Haben Sie einen Microsoft Exchange Server in Verwendung? Falls ja – dann sind Sie möglicherweise von einem schweren Hackerangriff betroffen! Wir haben für Sie in diesem Beitrag die wichtigsten Facts und Tipps zur Sofortumsetzung zusammengefasst.

Sicherheitslücken im Microsoft Exchange Server

Schwerwiegende IT-Sicherheitslücken im Microsoft Exchange Server haben dazu geführt, dass der Dienst für Cyberkriminelle besonders attraktiv geworden ist. Microsoft stellte zwar vor Kurzem Updates, in der IT-Sprache als Patches bezeichnet, zur Verfügung, mit denen die Lücken geschlossen werden können, der Exchange Server war jedoch bereits zuvor im hohen Maß zur Zielscheibe von Hackern geworden. Drei der Sicherheitslücken wurden mit dem Bedrohungsgrad „kritisch“ bewertet.

Betroffene der Angriffe auf den Microsoft Exchange Server

Microsoft bietet Administratoren die Möglichkeit, anhand eines PowerShell-Skripts zu überprüfen, ob es bereits zu einem Angriff auf einen Exchange Server gekommen ist. Das Skript sucht dabei nach typischen Angriffsmerkmalen.
Zu den Opfern des Cyberangriffs zählt neben einigen Organisationen weltweit auch die europäische Bankenaufsichtsbehörde „European Banking Authority (EBA)“.
Eine genau Anzahl an Opfern kann kaum festgestellt werden, fest steht jedoch, dass die Zahlen laufend steigen. Alleine in Deutschland sind bereits zehntausende Systeme betroffen.

Mögliche Schäden durch die Angriffe auf den Microsoft Exchange Server

Da der Microsoft Exchange Server der zentralen Ablage, Verwaltung und Organisation von Emails, Kontakten, Aufgaben, Terminen sowie anderen Diensten dient, wird für Hacker eine große Angriffsfläche aufbereitet, die durch die Großzahl an dort gespeicherten Daten schwere Schäden für Betroffene mit sich bringen kann. Schließlich können anhand der gehackten Dienste personenbezogene Daten Dritten zugänglich gemacht und missbraucht werden.

Microsoft Exchange Server Patchen

Um sicher zu stellen, dass Ihr Microsoft Exchange Server nicht (mehr) angegriffen werden kann, und falls Sie dies noch nicht erledigt haben, sollten Sie unbedingt sofort patchen! Das bedeutet, die wichtigen Sicherheitsupdates von Microsoft downzuloaden und umzusetzen. Mit der Installationen der Updates bzw. Patches können Administratoren die Server vor (weiteren) Cyberangriffen schützen.

Datenpannen-Meldepflicht nach Microsoft Exchange Server Hack?

Zu den Meldepflichten in Bezug auf Datenpannen haben wir in unserem Blog schon mehrmals berichtet, zum Beispiel in diesem Beitrag. In diesem Fall herrscht jedoch bei den Datenschutzbehörden Unklarheit darüber, ob die Vorfälle gemeldet werden müssen. Aus einigen Entscheidungen in den letzten Jahren seit Inkrafttreten der DSGVO verstehen wir aber, dass die Voraussetzungen für eine verpflichtende Meldung einer Datenpanne recht gering sind. So kann bereits ein einziges, falsch adressiertes Email zu einer Datenschutzverletzung werden, die der zuständigen Datenschutzbehörde gemeldet werden muss.
Die Datenschutzbehörden appellieren an die Nutzer von Exchange Servern, anhand des beschriebenen PowerShell-Skripts zu überprüfen, ob sie von den Angriffen betroffen sind, und die zur Verfügung gestellten Sicherheitsupdates unverzüglich zu installieren.
Kann bereits ein eindeutiger, nachweisbarer Angriff bzw. Zugriff auf personenbezogenen Daten nachgewiesen werden, so muss dieser gemäß Artikel 33 DSGVO gemeldet werden.

Unsere Praxistipps

• Microsoft hat ein (Powershell-)Skript zur Verfügung gestellt, mit welchem Sie (Ihre IT) testen können, in wie weit Sie betroffen sind: https://github.com/microsoft/CSS-Exchange/tree/main/Security
• Installieren Sie sofort die wichtigen Sicherheitsupdates, um die Sicherheitslücken auch in Ihrem System zu patchen.
• Haben Sie dazu Fragen? Kontaktieren Sie uns sehr gerne! Erich von Maurnböck steht Ihnen als jahrelanger IT-Sicherheitsexperte sowie als zertifizierter CISO.Prof sehr gerne zur Seite.

Die Arbeit im Homeoffice stellt meist eine gute Möglichkeit dar, den Beruf weiter auszuüben und dabei zur Eindämmung der Coronavirus-Verbreitung beizutragen. Wobei natürlich die Kombination Homeoffice mit anwesenden Kindern ein besonderer Balanceakt ist – Hut ab vor allen, die das nervlich gut durchhalten! Studien haben schon gezeigt: Im Homeoffice arbeitet man produktiver, die Arbeitgebenden müssen nur Vertrauen aufbringen.

Herausforderungen für die Arbeitgebenden im Homeoffice

Für Arbeitgebende stellt das Arbeiten lassen im Homeoffice jedoch auch eine Herausforderung dar, die einige technische und datenschutzrechtliche Risiken birgt. Wird zuhause gearbeitet, verlieren die Arbeitgebenden die unmittelbare Kontrolle über Daten und IT. Zudem haben unberechtigte Personen, auch Mitbewohner oder Familienmitglieder genannt, leichter Zugriff auf vertrauliche Dokumente und Informationen. Was muss also besonders beachtet werden, um im Homeoffice Sicherheit gewährleisten zu können?

Häufig werden die Endgeräte vom Arbeitgebenden zur Verfügung gestellt. Auf diese Weise können zumindest einige technische Vorkehrungen getroffen werden, um technischen Datenschutz zu gewährleisten. Die Mitarbeitenden müssen sicherstellen, dass die Mitbewohner das Gerät nicht benützen und auch nicht auf Firmendaten zugreifen.

Etwas komplizierter ist es, wenn eigene Endgeräte benutzt werden. Hier helfen nur Vorgaben wie beispielsweise, dass nur über VPN auf die Firmennetzwerke zugegriffen werden darf und die Mitbewohner KEINESFALLS die Passwörter erfahren dürfen.

Homeoffice-Vereinbarungen

Einen wichtigen Baustein zur Homeoffice-Arbeit stellen dafür entworfene Vereinbarungen dar. Dadurch werden die Beschäftigten zur Einhaltung spezieller technischer und organisatorischer Maßnahmen verpflichtet – dies schützt den Dienstgebenden einerseits, aber auch den Dienstnehmenden. Nur wenn ich weiß, wie ich mich verhalten soll, kann ich entspannt zuhause arbeiten.

Unsere Praxistipps

• Informieren Sie Ihre Mitarbeitenden über die Risiken im Homeoffice.
• Für die Homeoffice-Vereinbarung stellen wir Ihnen gerne kostenlos ein Muster und eine Videoanleitung zur Verfügung – kontaktieren Sie uns jederzeit.