Advisory
Ein Advisory ist eine offizielle Warnmeldung über eine gefundene Sicherheitslücke in einer Software oder einem Gerät. Sie beschreibt, was betroffen ist, wie gefährlich das Problem ist und was Nutzer dagegen tun sollen.
Wenn jemand einen Fehler in einer Software findet, durch den Fremde Daten stehlen oder ein Gerät übernehmen könnten, bleibt das selten geheim. Der Hersteller oder eine staatliche Stelle veröffentlicht dann eine kurze, sachliche Meldung dazu. Genau diese Meldung heißt Advisory, auf Deutsch etwa Sicherheitshinweis. Darin steht, welches Produkt betroffen ist, ab welcher Version, wie schwer der Fehler wiegt und was man tun soll. Meist ist die Empfehlung ein Update. Ein Advisory ist also kein Fachaufsatz, sondern eine Handlungsanweisung im Telegrammstil.
Warum Warnmeldungen öffentlich sein müssen
Sicherheitslücken werden nicht nur von den Guten gefunden. Sobald ein Fehler bekannt ist, beginnt ein Wettlauf. Auf der einen Seite Angreifer, die die Lücke ausnutzen wollen. Auf der anderen Seite Firmen und Privatleute, die ihre Systeme reparieren müssen. Ein Advisory sorgt dafür, dass alle Verteidiger gleichzeitig Bescheid wissen.
Ohne solche Meldungen wüsste niemand, ob das eigene System betroffen ist. Große Unternehmen betreiben tausende Server mit hunderten Softwarepaketen. Sie können unmöglich jede Zeile Code selbst prüfen. Stattdessen lesen ihre IT-Teams täglich Advisories und gleichen sie mit ihrer eigenen Softwareliste ab. Das ist Routinearbeit, aber sie entscheidet oft darüber, ob ein Angriff gelingt.
Ein bekannter Fall war die Lücke Log4Shell Ende 2021. Betroffen war ein winziges Hilfsprogramm, das in unzähligen Java-Anwendungen steckte. Erst die Advisories machten vielen Firmen klar, dass sie diese Software überhaupt einsetzten. Wer schnell reagierte, kam davon. Wer die Meldung übersah, wurde teilweise Wochen später angegriffen.
Aufbau: CVE-Nummer, CVSS-Wert und Gegenmaßnahme
Advisories folgen einem festen Schema, damit man sie schnell lesen kann. Fast immer steht oben eine CVE-Nummer, zum Beispiel CVE-2024-3094. CVE ist ein weltweiter Katalog für Sicherheitslücken. Die Nummer funktioniert wie eine Aktenzeichen: Jeder kann damit dieselbe Lücke eindeutig meinen, egal welche Firma darüber schreibt.
Dann folgt eine Bewertung der Schwere, meist als CVSS-Wert von 0 bis 10. Dieser Punktwert berücksichtigt unter anderem, ob ein Angreifer die Lücke über das Internet erreicht und ob er dafür ein Passwort braucht. Werte ab 9,0 gelten als kritisch und lösen in vielen Firmen sofort Alarm aus. Ein Wert von 3,5 landet dagegen auf der Liste für den nächsten Wartungstermin.
Zum Schluss steht die Gegenmaßnahme. Im Idealfall gibt es bereits einen Patch, also ein Reparatur-Update. Manchmal existiert nur ein Workaround: eine Notlösung, etwa das Abschalten einer Funktion, bis die richtige Reparatur fertig ist. Üblich ist außerdem, dass Hersteller und Entdecker eine Frist vereinbaren. Der Hersteller bekommt einige Wochen Zeit für den Patch, danach wird das Advisory veröffentlicht. Dieses Vorgehen nennt man Coordinated Disclosure.
Advisories in News, Betriebssystemen und KI-Modellen
Man begegnet Advisories häufiger, als man denkt. Wenn das Handy ein Sicherheitsupdate meldet, steckt fast immer ein Bündel von Advisories dahinter. Apple, Google und Microsoft veröffentlichen monatlich Listen mit allen geschlossenen Lücken. In Deutschland verschickt das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, eigene Warnmeldungen an Behörden und Unternehmen.
Auch in Wirtschaftsnachrichten tauchen Advisories auf. Eine kritische Lücke in weit verbreiteter Firmensoftware kann den Aktienkurs des Herstellers bewegen. Bei börsennotierten US-Firmen kommt hinzu, dass schwere Sicherheitsvorfälle gemeldet werden müssen. Ein Advisory ist dann oft der erste öffentliche Hinweis auf ein Problem, über das später ausführlich berichtet wird.
Im KI-Bereich gibt es das Prinzip inzwischen ebenfalls. Auch Programmbibliotheken für maschinelles Lernen haben Lücken, und heruntergeladene Modelldateien können Schadcode enthalten. Ein typischer Irrtum ist übrigens, ein Advisory mit einem gemeldeten Angriff zu verwechseln. Es beschreibt eine Schwachstelle, nicht zwingend einen Vorfall. Viele Lücken werden geschlossen, bevor sie überhaupt jemand ausgenutzt hat.