Digitale Signatur 22.06.2023, 07:00 Uhr

Wieder Sicherheitslücke in Microsoft-Office-Anwendung entdeckt

Ein deutsches Forschungsteam hat geschützte Word-Dokumente unter die Lupe genommen – und erneut eine eklatante Sicherheitslücke entlarvt. Für IT-Fachleute wäre es nach ihren Aussagen ein Kinderspiel, wichtige Dokumente zu manipulieren, ohne dass es jemand merkt.

Computer mit Totenkopf

Microsoft-Anwendungen sind vor Cyberangriffen nicht gut genug geschützt.

Foto: panthermedia.net/make

Das digitale Zeitalter ist Segen und Fluch zugleich. Mit wenigen Klicks lassen sich heutzutage Dokumente signieren und verschicken. Aber der Cyberangriff auf die Helmholtz-Gesellschaft hat aktuell wieder gezeigt, dass selbst gut geschützte Systeme zu knacken sind. Und das ist nur die Spitze des Eisbergs. Wenn die Nutzer und Nutzerinnen beispielsweise nur ein einziges Mal unachtsam sind und Schadsoftware öffnen, die sie getarnt in einer E-Mail erhalten haben, gewähren sie womöglich Hackern Zugriff auf ihren Computer, ohne es zu wissen.

Jede neue Möglichkeit im Netz geht daher mit Optionen für mehr Sicherheit einher. Allerdings greifen die bei Microsoft nicht immer. Das hat ein deutsches Forschungsteam gezeigt. Beteiligt waren Wissenschaftler und Wissenschaftlerinnen des Lehrstuhls für Netz- und Datensicherheit am Horst-Görtz-Institut für IT-Sicherheit an der Ruhr-Universität Bochum und der Hochschule Mainz.

Top Stellenangebote

Zur Jobbörse
Tagueri AG-Firmenlogo
Teamleitung im Bereich Diagnose (m/w/d) Tagueri AG
Hamburg Zum Job 
Tagueri AG-Firmenlogo
(Junior) Consultant Funktionale Sicherheit (m/w/d) Tagueri AG
Hamburg Zum Job 
Tagueri AG-Firmenlogo
Consultant Systems Engineering (m/w/d) Tagueri AG
Hamburg Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Bauingenieure - Schwerpunkt konstruktiver Ingenieurbau für die Bauwerksprüfung nach DIN 1076 (m/w/d) Die Autobahn GmbH des Bundes
Hamburg Zum Job 
Funkwerk AG-Firmenlogo
Techniker / Ingenieur im Engineering Vertrieb (m/w/d) Funkwerk AG
deutschlandweit Zum Job 
ITW Fastener Products GmbH-Firmenlogo
Technische:r Vertriebsingenieur:in für VW ITW Fastener Products GmbH
Creglingen-Münster Zum Job 
Framatome GmbH-Firmenlogo
Senior Project Quality & OPEX Manager (m/w/d) Framatome GmbH
Erlangen Zum Job 
Rheinmetall Electronics GmbH-Firmenlogo
Elektronikentwickler (m/w/d) Rheinmetall Electronics GmbH
Rheinmetall Electronics GmbH-Firmenlogo
Projektingenieur Kältemittelverdichter (m/w/d) Rheinmetall Electronics GmbH
Forschungszentrum Jülich GmbH-Firmenlogo
Ingenieur für Gebäudeausrüstung / Versorgungstechnik (w/m/d) Forschungszentrum Jülich GmbH
Jülich bei Köln Zum Job 
Diehl Aerospace GmbH-Firmenlogo
Ingenieur / Entwicklungsingenieur (m/w/d) Avionik (System) Diehl Aerospace GmbH
Nürnberg, Überlingen, Frankfurt am Main, Rostock Zum Job 
Rheinmetall Electronics GmbH-Firmenlogo
Projektmanager technische Entwicklungsaktivitäten (m/w/d) Rheinmetall Electronics GmbH
Neckarsulm Zum Job 
Stadtwerke Verkehrsgesellschaft Frankfurt am Main mbH-Firmenlogo
Teamleitung Haltestellen und Stationen (d/m/w) Stadtwerke Verkehrsgesellschaft Frankfurt am Main mbH
Frankfurt am Main Zum Job 
Lahnpaper GmbH-Firmenlogo
Leitung Entwicklungslabor (m/w/d) Lahnpaper GmbH
Lahnstein Zum Job 
Energieversorgung Halle Netz GmbH-Firmenlogo
Projektingenieur - Fernsteuerung Energienetze (m/w/d) Energieversorgung Halle Netz GmbH
Halle (Saale) Zum Job 
Riedel Bau-Firmenlogo
Energieberater / Auditor (m/w/d) Riedel Bau
Schweinfurt Zum Job 
SWM Services GmbH-Firmenlogo
Projektingenieur*in im digitalen Messwesen (m/w/d) SWM Services GmbH
München Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Ingenieur (w/m/d) Elektro- / Kommunikationstechnik Die Autobahn GmbH des Bundes
Frankfurt am Main Zum Job 
RENOLIT SE-Firmenlogo
Ingenieur / Techniker (m/w/d) für Automatisierungstechnik RENOLIT SE
Frankenthal Zum Job 
BREMER Bremen GmbH-Firmenlogo
Kalkulator (m/w/d) BREMER Bremen GmbH

Microsoft revolutioniert Office-Anwendungen – mit der Künstlichen Intelligenz

Microsoft-Dokumente sind nur teilweise signiert

„Das Ziel einer digitalen Signatur ist es, die Integrität eines Dokumentes zu bestätigen“, sagt Simon Rohlmann, der inzwischen an der Hochschule Mainz arbeitet. Das funktioniert nach einem einfachen Prinzip: Auf der Basis von Public-Key-Algorithmen erzeugt der Verwender mit einem privaten Schlüssel eine Signatur, die auf der Seite des Empfängers über einen öffentlichen Schlüssel geprüft werden kann. Beide Seiten sollten sich also eigentlich darauf verlassen können, dass der Inhalt des Dokuments nicht verändert wurde. Das ist allerdings ein Irrtum, wie die Forschenden in ihrer Forschungsarbeit „Every Signature is Broken: On the Insecurity of Microsoft Office’s OOXML Signatures“ offengelegt haben.

Denn es gibt eine Schwachstelle, die bei Microsoft Manipulationen ermöglicht: „Wir haben erkannt, dass Dokumente nur teilweise signiert sind. Dadurch könnte man beispielsweise neue Inhalte hinzufügen oder signierte Inhalte ausblenden, ohne, dass es jemand bemerkt“, sagt Rohlmann.

Fünf Schwachstellen für Cyberangriffe

Das Team hatte im ersten Schritt insgesamt fünf verschiedene Möglichkeiten gefunden, über die Cyberangriffe erfolgen können. Alle haben eine gemeinsame Grundlage, und zwar strukturelle Unstimmigkeiten im Office-System von Microsoft. Laut der Forschenden würden über den OOXML-Standards nur Teilbereiche des Dokumentenpakets signiert, was die komplette Signatur nicht nur wertlos mache, sondern Dokumentenfälschungen eigentlich sogar erleichtere. Rohlmann erklärt: „Ein Angreifer könnte beispielsweise signierte Dokumente verwenden, um Angriffe auf der Grundlage von Social Engineering besonders vertrauenswürdig erscheinen zu lassen, da das Dokument eine gültige Signatur eines Vorgesetzten enthält.“

SAP und Microsoft wollen mit KI gegen Fachkräftemangel vorgehen

Davon betroffen seien XML-basierte Dateiformate, die von Microsoft schon seit dem Jahr 2007 eingesetzt werden und in der Regel an dem Suffix -X im Dateinamen zu erkennen sind, also zum Beispiel .docx oder .xlsx. Sie nehmen wenig Speicherplatz in Anspruch und sollten eigentlich besonders sicher sein.



Microsoft hat Sicherheitslücken nicht vollständig beseitigt

Dass es bei Microsoft in puncto Sicherheit hakt, ist nicht neu. Schon im vergangenen Jahr setzen die Forschenden das Unternehmen darüber in Kenntnis und informierten parallel die zuständige Standardisierungsbehörde. Geschlossen hat Microsoft die Schwachstellen allerdings bislang noch nicht. Denn das Team hat auch die neue LTSC-Version von Microsoft Office 2021 (Version 2108 (Build 14332.20517)) untersucht – und wieder eine Sicherheitslücke entdeckt, die für Angriffe genutzt werden könnte. Zumindest seien in der Retail-Version von Microsoft Office 2021 (Version 2305 (Build 16501.20210)) die meisten der erkannten Schwachstellen nicht mehr vorhanden.

Die Forschenden überprüfen regelmäßig Signaturen, die im Berufsleben oder im behördlichen Kontext eine Rolle spielen. Auf diese Weise wollen sie zur IT-Sicherheit beitragen und die Wahrscheinlichkeit für unbemerkte Manipulationen senken.

Mehr lesen zum Thema Cybersicherheit:

Ein Beitrag von:

  • Nicole Lücke

    Nicole Lücke macht Wissenschaftsjournalismus für Forschungszentren und Hochschulen, berichtet von medizinischen Fachkongressen und betreut Kundenmagazine für Energieversorger. Sie ist Gesellschafterin von Content Qualitäten. Ihre Themen: Energie, Technik, Nachhaltigkeit, Medizin/Medizintechnik.

Zu unseren Newslettern anmelden

Das Wichtigste immer im Blick: Mit unseren beiden Newslettern verpassen Sie keine News mehr aus der schönen neuen Technikwelt und erhalten Karrieretipps rund um Jobsuche & Bewerbung. Sie begeistert ein Thema mehr als das andere? Dann wählen Sie einfach Ihren kostenfreien Favoriten.