BSI warnt Microsoft-Exchange-Nutzer

Hinzu komme eine Dunkelziffer an Exchange-Servern in vergleichbarer Größenordnung, die potenziell verwundbar seien. Das geht aus einer aktuellen Untersuchung des Bundesamts für Sicherheit in der Informationstechnik (BSI) hervor.

Das Bundesamt ruft die Betreiber der Instanzen dazu auf, aktuelle Exchange-Versionen einzusetzen, verfügbare Sicherheitsupdates einzuspielen und die Instanzen sicher zu konfigurieren. Weitere Informationen stellt das BSI in dieser Warnung zur Verfügung.

Laut BSI nutzen Cyberkriminelle sowie staatliche Akteure mehrere dieser Schwachstellen bereits aktiv zur Verbreitung von Schadsoftware, zu Cyberspionage oder für Ransomware-Angriffe aus. Betroffen seien insbesondere Schulen und Hochschulen, Kliniken, Arztpraxen, Pflegedienste und andere medizinische Einrichtungen, Rechtsanwälte und Steuerberater, Kommunalverwaltungen sowie viele mittelständische Unternehmen.

Ausmaß der Verwundbarkeit

Dazu sagt Claudia Plattner, Präsidentin des BSI: „Dass es in Deutschland von einer derart relevanten Software zigtausende angreifbare Installationen gibt, darf nicht passieren. Unternehmen, Organisationen und Behörden gefährden ohne Not ihre IT-Systeme und damit ihre Wertschöpfung, ihre Dienstleistungen oder eigene und fremde Daten, die womöglich hochsensibel sind. Cybersicherheit muss endlich hoch oben auf die Agenda. Es besteht dringender Handlungsbedarf.“

Rund 45.000 Microsoft-Exchange-Server in Deutschland sind BSI-Angaben zufolge derzeit ohne Beschränkungen aus dem Internet erreichbar. Zwölf Prozent davon seien so veraltet, dass für sie keine Sicherheitsupdates mehr angeboten werden. Rund 25 Prozent aller Server würden zwar mit aktuellen Versionen Exchange 2016 und 2019 betrieben, verfügten aber über einen veralteten Patch-Stand. In beiden Fällen seien die Server für mehrere kritische Schwachstellen anfällig. Damit seien mindestens 37 Prozent aller offen aus dem Internet erreichbaren Microsoft-Exchange-Server verwundbar.

Für weitere 48 Prozent der Exchange-Server könne keine eindeutige Aussage hinsichtlich der Verwundbarkeit für die kritische Schwachstelle CVE-2024-21410 getroffen werden, so das BSI weiter. Diese Systeme seien noch verwundbar, sofern die Betreiber nicht die seit August 2022 zur Verfügung stehende Extended Protection aktiviert oder andere Schutzmaßnahmen getroffen haben. Inwieweit dies zutrifft, könnten nur die jeweiligen Betreiber beurteilen.

Abgesehen davon informiert das CERT-Bund des BSI iNetzbetreiber in Deutschland bereits seit längerer Zeit tagesaktuell automatisiert per E-Mail zu IP-Adressen in ihren Netzen, unter denen sich bekannte verwundbare Exchange-Server befinden.