Seit dem vergangenen Wochenende klingelt bei uns das Telefon häufiger als sonst. Der Grund hat einen sperrigen Namen: Log4j. Die Log4j-Lücke, auch „Log4Shell“ genannt, ist eine Schwachstelle in einem weit verbreiteten Software-Baustein, und sie ist so ernst, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Warnstufe Rot ausgerufen hat. In diesem Artikel erklären wir, was dahintersteckt, warum auch kleine Firmen betroffen sein können und was Sie jetzt tun sollten. Stand: 16. Dezember 2021. Die Lage entwickelt sich täglich weiter.
Was ist Log4j überhaupt?
Log4j ist eine kostenlose Programmbibliothek für die Programmiersprache Java. Sie macht etwas ziemlich Unspektakuläres: Sie schreibt Protokolle, also Logdateien. Jede Software muss irgendwo festhalten, was passiert, etwa „Benutzer X hat sich angemeldet“ oder „Fehler beim Speichern“. Genau dafür nutzen unzählige Hersteller Log4j, von großen Unternehmensanwendungen über Webserver bis hin zu Geräten, in denen man gar keine Java-Software vermuten würde.
Das ist das eigentliche Problem: Log4j steckt oft unsichtbar in anderen Produkten. Sie haben es nicht selbst installiert, und trotzdem kann es auf Ihren Systemen laufen.
Warum die Log4j-Lücke so gefährlich ist
Vereinfacht gesagt: Log4j wertet in bestimmten Versionen spezielle Zeichenfolgen in den zu protokollierenden Texten aus und kann dabei Code aus dem Internet nachladen. Ein Angreifer muss also nur dafür sorgen, dass eine präparierte Zeichenkette irgendwo protokolliert wird, etwa im Benutzernamen eines Anmeldeformulars, im Suchfeld einer Website oder in einem technischen Feld einer Anfrage. Im schlimmsten Fall führt der Server danach Befehle des Angreifers aus.
Drei Dinge machen die Lücke besonders unangenehm:
- Sie ist leicht auszunutzen. Es braucht kein Passwort und kaum Fachwissen.
- Sie ist extrem verbreitet. Betroffen sind die Log4j-Versionen 2.0 bis einschließlich 2.14.1, und die stecken in sehr vielen Produkten.
- Sie wird bereits aktiv ausgenutzt. Seit Bekanntwerden der Lücke scannen Angreifer massenhaft das Internet nach verwundbaren Systemen.
Bin ich als kleines Unternehmen betroffen?
Möglicherweise ja, auch wenn Sie keine eigene Software entwickeln. Typische Kandidaten in kleinen und mittleren Unternehmen sind:
- Server-Software, die aus dem Internet erreichbar ist, etwa Webanwendungen, Portale oder Fernzugänge
- Virtualisierungs- und Verwaltungssoftware für Server
- Netzwerkgeräte, Speichersysteme (NAS) und deren Verwaltungsoberflächen
- Branchensoftware, Warenwirtschaft oder Dokumentenmanagement mit Java-Komponenten
- Selbst gehostete Dienste wie Wikis, Ticketsysteme oder Spieleserver (ja, auch der Minecraft-Server für die Mittagspause gehört dazu)
Reine Windows-Arbeitsplätze mit Office und Browser sind nach bisherigem Kenntnisstand in der Regel nicht das Hauptziel. Kritisch sind vor allem Systeme, die aus dem Internet erreichbar sind oder Daten von außen verarbeiten.
Was Sie jetzt tun sollten: Checkliste
| Schritt | Was konkret |
|---|---|
| 1. Inventar | Liste aller Server, Dienste und Geräte erstellen, besonders solche, die aus dem Internet erreichbar sind. |
| 2. Herstellerinformationen prüfen | Viele Hersteller veröffentlichen gerade Listen betroffener Produkte. Prüfen Sie für jede Software und jedes Gerät den aktuellen Stand. |
| 3. Updates einspielen | Verfügbare Sicherheitsupdates sofort installieren. Für Log4j selbst empfiehlt das Projekt derzeit Version 2.16.0 (für Java 8 und neuer); die zunächst veröffentlichte Version 2.15.0 gilt nicht mehr als ausreichend. |
| 4. Übergangslösungen | Wo es noch kein Update gibt, die vom Hersteller empfohlenen Gegenmaßnahmen umsetzen oder den Dienst vorübergehend vom Internet trennen. |
| 5. Logs und Auffälligkeiten prüfen | Nach ungewöhnlichen Anfragen, neuen Benutzerkonten, unbekannten Prozessen oder auffälligem Datenverkehr suchen. |
| 6. Dienstleister ansprechen | Fragen Sie Ihre Software- und Hosting-Partner aktiv, ob deren Produkte betroffen sind und was sie tun. |
| 7. Dokumentieren | Festhalten, was geprüft und was erledigt wurde. Das hilft bei Rückfragen und im Ernstfall auch gegenüber der Versicherung. |
Was wir bei unseren Kunden beobachten
In den letzten Tagen haben wir viele Netzwerke unserer Kunden durchgesehen. Unsere ehrliche Erfahrung: Die meisten Treffer finden sich nicht in der Software, an die man zuerst denkt, sondern in Nebensystemen. Die Verwaltungsoberfläche eines Speichersystems, ein vergessener Testserver, eine Zeiterfassung, die ein Mitarbeiter vor Jahren eingerichtet hat. Genau deshalb ist das Inventar der wichtigste Schritt. Was man nicht kennt, kann man nicht absichern.
Ein zweiter Punkt: Lassen Sie sich nicht von einem einzigen Update in falscher Sicherheit wiegen. Innerhalb weniger Tage mussten die Log4j-Entwickler bereits nachbessern. Es ist gut möglich, dass weitere Updates folgen. Planen Sie also ein, in den nächsten Wochen erneut nachzusehen.
Häufige Fragen
Hilft mein Virenscanner?
Nur begrenzt. Viele Sicherheitsprodukte erkennen inzwischen typische Angriffsmuster, aber ein Virenscanner ersetzt kein Update der betroffenen Software.
Ist mein Webhosting betroffen?
Klassische Websites mit PHP, etwa viele WordPress-Seiten, nutzen kein Log4j. Trotzdem sollten Sie bei Ihrem Hoster nachfragen, ob dessen Infrastruktur geprüft wurde.
Müssen wir einen Vorfall melden?
Wenn Sie Hinweise haben, dass Angreifer eingedrungen sind und personenbezogene Daten betroffen sein könnten, kann eine Meldepflicht nach der DSGVO innerhalb von 72 Stunden bestehen. Holen Sie sich in diesem Fall schnell fachliche Unterstützung.
Unser Fazit
Die Log4j-Lücke ist ein Weckruf, der weit über diese eine Schwachstelle hinausgeht. Wer ein aktuelles Verzeichnis seiner IT-Systeme hat, Updates regelmäßig einspielt und weiß, welche Dienste aus dem Internet erreichbar sind, kann in solchen Situationen in Stunden reagieren statt in Wochen. Wenn Sie jetzt merken, dass genau diese Übersicht fehlt, ist das der beste Zeitpunkt, sie anzulegen.
Wir helfen Ihnen gerne
Sie sind unsicher, ob Ihre Systeme betroffen sind? Das IT-Team der Mittelstandsoptimierer prüft Ihre Server und Geräte, spielt Updates ein und hilft bei der Bewertung von Auffälligkeiten, auch kurzfristig vor den Feiertagen. Mehr unter www.mittelstandsoptimierer.de oder telefonisch unter 06131 144928-0.
Herzliche Grüße aus Mainz
