[datensicherheit.de, 24.11.2025] „Was macht unsere Software so angreifbar?“ – mit dieser Frage konfrontiert Dr. Hubert B. Keller vom Förderverein Ada Deutschland e.V. gerne sein Auditorium. Er macht die Relevanz schnell deutlich, besteht doch die überwiegende Zahl der technischen Systeme inzwischen zu großen Teilen aus Software: Zuverlässigkeit und Sicherheit dieser Systeme hänge somit ganz entschieden eben von der Zuverlässigkeit und Sicherheit ihrer Softwarekomponenten ab. „Und genau hier liegt ein erhebliches Problem: Die zunehmend starke Vernetzung und eine große Zahl bekannter Schwachstellen in verwendeter Software macht unsere Systeme angreifbar!“, warnt Keller eindringlich. Die volkswirtschaftlichen Schäden durch Cyberangriffe haben dauerhaft eine bedrohliche Größenordnung erreicht – ein stilles Hoffen auf das Beste und fatalistisches Abwarten können daher keine Option mehr sein, vielmehr gilt es, elementare IT-Sicherheitsmaßnahmen umzusetzen und auch bei der Wahl der Programmiersprache die richtige Wahl zu treffen, um „Security by Design“ zu ermöglichen.

Foto: Dirk Pinnow

Dr. Hubert B. Keller als Sprecher beim Vortragsabend „Cyber, KI und Geopolitik – Sicherheit in der vernetzten Welt“ der Konrad-Adenauer-Stiftung in Berlin am 21. Oktober 2025

Acht von zehn Unternehmen von Datendiebstahl, Spionage oder Sabotage betroffen

Erschreckend sei, dass Cyberangriffe mit erheblichen schädlichen Auswirkungen heute fast schon als alltäglich wahrgenommen werden. Tatsächlich aber verursacht Cyberkriminalität der deutschen Wirtschaft im weiteren Sinne jährlich einen Gesamtschaden in der Größenordnung von 200 Milliarden Euro. Hier sollte man zum Vergleich mal den Bundeshaushalt heranziehen, welcher nach Angaben des Bundesministeriums der Finanzen (BMF) für das Jahr 520,48 Milliarden Euro betragen soll [Stand per 23.11.2025].

• Nach statista-Angaben belaufen sich die Schäden durch Datendiebstahl, Industriespionage oder Sabotage in Deutschland im Jahr 2025 sogar auf etwa 289,2 Milliarden Euro.

Eine Bitkom-Studie von 2024 hat aufgezeigt, dass acht von zehn Unternehmen von Datendiebstahl, Spionage oder Sabotage betroffen waren. Eine solche Entwicklung gefährde nicht nur Unternehmen, sondern in besonderem Maße auch Kritische Infrastruktur (KRITIS), Lieferketten, die Industrie als Ganzes und vernetzt agierende Systeme wie Autonome Fahrzeuge.

Flut an Software-Schwachstellen sollte zu grundsätzlich neuem Sicherheitsansatz führen

Keller erläutert, was genau unsere Software so angreifbar macht: Die CISA (Cybersecurity and Infrastructure Security Agency) in den USA publiziert regelmäßig Hinweise auf Schwachstellen in der Software von technischen Systemen und hat hierzu einen Katalog ausgenutzter Sicherheitsprobleme erstellt. Auch das CVE-Programm veröffentlicht einen solchen Katalog, auf dessen Basis die „Top 25 Most Dangerous Software Weaknesses“ zusammengefasst und hervorgehoben werden.

• „Schaut man sich diese ,Top 25‘-Schwachstellen an, findet man sich permanent wiederholende Probleme vor allem in zwei Bereichen“, berichtet Keller.

Der erste umfasse alles, was es ermöglicht, sich mit falschen Identitäten und manipulierten Daten Zugriff zu einem System zu verschaffen – ungenügende Passwortabsicherung, inkorrektes Benutzermanagement, unsichere Übertragung sensibler Informationen, mangelhafte Validierung von Inputdaten. Selbst „Hard-coded Credentials“ tauchten immer noch in dieser Liste auf. Der zweite betreffe Implementierungsfehler – falsche programmtechnische Realisierung und fehlende Prüfung von Code.

Mit „Ada“ ganze Klassen von Fehlern systematisch von Grund auf vermeiden

Bei den Schwachstellen im Code-Kontext befinden sich laut Keller in exponierter Position Fehler bei der Speicherverwaltung: „Out-of-bounds Read & Write”, „Buffer Overflow”, „Null Pointer Dereference”, „Use After Free”, usw. Sowohl Microsoft als auch Google („Chrome“) hätten bestätigt, dass ungefähr 70 Prozent der von ihnen adressierten Schwachstellen auf unsicheren Umgang mit Speicher zurückgingen.

• „Und dieses Problem kann man hauptsächlich als eine Frage der eingesetzten Programmiersprache betrachten!“, unterstreicht Keller. Denn dieses trete vor allem dann auf, wenn keine geeigneten Speicherabstraktionen zur Verfügung stehen. Dies sei übrigens ein Grund für das „Informationsblatt zu sicheren Programmiersprachen“ der NSA, welches für Sprachen mit sicherer Speicherverwaltung plädiere – unter anderem eben für „Ada“.

„Aus gutem Grund: Programmiersprachen wie ,Ada’ können durch strenge Typisierung und umfangreiche Compiler- und Laufzeit-Prüfungen ganze Klassen von Fehlern systematisch von Grund auf vermeiden“, kommentiert Keller und führt weiter aus: „In ,Ada’ ist ein Array kein Pointer auf das erste Element, sondern eine semantische Struktur, die Indextypen und Grenzen des Arrays untrennbar beinhaltet. Lese- und Schreiboperationen werden sowohl vom Compiler als auch zur Laufzeit geprüft.“

Zwölf der „Top 25“-Schwachstellen mittels „Ada“-Verwendung zu vermeiden

Zwölf der „Top 25“-Schwachstellen wären somit durch „Ada“-Verwendung und deren syntaktische und semantische Prüfung durch den Compiler und das Laufzeitsystem ausgeschlossen, ließen sich also allein durch die Wahl der Programmiersprache vermeiden – „und das unabhängig von Programmierfehlern!“

• Sieben weitere Schwachstellen ließen sich durch korrekte Authentifizierung, Autorisierung und Passwortabsicherung vermeiden. „Was erschreckend ist, dass der Großteil trotzdem regelmäßig unter den ,Top 25‘ auftaucht, obwohl es für keine einzige Schwachstelle davon eine Ausrede gibt.“

Es seien in aller Regel die gleichen, allgemein vorher bekannten Fehler, die Software so angreifbar machten – „Fehler, die wir kennen und von denen wir wissen, wie sie zu beheben sind“, moniert Keller.

Foto: Dirk Pinnow

Laut Kellers klarer Positionierung müsse Grundsätzliches in der Implementierung umgestellt und bei allen Beteiligten ein Sicherheitsbewusstsein entwickelt werden – eben u.a. auch in der Politik und Gesellschaft

Singuläre Reparatur einzelner Schwachstellen unzureichend – „Security by Design“ gefragt

„Dass vorhandene Erkenntnisse in der Praxis schlicht nicht umgesetzt werden, liefert Jahr für Jahr die möglichen Angriffsvektoren für Cyberangriffe und gefährdet technische Systeme vom ,Smart Home’ bis zur Kritischen Infrastruktur, verbunden mit immensen Kosten“, gibt Keller zu bedenken.

• Um diese Gefährdung effektiv, wirtschaftlich vertretbar und nachhaltig zu beheben, reiche indes eine singuläre Reparatur einzeln erkannter Schwachstellen nicht aus. Keller unterstreicht: „Es muss Grundsätzliches in der Implementierung umgestellt und bei allen Beteiligten ein Sicherheitsbewusstsein entwickelt werden – bei denjenigen, die programmieren, auf Managementebene, aber auch in Politik und Gesellschaft!“

Abschließend empfiehlt er mehr „Security by Design“, mehr Sorgfalt in der Benutzerverwaltung und bei Kommunikationsprotokollen und „Augen auf bei der Wahl der Programmiersprache“ – an seiner bevorzugten Wahl von „Ada“ lässt er in diesem Zusammenhang keinen Zweifel.

Weitere Informationen zum Thema:

ResearchGate
Hubert B. Keller / Doctor of Engineering / Independent Expert/CEO at www.dr-hbkeller.de/index.html /www.ci-tec.de

Ada Deutschland
ADA IN DEUTSCHLAND

Bundesministerium der Finanzen
Bundeshaushalt

statista, Internet – Cyberkriminalität
Schäden durch Datendiebstahl, Industriespionage oder Sabotage in Deutschland im Jahr 2025

bitkom, 28.08.2024
Angriffe auf die deutsche Wirtschaft nehmen zu

CISA CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY
Cyber Threats and Advisories

CVE
CVE Program Mission: Identify, define, and catalog publicly disclosed cybersecurity vulnerabilities.

CWE Common Weakness Enumeration
CWE Top 25 Most Dangerous Software Weaknesses

Microsoft
microsoft / MSRC-Security-Research Public

Google, 21.09.2021
Security Blog
An update on Memory Safety in Chrome

National Security Agency, April 2023
Cybersecurity Information Sheet: Software Memory Safety

WIKIPEDIA
Ada (Programmiersprache)

GI FACHGRUPPE ADA
Willkommen bei der Fachgruppe Ada – Zuverlässige Software-Systeme

DE GRUYTER OLDENBOURG, „at – Automatisierungstechnik“, 31.10.2016
Hubert B. Keller, Oliver Schneider, Jörg Matthes und Veit Hagenmeyer: „Zuverlässige und sichere Software offener Automatisierungssysteme der Zukunft – Herausforderungen und Lösungswege“

datensicherheit.de, 12.11.2025
BSI-Jahresbericht 2025: Trotz Fortschritten bei der Cybersicherheit weiterhin hohe Verwundbarkeit / Immer mehr KRITIS-Betreiber erfüllen die Mindestanforderungen und internationale Ermittlungen gegen Cyberkriminelle zeigen Wirkung – dennoch bleibt die Lage weiter angespannt

datensicherheit.de, 06.11.2025
Fast ein Viertel der KMU-Chefetage ignoriert Geschäftsrelevanz der Cybersicherheit / 23 Prozent der IT-Führungskräfte deutscher KMU sprechen ihrem „C-Level“ das Verständnis für die geschäftliche Relevanz ihrer betrieblichen Cybersicherheit ab

datensicherheit.de, 25.08.2025
Mehr als ein rein technisches Problem: Cybersicherheit eine Frage der Haltung / Lieferketten, Produktionssysteme und Kritische Infrastrukturen geraten zunehmend ins Visier professioneller Angreifer – die Bedrohung der Cybersicherheit ist real und betrifft jedes Unternehmen unabhängig von der Größe

datensicherheit.de, 22.03.2017
AdaCore: Neue Broschüre für Entwicklung zertifizierter Software in der Luftfahrt / Kostenlose Publikation „AdaCore Technologies for DO-178C / ED-12C“ vorgestellt

[datensicherheit.de, 04.11.2025] Kaspersky meldet, dass ein aktuelles eigenes Security-Audit aufzeigt, wie Angreifer durch die Ausnutzung einer „Zero Day“-Schwachstelle in einer Anwendung eines Auftragnehmers die vollständige Kontrolle über das Telematiksystem eines Fahrzeugs hätten erlangen können – „inklusive potenzieller Manipulation sicherheitsrelevanter Funktionen wie Gangwechsel oder Motorabschaltung“. Diese Untersuchung offenbart demnach schwerwiegende Schwachstellen sowohl in der Infrastruktur des Herstellers als auch im vernetzten Fahrzeug selbst und verdeutlicht den dringenden Handlungsbedarf der Automobilindustrie, Cybersicherheits-Maßnahmen zu stärken und Drittsysteme besser abzusichern. Die Ergebnisse dieses Audits seien auf dem diesjährigen „Security Analyst Summit“ (SAS) vorgestellt worden.

Kontrolle über das Telematik-System des Fahrzeuges

Durch die Ausnutzung einer „Zero Day“-Schwachstelle in einer öffentlich zugänglichen Anwendung eines Auftragnehmers sei es Kaspersky-Experten gelungen, die Kontrolle über das Telematik-System des Fahrzeuges zu erlangen.

• Damit hätten Angreifer beispielsweise während der Fahrt Gangwechsel erzwingen oder den Motor abstellen können, was die Sicherheit von Fahrern und Beifahrern gefährden würde.

Das Audit verdeutliche gravierende Cybersicherheitsrisiken in der Automobilindustrie und unterstreicht die dringende Notwendigkeit, Schutzmaßnahmen deutlich zu verstärken.

Telematik ermöglicht Erfassung, Übertragung, Analyse und Nutzung zahlreicher Daten

„Das Security-Audit wurde remote durchgeführt und umfasste sowohl die öffentlich zugänglichen Dienste des Herstellers als auch die Infrastruktur des Auftragnehmers.“ Dabei hätten die Kaspersky-Experten mehrere ungeschützte Web-Dienste identifiziert. „Über eine bislang unbekannte SQL-Injection-Schwachstelle in der Wiki-Anwendung – einer webbasierten Plattform zur gemeinsamen Erstellung und Verwaltung von Inhalten – gelang es ihnen, eine Liste von Nutzerkonten des Auftragnehmers inklusive Passwort-Hashes zu extrahieren.“

• Aufgrund schwacher Passwortrichtlinien hätten einige dieser Passwörter erraten werden können. „Dadurch erhielten die Experten Zugriff auf das Issue-Tracking-System des Auftragnehmers, ein Tool zur Verwaltung und Nachverfolgung von Aufgaben, Fehlern und Projekten.“ Dieses System habe sensible Konfigurationsdaten der Telematik-Infrastruktur des Herstellers enthalten – „darunter eine Datei mit gehashten Passwörtern von Nutzern eines Fahrzeugtelematik-Servers“.

In modernen Fahrzeugen ermögliche Telematik die Erfassung, Übertragung, Analyse und Nutzung zahlreicher Daten – etwa zu Geschwindigkeit oder Geolokalisierung – und bilde somit eine zentrale Schnittstelle für vernetzte Fahrzeugsysteme.

Schwachstellen: Modifizierte Firmware könnte auf Telematik-Steuergerät (TCU) hochladen werden

Auf der Seite des vernetzten Fahrzeugs hätten die Kaspersky-Experten eine falsch konfigurierte Firewall entdeckt, „die interne Server ungeschützt ließ“. Mithilfe eines zuvor erlangten Servicekonto-Passworts hätten sie Zugriff auf das Dateisystem des Servers erhalten und dort die Zugangsdaten eines weiteren Auftragnehmers gefunden. Dadurch sei es ihnen gelungen, die volle Kontrolle über die Telematik-Infrastruktur zu übernehmen.

• „Im Zuge des Audits stießen sie zudem auf einen Firmware-Update-Befehl, mit dem sich modifizierte Firmware auf das Telematik-Steuergerät (TCU) hochladen ließ.“ So hätten sie Zugriff auf den CAN-Bus (Controller Area Network) des Fahrzeugs erhalten – das zentrale Kommunikationssystem, welches verschiedene Komponenten wie Motorsteuerung und Sensoren miteinander verbinde.

„Anschließend konnten weitere Systeme, darunter die Motorsteuerung, angesprochen werden.“ Dies hätte potenziell die Manipulation zahlreicher sicherheitsrelevanter Fahrzeugfunktionen ermöglicht und die Sicherheit von Fahrer und Beifahrer ernsthaft gefährdet.

Bedrohung der Telematik durch Sicherheitslücken auf Basis in der Automobilindustrie weit verbreiteter Probleme

„Die Sicherheitslücken resultieren aus Problemen, die in der Automobilindustrie weit verbreitet sind: Öffentlich zugängliche Webdienste, schwache Passwörter, fehlende Zwei-Faktor-Authentifizierung und unverschlüsselte Speicherung sensibler Daten“, kommentiert Artem Zinenko, „Head of Kaspersky ICS CERT Vulnerability Research and Assessment“.

• Er warnt: „Das Audit zeigt, wie bereits eine einzelne Schwachstelle in der Infrastruktur eines Auftragnehmers zu einer vollständigen Kompromittierung sämtlicher vernetzter Fahrzeuge führen kann!“

Die Automobilindustrie müsse robuste Cybersicherheitspraktiken priorisieren – insbesondere in Systemen von Drittanbietern –, um Fahrer zu schützen und das Vertrauen in vernetzte Fahrzeugtechnologien zu bewahren.

Kaspersky gibt Empfehlungen zur Absicherung von Telematik-„Ökosystemen“

Für Dienstleister:

1. Den Internetzugriff auf Webdienste ausschließlich über ein VPN erlauben!
2. Dienste von Unternehmensnetzen isolieren, um ungewollten Zugriff zu verhindern!
3. Strikte Passwortrichtlinien durchsetzen, eine Zwei-Faktor-Authentifizierung (2FA) implementieren und sensible Daten verschlüsseln!
4. Logging in ein SIEM (Security Information and Event Management) integrieren, um sicherheitsrelevante Ereignisse in Echtzeit zu überwachen!

Für Hersteller:

1. Den Zugriff auf die Telematik-Plattform aus dem Fahrzeugnetzsegment beschränken!
2. Positivlisten für Netzwerkinteraktionen verwenden, um nur autorisierte Verbindungen zuzulassen!
3. Die Passwort-Authentifizierung bei „Secure Shell“ deaktivieren und Dienste mit minimalen Rechten betreiben!
4. Die Befehlsauthentizität in Telematik-Steuereinheiten sicherstellen und diese Maßnahmen mit der Integration in ein SIEM kombinieren!

Weitere Informationen zum Thema:

kaspersky
Cyberimmunität ist unser erklärtes Ziel / Wir sind ein Team von über 5.000 Fachleuten mit einer über 25-jährigen Erfolgsgeschichte im Schutz von Privatpersonen und Unternehmen weltweit und haben uns die weltweite Cyberimmunität als ultimatives Ziel gesetzt.

Linkedin
Artem Zinenko – Senior Software Engineer

[SAS25]
Kaspersky SecurityAnalyst summit / Khao Lak, Thailand 26-29 October 2025

datensicherheit.de, 07.09.2025
Autonomes Fahren Made in Germany – Deutschland könnte Vorreiter bei hochautomatisierten Fahrzeugen werden / TÜV Rheinland sieht deutsche Automobilindustrie insbesondere bei Sicherheit und Zuverlässigkeit Autonomer Fahrzeuge in aussichtsreicher Startposition

datensicherheit.de, 10.06.2025
SIEM: Ingenieure sollten Cyberbedrohungen stets einen Schritt voraus sein / In der heutigen „hypervernetzten Welt“ sind nun auch Ingenieurbüros zu lukrativen Zielen geworden – die jüngsten Angriffe auf Unternehmen wie IMI und Smiths Group sollten als Warnung verstanden werden

datensicherheit.de, 15.06.2022
Autonome Fahrzeuge: Höhere Sicherheit von der KI als von menschlichen Fahrern gefordert / Der TÜV-Verband e.V. zu seiner Verbraucherstudie 2021 über Sicherheit und KI

[datensicherheit.de, 12.08.2025] Tenable meldet, dass aktuell vermehrt Berichte über eine Post-Compromise-Schwachstelle auftauchen, welche es demnach Angreifern ermöglicht, in hybriden „Microsoft Exchange“-Umgebungen unbemerkt ihre Berechtigungen zu erweitern und Zugriff auf besonders sensible Systeme zu erlangen – Microsoft stuft diese Schwachstelle gemäß des „Microsoft Exploitability Index“ als „kritisch“ ein. Scott Caveza, „Senior Staff Research Engineer“ bei Tenable, geht in seiner Stellungnahme auf die Schwachstelle „CVE-2025-53786“ ein:

Foto: Tenable

Scott Caveza:

In hybriden „Microsoft Exchange“-Umgebungen derzeit keine verlässliche Möglichkeit zur Protokollierung

„CVE-2025-53786“ sei eine besonders attraktive Post-Compromise-Schwachstelle, da sie es Angreifern ermögliche, unbemerkt ihre Berechtigungen zu erweitern und Zugriff auf besonders sensible Systeme zu erlangen.

Diese Aktivität könne leicht unentdeckt bleiben, da es aufgrund bestimmter Koexistenzfunktionen in hybriden „Exchange“-Umgebungen derzeit keine verlässliche Möglichkeit zur Protokollierung gebe.

Empfehlungen von Microsoft folgen, um diese Bedrohung zu beseitigen!

Diese Schwachstelle unterstreiche die Notwendigkeit, hybride Umgebungen konsequent abzusichern, und werfe neue Fragen zur strikten Trennung von „On-Premises“- und „Cloud“-Umgebungen auf.

„Jede Organisation, die das April-Hotfix noch nicht eingespielt hat, muss davon ausgehen, verwundbar zu sein – und sollte umgehend den Empfehlungen von Microsoft folgen, um diese Bedrohung zu beseitigen!“, so Caveza dringende Empfehlung.

Weitere Informationen zum Thema:

tenable, Scott Caveza, 07.08.2025
CVE-2025-53786: Frequently Asked Questions About Microsoft Exchange Server Hybrid Deployment Elevation of Privilege Vulnerability

tenable
Scott Caveza

NIST, National Vulnerability Database
CVE-2025-53786 Detail

Microsoft
Microsoft Exchange Server Hybrid Deployment Elevation of Privilege Vulnerability / CVE-2025-53786 / Security Vulnerability

datensicherheit.de, 18.04.2025
MITRE CVE Program: Abschaltung verhindert / Das von der US-Regierung finanzierte CVE-Programm gilt als entscheidender Baustein zur globalen Aufdeckung von Softwarefehlern

[datensicherheit.de, 10.05.2025] Der aktuelle „Verizon Data Breach Investigations Report“ zeigt auf, dass die Ausnutzung von Schwachstellen zu einem der am häufigsten genutzten Angriffsvektoren geworden ist und mittlerweile als Ausgangspunkt für 20 Prozent aller „Breaches“ dient – demnach ein Anstieg von 34 Prozent gegenüber dem Vorjahresbericht. Dieser sei unter anderem zurückzuführen auf die Ausnutzung von „Zero Days“ in VPNs und sogenannten Edge-Geräten. Der Report hebt 17 CVEs im Zusammenhang mit „Edge“-Geräten, welche nach wie vor attraktive Ziele für Angreifer darstellen, hervor. „Tenable Research“ hat nun detaillierte Schwachstellendaten zu diesen 17 CVEs bereitgestellt und u.a. untersucht, wie Unternehmen bei deren Behebung abschneiden.

Abbildung: verizon business

„2025 Data Breach Investigations Report“ zu Schachstellen in Unternehmen

Priorisierung kritischer Schwachstellen

Scott Caveza, „Senior Staff Research Engineer“ bei Tenable, geht in seiner aktuellen Stellungnahme auf den vorliegenden „Verizon Data Breach Investigations Report“ ein: „Die Zahl neuer Schwachstellen steigt weiterhin rapide an und beschert Cyber-Sicherheitsexperten eine schier endlose ,To-do’-Liste.“

• Grundsätzlich sollten die kritischsten Schwachstellen ganz oben auf dieser Liste stehen, insbesondere bei sogenannten Edge-Geräten, den metaphorischen Toren zu Unternehmensumgebungen.

„Für eine fundierte Priorisierung und Behebung ist jedoch auch der Kontext rund um eine bestimmte Schwachstelle entscheidend – also wo in der Umgebung sie sich befindet, welche Daten oder Systeme potenziell gefährdet sind, wie leicht sie ausgenutzt werden kann, ob ein ,Proof-of-Concept’ existiert und vieles mehr.“ Caveza betont: „Die größte und gefährlichste Schwachstelle könnte je nach Kontext in einigen Fällen sogar unproblematisch sein.“

17 Schwachstellen im Zusammenhang mit „Edge“-Geräten untersucht.

Caveza berichtet: „Für den ,Verizon Data Breach Investigations Report’ haben wir 17 Schwachstellen im Zusammenhang mit ,Edge’-Geräten untersucht. Jede davon betrifft attraktive Ziele für Angreifer und fungiert häufig als Einstiegspunkt für ,Breaches’.“ Angesichts ihrer Bedeutung gebe es, wenn überhaupt, nur sehr wenige Fälle, in denen es sinnvoll sei, „Edge“-Geräte mit einer kritischen Schwachstelle ungeschützt zu lassen.

• Obwohl 54 Prozent der Unternehmen diese 17 CVEs vollständig behoben hätten, zeigten ihre Daten, „dass die durchschnittliche Zeit bis zur Behebung 209 Tage beträgt“ – was insbesondere deswegen besorgniserregend sei, weil Angreifer zur Ausnutzung durchschnittlich nur fünf Tage benötigten.

„Unsere Untersuchung macht deutlich, dass noch viel Arbeit vor uns liegt“, so Caveza abschließend. Die von Verizon in Zusammenarbeit mit Tenable gesammelten Daten unterstrichen die Notwendigkeit, bekannte Schwachstellen zu beheben, und lieferten wertvolle Erkenntnisse, die Unternehmen dabei helfen sollen, ihre Netzwerke, Geräte und Mitarbeiter zu schützen.

Weitere Informationen zum Thema:

verizon business, 2025
2025 Data Breach Investigations Report

tenable, Scott Caveza, 23.04.2025
Verizon 2025 DBIR: Tenable Research Collaboration Shines a Spotlight on CVE Remediation Trends

datensicherheit.de, 02.05.2025
Erkenntnisse aus dem Verizon Data Breach Investigation Report (DBIR) 2025 / Der Bericht macht die Notwendigkeit eines ganzheitlichen Sicherheitsansatzes deutlich

datensicherheit.de, 23.04.2025
Data Breach Investigations Report (DBIR) 2025 von Verizon: Systemangriffe in der EMEA-Region verdoppeln sich / Der aktuelle Bericht analysiert mehr als 22.000 Sicherheitsvorfälle

datensicherheit.de, 10.06.2020
Der Data Breach Investigation Report von Verizon aus OT-Security-Sicht / Konsequentes Patchen ist der Schlüssel für effektives Schwachstellenmanagement

[datensicherheit.de, 02.05.2025] Onapsis stellt in Zusammenarbeit mit Mandiant ein Open-Source-Tool zur Verfügung. Es soll Unternehmen dabei unterstützen, die SAP-Sicherheit zu stärken, indem es Indicators of Compromise (IoCs) identifiziert, die mit der aktiven Ausnutzung einer kürzlich gepatchten Schwachstelle in SAP NetWeaver Application Server Java (CVE-2025-31324) in Zusammenhang stehen.

Schwachstelle höchster Kritikalität

CVE-2025-31324 ist eine kritische, nicht authentifizierte Schwachstelle für die Remotecodeausführung in der Visual Composer-Komponente von SAP NetWeaver, die es Bedrohungsakteuren ermöglicht, die vollständige Kontrolle über bedrohte SAP-Server zu übernehmen.

Übersicht zu CVE-2025-31324

Die Schwachstelle betrifft SAP NetWeaver Java-Systeme, bei denen die Entwicklungsumgebung von Visual Composer aktiviert und nicht gepatcht ist. Bei erfolgreicher Ausnutzung haben Angreifer die volle Kontrolle über das System, einschließlich des uneingeschränkten Zugriffs auf sensible SAP-Geschäftsdaten und -prozesse, der Implementierung von Ransomware und lateraler Bewegungen. Die erste von Onapsis beobachtete Ausnutzung wurde am 14. März 2025 festgestellt. Die Bedrohungsaktivitäten haben deutlich zugenommen, auch wenn SAP am 24. April ein Notfall-Patch bereitgestellt hat.

Patches installieren und Umgebung auf Gefährdungen prüfen

Aufgrund der Kritikalität und der weiten Verbreitung wird Kunden mit gefährdeten internetbasierten SAP-Anwendungen dringend empfohlen, nicht nur Patches zu installieren, sondern auch ihre Umgebungen auf eine Gefährdung zu überprüfen.

Open-Source-Scanner

Der Open-Source-Scanner, der von Onapsis in Zusammenarbeit mit Mandiant entwickelt wurde, soll SAP-Kunden in verschiedenen Aspekten unterstützen:

• Feststellung der Anfälligkeit des Systems für CVE-2025-31324
• Identifizierung bekannter Indicators of Compromise (IOCs) hinsichtlich vorliegender Kampagneninformationen
• Scannen nach unbekannten webausführbaren Dateien in bekannten Exploit-Pfaden
• Sammeln verdächtiger Dateien in einem strukturierten ZIP-Archiv mit Verzeichnis für eine spätere Analyse
• Überprüfung des SAP HTTP-Zugriffsprotokolls (falls vorhanden) auf Einträge im Zusammenhang mit der Ausnutzung von CVE-2025-31324
• Extraktion und Speicherung von Kopien der identifizierten Protokolleinträge in einer CSV-Datei für die weitere Analyse

Es handelt sich um eine aktive Kampagne. Das Tool wird weiter aktualisiert, sobald weitere IoCs und Informationen verfügbar sind. Eine regelmäßige Überprüfung nach Updates wird vom Hersteller empfohlen.

Der Scanner steht hier im Onapis-Blog kostenlos zum Download zur Verfügung.

Handlunsgempfehlungen für Unternehmen

• Sofortige Nutzung der SAP Note 3594142
• IoC-Scanner starten, um Anzeichen einer Kompromittierung zu erkennen
• Auslösen der SAP-spezifischen Incident Response Playbooks

Die Veröffentlichung dieses Tools ist nach eigenen Angaben Teil der Bemühungen, Verteidiger bei kritischen Bedrohungen zu unterstützen.

Weitere Informationen zum Thema:

Onapsis
SAP NetWeaver Flaw Lets Hackers Take Full Control: CVE-2025-31324 Explained

datensicherheit.de, 08.04.2021
Kritische SAP-Anwendungen im Fokus Cyber-Krimineller

[datensicherheit.de, 27.04.2025] Laut einer aktuellen Meldung von Onapsis wurden im April 2025 mehrere Sicherheitsvorfälle im Zusammenhang mit „SAP NetWeaver“ bekannt: Demnach sollen Cyber-Angreifer „JSP-Webshells“ ausnutzten, um unbefugte Dateiuploads und beliebigen Code auszuführen. Die Schwachstelle betreffe die „SAP Visual Composer“-Komponente von „SAP-Java“-Systemen und ermögliche es nicht authentifizierten Bedrohungsakteuren, beliebige Dateien, einschließlich Remote-Webshells, in SAP-Anwendungen hochzuladen. „Dies führt zu einer sofortigen vollständigen Kompromittierung dieser Systeme!“ Besonders kritisch sei, dass potenzielle Cyber-Angriffe herkömmliche ERP-Sicherheitsmechanismen umgehen könnten.

Onapsis fasst Erkenntnisse über kritische Zero-Day-Schwachstelle zusammen:

• Cyber-Kriminelle nutzten aktiv eine neue höchst kritische Zero-Day-Schwachstelle mit „CVSS 10.0“ in SAP-Anwendungen aus.
• Angreifer könnten die vollständige Kontrolle über kritische Geschäftsprozesse und Informationen in SAP-Anwendungen erlangen oder Ransomware installieren, welche zu weitreichenden Störungen und Verlusten führen könne.
• Die Cyber-Angriffe könnten über das Internet erfolgen und sich gegen „Cloud“-/Internet-basierte SAP-Anwendungen, aber auch gegen interne SAP-Systeme richten.
• Potenziell betroffen seien alle Kunden, welche die verwundbare Komponente „SAP NetWeaver“ in „Cloud/RISE with SAP“-Umgebungen, „cloud“-nativen und „On-Premise“-Bereitstellungsmodellen verwenden.

Gefährdete Kunden sollten schnellstmöglich den von SAP bereitgestellten Notfall-Patch einspielen. „Wenn anfällige Systeme mit dem Internet verbunden waren, sollten Kunden von einer Sicherheitsverletzung ausgehen und Notfallmaßnahmen einleiten!“

„SAP Threat Intelligence System“ von Onapsis bestätigt Möglichkeit der Schwachstellen-Ausnutzung

Das „SAP Threat Intelligence System“ von Onapsis hat die mögliche Ausnutzung der Schwachstelle bestätigt, welche zunächst von ReliaQuest offengelegt wurde. Zudem haben die „Onapsis Research Labs“ Tausende SAP-Anwendungen identifiziert, welche aufgrund dieser Schwachstelle möglicherweise dem Risiko von Cyber-Sicherheitsverletzungen ausgesetzt sind.

SAP stellte am 24. April einen Notfall-Patch zur Verfügung – gefährdete Kunden sollten diesen schnellstmöglich einspielen. „Sofern internetfähige ,Cloud’-SAP-Systeme im Einsatz sind, sollten Kunden von einer Sicherheitsverletzung ausgehen und entsprechende Notfallmaßnahmen einleiten, darunter die Anwendung von ,SAP Security Note 3594142‘ oder Überprüfung von ,3596125‘ auf mögliche Problemlösungen.“

Weitere Informationen zum Thema:

ONAPSIS
Erfahren Sie mehr über die wichtigsten Offenlegungen von ORL mit SAP und CISA

SAP
Management von Sicherheitsproblemen: SAP legt größten Wert darauf, Sicherheitsprobleme im Zusammenhang mit unserer Software und unseren Cloud-Lösungen zu ermitteln und zu beheben.

RELIAQUEST, ReliaQuest Threat Research Team, 25.04.2025
ReliaQuest Uncovers New Critical Vulnerability in SAP NetWeaver

heise online, Dirk Knop, 25.04.2025
SAP patcht kritische Schwachstelle außer der Reihe / SAP veranstaltet monatliche Patchdays. Eine kritische Sicherheitslücke nötigt das Unternehmen nun zum Update außer der Reihe.

datensicherheit.de, 08.04.2021
Kritische SAP-Anwendungen im Fokus Cyber-Krimineller / CISA und Tenable warnen vor ungepatchten SAP-Systemen

datensicherheit.de, 22.01.2021
SAP Solution Manager: Schwere Sicherheitsschwachstelle aufgetaucht / Tenable warnt vor Patch-Müdigkeit

[datensicherheit.de, 10.10.2024] Auch die Check Point Software Technologies Ltd. warnt in einer aktuellen Stellungnahme vor „schwerwiegenden Sicherheitslücken im ,Common Unix Printing System’ (CUPS)“. Diese vom Sicherheitsexperten Simone Margaritelli (evilSocket) aufgedeckten Schwachstellen betreffen demnach „Linux“-Umgebungen und können zur Ausführung von schädlichem Code führen. Diese vier Schwachstellen seien öffentlich bekanntgemacht worden, nachdem das Entwickler-Team unzureichend auf die verantwortungsbewusste Offenlegung reagiert habe.

Abbildung: Check Point Software Technologies Ltd.

Übersicht der Schwachstellen mit CVE-Code

Hunderttausende von Geräten potenziell durch CUPS-Schwachstellen gefährdet

Die vier entdeckten Sicherheitslücken, darunter „CVE-2024-47177“ mit einem CVSS-Score von 9.0 („kritisch“), beträfen eine Vielzahl von „Linux“-Distributionen sowie Systeme wie „BSD“, „Oracle Solaris“ und „ChromeOS“.

„Ein Scan des Internets zeigte, dass Hunderttausende von Geräten potenziell gefährdet sind. Obwohl ,cloud’-basierte Workloads oft nicht betroffen sind, da Port 631 in der Regel geschlossen ist, sollten betroffene Systeme dringend aktualisiert werden.“

Maßnahmen und Schutzvorkehrungen

Um die Risiken der CUPS-Schwachstellen zu minimieren, empfiehlt Check Point nach eigenen Angaben folgende Maßnahmen:

Systeme aktualisieren und Patches installieren!
Es sollten Versionen „cups-browsed“ > 2.0.1, „libcupsfilters“ > 2.1b1 und „libppd“ > 2.1b1 eingesetzt werden.

Dienste deaktivieren!
Falls nicht benötigt, sollte der „cups“-browsed-Dienst vollständig deaktiviert werden.

Port 631 blockieren!
Wenn ein Update nicht sofort möglich ist, sollte jeglicher Verkehr zu Port 631 blockiert werden, um Angriffe zu verhindern.

Margaritelli weise darauf hin, dass weitere Schwachstellen bereits verantwortungsvoll offengelegt worden seien und eine erhöhte Wachsamkeit notwendig sei. Zudem gebe es bereits „PoC-Exploitcodes“ (Proof-of-Concept) für die aktuellen Sicherheitslücken. Check-Point-Kunden seien durch „CloudGuard“ geschützt (insbesondere gegen „Remote Code Execution“ [RCE], welche durch die Sicherheitslücke „CVE-2024-47176“ ausgelöst werden könne).

Weitere Informationen zum Thema:

CHECK POINT, 30.09.2024
How to Safeguard Your Systems from Linux CUPS Vulnerabilities

datensicherheit.de, 30.09.2024
Satnam Narang kommentiert Schwachstellen im CUPS-Drucksystem / Es gibt laut Satnam Narang noch eine breite Palette von Software – sei es „Open Source“ oder „Closed Source“ –, welche noch entdeckt und offengelegt werden müssten

datensicherheit.de, 27.09.2024
Über 76.000 Geräte von Kritischer Remote-Code-Schwachstelle in CUPS betroffen / „CUPS“ (Common Unix Printing System) ist das Standard-Drucksystem für viele „Unix“-ähnliche Betriebssysteme wie „GNU/Linux“

[datensicherheit.de, 30.09.2024] Vor Kurzem wurden im „Linux“-Drucksystem „CUPS“ teils Kritische Sicherheitslücken entdeckt, über welche Angreifer beispielsweise schädlichen Code einschmuggeln könnten. Satnam Narang, „Senior Staff Research Engineer“ bei Tenable, kommentiert in seiner aktuellen Stellungnahme diesen Vorfall:

Foto: Tenable

Satnam Narang: Entdeckte CUPS-Schwachstellen offenbar nicht so schwerwiegend wie z.B. „Log4Shell“ oder „Heartbleed“

Satnam Narang sieht in diesem Zusammenhang den Kontext als entscheidend an

Der Kontext sei in diesem Zusammenhang entscheidend. Narang erläutert: „Es ist wahrscheinlich, dass die ,CVSS-Scores’ für die Schwachstellen im ,CUPS’-Drucksystem – einschließlich der mit einem Score von 9,9 – nach unten korrigiert werden.“ Da die Offenlegung aus irgendeinem Grund vor dem geplanten Datum durchgesickert sei, seien die Details eilig nachgereicht worden, und die Hersteller seien immer noch dabei, „Advisories und Patches für diese Schwachstellen“ zusammenzustellen.

„Nach allem, was wir bisher erfahren haben, sind diese Schwachstellen nicht so schwerwiegend wie ,Log4Shell’ oder ,Heartbleed’“, so Narang. Tatsächlich gebe es unzählige Schwachstellen in einer breiten Palette von Software – sei es „Open Source“ oder „Closed Source“ –, welche noch entdeckt und offengelegt werden müssten.

Satnam Narang warnt vor APT-Gruppen mit Verbindungen zu Nationalstaaten und Ransomware-Banden

„Security-Research ist in diesem Prozess von entscheidender Bedeutung, und wir können und sollten mehr von den Software-Herstellern verlangen“, betont Narang. Die CISA-Direktorin, Jen Easterly, habe dies kürzlich in einer Keynote sehr treffend auf den Punkt gebracht.

Abschließend gibt Satnam Narang zu bedenken: „Für Unternehmen, die sich gegen diese neuesten Schwachstellen wappnen, ist es wichtig zu betonen, dass die schwerwiegendsten und beunruhigendsten die bekannten Schwachstellen sind, die weiterhin von APT-Gruppen mit Verbindungen zu Nationalstaaten und Ransomware-Banden ausgenutzt werden, die Unternehmen jedes Jahr um Millionen von Dollar bringen.“

Weitere Informationen zum Thema:

datensicherheit.de, 27.09.2024
Über 76.000 Geräte von Kritischer Remote-Code-Schwachstelle in CUPS betroffen / „CUPS“ (Common Unix Printing System) ist das Standard-Drucksystem für viele „Unix“-ähnliche Betriebssysteme wie „GNU/Linux“

[datensicherheit.de, 27.09.2024] „Bei der Ausführung von Remote-Code in ,Linux CUPS’ wurden neue Probleme entdeckt“, berichtet Saeed Abbasi, Produktmanager der „Threat Research Unit“ bei Qualys, in einer aktuellen Meldung. Laut einer Untersuchung der „Qualys Threat Research Unit“ sollen mehr als 76.000 Geräte betroffen sein, „von denen mehr als 42.000 öffentlich zugängliche Verbindungen akzeptieren“.

Foto: Qualys

Saeed Abbasi: Die Sicherheitslücke ermöglicht es Angreifern, beliebigen Code auszuführen…

Schwachstelle „CVE-2024-47176“ in „cups-browsed“-Versionen in verschiedenen „UNIX“-Systemen weit verbreitet

Abbasi erläutert: „,CUPS’ (Common Unix Printing System) ist das Standard-Drucksystem für viele ,Unix’-ähnliche Betriebssysteme wie ,GNU/Linux’-Distributionen und ,macOS’. Die Schwachstelle ,CVE-2024-47176‘ in ,cups-browsed’-Versionen ist in verschiedenen ,UNIX’-Systemen weit verbreitet, darunter ,GNU/Linux’-Distributionen, ausgewählte ,BSDs’, möglicherweise ,Oracle Solaris’ und ,Google Chromium/ChromeOS’.“ In einigen Fällen sei sie standardmäßig aktiviert, in anderen nicht.

Diese Schwachstellen ermöglichten es einem nicht authentifizierten Angreifer, die IPP-URLs vorhandener Drucker stillschweigend durch bösartige URLs zu ersetzen. Dies könne dazu führen, „dass auf dem betroffenen Computer beliebige Befehle ausgeführt werden, wenn ein Druckauftrag initiiert wird“. Ein Angreifer könne ein „speziell gestaltetes UDP-Paket“ über das öffentliche Internet an „Port 631“ senden und so die Schwachstellen ohne jegliche Authentifizierung ausnutzen.

Unternehmen sollten das Risiko der Kompromittierung von „CUPS“-Systemen bewerten!

Die Verbreitung von „GNU/Linux“-Systemen als Unternehmensserver, „Cloud“-Infrastrukturen und Kritischen Anwendungen stelle durch die Sicherheitslücke eine große Angriffsfläche dar und betreffe potenziell eine große Anzahl von Servern, Desktops und eingebetteten Geräten weltweit. Angreifer benötigten keine gültigen Anmeldeinformationen, um diese Sicherheitslücke auszunutzen. Abbasi warnt: „Die Sicherheitslücke ermöglicht es Angreifern, beliebigen Code auszuführen und möglicherweise die vollständige Kontrolle über betroffene Systeme zu erlangen. Die Sicherheitslücke hat einen CVSS-Wert von 9,9 und wird damit als ,kritisch’ eingestuft.“

Unternehmen sollten das Risiko der Kompromittierung von „CUPS“-Systemen bewerten. Es gelte den Netzwerkzugriff einzuschränken, nicht unbedingt erforderliche Dienste zu deaktivieren und strenge Zugriffskontrollen zu implementieren. „Linux“-Administratoren müssten sich auf eine schnelle Fehlerbehebung vorbereiten, sobald ein Patch verfügbar ist – „und die Patches natürlich vor dem Einspielen gründlich testen, um Ausfälle zu vermeiden“.

Weitere Informationen zum Thema:

Qualys Community, Saeed Abbasi, 26.09.2024
Critical Unauthenticated RCE Flaws in CUPS Printing Systems

[datensicherheit.de, 18.05.2024] Die Kaspersky-Forscher Boris Larin und Mert Degirmenci haben nach eigenen Angaben eine neue Zero-Day-Schwachstelle in „Windows“ mit der Bezeichnung „CVE-2024-30051“ gefunden. Diese Entdeckung wurde demnach im Zuge der Untersuchung der „Windows DWM Core Library Elevation of Privilege“-Schwachstelle („CVE-2023-36033“) Anfang April 2024 gemacht. Ein Patch sei am 14. Mai 2024 im Rahmen des „May Patch Tuesday“ von Microsoft veröffentlicht worden.

Auf VirusTotal aufgetaucht: Hinweis auf potenzielle Windows-Sicherheitslücke

„Am 1. April 2024 erregte ein auf ,VirusTotal’ hochgeladenes Dokument die Aufmerksamkeit der Kaspersky-Forscher. Das Dokument mit einem aussagekräftigen Dateinamen wies auf eine potenzielle Sicherheitslücke im ,Windows’-Betriebssystem hin.“ Trotz gebrochenen Englischs und der fehlenden Details (wie die Schwachstelle ausgelöst werden kann), habe das Dokument einen Exploit-Prozess beschrieben, der jenem vom Zero-Day-Exploit für „CVE-2023-36033“ geglichen habe, obwohl sich diese Schwachstellen voneinander unterschieden.

Das Team habe vermutete, die Sicherheitslücke sei entweder erfunden oder nicht ausnutzbar; trotzdem habe es seine Untersuchung fortgesetzt. „Eine schnelle Überprüfung ergab jedoch, dass es sich tatsächlich um eine Zero-Day-Schwachstelle handelt, die zu einer Ausweitung der Systemprivilegien führen kann.“

Kaspersky habe seine Erkenntnisse umgehend an Microsoft gemeldet – anschließend sei die Schwachstelle verifiziert und als „CVE-2024-30051“ bezeichnet worden.

Global Research & Analysis Team untersuchte Zero-Day-Schwachstelle in Windows

Nach dieser Meldung hätten die Kaspersky-Experten begonnen, „die Exploits und Angriffe, die diese Zero-Day-Schwachstelle nutzen, näher unter die Lupe zu nehmen“. Mitte April 2024 habe das Team einen Exploit für „CVE-2024-30051“ entdeckt und seine Verwendung in Verbindung mit „QakBot“ sowie anderer Malware beobachtet. Dies deute darauf hin, dass mehrere Bedrohungsakteure Zugriff auf diesen Exploit hätten.

„Wir fanden das Dokument auf ,VirusTotal’ aufgrund seines aussagekräftigen Charakters sehr interessant und haben es deshalb näher untersucht. So konnten wir diese kritische Zero-Day-Schwachstelle entdecken“, berichtet Boris Larin, „Principal Security Researcher“ im „Global Research & Analysis Team“ (GReAT) bei Kaspersky.

Er kommentiert: „Die Geschwindigkeit, mit der Bedrohungsakteure diesen Exploit in ihr Arsenal integrieren, unterstreicht wie wichtig es ist, rechtzeitig Updates vorzunehmen und insgesamt immer wachsam zu bleiben, was die Cyber-Sicherheit betrifft.“

Nutzer sollten nun ihre Windows-Systeme aktualisieren

Kaspersky plane, technische Details zu „CVE-2024-30051“ zu veröffentlichen, „sobald genügend Zeit vergangen ist, damit die meisten Nutzer ihre ,Windows’-Systeme aktualisieren konnten“. Kaspersky habe sich bei Microsoft für die „prompte Analyse und Veröffentlichung von Patches“ bedankt.

Die Kaspersky-Produkte seien aktualisiert worden, um die Ausnutzung von „CVE-2024-30051“ und damit verbundener Malware mit den folgenden Ergebnissen zu erkennen:

• „PDM:Exploit.Win32.Generic“
• „PDM:Trojan.Win32.Generic“
• „UDS:DangerousObject.Multi.Generic“
• „Trojan.Win32.Agent.gen“
• „Trojan.Win32.CobaltStrike.gen“

Kaspersky verfolge den fortschrittlichen Banking-Trojaner „QakBot“ seit seiner Entdeckung im Jahr 2007. Ursprünglich für den Diebstahl von Bankdaten konzipiert, habe sich „QakBot“ erheblich weiterentwickelt und neue Funktionen erworben, wie E-Mail-Diebstahl, Keylogging und die Fähigkeit, sich selbst zu verbreiten sowie Ransomware zu installieren. Diese Malware sei für ihre häufigen Updates und Verbesserungen bekannt – dies mache sie zu einer ständigen Bedrohung in der Cyber-Sicherheitslandschaft. In den vergangenen Jahren sei beobachtet worden, dass „QakBot“ andere Botnets, wie beispielsweise „Emotet“, für die Verbreitung nutze.

Weitere Informationen zum Thema:

SECURELIST by Kaspersky, 14.05.2024
QakBot attacks with Windows zero-day (CVE-2024-30051)

NIST, 25.04.2024
National Vulnerability Database: CVE-2024-30551 Detail

NIST, 25.04.2024
National Vulnerability Database: CVE-2023-36033 Detail

MICROSOFT, 14.04.2024
Windows DWM Core Library Elevation of Privilege Vulnerability / CVE-2024-30051 / Security Vulnerability