DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE on Windows 7 ist inzwischen ein Jahrzehnt alt und noch weit verbreitet. Nach dem Support-Ende bleibt Windows 7 voll funktionsfähig und installationsfähig, jedoch ungeschützt vor neuen Risiken. Das BSI empfiehlt Privatanwenderinnen und -anwendern sowie Unternehmen, die betroffenen WindowsBetriebssysteme nicht mehr zu verwenden und zu einem Betriebssystem zu wechseln, für das weiterhin Sicherheitsupdates bereitgestellt werden. Vor einem Upgrade oder Wechsel des Betriebssystems sollte geprüft werden, ob die technischen Systemanforderungen für das neue Betriebssystem erfüllt sind. Auch eingesetzte Programme oder Fachanwendungen sowie Peripheriegeräte wie zum Beispiel Drucker sollten unterstützt werden. Schließlich sind Datensicherungen durchzuführen, um einem möglichen Datenverlust vorzubeugen. Da die Migration eines Betriebssystems, insbesondere in größeren Organisationen, mit einem beträchtlichen zeitlichen und personellen Aufwand verbunden sein kann, sollte zeitnah gehandelt werden. Kritische Schwachstelle in Citrix-Produkten Sachverhalt Am 17. Dezember 2019 veröffentlichte das US-Softwareunternehmen Citrix Informationen über kritische Schwachstellen in mehreren seiner Produkte und empfahl Gegenmaßnahmen, um gegen eine Ausnutzung abgesichert zu sein. Die betroffenen Software-Produkte dienten unter anderem als VPN-Gateway für den entfernten Zugriff auf organisationsinterne Anwendungen und wurden weltweit von über 80.000 Unternehmen in 158 Ländern eingesetzt. In ihrer Funktion als Gateway stellten sie einen der neuralgischen Netzwerkübergänge dar, die ein Unternehmensnetzwerk vom Internet trennen und regulieren. Durch die Schwachstellen waren Angreifer in der Lage, einen beliebigen Code – auch Schadprogramme – auf ebenjenen Netzwerkübergängen zur Ausführung zu bringen. Abhängig von weiteren Schutzmaßnahmen in den Unternehmensnetzwerken standen den Angreifern dadurch ggf. weitreichende Möglichkeiten für weitere Angriffe offen. Ab dem 8. Januar 2020 wurden Exploits öffentlich, die sich durch ihre einfache Handhabbarkeit auszeichneten. Dies ermöglichte unterschiedlichen Angreifern, die Exploits zeitnah für ihre jeweiligen Zwecke anzupassen und auszunutzen (vgl. Quellenverzeichnis7: www.trustedsec.com). In der Folge konnte eine massive Ausnutzung der Schwachstellen beobachtet werden (vgl. Quellenverzeichnis 8: https://deyda.net, vgl. Quellenverzeichnis 9: https://blog.dcso.de, vgl. Quellenverzeichnis10: www.fireeye.com). Reaktion Das BSI hat seit dem Bekanntwerden des Exploit-Codes ca. 5.000 verschiedene durch die Schwachstellen verwundbare Systeme allein in Deutschland identifiziert und an die zuständigen Netzbetreiber und Internet-Provider gemeldet, um über die Gefährdung zu informieren. Es ist jedoch anzunehmen, dass zeitweise mehr als die 5.000 identifizierten Systeme in Deutschland gefährdet waren. Bis zum 24. Januar 2020 stellte der Hersteller sukzessive Sicherheitsupdates bereit, welche die Schwachstellen in den betroffenen Produktversionen schlossen. Nach der Bereitstellung der Updates nahm die Anzahl an verwundbaren Systemen deutlich ab und lag zuletzt bei etwa 230. Zudem hat das BSI mehrere Dutzend Systeme an die zuständigen Netzbetreiber und Internet-Provider gemeldet, auf denen die Angreifer sogenannte Backdoors installiert hatten. Solche Backdoors ermöglichen den Angreifern den Zugriff auf das System, auch wenn die Schwachstelle geschlossen wurde. Empfehlung Anwenderinnen und Anwendern der betroffenen Produkte, die die Handlungsempfehlungen des Herstellers zur vorübergehenden Schließung der Schwachstellen bis zur Bereitstellung eines Patches nicht vor der beobachteten großflächigen Ausnutzung umgesetzt hatten, wird empfohlen, ihre direkt mit dem Internet verbundenen Citrix-Systeme auf eine wahrscheinliche Kompromittierung hin zu prüfen. Bereits vor dem Bekanntwerden von Schwachstellen sollten nach Möglichkeit nur Programme auf einem System installiert sein und betrieben werden, die auch notwendig sind. Diese Verkleinerung der Angriffsfläche reduziert das Risiko, Opfer eines Cyber-Angriffs zu werden („Härtung“). 24