Vista-Sicherheitslücke Stimmen aus dem Nichts

Kaum zwei Tage auf dem Markt, da taucht auch schon die erste Sicherheitslücke bei Windows Vista auf. Potenzielle Gefahrenquelle sind Tondateien, die Löschkommandos in sich tragen. Zudem ist Microsoft offenbar kurz davor, einen Teil der Vista-Zugangscodes offenzulegen.

Hamburg - Mache nicht das, was fremde Leute dir zuraunen - das schärfen besorgte Eltern ihren Kindern schon seit Generationen ein. Die Programmierer des Betriebssystems Windows Vista, das seit es seit Kurzem auch für Privatpersonen zu kaufen gibt, haben sich um derartige Risiken offenbar wenig gekümmert. Denn das neue Betriebssystem hört ganz selbstverständlich auch auf fremde Stimmen, sofern die integrierte Sprachsteuerung aktiviert ist.

Das mag zunächst nicht besonders gefährlich erscheinen. Schließlich sitzt man ja nicht zusammen mit Bösewichten vor seinem Rechner, die einfach so "Lösche Eigene Dateien" ins Mikrofon flüstern. Die Gefahr kommt vielmehr aus dem Internet. Webseiten, die beim Öffnen im Browser Sounddateien abspielen, könnten die Rolle der Bösewichte übernehmen.

George Ou berichtet in seinem Blog auf Zdnet.com, dass in solchen Sounddateien nur wenige Sprachbefehle enthalten sein müssen, schon könne das Unheil seinen Lauf nehmen. Sind die Lautsprecher eingeschaltet, ebenso das Mikrofon und die Spracherkennung, dann könnte der Vista-Computer Anweisungen aus der Sounddatei ausführen, fürchtet George Ou.

"Ich war schockiert!"

Er hat selbst ausprobiert, was möglich ist. "Ich habe eine Sounddatei wiedergegeben, die Lautstärke aufgedreht und so über die Sprachsteuerung das Startmenü geöffnet", schreibt er. Es habe zwar einige Versuche gebraucht, bis die Soundqualität stimmte, aber schließlich habe es funktioniert. "Ich war schockiert!"

In einem weiteren Versuch gelang es George Ou nach eigener Aussage, den Windows Explorer zu öffnen, den Ordner "Dokumente" zu löschen und anschließend auch noch den Papierkorb zu leeren. Im Ordner Dokumente speichern Windows-Nutzer in der Regel sämtliche Dateien, etwa Texte oder Tabellen.

Zugang zu den Protokollen?

Mikrofon und Lautsprecher abschalten

Microsoft hat sich inzwischen bei dem Blogger gemeldet und ihm gegenüber die Existenz des Problems bestätigt. "Die für den Angreifer aufrufbaren Kommandos sind auf die Rechte begrenzt, welche die Person hat, die am Computer eingeloggt ist", zitiert George Ou den Microsoft-Sicherheitsexperten. Die neue Benutzerkontensteuerung verhindere aber, dass der Angreifer Befehle mit Administratorrechten ausführen könne, schreibt der Microsoft-Fachmann.

Er empfiehlt Nutzern, als Vorsichtsmaßnahme entweder Mikrofon oder Lautsprecher auszuschalten. Falls eine Sounddatei, die Sprachkommandos enthält, wiedergegeben werde, solle man den Media Player schließen, die Spracherkennung ausschalten und den PC neu starten.

George Ou hält die Bedrohung nicht nur für theoretisch. Es komme oft vor, dass Surfer ihren Rechner unbeaufsichtigt weiterlaufen ließen. Über geöffnete Flash-Seiten könne so die Sprachsteuerung angesprochen werden. Auch könne die Wiedergabe der Sprachkommandos erst einige Zeit später beginnen, nachdem der Surfer die Seite im Browser geöffnet habe - in der Hoffnung, dass er längst nicht mehr vorm Rechner sitze und so vom Angriff nichts mitbekomme. "Wenn das keine ernstzunehmender Exploit ist, was soll es dann sein?"

Microsoft erklärte, man wolle die Sache noch genauer untersuchen und eine zusätzliche Anleitung geben, um die Anwender so gut wie möglich zu schützen.

Zugang zu den Protokollen?

Der Redmonder Konzern sorgte am Freitag auch mit einer anderen Schlagzeile für Aufregung. Offenbar will Microsoft Teilbereiche des Vista-Zugangscodes als Lizenz offenlegen, wie das "Wall Street Journal" berichtet. Dabei soll es sich um Protokolle handeln, durch die mit Anwendungen wie E-Mail oder Instant Messaging (Sofort-Nachrichten) zusammengearbeitet werden kann.

Mit dieser Offenlegung würde Microsoft den Vorwurf der Verschlossenheit von Vista entkräften. Es wäre das erste Mal, das der Konzern so einen Schritt unternähme.

SPIEGEL ONLINE