Archiv für die Kategorie: Ereignisse

Konflikte werden heutzutage auch im digitalen Raum ausgetragen. Zwar ist die Situation in der Ukraine in diesem Sinne noch nicht hierzulande angekommen, doch sollten Unternehmen ihre IT-Sicherheit für einen Ernstfall prüfen. Der Bitkom nennt fünf Maßnahmen, die Unternehmen jetzt ergreifen sollten.

Die Offensive Russlands begann im digitalen Raum bereits einige Zeit vor dem Einmarsch in die Ukraine. „Während Cyberangriffe auf militärische Zielsysteme, Behörden und Institutionen bereits seit längerem stattfinden, spielte der digitale Raum in den ersten Tagen des russischen Angriffskriegs nur eine nachgelagerte Rolle. Mit zunehmender Kriegsdauer könnte sich dies wieder ändern, und das kann unmittelbare Konsequenzen für Deutschland und seine Wirtschaft haben. Denn die Distanzen im digitalen Raum sind kurz und die Grenzen nicht so klar, wie sie sein müssten“, erklärt Bitkom-Sicherheitsexperte Sebastian Artz. „Es gibt keinen Grund zur Panik, aber mit dem Angriffskrieg Russlands ist auch im deutschen Cyberraum volle Aufmerksamkeit und größtmögliche Wachsamkeit aller Unternehmen, Organisationen und staatlichen Stellen geboten.“

Der Digitalverband Bitkom gibt deshalb fünf konkrete Hinweise, welche Vorbereitungen und Vorsichtsmaßnahmen insbesondere kleine und mittelständische Unternehmen jetzt für ihre IT-Sicherheit treffen sollten:

1. Risiken und Auswirkungen von Cyberangriffen minimieren

Unternehmen sollten ihre Schutzmaßnahmen insgesamt verstärken. Betriebssysteme und Software müssen auf dem aktuellen Stand sein, Sicherheitsupdates sind zügig einzuspielen. Sichere – also komplexe und für jedes System unterschiedliche – Passwörter können signifikant das Schutzniveau erhöhen bei. Möglichst alle Logins mit Außenanbindung sollten über eine Multi-Faktor-Authentifizierung geschützt werden. Privilegien und Administrationsrechte sollten für einzelne NutzerInnen eingeschränkt werden und die Komplexität von verwendeten Diensten insgesamt verringert werden. Eine solche Härtung der Systeme ist ratsam, obwohl sie nicht nutzungsfreundlich ist und die Produktivität einschränkt, denn sie schützt die eigene Infrastruktur und unternehmenssensible Daten. Zudem ist die unternehmenseigene Back-up-Strategie zu prüfen und nachzuziehen, sodass alle relevanten Unternehmensdaten gesichert sind und zusätzlich Sicherheitskopien offline auf einem externen Datenträger existieren.

2. Verantwortlichkeiten klar definieren

Unternehmen müssen in einem Angriffsfall reaktionsfähig sein. Verantwortlichkeiten im Sicherheitsbereich müssen klar definiert sein und entsprechende Anlaufstellen eingerichtet werden – sowohl intern als auch bei externen Dienstleistern. Es gilt sicherzustellen, dass zu jeder Zeit ausreichend Personal einsatzfähig ist. Urlaubszeiten oder Vertretungen bei Krankheit müssen dabei einkalkuliert werden. Außerdem ist es sinnvoll sich darauf vorzubereiten, auch ohne die Hilfe externer Dienstleister kurzfristig reagieren zu können – bei großflächigen Cyberangriffen könnten Externe an Kapazitätsgrenzen stoßen.

3. Beschäftigte sensibilisieren

Alle Erfahrungen zeigen: Der Mensch bleibt eines der größten Sicherheitsrisiken, ist aber auch Schutzgarant eines Unternehmens. Alle Beschäftigten sollten zielgruppengerecht für das erhöhte Risiko von Cyberangriffen sensibilisiert werden. Dazu gehört, potenzielle Gefahren verständlich zu erklären und Schritt-für-Schritt-Anleitungen bereitzustellen, wie sich Beschäftigte im Falle eines Angriffs verhält und an wen sie sich wenden müssen. Gegebenenfalls können kurzfristige Sicherheitsschulungen sinnvoll sein. Ziel ist es, die Wachsamkeit in der Belegschaft zu erhöhen. Besonders für den E-Mail-Verkehr gilt, Hyperlinks und Anhänge nicht vorschnell zu öffnen und ungewöhnliche Anweisungen mit Skepsis zu betrachten. An Unternehmen werden auch sehr gezielte und gut gemachte Phishing-Mails geschickt, wodurch der Fake nur anhand weniger Details wie etwa eines falsch geschriebenen Namens oder einer falschen Durchwahl in der Signatur entdeckt werden kann.

4. Notfallplan erstellen

Für den Fall eines Angriffs sollte im Unternehmen ein Notfallplan bereitliegen, der das weitere Vorgehen dokumentiert. Neben den technischen Schritten, die eingeleitet werden müssen, sollte der Plan auch organisatorische Punkte wie die Kontaktdaten relevanter Ansprechpersonen im Unternehmen sowie die Notfallkontakte der offiziellen Anlaufstellen beinhalten. Auch rechtliche Aspekte wie Meldepflichten bei Datenschutzverletzungen müssen berücksichtigt werden. Des Weiteren gehört eine vorbereitete Krisenkommunikation dazu, um schnell alle relevanten Stakeholder wie Kunden, Partner sowie die Öffentlichkeit zu informieren.

5. Informationen offizieller Stellen beobachten

Die Sicherheitslage ist hochdynamisch und kann sich von Tag zu Tag ändern. Unternehmen sollten daher die Meldungen von Behörden wie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie der Allianz für Cybersicherheit (ACS) stets beobachten.

Pressemitteilung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 20.12.2021

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat heute eine neue Fassung der Orientierungshilfe für Anbieter:innen von Telemedien veröffentlicht. Das Papier bietet Betreiber:innen von Webseiten, Apps oder Smarthome-Anwendungen konkrete Hilfestellungen bei der Umsetzung der neuen Vorschriften des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG). Zudem vermittelt die Orientierungshilfe betroffenen Bürger:innen ein besseres Bild der rechtlichen Rahmenbedingungen.

Mit der Veröffentlichung der überarbeiteten Orientierungshilfe reagieren die Aufsichtsbehörden auf die veränderte Rechtslage. Seit dem 1. Dezember 2021 regelt das TTDSG unter anderem den Schutz der Privatsphäre bei der Nutzung von Endgeräten. Daraus ergeben sich insbesondere praxisrelevante Auswirkungen auf den Einsatz von Cookies und ähnlichen Technologien. Mit dem TTDSG hat der Bundesgesetzgeber nach über einem Jahrzehnt Verzögerung nunmehr die Vorgaben der europäischen e-Privacy-Richtlinie in nationales Recht umgesetzt.

Das TTDSG wurde nah am Wortlaut der europäischen Vorgaben formuliert und fordert grundsätzlich eine Einwilligung der Nutzer:innen, wenn Informationen auf deren Endeinrichtungen gespeichert werden oder auf diese zugegriffen wird. Ausnahmen von diesem Einwilligungserfordernis sind eng begrenzt auf Fälle, in denen das Speichern und Auslesen der Informationen unbedingt erforderlich ist, damit ein ausdrücklich von Nutzer:innen gewünschter Telemediendienst zur Verfügung gestellt werden kann. In der Orientierungshilfe finden sich maßgebliche Kriterien, wie der entsprechende Nutzerwunsch festgestellt und sodann realisiert werden kann.

Bei der Prüfung, ob ausnahmsweise eine Einwilligung entbehrlich ist, ist zu beachten, dass die Voraussetzungen sich wesentlich vom Kriterium des berechtigten Interesses in der Datenschutz-Grundverordnung (DS-GVO) unterscheiden. Bis zum 30. November 2021 wurde das berechtigte Interesse von den Aufsichtsbehörden unter engen Voraussetzungen als mögliche Rechtsgrundlage angesehen. Eine bisherige Interessenabwägung nach der DS-GVO erfüllt jedoch nicht automatisch die engen Voraussetzungen des TTDSG. Zur Umsetzung der neuen Rechtslage ist es daher beispielsweise nicht ausreichend, wenn lediglich die Bezeichnungen der Rechtsgrundlagen in einer Datenschutzerklärung ausgetauscht werden.

Seit dem 1. Dezember 2021 finden für das Speichern und Auslesen von Informationen auf bzw. aus Endgeräten die strengeren Vorschriften des TTDSG Anwendung. Für die Weiterverarbeitung der so erhobenen personenbezogenen Daten gelten weiterhin die Vorschriften der DS-GVO. Auch hierzu finden sich einige Hinweise in der neuen Orientierungshilfe.

Betreiber:innen von Webseiten, Apps und anderen Telemedien sollten die Verwendung von Cookies und anderen Technologien dringend überprüfen. Insbesondere sind die genaue Ausgestaltung der Technologien und deren Notwendigkeit einer Revision zu unterziehen. Zeitpunkt, Art und Dauer der Speicherung sowie die nachgelagerte Datenverarbeitung müssen den Anforderungen des TTDSG bzw. der DS-GVO entsprechen. Dabei soll die nun vorliegende Orientierungshilfe eine Hilfestellung geben.

Das Dokument ersetzt in weiten Teilen die bisherige Fassung aus dem Jahr 2019 und wurde auf der Homepage der DSK veröffentlicht. Es ist geplant, zeitnah auch eine englische Fassung der Orientierungshilfe zur Verfügung zu stellen.

Des Weiteren wird ein öffentliches Konsultationsverfahren zur neuen Fassung der Orientierungshilfe durchgeführt werden. Details hinsichtlich der zeitlichen Planung und des Ablaufs werden im Januar 2022 bekannt gegeben.

Weitere Informationen zur DSK: www.datenschutzkonferenz-online.de

Pressemitteilung des Bayerischen Landesamts für Datenschutzaufsicht vom 14.12.2021

Die Java-Protokollierungsbibliothek „Log4j“ ist weit verbreitet. Sie ist Bestandteil vieler kommerzieller Produkte genauso wie von Open-Source-Software, aber auch selbst entwickelter Java-Anwendungen. Durch die kürzlich aufgedeckte Schwachstelle „Log4Shell“ (CVE-2021-44228) können Angreifer über das Internet eigene Programmcodes ausführen und damit einen Brückenkopf für weitere Cyberattacken installieren. Dadurch droht auch längerfristig die Kompromittierung vieler Dienste und vielfach sogar Einschränkungen des Regelbetriebs wichtiger Systeme.

Michael Will, Präsident des BayLDA, bewertet die Lage aus Datenschutzsicht als alarmierend: „Das Bedrohungspotential der Schwachstelle Log4Shell kann kaum ernst genug genommen werden. Verantwortliche müssen nun umgehend aktiv werden, um die eigenen Systeme zu prüfen und die Schwachstelle zu beseitigen. Bereits in der jüngeren Vergangenheit haben Cyberangriffe über andere Sicherheitslücken zu enormen Schäden geführt. Log4Shell hat das Potential, diese Risiken zu übertreffen und branchenübergreifend zahlreiche Betriebe in ihrem Arbeitsalltag massiv zu stören. Wir beobachten die Entwicklung daher intensiv und mit größter Sorge. Unser erstes Augenmerk gilt wirksamen Abhilfemaßnahmen, für die wir eine Checkliste bereitstellen. Unsere Erfahrungen mit der Nachlässigkeit zahlreicher Verantwortlicher trotz schwerwiegender Cybergefahren – zuletzt etwa der Schwachstelle bei Exchange-Servern im Frühjahr diesen Jahres – zeigen aber auch, dass Nachkontrollen zur Gewährleistung des Datenschutzes unerlässlich sind. Daher prüfen wir bereits, wie bayerische Verantwortliche einer automatisierten Datenschutzkontrolle unterzogen werden können, die Versäumnisse bei der Java-Sicherheitslücke aufdecken wird. Verstöße gegen die Sicherheitsanforderungen der Datenschutz-Grundverordnung können von uns mit empfindlichen Geldbußen geahndet werden.“

Welches Ausmaß die Java-Sicherheitslücke Log4Shell für bayerische Unternehmen, Vereine und Verbände, Ärzte, Rechtsanwälte etc. haben wird, ist trotz allseitiger Aufklärungsbemühungen längst noch nicht absehbar. Jedoch ist bereits zum jetzigen Zeitpunkt bekannt, dass flächendeckende Scans nach verwundbaren Systemen stattfinden und auch schon gezielt Angriffe durchgeführt werden. Es ist somit nur noch eine Frage der Zeit, wann Verantwortliche, die von der Lücke betroffen sind, einen Schaden feststellen. Nicht nur wirtschaftlich, sondern auch datenschutzrechtlich ist ein solches Szenario mit schwerwiegenden Konsequenzen verbunden. Letztendlich drohen Verantwortlichen insbesondere ein Abfluss personenbezogener Daten, eine Nicht-Verfügbarkeit wichtiger Systeme und Dienste oder eine Einrichtung von Backdoors für spätere Cyberattacken. Selbst Angriffe mit Ransomware zur Erpressung der betroffenen Betriebe sind wahrscheinlich. Verbraucherinnen und Verbraucher sind im Normalfall zwar nicht direkt von der Schwachstelle betroffen, könnten aber Auswirkungen spüren, etwa wenn Dienste wie Apps oder Webservices nicht mehr erreichbar sind oder eigene persönliche Daten durch Angriffe gestohlen werden.

Bayerische Verantwortliche müssen aufgrund der erhöhten Gefährdungslage zur Einhaltung datenschutzrechtlicher Verpflichtungen unverzüglich prüfen, ob deren IT-Systeme und Anwendungen von der Java-Sicherheitslücke Log4Shell betroffen sind. Hierzu steht unter www.lda.bayern.de/log4shell eine Checkliste zur Verfügung. Ist bereits eine Sicherheitsverletzung eingetreten, z. B. weil die Sicherheitslücke aktiv ausgenutzt wurde und IT-Systeme mit personenbezogenen Daten betroffen sind, besteht nach Art. 33 DS-GVO für Verantwortliche regelmäßig eine Meldeverpflichtung bei der zuständigen Datenschutzaufsichtsbehörde.

Sachverhalt

Log4j ist eine beliebte Protokollierungsbibliothek für Java-Anwendungen. Sie dient der performanten Aggregation von Protokolldaten einer Anwendung.

Das Blog eines Dienstleisters für IT-Sicherheit [LUN2021] berichtet über die Schwachstelle CVE-2021-44228 [MIT2021] in log4j in den Versionen 2.0 bis 2.14.1, die es Angreifern gegebenenfalls ermöglicht, auf dem Zielsystem eigenen Programmcode auszuführen und so den Server zu kompromittieren. Diese Gefahr besteht dann, wenn log4j verwendet wird, um eine vom Angreifer kontrollierte Zeichenkette wie beispielsweise den HTTP User Agent zu protokollieren.

Ein Proof-of-Concept (PoC) der Schwachstelle wurde auf Github veröffentlicht [GIT2021a] und auf Twitter geteilt [TWI2021]. Neben dem PoC existieren auch Beispiele für Skripte, die Systeme stichprobenartig auf Verwundbarkeit hin untersuchen [GIT2021b]. Skripte solcher Art können zwar Administratoren keine Sicherheit über die Verwundbarkeit geben, aber erlauben Angreifern kurzfristig rudimentäre Scans nach verwundbaren Systemen.

Diese kritische Schwachstelle hat demnach möglicherweise Auswirkungen auf alle aus dem Internet erreichbaren Java-Anwendungen, die mit Hilfe von log4j Teile der Nutzeranfragen protokollieren.

Update 1:
Der Schwachstelle wurde nach Veröffentlichung des Blog-Posts ein CVSS-Wert von 10.0 zugewiesen.
Erste öffentliche Quellen weisen auf breitflächiges Scannen nach verwundbaren Systemen hin. Das BSI kann derartige
Scan-Aktivitäten bestätigen.

Update 2:
Im Gegensatz zur ursprünglichen Einschätzung kann die kritische Schwachstelle ggf. auch auf internen Systemen
ausgenutzt werden, sofern diese externe Daten entgegennehmen oder verarbeiten.
Einige Produkthersteller haben bereits öffentlich bzgl. einer möglichen (Nicht-)Betroffenheit ihrer Produkte
hingewiesen und teilweise bereits Updates veröffentlicht ([APA2021c], [BRO2021], [CIS2021], [FSE2021], [MCA2021],
[SOP2021], [TRE2021], [VMW2021a], [VMW2021b], [UNI2021]). Zu den betroffenen Herstellern gehören z. B.:
• VMWare
• Apache
• UniFi
Diese Liste ist nicht abschließend und erhebt keinen Anspruch auf Vollständigkeit. Zahlreiche weitere Hersteller prüfen
aktuell noch eine Betroffenheit.

Update 3:
Auf Github wurde unter [GIT2021e] eine Liste mit Sicherheitswarnungen für Produkte von über 140 Herstellern
veröffentlicht. Einige der Links verweisen direkt auf Herstellerseiten, die neben Informationen zur Betroffenheit auch
Updates für Ihre Produkte bereitstellen. Die Inhalte wurden durch das BSI stichprobenartig verifiziert und sollen als
erste Orientierungshilfe dienen.
Das NCSC NL (Nationaal Cyber Security Centrum Netherlands) plant im Laufe des Nachmittages die Veröffentlichung
eines Github-Repositories unter [NCSC2021] mit gesicherten Informationen zu betroffenen Herstellern. Zum
Redaktionsschluss war das Repository noch nicht veröffentlicht.

Bewertung

Log4j wird in vielen Java-Anwendungen eingesetzt. Der Schutz gegen eine aktive, breite Ausnutzung ist durch die
Verfügbarkeit eines PoC sehr gering. Das Patchmanagement von Java-Anwendungen ist nicht trivial, sodass bis zu einer
Update-Möglichkeit die kurzfristigen Mitigationen empfohlen werden.
Wenngleich das Nachladen von Schadcode über den im PoC aufgezeigten Weg bei Grundschutz-konform
eingerichteten Systemen fehlschlagen sollte, sind auch andere Wege denkbar, ggf. auch automatisiert und ohne
Nachladen Schadcode zur Ausführung zu bringen. Hierbei ist die Komplexität im Vergleich zum PoC deutlich erhöht.
Update 1:
Aufgrund der weiten Verbreitung der Bibliothek ist es nur schwer absehbar, welche Produkte alle betroffen sind.
Das BSI sieht aktuell eine Erhöhung der IT-Bedrohungslage für Geschäftsprozesse und Anwendungen. Durch das aktuell
breitflächige Scannen ist eine mögliche anschließende Infektion von anfälligen Systemen und Anwendungen, auch auf
Grund aktuell oftmals noch fehlenden Patches, nicht auszuschließen.
Update 2:
Das Ausmaß der Bedrohungslage ist aktuell nicht abschließend feststellbar. Die Reaktions- und Detektionsfähigkeit des
IT-Betriebes ist kurzfristig geeignet zu erhöhen, um angemessen die Systeme überwachen zu können bzw. zu reagieren.
Aus mehreren CERT-Quellen erreichten das BSI Benachrichtigungen über weltweite Massenscans und versuchte
Kompromittierungen. Es gibt bereits erste Meldungen über erfolgreiche Kompromittierungen (bislang u.a. mit
Kryptominer).
Es sind zudem Ausnutzungen der Schwachstelle zu beobachten, die kein explizites Nachladen eines Schadcodes
benötigen und einen maliziösen Code direkt in der Abfrage enthalten. Dies gefährdet auch Grundschutz-konforme
Systeme, die i.d.R. keine Verbindung ins Internet aufbauen können.

ktuell ist noch nicht bekannt in welchen Produkten diese Bibliothek eingesetzt wird, was dazu führt, dass zum jetzigen
Zeitpunkt noch nicht abgeschätzt werden kann, welche Produkte von der Schwachstelle betroffen sind.
Auch interne Systeme, die Informationen oder Daten von anderen Systemen verarbeiten, können ggf. kompromittiert
werden und sind daher umgehen zu patchen.
Aufgrund der neuen Sachverhalte hat das BSI entschieden die Warnmeldung von der Warnstufe Orange auf Rot
hochzustufen.
Update 3:
Neben erfolgreichen Kompromittierungen mit Kryptominern gibt es unter [3602021] erste Hinweise darauf, dass die
Schwachstelle auch von Botnetzen ausgenutzt wird. Die Wahrscheinlichkeit ist groß, dass die mit dieser Schwachstelle
in Verbindung stehenden Angreiferaktivitäten in den nächsten Tagen deutlich zunehmen werden.

Maßnahmen

Server sollten generell nur solche Verbindungen (insbesondere in das Internet) aufbauen dürfen, die für den
Einsatzzweck zwingend notwendig sind. Andere Zugriffe sollten durch entsprechende Kontrollinstanzen wie Paketfilter
und Application Layer Gateways unterbunden werden. [BSI2021b]
Es sollte entsprechend dem Grundschutzbaustein [BSI2021a] ein Update auf die aktuelle Version 2.15.0 [APA2021] (git-
tag: 2.15.0-rc2 [GIT2021c]) von log4j in allen Anwendungen sichergestellt werden. Da Updates von Abhängigkeiten in
Java-Anwendungen häufig nicht zeitnah erfolgen können, sollte bis dahin die folgende Mitigationsmaßnahme ergriffen
werden:
Die Option „log4j2.formatMsgNoLookups“ sollte auf „true“ gesetzt werden, indem die Java Virtual Machine mit dem
Argument

„–Dlog4j2.formatMsgNoLookups=True”
gestartet wird.
Update 2:
Alternativ kann auch die Umgebungsvariable LOG4J_FORMAT_MSG_NO_LOOKUPS auf true gesetzt werden. Diese
beiden Mitigationsmaßnahmen funktionieren erst ab Log4J Version 2.10.
Achtung: Diese Maßnahme kann die Funktionsweise der Applikation beeinträchtigen, wenn die Lookup-Funktion
tatsächlich verwendet wird.
Update 2:
Die Log4J Versionen 1.x sind von der aktuellen Schwachstelle nach aktueller Kenntnis nicht betroffen [GIT2021d]. Die
Version 1.x wird, auch wenn sie noch in diversen Produkten eingesetzt wird, nicht mehr vom Hersteller unterstützt. Sie
ist End-of-Life und durch andere Schwachstellen verwundbar. Daher sollten auch noch eingesetzte Log4J Versionen 1.x
ebenfalls auf eine nicht-verwundbare Version 2.x aktualisiert werden.
Sofern das Log4j als eigene jar-Datei vorliegt, kann diese ggf. ausgetauscht werden. Hier ist vorab die
Herstellerdokumentation zu prüfen, ob und unter welchen Umständen dieses Verfahren das System absichert.
Als Alternative, die auch in Versionen ab 2.0-beta9 und höher funktioniert, empfiehlt der Hersteller die Klasse
JndiLookup aus dem Klassenpfad zu löschen [APA2021b]:
zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class
Sofern die Hersteller Updates zur Verfügung stellen, sollten diese umgehend installiert werden.
In den jeweilig zu verantwortenden Bereichen sollte qualifiziertes IT-Personal eingesetzt werden, um die kritischen, vor
allem von außen zu erreichende Systeme engmaschig zu überwachen.
Um potentiell betroffene Systeme leichter zu identifizieren, kann zunächst überprüft werden, welche Systeme Java als
Installationsvoraussetzung haben oder Java installieren. Zu solchen Systemen sollten die Meldungen des jeweiligen
Herstellers prioritär geprüft werden. Sofern seitens des Herstellers noch kein Security Advisory veröffentlicht wurde,
sollte eine entsprechende Anfrage gestellt werden.

Da eine Ausnutzung nicht zwingend ein Nachladen von Schadcode aus dem Internet benötigt, sondern bereits mit
einer einzigen Anfrage möglich ist, muss für alle verwundbaren Systeme die Angriffsfläche reduziert werden. Konkrete
Schritte hierzu sind:
• Nicht zwingend benötigte Systeme abschalten.
• Netzwerke segmentieren, sodass verwundbare Systeme von nicht extern-verbundenen/internen Systemen
isoliert werden
Systeme, die aufgrund der Kritikalität für unabdingbare Geschäftsprozesse nicht abgeschaltet werden können:
• In Web-Application-Firewalls (WAF), Intrusion Prevention Systemen (IPS) oder Reverse Proxies Verbindungen,
die Angriffsmuster aufweisen, direkt ohne Weitergabe an die Fachapplikation abweisen oder nicht zwingend
benötigte HTTP-Header auf statische Werte setzen.
• Blockieren aller nicht zwingend notwendigen, ausgehenden Verbindungen.
• Umfassendes Logging und die Protokollierung aller eingehender und ausgehender Verbindungen, um im
Nachgang eine Kompromittierung leichter feststellen zu können.
• Anomaliedetektion auf dem Host betreiben.
• Prüfen, mit welchen Rechten der betroffene Dienst betrieben wird und diese auf das notwendige Minimum
reduzieren.
• Verbindungen zu anderen Systemen sollten getrennt werden.
Für nach Bekanntwerden der Schwachstelle gepachte Systeme muss zusätzlich untersucht werden, ob diese bereits
kompromittiert wurden. Dies betrifft auch Systeme, die nicht direkt mit dem Internet verbunden sind, da diese über
verbundene Systeme kompromittiert worden sein könnten.
Informieren Sie sich auf den Webseiten der von Ihnen eingesetzten Hersteller (u.a. den oben genannten) über Patches
und Workarounds und spielen sie diese unverzüglich ein.
Update 3:
Unter [GIT2021e] und [NCSC2021] (möglicherweise erst am späten Nachmittag verfügbar) wurden Hinweisen zu einer
möglichen Betroffenheit zahlreicher Produkte veröffentlicht. Als erste Orientierungshilfe ist es zu empfehlen, diese
Listen mit eigenen eingesetzten Produkten abzugleichen. Das BSI hat die Inhalte nicht vollständig verifiziert. Die Listen
werden mit hoher Wahrscheinlichkeit fortlaufend aktualisiert, so dass eine mehrmalige Überprüfung notwendig ist.
Dieser Abgleich kann die zwingend erforderlichen eigenen Überprüfungsmaßnahmen ergänzen.
Da zum aktuellen Zeitpunkt keine gesicherte Aussage darüber getroffen werden kann, in welchen Produkten die
Bibliothek eingesetzt wird, kann das unter [GIT2021h] veröffentlichte Tool zum Suchen von betroffenen log4j
Bibliotheken verwendet werden. Das Tool durchsucht dabei Hashsummen-basiert .jar und .war Archive nach
eindeutigen Java-Klassen. Da lediglich die offiziell kompilierten Releases erkannt werden, kann es insbesondere bei
Linux-Systemen vorkommen, dass betroffene log4j Bibliotheken nicht erkannt werden.
Unter [GIT2021f] wurde eine Auflistung von Befehlen veröffentlicht, mit denen man Log-Daten auf eine mögliche
Ausnutzung der Schwachstelle überprüfen kann. Im Falle von Treffern ist es dringend zu empfehlen weitere
Maßnahmen sofort einzuleiten. Zu diesen zählen z.B.: Netztrennung, Suche nach den Schwachstellen, deren Schließung
(ggf. durch Neuinstallation) und dann die Feststellung/Bereinigung einer möglichen Kompromittierung mit Schadcode
unter Betrachtung auch weiterer benachbarter und dahinterliegender Systeme (lateral movement).

Pressemitteilung der Berliner Beauftragten für Datenschutz und Informationsfreiheit

Am heutigen 1. Dezember 2021 tritt das Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG) in Kraft. Das Gesetz regelt unter anderem den Schutz der Vertraulichkeit und Privatsphäre bei der Nutzung von internetfähigen Endgeräten wie Webseiten, Messengern oder Smart-Home-Geräten.

„Mit dem TTDSG ändert sich auch der rechtliche Rahmen für den Einsatz von Cookies und vergleichbaren Technologien“, erklärt Volker Brozio, kommissarischer Dienststellenleiter der Berliner Beauftragten für Datenschutz und Informationsfreiheit. „Das Gesetz schafft Klarheit und bestätigt die Auffassung der Datenschutzbehörde: Für den Einsatz von Cookies und ähnlichen Technologien braucht es im Regelfall eine Einwilligung der Nutzer:innen. Infolgedessen müssen Anbieter:innen von Telemedien überprüfen, ob Anpassungsbedarf unter anderem auf ihren Webseiten oder Apps besteht.“

Auf den meisten Webseiten und Apps werden Technologien wie Cookies eingesetzt, um Informationen auf den Geräten der Nutzenden abzulegen und zu verwalten. Damit einher geht regelmäßig die Verarbeitung von personenbezogener Daten, mindestens der IP-Adresse der Nutzer:innen. Dies dient häufig nicht nur dazu, das Verhalten von Nutzer:innen zu verfolgen, sondern auch Persönlichkeitsprofile über die gesamte Internetnutzung zu erstellen und anzureichern.

Die rechtlichen Rahmenbedingungen für das Setzen und Auslesen von Informationen aus Endgeräten sind in der europäischen ePrivacy-Richtlinie geregelt. Mit dem TTDSG hat der Bundesgesetzgeber nach über einem Jahrzehnt Verzögerung nunmehr die Vorgaben der ePrivacy-Richtlinie in nationales Recht umgesetzt. Die anschließende Verarbeitung der so erhobenen personenbezogenen Daten richtet sich wiederum nach den Anforderungen der Datenschutz-Grundverordnung (DS-GVO). Wer Cookies und ähnliche Technologien verwendet, muss daher in der Regel beide Gesetze beachten.

Betreibende von Webseiten und anderen Telemedien benötigen grundsätzlich eine Einwilligung der Nutzer:innen, wenn sie Informationen auf dem Endgerät speichern oder darauf zugreifen wollen. Einer Einwilligung bedarf es ausnahmsweise nur dann nicht, wenn die Speicherung von und der Zugriff auf Informationen in den Endgeräten unbedingt erforderlich sind, damit ein von den Nutzenden ausdrücklich gewünschter Telemediendienst zur Verfügung gestellt werden kann. Das ist zum Beispiel der Fall bei einem Cookie, der dazu dient, Artikel eines Online-Shops in einem Warenkorb zu speichern.

Um Verantwortliche bei der Umsetzung der neuen Anforderungen behilflich zu sein, erarbeiten die deutschen Datenschutz-Aufsichtsbehörden derzeit eine Orientierungshilfe. Diese soll Anfang nächsten Jahres veröffentlicht werden.

Download TTDSG tritt in Kraft: Klare Regeln für Cookies und ähnliche Technologien als PDF