TÜV lobt Sicherheits- und Datenschutzfunktionen des IE 10
Wie schon für den Internet Explorer 8 und 9 hat sich Microsoft für die aktuelle Version seines Web-Browsers vom TÜV TRUST IT ein Siegel für Sicherheit und Datenschutz geben lassen. Für Fehlerfreiheit steht das jedoch nach wie vor nicht.
- Christian Kirsch
Nach einer Untersuchung hat die TÜV TRUST IT GmbH Microsofts Browser Internet Explorer 10 das Siegel "geprüfte Software" verliehen. Microsoft schreibt in einer Mitteilung dazu: "Im Rahmen des Prüfkatalogs erfüllt der neue Internetbrowser alle Anforderungen, um sowohl für private Nutzer als auch für Unternehmen höchste Sicherheitsstandards bereitzustellen." Das Unternehmen stellt besonders die Funktionen zum Schutz der Privatsphäre heraus – neben dem auch von anderen Web-Browsern angebotenen Do-Not-Track-Header, der lediglich eine Bitte darstellt, schützt der IE mit seinen Tracking-Protection-Listen technisch vor dem Protokollieren des Nutzerverhaltens.
TÜV TRUST IT, eine Tochter des TÜV Austria, folgt in ihrer Analyse einem "Anforderungskatalog", der ebenso wenig wie die jetzige Untersuchung öffentlich vorliegt. Er "umfasst organisatorische Prüfungen bezüglich der Softwareentwicklung, der Datensicherheit und Compliance-Eigenschaften sowie eine sicherheitstechnische Analyse der Anwendung". Der Browser zeige "ein sicherheitsoptimiertes und robustes Verhalten", erläuterte Detlev Henze, Geschäftsführer der Firma. "Die Schutzmechanismen des Browsers funktionieren sehr gut."
Ähnliche Siegel erteilte die TÜV-Tochter bereits für den Internet Explorer 8 und 9. Die Historie von Sicherheitslücken und Patches in diesen beiden Produkten verdeutlicht jedoch, dass ein solches Zertifikat keinesfalls Fehlerfreiheit oder die Abwesenheit von Sicherheitslücken bescheinigt. Das behauptet auch die vergebende Stelle nicht: Software sei praktisch niemals fehlerfrei.
So stellte sich am 6. September 2010 heraus, dass eine zwei Jahre alte Lücke im IE 8 immer noch das Abgreifen von Daten ermöglichte. Für das Schließen einer Anfang November 2010 publik gewordenen 0-Day-Lücke ließ sich Microsoft über einen Monat Zeit. Seit 22. Dezember 2010 kursierte der Exploit einer CSS-Schwachstelle für den Browser, für die das reguläre Update Mitte Januar 2011 keine Korrektur lieferte. Auch das für die nächste Woche angekündigte Patch-Update wird wieder kritische Lücken im Internet Explorer 8, 9 und 10 schließen.
2010 bestätigte das TÜV-Siegel für den IE 8, der Hersteller reagiere hinreichend schnell auf bekannte Sicherheitslücken; es gebe einen wirksamen unternehmensweiten Prozess zur sicheren Entwicklung von Software. Heute sagt das Unternehmen auf Nachfrage, es sei im Rahmen der Prüfung "wichtig, dass zertifizierte Anbieter [...] nachweisen, dass auftretende Sicherheitslücken umgehend und systematisch bearbeitet sowie strukturiert behoben werden." (ck)
