Mindestens 42 Prozent: Tausende deutsche Exchange-Server sind laut BSI angreifbar
Erst vor drei Monaten hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) darauf hingewisen , dass Tausende von Exchange-Servern in Deutschland angreifbar sind.
Nun warnt die Behörde erneut über das X-Konto des Cert-Bund(öffnet im neuen Fenster) : Hierzulande seien nach Stand vom 18. Juni noch immer mindestens 42 Prozent aller Exchange-Server mit offenem Outlook Web Access (OWA) anfällig für mindestens eine bekannte RCE-Schwachstelle.
Die Zahl der verwundbaren Server scheint sich damit sogar vergrößert zu haben. Während das BSI im März noch von mindestens 17.000 angreifbaren Exchange-Servern sprach, sind es der neuen Meldung nach rund 18.000 Systeme. Allerdings wurde mit CVE-2024-26198(öffnet im neuen Fenster) in der Zwischenzeit auch eine neue Sicherheitslücke in die Beobachtung mit aufgenommen.
Viele Systeme trotz verfügbarer Patches ungeschützt
Nach Angaben des Cert-Bund laufen noch immer rund 11 Prozent aller online erreichbaren Exchange-Server mit einer der nicht mehr unterstützten Exchange-Versionen 2010 oder 2013. Im März gab das BSI diesbezüglich noch einen Prozentpunkt mehr an. Diese Systeme erhalten generell keine Sicherheitsupdates mehr und bleiben folglich dauerhaft aus der Ferne angreifbar, solange sie nicht vom Netz genommen oder auf eine neuere Version aktualisiert werden.
Hinzu kommen weitere 34 Prozent aller auf den aktuell unterstützten Versionen 2016 und 2019 basierenden Exchange-Server, die laut Cert-Bund anfällig für mindestens eine bekannte Schwachstelle sind, die Angreifern eine Codeausführung aus der Ferne (RCE) ermöglicht - und das, obwohl "seit längerer Zeit Patches bereitstehen" .
Insgesamt 80 Prozent aller deutschen Exchange-Server sind potenziell anfällig für die kritische Sicherheitslücke CVE-2024-21410(öffnet im neuen Fenster) , die es Angreifern ermöglicht, ihre Rechte auf einem Zielsystem auszuweiten. Das BSI betonte schon im März, man könne nicht mit Sicherheit feststellen, welche Systeme vor dieser im Februar 2024 bekannt gewordenen Schwachstelle geschützt seien. Nur die jeweiligen Serverbetreiber könnten dies zuverlässig einschätzen.
Nur 20 Prozent aller Exchange-Systeme sind aktuell
Serverbetreibern wird dringend empfohlen, auf aktuelle Exchange-Versionen zu aktualisieren, von Microsoft bereitgestellte Patches möglichst zeitnah einzuspielen und webbasierte Exchange-Dienste wie OWA grundsätzlich nicht offen über das Internet erreichbar zu machen. Nur 20 Prozent aller in Deutschland betriebenen Exchange-Server mit offenem OWA sind nach Angaben des Cert-Bund auf einem aktuellen Patch-Stand.
Angreifer können bekannte Sicherheitslücken in Exchange beispielsweise ausnutzen, um Schadsoftware einzuschleusen, Ransomwareangriffe durchzuführen oder Cyberspionage zu betreiben.