Ende Februar wurde ein Zero-Day Exploit für Adobe Reader veröffentlicht, wenige Tage später eine kritische Schwachstelle in Excel. Bei dem Adobe-Exploit war der empfohlene Work-around, JavaScript zu deaktivieren, dann könne nichts mehr passieren.

Kurz danach zeigt sich, dass die Adobe-Reader-Lücke auch ausnutzbar ist, wenn JavaScript deaktiviert ist. Der Patch – besser gesagt das Update-Ungetüm – für Version 10 erschien dann am 11. März, für ältere Versionen gar erst am 18. März – sprich fast vier Wochen nach der Meldung des Exploits. Eine Menge Zeit ...

Der Sicherheitsanbieter F-Secure geht so weit, vom Einsatz des Acrobat Readers derzeit gänzlich abzuraten. Er berichtete Mitte April, dass sich Angriffe gezielt gegen leitende Angestellte, Politiker und andere hochrangige Personen richten.

Anfang April gesellte sich noch eine kritische Sicherheitslücke in Powerpoint dazu. Auch hier dauerte es sechs bis acht Wochen bis die Patches für die beiden Anwendungen verfügbar waren. Für diese Lücken existieren bereits Exploits „in the wild“.

Eigentlich hätte jeder verantwortungsvolle Admin alle diese Dokumenten-Typen an der Firewall und am Mail-Gatways ausfiltern müssen. Doch jeder, der das vorschlüge, würde wohl schlichtweg für verrückt erklärt werden. Denn via Acrobat-, Excel- und Powerpoint-Formaten wird schließlich ein Großteil aller geschäftsrelevanten Informationen weitergegeben. Sie zu blockieren, hieße soviel wie der „Geschäftsführung mit nacktem Arsch ins Gesicht springen“.

Dennoch mein Rat: Springen Sie! Seien Sie mutig und riskieren Sie, dass Sie schwach angeredet werden. Letztendlich werden nämlich Sie dafür verantwortlich gemacht, wenn etwas passiert.