News Ukraine-Krieg: BSI warnt vor Einsatz von Kaspersky-Software

[Miuwa]

Das ist Russophobie und ein politisches Statement. Kaspersky wäre sehr dumm, sich seinen Reputation und wirtschaftliches Überleben zu ruinieren.

Du gehst davon aus das Kaspersky eine wahl hätte? Das Problem ist (vermutlich) nicht Kaspersky oder die Mitarbeiter, sondern Putin.

 

[yaginet]

ja Pure heuchlerei und politisch.wie oben im spiegel Beitrag erwöhnt hat man damals kaspersky gegen die US vorwürfe in Schutz genommen. Man sollte hier wenn überhaupt nur technisch argumentieren und das hat die BSI nicht gemacht. Denn technisch müsste man mit dieser leienhaften argumentation alle AV's für unsicher erklären. Schade

 

[yaginet]

Also grundsätzlich halte ich von Antivirensoftware eh nicht viel, reißen halt Löcher wo vorher noch gar keine waren.. allerdings sollte man in Zeiten von sehr aktivem Cyberwar sich vielleicht wirklich gut überlegen ob man Software aus potentiellen Cyberwar Ländern installieren möchte.. ich würde allerdings eh gleich Linux nehmen, womit sich das Problem von selbst erledigt.

Zu denken das Linux diesbezüglioch sicher ist ist genauso wie Apples Annahme zu bewerten wenn sie sagen das sie nie ein virus treffen kann. Je mehr der bekanntheitsgrad und verbreitung steigt desto mehr wird es ein Ziel für Hacker.

 

[lemba]

Also wer heutzutage als Privatanwender noch Anti-Viren-Software unter Windows, außer dem Windows Defender braucht, sollte sich über sein grundsätzliches Surf-/Internetverhalten Gedanken machen oder gleich auf Linux (Mint) wechseln...

 

[Miuwa]

Sind wir denn im Krieg mit Russland? Nein, sind wir nicht.

Ich dachte die Sanktionen wäre schon mehrfach von offizeller Seite als Wirtschaftskrieg bezeichnet worden und wir unterstürzen direkt einen Kriegsgegner Russlands. Und von Russischer Seite wurden mehrfach Warnungen gegen den Westen ausgesprochen und wir sind auf der Liste der Unfreundlichen Staaten.

Also nein. Wir sind mit Russland nicht in einem richtigen Krieg, aber das zugrunde liegende Argument war ja vermutlich, dass Russland ein viel stärkeres Interesse daran hat uns zu schaden als die USA und das finde ich absolut nachvolziehbar.

 

[McMoneysack91]

Als Linuxnutzer habe ich den Luxus, diese Diskussionen einfach mal von der Seite als Beobachter zu genießen

 

[M@tze]

Und was hat jetzt Kaspersky mit Putin und seinem Verbrecherischen Umfeld zu tun?
Das Verbrechen ist dass sie ein Russisches Unternehmen sind.

Wirtschaftskrieg gegen Russland in alle Richtungen!

Ich verstehe solche Aussagen nicht, es geht dabei weder um Wirtschaftskrieg noch darum russische Firmen aus dubiosen Gründen zu schaden. Es wurden doch bereits genügend Begründungen im Thread genannt, warum man (vor allem als Firma) Kaspersky an dieser Stelle (leider) misstrauen muss. Russische Hacker-Teams sind bekanntermassen seit Jahren weltweit unterwegs, klar wird das immer entschieden dementiert , und greifen Ziele an. Wie ich vorher schon verlinkt hatte, wurde im Zuge des Angriffs auf die Ukraine auch das KA-SAT-Satellitennetzwerks über Europa angegriffen und lahm gelegt.

Viasat hat einen teilweisen Netzausfall zu verzeichnen, der den Internetdienst für feste Breitbandkunden in der Ukraine und anderswo in unserem europäischen KA-SAT-Netz beeinträchtigt. Unsere Untersuchung des Ausfalls dauert an, aber bisher gehen wir davon aus, dass er durch ein Cyberereignis verursacht wurde.

Wie kommt man auf die Ansicht, die russische Regierung könnte nicht mit direkten Befehl Kaspersky dazu anweisen, die Verbindung für die Pattern Updates auszunutzen um Code in bestimmte Systeme einzuschleusen? Ob Kaspersky das jetzt will oder nicht, ist Putin egal. Das sind nicht die USA, wo das FBI die Weisung an Apple gibt, ein iPhone zu entsperren und die einfach "Nein!" sagen können. Wenn im Netz eine Meldung kommt, dass die Userdatenbank der Webseite XYZ gehackt wurde, dann ändere ich mein Kennwort weil ich einfach das Misstrauen haben muss, dass mein Passwort geleakt wurde. Firmen haben an dieser Stelle noch eine viel größere Verantwortung, Ihren Aktionären und Mitarbeitern gegenüber, und müssen alles dafür tun, um sich selbst zu schützen. Und wenn das heisst, ich kann Kaspersky nicht mehr vertrauen, dann ist es eben so.

Interessant (oder bezeichnend) finde ich, das erwähnt wird, dass Kaspersky RZ in der Schweiz nutzt, besser: "verlagert" hat.

Was ändert das an der Tatsache, dass die Server benutzt werden könnten um Angriffe zu starten? Ist ja nicht so, dass ein russisches Team von Russland aus nicht auf die Serverstruktur in der Schweiz kommen würde und von dort aus weiter arbeiten kann.

Das liese sich mit reproducible builds leicht mit einer Prüfsummer herausfinden, indem diese einfach mit der des BSIs abgeglichen wird

Das ist mir alles klar, aber Theorie und Praxis sind immer 2 verschiedene Stiefel - "kann gemacht werden" != "wird/wurde gemacht".

Wie oft wurden gerade in letzter Zeit riesige Lücken in Software (log4j) gefunden, die Open Source sind, überall eingesetzt werden (also sollte da doch schon mal ein Software Audit stattgefunden haben) und jederzeit geprüft werden konnten. Wurde trotzdem über Jahre nicht entdeckt und ich lehne mich mal aus dem Fenster und sage, dass die Codebasis von log4j nicht mit Kaspersky zu vergleichen ist.

 

[GREENBARN]

Also nix mehr aus China und Russland kaufen/nutzen. 👍Bleiben dann nicht mehr viele Alternativen.

 

[Th3Dan]

Zu denken das Linux diesbezüglioch sicher ist ist genauso wie Apples Annahme zu bewerten wenn sie sagen das sie nie ein virus treffen kann. Je mehr der bekanntheitsgrad und verbreitung steigt desto mehr wird es ein Ziel für Hacker.

Schon der Vergleich im ersten Satz hinkt, sicherer != 100% sicher. Und wenn man mit der Verbreitung argumentiert, ist das immer eine Momentanaufnahme. Kann man als Kriterium sehen, auch Verbrecher machen eine Kosten-Nutzen Rechnung. Dass es generell keine gute Praxis ist sich alleine auf so was zu verlassen (nach dem Motto: Augen zu, ich hab ja Linux/Virenscanner/was auch immer), sollte einleuchten.

 

[Gelöscht 510290]

Das sind nicht die USA, wo das FBI die Weisung an Apple gibt, ein iPhone zu entsperren und die einfach "Nein!" sagen können.

Du bist süß. Und vergleichst Äpfel mit Birnen. Das Szenario, dass hier panikartig an die Wand gemalt wird (Putin kann die Kontrolle über das Internet übernehmen), ist quasi Tagesgeschäft in der westlichen Hemisphäre. Und bringt ganz im Sinne des Kapitalismus auch noch Geld ein. Stichworte "Pegasus" oder "Five Eyes".

 

[fipsi1]

Ich bin Antivieren Software mein ganzen leben schon kritisch gegenüber gestanden!
Die Scannen deinen kompletten PC, und keiner weiß was die wirklich nach Hause telefonieren.
Die zwei Symantec (usa cia) u. Kaspersky (kgb) waren mir schon immer der größte Dorn im Auge.
Es reicht wenn Microsoft doch alles weiß, also sollte man mit bedarf zusätzliche Software installieren.

Naja, vielleicht sollte ich meinen Alu Hut abnehmen

 

[KitKat::new()]

Das ist mir alles klar, aber Theorie und Praxis sind immer 2 verschiedene Stiefel - "kann gemacht werden" != "wird/wurde gemacht".

K.a. auf was du dich beziehst

Prüfung des Codes? Man weiß ja dann falls es jemand macht, und wenns keiner macht, dann ist man genauso schlau wie jetzt, und wird so handeln wie ohne Prüfung (weil's ja keine gibt)
Prüfung der Prüfsumme? Wenn ein Unternehmen Kaspersky einsetzt, wird wohl deren IT die Prüfsumme abgleichen bevor es bei den Clients eingespielt wird WENN es Sicherheitsbedenken gibt. Wenn die es nicht macht, sowieso Pech gehabt und selbst Schuld

Sehe das Problem nicht

 

[Porky Pig]

Jetzt denke ich aber doch nach, zu G Data (weil direkt aus Deutschland) zu wechseln.
Die haben wohl sehr gute Erkennungsraten aber scheinen in anderen Fällen sehr veraltet zu sein.
Was denkt ihr zu G Data? Hatte das schon mal wer von euch?

ja ich, bevor ich zu Kaspersky gewechselt bin. Damals werkelten zwei Engines in der G-Data Software zusammen, so ich mich recht erinnere. Eine davon war Kaspersky

 

[poly123]

Was ändert das an der Tatsache, dass die Server benutzt werden könnten um Angriffe zu starten? Ist ja nicht so, dass ein russisches Team von Russland aus nicht auf die Serverstruktur in der Schweiz kommen würde und von dort aus weiter arbeiten kann.

Dessen bin ich mir bewusst - es ging mir eher darum, was auch @Klassikfan anspricht:

Haben sie aber laut Text schon 2018 getan.
Damit gibt es noch einen Grund weniger, der Software ein derartiges Mißtrauen entgegenzubringen.

Sich von sich selbst aus maximal von Russland zu distanzieren.

 

[SavageSkull]

Ich rieche Russismus.

Alles was aus Mütterchen Russland kommt ist plötzlich schlecht und böse. Wenn das mal nicht die Schizophrenie und den Verfolgungwahn fördert ...

Das Problem an der Sache ist nicht das Kaspersky per se schlecht ist, weil es russische Wurzeln hat, das Problem ist, dass die russische Autokratie da schnell mal die Finger im Spiel hat und Kaspersky dann kein Mitspracherecht hat.

 

[Shio]

whataboutism gegen die USA ist komischerweise immer fehl am Platze derzeit.

Ich weiß nicht, aber vielleicht bin ich auch blind, aber wo hat die USA uns gedroht mit allen Mitteln gegen uns zu kämpfen?
Welches Regime führt gerade einen Angriffskrieg?
Welcher Diktator scheint gerade alle Möglichkeiten zu nutzen die ihm gegeben sind um anderen westlichen Staaten zu schaden, weil sie seine Psychose über Ukrainische Nazis die Russen unterdrücken nicht teilen?
Einfach mal ein bisschen darüber klarmachen welche Macht Putin in Russland hat.

Es ist einfach nur lächerlich, dass hier Russland immer so in den Schutz genommen wird, obwohl aktuell ein immenses Gefahrenpotential von Putin ausgeht.
Es sit vollkommen irrelevant für was die Firma oder die Angestellten in Russland stehen. Wenn der Kreml will das was bestimmtes in Russland passiert, dann wird das auch passieren.

 

[SSD960]

Ja, und das sollte inzwischen jeder wissen...

 

[M@tze]

Du bist süß. Und vergleichst Äpfel mit Birnen. Das Szenario, dass hier panikartig an die Wand gemalt wird (Putin kann die Kontrolle über das Internet übernehmen), ist quasi Tagesgeschäft in der westlichen Hemisphäre.

Danke. Und Du hast offensichtlich überhaupt nicht verstanden, was ich geschrieben habe.?! Wo hat irgendjemand behauptet, Putin wolle die Kontrolle über das Internet übernehmen? Das sind auch keine Äpfel mit Birnen Vergleiche, ob ich zum Einen eine Demokratie habe in welcher einer Firma Weisungen erteilt werden könne, diese aber die Möglichkeit hat sich dagegen zu wehren (und ja, ich bin mir bewusst dass es in den USA auch Gesetze gibt, die FBI/CIA/... da mehr Rechte zugestehen) oder eine Autokratie, in der Weisung == Befehl ist und dieser auszuführen ist, ohne Diskussion wenn man keine Repressalien erfahren möchte.

Dessen bin ich mir bewusst - es ging mir eher darum, was auch @Klassikfan anspricht:

Wo die Server stehen ist doch aber total uninteressant. Wenn der CEO von Kaspersky hinter den Ansichten von Putin steht

In dem Interview zählt Kasperski auch russische Oppositionelle, soweit sie gegen russische Gesetze verstießen, zu solchen Verbrechern und erwähnt dabei namentlich den russischen Oppositionellen und Internet-Blogger Alexei Nawalny. Weiterhin äußert Kasperski seine Bewunderung für die politischen Systeme in Singapur und China, die besonders effektiv seien

https://de.wikipedia.org/wiki/Jewgeni_Walentinowitsch_Kasperski

und die Firma ihren Sitz in Moskau hat, dann hat auch der Kreml (wenn er will) die totale Kontrolle über das Unternehmen. Sind wir doch bitte nicht so leichtgläubig und denken, irgendeine in Russland beheimatete Firma hätte da eine Wahl, wenn die "Weisung von oben" kommt. Ob Kaspersky dass jetzt mit Freude tun würde oder unter Zwang, ist doch völlig unerheblich.

 

[fipsi1]

Also wer heutzutage als Privatanwender noch Anti-Viren-Software unter Windows, außer dem Windows Defender braucht, sollte sich über sein grundsätzliches Surf-/Internetverhalten Gedanken machen oder gleich auf Linux (Mint) wechseln...

Dem ist nicht´s hinzufügen; gleiche Meinung.
Windows Defender plus brain.exe reichen alle mal aus.

 

[Th3Dan]

Ich verstehe solche Aussagen nicht, es geht dabei weder um Wirtschaftskrieg noch darum russische Firmen aus dubiosen Gründen zu schaden.

Er meint es wohl im Gesamtkontext. Da haben wir viele Sanktionen und Überlegungen, bei denen es primär darum geht, Putin/Russland schaden - somit eine Form des Wirtschaftskrieges. Wenn man alleine die AV betrachtet bzw. generell Software, stimme ich dir zu, dass es weitere Gründe gibt. Sogar darüber hinaus, die Argumentation lässt sich ja auch auf andere Länder anwenden.

Das sind nicht die USA, wo das FBI die Weisung an Apple gibt, ein iPhone zu entsperren und die einfach "Nein!" sagen können.

Naja, Apple hat es vor Gericht drauf ankommen lassen und das FBI suchte sich einen Hacker. So "einfach" ist das generell leider nicht. Beispiel Lavabit: US-Behörden haben massiv Druck ausgeübt. Und darüber durfte er nicht mal sprechen, weil US-Behörden generell sehr weitreichende Befugnisse haben, die rechtsstaatlich durchaus fragwürdig sind. Beispielsweise mit National Security Letter, die teils sogar als Verfassungswidrig angesehen werden. Schon alleine durch das Bestätigen des Erhaltes macht man sich strafbar, weswegen der Lavabit-Gründer sich auch nur so vage äußert.

Wie kannst du dich als Kunde darauf verlassen, dass jedes Unternehmen so gründlich und integer ist wie Lavabit? Ein langjähriger Rechtsstreit kostet Ressourcen. Geheimdienste winken dagegen mit Millionen, wenn ein Unternehmen mit ihnen zusammenarbeitet.

Wie kommt man auf die Ansicht, die russische Regierung könnte nicht mit direkten Befehl Kaspersky dazu anweisen, die Verbindung für die Pattern Updates auszunutzen um Code in bestimmte Systeme einzuschleusen?

Die Frage stelle ich mir auch. Eben so wie man denken kann, in andere Länder wäre blindes Vertrauen kein Problem, nur weil die gerade keinen Angriffskrieg führen. Für den Moment kann man das vielleicht noch mit dem geringen Übel rechtfertigen, ein Sicherheitsrisiko bleibt es trotzdem.

Was ändert das an der Tatsache, dass die Server benutzt werden könnten um Angriffe zu starten? Ist ja nicht so, dass ein russisches Team von Russland aus nicht auf die Serverstruktur in der Schweiz kommen würde und von dort aus weiter arbeiten kann.

Richtig, mit dieser Nebelkerze á la "Wir haben aber doch Server in Deutschland" wird leider gerne argumentiert. Auch woanders, z.B. im Cloudgeschäft.

Das ist mir alles klar, aber Theorie und Praxis sind immer 2 verschiedene Stiefel - "kann gemacht werden" != "wird/wurde gemacht".

Wie oft wurden gerade in letzter Zeit riesige Lücken in Software (log4j) gefunden, die Open Source sind, überall eingesetzt werden (also sollte da doch schon mal ein Software Audit stattgefunden haben) und jederzeit geprüft werden konnten. Wurde trotzdem über Jahre nicht entdeckt und ich lehne mich mal aus dem Fenster und sage, dass die Codebasis von log4j nicht mit Kaspersky zu vergleichen ist.

Und was soll die Schlussfolgerung dieser Aussage sein? Spielt keine Rolle ob OS oder proprietär, weil nicht jeder genug beiträgt und daher keine 100% Sicherheit garantiert wird? Mit der Logik kann man auch das Demonstrationsrecht abschaffen, weil es ja oft nichts gebracht hat, wie z.B. bei der EU Urheberrechtsreform. Ist natürlich Unsinn, aber du merkst worauf ich hinaus will: Bei OS hast du die Möglichkeit. OS ist somit nicht das Problem, sondern Teil der Lösung, genau wie Audits. Da muss ausgebaut werden, damit es besser funktioniert.

Codequalität ist ein generelles Problem und oft entsteht es, weil Sicherheit in der Praxis nicht so weit oben steht. Hab ich selbst gesehen: Alles was nicht grade Log4j Level hat, soll man aufschieben und lieber was einbauen, dass die Nutzer sehen. In der Hinsicht war Log4j ein Weckruf, wohl für einige ein überfälliger. Nun erinnert bei uns der Chef regelmäßig daran, Abhängigkeiten zu prüfen. Bleibt nur die Frage, welche Schlüsse in der Masse daraus gezogen werden und wie nachhaltig das ist.

Bei Log4j haben wir ja auch noch andere Probleme: Zig große Unternehmen nutzen das und verdienen Geld mit ihren Produkten, aber beteiligen sich weder an der Entwicklung noch unterstützen finanziell. Das hat leider System, weswegen Redis z.B. mit Amazon auf Kriegsfuß steht und ihre Lizenzen geändert hat. Absurd, gerade bei so großen Projekten: Wenn jeder ein bisschen was gibt wie er kann, profitieren alle inkl. man selbst davon.