Sicherheitslöcher 2016: Platz 1 geht an Android

Android ist für 523 und damit die mit Abstand größte Zahl von Sicherheitslücken verantwortlich, die im Jahr 2016 bei einem Softwareprodukt bekannt wurden. Unter den einzelnen Softwareanbietern stehen jedoch Adobe und Microsoft unangefochten an der Spitze mit 1383 beziehungsweise 1325 gemeldeten Sicherheitslöchern. Hier folgen an dritter Stelle Google mit 695 Schwachstellen und danach Apple mit 611 Schwachstellen.

Das meldet die CVE-Website, die für eine standardisierte numerische Bezeichnung für Schwachstellen in Computersystemen sorgt und damit eine doppelte Namensgebung vermeiden hilft. Hinter CVE steht die Non-Profit-Organisation Mitre Corporation, die als Ausgründung des Massachusetts Institute of Technology (MIT) entstand.

Die jährlich veröffentlichte Statistik kann natürlich nur die in der Datenbank der Common Vulnerabilities and Exposures (CVE) erfassten Sicherheitsanfälligkeiten auswerten. Diese summierten sich im abgelaufenen Jahr jedoch immerhin auf die relevante Zahl von insgesamt 10.098 Meldungen.

Als Produkte stehen die Linux-Distributionen Debian (319 Lücken) und Ubuntu (278 Lücken) sogar noch vor dem Adobe Flash Player, der sich mit 266 Lücken den vierten Platz sicherte. The Register merkt dazu jedoch an, dass viele der ihnen zugeordneten CVEs aus der in diesen Distributionen enthaltenen Softwarepaketen von Drittanbietern stammt.

Allein an seinem Dezember-Patchday schloss Google 74 Sicherheitslücken in Android, darunter 11 als kritisch eingestufte. Die kritischen Anfälligkeiten erlaubten unter Umständen das Einschleusen und Ausführen von Schadcode aus der Ferne. Die Sicherheitslöcher steckten allerdings in erster Linie in Treibern und Mediencodecs für Komponenten von Drittanbietern wie Qualcomm, Broadcom, Mediatek und Nvidia, sodass nicht alle Geräte verschiedener Hersteller gleichermaßen betroffen waren.

Schon länger macht Google Druck auf Hersteller und Netzbetreiber, um Android-Updates zu beschleunigen. Besonders schmerzlich bleibt aber das Problem der für viele Geräte nicht erhältlichen Sicherheitsaktualisierungen, obwohl Google sie für sein Mobilbetriebssystem Android inzwischen regelmäßig bereitstellt. Die ausbleibenden Updates beschrieb Android-Chef Hiroshi Lockheimer als „das schwächste Glied der Sicherheit auf Android“. Noch immer versäumen es viele Smartphonehersteller, Googles monatliche Sicherheitsaktualisierungen zeitnah für ihre Geräte auszuliefern.