Warnung vor der Kaspersky Virenschutzsoftware

Aufgrund des Krieges in der Ukraine und dem wachsenden Druck auf Russland besteht seit einiger Zeit ein deutlich erhöhtes Risiko für Angriffe auf deutsche Unternehmen und Infrastrukturen von Seiten Russlands. Heute gab das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine offizielle Warnmeldung zur Virenschutz-Lösung des russischen Herstellers Kaspersky heraus. Unternehmen wird geraten, diese Warnung ernst zu nehmen, und die Auswirkung auf das eigene Unternehmen zu prüfen.

Mit Presse-Meldung vom 15.03.2022 warnt das BSI vor dem Einsatz der Kaspersky-Virenschutzlösung. Die Originalmeldung kann hier abgerufen werden.

Das BSI hat hier eine FAQ zum Thema Kaspersky bereitgestellt. Aktuell sind aber noch nicht viele Fragen beantwortet.

Edit 28.03.2022: Die Federal Communication Commission (FCC) der USA sieht in Kaspersky ein inakzeptables Risiko für die nationale Sicherheit und hat das Unternehmen ebenfalls auf eine Risikoliste gesetzt.

Edit 19.01.2023: Mit einiger Zeit Abstand betrachtet wirkt die Warnung des BSI befremdlich. Öffentlich wird davon gesprochen, dass die BSI-Warnung mehr politisch als sicherheitstechnisch motiviert war. Auffällig ist, dass es für andere Anbieter aus Russland keine vergleichbaren Warnungen oder Hinweise gibt.

Gefährdung: Fehlender Virenschutz bei Kaspersky

Es besteht die Möglichkeit, dass durch zukünftige Vorgaben der russischen Regierung Produkte und Leistungen russischer Hersteller der westlichen Staaten nicht mehr angeboten werden dürfen.

Hierzu gehören unter anderem die Softwareprodukte und Cloud-Dienste des russischen Herstellers Kaspersky. In Unternehmen und in Privathaushalten sind die Virenschutzlösungen von Kaspersky sehr verbreitet. Im Fall eines Lieferstopps ist anzunehmen, dass Nutzern in westlichen Staaten keine aktuellen Virensignaturen mehr bereitgestellt werden. Damit wäre das Sicherheitsprodukt sehr kurzfristig nicht mehr für den Schutz vor Schadsoftware nutzbar.

Maßnahmen-Empfehlung: Unternehmen und Privatpersonen sollten sofort den Austausch gegen ein anderes Produkt prüfen und diesen sehr zeitnah veranlassen.

Gefährdung: Manipulation der Kaspersky-Produkte

Es ist zumindest theoretisch denkbar, dass durch staatliche Einflussnahme nicht nur die Lieferung von Services an westliche Staaten unterbunden wird, sondern die Kaspersky-Produkte selbst manipuliert werden. Die vorhandene und im Virenschutz dringend benötigte Update-Funktion kann in einem solchen Szenario dazu beitragen, dass manipulierte Softwareversionen untergeschoben werden.

• Manipulation der Virensignaturen, so dass z. B. russische Trojaner nicht mehr als Schadsoftware erkannt werden.
• Erweiterung der Kaspersky-Software selbst zum trojanisches Pferd

Kaspersky bietet neben der Virenschutzsoftware diverse weitere Softwareprodukte an, beispielsweise zur Verwaltung von IT-Infrastruktur. Auch hier besteht umfassendes Potenzial für Manipulationen. Beispiele:

• Kaspersky Gruppen-Richtlinien-Management
• Kaspersky Software-Verwaltung für Windows-Systeme
• Kaspersky Patchmanagement
• Kaspersky Mobiles Device-Management
• …

Maßnahmen-Empfehlung: Es sollte neben der Virenschutzsoftware geprüft werden, welche weiteren Funktionen oder Softwarekomponenten von Kaspersky im eigenen Unternehmen eingesetzt werden. Bewerten Sie Ihre individuelle Situation und stellen Sie einen Plan auf, ob und wenn ja, durch welche Alternativlösungen diese ersetzt werden können. Planen Sie dabei ein für Ihr Unternehmen gesundes Tempo ein – planen Sie aber auch für den Notfall, wie eine sehr kurzfristige Übergangslösung aussehen könnte. Prüfen Sie dabei die Auswirkungen, wenn Sie die jeweiligen Produkte sofort deinstallieren müssten.

Halten Sie die Meldungen des BSI im Blick, um gegebenenfalls schnell auf weitere Warnungen reagieren zu können.

Prüfen Sie auch, ob Sie andere Software-Produkte russischer Hersteller nutzen. Eine erste Liste von uns bekannten Produkten haben wir in diesem Beitrag zusammengestellt: Weitere Softwareprodukte russischer Hersteller

Kaspersky Unternehmensprodukte

Typische Unternehmensprodukte von Kaspersky sind:

• Kaspersky Endpoint Security Cloud
• Kaspersky Endpoint Security Cloud Plus
• Kaspersky Endpoint Security for Business Select
• Kaspersky Endpoint Security for Business Advanced
• Kaspersky Security for Microsoft OFFICE 365
• Kaspersky HYBRID CLOUD SECURITY
• Kaspersky Optimum Security
• Kaspersky Security for Mail Gateway
• Kaspersky Security for Microsoft Exchange
• Kaspersky Anti Targeted Attack Platform
• Kaspersky Sandbox
• Kaspersky Managed Detection and Response
• Kaspersky Security for Internet Gateway
• Kaspersky Embedded Systems Security

Kaspersky Einzelplatz- und Privatkundenprodukte

Typische Privatkundenprodukte von Kaspersky sind:

• KasperskyAnti-Virus
• KasperskyInternet Security
• KasperskyTotal Security
• KasperskySecurity Cloud Personal
• KasperskyInternet Security for Mac
• KasperskyVPN Secure Connection
• KasperskyInternet Security for Android
• Kaspersky Safe Kids

Stellungnahme von Kaspersky

Laut einem Artikel von heise.de hat Kaspersky gegenüber heise Online wie folgt Stellung genommen:

“Kaspersky ist ein internationales, unabhängiges Privatunternehmen ohne jegliche Verbindungen zu Regierungen, einschließlich der russischen. Wir haben niemals irgendeiner Regierung bei Cyberspionage geholfen und werden dies nie tun”

Update: 15.03.22 19:40:

Ein Kaspersky-Fachhandelspartner aus Duisburg hat uns die nachfolgende Stellungnahme von Kaspersky zur Verfügung gestellt:

“Bei Kaspersky sind wir der Meinung, dass Transparenz und die kontinuierliche Umsetzung konkreter Maßnahmen, mit denen wir unser dauerhaftes Engagement für Integrität und Vertrauenswürdigkeit gegenüber unseren Kunden belegen, von größter Bedeutung sind.
 
Kaspersky ist ein privat geführtes globales Cybersicherheitsunternehmen, und als privates Unternehmen hat Kaspersky keine Verbindungen zur russischen oder einer anderen Regierung.
 
Wir glauben, dass der friedliche Dialog das einzig mögliche Instrument zur Lösung von Konflikten ist. Krieg ist für niemanden gut.
 
Wir haben unsere Datenverarbeitungsinfrastruktur in die Schweiz verlagert: Seit 2018 werden schädliche und verdächtige Dateien, die von Anwendern von Kaspersky-Produkten in Deutschland freiwillig weitergegeben werden, in zwei Rechenzentren in Zürich verarbeitet. Diese Rechenzentren erfüllen erstklassige Branchenstandards und gewährleisten ein Höchstmaß an Sicherheit. Neben unseren Datenverarbeitungseinrichtungen in der Schweiz können die von den Nutzern an Kaspersky übermittelten Statistiken über das Kaspersky Secrity Network in verschiedenen Ländern der Welt, darunter Kanada und Deutschland, verarbeitet werden. Die Sicherheit und Integrität unserer Datendienste und technischen Praktiken wurden durch unabhängige Bewertungen Dritter bestätigt: durch das SOC 2-Audit eines “Big Four”-Auditors und durch die ISO 27001-Zertifizierung und kürzliche Re-Zertifizierung des TÜV Austria.
 
Kaspersky hat in der Branche Maßstäbe für digitales Vertrauen und Transparenz gesetzt. Unsere Kunden haben die Möglichkeit, eine kostenlose technische und umfassende Prüfung unserer Lösungen durchzuführen:

– Einsicht in unsere Dokumentation zur sicheren Softwareentwicklung, einschließlich Bedrohungsanalyse, Sicherheitsüberprüfung und Testverfahren zur Anwendungssicherheit;
– Einsicht in den Quellcode unserer führenden Lösungen, darunter: Kaspersky Internet Security (KIS), unser führendes Produkt für Privatanwender; Kaspersky Endpoint Security (KES), unsere führende Lösung für Unternehmen; und Kaspersky Security Center (KSC), eine Kontrollkonsole für unsere Unternehmensprodukte;
– Überprüfung aller Versionen unserer Builds und AV-Datenbank-Updates sowie der Arten von Informationen, die Kaspersky-Produkte im Allgemeinen an das cloudbasierte Kaspersky Security Network (KSN) senden;
– Rebuild des Quellcodes, um sicherzustellen, dass dieser mit öffentlich verfügbaren Modulen übereinstimmt;
– Überprüfung der Ergebnisse eines externen Audits der technischen Praktiken des Unternehmens, das von einer der Big Four Wirtschaftsprüfungsgesellschaften durchgeführt wurde;
– Überprüfung der Software Bill of Materials (SBOM) für Kaspersky Internet Security (KIS), unser Hauptprodukt für Privatanwender, Kaspersky Endpoint Security (KES), unser führende Lösung für Unternehmen, und Kaspersky Security Center (KSC), eine Kontrollkonsole für unsere Unternehmensprodukte.

Wir sind der Meinung, dass diese Entscheidung (Anm. der Red.: Gemeint ist die Warnung des BSI) nicht auf der technischen Bewertung der Kaspersky-Produkte beruht – für die wir uns beim BSI und in ganz Europa immer wieder eingesetzt haben –, sondern vielmehr aus politischen Gründen getroffen wurde. Wir sichern unseren Partnern und Kunden die Qualität und Integrität unserer Produkte zu und werden mit dem BSI zusammenarbeiten, um die Entscheidung zu klären und die Bedenken des BSI oder anderer Regulierungsbehörden auszuräumen.”