Haltet Eure Software aktuell! [vorläufige Fassung]
 

Inhalt

1.) Gründe für die Notwendigkeit, Software stets auf dem neuesten Stand zu halten
2.) Betroffene Software
3.) Negative Folgen der Missachtung der Updatepflicht
4.) Beispiele aus der Praxis
5.) Beispiele häufiger Fehlannahmen uneinsichtiger Nutzer




1.) Gründe für die Notwendigkeit, Software stets auf dem neuesten Stand zu halten

Im Laufe der Zeit werden immer wieder neue Sicherheitslücken in Software entdeckt. Diese Lücken können von Unbekannten, da ja bei bestehender Internetverbindung in der Regel ein permanenter Versand und Empfang von Datenpaketen gegeben ist, von außen ausgenutzt werden, um einen unerwünschten kontrollierenden Fernzugriff auf das verwendete System zu erlangen. Je länger eine Software keine Sicherheitsupdates mehr bekommt, oder diese vom Nutzer nicht eingespielt werden, desto unsicherer und anfälliger wird sie (das gilt im Übrigen auch gegenüber Angriffsvektoren ausgehend von Wechseldatenträgern).

Außerdem fließen in neu und weiter entwickelte Software strukturelle (Sicherheits-)Verbesserungen zum Schutz vor neuer, unbekannter Malware mit ein (z.B. verbesserter Exploitschutz). Diese elementaren Funktionsverbesserungen gibt es für ältere Software hingegen schon viel eher nicht mehr, als die Sicherheitsupdates, die lediglich die bekannt gewordenen Lücken flicken, und noch einige Zeit länger zur Verfügung stehen, selbst dann, wenn die eigentliche Weiterentwicklung einer Software schon lange eingestellt wurde.

Das ist übrigens auch ein gewichtiger Grund, weshalb man möglichst früh von nicht mehr weiterentwickelten Softwareversionen hin zu neuen wechseln sollte – um von möglichst zeitgemäßen Sicherheitsfunktionen zu profitieren.

(Ausnahmen davon kann es im Firmen-Umfeld geben, dafür stehen allerdings oft spezielle Langzeit-Versionen von Software zur Verfügung, sowie entsprechend geschulte Admins und Mitarbeiter, die für ein passendes Gesamtkonzept zur Absicherung des Firmen-Netzwerkes sorgen.)


Kompakt zusammengefasst:

• Je älter die Software und je länger aus dem Support, desto mehr Lücken weist sie auf.
• Je älter die Software, desto weniger zeitgemäß und weniger wirksam sind ihre vorbeugenden Sicherheitsfunktionen.
• Je länger dieser Zustände gegeben sind, desto größer wird das Risiko einer Infektion.

2.) Betroffene Software

Welche Software ist vor allem betroffen bzw. von Relevanz für den durchschnittlichen Nutzer?

1. Betriebssysteme (Windows, Linux-Distributionen, MacOS, aber auch Betriebssysteme bzw. Firmware mobiler Devices, Smart-TVs, Überwachungscams, Smarter Schlüssel, usw.)
2. Anwendungen, die auf den Betriebssystemen installiert werden (Browser, E-Mail-Programme, Office-Anwendungen, Virenscanner, PDF-Reader, Player, usw.)
3. Router-Firmware
4. BIOS/UEFI (z.B. hinsichtlich CPU Microcode)

3.) Negative Folgen der Missachtung der Updatepflicht

Was passiert, wenn ich dies nicht umsetze?

1. Bemerkte oder unbemerkte Infektionen der Systeme
2. Auslesen sensibler Daten (Zugangsdaten, Adressen, usw.) zum eigenen Schaden und zum Schaden anderer
3. Eingliederung in ein Botnetz, u.a. mit:
   • Missbrauch des Internetanschlusses z.B. zum Spamversand (zum Schaden anderer)
   • Teilnahme an DDoS-Angriffen (zum Schaden anderer)
   • Weiterverbreitung von Malware (zum Schaden anderer)
4. Verschlüsselung der Daten (Ransomware / „Erpressungstrojaner“ → Beitrag zur Förderung Internetkrimineller durch Betroffene, wenn sie das Lösegeld zahlen)
5. Identitätsdiebstahl und Accountübernahmen (zum eigenen und zum Schaden anderer, u.a. verbesserte Voraussetzungen für Dreiecksbetrug, etc.)
6. Missbrauch finanzrelevanter Accounts (Onlinebanking, Paypal, Onlineshopping, etc.) zum eigenen Schaden und zum Schaden anderer
7. Verbesserte Angriffsvektoren für Dritte für künftiges Social Engineering

4.) Beispiele aus der Praxis

[Inhalte dazu folgen, u.a. Verlinkungen und Berichte aus den vergangen Jahren.]



5.) Beispiele häufiger Fehlannahmen uneinsichtiger Nutzer

[Inhalte dazu folgen, u.a. eine Auflistung und Entgegnung der haarsträubendsten Fehleinschätzungen und "Argumente" uneinsichtiger Nutzer.]

Wenn ich mir zu Deinem Text einen Kommentar erlauben darf:
Du solltest bei Deinen (selbstverständlich durchaus richtigen) Ausführungen vielleicht nicht unerwähnt lassen, dass ein BIOS/UEFI-Update immer mit einem gewissen Restrisiko verbunden ist und man dabei aufpassen sollte.
Man sollte es genau so machen, wie vom Boardhersteller vorgegeben (z.B. richtigen Dateinamen wählen etc.).
Es ist auf jeden Fall mit mehr Aufwand verbunden, als einfach nur eine EXE-Datei doppelzuklicken.
Nur um ein paar neue Features zu erhalten würde ich als "durchschnittlicher Nutzer" mein BIOS/UEFI jedenfalls nicht flashen, sondern nur, wenn es wirklich besagte Microcode-Updates enthält.
Selbst ich als erfahrener Nutzer habe es schon fertig gebracht, ein Board beim Flashen zu bricken (beim Flash-Vorgang übers Netzkabel geflogen :headbang:).
Ich würde BIOS/UEFI-Firmware daher nicht zwingend zu den Softwarekomponenten zählen, die permanent auf dem neuesten Stand gehalten werden müssen.
Aber lass es ruhig drin (für ältere Rechner bezüglich der Microcode-Updates), nur vielleicht versehen mit einer kleinen "Warnung".

Das muss man bei den Windows-Updates ja auch. Wer da so bräsig einfach seinen Rechner hart ausschaltet, hat mit großer Wahrscheinlich danach auch einen no booter. :killpc:

Ja klar, so lange sie konstruktiv und gleichzeitig vernünftig vorgetragen sind, immer. ;)

Die Threadbeilage meinerseits folgt noch (ist ohnehin in Planung). Damit es dann am Ende auch heißen kann:

:applaus:

Siehst Du, hättest Du dazu mal besser ein WLAN-Kabel genommen. :D

Und dann gibt es power over wifi oder wie? :applaus:

Das stimmt natürlich, aber man hat keine defekte Hardware (ich habe es jedenfalls nicht hinbekommen, mein Board wieder zu reparieren. Das war ein klassischer Hard-Brick). :stirn:
Einen no booter kriegt man wenigstens durch Neuaufsetzen wieder hin. Aber auch hier wäre vorsichtshalber eine Warnung für die DAUs wohl angebracht.

Danke für die Blumen. :applaus:

Klar. Aber das könnte man auch in einem separaten Thread behandeln. Firmware-Updates wären ein Thema für sich. Ich finde das reicht schon, wenn man hier kurz erwähnt, dass man neben der Software auch sämtliche Firmware aktuell halten muss.
Sonst müsste Markus ja auch alle Eventualitäten bei Windows-Updates hier in seinem 2. Abschnitt reinschreiben. Rein theoretisch kann da auch jedes Updates das System bzw alle Daten zerstören oder für den DAU unzugänglich machen.

Stimmt schon, meinetwegen Firmware-Updates in einen separaten Thread.
Aber ich finde es reicht doch, wenn Markus einfach nur zum Thema Firmware kurz erwähnt, dass die User sich an die Anweisungen der Boardhersteller halten sollen und z.B. den richtigen Dateinamen wählen müssen.
Und dass sie während des Flashens auf keinen Fall die Stromversorgung trennen dürfen, weil sie sonst ihre Hardware zerstören.
Bei den Windows-Updates reicht ein Hinweis, dass man die Stromversorgung nicht trennen darf, weil man sonst unter Umständen danach einen no booter hat.
Das sind ja nur zwei kleine Nebensätze, die wird Markus in seine Anleitung schon irgendwie einbauen können. :blabla:

Natürlich ist es wichtig mit aktuellen Updates auf dem neuesten Stand zu sein.
Windows 10 ist aber ein klassisches Beispiele, dass Updaten überlegt erfolgen muß.
Nicht jeder User kann die Hardware updaten sprich neuen PC kaufen, um sicher zu sein
keine Probleme beim Update zu bekommen.
Die Empfehlung ist sich in Ruhe zu informieren, ob Kompatibitätsprobleme wie z.B Treiber bekannt sind.
Mit Backup System sichern um notfalls den Schritt zurückführen zu können.

So dramatisch bzw kritisch, dass immer unbedingt sofort losgelegt werden muß, ist es meist nicht.

Also wer so blöd ist und die eingeblendeten Hinweise beim Flashen ignoriert, der hat selber Schuld.:headbang:

Allgemeine Hinweise was das Flashen angeht würde ich auch sein lassen, weil jeder Hersteller das etwas anders macht. Und DAUs gehen oft von einer allgemeingültigen Lösung aus, weil Computer ja wie Toaster bedienbar sein müssen.

Was muss denn da groß überlegt werden?
Das entscheidend Falsche ist doch, dass DAUs ihre Systeme zumüllen, hier ein CCleaner, da ein TuneUp, dort eine Internet Security weil ja ohne sofort die pöhsen Hacker da sind :headbang: und trotzdem fällte keinem auf, dass Tonnen von Junkware auf dem Rechner läuft. chip.de ist ja auch so bequem und toll. :pfui:


Macht nur keiner. Und wenn man sich ständig die Horrormeldungen bei heise zu Gemüte führt, wird garkein DAU mehr irgendein Update fahren. :rolleyes:

Backups, ja klar doch :lach: das machen die DAUs ja noch seltener als sich über Windows zu informieren. :zunge:

Dann schau dir diese verdreckten Kisten hier mal an, das ist tw. echt gruselig was die Logs offenbaren:

-- uraltes Windows 10 Release
-- Quicktime 7
-- 7zip 9.20

Für prähistorische Software war die Überlegung nicht gedacht :zunge:

Ja aber Windows verweigert doch so manches Updates wenn es uralte Software findet?
Richtig nervig sind die Kisten die bei einem uralten Relase wie 1803 oder 1809 feststecken und sich selbst nicht mehr updaten können. Irgendwelche dummen Fehler, Logs nicht aufschlussreich, MS-Support-Forum ist total unfähig. Ja vielen Dank auch :D

Deswegen hatte ich ja auch geschrieben, dass ein kurzer Hinweis, sich bei Firmwareupdates an die Anweisungen der Hardwarehersteller zu halten, völlig ausreichen würde in der Anleitung.
Aber das soll Markus so machen, wie er es für richtig hält.
Ich bin übrigens - wie gesagt - beim Flashen übers Stromkabel geflogen, das war zwar auch dumm und :headbang:, aber eher ein Unfall, der halt mal passieren kann.
Vielleicht einfach nur ein kurzer Hinweis in der Anleitung, dass ein fehlgeschlagener Flashvorgang zu einem Hard-Brick führen kann, der nicht mehr zu korrigieren ist.
Aber ich will mich nicht mit Dir streiten. :heilig:

Ich wär eher dafür, dass Markus ein Hinweise schreibt wie:

Bitte beachtet penibel die Hinweise in der readme.txt o.ä. des UEFI- bzw. BIOS-Updaters!