Warum veraltete Software ein vermeidbares Einfallstor für Angriffe ist

Kritikalität: Hoch
Kategorie: Softwarestand
Aufwand zur Behebung: Mittel

Technischer Hintergrund

Angreifer müssen keine neuen Schwachstellen finden. Es genügt, die alten zu kennen — und ein System, das sie noch nicht geschlossen hat. Das macht veraltete Software zu einem lohnenden Ziel: Die Lücke ist öffentlich bekannt, das passende Werkzeug frei verfügbar.

Betroffen sind nahezu alle Arten öffentlich erreichbarer Anwendungen, darunter Webserver, Content-Management-Systeme, Onlineshops, Schnittstellen, Frameworks oder Firewall-Anwendungen.

Von veralteter Software spricht man, wenn eingesetzte Anwendungen oder Softwarekomponenten nicht mehr dem aktuellen Sicherheitsstand entsprechen. Dies kann insbesondere zwei Ursachen haben:

• Nicht installierte Sicherheitsupdates: Für die eingesetzte Software steht bereits ein Sicherheitsupdate zur Verfügung, es wurde jedoch nicht installiert. Die Sicherheitslücke ist bekannt und vom Hersteller behoben, das System bleibt dennoch angreifbar.
• Software nach dem Support-Ende (End of Life): Der Hersteller hat den Support für das Modell oder die eingesetzte Version eingestellt. Sicherheitsupdates werden nicht mehr bereitgestellt, sodass neu entdeckte Sicherheitslücken nicht mehr geschlossen werden. Dies betrifft sowohl kommerzielle Produkte als auch Open-Source-Komponenten.

Nicht installierte Sicherheitsupdates sind häufig auf ein unzureichendes Patchmanagement zurückzuführen. Der Weiterbetrieb von Software nach dem Support-Ende weist dagegen regelmäßig auf Defizite im Asset- und Lifecycle-Management hin.

Risiken und Auswirkungen

Bekannte Sicherheitslücken sind öffentlich dokumentiert. Für viele existieren fertige Angriffswerkzeuge. Angreifer suchen dabei nicht gezielt nach einzelnen Unternehmen, sondern scannen das Internet fortlaufend nach verwundbaren Systemen. Bei vielen Diensten lässt sich bereits von außen erkennen, welche Software und Version eingesetzt wird – eine Information, die Angreifern die Ausnutzung bekannter Lücken erleichtert.

Gelingt ein Angriff, können die dort verarbeiteten Daten abfließen. Im schlimmsten Fall übernimmt der Angreifer das System vollständig.

Werden über ein solches System personenbezogene Daten verarbeitet, sind zusätzlich die Anforderungen der DSGVO zu berücksichtigen. Art. 32 DSGVO verpflichtet Verantwortliche, gemessen am Stand der Technik geeignete technische und organisatorische Maßnahmen zu treffen, um Risiken für diese Daten zu reduzieren. Der Betrieb einer Softwareversion mit bekannten Sicherheitslücken oder nach ihrem Support-Ende wird diesen Anforderungen regelmäßig nicht gerecht.

Führt die Ausnutzung einer solchen Schwachstelle zur unbefugten Offenlegung, Veränderung oder zum Verlust personenbezogener Daten, liegt regelmäßig eine Verletzung des Schutzes personenbezogener Daten (sog. Datenschutzvorfall) vor.

Ein erhöhtes Risiko tragen Alt-Systeme, die fachlich bereits ersetzt wurden, technisch jedoch weiterhin öffentlich erreichbar sind. Sie geraten aus dem Blick des Patchmanagements, bleiben aber erreichbar, enthalten oft weiterhin schützenswerte Informationen und bieten schlimmstenfalls sogar Zugang zum internen Netz.

So erkennen Sie die Schwachstelle

Eine Schwachstelle liegt vor, wenn ein öffentlich erreichbares System auf einer Softwareversion betrieben wird, für die Sicherheitsupdates fehlen oder deren Hersteller keinen Support mehr anbietet.

Voraussetzung für die Erkennung ist ein vollständiges Inventar aller Systeme, Anwendungen und Dienste. Nur auf dieser Grundlage lässt sich zuverlässig beurteilen, ob eingesetzte Software noch unterstützt wird und Sicherheitsupdates verfügbar sind. Ohne einen aktuellen Überblick bleibt unklar, welche Software tatsächlich betrieben wird. Besondere Aufmerksamkeit verdienen Systeme, die intern bereits als stillgelegt oder ersetzt gelten, tatsächlich aber weiterhin öffentlich erreichbar sind.

Bei vielen Anwendungen lässt sich die eingesetzte Version bereits anhand der Serverantwort erkennen:

Enthält die Antwort Produkt- oder Versionsinformationen, können diese mit den Angaben des Herstellers zum Supportstatus verglichen werden.

Nicht alle Systeme geben ihre Version preis. Moderne Anwendungen unterdrücken diese Informationen teils bewusst. In diesen Fällen sind weitergehende technische Prüfungen erforderlich.

Die Schwachstelle gilt als behoben, wenn die eingesetzte Software auf einer aktuell unterstützten Version betrieben wird und verfügbare Sicherheitsupdates zeitnah eingespielt werden.

So beheben Sie die Schwachstelle

Grundlage ist ein geregelter Patch- und Lifecycle-Prozess. Sicherheitsupdates sollten risikoorientiert priorisiert, zeitnah eingespielt und nachvollziehbar dokumentiert werden. Verantwortlichkeiten für Aktualisierungen müssen eindeutig festgelegt sein.

Nicht mehr unterstützte Software sollte möglichst zeitnah ersetzt werden. Ist eine Ablösung kurzfristig nicht möglich, sind zusätzliche Schutzmaßnahmen erforderlich. Der IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) nennt hierfür unter anderem die Beschränkung der Erreichbarkeit sowie vorgeschaltete Schutzsysteme als mögliche Kompensationsmaßnahmen.

Besondere Aufmerksamkeit verdienen Legacy-Systeme. Wird eine Anwendung durch eine Nachfolgelösung ersetzt, muss das Altsystem vollständig stillgelegt werden. Dazu gehören die Migration oder Löschung der enthaltenen Daten sowie die dauerhafte Deaktivierung des Zugangs. Die bloße Einstellung der fachlichen Nutzung genügt nicht, solange das System weiterhin öffentlich erreichbar bleibt.

Eine weitere Fehlerquelle sind eingebundene Frameworks, Bibliotheken und Laufzeitumgebungen. Diese erreichen ihr Support-Ende unabhängig von der eigentlichen Anwendung und sollten daher regelmäßig überprüft werden.

Nach jeder Änderung sollte geprüft werden, ob die aktualisierte Version tatsächlich aktiv ist und keine bekannten Schwachstellen mehr aufweist.

Wie unser WebScan unterstützt

Die beschriebenen Maßnahmen helfen, veraltete Software und daraus resultierende Risiken zu vermeiden. In der Praxis bestehen jedoch häufig mehrere Sicherheitsrisiken gleichzeitig. Fehlkonfigurationen, veraltete Software oder weitere Schwachstellen bleiben ohne systematische Prüfung oft unentdeckt.

Unser WebScan™ analysiert Ihre öffentlich erreichbaren Systeme aus der Perspektive eines potenziellen Angreifers und identifiziert externe Schwachstellen automatisiert. Alle Ergebnisse werden anschließend durch unsere Sicherheitsexperten geprüft und bewertet. Sie erhalten einen strukturierten Bericht mit einer nachvollziehbaren Risikoeinschätzung sowie konkreten Handlungsempfehlungen zur Behebung.

Mehr über den WebScan erfahren

Verwandte Beiträge

Nachfolgend finden Sie weitere verwandte Beiträge:

• 1,09 Mio. € Bußgeld – Datenleck durch unzureichend abgesichertes Altsystem: Unter anderem trugen der Einsatz veralteter Software und weitere technische Sicherheitsmängel dazu bei, dass personenbezogene Daten offengelegt wurden.