text: IT-Sicherheitslücke "Log4j": BSI ruft Warnstufe Rot aus - dhz.net
  home / Betriebsführung / IT + Digitalisierung / IT-Sicherheitslücke "Log4j": BSI ruft Warnstufe Rot aus
  IT + Digitalisierung	- 13. Dezember 2021
  Höchste Warnstufe für Betriebe und Heimanwender. Eine frisch entdeckte Sicherheitslücke droht, Server im Internet auf breiter Front Angreifern auszuliefern. Hacker könnten die Schwachstelle für Erpressungen nutzen. Was jetzt zu tun ist.
  Systeme abschalten, Verbindungen blockieren: Das BSI rät wegen Log4j zu extremen Maßnahmen. - © Calado - stock.adobe.com
  Eine gefährliche Schwachstelle in einer viel benutzten Server-Software lässt die Alarmglocken bei IT-Experten läuten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) setzte am Samstag seine Warnstufe zu der Sicherheitslücke von Orange auf Rot hoch. Es gebe weltweit Angriffsversuche, die zum Teil erfolgreich gewesen seien, hieß es zur Begründung. "Das Ausmaß der Bedrohungslage ist aktuell nicht abschließend feststellbar", warnte das Amt, das auch für die IT-Sicherheit der Bundesregierung verantwortlich ist.
  Medienberichten zufolge sind beispielsweise der Apple-Speicherdienst iCloud und das Onlinespiel "Minecraft", die Spieleplattform Steam und ein System des Elektroautoherstellers Tesla, aber auch zahlreiche Unternehmensanwendungen betroffen.
  Für Verbraucher seien aktuell noch keine unmittelbaren Folgen zu verzeichnen. "Handys und iPads sind davon bisher nicht betroffen, das muss man ganz klar sagen", sagte BSI-Präsident Arne Schönbohm. Betroffen seien vielmehr Behörden und Unternehmen und "am Ende der Verbraucher, der diese Dienstleistungen nutzt".
  "Leider machen auch Hacker Überstunden"
  Log4j: Was ist das?
  Betriebe sollten Updates unbedingt installieren
  Admins in den Unternehmen sollten ihrerseits dafür sorgen, dass sie ihre IT schnellstmöglich absichern. "Sofern die Hersteller Updates zur Verfügung stellen, sollten diese umgehend installiert werden", empfiehlt das BSI. "Aktuell ist noch nicht bekannt, in welchen Produkten diese Bibliothek eingesetzt wird, was dazu führt, dass zum jetzigen Zeitpunkt noch nicht abgeschätzt werden kann, welche Produkte von der Schwachstelle betroffen sind", schränkt das Amt ein.
  Um sich akut zu schützen, empfiehlt die Behörde, nicht zwingend benötigte Systeme abzuschalten, Netzwerke zu segmentieren, um verwundbare Systeme zu isolieren und soweit wie möglich etwa durch den Einsatz von Proxies in HTTP-Headern Inhalte durch statische Werte überschreiben zu lassen. Außerdem sollte auf Systemen, die unabdingbar für Geschäftsprozesse sind und nicht abgeschaltet werden können, ein umfangreiches Logging erfolgen und auch ein- sowie ausgehende Verbindungen protokolliert werden, um im Nachgang leichter herausfinden zu können, ob ein System kompromittiert wurde.
  Die Schwachstelle rückt auch abermals ein bekanntes Problem der Tech-Industrie in den Mittelpunkt: Open-Source-Software wie Log4j wird von kleinen Programmierer-Teams entworfen und gepflegt, die dafür oft gar nicht bezahlt werden. Dann wird sie aber als kostengünstige Lösung von großen Unternehmen übernommen. Open-Source-Software gilt zwar grundsätzlich als sicher, weil ihr Quellcode öffentlich ist und von allen geprüft werden kann - manche Fehler werden dennoch übersehen. dpa/fre