Angriffe schon seit dem 1. Dezember

Erschwerend kommt hinzu, dass zumindest einige Angreifer möglicherweise mehr Vorlauf hatten als zunächst angenommen. Das Problem wurde öffentlich bekannt, nachdem die Sicherheitslücke am Donnerstag auf Servern für das Online-Spiel «Minecraft» auffiel. Nachträglich stellte die IT-Sicherheitsfirma Cloudflare allerdings fest, dass schon mindestens seit dem 1. Dezember auf die Sicherheitslücke ausgerichtete Angriffsversuche im Umlauf waren. Allerdings habe es erst zum Wochenende Attacken auf breiter Front gegeben.

Log4j ist eine sogenannte Logging-Bibliothek. Sie ist dafür da, diverse Ereignisse im Server-Betrieb wie in einem Logbuch festzuhalten – zum Beispiel für eine spätere Auswertung von Fehlern. Die Schwachstelle kann schon allein dadurch aktiviert werden, dass in dem Log eine bestimmte Zeichenfolge auftaucht, zum Beispiel durch eine Nachricht. Damit ist sie eher einfach auszunutzen, was Experten in grosse Sorge versetzte. Zugleich haben die Systeme grosser Anbieter meist mehrschichtige Schutzmechanismen.

IT-Sicherheitsfirmen und Java-Spezialisten arbeiteten am Wochenende daran, die Schwachstelle zu stopfen. Für die betroffenen Versionen der quelloffenen Log4j-Bibliothek gibt es inzwischen ein Update. Allerdings greift sein Schutz erst, wenn Dienstebetreiber es installieren. Deshalb baute der Firewall-Spezialist Cloudflare für seine Kunden einen Mechanismus ein, der Angriffe blockieren soll. Experten warnten, dass nicht nur Online-Systeme gefährdet seien. Auch etwa ein QR-Scanner oder ein kontaktloses Türschloss könnten angegriffen werden, wenn sie Java und Log4j benutzten, betonte Cloudflare.

Die amerikanische IT-Sicherheitsbehörde CISA bildete eine Arbeitsgruppe unter anderem mit der Bundespolizei FBI und dem Geheimdienst NSA. «Diese Schwachstelle birgt ein erhebliches Risiko», stellte die CISA fest. Sie betonte, dass die Sicherheit der Verbraucher von den Massnahmen der Diensteanbieter abhängen werde.

«Sofern die Hersteller Updates zur Verfügung stellen, sollten diese umgehend installiert werden», empfahl auch das BSI den Unternehmen. «Aktuell ist noch nicht bekannt, in welchen Produkten diese Bibliothek eingesetzt wird, was dazu führt, dass zum jetzigen Zeitpunkt noch nicht abgeschätzt werden kann, welche Produkte von der Schwachstelle betroffen sind», schränkte das Amt ein.

Die Schwachstelle rückt auch abermals ein bekanntes Problem der Tech-Industrie in den Mittelpunkt: Open-Source-Software wie Log4j wird von kleinen Programmierer-Teams entworfen und gepflegt, die dafür oft gar nicht bezahlt werden. Dann wird sie aber als kostengünstige Lösung von grossen Unternehmen übernommen. Open-Source-Software gilt zwar grundsätzlich als sicher, weil ihr Quellcode öffentlich ist und von allen geprüft werden kann - manche Fehler werden dennoch übersehen.