Game Over für Sicherheitslücken? Studie zur IT-Sicherheit bei Videospielen

Die Faszination für Videospiele begleitet CISPA-Forscher Philip Klostermeyer nicht erst seit seinem Einstieg in die Welt der Wissenschaft. Bereits während seines Bachelorstudiums erkannte er durch das Programmieren eines eigenen Spiels die Komplexität, die selbst hinter simpel anmutenden Videospielen steckt. „Mir wurde bewusst, wie die verschiedenen Softwarekomponenten ineinandergreifen“, erinnert sich Klostermeyer.

Im Kern bestehen Videospiele aus einer Vielzahl von Elementen, die nahtlos zusammenarbeiten müssen: Quellcode und Daten im Hintergrund, eine aufwändige grafische Benutzeroberfläche und Audioelemente im Vordergrund, ergänzt durch die spezifische Spiellogik. Bei Onlinespielen kommen zudem Server ins Spiel, die neben der Steuerung der Spielelogik auch klassische Sicherheitsaspekte wie Login und Authentifizierung abdecken und Werbeeinblendungen ermöglichen. „Nahezu alle Bereiche der Computersicherheit finden sich in Videospielen wieder“, sagt der CISPA-Forscher.

Um sich einen umfassenden Überblick zum Thema Sicherheit in der Videospielentwicklung zu verschaffen, entschieden sich Klostermeyer und sein Team für eine qualitative Interviewstudie. „Bisher gab es zwar einige Veröffentlichungen, die einzelne Aspekte der Spieleindustrie beleuchten, aber eine ganzheitliche Betrachtung des Sicherheitsthemas fehlte“, erklärt Klostermeyer. Zudem wollte er praxisrelevante Erkenntnisse für die Branche gewinnen und die Herausforderungen in den Mittelpunkt zu rücken. Insgesamt wurden 20 Personen aus 15 Ländern befragt, die unterschiedliche Positionen in der Spieleindustrie bekleiden, darunter Entwickelnde, Managerinnen und Manager, Publisherinnen und Publisher von Spieleplattformen sowie Sicherheitsfachleute. „Indem wir verschiedene Perspektiven einbezogen haben, haben wir Einblicke ins Sicherheitsbewusstsein, die Prioritäten, das Wissen und die Praktiken in der Branche bekommen“, sagt der Wissenschaftler.

Videospiele: Sicherheit hängt von vielen Faktoren ab

Die Analyse der Interviews offenbarte zwei zentrale Bereiche, die Einfluss auf die Sicherheit beim Entwickeln von Videospielen haben. Zum einen sind das die besonderen Rahmenbedingungen der Spieleindustrie, die sich unmittelbar auf den Entwicklungsprozess und somit auch auf die Sicherheitsaspekte auswirken. „Dabei spielen die Schnelllebigkeit der Branche, unterschiedliche Sicherheitsstandards, Zeit- und Budgetbeschränkungen sowie ein Mangel an Beratung zu Sicherheitsthemen eine wichtige Rolle“, erläutert Klostermeyer.

Zum anderen identifizierten die Forschenden fünf sicherheitsrelevante Bereiche im Entwicklungsprozess selbst: Maßnahmen gegen Betrug im Spiel, die Sicherheit von Assets wie Quellcode und Grafiken, die Netzwerksicherheit, die Stabilität der Software sowie der Schutz von Benutzerdaten. Je nach Spieltyp variiert die Bedeutung dieser Bereiche. „Bei Spielen ohne Online-Komponente ist das Thema Netzwerksicherheit beispielsweise weniger relevant“, erklärt der CISPA-Forscher.

Die Studie untersuchte darüber hinaus, inwieweit Spielestudios Sicherheitsaspekte in den Entwicklungsprozess einbinden. Zeit, Budget und Teamgröße stellten sich dabei als ausschlaggebende Faktoren heraus. Während Publisherinnen und Publisher durchaus sicherheitsrelevante Impulse liefern, steht für sie meist das öffentliche Image im Vordergrund. Großen Unternehmen stehen in den meisten Fällen eigene Sicherheitsexperten zur Verfügung, wohingegen kleinere Studios oft nicht über das nötige Budget dafür verfügen.

Selbst wenn Entwickelnde ein Bewusstsein für Sicherheitsprobleme haben, kann es vorkommen, dass das Management anderen Aspekten wie der Spielbarkeit eine höhere Priorität einräumt. „Insgesamt lässt sich sagen, dass die Spieleindustrie in puncto Sicherheit sehr sprunghaft agiert“, resümiert Klostermeyer. Die hohe Dynamik der Branche erschwert es Entwicklerinnen und Entwicklern, bessere Sicherheitsmaßnahmen zu ergreifen und Bedrohungsmodelle von Beginn an in die Spieleentwicklung einzubinden.

Handlungsempfehlungen für mehr Sicherheit in Videospielen

Für Klostermeyer und seine Kolleginnen und Kollegen aus der Forschungsgruppe für nutzbare Sicherheit in Hannover bildet die aktuelle Interviewstudie die Basis für weiterführende Untersuchungen. Schon jetzt lassen sich aus den Studienergebnissen konkrete Empfehlungen für die Branche ableiten. Im Kern geht es darum, das Thema Sicherheit frühzeitig im Entwicklungsprozess zu integrieren. Hilfreich sind dabei auf die jeweiligen Produkte zugeschnittene Richtlinien, die jedes Entwicklerstudio basierend auf den Anforderungen selbst erstellen sollte.

Die Studienergebnisse verdeutlichen, dass die Videospielbranche noch großes Potenzial hat, wenn es um Sicherheit bei der Spielentwicklung geht. Obwohl Videospiele ein milliardenschwerer Markt sind, hinken die Firmen in puncto Sicherheit oft hinterher. Zeit- und Budgetdruck, fehlende Standards und mangelnde Expertise führen dazu, dass das Thema häufig nur eine untergeordnete Rolle spielt. Angesichts der zunehmenden Komplexität von Videospielen und der wachsenden Bedeutung von Online-Komponenten wird das Thema Sicherheit aber dringlicher. Entwicklerstudios stehen laut Klostermeyer in der Verantwortung, Sicherheit nicht als lästige Pflichtaufgabe, sondern als Bestandteil des Entwicklungsprozesses zu begreifen.

Sicherheit muss integraler Bestandteil der Videospielentwicklung werden

Die Interviewstudie des CISPA Helmholtz Center for Information Security liefert Erkenntnisse über den aktuellen Stand der Sicherheit in der Videospielbranche. Es liegt jedoch an den Entwicklerstudios, Sicherheitsüberlegungen von Anfang an in den Entwicklungsprozess zu integrieren und als Querschnittsaufgabe auf allen Ebenen zu verankern. Nur so können Videospiele nicht nur faszinierend und spannend, sondern auch sicher sein.