Digitale Signatur 22.06.2023, 07:00 Uhr

Wieder Sicherheitslücke in Microsoft-Office-Anwendung entdeckt

Ein deutsches Forschungsteam hat geschützte Word-Dokumente unter die Lupe genommen – und erneut eine eklatante Sicherheitslücke entlarvt. Für IT-Fachleute wäre es nach ihren Aussagen ein Kinderspiel, wichtige Dokumente zu manipulieren, ohne dass es jemand merkt.

Computer mit Totenkopf

Microsoft-Anwendungen sind vor Cyberangriffen nicht gut genug geschützt.

Foto: panthermedia.net/make

Das digitale Zeitalter ist Segen und Fluch zugleich. Mit wenigen Klicks lassen sich heutzutage Dokumente signieren und verschicken. Aber der Cyberangriff auf die Helmholtz-Gesellschaft hat aktuell wieder gezeigt, dass selbst gut geschützte Systeme zu knacken sind. Und das ist nur die Spitze des Eisbergs. Wenn die Nutzer und Nutzerinnen beispielsweise nur ein einziges Mal unachtsam sind und Schadsoftware öffnen, die sie getarnt in einer E-Mail erhalten haben, gewähren sie womöglich Hackern Zugriff auf ihren Computer, ohne es zu wissen.

Jede neue Möglichkeit im Netz geht daher mit Optionen für mehr Sicherheit einher. Allerdings greifen die bei Microsoft nicht immer. Das hat ein deutsches Forschungsteam gezeigt. Beteiligt waren Wissenschaftler und Wissenschaftlerinnen des Lehrstuhls für Netz- und Datensicherheit am Horst-Görtz-Institut für IT-Sicherheit an der Ruhr-Universität Bochum und der Hochschule Mainz.

Top Stellenangebote

Zur Jobbörse
Jürgens Maschinenbau GmbH & Co. KG-Firmenlogo
Technischer Redakteur (m/w/d) / Technische Dokumentation Jürgens Maschinenbau GmbH & Co. KG
Emsdetten Zum Job 
Stadtwerke Tübingen GmbH-Firmenlogo
Fachexperte strategische Netzplanung (m/w/d) Strom oder Gas/Wasser Stadtwerke Tübingen GmbH
Tübingen Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Ingenieur/in Betriebsdienst (w/m/d) Die Autobahn GmbH des Bundes
Karlsruhe Zum Job 
OCS Optical Control Systems GmbH-Firmenlogo
Applikationsingenieur (m/w/d) für Automatisierungssysteme OCS Optical Control Systems GmbH
NRM Netzdienste Rhein-Main GmbH-Firmenlogo
Ingenieur Elektrotechnik als Leiter für Projektierung/Planung Stromanlagen (m/w/d) NRM Netzdienste Rhein-Main GmbH
Frankfurt am Main Zum Job 
Celonic Deutschland GmbH & Co. KG-Firmenlogo
Betriebsingenieur (w/m/d) für Prozessanlagen/ Plant Engineer (f/m/d) Process Assets Celonic Deutschland GmbH & Co. KG
Heidelberg Zum Job 
vitronet Consult GmbH-Firmenlogo
Senior Planer Energieinfrastruktur und Netzplanung (m/w/d) vitronet Consult GmbH
OCS Optical Control Systems GmbH-Firmenlogo
Projektingenieur (m/w/d) für Automatisierungssysteme OCS Optical Control Systems GmbH
OCS Optical Control Systems GmbH-Firmenlogo
Entwicklungsingenieur Elektrotechnik (m/w/d) OCS Optical Control Systems GmbH
Essex Furukawa Magnet Wire Germany GmbH-Firmenlogo
Qualitätsingenieur (m/w/d) Essex Furukawa Magnet Wire Germany GmbH
Bad Arolsen Zum Job 
vP Infrastruktur GmbH-Firmenlogo
(Senior-) Projektleiter FTTx (m/w/d) vP Infrastruktur GmbH
bundesweit Zum Job 
vP Infrastruktur GmbH-Firmenlogo
(Senior-) Bauleiter FTTx (m/w/d) vP Infrastruktur GmbH
bundesweit Zum Job 
Excellence AG-Firmenlogo
Embedded Software Entwickler (m/w/d) Excellence AG
Dortmund Zum Job 
Excellence AG-Firmenlogo
Projektleiter Anlagenbau (m/w/d) Excellence AG
Excellence AG-Firmenlogo
Entwicklungsingenieur KI (m/w/d) Excellence AG
Dortmund Zum Job 
K. A. Schmersal GmbH & Co. KG-Firmenlogo
System/Solution Architekt (m/w/d) mit Schwerpunkt Entwicklung SAP K. A. Schmersal GmbH & Co. KG
Wuppertal Zum Job 
K. A. Schmersal GmbH & Co. KG-Firmenlogo
IT Security und Compliance Manager (m/w/d) K. A. Schmersal GmbH & Co. KG
Wuppertal Zum Job 
K. A. Schmersal GmbH & Co. KG-Firmenlogo
Systemingenieur Strategic Product Development (m/w/d) K. A. Schmersal GmbH & Co. KG
Wuppertal Zum Job 
ROTHENBERGER Werkzeuge GmbH-Firmenlogo
Entwicklungsingenieur (m/w/d) für Produktdesign und Produktüberführung ROTHENBERGER Werkzeuge GmbH
Kelkheim Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Projektleiter (w/m/d) Straßenbau Die Autobahn GmbH des Bundes
Freiburg im Breisgau Zum Job 

Microsoft revolutioniert Office-Anwendungen – mit der Künstlichen Intelligenz

Microsoft-Dokumente sind nur teilweise signiert

„Das Ziel einer digitalen Signatur ist es, die Integrität eines Dokumentes zu bestätigen“, sagt Simon Rohlmann, der inzwischen an der Hochschule Mainz arbeitet. Das funktioniert nach einem einfachen Prinzip: Auf der Basis von Public-Key-Algorithmen erzeugt der Verwender mit einem privaten Schlüssel eine Signatur, die auf der Seite des Empfängers über einen öffentlichen Schlüssel geprüft werden kann. Beide Seiten sollten sich also eigentlich darauf verlassen können, dass der Inhalt des Dokuments nicht verändert wurde. Das ist allerdings ein Irrtum, wie die Forschenden in ihrer Forschungsarbeit „Every Signature is Broken: On the Insecurity of Microsoft Office’s OOXML Signatures“ offengelegt haben.

Denn es gibt eine Schwachstelle, die bei Microsoft Manipulationen ermöglicht: „Wir haben erkannt, dass Dokumente nur teilweise signiert sind. Dadurch könnte man beispielsweise neue Inhalte hinzufügen oder signierte Inhalte ausblenden, ohne, dass es jemand bemerkt“, sagt Rohlmann.

Fünf Schwachstellen für Cyberangriffe

Das Team hatte im ersten Schritt insgesamt fünf verschiedene Möglichkeiten gefunden, über die Cyberangriffe erfolgen können. Alle haben eine gemeinsame Grundlage, und zwar strukturelle Unstimmigkeiten im Office-System von Microsoft. Laut der Forschenden würden über den OOXML-Standards nur Teilbereiche des Dokumentenpakets signiert, was die komplette Signatur nicht nur wertlos mache, sondern Dokumentenfälschungen eigentlich sogar erleichtere. Rohlmann erklärt: „Ein Angreifer könnte beispielsweise signierte Dokumente verwenden, um Angriffe auf der Grundlage von Social Engineering besonders vertrauenswürdig erscheinen zu lassen, da das Dokument eine gültige Signatur eines Vorgesetzten enthält.“

SAP und Microsoft wollen mit KI gegen Fachkräftemangel vorgehen

Davon betroffen seien XML-basierte Dateiformate, die von Microsoft schon seit dem Jahr 2007 eingesetzt werden und in der Regel an dem Suffix -X im Dateinamen zu erkennen sind, also zum Beispiel .docx oder .xlsx. Sie nehmen wenig Speicherplatz in Anspruch und sollten eigentlich besonders sicher sein.



Microsoft hat Sicherheitslücken nicht vollständig beseitigt

Dass es bei Microsoft in puncto Sicherheit hakt, ist nicht neu. Schon im vergangenen Jahr setzen die Forschenden das Unternehmen darüber in Kenntnis und informierten parallel die zuständige Standardisierungsbehörde. Geschlossen hat Microsoft die Schwachstellen allerdings bislang noch nicht. Denn das Team hat auch die neue LTSC-Version von Microsoft Office 2021 (Version 2108 (Build 14332.20517)) untersucht – und wieder eine Sicherheitslücke entdeckt, die für Angriffe genutzt werden könnte. Zumindest seien in der Retail-Version von Microsoft Office 2021 (Version 2305 (Build 16501.20210)) die meisten der erkannten Schwachstellen nicht mehr vorhanden.

Die Forschenden überprüfen regelmäßig Signaturen, die im Berufsleben oder im behördlichen Kontext eine Rolle spielen. Auf diese Weise wollen sie zur IT-Sicherheit beitragen und die Wahrscheinlichkeit für unbemerkte Manipulationen senken.

Mehr lesen zum Thema Cybersicherheit:

Ein Beitrag von:

  • Nicole Lücke

    Nicole Lücke macht Wissenschaftsjournalismus für Forschungszentren und Hochschulen, berichtet von medizinischen Fachkongressen und betreut Kundenmagazine für Energieversorger. Sie ist Gesellschafterin von Content Qualitäten. Ihre Themen: Energie, Technik, Nachhaltigkeit, Medizin/Medizintechnik.

Zu unseren Newslettern anmelden

Das Wichtigste immer im Blick: Mit unseren beiden Newslettern verpassen Sie keine News mehr aus der schönen neuen Technikwelt und erhalten Karrieretipps rund um Jobsuche & Bewerbung. Sie begeistert ein Thema mehr als das andere? Dann wählen Sie einfach Ihren kostenfreien Favoriten.