…kritisch.

Was ist passiert?

In den letzten Tagen wurde eine Schwachstelle in den von Microsoft zur Verfügung gestellten Exchange-Servern der breiteren Öffentlichkeit bekannt.

Die erstmals mit dem Namen „CVE-2021-26855“ bezeichnete Schwachstelle nutzt Lücken bei der Authentifizierung gegenüber den Microsoft-Exchange-Servern aus. Die Hacker-Gruppe „Hafnium“ wird von Microsoft in diesem Zusammenhang genannt.

Microsoft Exchange Server werden vor allem in Zusammenhang mit Microsoft Outlook benutzt. Microsoft Exchange bezeichnet die Server- und Softwarestruktur, die u. a. zur zentralen Ablage und Verwaltung von E-Mails, Terminen und Kontakten genutzt wird.

Viele Unternehmen weltweit sind von der Schwachstelle betroffen. Es ist deshalb wenig verwunderlich, dass das BSI (Bundesamt für Sicherheit in der Informationstechnik) bereits vor einigen Tagen die Bedrohungslage als kritisch bezeichnet hat und die Bedrohungsstufe als rot (sehr hoch) eingestuft hat. Es wird dringendst empfohlen, die mittlerweile von Microsoft bereit gestellten Sicherheitsupdates durchzuführen.

Entsprechende Stellen bei den Datenschutzbehörden haben ebenfalls erste Stellungnahmen veröffentlicht. Die Behörden haben sich in den einzelnen Bundesländern unterschiedlich darüber geäußert, ab wann ein tatsächlicher Datenschutzverstoß und eine Meldung nötig sind. Der Landesdatenschutzbeauftragte des Landes Baden-Württemberg (Dr. Stefan Brink) führte hierzu aus: „Wird bei der Überprüfung der Systeme die Ausnutzung der Schwachstelle festgestellt, so ist grundsätzlich von einer Meldepflicht an die Aufsichtsbehörde auszugehen. Nur in atypischen Konstellationen wird kein Risiko für die Rechte und Freiheiten von betroffenen Personen bestehen (vgl. Artikel 33 Absatz 1 DS-GVO). Ein Verzicht auf die Meldung sollte begründet und dokumentiert werden.“

Was sollten die Unternehmen nun beachten?

  1. Rasche Beseitigung der Schwachstelle.
  2. Überprüfung, ob das eigene System kompromittiert wurde. Falls das eigene System nachweislich nicht betroffen ist, sollte dies unbedingt dokumentiert werden.
  3. Falls eine nachweisliche Kompromittierung stattgefunden hat, sollten umgehend die weiteren Schritte eingeleitet werden. Diese sind u. a. Meldung bei der Datenschutzbehörde, Feststellung des Umfangs der Kompromittierung, Bereinigung des kompromittierten Systems, Dokumentation der gesamten Situation, Benachrichtigung an die entsprechenden Kunden, etc.

Was bedeutet dieser Fall in Bezug auf die Cybersicherheit von Unternehmen?

Eine 100%tige Sicherheit der IT-Systeme ist nicht möglich. Die Bedrohungen können aus unterschiedlichen Richtungen kommen und IT-Systeme beinhalten unterschiedliche Komponenten.

In Falle des „Exchange-Server-Hacks“ konnten Unternehmen und deren IT-Administration nur reagieren. Ein aktives Vorbeugen war nicht möglich. Die Schließung der Lücken konnte nur vom Anbieter (Microsoft) angestoßen werden. Vor dem 03.03.2021 war die Schließung der Lücken schlichtweg nicht möglich. Erst seit dem 09.03.2021 ermöglicht Microsoft die Einspielung der Patches für alle betroffenen Server-Systeme.

Viele der Server wurden vermutlich bereits vor diesem Zeitraum kompromittiert. Der Schaden und die finanziellen Auswirkungen, die sich aus den oben angeschnittenen Maßnahmen ergeben, sind nicht durch die eigene IT-Sicherheit zu verhindern gewesen.

Zusätzlich stellt sich nun für die Firmen die Frage, ob die Maßnahmen alleine in Angriff genommen werden sollen oder ob vielleicht auch entsprechende Experten aus diesem Bereichen mit ins Boot geholt werden sollen. Bei den Experten könnte es sich beispielsweise um IT-Forensiker, Fachanwälte, PR-Berater usw. handeln. Diese lassen sich Ihre Arbeit allerdings entsprechend bezahlen.

Die Cyberversicherung: der Airbag, falls doch etwas schief geht

Die guten „Cyber-Versicherungen“ am Markt beinhalten sowohl die Kosten, die auf ein betroffenes Unternehmen zukommen, als auch die Experten.

Das Zusammenspiel zwischen den Vorbeugemaßnahmen (eigene IT-Struktur) und der Absicherung des Restrisikos („Cyber-Versicherung“) lässt sich in etwa mit dem Zusammenspiel von Bremsen und Airbags in Fahrzeugen vergleichen. Die meisten Fahrzeuge haben, obwohl sie gut funktionierende Bremsen haben, auch Airbags. Die Bremsen sind eine Vorbeugemaßnahme und dienen der Unfallvermeidung. Für die Absicherung des Restrisikos der Personen existieren Airbags. Es gibt wohl kaum jemanden der auf einen Airbag verzichten würde, nur weil das Fahrzeug gut funktionierende Bremsen hat.

Warum geht man dieses Risiko als Unternehmen jedoch im Bereich der digitalen Gefahren ein?

 

Gerne hilft Ihnen Ihr Finanz- und Versicherungsmakler confin aus dem Raum Stuttgart dabei den passenden Versicherungsschutz zu finden und den Überblick zu behalten.

 

 

 

 

 

Autor: Tom Pöschmann

 

Quellen:

Der Landesdatenschutzbeauftragte Dr. Stefan Brink zu „Hafnium“: Pressemitteilung vom 10.03.2021: „Aktive Ausnutzung der Microsoft Exchange Schwachstelle“
https://www.tagesschau.de/inland/bsi-hacker-sicherheitsluecke-101.html
https://www.heise.de/news/Der-Hafnium-Exchange-Server-Hack-Anatomie-einer-Katastrophe-5077269.html
https://www.heise.de/news/Exchange-Hack-Uneinheitliche-Position-der-Datenschutzbehoerden-zur-Meldepflicht-5078453.html

https://www.heise.de/news/Exchange-Luecken-BSI-ruft-IT-Bedrohungslage-rot-aus-5075457.html?utm_source=pocket-newtab-global-de-DE

Nepper, Schlepper, Bauernfänger – so hieß ein bereits 1964 erstmals ausgestrahltes Magazin des ZDF.
Die Sendung wurde unter „Vorsicht, Falle!“ 2018 wieder ins Leben gerufen.

Zu Recht. Denn die Glücksritter vermehren sich, in Zeiten elektronischer Medien, noch schneller als früher. Schließlich muss man dafür heute nicht mehr in Deutschland, also für die Justiz erreichbar, sein, sondern man kann sein Unwesen bequem aus Ländern treiben, die für den Arm des Deutschen Gesetzes unerreichbar sind.

Der Schaden verbleibt beim gutgläubigen Kunden. Was passiert? Weiterlesen

Immer wieder höre ich in Gesprächen mit Berufskollegen (m/w/d, gabs in der Praxis noch nicht), dass die Branche überaltert, man keine geeigneten Fachkräfte finden würde und die Zukunft unsicher sei. Auf meine Frage, ob sie denn selbst ausbilden würden, kommt meist ein Kopf schütteln – zu viel Arbeit.
Weiterlesen

Mal wieder werden Berater verarscht.

Bei  ZDF-Magazin wiso heißt das natürlich „Testkauf“.

Eine Journalistin und ein Jurist, der bei der Verbraucherschutzzentrale arbeitet, spielen ein Ehepaar mit zwei Kindern, auf der Suche nach der richtigen Altersversorgung. Weiterlesen

Es ist soweit: Erster Vergleichsrechner wagt sich an das komplexe Thema der Cyber-Versicherung heran. Wird deshalb die individuelle Beratung in diesem Bereich überflüssig?

Wir haben den Rechner genauer unter die Lupe genommen und mehrere Vergleiche berechnet. Hier unser Eindruck:

Weiterlesen

Mehr oder weniger unbemerkt hat der Gesetzgeber dem Umstand Rechnung getragen, dass Drohnen immer beliebter werden. Damit steigt naturgemäß auch die Zahl der Zwischenfälle durch Abstürze, Kollisionen und Unfälle. Die neue Drohnenverordnung gilt bereits seit April diesen Jahres (2017). Ab 01.10.2017 ist nun auch der Kenntnisnachweis zwingend erforderlich: Weiterlesen

Eine glatte Unverschämtheit! Das war mein erster Gedanke beim Lesen. Der Vorstand eines großen Versicherers, der nach eigenen Angaben den größten Teil seines Geschäftes über Makler macht, hält diese für zu bequem, ihren Kunden das tolle Angebot zu erklären. In diesem Umstand sieht er eines der Verkaufshindernisse. Aber halt! Erst Nachdenken, dann ärgern.

Handelt es sich nicht in Wahrheit um ein tolles Lob des Vorstandes an die Versicherungsmakler? Weiterlesen

Laut Stau-Statistiken verbringen Autofahrer in und um Stuttgart die meisten Stunden im Stau.

Was liegt da näher, als sich ein Dienstfahrrad anzuschaffen. Aber – man möchte nicht völlig verschwitzt und mit hochrotem Kopf bei seinen Terminen im Stadtgebiet ankommen.  Und Stuttgart ist, bedingt durch seine Kessellage, ein echtes Fitnessprogramm für Fahrradfahrer. Also: ein E-Bike! Los gehts mit Fakten checken. Dabei stolpert man dann über folgende Information: Weiterlesen

Ein Unfall ist schnell passiert. Eine Unfallversicherung schützt dann, so hofft man, zumindest vor den finanziellen Folgen.

Also rasch die Schadenanzeige ausfüllen und zusammen mit dem ärtlichen Bericht, den man als Laie meist nicht entschlüsseln kann, an die Versicherung senden. Doch statt der erwarteten Überweisung kommt ein Brief. Weiterlesen