Vista zeigt Viren seine Hörner

Wer auch immer sich um seine Sicherheit fürchtet, sei es wegen Phishing, Malware oder Datensicherheit, kann dank Windows Vista ruhiger schlafen. Denn das Betriebssystem wird in Sachen Security auf einen neuen Level gehievt. Dies sagte kein Geringerer als Microsoft-Gründer Bill Gates während der Präsentation des Betriebs-systems Ende Januar. Der gehobene Sicherheitsstandard sei zum einen das Ergebnis des vor fünf Jahren initiierten Security Development Lifecycle (SDL), berichtet Jim Allchin, der die Entwicklung des jüngsten Betriebssystems der Redmonder leitete. Bei SDL sind die Arbeitsabläufe der Softwareentwickler geändert worden, so dass diese mit Security im Hinterkopf programmieren und so schwerwiegende Sicherheitslöcher vermeiden. «Zudem wird der fertige Code viel stärker nach Lücken durchsucht als bis anhin», ergänzt Allchin.

Zum anderen hat Microsoft ihr Windows Vista mit zahlreichen Security-Tools und sicherheitsrelevanten Features angereichert. Diese reichen vom Anti-Spyware-Werkzeug Windows Defender und der Windows Firewall über die Zugriffs- und Anwenderkontrolle mit Network Access Protection (NAP) und User Account Control (UAC) bis hin zur Verwaltung digitaler Identitäten mit Windows Cardspace und der Datenverschlüsselung mit Bitlocker Drive Encryption (siehe Kasten). Schliesslich hat Microsoft mit Windows Life Onecare auch noch eine Antiviren-Software auf den Markt gebracht. Diese ist allerdings nicht Teil von Vista und muss extra bezahlt werden.

Mit diesem Security-Paket mischt Microsoft die IT-Sicherheitsszene auf. Konkurrenten wie Symantec und McAfee wehrten sich schon im letzten Sommer gegen gewisse Vorhaben der Redmonder. So stiess den -beiden sauer auf, dass das Sicherheits-geschehen auf dem PC künftig über das Windows Security Center (WSC) organisiert wird. Dabei handelt es sich um eine
Art grafisches Armaturenbrett, das dem Anwender eine Übersicht gibt, welche -Security-Software installiert ist und ob die Firewall und das Anti-Spyware-Programm auch mit jüngsten Updates gefüttert wurden. «In der Vergangenheit konnten Nutzer beispielsweise das Norton Protection Center als zentrale Statusanzeige nutzen, um ihren Sicher-heitsstatus zu überwachen», führt Olaf Lindner von Symantec aus und ergänzt: «So wie Vista jetzt konzipiert ist, sind die Kunden gezwungen, zwei nebeneinander liegende Anzeigen auf ihrem Monitor abzurufen, da Microsoft ein automatisches Ersetzen nicht mehr erlaubt.»

Ärger gab es auch, weil die Redmonder bei der 64-Bit-Version von Vista den Kernel mit Hilfe von Patchguard abschotten. Laut Microsoft hält dies Hacker vom Herz des Betriebssystems fern und wird die Angriffsraten drastisch reduzieren. Doch auch für die Hersteller von Anti-Malware-Programmen sei der Zugang zum Kernel für ihre Arbeit wichtig, reklamieren diese. Es gebe viele Angriffe, die Treiber auf dem Kernel-Level ausnutzten. Deshalb müsse auch dieser Teil des Betriebssystems für Dritthersteller zugänglich sein.

Zwar konnten sie nicht durchsetzen, dass Vista bis zur Lancierung angepasst wird. Doch ein Teilerfolg, der unter anderem durch die Intervention der Europäischen Kommission samt Drohung mit Antitrust-Massnahmen zustande gekommen ist, wurde erzielt: Mit dem ersten Service-Pack, das noch dieses Jahr erwartet wird, sind entsprechende Korrekturen geplant.

Kontrovers sind auch die Meinungen in Sachen UAC. Das Konzept, das in der deutschen Vista-Version unter der Bezeichnung Benutzerkontenschutz segelt, ist im Grunde eine gute Sache: Damit lässt sich ein PC mit weniger Benutzerrechten betreiben. Dadurch soll verhindert werden, dass bösarti-ge Programme sich selbst installieren und Schaden anrichten, wie dies unter Windows XP möglich war. Denn dort war das «eingeschränkte Benutzerkonto» zu restriktiv, weil viele Applikationen gar nicht betrieben werden konnten, ohne dass der Anwender in den Status eines Administrators gehoben wurde. In Vista müssen die User nun Aktionen wie die Installation von Programmen und Änderungen am System bestätigen.

Für viele Anwender meldet sich UAC aber zu oft mit seinen Pop-up-Fenstern und verleitet sie dazu, den Schutz ganz auszuschalten. «UAC ist ja theoretisch ein riesiger Schritt zu mehr Security. Aber diese ist nun mal nur so gut wie ihr schwächstes Glied, und das ist der Mensch», meint Natalie Lambert von der Marktforscherin Forrester Research.

Es gelte, Sicherheit gegen Benutzerfreundlichkeit abzuwägen, kontert Urs Küderli, Chief Security Advisor bei Microsoft Schweiz. «Natürlich wäre die Benutzung eines Computers ohne UAC angenehmer. Die Vergangenheit zeigt aber die Notwendigkeit dieser Schutzmechanismen», argumentiert er. Zudem seien die Prompts nach dem endgültigen Aufsetzen des Systems kaum mehr sichtbar und meldeten sich nur noch, wenn systemnahe Funktionen ausgeführt werden, welche administrative Rechte benötigten, ergänzt Küderli.

Zeigt sich die Security-Branche schon nervös, wenn es um das mit Sicherheitsfunktionen und -werkzeugen aufgepeppte Betriebssystem geht, so nehmen die kritischen Stimmen noch an Intensität zu, wenn es um Micro-softs Einstieg in die Virenbekämpfung geht. Die Gates-Truppe geht nämlich mit Windows Live Onecare auf Endverbraucher los. Für 60 Franken im Jahr bietet Microsoft den Schutz für maximal drei PC an. Dieser umfasst neben dem Antiviren-Programm eine Software zur Bekämpfung von Spyware und eine Firewall sowie ein Backup-Tool. Mit dem Angebot attackieren die Redmonder direkt McAfee, Symantec und Trend Micro. Die spielen derweil die Wirksamkeit von Onecare herunter und erhalten Unterstützung von unabhängiger Seite. So hat das Virus Bulletin bekanntgegeben, dass Onecare den hauseigenen VB100-Test, bei dem ein Antiviren-Programm alle bekannten Schädlinge erkennen muss und keine Fehlalarme fabrizieren darf, nicht bestanden hat.

Das ist natürlich ein gefundenes Fressen für Antiviren-Hersteller wie die russische Kaspersky Lab. Deren Chefin geht ohnehin davon aus, «dass Onecare wohl kaum führend sein wird bei der Reaktion auf neue Gefahren und bei der Erkennungsrate bestehender Viren». Zudem prophezeit sie, ein ganzes Heer von Virenschreibern sei bereits drauf und dran, spezielle Malware zu entwickeln, die Onecare aushebeln wird.

Microsoft steigt somit nicht zu knapp ins Security-Geschäft ein. Dadurch wird längerfristig ein Weniger an Sicherheit er-wartet. «Wollen Sie sich wirklich nur auf Microsoft verlassen, um ihre Microsoft-Umgebung abzusichern?», fragt Bruce McCorkendale von Symantec rhetorisch.

Die Frage beantworten nicht nur Leute, die mit der Absicherung von Windows-Rechnern ihre Brötchen verdienen, mit «Nein». Auch Joe Wilcox, Analyst von Jupiter Research, sieht das Vorpreschen der Gates-Truppe kritisch. «Historisch gesehen schwin-det die Anzahl Konkurrenten, wenn Microsoft zur Eroberung eines Markts ansetzt», sagt er. Folglich leide die Innovation. «In Sachen Windows bedeutet dies weniger Sicher-heit und mehr Security-Probleme», prophezeit Wilcox und verweist auf den Browser-Krieg zwischen der Gates-Company und Netscape. «Nachdem Microsoft ihren Internet-Explorer etabliert hatte, vernachlässigte sie jahrelang die Weiterentwicklung der Browser-Technik».

Security-Tools in Vista

Microsoft hat ihrem jüngsten Betriebssystem Windows Vista eine ganze Reihe von Security-Werkzeugen angedeihen lassen. Die wichtigsten sind:

Windows Defender macht Jagd auf Spyware und operiert dabei im Hintergrund. Auf Verlangen des Users kann zudem das Malicious Removal Tool (MSRT) aktiviert werden, es rückt dann Viren und sonstigen Schadprogrammen zu Leibe. Allerdings erwartet nicht einmal Microsoft, dass man sich Virenjäger verlässt.

Windows Firewall ist zwar schon XP-Nutzern ein Begriff. Der Funktionsumfang ist allerdings erweitert worden, sodass die Brandschutzmauer jetzt auch den ausgehenden Netzwerkverkehr untersucht. Diese Funktion ist jedoch default-mässig abgeschaltet.

User Account Control(UAC) und Network Access Protection (NAP) lauten die Zauberwörter in Sachen Zugriffsberechtigung. Mit UAC müssen Anwender nicht mehr mit Administratorenrechten ausgestattet sein, um bestimmte Applikationen benutzen zu können. Durch die Restriktionen können sich Schadprogramme nicht mehr so einfach selbst installieren wie bisher. NAP ist noch nicht in der jetzigen Vista-Ausgabe integriert, sondern wird mit der Server-Version «Longhorn» nachgeliefert. Es macht mit Clients - beispielsweise mit dem Notebook eines Aussendienstlers - erst einmal ein Security-Checkup, bevor dieser ans Firmennetz angeschlossen wird.

Windows Cardspace soll dagegen die Identität des Anwenders schützen und verwaltet unter -anderem dessen Passwörter und Angaben für Webformulare.

Bitlocker Drive Encryption schliesslich ist das Verschlüsselungswerkzeug der Redmonder. Es wird allerdings nur mit den Ausgaben Enterprise und Ultimate von Windows Vista ausgeliefert und chiffriert die Festplatte. Dadurch ist beispielsweise der Verlust des Notebooks nicht mehr ganz so tragisch