Abo
  • Services:

Alte Owncloud und Nextcloud-Versionen: Parteien und Ministerien nutzen unsichere Cloud-Dienste

Das BSI warnt Organisationen und Parteien vor Schwachstellen in ihren Cloud-Diensten. Viele haben bis heute nicht darauf reagiert. Golem.de konnte entsprechende Warnungen nachvollziehen: Die AfD nutzt ein abgelaufenes Zertifikat für ihre Subdomain, die Grünen sehen einen Dienstleister in der Pflicht.

Artikel von veröffentlicht am
Nextcloud warnte den Cert-Bund vor Schwachstellen in zahlreichen Installationen.
Nextcloud warnte den Cert-Bund vor Schwachstellen in zahlreichen Installationen. (Bild: Nextcloud)

Mehrere Parteien und Ministerien nutzen offenbar alte Versionen von Owncloud und dem inoffiziellen Nachfolger Netxtcloud, um vertrauliche Informationen zu speichern - betroffen sind unter anderem die AfD und die Grünen, auch das Büro der Vereinten Nationen in Genf ist betroffen. Das berichtet Spiegel Online unter Bezug auf Informationen des Bundesamtes für Sicherheit in der Informationstechnik, Nextcloud selbst hat ebenfalls einen Blogpost verfasst.

Stellenmarkt
  1. Beckhoff Automation GmbH & Co. KG, Verl
  2. Bosch Gruppe, Grasbrunn

Im Falle der AfD wurde nach Angaben des Spiegel ungepatchte Software aus dem Jahr 2013 genutzt, dem Gründungsjahr der Partei. Genauere Angaben macht der Spiegel nicht. Angreifer hätten sich "mit wenigen Tricks Zugang zu den Inhalten der Cloud und zu anderen Servern der Partei" verschaffen können. Golem.de konnte die Warnungen am Beispiel der AfD nachvollziehen, so war zum Beispiel das Sicherheitszertifikat der Partei abgelaufen.

"Stark veraltete Softwareversion"

Auch die Grünen sollen "eine stark veraltete Softwareversion" genutzt haben, die zahlreiche Angriffsflächen biete. Die Partei sieht die Verantwortung dafür bei einem Dienstleister. Denn die Plattform werde von "einem externen Dienstleister betrieben, der auch für die Sicherheit verantwortlich" sei. "Insofern war von unserer Seite keine Reaktion notwendig."

Auf Anfrage von Golem.de sagte Lukas Reschke, bei Nextcloud für den Bereich Security zuständig: "Wir haben Owncloud- und Nextcloud-Instanzen mit unserer Software gegen bekannte Sicherheitslücken getestet und diese Ergebnisse an das Computer Emergency Response Team des Bundes (Cert-Bund) weitergegeben. Wir freuen uns, dass die Behörde die notwendigen Schritte unternommen hat, um Nutzer über die Schwachstellen zu informieren." Bei den getesteten Fehlern handelt es sich also nicht um unbekannte Schwachstellen (0-Day-Exploits), daher empfiehlt Reschke:"Alle Kunden sollten auf die neueste verfügbare Version wechseln."

Das BSI warnt vor der weiteren Verwendung der unsicheren Instanzen, Angreifer könnten Informationen ausspionieren und für Erpressungen nutzen. Weiter heißt es: "Andere Schwachstellen ermöglichen Angreifern die Ausführung beliebigen Programmcodes auf dem Cloud-Server. Dies kann gegebenenfalls zu einer vollständigen Kompromittierung des Systems und dessen Missbrauch für weitere kriminelle Aktivitäten führen", sagte ein BSI-Sprecher Spiegel Online.



Anzeige
Spiele-Angebote
  1. 42,49€
  2. (-79%) 4,25€
  3. 19,99€
  4. 25,49€

tha_specializt 09. Mär 2017

Richtig. Man benötigt schon einen gewissen Intellekt um zu verstehen was ich damit...

mmarcel 07. Mär 2017

Ich hatte jetzt knapp 4 Jahre erst ownCloud und dann nextCloud für mich privat im...

dmark 07. Mär 2017

Passt zur Digitalpolitik der Parteien (bis auf vielleicht die der Piraten).

cpt.dirk 07. Mär 2017

Ob die Server der Pöbel-AfD unsicher sind, ist doch wohl völlig Banane. Passt aber zu...

ICH_DU 06. Mär 2017

Der Wartungsmodus aktiviert sich von alleine sobald du das Update startest... Ich mach...


Folgen Sie uns
       


Golem.de besucht Pininfarina (Reportage)

Golem.de hat bei Pininfarina in Turin hinter die Kulissen geschaut und sich mit den Designern des Elektrosportwagens PF0 unterhalten.

Golem.de besucht Pininfarina (Reportage) Video aufrufen
Yuneec H520: 3D-Modell aus der Drohne
Yuneec H520
3D-Modell aus der Drohne

Multikopter werden zunehmend auch kommerziell verwendet. Vor allem machen die Drohnen Luftbilder und Inspektionsflüge und vermessen. Wir haben in der Praxis getestet, wie gut das mit dem Yuneec H520 funktioniert.
Von Dirk Koller


    Drahtlos-Headsets im Test: Ohne Kabel spielt sich's angenehmer
    Drahtlos-Headsets im Test
    Ohne Kabel spielt sich's angenehmer

    Sie nerven und verdrehen sich in den Rollen unseres Stuhls: Kabel sind gerade bei Headsets eine Plage. Doch gibt es so viele Produkte, die darauf verzichten können. Wir testen das Alienware AW988, das Audeze Mobius, das Hyperx Cloud Flight und das Razer Nari Ultimate - und haben einen Favoriten.
    Ein Test von Oliver Nickel

    1. Sieben Bluetooth-Ohrstöpsel im Test Jabra zeigt Apple, was den Airpods fehlt
    2. Ticpods Free Airpods-Konkurrenten mit Touchbedienung kosten 80 Euro
    3. Bluetooth-Ohrstöpsel im Vergleichstest Apples Airpods lassen hören und staunen

    Machine Learning: Wie Technik jede Stimme stehlen kann
    Machine Learning
    Wie Technik jede Stimme stehlen kann

    Ein Unternehmen aus Südkorea arbeitet daran, Stimmen reproduzierbar und neu generierbar zu machen. Was für viele Branchen enorme Kosteneinsparungen bedeutet, könnte auch eine neue Dimension von Fake News werden.
    Ein Bericht von Felix Lill

    1. AWS Amazon bietet seine Machine-Learning-Tutorials kostenlos an
    2. Random Forest, k-Means, Genetik Machine Learning anhand von drei Algorithmen erklärt
    3. Machine Learning Amazon verwirft sexistisches KI-Tool für Bewerber

      •  /