Wat ass eng Sécherheetsschwachstell an der Informatik?

Eng Schwachstell ass keen Ugrëff

Eng Sécherheetslück, och Schwachstell genannt, ass eng Schwächt, déi ausgenotzt ka ginn. Si kann an enger net aktualiséierter Software, engem vereelzten Apparat, enger Konfiguratioun, engem Authentifikatiounsmechanismus oder engem interne Prozess leien. Vulnerability-Lookup vum CIRCL weist dee sichtbarsten Deel vum Problem: ëffentlech dokumentéiert technesch Schwachstellen. Net all Schwachstell kritt awer eng ëffentlech Kennung.

Dräi Begrëffer sinn auserneenzehalen. D'Schwachstell ass de schwaache Punkt. D'Bedreeung ass dat, wat dëse Punkt ausnotze kéint, zum Beispill en Ugräifer oder eng béisaarteg Software. En Incident ass eréischt dat Evenement, dat d'Vertraulechkeet, d'Integritéit oder d'Disponibilitéit vun engem System effektiv beaflosst. Dës Ënnerscheedung verhënnert, datt en entdeckte Feeler direkt als confirméiert Kompromittéierung duergestallt gëtt.

Firwat hunn net all Schwachstellen déi selwecht Prioritéit?

Eng technesch Bewäertung eleng geet net duer. Eng kritesch Schwachstell op engem isoléierten an ausgeschalte Server ka manner dréngend sinn ewéi eng méi niddereg bewäert Lück an engem Service, deen aus dem Internet erreechbar ass. Dofir zielen déi bekannt Ausnotzung, d'Expositioun, déi erreechbar Rechter, déi verschafften Donnéeën an déi méiglech Konsequenze fir de Betrib. D'European Vulnerability Database vun der ENISA an de Service vum CIRCL liwweren ëffentlech Informatiounen, ersetzen awer net d'Bewäertung vum eegene Kontext.

Wéi soll eng Organisatioun reagéieren?

Als éischt muss bekannt sinn, wéi eng Apparater, Applikatiounen a Servicer tatsächlech benotzt ginn. Ouni Inventar kann d'Organisatioun net feststellen, ob eng Warnung si betrëfft. Duerno soll si d'Avisë vun Hiersteller an Autoritéite verfollegen, Patches bei operationellem Risiko testen, no enger dokumentéierter Prioritéit installéieren an d'Resultat kontrolléieren. De Guide d'hygiène informatique vun der ANSSI recommandéiert ënner anerem aktuell Komponenten, kontrolléiert Konten a geschützt Backupen.

Wann e Patch net direkt installéiert ka ginn, kann eng Ersatzmoossnam d'Expositioun reduzéieren: eng Funktioun deaktivéieren, den Zougang aschränken, den Apparat isoléieren oder d'Iwwerwaachung verstäerken. D'Moossnam brauch eng verantwortlech Persoun an en Enddatum; en onbegrenzten Opschub ass keng Behiewung.

Wat ass no der Behiewung ze kontrolléieren?

Mat der Installatioun vum Patch ass de Sujet net automatesch ofgeschloss. Kontrolléiert, ob déi erwaart Versioun aktiv ass, ob de Service funktionéiert an ob et Spuere vun enger fréierer Ausnotzung gëtt. Logbicher kënnen dobäi hëllefen: D'ANSSI erkläert, datt si souwuel fir d'Detektioun wéi och fir d'Rekonstruktioun vun engem Incident nëtzlech sinn.

E Fall: eng Schwachstell bei engem Drëtten, Affer déi se ni installéiert haten

Den 31. Mee 2023 huet de Verlag Progress Software e kriteschen Avis zu MOVEit Transfer verëffentlecht, enger Software fir den Dateitransfert an Entreprisen. D’Schwachstell mat der Referenz CVE-2023-34362 ass eng SQL-Injection: si erlaabt engem net authentifizéierten Ugräifer, op d’Datebank vum Server ze kommen.

De gemeinsamen Avis vum FBI an der CISA vum 7. Juni 2023 hält fest, datt d’Grupp CL0P d’Schwachstell schonn den 27. Mee ausgenotzt huet, véier Deeg virun der ëffentlecher Matdeelung. D’Ugräifer hunn eng Komponent mam Numm LEMURLOOT installéiert, fir déi gespäichert Fichieren erauszezéien, an hunn duerno eng Bezuelung gefuerdert.

Wat eng Lëtzebuerger KMU interesséiert, ass net MOVEit. Et ass, datt e grousse Deel vun den betraffenen Organisatiounen d’Software ni installéiert hat. Si goufen erreecht, well e Prestataire se fir si benotzt huet: Loun-Büro, Comptabilitéitsbüro, Versécherer, Fachsoftware-Verlag. De Personaldossier vun engem Betrib mat zwanzeg Leit konnt op engem Server leien, vun deem hie näischt wousst.

Dräi Léieren erginn sech doraus, a keng dovunner brauch technescht Wëssen:

• Eng Schwachstell trëfft een och iwwer Drëtter. Ze iwwerwaache sinn net déi eege Maschinnen, mä d’Donnéeën déi een uvertraut huet.
• D’Frist fir ze korrigéieren zielt a Stonnen, net a Wochen. Tëscht dem Avis an der massiver Ausnotzung louchen e puer Deeg. Den Avis vum FBI an der CISA seet et kloer: rechtzäiteg ze korrigéieren ass eng vun den effizientsten a mannst deiere Moossnamen, déi eng Organisatioun huele kann.
• Et gëtt Schwachstellen déi virun hirer Verëffentlechung ausgenotzt ginn. Dat entbënnt net vum Korrigéieren; et erkläert firwat d’Erkennung an d’Sécherungen esou wichteg sinn wéi d’Korrektur.

Wat eng KMU décidéiere muss

Déi folgend Entscheedungen sinn net technesch. Si gi op Direktiounsniveau geholl, si ginn opgeschriwwen, a si kréien eng verantwortlech Persoun.

• Wien kritt d’Sécherheetsavisen, an op wéi eng Adress? Eng Alert un eng Boîte déi eemol d’Woch gekuckt gëtt ass keng Alert. Zu Lëtzebuerg verdeelt CIRCL dës Avisen gratis.
• Wéi eng maximal Frist gëllt tëscht engem kriteschen Avis a senger Korrektur? „72 Stonnen fir alles wat um Internet erreechbar ass“ opzeschreiwen ass besser wéi näischt opzeschreiwen. Eng net festgeluechte Frist gëtt eng onendlech.
• Wien dierf décidéieren, e Service unzehalen fir e ze korrigéieren? Ouni dës Äntwert waart d’Korrektur op déi Persoun déi net traut d’Produktioun z’ënnerbriechen.
• Wéi eng Prestataire halen eis Donnéeën, a wéi warne si eis? Dës Fro gehéiert an de Kontrakt, net an den Tëschefall. Genee si huet de meeschte MOVEit-Affer gefeelt.
• Wat mécht een, wann eng Korrektur net agespillt ka ginn? D’Ersatzmoossnam brauch eng verantwortlech Persoun an en Enndatum. Ouni Frist gëtt si den Normalzoustand.

Quellen

Linken iwwerpréift den 28. September 2026.

• FBI an CISA, gemeinsamen Avis AA23-158A, 7. Juni 2023, aktualiséiert den 16. Juni 2023: cisa.gov.
• Progress Software, Sécherheetsavis MOVEit Transfer, 31. Mee 2023: community.progress.com.
• CISA, Katalog vu bekannten ausgenotzte Schwachstellen: cisa.gov.
• ENISA, europäesch Schwachstellendatebank: euvd.enisa.europa.eu.
• CIRCL, Vulnerability-Lookup: vulnerability.circl.lu.
• CIRCL, Lëtzebuerger Zentrum fir Reaktioun op Tëschefäll: circl.lu.

Déi kontinuéierlech Detektioun gëtt am Artikel Wat ass e SOC? erkläert. Wat en Netzwierksensor gesäit — a wat net — steet am Artikel Cybersécherheets-Sond: Definitioun, Notzen a Grenzen.