Ich sage gern im persönlichen Umfeld: »Linux ist nicht sicherer als andere Systeme, aber wir Linuxnutzer leben trotzdem ein bisschen auf der Insel der Seligen. Weil unser Betrübssystem so wenig verbreitet ist, dass es sich für Kriminelle nicht lohnt, dafür Angriffe zu entwickeln.« Und sollte irgendwann doch noch der von einigen Menschen ersehnte große Siegeszug von Linux auf dem Desktop beginnen, dann gehts für mich halt rüber zu BSD.
Aber generell: Computersicherheit ist ein schwieriges Thema. Es gibt keine völlige Sicherheit, und es wird sie niemals geben. Hacker hacken. Cracker cracken. Und sie sind sehr kreativ. Also muss man abwägen, gegen welche Form von Angriffen welcher Angreifer das System robust sein soll, mit dem man arbeitet und kommuniziert. Jemand, der es auf der anderen Seite mit gut ausgestatteten Geheimdiensten zu tun hat, müsste völlig andere Maßstäbe anlegen als jemand, der einfach nur seine Privatsphäre und die Integrität seines Computers vor Kriminalität schützen möchte. Deshalb ist das Thema auch so verwirrend – etwa im Gegensatz zur Sicherheit eines Autos.
Und Computersicherheit ist da auch nur ein Teil des trüben Themas. Es ist wahr, dass das Unterhaltungsgerätebetrübssystem Android formal sicherer ist als etwa Linux, weil es ein inzwischen gut durchdachtes und feingliedriges System von Anwendungsberechtigungen hat, das weit über die Möglichkeiten von SELinux hinausgeht. Aber dennoch muss man feststellen, dass diese auf Betrübssystemebene eingeführte Sicherheit in einer fürchterlichen bis barbarischen Kultur daherkommt, in der selbst renommierte Unternehmen nicht mehr davor zurückschrecken, ihre Software für Android mit allerlei klandestin verbauten, völlig unerwünschten, trojanischen Zusatzfunktionen zu verpesten und einem Schadsoftware zum Download anzubieten. Im unteren Preissegment wird die Schadsoftware beinahe immer werkseitig vorinstalliert. Wer dagegen vorgeht und sich ein sauberes Betrübssystem auf sein Gerät spielt, erfährt dafür Nachteile, zum Beispiel den Verlust der Gewährleistung oder die Dysfunktionalität einiger Apps. Von der für Laien wenig ermutigenden Möglichkeit, sein Gerät zu bricken, will ich gar nicht erst anfangen.
Wer Sicherheit ohne jeden Kontext, ohne die umgebende Kultur, betrachtet, kann seine Aufmerksamkeit leicht auf die falschen Themen lenken. Wie schon gesagt: Wer sich vor Geheimdiensten schützen muss, sei hier mal ignoriert – das betrifft zum Glück nur eine Minderheit, die sich hoffentlich zu helfen weiß.
Deshalb statt einer längeren Darlegung (ich bin eh schon weitschwafelig genug) nur eine kurze Frage zum Darüber-gründlich-Nachdenken. Die Katastrophe mit einer beliebig nutzbaren XZ-Backdoor auf so ziemlich jeden Server im Internet ist ja gerade erst frisch an uns vorbeigegangen, und dass ausgerechnet einer von Microsoft die Superman-Klamotten angezogen und uns alle bewahrt hat, ist von tiefer Heiterkeit. Aber den Aufwand, der für die Einrichtung dieser Backdoor betrieben wurde, den haben wir auch alle mitgekriegt. Die Vorbereitung hat Jahre gebraucht und war über die gesamte Zeit hinweg sehr zielstrebig. Das Maß des obfuscating für die Backdoor war bemerkenswert gerissen und ausgeklügelt, so dass sie bei oberflächlicher Analyse nicht auffallen konnte. Alles deutet darauf hin, dass es sich um einen Geheimdienst oder um ganz große organisierte Kriminalität (ist ja fast das gleiche) gehandelt hat; geldmächtig, langfristig planend und extrem fies. Klar, das kann auch ein Norbert Cracker von nebenan gewesen sein, mit großem Können und Ambitionen. Aber das ist unwahrscheinlich. Ach ja, die Frage: Warum sollte ein solcher Aufwand betrieben werden, wenn Linux doch so unsicher ist? Ging da nichts Einfacheres? Nichts Preiswerteres? Scheinbar nicht, denn sonst hätte man es wohl gemacht.
Ich bin mir sicher, dass es Backdoors der NSA in Betrübssystemen von Microsoft, Google und Apple gibt. Die Unternehmen müssen ja kooperieren.
Aus der XZ-Beinahekatastrophe könnnen, ja, sollten wir alle meines Erachtens die folgenden Dinge lernen:
- Je komplexer und in seinen Komponenten wechselseitig abhängiger ein Betrübssystem ist, desto anfälliger ist es für solche Angriffe. Linux ist erschreckend komplex geworden, und der
systemd ist meiner Meinung nach ein Sargnagel für die Sicherheit.
- Linux ist inzwischen ein Hochhaus auf dem Treibsandfundament einer Wellblechhütte. Zentrale und sicherheitsrelevante Komponenten werden von wenigen, ziemlich unbekannten und für ihre Arbeit unbezahlten Menschen gepflegt, die anfällig für eine Attacke durch social engineering sind. Das ist ein Kulturproblem, das angegangen werden muss. Ich sehe nicht, dass hierfür ein Bewusstsein entstanden ist.
- Wer immer das neueste Zeug haben will – es gibt ja Menschen, die sich freiwillig eine rolling release geben, und einige glauben sogar, es sei »sicherer« – lebt »gefährlicher« als jemand, der eine eher konservative Distribution wie… sagen wir mal… Debian benutzt.
- Geheimdienste bauen Hintertüren in die Betrübssysteme und zerstören damit die Computersicherheit. Es ist niemals auszuschließen, dass eine aufwändig installierte Hintertür entdeckt und von ganz ordinären Kriminellen wesentlich müheloser ausgebeutet wird. Da sind unser aller Steuergelder an der Arbeit. Es ist zum Erbrechen. Und das Problem besteht vermutlich in jedem Betrübssystem.
So, ich habe jetzt nicht eine einzige Empfehlung gegeben, aber ich hoffe, dass ich trotzdem ein bisschen zur Klarheit beigetragen habe. Die hilft bei der Abwägung, was man benutzen und was man meiden sollte. Aber leider nur ein kleines bisschen…
Nein, vor allem wenn etwas aktiv über manipulierte Webseiten ausgenutzt wird, dann ist das letzte was man tun sollte einfach blind auf beliebige Links klicken. 
