Gefährlicher Vorstoß: Britische Regierung will Sicherheitslücken per Gesetz offen lassen

Die Bemühungen von Regierungen, sichere Software zu untergraben, treiben einem neuen Höhepunkt zu: In Großbritannien versucht die Politik derzeit nicht nur, die Grundlage für Ende-zu-Ende-Verschlüsselung zu untergraben, in Zukunft müssen Unternehmen womöglich auch Sicherheitsupdates für ihre Systeme und Software von der Regierung genehmigen lassen. Der Grund hierfür klingt unglaublich.

In Großbritannien vollzieht sich aktuell ein höchst verstörender politischer Prozess: Die Regierung in London hatte eine Gesetzesinitiative eingebracht, die unter anderem die Nutzung einer Ende-zu-Ende-Verschlüsselung unterbinden würde. Unternehmen wie Meta und Apple hatten daraufhin erklärt, sich lieber aus Großbritannien zurückziehen zu wollen, als die Sicherheitsarchitektur ihrer Systeme aufzuweichen, Apfelpage.de berichtete.

Nun wird das Schauspiel noch absurder, wie ein IT-Sicherheitsdienstleister hervorhebt.

Müssen Firmen Sicherheitsupdates genehmigen lassen?

Die Vorhaben der Regierung gehen offenbar auch so weit, dass ein Unternehmen ein Software-Patch zur Behebung einer Sicherheitslücke zur Genehmigung vorlegen muss. Diese Genehmigung könnte auch verweigert werden. Der Grund: Die Regierung will die Schwachstelle für sich.

Dies würde demnach dann passieren, wenn die Geheimdienste eine Sicherheitslücke aufrechthalten möchte, um sie selbst auszunutzen. Abgesehen von der ehtisch höchst fragwürdigen Komponente dieser Idee, liegen die grundlegenden Defizite auf der Hand.

Häufig melden Sicherheitsforscher Schwachstellen an Unternehmen, oft um eine Prämie dafür zu erhalten. Allerdings dürften wenigstens ebenso oft kriminelle Hacker solche Bugs entdecken, ohne sie zu melden. Würde eine solche Praxis Realität, wäre das Ergebnis perspektivisch zwangsläufig eine unsicherere und unzuverlässigere Software. Sicherheitsspezialisten und die gesamte Software-Branche dürfte Vorstöße wie diesen mit aller größter Sorge verfolgen. Sichere Mechanismen wie eine Ende-zu-Ende-Verschlüsselung können sich nicht per Knopfdruck ein- und ausschalten lassen, sie müssen von Grund auf in die Architektur eines Systems integriert werden, was in stetem Konflikt mit der Erwartung vor allem von Sicherheitsbehörden steht, in Verdachtsfällen etwa Kommunikation von Zielpersonen ausleiten zu können.

Nachtrag
Der Text lag zwischenzeitlich in Form einer automatischen Zwischenversion vor.