Digitale Signatur 22.06.2023, 07:00 Uhr

Wieder Sicherheitslücke in Microsoft-Office-Anwendung entdeckt

Ein deutsches Forschungsteam hat geschützte Word-Dokumente unter die Lupe genommen – und erneut eine eklatante Sicherheitslücke entlarvt. Für IT-Fachleute wäre es nach ihren Aussagen ein Kinderspiel, wichtige Dokumente zu manipulieren, ohne dass es jemand merkt.

Computer mit Totenkopf

Microsoft-Anwendungen sind vor Cyberangriffen nicht gut genug geschützt.

Foto: panthermedia.net/make

Das digitale Zeitalter ist Segen und Fluch zugleich. Mit wenigen Klicks lassen sich heutzutage Dokumente signieren und verschicken. Aber der Cyberangriff auf die Helmholtz-Gesellschaft hat aktuell wieder gezeigt, dass selbst gut geschützte Systeme zu knacken sind. Und das ist nur die Spitze des Eisbergs. Wenn die Nutzer und Nutzerinnen beispielsweise nur ein einziges Mal unachtsam sind und Schadsoftware öffnen, die sie getarnt in einer E-Mail erhalten haben, gewähren sie womöglich Hackern Zugriff auf ihren Computer, ohne es zu wissen.

Jede neue Möglichkeit im Netz geht daher mit Optionen für mehr Sicherheit einher. Allerdings greifen die bei Microsoft nicht immer. Das hat ein deutsches Forschungsteam gezeigt. Beteiligt waren Wissenschaftler und Wissenschaftlerinnen des Lehrstuhls für Netz- und Datensicherheit am Horst-Görtz-Institut für IT-Sicherheit an der Ruhr-Universität Bochum und der Hochschule Mainz.

Microsoft revolutioniert Office-Anwendungen – mit der Künstlichen Intelligenz

Microsoft-Dokumente sind nur teilweise signiert

„Das Ziel einer digitalen Signatur ist es, die Integrität eines Dokumentes zu bestätigen“, sagt Simon Rohlmann, der inzwischen an der Hochschule Mainz arbeitet. Das funktioniert nach einem einfachen Prinzip: Auf der Basis von Public-Key-Algorithmen erzeugt der Verwender mit einem privaten Schlüssel eine Signatur, die auf der Seite des Empfängers über einen öffentlichen Schlüssel geprüft werden kann. Beide Seiten sollten sich also eigentlich darauf verlassen können, dass der Inhalt des Dokuments nicht verändert wurde. Das ist allerdings ein Irrtum, wie die Forschenden in ihrer Forschungsarbeit „Every Signature is Broken: On the Insecurity of Microsoft Office’s OOXML Signatures“ offengelegt haben.

Stellenangebote im Bereich IT/TK-Projektmanagement

IT/TK-Projektmanagement Jobs
Fresenius Kabi Deutschland GmbH-Firmenlogo
Projekt IT-Ingenieur (m/w/d) Fresenius Kabi Deutschland GmbH
Friedberg Zum Job 
Mercer Stendal GmbH-Firmenlogo
Betriebstechniker (m/w/d) Prozessleittechnik Mercer Stendal GmbH
Arneburg Zum Job 
Wirtgen GmbH-Firmenlogo
Project Manager Product Lifecycle Management (m/w/d) Wirtgen GmbH
Windhagen Zum Job 
Stadtwerke Verkehrsgesellschaft Frankfurt am Main mbH-Firmenlogo
Planungsingenieur:in / Projektleiter:in Fahrgastinformation (d/m/w) Stadtwerke Verkehrsgesellschaft Frankfurt am Main mbH
Frankfurt am Main Zum Job 
Fachhochschule Dortmund-Firmenlogo
Zukunftsmacher*in Fachhochschule Dortmund
Dortmund Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Ingenieur (w/m/d) Informationssicherheit Die Autobahn GmbH des Bundes
Frankfurt Zum Job 
RHEINMETALL AG-Firmenlogo
Verstärkung für unsere technischen Projekte im Bereich Engineering und IT (m/w/d) RHEINMETALL AG
deutschlandweit Zum Job 
Evonik Operations GmbH-Firmenlogo
Ingenieur (m/w/d) Informatik / Elektrotechnik / Automatisierungstechnik / Chemische Produktion Evonik Operations GmbH
Wirtgen GmbH-Firmenlogo
Software-Testingenieur (m/w/d) Testautomatisierung -Steuerungssoftware für mobile Arbeitsmaschinen Wirtgen GmbH
Windhagen Zum Job 
WIRTGEN GROUP Branch of John Deere GmbH & Co. KG-Firmenlogo
Project Manager Surveying and Designfor Machine Control (m/w/d) WIRTGEN GROUP Branch of John Deere GmbH & Co. KG
Ludwigshafen am Rhein Zum Job 
IMS Messsysteme GmbH-Firmenlogo
Systemingenieur (m/w/i) für Oberflächeninspektion IMS Messsysteme GmbH
Heiligenhaus Zum Job 
Bundespolizei-Firmenlogo
Ingenieur/in Elektro-/Nachrichtentechnik o. ä. für Satellitenkommunikation (w/m/d) Projektgruppe EU Bundespolizei
Sankt Augustin Zum Job 
Hochschule Hamm-Lippstadt-Firmenlogo
wissenschaftliche*r Mitarbeiter*in (m/w/d) für die Entwicklung einer Wissensdatenbank im Bereich der Sektorenkopplung Hochschule Hamm-Lippstadt
Hochschule Bielefeld-Firmenlogo
W2-Professur Software Engineering Hochschule Bielefeld
Gütersloh Zum Job 
Safran Data Systems GmbH-Firmenlogo
Embedded Software Engineer (m/w/d) Safran Data Systems GmbH
Bergisch Gladbach Zum Job 
Hochschule Bielefeld (HSBI)-Firmenlogo
W2-Professur Software Engineering Hochschule Bielefeld (HSBI)
Gütersloh Zum Job 
Kreis Gütersloh-Firmenlogo
Mitarbeiter (m/w/i) für Digitalisierung und Prozessmanagement Kreis Gütersloh
Rheda-Wiedenbrück Zum Job 
Bisping & Bisping GmbH & Co. KG-Firmenlogo
Projektleiter (m/w/d) Internetkommunikation / Telekommunikation Bisping & Bisping GmbH & Co. KG
Lauf an der Pegnitz Zum Job 
Bisping & Bisping GmbH & Co. KG-Firmenlogo
Projektleiter (m/w/d) Glasfaserausbau Bisping & Bisping GmbH & Co. KG
Lauf an der Pegnitz Zum Job 
Stadt Frankfurt am Main-Firmenlogo
Ingenieur:innen (w/m/d) Verkehrstechnik Stadt Frankfurt am Main
Frankfurt am Main Zum Job 

Denn es gibt eine Schwachstelle, die bei Microsoft Manipulationen ermöglicht: „Wir haben erkannt, dass Dokumente nur teilweise signiert sind. Dadurch könnte man beispielsweise neue Inhalte hinzufügen oder signierte Inhalte ausblenden, ohne, dass es jemand bemerkt“, sagt Rohlmann.

Fünf Schwachstellen für Cyberangriffe

Das Team hatte im ersten Schritt insgesamt fünf verschiedene Möglichkeiten gefunden, über die Cyberangriffe erfolgen können. Alle haben eine gemeinsame Grundlage, und zwar strukturelle Unstimmigkeiten im Office-System von Microsoft. Laut der Forschenden würden über den OOXML-Standards nur Teilbereiche des Dokumentenpakets signiert, was die komplette Signatur nicht nur wertlos mache, sondern Dokumentenfälschungen eigentlich sogar erleichtere. Rohlmann erklärt: „Ein Angreifer könnte beispielsweise signierte Dokumente verwenden, um Angriffe auf der Grundlage von Social Engineering besonders vertrauenswürdig erscheinen zu lassen, da das Dokument eine gültige Signatur eines Vorgesetzten enthält.“

SAP und Microsoft wollen mit KI gegen Fachkräftemangel vorgehen

Davon betroffen seien XML-basierte Dateiformate, die von Microsoft schon seit dem Jahr 2007 eingesetzt werden und in der Regel an dem Suffix -X im Dateinamen zu erkennen sind, also zum Beispiel .docx oder .xlsx. Sie nehmen wenig Speicherplatz in Anspruch und sollten eigentlich besonders sicher sein.



Microsoft hat Sicherheitslücken nicht vollständig beseitigt

Dass es bei Microsoft in puncto Sicherheit hakt, ist nicht neu. Schon im vergangenen Jahr setzen die Forschenden das Unternehmen darüber in Kenntnis und informierten parallel die zuständige Standardisierungsbehörde. Geschlossen hat Microsoft die Schwachstellen allerdings bislang noch nicht. Denn das Team hat auch die neue LTSC-Version von Microsoft Office 2021 (Version 2108 (Build 14332.20517)) untersucht – und wieder eine Sicherheitslücke entdeckt, die für Angriffe genutzt werden könnte. Zumindest seien in der Retail-Version von Microsoft Office 2021 (Version 2305 (Build 16501.20210)) die meisten der erkannten Schwachstellen nicht mehr vorhanden.

Die Forschenden überprüfen regelmäßig Signaturen, die im Berufsleben oder im behördlichen Kontext eine Rolle spielen. Auf diese Weise wollen sie zur IT-Sicherheit beitragen und die Wahrscheinlichkeit für unbemerkte Manipulationen senken.

Mehr lesen zum Thema Cybersicherheit:

Ein Beitrag von:

  • Nicole Lücke

    Nicole Lücke macht Wissenschaftsjournalismus für Forschungszentren und Hochschulen, berichtet von medizinischen Fachkongressen und betreut Kundenmagazine für Energieversorger. Sie ist Gesellschafterin von Content Qualitäten. Ihre Themen: Energie, Technik, Nachhaltigkeit, Medizin/Medizintechnik.

Zu unseren Newslettern anmelden

Das Wichtigste immer im Blick: Mit unseren beiden Newslettern verpassen Sie keine News mehr aus der schönen neuen Technikwelt und erhalten Karrieretipps rund um Jobsuche & Bewerbung. Sie begeistert ein Thema mehr als das andere? Dann wählen Sie einfach Ihren kostenfreien Favoriten.