Linux das sicherere Betriebssystem?

Linux gilt als sicheres Betriebssystem – sicherer als Windows. Ist da was dran? Und wenn ja: Warum ist dies so? Dieser blog Eintrag fasst die wichtigsten Aspekte zusammen.

Jeden Tag gibt es neue Viren bzw. werden diese bekannt. Linux user können sich entspannt zurück lehnen. Gelegentlich ist auch das unixoide OS X betroffen jedoch vorwiegend Windows.

Nun wird sich sicherlich der interessierte Leser fragen warum dies so ist? Liegt es an der Sicherheit, der Verbreitung oder anderen Gründen?

Vielfalt sowie Kompetenz einer Minderheit

Schlüpft man gedanklich in die Rolle eines Virenprogrammierers, dann wird sehr deutlich, warum Windows das lohnendere Ziel ist:

• Linux als Desktop Betriebsystem kommt derweil nicht über eine Grenze von ca 2% hinaus. Hiergegen liegt Windows bei knapp 90%
• Zum einen ist das Minderheiten Betriebssystem gespalten in verschiedene Distributionen welche sich auch noch technisch deutlich unterscheiden. So funktioniert eine Schadsoftware welche unter Ubuntu funktioniert nicht unter Arch, BSD oder Fedora. Wogegen das Windows Biotop so homogen ist das auch Windows 98 Viren durchaus auf Windows 10 Laufen können.
• Der User welcher vor einem Linux Desktop sitzt, ist meistens technisch kompetenter als der typische Windows Nutzer. So hat die plumpe Aufforderung mal schnell das sudo Kennwort abzunicken, weniger Aussichten auf Erfolg als beim Windows User ein unbedachtes „Ja“ bei der Abfrage der Benutzerkontensteuerung.
• Die meisten Benutzer lassen ihre Accounts meistens als Admin laufen aus Bequemlichkeit heraus. Mann könnte ja mal schnell Software installieren müssen.

So erreicht ein Linux-Virenprogrammierer für seine „harte Arbeit“ viel weniger Masse, hat deutlich höhere technische Hürden und muss auch noch mit misstrauisch-kompetenten Systembenutzern rechnen. Die Chance, auf dem Zielsystem überhaupt anzukommen, ist – aus seiner Sicht – frustrierend gering.

Linux hat sichere Installationsquellen – einfaches Update

Standardmäßig bezieht der Linux-Anwender zusätzliche Software ausschließlich aus den sicheren Paketquellen seiner Linux-Distribution. Das ist mitunter einschränkend, weil die Distributionen oft mit der Aktualisierung der Paketquellen hinterherhinken und daher nicht die allerneuesten Versionen anbieten. Aber es ist sicher, weil dort nur seriöse und geprüfte Programme vorliegen. Ein weiterer entscheidender Vorteil der Paketquellen ist das einfache Systemupdate inklusive aller installierten Programme, das sich mit einer Kommandozeile (apt-get dist-upgrade auf Debian-Systemen) oder sogar vollautomatisch erledigen lässt (Ubuntu / Mint).

Das Konzept der verbindlichen Paketquellen wird in Debian/Ubuntu-basierten Systemen durch Launchpad-PPAs (Personal Package Archives) punktuell unterwandert, da es sich dabei streng genommen um Fremdquellen handelt. Das Bereitstellen von Software über PPAs folgt aber sauberen Regeln inklusive Signatur, die einen Missbrauch praktisch ausschließen. Die Qualität solcher PPA-Pakete mag unterschiedlich sein, aber aggressive Schadsoftware ist dort nicht zu befürchten.

Linux-Nutzer, die noch einen Schritt weiter gehen und Quellcode zu ausführbarem Binärcode kompilieren, müssen natürlich wissen, was sie tun und woher der Code stammt. Dies ist aber praktisch immer der Fall, weil die Suche des Quellcodes und das Kompilieren ein zielgerichtetes und bewusstes Handeln darstellt.

Darüber hinaus ist es unter Linux ausgeschlossen, dass ein bösartiges Script aus dem Internet versehentlich gestartet wird. Der Download ist nicht ausführbar, bis der Benutzer der Datei mit root-Recht explizit das Executable-Bit einräumt, sei es auf Kommandozeile oder im grafischen Dateimanager.

Windows? Als fatale Kehrseite dieser sehr offenen Softwareplattform darf hier jede EXE-Datei aus den dunkelsten Internet Ecken gestartet werden. Wenn sich das Programm mit dem Userkontext zufriedengibt, erfolgt nicht einmal eine Abfrage der Benutzerkontensteuerung. Flankierende Schutzmaßnahmen, die schon vorab beim Download warnen („Smartscreen“), sind Flickschusterei und können nicht darüber hinwegtäuschen, dass letztlich der vorsichtige User entscheiden muss, ob er den Virus haben will oder nicht. Und hat der User erst einmal dem Ausführen zugestimmt kann sich der Virus in der Regel beim User einnisten, da die meisten User auf weitere Sicherheitsmaßnahmen wie z.B. das Einschränken der Userrechte verzichten.

Open Source versus proprietäre Software

Der Quellcode von proprietären Windows Software ist in der Regel unter Verschluss. Daher kann der Anwender oder die Community auch nicht prüfen was sich hinter einem Programm befindet ob es Sicherheitslücken hat etc. Daher ist auch die Beseitigung von Sicherheitslücken Sache der Hersteller. Viele Unternehmen fahren hier die Strategie „Security through Obscurity.“ Sie hoffen darauf, dass Schwachstellen schwerer zu finden sind, wenn niemand die genauen Funktionen der Software kennt. Das ist aber ein Trugschluss, wie die Sicherheitslücken in proprietärer Software immer wieder zeigen. Angreifer finden die Schwachstellen auch ohne Einblick in den Quellcode.

Der Linux-Kern und die meisten Linux-Programme sind Open Source: Der Quellcode kann also von jedem eingesehen und geprüft werden. Sicherheitslücken gibt es überall, aber die Wahrscheinlichkeit, Fehler im Open-Source-Code frühzeitig zu entdecken, ist höher als bei kommerzieller Software. So werden meistens auch schon kurz nach der Veröffentlichung der Software von Usern gemeldete Fehler oder Schwachstellen beseitigt, da natürlich jeder ein reges Interesse daran hat das diese beseitigt werden.

Sicherheit und die Pflichten des Anwenders

Jeder Linux-Anwender genießt ein Plus an Sicherheit gegenüber Windows-Usern – und dies ganz ohne Antivirensoftware und Software Firewall. Das heißt aber nicht, dass das Ziel „Sicherheit“ nach der Linux-Installation erledigt wäre: Bei physischem Zugriff auf ein verlorenes Notebook sind die Daten unter einem gebooteten Fremdsystem genau so offen wie bei Windows. Selbst der Zugang mit dem regulären Benutzerkonto ist hier nach vorheriger Bearbeitung der Datei „/etc/shadow „möglich – und dies ist sogar einfacher als bei Windows. Dagegen hilft wie bei Windows nur das Verschlüsseln der Benutzerdaten, wobei Linux mehr Optionen anbietet als Windows mit Bitlocker. Ähnliches gilt für Mails oder Onlinekennwörter, über deren Sicherheit nicht Linux oder Windows entscheiden, sondern Software wie das Mailprogramm oder der Browser. Auch hier ist Verschlüsselung die richtige Antwort. Auch auf Linux-Servern sind es Softwarekomponenten, die durch Sicherheitslücken oder schlampige Konfiguration Schleusen öffnen. Apache, SSH, Portfreigaben lassen sich widerstandsfähiger absichern, als dies der Standard vorsieht. Gegen singuläre Programmfehler wie den fatalen Heartbleed-Bug in Open SSL ist letztlich kein Kraut gewachsen bis zur Erkennung und Korrektur durch ein Update. Auch in Content-Management-Systemen wie WordPress gibt es immer wieder Sicherheitslücken im Coresystem und bei den Plug-ins, die nur durch konsequente Updatepflege zu beantworten sind.

Somit liegt es genau wie bei Windows Systemen beim Anwender sich um die eigene Sicherheit zu bemühen der einzig gravierende Unterschied zwischen Windows und Linux ist hierbei natürlich wie einfach es dem User hierbei gemacht wird die Sicherheit zu erhöhen und eventuelle Scheunentore zu schließen und das nicht nur für den IT Profi sondern auch für den unbedarften Anwender. Kein System ist unhackbar und sicher. Es wird immer den Bösewicht geben der eine Lücke im System findet und diese Ausnutzt. Die Masterfrage ist lediglich ob der Aufwand im Verhältnis steht zum Nutzen für den Virenprogramierer da ja meistens Wirtschaftliche Dinge dabei im Hintergrund stehen.