Bei den aufgedeckten Sicherheitslücken handelt es sich nicht um ein Software-, sondern um ein Design-Problem der Prozessoren. Denn die Lücke nutzt folgendes Prozedere moderner Prozessorarchitekturen aus: Um Prozesse zu beschleunigen, werden Informationen, die eventuell zu einem späteren Zeitpunkt benötigt werden, schon vorher abgerufen. Dies erlaubt es Hackern durch Seitenkanal-Attacken unter bestimmten Umständen, sensible Daten wie Passwörter oder Private Keys auszulesen. Von der Sicherheitslücke betroffen sind diverse Intel-, ARM- und AMD-Prozessoren – und das zum Teil seit über 20 Jahren. Doch wie groß ist die Gefahr für Rechnersysteme, die in der Produktion im Einsatz sind? 

„Um die Sicherheitslücken auszunutzen, ist der Einsatz einer Schadsoftware nötig, die dem Prozessortyp des attackierten Systems angepasst ist. Eine solche Schadsoftware kann entweder – wie jede andere Malware – über unvorsichtiges Verhalten im Internet auf das System gelangen oder physisch am System aufgespielt werden“, erläutert Benedikt Merl, Head of Marketing bei Inonet. Deshalb gelten bei Industrie-PCs andere Bedingungen als bei privaten Systemen. „Auf Rechnern in der Produktion werden in der Regel keine unautorisierten Programme installiert oder dubiose E-Mails geöffnet, um sich entsprechende Schadsoftware einzufangen“, so Merl weiter. Vanessa Kluge, Produktmanagerin bei ICP, dazu: „Damit diese Sicherheitslücken ausgenutzt werden können, muss Schadcode auf den Rechner-Systemen ausgeführt werden. Schadsoftware gibt es aber nicht erst seit der Entdeckung von Spectre und Meltdown. Ein Schutz vor Schadsoftware ist seit vielen Jahren fester Bestandteil aller professionell genutzten Rechner – das gilt natürlich ebenso für Systeme in der Produktionskette.“ Auch Dr. Harald Hoffmann von Janz Tec ist sich sicher: „Sind Unternehmen nicht in der Lage, den Zugriff auf das System zu verhindern, sind nicht nur Spectre und Meltdown, sondern jegliche Angriffe auf die Cybersicherheit des Unternehmens ein nicht abschätzbares Risiko.“ Congatec-CTO Gerhard Edi sieht das ähnlich: „Die existierenden Schutzmechanismen verhindern das Ausführen von Fremdsoftware. Wenn diese Mechanismen zu schwach sind, stellt dies eine Sicherheitslücke dar, die von Schadsoftware ausgenutzt werden kann – dann kann aber direkt auf die Daten zugegriffen werden. Der durchaus komplizierte Weg über Spectre oder Meltdown ist dann nicht notwendig.“

Cloud besonders gefährdet

Doch es gibt unterschiedliche Gefährdungspotenziale bei den in der Produktion eingesetzten Systemen. So herrscht etwa bei Industrie- und Panel-PCs sowie bei Gateways mit betroffenen Prozessoren eine geringe Gefahr, ist sich Vanessa Kluge sicher: „Diese Systeme kommen in der Regel in geschützten Infrastruktur-Umgebungen zum Einsatz. Auch muss man in Betracht ziehen, dass in erster Linie Massenware von Hackern fokussiert wird.“ Ebenfalls unkritisch ist die Lücke laut Benedikt  Merl für viele Embedded-Systeme oder Router, da hier nie neuer Code geladen wird. Auch seien bestimmte einfachere Prozessoren, die beispielsweise in Raspberry-Pi-Systemen eingesetzt werden, von dieser Art von Seitenkanal-Attacken nicht betroffen. 

Doch schwieriger gestaltet sich die Lage etwa bei Server-Systemen: „Sie sind in der Regel dauerhaft mit dem Internet verbunden und haben Verbindungen zu vielen weiteren Clients. Allerdings werden sie im Normalfall nicht direkt von einem Benutzer bedient, der – absichtlich oder unabsichtlich – Schadsoftware auf das System laden kann. Die Sicherung des Systems muss also vor allem auf ­virtueller Ebene erfolgen“, so Merl. Auch Edi sieht vor allem für virtualisierte Server eine Bedrohung, „da ja auf einem physikalischen Server möglicherweise auch Instanzen von anderen Firmen, zum Beispiel Cloud-basierende CRM-Systeme, laufen. Da die Kunden der virtuellen Server volle Rechte zur Software-Installation haben, kann der Spectre- und Meltdown-Code ausgeführt werden, um Daten anderer virtueller Server auf der gleichen Maschine zu erfassen.“

Was können Anwender tun?

Um die Sicherheitslücken zu schließen, haben Anbieter wie Intel und Microsoft verschiedene Updates auf dem Markt gebracht – weitere werden folgen. „In erster Linie müssen zunächst die Hersteller der CPU-Hardware und in zweiter Linie die Hersteller der Betriebssysteme entsprechende Updates bereitstellen“, erläutert Hoffmann. Der aktuelle Stand kann auf den Supportseiten der jeweiligen Her-steller abgerufen werden. Doch dabei sollten die Anwender beachten, dass Updates mit einer Leistungsminderung einhergehen. Denn um die besagten Sicherheitslücke zu schließen, werden Funktionalitäten wie Out-of-Order-Prozesse sowie die spekulative Ausführung bei Updates eingeschränkt. Wie sich das auf die Anwendung auswirkt, kann laut Merl pauschal nicht beantwortet werden: „Wie stark die Performance-Ein-bußen ins Gewicht fallen, hängt maßgeblich von der jeweils laufenden Software sowie der Hardware-Konfiguration eines Systems ab. Besonders bei hoch performanten SSDs rechnen Experten mit stärkeren Einbußen. Höhere Latenzzeiten in der Datenverarbeitung können durchaus zum Ausfall der gesamten Anwendung führen. In jedem Fall sollten Anwender nie auf Sicherheits-Updates verzichten, um Performance-Einbußen zu vermeiden.“ Er rät: „Schutz bieten grundsätzlich Updates des Mikrocodes der Prozessoren über BIOS-Updates oder Betriebssystem-Patches sowie Updates von Programmen, die kritische Informationen enthalten. Neben den bereitgestellten Updates auf Betriebssystem-Ebene sollten also vor allem die Programme auf Software-Updates geprüft werden, die Mikrocode ausführen oder sensible Informationen verarbeiten, etwa Passwort-Bibliotheken oder Programme, die geschäftsrelevante Daten enthalten.“