Hacker im Turbo-Modus: KI macht Sicherheitslücken in Stunden scharf

Minuten statt Wochen: So schnell können Angreifer neu bekannt gewordene Software-Lücken heute ausnutzen. Davor warnt Daniel Gille von der Cyberagentur des Bundes, nachdem die schwere Schwachstelle in der Programmiersprache PHP diese Woche weltweit Webseitenbetreiber aufgeschreckt hat. Schuld an dem Tempo ist vor allem Künstliche Intelligenz. Und eine Wende ist vorerst nicht in Sicht.

„PHP2Shell“: Ein Albtraum mit Ansage

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet das Risiko als außerordentlich hoch. In seiner Warnung spricht das Amt von zwei kritischen Schwachstellen, die unter Fachleuten den Namen „PHP2Shell“ tragen. Der Name erinnert bewusst an die berüchtigte Log4Shell-Lücke von 2021.

Laut BSI könnten Angreifer aus der Ferne Schadcode auf Webservern ausführen. Ein Passwort brauchen sie dafür nicht, und ein Opfer muss auch nirgends draufklicken. Die Patches erschienen am 21. Oktober. Brisant: An der Entdeckung der Lücken war nach Angaben des BSI auch OpenAI beteiligt. Die KI ist hier also Brandstifter und Feuerwehr zugleich.

Wie groß ist der Schaden? PHP ist das Fundament unzähliger Blogs, Onlineshops, Portale und Verwaltungsseiten. Allein mit WordPress laufen Schätzungen zufolge 400 bis 500 Millionen Webseiten weltweit. Zahlreiche Seiten wurden vorsorglich vom Netz genommen, viele waren erst nach Stunden oder mehr als einem Tag wieder erreichbar. Der Vorsitzende des Parlamentarischen Kontrollgremiums, Marc Henrichmann, sprach Medienberichten zufolge von einer der ernstesten Sicherheitslücken der vergangenen Jahre.

Das „Tal der Tränen“

Gille sagte der Deutschen Presse-Agentur, man befinde sich womöglich bereits in einem „kleinen Tal der Tränen“. Irgendwann sei ein Plateau denkbar, denn Software könne nicht unendlich viele Schwachstellen haben. Ein schwacher Trost.

Das Problem ist strukturell. Angreifer nutzen eine veröffentlichte Lücke an einem einzigen Punkt aus. Die Verteidigung dagegen ist zersplittert: Jeder Betreiber muss seine Systeme selbst prüfen, aktualisieren und kontrollieren. Die Angreifer sind also schnell, die Verteidiger kommen kaum hinterher.

Mit einem Update ist es außerdem nicht getan. Wer vorher schon ins System eingedrungen ist, fliegt durch den Patch nicht automatisch raus. Betreiber müssen deshalb Protokolle auswerten, Zugangsdaten prüfen und auch abhängige Systeme kontrollieren.

Explosion der Schwachstellen

Wie stark sich die Lage zuspitzt, zeigt eine Auswertung des US-Konzerns IBM. Dessen Sicherheitsteam X-Force zählte von Januar bis September mindestens 10.124 bekannt gewordene Schwachstellen bei großen Anbietern wie Microsoft, Oracle und Google Chrome. Das sind rund 578 Prozent mehr als im Vorjahreszeitraum. Mehr als die Hälfte der mit KI-Hilfe entdeckten Lücken galt nach dem branchenüblichen Punktesystem als hoch oder kritisch.

Und der Staat?

Erfolgreiche Angriffe auf die Bundesverwaltung meldeten die Behörden bislang nicht. Trotzdem prüft das Digitalministerium, ob Daten abgeflossen sind. Digitalminister Karsten Wildberger will Berichten zufolge künftig verstärkt KI einsetzen, um Lücken schneller zu finden und zu schließen. Das klingt gut. Doch in Deutschland ist die Digitalisierung der Verwaltung schon lange ein Sorgenkind, und viele Bürger dürften fragen, ob der Staat beim Wettlauf mit den Hackern wirklich mithalten kann.

Betriebssystem ohne festen Code: Vision oder Luftschloss?

Die Cyberagentur will gegensteuern. Sie bereitet ein Forschungsprogramm vor, das bald ausgeschrieben werden soll. Gille erwartet, dass KI künftig dabei helfen werde, weniger angreifbare Software zu schreiben.

Noch weiter geht eine zweite Idee: ein Betriebssystem, das auf Künstlicher Intelligenz basiert und keinen einzigen festen Code mehr hat. Eine Schwachstelle würde dann nicht mehr automatisch alle Systeme treffen, die dieselbe Software nutzen. Unter Fachleuten ist dieser Ansatz umstritten. Gille selbst nannte ihn eine offene Forschungsfrage, die heute niemand beantworten könne.

Bis dahin gilt eine einfache Regel: Wer Updates nicht sofort einspielt, lädt die Angreifer ein. Für Unternehmen, Behörden und auch kleine Seitenbetreiber heißt das, ihre Systeme genau zu kennen, schnell zu patchen und nach jedem Notfall gründlich nachzuprüfen.