Produkthaftung der Hersteller bei Schadsoftware auf Provider abwälzen?

[Uzzi]

Welch schlechter Witz: Weil Provider am Internet-Zugang von Rechnern mit fehlerhafter Betriebssystem-Software verdienen sollen sie betroffene Kunden informieren? - Das wäre so als wenn Tankstellen beim Tanken eine Inspektion der Fahrzeuge machen müssten, weil die Tankstellen am Strassenverkehr verdienen?

Seien wir doch bitte so konsequent die Esel beim Namen zu nennen:

Microsoft, Apple (iOS), Adobe (Flash), Sun/Oracle (Java) und Google (Android) haben es mehr oder weniger versäumt ihre Produkte a) sicher zu machen und b) die Kunden und Nutzer ihrer Software auf Sicherheitslücken hinzuweisen und Anleitung und Hilfe gegen daraus resultierende Gefahren auf den Bildschirm zu bringen.

Erst wenn die Software-Hersteller ihre Kunden hinreichend aufklären, Updates auch Funktionen ungepatchter Sicherheitslecks einschränken bzw. ggf. abschalten und vor der Installation ungeprüfter Software deutlich warnen und diese ggf. verhindern, wird man eine Chance haben dass nicht mehr weltweit hunderttausende PCs pro Tag infiziert werden können.

Da der Kampf gegen Schadsoftware und Botnetze weltweit ein Thema ist, weshalb nicht die eigenen Bürger so weit unterstützen, dass die paar nachlässigen Software-Hersteller, die Milliarden an ihrer fehlerhaften, weil unzureichend abgesicherten Software verdient und ihre Kunden nicht hinreichend über die Gefahren aufgeklärt haben, entsprechend durch Verordnung angehalten werden ihre Produkte nachzubessern.

Was bitte erscheint einfacher: eine Weltbevölkerung mit mehr als 7 Milliarden Menschen individuell auf etwaig infizierte Endgeräte hinzuweisen und darauf zu hoffen, dass sie sich verantwortlich verhalten oder die paar Hersteller zu zwingen ihre Kunden zu unterstützen und die Sicherheit ihrer Produkte zu gewährleisten?

Letztlich sind die Provider übrigens spätestens seit Nutzung zu Telefonie über Internet gesetzlich nicht berechtigt Nutzer mit veralteter Hard- und Software den Zugang zu verwehren, also bei überforderten, ungläubigen oder unwilligen Nutzern gar nicht berechtigt eben diese Zielgruppe krimineller Verbreiter von Schadsoftware wirksam zu sanktionieren...

Erfreulich aber, dass man im Ministerium festgestellt hat, dass der Versuch staatlich geleiteten Supports für Fremdprodukte unsinnig ist. Den Providern dies nun auf's Auge zu drücken, die absehbar ebenso hilf- und machtlos sind, wo hingegen die Hersteller ohne Zweifel in der Lage wären die Nutzer in Echtzeit über den Bildschirm zumeist noch vor Eintreten eines Schadens zu warnen, klingt nach gewaltigem Lobbyismus der Hersteller?

[silvia.hebne]

.... Microsoft, Apple (iOS), Adobe (Flash), Sun/Oracle (Java) und Google (Android) haben es mehr oder weniger versäumt ihre Produkte a) sicher zu machen und b) die Kunden und Nutzer ihrer Software auf Sicherheitslücken hinzuweisen ...


Ich habe schon lange nicht mehr so einen Dünnpfiff gelesen!

Egal, welches Betriebssystem oder Anwendung: Alle Hersteller fixen Sicherheitsprobleme relativ zeitnah.

Und wenn du dir mal Cracks anschaust, mit der du dir Zugang zum Betriebssystem verschaffst, dann zerfällt dein ganzes Kartenhaus.

Nebenbei sind Botnetze und Schadensoftware zwei verschiedene paar Schuhe.

und nicht alle der 7 Mrd. Menschen haben einen Computer.

Aber eins sollte dir bewusst werden: viele FIRMEN scheuen kostenlose Software alla Endian oder IPCop Firewall als kostenlose virtuelle Maschine oder auf einer ausrangierten Maschine für ihren Internetzugang zu stellen.

Letzte Tage habe ich wieder mal eine Firma von Viren und Trojanern gesäubert, nur weil der Chef sich haufenweise Pornos über das Netz gesaugt hat.

D. h. Nicht der Hersteller ist das Problem, sondern der Kunde, der nicht bereit ist , die 1. Seite im Handbuch zu lesen!

[Uzzi]

Auch wenn Ihr Verständnis, Ausdruck und öffentliches Auftreten nichts Gutes versprechen, so möchte ich Ihnen doch die Möglicheit geben Ihre Darstellung praktisch zu belegen:

Seit Jahren ist der sog. DNSChanger bekannt und ich hoffe die Server die planmäßig noch bis zum 9.7. durch das FBI betrieben werden, werden dann wirklich abgeschaltet (und stehen die betroffenen Nutzer und Firmen dann ohne DNS-Auflösung, also faktisch ohne Internet da).

Preisfrage: Hat Microsoft die manipulierten Rechner in den letzten 6 Monaten gepatcht, oder sich auf den Standpunkt zurückgezogen, das die Betroffenen sich selbst kümmern sollen und es de, FBI und nationalen CERTs überlassen die Microsoft-Kunden zu informieren? (Faktisch haben sie den betroffenen Kunden die sie per Installation kennen nicht einmal einen Hinweis eingeblendet... und das betrifft nicht nur aber eben auch 12% der Fortune 500 Companies.)

Im Security Advisory 2719615 vom Dienstag, 12. Juni 2012 beschreibt Microsoft ein aktuelles Drive by Sicherheitsleck das u.a. alle Versionen von Windows betrifft. Dies wird aktiv auch über iFrames ausgenutzt. D.h. landet ein Nutzer auf einer manipulierten Seite oder wird ihm eine solche untergeschoben ist sein Rechner anschliessend kompromittiert. Und nein, Microsoft hat dieses Leck bisher nicht gepatcht, sondern findet es okay, dass man in einem versteckten Advisory eine Fix-it Lösung bereit stellt.

Adobe ist der Hammer schlechthin: da sind noch immer Versionen von vor mehreren Jahren unterwegs und die Nutzer die nichts davon wissen, dass sie damit ein offenes Scheunentor im Browser haben, haben eben Pech gehabt. (Keine Spur von Aufklärung auf Seiten wie Youtube die Flash aktiv nutzen durch Adobe... könnte ja Geld kosten...)

Und natürlich, dass liegt allein in der Verantwortung der Nutzer, die sollen gefälligst mehrere Stunden wöchentlich damit verbringen alle möglichen Advisories zu lesen, statt dass die rein auf Shareholder Value fixierten Hersteller sich vorrangig um die Sicherheit ihrer Kunden durch entsprechende Hinweise ("Diese Seite versucht Malware auf ihren Rechner zu installieren..."; "Derzeit wird aktiv eine Sicherheitslücke ausgenutzt, laden Sie bitte das Fix-it hier, deaktivieren sie Scripting oder nutzen Sie einen anderen Browser" etc.) zu kümmern und sie davor zu schützen durch Malware zu Zombies der Botnetze zu werden.

Selbstverständlich ist es hauptsächlich allein die Verantwortung der Hersteller von Klicki-bunti-feini rundum-sorglos Spaßsoftware dafür zu sorgen, dass ihre Produkte sicher und die Kunden vor Schadsoftware geschützt sind. Insbesondere mangels Informationen an die Kunden über Sicherheitslücken die zu Drive-by Infektionen (s.o.) ausgenutzt werden IMHO zumindest seitens Microsoft und Adobe grob fahrlässige Versäumnisse. Und dafür sollen nun die Provider verantworlich sein. LOL ^^