Google hat über seinen Security-Service Project Zero ermittelt, wie lange Anbieter brauchen, um Sicherheitslücken zu stopfen, die ihnen gemeldet wurden. Fazit: Die Anbieter reagieren schneller.
Mit Project Zero betreibt Google einen Service, der Software auf Zero-Day-Schwachstellen untersucht. Die dort tätigen Sicherheitsanalysten haben nun einige Zahlen zum Jahr 2021 veröffentlicht. Demnach hat sich die Reaktionszeit von Herstellern von der Meldung bis zum Schließen einer Lücke entscheidend verbessert. Waren es vor drei Jahren im Schnitt 80 Tage, genügten im Jahr 2021 durchschnittlich 52 Tage.
Daneben habe sei auch die Zahl der Anbieter, die die Frist nicht einhalten gesunken. Google gewährt auch noch 14 Tag Fristverlängerung. Im Jahr 2021 sei nur bei einem Fehler die Frist überschritten worden. Bei 14 Prozent der Fehler sei die Fristverlängerung genutzt worden.
Project Zero arbeitet inzwischen schon fast zehn Jahre an der Aufdeckung von Sicherheitslücken. Zwischen 2019 und 2021 seien von Project Zero 376 Probleme an die Anbieter gemeldet worden, mit der Standardfrist von 90 Tagen zur Behebung. 351 dieser Fehler wurden behoben, während 14 Prozent von den Herstellern als “nicht behoben” markiert wurden. Elf andere Fehler seien noch nicht behoben worden, wobei zum Zeitpunkt der Erstellung dieses Berichts acht Fehler die Frist zur Behebung überschritten haben; die restlichen drei Fehler bewegten sich noch innerhalb der Frist zur Behebung. Die meisten Schwachstellen konzentrieren sich auf wenige Hersteller: 96 Fehler seien Microsoft gemeldet worden, 85 an Apple und 60 an Google, heißt es im Beitrag.
