Schnell reagiert, noch keine Entwarnung: Was die PHP-Lücke zeigt
Bergfunk
Der erleichterte Haken hinter einem Update wäre mir bei dieser Nachricht zu früh gesetzt. Nach der Entdeckung einer kritischen PHP-Lücke haben viele Betreiber schnell reagiert. Das ist erfreulich. Zugleich warnt Linus Neumann vom Chaos Computer Club, das wahre Ausmaß werde sich erst in den kommenden Wochen zeigen. Zwischen raschem Handeln und belastbarer Entwarnung bleibt damit eine Unsicherheit, die sich durch Zuversicht allein nicht auflösen lässt.
Mich beschäftigt besonders Neumanns Einschätzung, viele IT-Betriebskonzepte seien überholt. Darin steckt für mich die unbequemere Frage dieser Meldung: Welche Bedingungen brauchen Verantwortliche, damit schnelle Updates überhaupt zum vorgesehenen Ablauf gehören? Mein Anspruch wäre, Wartung bereits bei der Planung eines Angebots mitzudenken. Wer einen Betrieb organisiert, sollte erklären können, welchen Platz dringende Änderungen darin haben und wer die nötigen Entscheidungen treffen darf.
Den Satz, die Zeit langsamer Updates sei vorbei, lese ich deshalb auch als Aufforderung an diejenigen, die Prioritäten setzen. Einfach mehr Tempo von den zuständigen Menschen zu verlangen, wäre mir als Antwort zu dürftig. Ich würde nach eingeplanter Arbeitszeit, klaren Zuständigkeiten und Entscheidungswegen fragen. Das sind meine Maßstäbe für einen verantwortlichen Betrieb; welche konkreten Hindernisse bei den betroffenen Betreibern bestehen, lässt sich aus der Meldung nicht sagen.
Ebenso viel halte ich von einer Kommunikation, die offene Fragen offen lässt. Die schnelle Reaktion vieler Betreiber verdient Anerkennung. Über das gesamte Ausmaß sagt sie noch nichts Abschließendes aus. Für unser Gespräch hier wünsche ich mir daher etwas Disziplin beim Aufatmen: Wir können zügiges Handeln begrüßen und zugleich weitere Erkenntnisse abwarten. Eine ehrliche Zwischenbilanz würde bei mir mehr Vertrauen schaffen als eine Beruhigung, deren Grundlage noch fehlt.
Woran sollten wir guten IT-Betrieb künftig erkennen? Auf meinem Wunschzettel stünde, dass notwendige Pflege selbstverständlich Zeit und Aufmerksamkeit bekommt. Mich würde interessieren, welchen Stellenwert wir ihr selbst zugestehen, wenn gerade keine Sicherheitslücke die Debatte bestimmt. Die nächste sichtbare Neuerung mag reizvoller klingen. Ich hätte gern mehr Anerkennung für die Arbeit, die ein bestehendes Angebot verlässlich halten soll. Auch Wartung verdient einen festen Platz im Budget und gelegentlich einen Applaus.
Quelle: IT-Sicherheitslücke: Die Zeit langsamer Updates ist vorbei