Neue Sicherheitslücke:

Das große Microsoft-Risiko

Maximilian Sachse

Ein Kommentar von Maximilian Sachse

Lesezeit:  Min.

Microsofts französische Zentrale in einem Vorort von Paris

Fehler passieren, hundertprozentige Cybersicherheit gibt es nicht. Aber die ständigen IT-Sicherheitspannen von Microsoft haben strukturelle Gründe. Unternehmen und vor allem Behörden sollten das endlich berücksichtigen.

- Anhören

- Merken

- Teilen

- Drucken

Eine neu entdeckte Schwachstelle im Microsoft-Programm Sharepoint versetzt IT-Sicherheitsfachleute in Alarmbereitschaft. Offenbar sind Hacker durch die Sicherheitslücke schon in die Systeme „Dutzender“ Organisationen eingedrungen, sowohl von Behörden als auch von Unternehmen. Microsoft bestätigte das Problem. Für die deutsche Wirtschaft und Politik sollte das ein Weckruf sein.

Denn es ist zum wiederholten Male Microsoft, das mit einer Sicherheitslücke auffällt. Vor fast genau zwei Jahren erlangten mutmaßlich staatliche chinesische Hacker Zugang zu den Microsoft-E-Mail-Konten zahlreicher Regierungseinrichtungen in Westeuropa und den Vereinigten Staaten, unter ihnen mutmaßlich das US-Außenministerium. Für Microsoft war das ein GAU in Sachen Cybersicherheit. Seine E-Mail-Software Exchange war schon mehrfach das Ziel von Angriffen, 2021 nutzten Hacker massenhaft eine Lücke aus.

Fehler passieren, auch wenn sie im IT-Sicherheitskontext besonders heikel sind. Das amerikanische Software-Unternehmen Crowdstrike legte im vergangenen Jahr durch ein fehlerhaftes Update die halbe Wirtschaft lahm. Trotzdem blieb die sehr beliebte Sicherheitssoftware des Unternehmens wegen ihres eigentlich guten Rufs danach gefragt.

Strukturelle Gründe für Anfälligkeit

Die regelmäßige Anfälligkeit von Microsoft hat aber strukturelle Gründe. Wegen der großen Durchdringung der weltweiten IT-Landschaften mit Microsoft-Produkten ist der US-Konzern für Hacker ein besonders attraktives Ziel. Schließlich verschafft nur eine Schwachstelle womöglich Zugang zu vielen interessanten Spionage- und Sabotagezielen: Office-Produkte kommen in fast allen größeren Organisationen zum Einsatz, einschließlich deutscher Behörden. IT-Sicherheitsfachleute warnen seit Jahren vor den Gefahren einer „Software-Monokultur“. Es ist ein wenig wie in der Forstwirtschaft: Mischwälder sind weniger anfällig für Schädlinge als Monokulturen.

Insbesondere deutsche Behörden, aber auch Unternehmen sollten das endlich stärker in der Beschaffung berücksichtigen. Denn es gibt in vielen Bereichen Alternativen zu Microsoft, sogar aus Europa. Die leiden allerdings unter dem Henne-Ei-Problem: Weil sie nicht so groß sind wie Microsoft, zögern die Verantwortlichen in Unternehmen und Behörden, sie einzusetzen. Und weil sie nicht so oft eingesetzt werden, bleiben sie verhältnismäßig klein. „Niemand wurde je gefeuert, weil er IBM einkaufte“, hieß es früher mal in der IT-Branche. Heute gilt das für Microsoft.

Bundesverwaltung stark abhängig von Microsoft

Die deutsche Politik hat das zwar in der Theorie auf dem Schirm, in der Praxis hat sich aber wenig getan. Schon im Jahr 2019 kam eine vom Bundesinnenministerium beauftragte Studie des Beratungskonzerns PwC zu dem Schluss, dass die Bundesverwaltung „in allen Schichten des Software-Stacks von wenigen Software-Anbietern stark abhängig“ sei. Das gelte insbesondere für die eng verknüpfte Microsoft-Produktpalette: 96 Prozent aller unmittelbaren Behörden nutzten Office und das Betriebssystem Windows, 69 Prozent das Server-Betriebssystem Windows Server. Die Kosten für Microsoft-Lizenzgebühren sind in den vergangenen Jahren gestiegen: 2017 lagen sie noch bei 74 Millionen Euro, 2023 bei 197,7 Millionen Euro.

Mehr zum Thema

- Microsoft-Sicherheitslücke

„Es ist eine bedeutende Schwachstelle“

- Cybersicherheit

Jedes siebte Unternehmen wurde von Hackern angegriffen

- Gefahren im Cyberraum

Digitale Souveränität ist lebenswichtig

Eine Diversifizierung ist dringend geboten. Gute Ansätze gibt es: Schleswig-Holstein treibt etwa sehr ehrgeizig den Umstieg von Windows auf ein Linux-basiertes System voran. Das bundeseigene Zentrum für Digitale Souveränität (ZenDiS) bündelt die bestehenden Einzellösungen privater Anbieter quelloffener Software und passt sie für Verwaltungszwecke an. Das macht den Einkauf und Einsatz quelloffener Software erheblich einfacher. Mit dem Bürosoftware-Paket „openDesk“ gibt es ein erstes Angebot, das offenbar gut angenommen wird, aber dennoch noch am Anfang steht. Die Bundes-GmbH kämpft immer wieder um ihr Budget, im April hat das zuständige Bundesinnenministerium dann auch noch die zuständige Geschäftsführerin Jutta Horstmann geschasst.

Man sollte sich keine Illusionen machen: Deutschlands Bemühungen, die Abhängigkeit von Microsoft-Systemen zu reduzieren, stehen noch ganz am Anfang. Viele Fachverfahren in Verwaltungen sind darauf ausgerichtet und speziell für sie entwickelt. Das zu ändern, geht nicht von heute auf morgen. Eine Entschuldigung fürs Nichtstun ist das aber nicht.

Microsoft-Schwachstelle:

Wie gefährlich ist „ToolShell“?

Von

Maximilian Sachse

Lesezeit:  Min.

Oft im Visier von Hackern: der Software-Konzern Microsoft

Eine Schwachstelle im Microsoft-Programm Sharepoint ruft Hacker auf den Plan. Tausende Organisationen könnten betroffen sein. Die wichtigsten Fragen und Antworten.

- Zusammenfassung

- Anhören

- Merken

- Teilen

- Drucken

Der amerikanische Softwarekonzern Microsoft hat am Wochenende eine Warnung vor einer gefährlichen Kombination von Sicherheitslücken namens „ToolShell“ in seinem Datenaustausch-Programm Sharepoint herausgegeben. Sie ermöglichen es Angreifern zum einen, aus der Ferne an allen sonstigen Sicherheitsmaßnahmen vorbei schädlichen Code auszuführen, und zum anderen sogenanntes „Spoofing“. Dabei können Angreifer in den IT-Systemen eine falsche Identität vortäuschen, um so an sensible Daten zu gelangen oder die Systeme zu manipulieren. Betroffen seien nur Sharepoint-Server, die von den Organisationen selbst betrieben werden, erklärte Microsoft weiter. Die Cloud-Version Sharepoint Online in Microsoft 365 sei nicht Teil der aktuellen Probleme. Erste Hinweise auf die Attacken gab es am Freitag.

Wie gravierend ist die Sicherheitslücke?

In Deutschland wies das zuständige Bundesamt für Sicherheit in der Informationstechnik in einem Sicherheitshinweis der Bedrohungsstufe Drei „Sehr hoch“ auf die Lücke hin. Microsofts Sharepoint-Server seien schon in der Vergangenheit Ziel von Cyberangriffen gewesen, weil sie wegen ihrer weiten Verbreitung und häufigen Verbindungen zu weiteren Microsoft-Diensten wie Outlook oder Teams attraktive Ziele seien. Auf der Branchenskala CVSS (Common Vulnerability Scoring System), die den Schweregrad einer Sicherheitslücke darstellt, erreicht eine der Lücken den Wert 9,8 von 10.

War die Schwachstelle bekannt?

Es geht um eine sogenannte „Zero-Day“-Schwachstelle. Diese sind dem Anbieter unbekannt, weshalb er seine Nutzer nicht vor ihnen schützen kann. Allerdings handelt es sich offenbar um abgewandelte Varianten von Sicherheitslücken, die Fachleute während des Hackerwettbewerbs „pwn2Own“ dieses Jahr in Berlin schon aufgedeckt hatten. Microsoft hatte diese Schwachstellen eigentlich Anfang des Monats in einem Update geschlossen. Offenbar haben Angreifer aber einen Weg gefunden, diesen sogenannten „Patch“ (zu Deutsch: Flicken oder Pflaster) zu umgehen. Ein Sicherheitsteam des deutschen Unternehmens Code White aus Ulm demonstrierte schon vor dem vergangenen Wochenende in einem Beitrag auf der Plattform X, wie das gelingen könnte. Wer hinter den Angriffen steckt, ist noch nicht bekannt.

Wer ist betroffen?

Die renommierten IT-Sicherheitsunternehmen Palo Alto Networks und Mandiant berichten, dass Angreifer über das Wochenende schon in zahlreiche Unternehmen und Regierungseinrichtungen eingedrungen seien. In den Vereinigten Staaten seien Server von zwei Bundesbehörden erfolgreich angegriffen worden, schrieb die „Washington Post“ unter Berufung auf Fachleute. Die Zeitung verriet allerdings nicht, um welche Organisationen es konkret gehen soll.

Die Shadowserver Foundation, ein auf Freiwilligen basierendes Netzwerk von IT-Sicherheitsspezialisten, fand auf Anhieb rund 9300 über das Internet erreichbare Sharepoint-Server, mehr als 320 davon in Deutschland. Mehr als 85 dieser Instanzen sollen weltweit schon kompromittiert sein. Die Dunkelziffer dürfte deutlich höher sein. Denn Hacker können prinzipiell nicht nur die öffentlich ansteuerbaren Server attackieren. Haben sie ohnehin über andere Angriffe die Firewall geknackt, können sie sich im System zu den betroffenen Sharepoint-Servern weiterbewegen und dort jede Menge Schaden anrichten.

Aus hiesigen IT-Sicherheitskreisen ist zu hören, dass auch deutsche Unternehmen betroffen sind – wahrscheinlich sogar überproportional, weil hierzulande ein vergleichsweise geringer Anteil der Unternehmen in der Cloud ist und viele Unternehmen noch eigene Server betreiben. „Wir sehen derzeit Aktivitäten in mehreren europäischen Ländern, darunter auch Deutschland“, sagt Mohammad Kazem Hassan Nejad vom IT-Sicherheitsunternehmen With Secure. Die bisherigen Fälle zeigten, dass das Angriffsmuster gezielt sei, aber die Zahl betroffener Unternehmen aktuell noch begrenzt. „Die Lage ist dennoch dynamisch, weitere Akteure könnten mit neuen Exploits kurzfristig auf die Lücke aufspringen.“

Was können die Hacker anrichten?

Der Zugang zu den Servern eröffne die Möglichkeit, Daten zu stehlen und Passwörter abzugreifen, warnte das niederländische Unternehmen Eye Security , das die Ausnutzung der Schwachstelle als erstes entdeckt hat. Noch schwerwiegender ist die Erkenntnis, dass Angreifer auch digitale Schlüssel stehlen können, mit denen sie sich später wieder Zugang zu den Computersystemen verschaffen können – und zwar auch, wenn die ursprüngliche Schwachstelle schon beseitigt wurde.

Wie sollten Betroffene handeln?

Microsoft hat inzwischen Updates veröffentlicht, die die Sicherheitslücken zumindest teilweise beheben sollen. Der Konzern empfahl seinen Kunden, die Patches umgehend zu installieren. Wenn Kunden den empfohlenen Malware-Schutz nicht aktivieren könnten, sollten sie ihre Server vom Internet trennen, bis ein Sicherheitsupdate verfügbar ist. „Der erste Schritt ist immer patchen“, sagt auch Ashkan Vila, der das deutsche Geschäft von Eye Security verantwortet, im Gespräch mit der F.A.Z. Als nächstes sollten Unternehmen prüfen, ob prinzipiell alle Nutzer auf alle Daten Zugriff haben. „Durch spezifische Zugriffsrechte lässt sich sicherstellen, dass ein gehackter Rezeptionistenaccount nicht im kompletten Netzwerk spazieren gehen darf“, sagt Vila. Beim Verdacht einer Kompromittierung sollten anfällige Sharepoint-Server sofort abgeschaltet werden. Es reiche nicht aus, nur den Patch zu installieren, warnt auch Mandiant. Es sei ratsam, von einer Kompromittierung auszugehen und entsprechende Abhilfemaßnahmen zu ergreifen.

Was machen die Behörden?

Microsoft stimmt sich für seine Reaktion mit mehreren US-Behörden ab, darunter auch das Cyber-Kommando des Verteidigungsministeriums. Das FBI teilte am Sonntag mit, es arbeite wegen der Attacken eng mit verschiedenen Behörden und Unternehmen zusammen. Einzelheiten nannte das FBI zunächst nicht. Die amerikanische IT-Sicherheitsbehörde CISA rief betroffene staatliche Stellen und Unternehmen zu schnellem Handeln auf. Auch kanadische und australische Behörden leiteten Untersuchungen zu dem Vorfall ein.

Gibt es Kritik an Microsoft?

Ja. Zwar heißt es aus IT-Sicherheitskreisen, dass Microsoft im aktuellen Fall sehr schnell reagiert habe. Aber es ist nicht das erste Mal, dass der Konzern mit einer Sicherheitslücke Schlagzeilen macht. 2023 konnten sich mutmaßlich chinesische Hacker Zugang zu US-Regierungsdaten verschaffen, indem sie einen sogenannten Signaturschlüssel entwendeten und sich mit seiner Hilfe eigene Zugangsberechtigungs-Token zu den Outlook-E-Mail-Konten wichtiger Behörden ausstellten. Microsofts E-Mail-Software Exchange war schon mehrfach das Ziel von Cyberattacken.

Mehr zum Thema

- Neue Sicherheitslücke

Diese Sicherheitslücke ist ein Weckruf

- Cybersicherheit

Jedes siebte Unternehmen wurde von Hackern angegriffen

- Gefahren im Cyberraum

Digitale Souveränität ist lebenswichtig

Microsoft ist wegen seiner großen Marktdurchdringung ein besonders beliebtes Ziel für Angreifer. Denn eine Schwachstelle verschafft potentiell Zugang zu vielen interessanten Spionage- und Sabotagezielen. „Andererseits aber sind Microsoft-Produkte schon in ihren strukturellen Grundlagen nicht auf IT-Sicherheit ausgerichtet“, kritisiert der IT-Sicherheitsjurist Dennis-Kenji Kipker gegenüber der F.A.Z. Als über Jahrzehnte gewachsenes Ökosystem und durch zahlreiche Zukäufe könne Microsoft Cybersicherheit immer nur als zusätzliches Merkmal integrieren und auf Entwicklungen in der Cyber-Bedrohungslage nur reagieren, anstelle diese präventiv zu antizipieren. „Sicherheit von Anfang an im Software-Entwicklungsprozess gedacht dürfte für Microsoft technisch an vielen Stellen schlichtweg mittlerweile nicht mehr umsetzbar sein.“

Quelle: F.A.Z.Artikelrechte erwerben

- Maximilian Sachse

Maximilian Sachse

Redakteur in der Wirtschaft

Folgen

- Teilen

- Merken

- Drucken

- Anhören

Zur Startseite