BSI-Präsident warnt Log4j-Schwachstelle könnte Millionenschäden zur Folge haben

Die Lücke in der Software-Komponente Log4j könnte laut dem Bundesamt für Sicherheit in der Informationstechnik teuer werden. Angriffe aus Nordkorea, China, Iran und der Türkei laufen angeblich schon.
BSI-Präsident Arne Schönbohm: »Enorme Schäden für die deutsche Wirtschaft«

BSI-Präsident Arne Schönbohm: »Enorme Schäden für die deutsche Wirtschaft«

Foto: Christophe Gateau / dpa

Der Präsident des Bundesamts für Sicherheit in der Informationstechnik (BSI), Arne Schönbohm, befürchtet Millionenschäden durch Angriffe über die Schwachstelle in der Softwarekomponente Log4j.

»Es drohen massive Angriffe durch Cyberkriminelle und dadurch enorme Schäden für die deutsche Wirtschaft«, sagte Schönbohm der »Wirtschaftswoche«, wie das Magazin am Donnerstag vorab berichtete. Die Schwachstelle lasse sich leicht ausnutzen und befinde sich in einer »unüberschaubar großen Zahl« von Programmen, warnte der BSI-Chef weiter.

Das BSI hatte bereits am vergangenen Wochenende die Alarmstufe Rot ausgerufen – sie gilt auch weiterhin . Zu dieser Maßnahme hatte das BSI auch im Frühjahr 2021 gegriffen, als eine Schwachstelle im Microsoft-Programm Exchange bekannt wurde. Damals war die Anzahl von Erpressungsangriffen in die Höhe geschnellt und hatte bei Unternehmen Schäden in Millionenhöhe verursacht, berichtete die »Wirtschaftswoche«. Die Angriffe über die Java-Protokollierungsbibliothek Log4j könnten noch umfangreicher ausfallen, befürchtet Schönbohm nun.

Eine Java-Bibliothek ist ein Softwaremodul, das zur Umsetzung einer bestimmten Funktionalität in weiteren Produkten verwendet wird. Es sei daher »oftmals tief in der Architektur von Softwareprodukten verankert«, erklärte das BSI. Die Behörde riet insbesondere Unternehmen und Organisationen, Updates einzuspielen, sobald diese für einzelne Produkte verfügbar sind. Außerdem sollten »alle Systeme, die verwundbar waren, auf eine Kompromittierung untersucht werden«.

Hackingversuche aus Nordkorea, China, Iran und der Türkei

Auch die Chefin der US-Cybersicherheitsbehörde CISA warnte diese Woche eindringlich : Die Schwachstelle sei eine der ernst zu nehmendsten, die sie in ihrer gesamten Karriere gesehen haben, »wenn nicht die ernst zu nehmendste«.

Zwar sah es zunächst so aus, als würden Angreifer auf gekaperten Servern in erster Linie Kryptominer zum Generieren von Kryptowährungen installieren oder versuchen, ihre Botnetze zu vergrößern. Doch Microsoft will mittlerweile auch staatliche Hackingversuche  von Nordkorea, China, Iran und der Türkei erkannt haben, die sich die Schwäche in Log4j zunutze machen.

John Hultquist von der IT-Sicherheitsfirma Mandiant teilte mit: »Wir wissen, dass chinesische und iranische Regierungsakteure diese Schwachstelle ausnutzen, und wir gehen davon aus, dass andere staatliche Akteure dies ebenfalls tun oder sich darauf vorbereiten.« Die Folgen werden seiner Einschätzung nach nicht unbedingt sofort erkennbar sein: »Wir glauben, dass diese Akteure schnell handeln werden, um in begehrten Netzwerken Fuß zu fassen«, so Hultquist. »Mit dem Fuß in der Tür können sie dann Folgeaktivitäten unternehmen, die einige Zeit andauern können.«

pbe/AFP