👮 Bevor ihr jetzt die Polizei ruft: nein, ich werde gerade nicht mit vorgehaltener Waffe gezwungen das zu schreiben. Dennoch: Microsoft hat alles richtig gemacht.
🔥 Das zweite Halbjahr 2023 war für #Microsoft der wohl schlimmste IT-Security-Albtraum, den es je gab. Ein #Azure Root Key wurde gestohlen. Das Post-Mortem offenbarte gröbste handwerkliche Fehler bei der Security. KundInnen wurden nur schleppend oder gar nicht informiert. IT-Security-SpezialistInnen schlugen sich die Hände überm Kopf zusammen: Totalversagen, das ist der Super-GAU, das darf nicht passieren!
📉 Wie man im Posting-Bild gut erkennen kann, reagiert die Börse sofort. Der Aktienkurs fiel ins Bodenlose und stürzte das Unternehmen in die Krise.
🤯 Nicht. 🤯
🤔 Ich bin kein Aktienspezialist, aber wenn ich mir den Kurs von Microsoft ansehe, erkenne ich im Jahr 2023 keinen Einbruch, bei dem ich sagen würde: oh, da ist etwas relevantes passiert. Die Aktie kennt nur einen Weg: nach oben.
👉 Und hier liegt unser Problem. Es ist schön, wenn wir als IT-Security-Nerds sagen: "Katastrophe, das geht so nicht". Aber es hat keine Auswirkungen, solange die entsprechenden Firmen das nicht monetär zu spüren bekommen. Die CEOs der Firmen sind den AktionärInnen gegenüber verpflichtet, immer das Beste aus wirtschaftlicher Sicht rauszuholen. Und offensichtlich ist es nach den aktuellen Regeln des Marktes wichtiger, alles in neue Features zu investieren statt in QA und Security.
📰 Ein wunderbares Beispiel für dieses Problem liefert der Artikel "Microsoft Chose Profit Over Security and Left U.S. Government Vulnerable to Russian Hack" (https://lnkd.in/ehBApiW8).
💡 Der Artikel bestätigt genau das: Features sind das Wichtigste. Und das ist etwas, wo Microsoft ja durchaus gut drin ist. Microsoft ist hier auch nur ein Beispiel. Ich gehe davon aus, dass es jedem Unternehmen, das an der Börse gehandelt wird, so geht. In QA und Security wird gerade nur so viel investiert, wie unbedingt nötig.
😔 Und da muss ich sagen: der Aktienkurs bestätigt der Firmenführung bei Microsoft: Ihr habt alles richtig gemacht. Auch wenn mir als Tech-Nerd das Herz blutet: es gelten die Regeln des Marktes, nicht die der IT-Ethik.
❓ Wie kommen wir da raus? Ich befürchte, dass eine Herstellerhaftung und Regulierung hier der einzige Weg sein wird, wenn wir die Security der Produkte nachhaltig verbessern wollen. Auch wenn ich dem Thema eigentlich sehr kritisch gegenüber stehe, weil noch mehr Regulierung unseren Job nicht einfacher macht und in der Softwarewelt Qualität und Zuverlässigkeit nicht so einfach zu messen sind, wie in der echten Welt.
📣 Wie seht ihr das? Brauchen wir die Herstellerhaftung? Gibt es noch andere Marktanreize, die man für Riesen wie Microsoft setzen könnte, damit diese mehr in Security und QA zu investieren? Welche vernünftig messbaren Regeln könnte man aufstellen? Lasst mir gerne einen Kommentar da!
#Security
