BSI-Warnung: Tausende Clouds in Deutschland für Cyber-Attacken anfällig

Trotz verfügbarer Sicherheitsupdates hat nur ein Fünftel der Betroffenen reagiert

[datensicherheit.de, 16.03.2017] Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt, dass über 20.000 in Deutschland betriebene Clouds, die veraltete Versionen der Software „ownCloud“ und „Nextcloud“ einsetzen, zum Teil kritische Sicherheitslücken aufweisen. Angreifer könnten durch diesen unsicheren Betrieb auf die in der Cloud gespeicherten Daten zugreifen, sie manipulieren oder veröffentlichen. Betroffen seien u.a. die Cloud-Anwendungen großer und mittelständischer Unternehmen, öffentlicher und kommunaler Einrichtungen, von Energieversorgern, Krankenhäusern, Ärzten und Rechtsanwälten sowie privaten Nutzern.

Nur rund ein Fünftel der Betroffenen hat reagiert

Bereits seit Anfang Februar 2017 benachrichtige das CERT-Bund des BSI deutsche Netzbetreiber über diese ihm bekannten betroffenen Cloud-Systeme. Provider werden aufgerufen, ihre die Clouds in Eigenverantwortung betreibenden Kunden entsprechend zu informieren. Bislang habe jedoch nur rund ein Fünftel der bekannten betroffenen Unternehmen, Institutionen und Privatnutzer reagiert und die Sicherheitslücken durch bereits längere Zeit verfügbare Updates geschlossen.

Betreiber für Sicherheit ihrer Cloud verantwortlich

„Cloud-Betreiber sind für die Sicherheit ihrer Cloud verantwortlich und sollten mit dieser Verantwortung sorgsam umgehen. Der Betrieb von Clouds mit veralteten Software-Versionen, für die bereits seit langer Zeit Updates der Hersteller
bereitstehen, ist fahrlässig und macht es Kriminellen viel zu leicht, sensible Daten zu stehlen oder Geschäftsprozesse zu beeinflussen“, betont BSI-Präsident Arne Schönbohm. Empfehlungen des BSI für mehr Cloud-Sicherheit seien verfügbar, als nationale Cyber-Sicherheitsbehörde stehe man Cloud-Anwendern gern „mit Rat und Tat“ zur Seite.

Sicherheitsstatus von Clouds überprüfen!

Unabhängig vom Hersteller der Cloud-Software rät das BSI Cloud-Betreibern, den Versionsstand der von ihnen eingesetzten Cloud-Software regelmäßig zu überprüfen und bereitgestellte Updates schnellstmöglich zu installieren. Die Hersteller der weit verbreiteten Cloud-Software „ownCloud“ und „Nextcloud“ böten online kostenfreie Dienste an, mit denen Betreiber den Sicherheitsstatus von Clouds auf Basis dieser Software überprüfen könnten.

Hintergrund: Cloud-Systeme

Cloud-Systeme dienen dem einfachen Austausch bzw. einer Synchronisation von Daten. Tausende der in Deutschland betriebenen Cloud-Systeme laufen jedoch nach BSI-Erkenntnissen mit veralteten Software-Versionen, die von den Herstellern der Cloud-Software nicht mehr unterstützt werden und daher kritische Sicherheitslücken aufweisen.
Angreifer könnten diese Schwachstellen ausnutzen, um unberechtigt auf die in der Cloud gespeicherten Daten zuzugreifen, sensible Informationen wie Kundendaten, Unternehmensdaten oder persönliche Dokumente auszuspähen und diese für kriminelle Zwecke zu nutzen. Weitere Schwachstellen ermöglichen Angreifern die Ausführung beliebigen Programmcodes auf dem Cloud-Server – dies kann zu einer vollständigen Kompromittierung des Systems und dessen Missbrauch für weitere kriminelle Aktivitäten führen.

Weitere Informationen zum Thema:

ownCloud
Vulnerability Scanner

Nextcloud
Nextcloud Security Scan

Bundesamt für Sicherheit in der Informationstechnik
Digitale Gesellschaft / Cloud Computing

datensicherheit.de, 21.11.2016
Cloud Privacy Check: Größte europäische Informationsplattform zum Datenschutz

datensicherheit.de, 16.11.2016
Providerauswahl: Angst vorm Datenklau in der Cloud

datensicherheit.de, 23.10.2016
NIFIS warnt vor voreiligem Nutzen von Cloud-Lösungen