Die Korrektur signiert neue Dateien, nicht Ihr Archiv

Gefunden haben es Leute, die die Ausgabedatei lesen

Nathan Adams ist Systemingenieur bei Forensic Bioinformatics Services in Ohio, und seine Arbeitszeit besteht daraus, DNA-Analysen zu prüfen, die in Strafverfahren in den Vereinigten Staaten, im Vereinigten Königreich und in Australien verwendet werden. Das Sicherheitsbulletin von Thermo Fisher nennt ihn zusammen mit Kevin Dyer, Laura Gaydosh Combs und der Cybersecurity and Infrastructure Security Agency als diejenigen, die das Problem identifiziert und die Offenlegung koordiniert haben. Diese Namensliste verrät, wie der Fund zustande kam. Niemand hat das Internet nach offenen Geräten abgesucht. Jemand, der beruflich Ergebnisdateien liest, hat die Datei genau angesehen.

Das Ergebnis steht inzwischen in Thermo Fishers eigenem Bulletin vom 31. Juli 2026. Das Unternehmen beschreibt darin das Risiko einer nahezu unentdeckbaren Veränderung der Dateitypen .fsa und .hid, die von ausgewählter Applied Biosystems Human Identification Software erzeugt werden. Die Kennung lautet CVE-2026-17583, die Einstufung ist High, der CVSS-v4.0-Wert beträgt 8,2. Das Bulletin benennt präzise, wo im Ablauf das Risiko sitzt: Die Veränderung könnte erfolgen, bevor die Datei in die Analysesoftware geladen wird, sofern die Kontrollen im Labor umgangen werden.

Was die Abhilfe tatsächlich einräumt

Den Lösungsabsatz sollte man in halber Geschwindigkeit lesen. Die Sicherheitsupdates, schreibt Thermo Fisher, führen digitale Signaturen ein, die als zusätzliche Schutzebene künftig dabei helfen, zu überprüfen, dass Datendateien nicht verändert wurden. Das Wort künftig leistet in diesem Satz sehr viel Arbeit, und es ist keine vorsichtige Formulierung. Es beschreibt zutreffend, was eine Signatur leisten kann.

Eine digitale Signatur belegt, dass eine Datei sich seit dem Moment der Signierung nicht verändert hat. Rückwärts reicht sie nicht. Dateien der vergangenen Woche wurden von Software erzeugt, die nichts signiert hat, es gibt also keine Signatur zum Vergleich und keinen redlichen Weg, ihnen nachträglich eine zu geben. Der Patch schließt die Zukunft. Das Archiv bleibt genau so, wie es war, und sein Umfang ergibt sich daraus, wie lange das Gerät bereits läuft.

Fünf Produkte bekommen ein Update, drei einen Satz

Die Tabelle im Bulletin ist kurz und lohnt die vollständige Lektüre. Die 3500 und 3500xL Series Data Collection Software in Version 4.0.2 und älter geht auf 4.0.3. Die 3730 und 3730xL Series in 5.0.2 und älter geht auf 5.0.3. Die SeqStudio Genetic Analyzer Data Collection Software in 1.2.5 und älter geht auf 1.2.6. Die SeqStudio Flex Series Instrument Software in 1.2.0 und älter geht auf 1.2.1, und wer den Flex mit aktiviertem SAE betreibt, muss die Reihenfolge beachten: zuerst das aktuelle SAE-Profil in der SAE Admin Console installieren, danach das Geräte-Update. GeneMapper ID-X in 1.7.3 und älter geht auf 1.7.4.

Drei Zeilen sagen dann etwas anderes. Die 3130 Series Data Collection Software in 4.1 und älter, ABI PRISM 3100 und 3100-Avant in 2.0 und älter sowie ABI PRISM 310 in 3.1 und älter haben das Ende ihres Lebenszyklus erreicht, werden nicht mehr unterstützt, und es wird kein Update bereitgestellt. Diese Geräte lassen sich weiterhin einschalten. Sie erzeugen weiterhin Dateien, auf die sich jemand weiter hinten im Prozess verlässt. Der Hersteller hat lediglich aufgehört, Code dafür zu schreiben. Damit war das Abkündigungsdatum eine Sicherheitsentscheidung über Ihre Nachweise, und getroffen hat sie jemand anderes.

Auch Ihre Geräte schreiben Beweismittel

Die meisten europäischen Unternehmer betreiben keinen Genanalysator, und man könnte den Vorgang bequem unter fremde Probleme ablegen. Das verfehlt, worum es bei dem Fund geht. Sehr viele gewöhnliche Betriebe haben etwas im Haus, das eine herstellereigene Ergebnisdatei schreibt, die später einen Streit entscheidet: ein Koordinatenmessgerät, eine Werkstoffprüfmaschine, ein Kalibrierstand, ein Emissionsprüfstand, ein Umweltdatenlogger, ein System für Chargenprotokolle. In einem nach ISO/IEC 17025 akkreditierten Prüfumfeld ist dieser lückenlose Nachweis nicht das Papier um das Produkt herum. Er ist das Produkt. Unter NIS2 fällt ein großer Teil der europäischen Hersteller und Prüfstellen in den Anwendungsbereich, und die Pflicht trifft den Betreiber, nicht den Gerätehersteller.

Sehen Sie sich die Maßnahmen noch einmal an, die Thermo Fisher für Kunden empfiehlt, die die Updates nicht einspielen können. Eine sichere Chain of Custody für Dateien über den gesamten Analyseablauf hinweg führen. Erzeugte Dateien auf verschlüsselten, passwortgeschützten Medien speichern. Den Zugriff auf befugtes Personal beschränken. Das Least-Privilege-Prinzip auf den Systemen anwenden, die das Gerät steuern und die Analysesoftware bereitstellen. Firewallregeln und Network Access Control Lists nutzen, um die Internetverbindung auf vertrauenswürdige Quellen zu begrenzen. Jede dieser Empfehlungen ist vernünftig, und jede einzelne ist organisatorisch. Sie regeln, wer an eine Datei herankommt. Keine davon sagt Ihnen, ob sich die Bytes darin verändert haben.

Drei Fragen, die diese Woche schriftlich gestellt gehören

Beginnen Sie beim Gerätebestand, nicht bei der Schwachstelle. Welche unserer Geräte signieren ihre Ausgabe im Moment der Entstehung, und welche legen lediglich eine Datei in einem Ordner ab, bei dem wir uns Sorgfalt vorgenommen haben? Für die Geräte ohne Signatur: Welches ist die älteste Datei, auf die wir uns in einer Auseinandersetzung noch stützen würden, und was genau könnten wir dazu sagen, wenn die Gegenseite fragt, woher wir wissen, dass sie unverändert ist? Und welche unserer Geräte haben das Herstellerende bereits überschritten, denn diese Antwort gehört in die Investitionsplanung und nicht ins Risikoregister.

Wer den Applied-Biosystems-Bestand betreibt, findet den unmittelbaren Weg veröffentlicht und konkret vor, und die Release Notes sind hier wichtiger als sonst. Das ist kein Patch, der einen Port schließt oder einen Pfad für Remotecode entfernt. Er verändert ab dem Tag der Installation, wie Dateien vertrauenswürdig werden, und macht damit das Installationsdatum selbst zu einer bedeutsamen Grenze in Ihren Aufzeichnungen. Halten Sie dieses Datum dauerhaft fest. In zwei Jahren ist es die Linie zwischen Dateien, deren Unversehrtheit Sie belegen können, und Dateien, für die Sie sich nur verbürgen können.

Weiterlesen: Siemens und Schneider kamen am 22. Juli dazu  |  141.006 Testläufe, drei echte Einbrüche