Abo
  • Services:

Bundesrechtsanwaltskammer: Anwälte sollen BeA sofort deinstallieren

Wer die Software für das Besondere elektronische Anwaltspostfach installiert hat, sollte diese so schnell wie möglich entfernen. Der BeA-Client ist von einer Java-Deserialisierungslücke betroffen, über die bösartige Webseiten Code ausführen und einen Rechner übernehmen können.

Artikel veröffentlicht am , Hanno Böck
Die BeA-Software kommt nicht zur Ruhe - jetzt empfiehlt die Bundesrechtsanwaltskammer, die bisherige Version erstmal zu deinstallieren.
Die BeA-Software kommt nicht zur Ruhe - jetzt empfiehlt die Bundesrechtsanwaltskammer, die bisherige Version erstmal zu deinstallieren. (Bild: BRAK / Collage: Hanno Böck)

Die Software für das Besondere elektronische Anwaltspostfach (BeA) hat eine weitere gravierende Sicherheitslücke, die Bundesrechtsanwaltskammer empfielt daher nun allen Anwälten, die BeA-Software zu deaktivieren. Das wurde heute im Rahmen des sogenannten BeAthon bekannt, einer Veranstaltung, zu der die Bundesrechtsanwaltskammer externe Sicherheitsexperten und Vertreter von diversen Rechtsanwaltsorganisationen eingeladen hatte. Die Lücke ist völlig unabhängig von dem Problem, das kurz vor Weihnachten zur Abschaltung des Anwaltspostfachs geführt hat.

Stellenmarkt
  1. HALLESCHE Krankenversicherung auf Gegenseitigkeit, Stuttgart
  2. ANSYS Germany GmbH, Darmstadt (near Frankfurt/Main), Otterfing (near Munich)

Markus Drenger vom Chaos Computer Club Darmstadt erläuterte auf dem BeAthon das Problem. Demnach ist die BeA-Software von einer sogenannten Java-Deserialisierungslücke betroffen. Die Software öffnet lokal auf dem Rechner einen HTTPS-Server, zu dem auch Webseiten über Websockets eine Verbindung aufbauen können.

Java-Deserialisierungslücke ermöglicht Codeausführung

Dieser lokale HTTPS-Server verarbeitet empfangene Objekte mit der Java-Bibliothek Jackson, die von dieser Sicherheitslücke betroffen ist. Durch eine trickreiche Konstruktion einer Anfrage ist es möglich, die Software dazu zu bringen, Code auszuführen. Damit kann ein Angreifer dann nach Belieben Software auf dem Rechner des Anwalts starten und beispielsweise vorhandene Daten kopieren oder verändern.

Die Bundesrechtsanwaltskammer empfiehlt nun selbst allen Rechtsanwälten, die Software schnellstmöglich zu deinstallieren oder aus der Autostart-Funktion von Windows zu entfernen. Markus Drenger hatte nach eigenen Angaben die Rechtsanwaltskammer bereits am 20. Dezember über die Sicherheitslücke informiert.

Rechtsanwaltskammer wusste bisher nicht, wie schwerwiegend diese Lücke ist

Ein Vertreter des Vorstandes der Bundesrechtsanwaltskammer war über Drengers Darstellung überrascht. Demnach hatte Atos die Kammer nicht darüber informiert, wie schwerwiegend diese Lücke ist.

Zunächst gab es Unklarheit darüber, ob die Lücke nach wie vor aktiv ist. Die Rechtsanwaltskammer hatte noch während des BeAthon den Hersteller Atos kontaktiert. Von Atos war kein Vertreter vor Ort, die Firma hatte kurzfristig ihre Teilnahme abgesagt.

Laut Atos startet der BeA-Client überhaupt nicht, da zur Zeit das BeA-Serversystem nicht aktiv ist. Damit wäre die genannte Lücke kein Problem. Markus Drenger konnte sich aber auf einem Testsystem nach wie vor mit dem lokalen Server verbinden. Die Rechtsanwaltskammer entschied sich, auf Nummer sicher zu gehen, und warnt nun ihre Mitglieder offiziell vor ihrer eigenen Software.

Einen ausführlichen Bericht über den BeAthon und über die anderen dort diskutierten Sicherheitsprobleme wird Golem.de am Montag veröffentlichen.



Anzeige
Spiele-Angebote
  1. 54,99€ mit Vorbesteller-Preisgarantie (Release 05.10.)
  2. 2,99€
  3. 31,49€

LinkZwoDreiVier 05. Feb 2018

Hallo, der Governikus Communicater, hat ein "Sicherheitsupdate" bekommen. Da die Firma...

M.P. 29. Jan 2018

Die Süddeutsche titelte schon vor 6 Monaten Elektronische Gesundheitskarte offenbar vor...

bombinho 29. Jan 2018

Das faengt doch schon mit simplen Dingen an, dass zum Beispiel standardmaessig...

ML82 28. Jan 2018

"not inventet here" ist kein prinzip sondern ein syndrom.

bombinho 28. Jan 2018

saemtliche anwaltliche Kommunikation ueber einen Onlinekanal zu buendeln und zum Schutz...


Folgen Sie uns
       


Reflections Raytracing Demo (RTX 2080 Ti vs. GTX 1080 Ti)

Wir haben die Reflections Raytracing Demo auf einer Nvidia Geforce RTX 2080 Ti und auf einer GTX 1080 Ti ablaufen lassen.

Reflections Raytracing Demo (RTX 2080 Ti vs. GTX 1080 Ti) Video aufrufen
Athlon 200GE im Test: Celeron und Pentium abgehängt
Athlon 200GE im Test
Celeron und Pentium abgehängt

Mit dem Athlon 200GE belebt AMD den alten CPU-Markennamen wieder: Der Chip gefällt durch seine Zen-Kerne und die integrierte Vega-Grafikeinheit, die Intel-Konkurrenz hat dem derzeit preislich wenig entgegenzusetzen.
Ein Test von Marc Sauter

  1. AMD Threadripper erhalten dynamischen NUMA-Modus
  2. HP Elitedesk 705 Workstation Edition Minitower mit AMD-CPU startet bei 680 Euro
  3. Ryzen 5 2600H und Ryzen 7 2800H 45-Watt-CPUs mit Vega-Grafik für Laptops sind da

Mobile-Games-Auslese: Bezahlbare Drachen und dicke Bären
Mobile-Games-Auslese
Bezahlbare Drachen und dicke Bären

Rundenbasierte Strategie auf dem Smartphone mit Chaos Reborn Adventure Fantasy von Nintendo in Dragalia Lost - und dicke Alpha-Bären: Die Mobile Games des Monats bieten spannende Unterhaltung für jeden Geschmack.
Von Rainer Sigl

  1. Mobile-Games-Auslese Städtebau und Lebenssimulation für unterwegs
  2. Mobile-Games-Auslese Barbaren und andere knuddelige Fantasyhelden
  3. Seismic Games Niantic kauft Entwickler von Marvel Strike Force

MacOS Mojave im Test: Mehr als nur dunkel
MacOS Mojave im Test
Mehr als nur dunkel

Wer MacOS Mojave als bloßes Designupdate sieht, liegt falsch. Neben Neuerungen wie dem Dark Mode bringt Apples neues Betriebssystem vieles, was die Produktivität der Nutzer steigern kann - sofern sie sich darauf einlassen.
Ein Test von Andreas Donath

  1. MacOS Mojave Lieber warten mit dem Apple-Update
  2. Apple Öffentliche Beta von MacOS Mojave 10.14 verfügbar
  3. MacOS 10.14 Mojave Apple verabschiedet OpenGL und verbessert Machine Learning

    •  /