![Beitragsbild zu Spectre-NG: Weitere Sicherheitslücken in Prozessoren](https://www.all-about-security.de/wp-content/uploads/2020/10/processor-540251_640.jpg.webp)
Im Januar 2018 wurden unter den Bezeichnungen „Spectre“ und „Meltdown“ schwer zu behebende Sicherheitslücken in marktüblichen Prozessoren bekannt. IT-Sicherheitsforscher haben weitere Schwachstellen in diesen Prozessoren entdeckt, die auf vergleichbaren Mechanismen beruhen und ähnliche Auswirkungen haben können wie „Meltdown“ und „Spectre“. Diese neuen, mit „Spectre-Next-Generation (NG)“ bezeichneten Schwachstellen führen nach Analysen des BSI dazu, dass Angreifer Speicherbereiche auslesen und dadurch Zugriff auf vertrauliche Informationen wie Passwörter, kryptografische Schlüssel oder andere kritische Daten erlangen können, die normalerweise vor solchen Zugriffen geschützt sein sollten. Derzeit sind außerhalb von Laborbedingungen keine Angriffe bekannt, die diese neu gefundenen Schwachstellen ausnutzen. Durch das Bekanntwerden von Detailinformationen besteht jedoch das Risiko, dass Täter entsprechende Angriffsmethoden entwickeln.
Hierzu erklärt BSI-Präsident Arne Schönbohm:„Vor dem Hintergrund der täglich fortschreitenden Digitalisierung erschüttern Vorfälle und Schwachstellen wie WannaCry, NotPetya, Efail und nun Spectre-NG die Grundfesten der weltweiten IT-Sicherheitsarchitekturen und heben die Gefährdungslage im Cyber-Raum auf eine neue Ebene. Spectre-NG macht erneut deutlich, dass wir die Cyber-Sicherheit in der Digitalisierung noch stärker betrachten müssen. Deutschland muss in dieser Frage eine Vorreiterrolle einnehmen. Dazu ist es erforderlich, dass die notwendigen Sicherheitsmaßnahmen durch unabhängige Stellen überprüft werden und dass Hersteller und Anbieter Melde- und Transparenzpflichten gegenüber der nationalen Cyber-Sicherheitsbehörde BSI erfüllen. Die Bundesregierung hat sich mit den Festlegungen des Koalitionsvertrages bereits geeignet positioniert, um den künftigen Herausforderungen gerecht zu werden. Diese Maßgaben müssen jetzt konsequent umgesetzt werden.“
Grundlage möglicher Angriffe unter Ausnutzung der Spectre-, Meltdown- und Spectre-NG-Lücken ist die komplexe, leistungsoptimierende Architektur moderner Prozessoren. Bei dieser Art der Verarbeitung werden Befehle nicht linear ausgeführt, sondern vorhandene Kapazitäten möglichst vollständig ausgenutzt, um den Durchsatz an abgearbeiteten Befehlen zu erhöhen. Angreifer können sich diesen Umstand über eine Vielzahl von Angriffsvektoren zu Nutze machen, um auf eigentlich vor ihrem Zugriff geschützte Daten zuzugreifen.
Da eine kurzfristige sicherheitstechnische Überarbeitung der verwundbaren Prozessoren in der Praxis nicht realistisch ist, muss mit diesen und ähnlichen künftigen Schwachstellen geeignet umgegangen
werden: Nur mit Hilfe herstellerübergreifend abgestimmter Patches in Hardware und Software kann das mögliche Schadpotential so weit wie möglich minimiert werden. Ein Austausch von verwundbaren Prozessoren und betroffenen IT-Systemen ist erst langfristig durchführbar.
Handlungsempfehlungen des BSI
Als nationale Cyber-Sicherheitsbehörde hat das BSI Bundesverwaltung, Landesverwaltung, KRITIS-Betreiber und weitere nationale und internationale Partner über die eigenen Erkenntnisse informiert und erste Maßnahmen empfohlen. Aktuell ist keine vollständige Beseitigung der Schwachstellen möglich, das Risiko kann lediglich gemindert werden.
Das BSI fordert die Chip- und Hardwarehersteller auf, dafür zu sorgen, diese Schwachstellen im Zuge der Produktpflege zu beheben. Cloud- und Virtualisierungslösungsanbieter sind in der Verantwortung, unverzüglich zu prüfen, welche Auswirkungen die aufgedeckten Schwachstellen auf die IT-Sicherheitseigenschaften der bereitgestellten Produkte und Dienstleistungen haben. Gemeinsam mit den Herstellern der Systemkomponenten sollten festgestellte Schwachstellen schnellstmöglich minimiert werden. Die Kunden sollten über die getroffenen Maßnahmen und die verbleibenden Risiken informiert werden.
Für Endanwender besteht jenseits der raschen Installation der von den Herstellern bereitgestellten Software-Updates kein Handlungsbedarf.
Fachartikel
Studien
![Featured image for “Cloud-Transformation & GRC: Die Wolkendecke wird zur Superzelle”](https://www.all-about-security.de/wp-content/uploads/2024/04/thunderstorm-3209562_640.jpg.webp)
Cloud-Transformation & GRC: Die Wolkendecke wird zur Superzelle
![Featured image for “Threat Report: Anstieg der Ransomware-Vorfälle durch ERP-Kompromittierung um 400 %”](https://www.all-about-security.de/wp-content/uploads/2024/04/AdobeStock_574296895-scaled.jpeg.webp)
Threat Report: Anstieg der Ransomware-Vorfälle durch ERP-Kompromittierung um 400 %
![Featured image for “Studie zu PKI und Post-Quanten-Kryptographie verdeutlicht wachsenden Bedarf an digitalem Vertrauen bei DACH-Organisationen”](https://www.all-about-security.de/wp-content/uploads/2024/04/investment-5241253_6402.jpg.webp)
Studie zu PKI und Post-Quanten-Kryptographie verdeutlicht wachsenden Bedarf an digitalem Vertrauen bei DACH-Organisationen
![Featured image for “Zunahme von „Evasive Malware“ verstärkt Bedrohungswelle”](https://www.all-about-security.de/wp-content/uploads/2024/04/hacking-2903156_640.jpg.webp)
Zunahme von „Evasive Malware“ verstärkt Bedrohungswelle
![Featured image for “Neuer Report bestätigt: Die Zukunft KI-gestützter Content Creation ist längst Gegenwart”](https://www.all-about-security.de/wp-content/uploads/2024/03/yes-7820643_640.png.webp)
Neuer Report bestätigt: Die Zukunft KI-gestützter Content Creation ist längst Gegenwart
Whitepaper
Unter4Ohren
![Featured image for “Datenklassifizierung: Sicherheit, Konformität und Kontrolle”](https://www.all-about-security.de/wp-content/uploads/2024/04/Fortra_ji.png.webp)
Datenklassifizierung: Sicherheit, Konformität und Kontrolle
![Featured image for “Die Rolle der KI in der IT-Sicherheit”](https://www.all-about-security.de/wp-content/uploads/2024/04/KI-Teil-3_ji.png.webp)
Die Rolle der KI in der IT-Sicherheit
![Featured image for “CrowdStrike Global Threat Report 2024 – Einblicke in die aktuelle Bedrohungslandschaft”](https://www.all-about-security.de/wp-content/uploads/2024/03/CrowdStrike-Podcast_ji.png.webp)
CrowdStrike Global Threat Report 2024 – Einblicke in die aktuelle Bedrohungslandschaft
![Featured image for “WatchGuard Managed Detection & Response – Erkennung und Reaktion rund um die Uhr ohne Mehraufwand”](https://www.all-about-security.de/wp-content/uploads/2024/03/WatchGuard-MDR_ji.png.webp)
WatchGuard Managed Detection & Response – Erkennung und Reaktion rund um die Uhr ohne Mehraufwand
![Featured image for “KI und Compliance: Die Notwendigkeit von Regulierung und Compliance im Bereich der KI”](https://www.all-about-security.de/wp-content/uploads/2024/02/qskills-KI-zweiter-Teil_ji.png.webp)