BSI Alarmstufe Orange: 17.000 Exchange Server stark gefährdet

26. März 2024 – Eine alarmierende Zahl von Microsoft-Exchange-Servern in Deutschland bleibt anfällig für kritische Sicherheitslücken, so warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Bericht vom 26. März 2024. Ungefähr 12% der 45.000 in Deutschland betriebenen Exchange-Server, die über das Internet erreichbar sind, verwenden immer noch die veralteten Versionen 2010 oder 2013, für die keine Sicherheitsupdates mehr bereitgestellt werden.

Das BSI hebt hervor, dass eine kritische Schwachstelle, bekannt unter CVE-2024-21410, nicht durch ein traditionelles Patching behoben wird. Stattdessen kann die Schwachstelle durch die Aktivierung der “Extended Protection for Authentication” vermieden werden. Jedoch ist diese Maßnahme nicht auf allen Servern umgesetzt worden, was die Sicherheitsrisiken weiter verschärft.

Obwohl im März 2024 Sicherheitsupdates veröffentlicht wurden, die eine andere kritische Remote-Code-Execution-Schwachstelle (CVE-2024-26198) beheben, bleiben viele Systeme auf einem veralteten Patch-Stand und somit anfällig. Die Analyse des BSI zeigt, dass mindestens 37% der Exchange-Server in Deutschland – rund 17.000 Systeme – stark gefährdet sind. Es wurden hier aber nur Server die im Extended Protection Programm erwähnt sind berücksichtigt. Das BSI geht von einer Dunkelziffer von 50 % aller in Deutschland verwendeten Exchange Server aus.

Besonders betroffen sind kritische Infrastrukturen wie Bildungseinrichtungen, medizinische Einrichtungen, Rechts- und Steuerberatungspraxen, Kommunalverwaltungen und mittelständische Unternehmen. Angreifer könnten diese Schwachstellen ausnutzen, um Schadsoftware zu verbreiten, sensible Informationen zu stehlen oder sogar Ransomware-Angriffe durchzuführen.

Das BSI warnte bereits 2021 eindringlich vor der Ausnutzung solcher Schwachstellen und rief damals die IT-Bedrohungslage “rot” aus. Trotzdem scheint die Situation unverändert, da viele Betreiber notwendige Sicherheitsupdates nicht umgehend anwenden.

Das BSI empfiehlt dringend, alle zur Verfügung stehenden Sicherheitsmaßnahmen zu ergreifen, insbesondere die Extended Protection zu aktivieren und die neuesten Sicherheitsupdates zu installieren, um gegen die identifizierten Schwachstellen gewappnet zu sein.

Veraltete Exchange-Server stellen erhebliche Risiken für Datenschutz und die Sicherheit sensibler Firmendaten dar. Hier sind einige der kritischen Gefahrenszenarien, die sich aus dieser Situation ergeben:

1. Datenlecks und Informationsdiebstahl: Angreifer können Schwachstellen in veralteten Systemen ausnutzen, um unbefugten Zugriff auf vertrauliche E-Mails, Kalenderinformationen und andere sensible Daten zu erlangen. Solche Datenlecks können zum Diebstahl von geistigem Eigentum, Kundeninformationen, finanziellen Details und persönlichen Daten von Mitarbeitern führen.
2. Man-in-the-Middle-Angriffe (MitM): Ohne aktuelle Sicherheitspatches können Exchange-Server anfällig für MitM-Angriffe sein, bei denen Angreifer die Kommunikation abfangen, lesen oder manipulieren können, was zu Datenverlust oder -fälschung führt.
3. Ransomware und Malware-Infektionen: Veraltete Server können leichter Ziel von Ransomware-Angriffen werden, bei denen die Daten auf dem Server verschlüsselt und gegen Lösegeldforderungen gesperrt werden. Darüber hinaus können Angreifer Malware installieren, die sich im Netzwerk ausbreitet und weitere Systeme infiziert.
4. Phishing und Social Engineering: Angreifer können Schwachstellen in Exchange-Servern ausnutzen, um Phishing-Kampagnen zu orchestrieren, die darauf abzielen, Benutzer dazu zu bringen, vertrauliche Informationen preiszugeben oder schädliche Software herunterzuladen.
5. Verletzung von Compliance- und Datenschutzbestimmungen: Unternehmen sind oft rechtlich verpflichtet, bestimmte Datenschutz- und Sicherheitsstandards einzuhalten. Der Betrieb veralteter Systeme kann zu Verstößen gegen solche Vorschriften führen und erhebliche Bußgelder sowie Reputationsschäden nach sich ziehen.
6. Dauerhafte Netzwerkzugriffe: Einmal im System, können Angreifer persistente Zugriffe einrichten, die auch nach der Behebung der ursprünglichen Schwachstelle bestehen bleiben. Dies ermöglicht kontinuierlichen Zugriff auf Unternehmensdaten und -netzwerke.
7. Serviceunterbrechungen: Angriffe auf veraltete Systeme können zu erheblichen Ausfallzeiten führen, die geschäftskritische Operationen stören und finanzielle Verluste verursachen.