IT-Experte zu Spionage per "Pegasus" "Hier waren keine Laien am Werk"
"Pegasus" heißt Apples Albtraum, die Spionage-Software stellt das Vertrauen der Nutzer auf eine harte Probe. IT-Experte Backes erklärt im Interview mit tagesschau.de, warum solche gezielten Angriffe selten, teuer und gefährlich sind. Aber: Kein Konzern sei dagegen gefeit.
tagesschau.de: Wie funktioniert ein Angriff mittels "Pegasus"?
Michael Backes: Den Berichten zufolge haben die Angreifer gezielt bislang unbekannte Schwachstellen im System genutzt, also einen sogenannten Zero-Day-Exploit durchgeführt. Dagegen kann sich weder Apple noch ein anderer Konzern von Vornherein schützen, denn niemand weiß ja, dass es diese Schwachstelle gibt, bevor sie (aus)-genutzt wird.
Schritt Eins besteht darin, eine Schadsoftware auf dem Gerät und im System zu installieren. Das geschah im aktuellen Fall offensichtlich über den Browser. In Schritt Zwei werden die Schutzmechanismen des Betriebssystems ausgehebelt. Der Angreifer erhält mittels eines solchen Jailbreaks zusätzliche Rechte, die er für Schritt Drei nutzt. Er kann jetzt beliebige Programme nachladen, weil er das Betriebssystem unter Kontrolle hat.
Seit 2005 ist Michael Backes Professor für Informationssicherheit und Kryptografie an der Universität des Saarlandes. Der Informatiker, Jahrgang 1978, forscht zu Design und Analyse von sicherheitskritischen Anwendungen und zum Schutz der Privatsphäre in der digitalen Welt. Für seine Arbeit und auch für seine Vorlesungen wurde Backes mehrfach ausgezeichnet.
tagesschau.de: Was muss man wissen, um einen solchen Angriff überhaupt führen zu können? Wie groß ist das kriminelle Expertentum?
Backes: Grundsätzlich gilt: Zero-Day-Exploits sind selten. Eine solche Schwachstelle zu entdecken, kann der pure Zufall sein. Meist aber suchen Menschen mit extrem viel Fachwissen sehr intensiv danach, nicht zuletzt, weil Informationen über solche Schwachstellen für viel Geld gehandelt werden. Wenn man jetzt berücksichtigt, dass im Falle von "Pegasus" gleich drei Zero-Days-Exploits stattgefunden haben, dann lässt sich daraus schließen, dass hier keine Laien am Werk waren. Und: Das war teuer!
Dass die Spur womöglich nach Israel führt, klingt meiner Einschätzung nach plausibel. Von dort aus agieren viele Firmen, die sich mit IT-Sicherheit, Kryptografie und mit möglichen Angriffsszenarien und mit Spionage für wen auch immer beschäftigen.
So schnell wie möglich updaten
tagesschau.de: Apple empfiehlt, so schnell wie möglich das jüngste Update iOS 9.3.5. auszuführen, um die Sicherheitslücke zu schließen. Ist dann wieder alles gut?
Backes: Mit dem Update lässt sich diese bestimmte Lücke schließen. Nach dem aktuellen Stand der Kunst habe ich aber keine Garantie dafür, dass morgen nicht eine andere Lücke entdeckt wird. Das Katz-Maus-Spiel geht also weiter, was man aber nicht Apple vorwerfen kann.
Ich glaube, dass wir in zehn oder 20 Jahren so weit sind, dass wir mit einer Software arbeiten, die wir besser verstehen und die mehr Sicherheit als heute garantiert.
tagesschau.de: Was kann ich darüber hinaus tun?
Backes: Klar ist: Dieses und auch alle anderen Updates so schnell wie möglich durchführen, auch wenn es vielleicht gerade nicht passt oder lästig ist. Dann: Überlegen, was man freiwillig preisgeben will. Und: Einstellungen überprüfen. Warum will das neue Handy-Spiel Zugriff auf meine Kontakte haben? Braucht die Taschenlampen-App wirklich einen Verbindung zum Internet?
Wenn der gesunde Menschenverstand beginnt zu zweifeln, ist es vielleicht besser, die eine oder die andere App gar nicht zu installieren.
tagesschau.de: Lässt sich überhaupt erkennen, ob meine Devices von "Pegasus" betroffen sind oder betroffen waren?
Backes: Natürlich gibt es im Apple-Zeitalter auch dafür eine App. Das Problem liegt aber im Prinzip: Wenn das komplette Smartphone unter fremder Kontrolle ist, weil das Betriebssystem mindestens in Teilen ausgetauscht wurde, wird dieses manipulierte Betriebssystem dafür sorgen, dass auch die App manipuliert wird und dem Anschein nach problemlos läuft. Keine Warnung bedeutet also nicht immer unbedingt, dass es keinen Grund für eine Warnung gibt.
Allerdings wurde diese App jetzt nach dem "Pegasus"-Angriff veröffentlicht, was die Chancen erhöht, dass der Angriff erkannt wird. Man kann also davon ausgehen, dass diese App ein belastbares Ergebnis liefert.
Mehr gefühlte denn reale Sicherheit
tagesschau.de: Wie groß ist der Schaden und vor allem der Imageschaden für den Konzern? Sicherheit war für Apple bislang ein starkes Verkaufsargument.
Backes: Unter Experten dürfte der Imageschaden eher gering ausfallen. Jeder, der auch nur ein bisschen Ahnung hat, weiß, dass diese Zero-Day-Exploits zurzeit nicht zu verhindern sind. Der Imageschaden in der Öffentlichkeit ist eine andere Frage. Apple hat tatsächlich das Image ihrer hochsicheren und hochpreisigen Produkte sehr gepflegt und dabei vielleicht auch ein wenig übertrieben. Vielleicht muss sich die Firma an dieser Stelle neu erden.
Es gibt nicht nur keine 100prozentige Sicherheit, es gibt noch nicht einmal eine 99prozentige Sicherheit. Man muss auch bei Apple damit leben, dass Dinge schief gehen können. Wie sich das in Euro oder Dollar auswirkt, sehen wir dann an der Börse.
Der griechischen Mythologie zufolge war das geflügelte Pferd Pegasus Kind berühmter Eltern. Meeresgott Poseidon hatte sich für Medusa begeistert, damals noch eine Schönheit.
Die Verbindung der beiden erzürnte die Göttin Athene aber so sehr, dass sie Medusa in ein Ungeheuer verwandelte, dessen Blick jeden Mann zu Stein erstarren ließ. Pegasus selbst konnte laufen, fliegen und mit Hilfe seiner Hufe Quellen zum Sprudeln zu bringen.
Im sogenannten Märchen- oder Feenschach kommt der Figur des Pegasus besondere Bedeutung zu. Sie kann sich sowohl wie ein Läufer als auch wie ein Springer bewegen und darüber hinaus die Farbe wechseln. Mit dem Pegasus lässt sich der gegnerische König ohne weitere Figur matt setzen. Märchenschach zeichnet sich dadurch aus, dass mit neuen Figuren und/oder anderen Spielregeln für herkömmliche Figuren gespielt wird.
Das Interview führte Ute Welty, tagesschau.de