Microsoft: Windows XP wird immer eine Zero-Day-Lücke haben

Noch einmal sendet Microsoft eine dringende Warnung aus, Windows XP ab dem 8. April 2014 nicht mehr zu verwenden. Man sei dann nicht mehr fr Sicherheitsrisiken haftbar, da der Support für das dann fast 13 Jahre altes Betriebssystem Windows XP an diesem Tag – nach dem vorläufigen Support-Ende – dann definitiv komplett auslaufen wird. Nach dem Aus für den Mainstram-Support müssen nun also auch die Unternehmenskunden Abschied von XP nehmen.

Es sei mit schwerwiegenden Sicherheitsrisiken zu rechnen, warnt MS Ab diesem Datum wird es nach der freiwilligen Verlängerung nun wirklich keinerlei Sicherheitsupdates, Aktualisierungen oder technische Unterstützung mehr geben.

Doch viele Firmen lösen sich teilweise nur schwer vom bewährten Windows XP und scheuen die Migration auf eine aktuellere Version des Betriebssystems. “Ich habe sogar mit einigen Kunden gesprochen, die nicht von Windows XP umsteigen wollen, bis die Hardware versagt, auf der es läuft”, beklagt Microsoft-Manager Tim Rains in einem Blogeintrag. Als Leiter von Microsofts Trustworthy Computing ist er für die Sicherheit von Betriebssystemen verantwortlich.

Nach dem Auslaufen des Supports sieht er das Risiko, dass Angreifer “im Vorteil gegenüber den Verteidigern sind, die weiterhin auf Windows XP bauen, weil die Angreifer wahrscheinlich mehr Informationen über Schwachstellen in Windows XP haben werden als Verteidiger”. Angreifer könnten nach jedem von Microsoft veröffentlichten Sicherheitsupdate kurzfristig auf die damit behobenen Sicherheitslücken schließen und dann Code zu ihrer Ausnutzung auf Systemen entwickeln, die nicht aktualisiert werden.

Sie könnten außerdem erproben, ob die jeweiligen Schwachstellen auch in Produkten mit gleicher oder ähnliche Funktionalität vorkommen. Aus diesem Grund liefere Microsoft seine Sicherheitsupdates stets gleichzeitig für alle betroffenen Produkte aus. Nach dem 8. April 2014 aber könnten XP-Nutzer nicht mehr auf diesen Vorteil bauen: “Ab dem ersten Monat, in dem Microsoft Sicherheitsupdates für unterstützte Versionen von Windows veröffentlicht, werden Angreifer durch Reverse Engineering dieser Updates die Schwachstellen finden und testen, ob Windows XP die gleichen Schwachstellen aufweist.”

Sei das der Fall, würden sie Exploit-Code zu entwickeln versuchen, mit dem sie die Schwachstellen unter Windows XP ausnutzen können. Da aber bei XP niemals mehr mit ihrer Behebung durch Sicherheitsupdates zu rechnen sei, wird Windows XP laut Rains “für immer eine Zero-Day-Schwachstelle haben”. Damit greift er auf einen Begriff zurück, der eigentlich für bislang unbekannte Sicherheitslücken steht.

Der Manager weist außerdem auf eine erheblich höhere Infektionsrate bei Windows-XP-Systemen im Vergleich zu moderneren Betriebssystemen wie Windows 7 oder Windows 8 hin, wie aus Microsofts eigenen Erhebungen hervorgehe. Die Kunden sollten sich außerdem die Frage stellen, ob sie noch auf die System-APIs von XP vertrauen können, die von Antivirus-Software genutzt wird. “Für einige Kunden könnte dieses Vertrauen in die Integrität ihrer Systeme okay sein, aber für die meisten wird das nicht akzeptabel sein”, argumentiert er. Warnend führt er weiterhin an, dass die integrierten Sicherheitsfeatures von Windows XP nicht mehr hinreichend vor modernen Bedrohungen schützten, die sich zunehmend gegen Client-Anwendungen wie Webbrowser und Dokumentenbetrachter richteten.

Laut NetMarketshare.com verfügte Windows XP im Juni 2013 noch immer über einen Marktanteil von über 37 Prozent unter den Desktop-Betriebssystemen. Microsoft macht dennoch klar, den Supportzeitraum definitiv nicht über den 8. April 2014 hinaus verlängern zu wollen. Stattdessen ist in den kommenden acht Monaten vermutlich mit einer Serie zunehmend lauter Sicherheitswarnungen aus Redmond zu rechnen.

Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

[mit Material von Bernd Kling, zdnet.de]