Hafnium-Schwachstellen bei Microsoft Exchange

15.03.2021

In den letzten Tagen wurde bekannt, dass Microsoft Exchange Server durch mehrere Sicherheitslücken gegen Angreifer aus dem Internet nicht ausreichend gesichert sind. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) stuft die Gesamtsituation als kritisch ein, da bereits eine Kompromittierung zahlreicher Systeme stattfand.

NOVIDATA Updates

Newsletter Datenschutz & IT-Sicherheit

Mit unserem Newsletter erhälst du aktuelle Informationen zu den Themen Datenschutz & IT-Sicherheit regelmäßig bequem in dein Postfach!

Jetzt anmelden

Welche Systeme sind betroffen?

 

Nach derzeitigem Kenntnisstand sind die folgenden Systeme betroffen:

 

  • Exchange Server 2010 (RU 31 für Service Pack 3)
  • Exchange Server 2013 (CU 23)
  • Exchange Server 2016 (CU 19, CU 18)
  • Exchange Server 2019 (CU 8, CU 7)

 

 

Wie finden wir heraus, ob auch unsere Systeme angegriffen wurden?

 

Da die Sicherheitslücken bereits mehrfach genutzt wurden um Systeme zu kompromittieren, ist es sehr gut möglich, dass auch Ihr System betroffen ist. Das BSI hat ein spezielles Dokument "Microsoft Exchange Schwachstellen - Detektion und Reaktion" entworfen, welches Hinweise und Anleitungen zur Überprüfung der Exchange Server auf Kompromittierung beinhaltet: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Vorfaelle/Exchange-Schwachstellen-2021/MSExchange_Schwachstelle_Detektion_Reaktion.pdf

 

 

Wie können wir die Sicherheitslücke schließen?

 

Wenn Ihr Unternehmen eigene Microsoft Exchange Server betreibt, empfehlen wir dringen die Überprüfung der Versionsnummern und die sofortige Aktualisierung. Microsoft stellt Patches für die betroffenen Systeme zur Verfügung: https://techcommunity.microsoft.com/t5/exchange-team-blog/released-march-2021-exchange-server-security-updates/ba-p/2175901

Eine ausführliche Anleitung zum Schließen der Sicherheitslücken finden Sie auf der folgenden Website von hisolutions: https://research.hisolutions.com/2021/03/hafnium-selbsthilfe-microsoft-exchange/

 

 

Wie verhalten wir uns, wenn auch unsere Exchange Server kompromittiert wurden?

 

  • Trennen Sie die betroffenen Exchange Server vom Internet, damit der Angriff nicht fortgesetzt werden kann. In jedem Fall sollten HTTPS-Zugriffe auf TCP-Port 443 zu Exchange Servern unterbunden werden
  • Ändern Sie alle Benutzerkennwörter und administrativen Kennwörter im Active Directory, damit der Angriff nicht auf der gesamten Domäne fortgeführt werden kann
  • Erstellen Sie zu Beweiszwecken einen Snapshot der betroffenen Exchange Server
  • Aktualisieren Sie die Systeme mittels der angebotenen Patches
  • Prüfen Sie, ob weiterhin ein unbefugter Zugriff stattfindet
  • Informieren Sie ggf. die Datenschutzaufsichtsbehörden

 

Wann muss die Datenschutzaufsichtsbehörde informiert werden?

 

Falls eine Kompromittierung (oder der Verdacht auf eine Kompromittierung) und ein Risiko für personenbezogene Daten vorliegen, müssen die Polizeibehörden und die Datenschutzaufsichtsbehörde informiert werden. Beim Bayerischen Landesamt für Datenschutz (BayLDA) sind in den vergangenen Tagen bereits Hunderte Meldungen nach Art. 33 DSGVO eingegangen. Bitte beachten Sie, dass eine Meldung innerhalb von 72 Stunden erfolgen muss. Ebenfalls sollte geprüft werden, ob betroffene Personen informiert werden müssen. Dies ist insbesondere dann in Betracht zu ziehen, wenn personenbezogene Daten von Berufsgeheimnisträgern oder besonders sensible Daten, beispielsweise im medizinischen Bereich, verarbeitet werden.

 

 

Auf einen Blick - was ist zu tun?

 

  • Exchange-Server-Versionen prüfen
  • Wenn Systeme betroffen sind, vom Netz nehmen
  • Backup erstellen
  • System aktualisieren
  • Überprüfen, ob Kompromittierung stattfand
  • Falls Kompromittierung stattfand die entsprechenden Behörden informieren
  • Falls sehr sensible Daten verarbeitet werden Betroffene informieren

 

Weitere Informationen

 

Das Bayerische Landesamt für Datenschutz (BayLDA) hat ein ausführliches Dokument mit Hinweisen und Anleitungen veröffentlicht, welches laufend aktualisiert wird: https://www.lda.bayern.de/media/themen/exchange_security_check_incident_response.pdf

NOVIDATA Updates

Newsletter Datenschutz & IT-Sicherheit

Mit unserem Newsletter erhälst du aktuelle Informationen zu den Themen Datenschutz & IT-Sicherheit regelmäßig bequem in dein Postfach!

Jetzt anmelden

Datenschutz

Externer Datenschutzbeauftragter

IT-Sicherheit

Externer Informationssicherheitsbeauftragter

KI

Unterstützung bei der Einführung von KI-Systemen und Umsetzung der KI-VO

Hinweisgeberschutz

Interne Meldestelle & Digitales Hinweisgebersystem NOVIBLOWER.PRO

Schulungen & Workshops

Professionelle Inhouse und Online-Schulungen zu  Datenschutz, IT-Sicherheit, KI & Hinweisgeberschutz

Newsletter

Stets auf dem aktuellsten Stand mit unserem regelmäßigen Newsletter

Hinweis

Dieser Artikel wurde auf Basis der aktuell verfügbaren Literatur erstellt. Er dient als erste Einschätzung von potentiellen Problemen innerhalb der Datenschutzgrundverordnung (DSGVO). Es wird darauf hingewiesen, dass viele der hier behandelten Probleme noch nicht abschließend, insbesondere durch höchstrichterliche Rechtsprechungen, geklärt wurden und teilweise auch noch keine Stellungnahmen der Landesdatenschutzbehörden vorliegen, weshalb zu einigen Punkten unterschiedliche Auffassungen vertreten werden. Ich übernehme daher keine Haftung auf Richtigkeit und Vollständigkeit. Insbesondere ist darauf hinzuweisen, dass jeder Fall gesondert zu prüfen ist und keine individuelle Rechtsberatung ersetzt.


Weitere Artikel

10.02.2025

Was passiert, wenn ein KI-System eine falsche Entscheidung trifft oder unerwartete Fehler macht? Damit du im Ernstfall nicht unvorbereitet bist, haben wir eine kostenlose Vorlage für einen KI-Notfallplan erstellt.

Ein klarer Notfallplan hilft dir, schnell zu reagieren, Risiken zu minimieren und gesetzliche Vorgaben einzuhalten. Lade dir jetzt die Vorlage herunter und stelle sicher, dass dein Unternehmen KI sicher und verantwortungsvoll einsetzt.

Mehr erfahren ...
10.01.2025

Ich liebe den Jahreswechsel. Es fühlt sich an wie ein Neuanfang – fast so, als könnte man die Uhr auf Null stellen. Mein persönliches Ritual: Ich archiviere mein altes Journal, sortiere unerledigte Aufgaben und starte mit einem frischen, klaren Plan ins neue Jahr. Das gibt mir nicht nur Ordnung, sondern auch das gute Gefühl, die wichtigen Dinge im Blick zu behalten.

Im Datenschutz ist es ganz ähnlich. Wiederkehrende Aufgaben wie die Aktualisierung von Verzeichnissen oder Mitarbeiterschulungen gehören genauso dazu wie unerwartete Themen, die plötzlich hohe Priorität haben. Gerade deshalb ist eine klare Struktur so wichtig.

Um dir den Einstieg ins Datenschutz-Jahr 2025 zu erleichtern, habe ich eine kostenlose Checkliste erstellt. Sie enthält die wichtigsten To-dos für Datenschutzbeauftragte – von regelmäßigen Überprüfungen bis hin zu wiederkehrenden Terminen. Du kannst sie an deine Bedürfnisse anpassen und als Grundlage für deinen persönlichen Jahresplan nutzen.

Mehr erfahren ...
12.12.2024

Es war der Tag vor Heiligabend, und in der Weihnachtswerkstatt herrschte hektische Betriebsamkeit. Die Wichtel liefen umher, verpackten Geschenke und lasen die letzten Wunschzettel der Kinder. Aber in diesem Jahr war etwas anders. Der Weihnachtsmann war besorgt, denn es gab ein großes Problem: Ein berüchtigter Hacker namens Grinchware hatte es auf die Daten der Kinder abgesehen, die die Wichtel für die Geschenkeverteilung sammelten.

Mehr erfahren ...
08.12.2024

Jedes Unternehmen muss zahlreiche Aspekte des täglichen Betriebs eindeutig festlegen. Dazu zählen nicht nur Verhaltensregeln und Arbeitsanweisungen, sondern auch organisatorische Rahmenbedingungen, die einen reibungslosen und rechtssicheren Ablauf garantieren. Besonders deutlich zeigt sich diese Verantwortung im Bereich Datenschutz: Hier gilt es sicherzustellen, dass personenbezogene Daten nicht nur geschützt, sondern auch transparent und gesetzeskonform verarbeitet werden. Unser neuer Leitfaden Datenschutzhandbuch, inklusive kostenloser Checkliste, unterstützt dich dabei Schritt für Schritt und bietet dir praktische Hilfestellungen.

Mehr erfahren ...

Externer Datenschutzbeauftragter

Sie benötigen einen externen Datenschutzbeauftragten für Ihr Unternehmen? Wir beraten Sie gerne. Kontaktieren Sie uns und fordern Sie ein unverbindliches Angebot an.

Unverbindliches Angebot anfordern
Inhalt wird geladen ...