Alle Herstellern liefern Laptops mit anfälliger Software aus.
Vorinstallierte Software ist nicht nur eine oft ärgerliche Sache für Nutzer, die die Programme eventuell gar nicht benötigen. Sie kann auch gefährlich werden. Das Sicherheitsunternehmen Duo Security hat herausgefunden, dass die größten Laptop-Hersteller Update-Software mit schweren Sicherheitslücken vorinstallieren.
Bloatware
Die Programme auf den Computern reichen von Update-Software für die Firmware bis zu Bloatware – also beispielsweise Testversionen von Drittanbietern. Die Forscher haben Laptops von Acer, Asus, Dell, HP und Lenovo untersucht. Dabei haben sie entdeckt, dass die Update-Software auf den Geräten der Hersteller Sicherheitslücken aufweist, die es unter anderem erlauben, schädliche Codes einzuschleusen. Insgesamt wurden bei den fünf Herstellern zwölf Lücken gefunden, wobei jede zumindest eine schwerwiegende Sicherheitsanfälligkeit aufweist.
Albtraum für Systemadministratoren
So werden Updates bei einigen Herstellern unverschlüsselt übertragen. Bei den meisten sind die Update-Files zudem nicht signiert, und es wird keine Validierung der Dateien durchgeführt. Angreifer können das ausnutzen, um schädlichen Code während des Updateprozesses aufzuspielen. Im äußersten Fall können Hacker darüber die Kontrolle über ein System übernehmen. "Für einen Systemadministrator ist das ein Albtraum, wenn solche Geräte für Unternehmensanwendungen und den Zugriff auf Firmenmails verwendet werden", so die Forscher.
Von den untersuchten Herstellern waren die Update-Programme von Dell am sichersten, gefolgt von HP. Bei Lenovo fanden die Forscher eine sichere und eine komplett unsichere Update-Software. Acer und Asus landeten auf den letzten Plätzen. Firewalls und Antivirensoftware würden dabei wenig nützen, wenn sie durch anfällige vorinstallierte Software eines Herstellers unterwandert werden. Laut den Forschern würde die Sicherheit schon wesentlich erhöht, wenn die Updates zumindest verschlüsselt übertragen würden.
Drittanbieter-Software entfernen
HP hat die schwerstwiegenden Lücken nach Meldung durch die Forscher bereits beseitigt. Lenovo hat die unsichere Software entfernt. Asus und Acer haben noch nicht bekanntgegeben, wann sie die Probleme beheben. Nutzern rät das Sicherheitsunternehmen, vorinstallierte Updater zu deaktivieren und sämtliche vorinstallierte Drittanbietersoftware zu entfernen. (br, 1.6.2016)