Noch in Phase der Aufbereitung

Auf die Frage, wie viele Firmen denn betroffen seien, sagte Schönbohm: „Das kann man noch nicht sagen, wir sind in einer Phase der Aufbereitung.“ Seine Behörde stehe im Kontakt mit IT-Sicherheitsbehörden anderer Staaten, etwa von den Niederlanden, Frankreich und auch der USA. Ob bald Entwarnung gegeben werden könne, hänge davon ab, wie schnell Unternehmen die Schwachstelle schliessen.

Nach Erkenntnissen der IT-Sicherheitsfirma F-Secure gelang es Angreifern bereits zum Teil, Erpressungs-Trojaner und Software zum Erstellen von Kryptowährungen auf den Servern zu installieren. „Log4j könnte die kritischste Schwachstelle aller Zeiten sein. Insbesondere, da das Problem herstellerübergreifend besteht“, sagte F-Secure-Experte Rüdiger Trost.

Log4j ist eine sogenannte Logging-Bibliothek. Sie ist dafür da, diverse Ereignisse im Server-Betrieb wie in einem Logbuch festzuhalten - zum Beispiel für eine spätere Auswertung von Fehlern. Die Schwachstelle kann schon allein dadurch aktiviert werden, dass in dem Log eine bestimmte Zeichenfolge auftaucht, zum Beispiel durch eine Nachricht. Damit ist sie eher einfach auszunutzen, was Experten in grosse Sorge versetzte. Zugleich haben die Systeme grosser Anbieter meist mehrschichtige Schutzmechanismen.