Anlagensicherheit Log4Shell: Auch für OT-Systeme eine große Gefahr

Eine Sicherheitslücke in der Java-Logging-Bibliothek Log4j beschäftigt seit Wochen IT-Experten in aller Welt. Die operative Technologie ist für Angriffe ebenso empfindlich. Unternehmen müssen deshalb stärker in die Sicherheit ihrer Anlagen investieren.

Die Abkürzung Log4j steht für Logging for Java. Hierbei handelt es sich um eine Open-Source-Bibliothek von Java, die kostenlos genutzt werden kann und inzwischen in unzähligen Produkten weltweit eingesetzt wird, beispielsweise im Apache Webserver. Log4j dient dem Sichern und Wegschreiben von Logfiles, die Programme ausgeben können. Die Ende vergangenen Jahres öffentlich gewordene Lücke kann genutzt werden. Mit einem simplen Zeichensatz können Informationen von weiteren verbundenen Servern abgefragt und Kommandozeilenfenster erzeugt werden. Diese Kommandozeilenfenster werden Shells genannt. Daraus leitet sich der Name der Sicherheitslücke ab, die seit Mitte Dezember die IT-Welt in Atem hält: Log4Shell.

Viele Hersteller sind betroffen

Mit einer Shell haben Angreifer alle Möglichkeiten, Systeme zu infiltrieren, Hintertüren und Remotezugänge einzubauen und Daten zu manipulieren. Viele OT-Systeme haben solche Komponenten ebenfalls verbaut und sind damit anfällig für Angriffe von innen und außen, darunter auch viele IoT-Geräte, die in der Industrie 4.0 eingesetzt werden. Da Systeme für operative Technologien (kurz: OT) standardmäßig noch keine Netzwerküberwachung wie Intrusion Detection Systeme haben und die Patchzyklen erst deutlich nach der Veröffentlichung freigegeben werden, stellen Log4Shell und andere Sicherheitslücken eine sehr große Gefahr dar. Dazu kommt, dass bis heute niemand genau sagen kann, wie lange es Log4Shell bereits gibt und vor allem wie lange die Lücke schon ausgenutzt wird. Die Liste der Unternehmen, die betroffen sind beziehungsweise waren ist inzwischen lang.