„Nur 40 Prozent der mittelständischen Unternehmen haben nach dem Bekanntwerden der Sicherheitslücke ihre Software überprüft“, sagt GDV-Hauptgeschäftsführer Jörg Asmussen. Nur 28 Prozent der repräsentativ von Forsa befragten mittelständischen Unternehmen gaben an, zusätzlich die eigenen Systeme auf bereits eingedrungene Schadsoftware untersucht zu haben.
Warnung ist in weiten Teilen des Mittelstands ungehört verhallt
„Die Unternehmen dürfen eine solche Schwachstelle und die lauten und klaren Warnungen davor nicht einfach ignorieren“, sagt Asmussen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte nach dem Bekanntwerden der Sicherheitslücke im Dezember 2021 die höchste Alarmstufe ausgerufen und von einer „extrem kritischen Bedrohungslage“ gesprochen habe.
„Wer darauf nicht reagiert, ist beim Thema IT-Sicherheit zu sorglos – oder hat zu wenig Know-how“, so Asmussen. Im Zweifel könnten Unternehmen auch ihren Cyber-Versicherungsschutz verlieren, wenn Hacker über eine lange bekannte, aber dennoch nicht geschlossene IT-Sicherheitslücke angreifen.
Cyberkriminelle könnten auch Monate nach der Erstinfektion zuschlagen
Cyberkriminelle hatten die Log4J-Schwachstelle bereits für unterschiedliche Angriffsformen ausgenutzt. Teilweise missbrauchten sie die Rechenleistung betroffener Systeme zur Errechnung von Krypto-Währungen wie Bitcoin, integrierten die Rechner in Bot-Netze für DDoS-Angriffe oder verschlüsselten Daten, um Lösegeld zu erpressen.
Darüber hinaus besteht die Gefahr, dass die Schwachstelle bereits vor einem Sicherheitsupdate für eine Erstinfektion mit Schadsoftware genutzt wurde. Dann könnten Angreifer die IT-Systeme auch nach dem Schließen der Sicherheitslücke weiter attackieren. Um solche Angriffe zu verhindern, sollten die gesicherten IT-Systeme eingehend auf etwaige Schadsoftware überprüft werden.
