Ukraine-Krieg: BSI warnt vor Einsatz von Kaspersky-Software

Der Ukraine-Krieg beeinflusst auch die Einschätzung, wie sicher bestimmte Software-Produkte sind. So warnt heute das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor dem Einsatz von Virenschutzsoftware des russischen Herstellers Kaspersky.

Ein Problem bei Antiviren-Software ist ohnehin, dass die Produkte tief in die Systeme eingreifen. So schreibt auch das BSI von weitreichenden Systemberechtigungen sowie einer – zumindest für Updates – dauerhaften, verschlüsselten und nicht prüfbaren Verbindung zu Servern des Herstellers. Für den sicheren Einsatz solcher Programme ist daher das Vertrauen in den Hersteller entscheidend.

Angesichts des Ukraine-Kriegs sowie der Drohungen der russischen Regierung gegen die EU, die NATO und die Bundesrepublik Deutschland sei das bei Kaspersky aber nicht mehr der Fall. Daher erfolgt nun die Warnung vor dem Einsatz der Antiviren-Software nach §7 BSIG. Dieser Paragraf erlaubt dem BSI, die Öffentlichkeit über Schwachstellen in IT-Produkten zu warnen, wenn eine ernstzunehmende Gefährdung der IT-Sicherheit droht.

Missbrauch der Software als Risiko

Das Problem bei den geheimdienstlichen Operationen ist, dass der Hersteller nicht einmal zwangsweise kooperieren muss. So heißt es in der Mitteilung des BSI: „Ein russischer IT-Hersteller kann selbst offensive Operationen durchführen, gegen seinen Willen gezwungen werden, Zielsysteme anzugreifen, oder selbst als Opfer einer Cyber-Operation ohne seine Kenntnis ausspioniert oder als Werkzeug für Angriffe gegen seine eigenen Kunden missbraucht werden.“ Es bestehen also Zweifel an der Zuverlässigkeit, die ein Hersteller im Prinzip nicht ausräumen kann. Und vor allem bei Antiviren-Software ist das Risiko besonders hoch.

Kaspersky hat aber bereits reagiert. In einer Stellungnahme heißt es:

Wir sind der Meinung, dass diese Entscheidung nicht auf einer technischen Bewertung der Kaspersky-Produkte beruht – für die wir uns beim BSI und in ganz Europa immer wieder eingesetzt haben –, sondern dass sie aus politischen Gründen getroffen wurde.

Man wolle nun weiter mit dem BSI zusammenarbeiten, um die Entscheidung zu klären und die Bedenken des BSI und anderer Regulierungsbehörden auszuräumen. Zudem verweist Kaspersky darauf, dass es als privates Unternehmen keine Verbindung zur russischen oder anderen Regierungen habe. Zudem würde die Datenverarbeitungsinfrastruktur seit 2018 in der Schweiz stehen.

Empfehlung: Für Ernstfall vorbereiten

Betroffen sein können alle Nutzer der Software, vorsichtig sein sollten aber vor allem Unternehmen und Behörden mit besonderem Sicherheitsinteresse sowie die Betreiber kritischer Infrastrukturen. Bei so einer Warnung handelt es sich explizit nicht um ein Verbot der Software. Stattdessen will das BSI vor allem für Gefahren sensibilisieren.

Unternehmen sollten laut der IT-Sicherheitsbehörde auch nicht vorschnell reagieren, sondern die Schritte sorgfältig planen und umsetzen. Individuell die Situation bewerten und abwägen seien die empfehlenswerten Maßnahmen.

Generell warnt das BSI angesichts des Ukraine-Kriegs vor einer verschärften Bedrohungslage. Unternehmen, Organisationen und Behörden sind dazu aufgerufen, die IT-Sicherheitsmaßnahmen zu erhöhen. Mit dem Stand 4. März berichtete das BSI aber nur von vereinzelten Sicherheitsvorfällen in Deutschland. Ebenso berichten Branchenverbände wie der Bitkom nicht von einer akuten Bedrohungslage für deutsche Unternehmen, raten aber auch dringend, sich für Ernstfälle vorzubereiten.