenbank dokumentiert Software-Sicherheitslücken

In der HPI-Datenbank sind die wesentlichen im Internet veröffentlichten und frei verfügbaren Angaben über Software-Sicherheitslücken und -probleme integriert und kombiniert. Die aktuellen Jahres-Statistiken zu Schwachstellen können sich geringfügig ändern, da Informationen über in Vorjahren registrierte Schwachstellen noch nachgereicht bzw. aktualisiert werden.

Die Analyse der Informatikwissenschaftler bewertet neben allgemeinen Informationen über eine Schwachstelle wie Schweregrad und Änderungsdatum zusätzlich die Vor- und Nachbedingungen einer Sicherheitslücke. Vorbedingungen beziehen sich auf alle Notwendigkeiten, die erfüllt sein müssen, damit eine Schwachstelle ausgenutzt werden kann, wie zum Beispiel die Zugriffsart. Nachbedingungen sind die Auswirkungen der Ausnutzung einer Schwachstelle, beispielsweise die Art des Zugriffs auf das betroffene System. Diese Informationen stellt das HPI in maschinen-lesbarem Format bereit, das eine automatische Auswertung ermöglicht.