Alte Owncloud und Nextcloud-Versionen: Parteien und Ministerien nutzen unsichere Cloud-Dienste

Das BSI warnt Organisationen und Parteien vor Schwachstellen in ihren Cloud-Diensten. Viele haben bis heute nicht darauf reagiert. Golem.de konnte entsprechende Warnungen nachvollziehen: Die AfD nutzt ein abgelaufenes Zertifikat für ihre Subdomain, die Grünen sehen einen Dienstleister in der Pflicht.

Artikel von veröffentlicht am
Nextcloud warnte den Cert-Bund vor Schwachstellen in zahlreichen Installationen.
Nextcloud warnte den Cert-Bund vor Schwachstellen in zahlreichen Installationen. (Bild: Nextcloud)

Mehrere Parteien und Ministerien nutzen offenbar alte Versionen von Owncloud und dem inoffiziellen Nachfolger Netxtcloud, um vertrauliche Informationen zu speichern - betroffen sind unter anderem die AfD und die Grünen, auch das Büro der Vereinten Nationen in Genf ist betroffen. Das berichtet Spiegel Online unter Bezug auf Informationen des Bundesamtes für Sicherheit in der Informationstechnik, Nextcloud selbst hat ebenfalls einen Blogpost verfasst.

Stellenmarkt
  1. Tainer:in (m/w/d) - Cloud Systems (AWS, Azure)
    WBS GRUPPE, deutschlandweit (Home-Office)
  2. IT Manager on Duty (m/w/d) für den Engineering IT Service
    Dürr Systems AG, Bietigheim-Bissingen
Detailsuche

Im Falle der AfD wurde nach Angaben des Spiegel ungepatchte Software aus dem Jahr 2013 genutzt, dem Gründungsjahr der Partei. Genauere Angaben macht der Spiegel nicht. Angreifer hätten sich "mit wenigen Tricks Zugang zu den Inhalten der Cloud und zu anderen Servern der Partei" verschaffen können. Golem.de konnte die Warnungen am Beispiel der AfD nachvollziehen, so war zum Beispiel das Sicherheitszertifikat der Partei abgelaufen.

"Stark veraltete Softwareversion"

Auch die Grünen sollen "eine stark veraltete Softwareversion" genutzt haben, die zahlreiche Angriffsflächen biete. Die Partei sieht die Verantwortung dafür bei einem Dienstleister. Denn die Plattform werde von "einem externen Dienstleister betrieben, der auch für die Sicherheit verantwortlich" sei. "Insofern war von unserer Seite keine Reaktion notwendig."

Auf Anfrage von Golem.de sagte Lukas Reschke, bei Nextcloud für den Bereich Security zuständig: "Wir haben Owncloud- und Nextcloud-Instanzen mit unserer Software gegen bekannte Sicherheitslücken getestet und diese Ergebnisse an das Computer Emergency Response Team des Bundes (Cert-Bund) weitergegeben. Wir freuen uns, dass die Behörde die notwendigen Schritte unternommen hat, um Nutzer über die Schwachstellen zu informieren." Bei den getesteten Fehlern handelt es sich also nicht um unbekannte Schwachstellen (0-Day-Exploits), daher empfiehlt Reschke:"Alle Kunden sollten auf die neueste verfügbare Version wechseln."

Golem Akademie
  1. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, Online
  2. Penetration Testing Fundamentals
    23.-24. September 2021, online
  3. IT-Fachseminare der Golem Akademie
    Live-Workshops zu Schlüsselqualifikationen
Weitere IT-Trainings

Das BSI warnt vor der weiteren Verwendung der unsicheren Instanzen, Angreifer könnten Informationen ausspionieren und für Erpressungen nutzen. Weiter heißt es: "Andere Schwachstellen ermöglichen Angreifern die Ausführung beliebigen Programmcodes auf dem Cloud-Server. Dies kann gegebenenfalls zu einer vollständigen Kompromittierung des Systems und dessen Missbrauch für weitere kriminelle Aktivitäten führen", sagte ein BSI-Sprecher Spiegel Online.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Star Wars
Youtuber bekommt für Deep Fakes Job bei Lucasfilm

Mit Deepfakes schafft Shamook überzeugendere Varianten von Star-Wars-Figuren, als es Disney je gelungen ist. Jetzt arbeitet er bei ILM.

Star Wars: Youtuber bekommt für Deep Fakes Job bei Lucasfilm
Artikel
  1. IBM, OpenAI, Volocopter: Das Flugtaxi nimmt jetzt echte Passagiere auf
    IBM, OpenAI, Volocopter
    Das Flugtaxi nimmt jetzt echte Passagiere auf

    Sonst noch was? Was am 28. Juli 2021 neben den großen Meldungen sonst noch passiert ist, in aller Kürze.

  2. Flight Simulator im Benchmark-Test: Sim Update 5 lässt Performance abheben
    Flight Simulator im Benchmark-Test
    Sim Update 5 lässt Performance abheben

    Die Optimierungen bei Bildrate und Speicherbedarf sind derart immens, dass wir kaum glauben können, noch den Flight Simulator zu spielen.
    Ein Test von Marc Sauter

  3. Mass Effect: Mehrheit der Spieler ist galaktisch gut
    Mass Effect
    Mehrheit der Spieler ist galaktisch gut

    Weiblicher oder männlicher Shepard, Gegner leben lassen? EA hat die Entscheidungen in der Legendary Edition von Mass Effect ausgewertet.

tha_specializt 09. Mär 2017

Richtig. Man benötigt schon einen gewissen Intellekt um zu verstehen was ich damit...

mmarcel 07. Mär 2017

Ich hatte jetzt knapp 4 Jahre erst ownCloud und dann nextCloud für mich privat im...

dmark 07. Mär 2017

Passt zur Digitalpolitik der Parteien (bis auf vielleicht die der Piraten).

cpt.dirk 07. Mär 2017

Ob die Server der Pöbel-AfD unsicher sind, ist doch wohl völlig Banane. Passt aber zu...

ICH_DU 06. Mär 2017

Der Wartungsmodus aktiviert sich von alleine sobald du das Update startest... Ich mach...



  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Samsung-Monitore Amazon Exclusive günstiger (u. a. G7 32" QLED Curved WQHD 240Hz 559€) • AKRacing Core EX-Wide SE Gaming-Stuhl 229€ • Thrustmaster TCA Officer Pack Airbus Edition 119,99€ • Flight Simulator Xbox Series X 69,99€ [Werbung]
    •  /