Stefan Friedli fordert in einem am 3. November 2016 veröffentlichten Beitrag bei scip, Sicherheit als Bestandteil von Software zu entwickeln. Schutz dürfe nicht allein von der Aufmerksamkeit der Nutzer abhängen. Sein Text ist ein fachlicher Standpunkt, keine neue Schwachstellenmeldung oder Vergleichsstudie.
Friedli kritisiert, dass Betroffene nach Phishing-Angriffen häufig selbst verantwortlich gemacht werden. Auch erfahrene Informatiker könnten einer gut vorbereiteten Kampagne zum Opfer fallen. Schutzmechanismen sollten schädliche Inhalte möglichst erkennen und abfangen, bevor ein Klick zum Risiko wird.
Zwei Faktoren ersetzen kein Sicherheitskonzept
Als praktische Ansätze nennt Friedli Zwei-Faktor-Authentisierung und Passwortmanager. Außerdem beschäftigt er sich mit Secure-Development-Modellen und Prozessen. Er verlangt damit technische Lösungen und Unterstützung für Nutzer, statt ihnen lediglich Fehlverhalten vorzuwerfen. Einen konkreten Implementierungsstandard oder eine messbare Erfolgsquote legt der Beitrag nicht vor.
Für Spieleentwicklung und den Betrieb von Onlinediensten ergibt sich daraus eine Planungsfrage: Welche Schutzmaßnahmen gehören zur Software, welche hängen von den Nutzern ab? Diese redaktionelle Übertragung betrifft beispielsweise Konten und interne Entwicklungsdienste. Die Quelle dokumentiert jedoch weder einen Angriff auf ein Studio noch eine bestimmte sichere Build-Pipeline.
Kontenschutz und technische Fehler getrennt prüfen
Dass nicht jede Datenpreisgabe auf einen falschen Klick zurückgeht, zeigte 2015 der Palinopsia-Versuch mit Bildresten im Grafikspeicher. Die dokumentierten Tests betrafen konkrete Kombinationen aus Grafikkarten und Treibern. Solche Speicherprobleme sind eine andere Fehlerklasse als Phishing; ein Passwortmanager allein behebt sie nicht.
Archivhinweis: Der Beitrag dokumentiert Friedlis Position vom November 2016. Das scip-Logo dient als Symbolbild der Originalquelle. Es wird keine heutige Beschäftigung des Autors bei dem Unternehmen behauptet.