bedeckt München
vgwortpixel

Gefährliche Lücke bei Fireeye:Zugriff auf E-Mails

Je nachdem, wofür das Produkt von Fireeye eingesetzt wird, haben die Angreifer Zugriff auf E-Mails oder das Surfverhalten der Firmenmitarbeiter. Wer die E-Mails mitlesen und Anhänge herunterladen kann, kommt unter Umständen an sensible Informationen und Geschäftsgeheimnisse. Wer das Surfverhalten analysieren kann, dem bietet sich die Möglichkeit, besuchte Webseiten zu manipulieren und sich so noch weiter in die Firmennetze hineinzuschleichen. Das ist ein Problem wegen der Firmengeheimnisse, die heute meist digital gespeichert werden. Es ist aber auch ein Problem, weil durch einen erfolgreichen Angriff auch der Ruf der Betroffenen geschädigt ist.

"Die meisten Kunden haben mindestens zwei Fireeye-Produkte. Eines für Mails, eines für Webseiten", sagt Wilhelm. Zu den Aufgaben der IT-Firma ERNW gehört es, die Netzwerk-Sicherheit von Kunden zu prüfen. Wilhelm sieht also in seiner täglichen Arbeit, wie die Produkte eingesetzt werden. Konkrete Firmen nennt er nicht, das verbieten neben der Berufsethik die Geheimhaltungsverträge, die der Forscher unterschreiben muss.

Fireeye versucht alles, um den Schaden zu begrenzen. Nach Angaben von ERNW hat das Landgericht Hamburg auf Antrag des US-Unternehmens eine einstweilige Verfügung erlassen. Das Ziel: Einschüchterung, im Idealfall sogar die Absage von Wilhelms Vortrag. Doch nun ist am Ende der Präsentation eine Zeitleiste zu sehen. Ihr zufolge hat Wilhelm bereits im April eine E-Mail an das Sicherheitsteam von Fireeye verschickt. Drei Wochen später folgt eine Nachricht auf dem Kurznachrichtendienst Twitter. Anschließend habe es Absprachen gegeben. Das ist branchenüblich. Die Firma soll genug Zeit haben, Schwachstellen zu beheben und Kunden vorzuwarnen.

Aus gleichem Grund habe Fireeye darauf gedrungen, jene Stellen aus der Präsentation zu streichen, in denen ihrer Meinung nach zu genau über das Produkt gesprochen wird. An diesen Stellen steht nun "zensiert" auf den Folien. Im August habe man sich getroffen und letzte Details geklärt, sagt Wilhelm. Am nächsten Tag aber habe ERNW eine Abmahnung, kurz darauf die Verfügung erhalten. "Wir haben auf der Sachebene sehr vernünftig mit Fireeye zusammengearbeitet", sagt Firmenchef Enno Rey. "Dass parallel dazu gravierende juristische Schritte eingeleitet wurden, kam für uns aus heiterem Himmel. Dieses Verhalten empfinden wir als unprofessionell, als Vertrauensbruch." In der IT-Branche gehört es zum Standard, sich bei Sicherheitsforschern mindestens zu bedanken. Google und Microsoft zahlen mitunter Geld.

Fireeye hat auf Anfragen der SZ zunächst nicht reagiert, sondern auf ein offizielles Statement verwiesen. Nach Erscheinen dieses Artikels teilte die Firma über einen Sprecher mit, dass es keine Anzeichen dafür gebe, dass derzeit Lücken aktiv ausgenutzt würden und in der Folge massiver Datenverlust bei Kunden auftrete. Nur eines teilte die Firma direkt mit: Man habe die Lücken inzwischen behoben. In Zusammenarbeit mit ERNW.

Update: Nach Erscheinen des Artikels hat sich die Firma Fireeye gemeldet und mitgeteilt, dass es bis dato keine Anzeichen dafür gebe, dass derzeit Lücken aktiv ausgenutzt würden und in der Folge massiver Datenverlust bei Kunden auftrete. Die Firma In-Q-Tel sei darüber hinaus nicht länger als Risikokapitalgeber tätig. Der Artikel wurde entsprechend aktualisiert.