• IT-Karriere:
  • Services:

Sicherheitslücken: Sechs Bundesbehörden von Exchange-Zero-Days betroffen

Mehrere Bundesbehörden wurden gehackt. Insgesamt sind in Deutschland noch mindestens 26.000 Exchange-Server verwundbar.

Artikel veröffentlicht am , / dpa
In Deutschland gibt es viele ungepatchte Exchange Server.
In Deutschland gibt es viele ungepatchte Exchange Server. (Bild: Trang Le/Pixabay)

Von den breit angelegten Angriffen auf E-Mail-Server mit Microsoft Exchange sind nach Angaben des Bundesamtes für Sicherheit in der Informationstechnik (BSI) auch sechs Bundesbehörden betroffen. "Dabei ist es in vier Fällen zu einer möglichen Kompromittierung gekommen", heißt es in einer Sicherheitswarnung. Um welche Einrichtungen es sich handelt, wollte das BSI nicht öffentlich sagen. Man habe den betroffenen Behörden Hilfe angeboten und sei auch schon in einzelnen Fällen aktiv.

Stellenmarkt
  1. astora GmbH, Kassel
  2. Bundesamt für Sicherheit in der Informationstechnik, Bonn

Das BSI hatte am vergangenen Freitag eine erste Sicherheitswarnung veröffentlicht. "Betroffen sind Organisationen jeder Größe", hieß es darin. Bei 9.000 Unternehmen und anderen Institutionen schätzte das Bundesamt die Bedrohung durch die Eindringlinge, die diese Lücke bereits seit Anfang Januar ausnutzen, so hoch ein, dass diese per Briefpost vor der Gefahr gewarnt wurden.

Etliche E-Mail-Server in Deutschland sind noch nicht gepatcht

Insgesamt werden laut dem CERT-Bund, das dem BSI angegliedert ist, 63.000 Exchange Server in Deutschland betrieben. "Davon sind [Stand 8. März] mindestens 26.000 für die aktuellen kritischen Schwachstellen (CVE-2021-26855 et al.) verwundbar, potenziell bis zu 58.000 Systeme", schreibt das CERT-Bund auf Twitter. Demnach werden die 26.000 Systeme mit veralteten Exchange-Builds betrieben, für die es gar kein Sicherheitsupdate für die Proxylogon genannten Zero Days gibt. Es ist nicht unwahrscheinlich, dass diese weitere Sicherheitslücken enthalten.

Deutsche Unternehmen sind nach Einschätzung der Sicherheitsfirma F-Secure im internationalen Vergleich überdurchschnittlich stark von den Microsoft-Exchange-Lücken betroffen, weil sie Exchange im eigenen Haus oder angemieteten Rechenzentren selbst betreiben. Die dabei verwendeten Exchange-Server-Versionen 2013, 2016 und 2019 sowie die eigentlich nicht mehr unterstützte Version 2010 waren alle von den Sicherheitslücken betroffen. Dabei wurden die Sicherheitsupdates oft nicht zeitnah eingespielt.

Microsoft wusste schon seit zwei Monaten von den Zero Days

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    31. Mai - 1. Juni 2021, online
Weitere IT-Trainings

Selbst mit dem umgehenden Einspielen der Patches konnte es schon zu spät sein: Die Angriffe laufen seit mindestens Anfang Januar und wurden noch vor Veröffentlichung der Patches am 2. März deutlich ausgeweitet. Mit den Patches und der damit verbundenen Warnung legten die Eindringlinge noch einmal nach. Microsoft wusste bereits seit Anfang Januar von den Sicherheitslücken, wollte diese ursprünglich jedoch erst am 9. März beheben.

Allein in den USA sollen 30.000 Exchange Server gehackt worden sein. Der ehemalige Direktor der Cybersecurity and Infrastructure Security Agency Chris Krebs geht jedoch von deutlich höheren Zahlen aus. Weltweit dürften Hunderttausende Server betroffen sein. Verantwortlich für die Angriffe soll eine chinesische Hackergruppe sein, die Microsoft Hafnium nennt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. 179€ (Bestpreis)
  2. (u. a. Rocketman für 8,99€, Ready Player One für 8,79€, Atomic Blondie für 9,49€)
  3. (u. a. EA Promo (u. a. Unravel für 8,99€, Anthem für 8,99€), Tiny and Big: Grandpa's...
  4. 709€ (Bestpreis)

phade 10. Mär 2021 / Themenstart

Das geht nicht nur seit letztem Mittwoch um. Das Cert hat schon vor Monaten alle...

AllDayPiano 09. Mär 2021 / Themenstart

Wir setzen immerhin IBM Notes ein. Was das bedeutet brauche ich hier nicht zu erklären.

Kommentieren


Folgen Sie uns
       


Gaming auf dem Chromebook ausprobiert

Wir haben uns Spielestreaming und natives Gaming auf dem Chromebook angesehen.

Gaming auf dem Chromebook ausprobiert Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /