Log4j-Lücke: BSI meldet erste Angriffsversuche
Weitere Details zur Sicherheitslücke in Servern (Symbolbild)
Bild: picture alliance/dpa | Marijan Murat
Eine gefährliche Schwachstelle einer viel
benutzten Server-Software hat nach Einschätzung der deutschen
IT-Sicherheitsbehörde BSI noch keine unmittelbaren Folgen für die
Verbraucher.
"Handys und iPads sind davon bisher nicht betroffen, das muss man ganz klar sagen", sagte der Präsident des Bundesamtes für Sicherheit in der Informationstechnik (BSI), Arne Schönbohm, heute in Bonn. Betroffen seien vielmehr Behörden und Unternehmen und "am Ende der Verbraucher, der diese Dienstleistungen nutzt".
BSI hatte Warnstufe Rot ausgerufen
Weitere Details zur Sicherheitslücke in Servern (Symbolbild)
Bild: picture alliance/dpa | Marijan Murat
Am Wochenende hatte das BSI wegen einer Sicherheitslücke in einer
viel benutzten Bibliothek der Java-Software die Warnstufe Rot
ausgerufen. Die Sicherheitslücke kann dafür sorgen, dass Angreifer
unter Umständen dort Schadprogramme laufen lassen können. Die
Schwachstelle ist auf einige ältere Versionen der Bibliothek mit dem
Namen Log4j beschränkt. Schönbohm untermauerte heute die
Dringlichkeit zum Handeln. Unternehmen und Behörden sollten so
schnell wie möglich Updates durchführen.
Kriminelle seien sehr aktiv. "Wir sehen jetzt schon einen massenhaften Scan." Es finde ein Wettrennen zwischen Angreifern und Verteidigern statt. "Es sind nicht die gezielten Angriffe, sondern es geht darum, flächendeckend dort hineinzukommen und das auszunutzen, sodass man dann drin ist und andere Hintertüren installieren kann, bevor diese Lücke geschlossen ist."
Diese Hintertüren könnten die Kriminellen dann noch lange ausnutzen. Neben den Updates empfahl er den Unternehmen und Behörden, bestimmte Funktionalitäten zu unterbinden, "wodurch die Angriffsmöglichkeit deutlich geringer ist".
Angriffsversuche haben wohl bereits stattgefunden
Auf die Frage, wie viele Firmen denn betroffen seien, sagte Schönbohm: "Das kann man noch nicht sagen, wir sind in einer Phase der Aufbereitung." Seine Behörde stehe im Kontakt mit IT-Sicherheitsbehörden anderer Staaten, etwa von den Niederlanden, Frankreich und auch der USA. Er bestätigte, dass bereits Angriffsversuche stattgefunden hätten, wollte aber keine Einzelheiten nennen.
Nach Erkenntnissen der IT-Sicherheitsfirma F-Secure gelang es Angreifern bereits zum Teil, Erpressungs-Trojaner und Software zum Erstellen von Kryptowährungen auf den Servern zu installieren. "Log4j könnte die kritischste Schwachstelle aller Zeiten sein. Insbesondere, da das Problem herstellerübergreifend besteht", sagte F-Secure-Experte Rüdiger Trost.
Log4j ist eine sogenannte Logging-Bibliothek. Sie ist dafür da, diverse Ereignisse im Server-Betrieb wie in einem Logbuch festzuhalten - zum Beispiel für eine spätere Auswertung von Fehlern. Die Schwachstelle kann schon allein dadurch aktiviert werden, dass in dem Log eine bestimmte Zeichenfolge auftaucht, zum Beispiel durch eine Nachricht. Damit ist sie eher einfach auszunutzen, was Experten in große Sorge versetzte. Zugleich haben die Systeme großer Anbieter meist mehrschichtige Schutzmechanismen.
Ob Computer, Handy oder Tablet - auf vielen elektronischen Helfern sammeln sich viele wichtige persönliche Daten an. Wir zeigen Ihnen, wie Sie sich schützen können.