Hafnium-Schwachstellen bei Microsoft Exchange

Welche Systeme sind betroffen?

Nach derzeitigem Kenntnisstand sind die folgenden Systeme betroffen:

• Exchange Server 2010 (RU 31 für Service Pack 3)
• Exchange Server 2013 (CU 23)
• Exchange Server 2016 (CU 19, CU 18)
• Exchange Server 2019 (CU 8, CU 7)

Wie finden wir heraus, ob auch unsere Systeme angegriffen wurden?

Da die Sicherheitslücken bereits mehrfach genutzt wurden um Systeme zu kompromittieren, ist es sehr gut möglich, dass auch Ihr System betroffen ist. Das BSI hat ein spezielles Dokument "Microsoft Exchange Schwachstellen - Detektion und Reaktion" entworfen, welches Hinweise und Anleitungen zur Überprüfung der Exchange Server auf Kompromittierung beinhaltet: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Vorfaelle/Exchange-Schwachstellen-2021/MSExchange_Schwachstelle_Detektion_Reaktion.pdf

Wie können wir die Sicherheitslücke schließen?

Wenn Ihr Unternehmen eigene Microsoft Exchange Server betreibt, empfehlen wir dringen die Überprüfung der Versionsnummern und die sofortige Aktualisierung. Microsoft stellt Patches für die betroffenen Systeme zur Verfügung: https://techcommunity.microsoft.com/t5/exchange-team-blog/released-march-2021-exchange-server-security-updates/ba-p/2175901

Eine ausführliche Anleitung zum Schließen der Sicherheitslücken finden Sie auf der folgenden Website von hisolutions: https://research.hisolutions.com/2021/03/hafnium-selbsthilfe-microsoft-exchange/

Wie verhalten wir uns, wenn auch unsere Exchange Server kompromittiert wurden?

• Trennen Sie die betroffenen Exchange Server vom Internet, damit der Angriff nicht fortgesetzt werden kann. In jedem Fall sollten HTTPS-Zugriffe auf TCP-Port 443 zu Exchange Servern unterbunden werden
• Ändern Sie alle Benutzerkennwörter und administrativen Kennwörter im Active Directory, damit der Angriff nicht auf der gesamten Domäne fortgeführt werden kann
• Erstellen Sie zu Beweiszwecken einen Snapshot der betroffenen Exchange Server
• Aktualisieren Sie die Systeme mittels der angebotenen Patches
• Prüfen Sie, ob weiterhin ein unbefugter Zugriff stattfindet
• Informieren Sie ggf. die Datenschutzaufsichtsbehörden

Wann muss die Datenschutzaufsichtsbehörde informiert werden?

Falls eine Kompromittierung (oder der Verdacht auf eine Kompromittierung) und ein Risiko für personenbezogene Daten vorliegen, müssen die Polizeibehörden und die Datenschutzaufsichtsbehörde informiert werden. Beim Bayerischen Landesamt für Datenschutz (BayLDA) sind in den vergangenen Tagen bereits Hunderte Meldungen nach Art. 33 DSGVO eingegangen. Bitte beachten Sie, dass eine Meldung innerhalb von 72 Stunden erfolgen muss. Ebenfalls sollte geprüft werden, ob betroffene Personen informiert werden müssen. Dies ist insbesondere dann in Betracht zu ziehen, wenn personenbezogene Daten von Berufsgeheimnisträgern oder besonders sensible Daten, beispielsweise im medizinischen Bereich, verarbeitet werden.

Auf einen Blick - was ist zu tun?

• Exchange-Server-Versionen prüfen
• Wenn Systeme betroffen sind, vom Netz nehmen
• Backup erstellen
• System aktualisieren
• Überprüfen, ob Kompromittierung stattfand
• Falls Kompromittierung stattfand die entsprechenden Behörden informieren
• Falls sehr sensible Daten verarbeitet werden Betroffene informieren

Weitere Informationen

Das Bayerische Landesamt für Datenschutz (BayLDA) hat ein ausführliches Dokument mit Hinweisen und Anleitungen veröffentlicht, welches laufend aktualisiert wird: https://www.lda.bayern.de/media/themen/exchange_security_check_incident_response.pdf