Von Helmut Martin-Jung

Der Software-Konzern Microsoft nutzt jedes Mittel, um seine Programme gegen die zunehmenden Attacken aus dem Internet zu wappnen

Was immer George Stathakopoulos tut, er tut es mit dem Herz und dem großen Gestus eines gebürtigen Griechen. Wenn er über sein Leben bei Microsoft erzählt, dann hört man sie noch, die wütenden Kunden: "Die haben mich richtig angeschrien bei Konferenzen", erzählt er. Warum ihre Computer nicht mehr funktionierten, wollten sie im Herbst 2001 von ihm wissen, dem Verantwortlichen für die Sicherheit der Microsoft-Produkte, und was der weltgrößte Softwarehersteller dagegen zu tun gedenke. Ein sich selbst vermehrender Computer-Virus namens "Nimda" hatte sich breitgemacht. Wenige Tage nach den Terroranschlägen des 11. September, war das einfach zu viel. Aber es war nicht alles.

Druck von innen, Druck von außen

Bereits einige Wochen zuvor hatte eine ähnlich gestrickte Schadsoftware namens "Code Red" eine Sicherheitslücke in einem Windows-Betriebssystem ausgenutzt, um in Computer einzudringen und sich selbst weiter zu verbreiten. Da hatte Stathakopoulos auch die Leute aus der eigenen Firmenzentrale in Redmond am Telefon gehabt, auch dort hatte es eine Menge von Rechnern erwischt. Druck von innen, Druck von außen und dazu das Hohngelächter externer Sicherheitsexperten - so konnte es nicht mehr weitergehen. Der Konzern verordnete sich selbst einschneidende Veränderungen bei der Art, wie die eigenen Programme zur Marktreife gebracht werden.

"Früher", sagt Adrienne Hall, "ging es immer um mehr Leistung. Jedes neue Programm sollte mehr können als die Vorgängerversion". Die Sicherheit aber blieb dabei oft auf der Strecke. Und das zu einer Zeit, die mehr und mehr geprägt wurde von massenhaften Angriffen aus dem Internet: E-Mails, die mit gefährlichen Anhängen bestückt sind oder Internetseiten, die schon beim bloßen Aufruf versuchen, den Computer des ahnungslosen Webnutzers mit schädlicher Software zu verseuchen.

Hall bekam deshalb den Auftrag, ein Verfahren einzuführen, das die Zahl von Schwachstellen in neu entwickelter Software minimieren und das Vertrauen der Anwender wiederherstellen sollte. Im Gebäude Nummer 27 auf dem riesigen Microsoft-Campus in Redmond im Nordwesten der USA arbeiten seither mehrere Hundert Experten ausschließlich an dieser Aufgabe.

Es war ein Auftrag, der von ganz oben kam, wie Hall erzählt - mit dem Mandat, sich durchzusetzen. Eigentlich sollte das neue Betriebssystem Windows Vista sehr freizügig sein, zum Beispiel bei Zugriffen auf die Festplatte innerhalb des eigenen Heimnetzwerks. "Aber das kam schließlich nicht ins fertige Produkt - aus Sicherheitsgründen", erzählt Eric Bidstrup, einer von Halls Mitarbeitern. Das war die Folge einer weiteren Neuerung, einem Regelwerk für die Entwicklung sicherer Software. Es legt minutiös fest, wie Dutzende verschiedene Anforderungen an die Sicherheit und Qualität von Software-Produkten systematisch abgearbeitet werden.