Unzureichende IT-Sicherheit Citrix

Eine postalische Kontaktaufnahme zu Betreibern verwundbarer oder kompromittierter Systeme findet seitens des hier zuständigen Bundesamtes für Sicherheit in der Informationstechnik (BSI) grundsätzlich nicht statt. Üblicherweise liegen dem BSI nur die IP-Adressen der jeweiligen Systeme vor, die Identität der jeweiligen Kunden ist in der Regel nur dem zugehörigen Internet-Service-Provider (ISP) bekannt.

Das BSI übermittelt täglich auf elektronischem Weg eine sechsstellige Anzahl von Warnmeldungen an die ISP, in denen diese über verwundbare bzw. bereits kompromittierte Systeme ihrer Kunden in Deutschland in Kenntnis gesetzt werden. Diese Warnungen sind mit der Aufforderung verbunden, sie an die jeweils betroffenen Kunden weiterzuleiten.

Im Rahmen der auch nach Monaten weiterhin verwundbaren Citrix-Systeme hat das BSI manuell die Identität von Betroffenen erhoben und 134 Betreiber kompromittierbarer IT-Systeme postalisch informiert. Dies erfolgte aufgrund der besonderen Umstände des Einzelfalles.

Im Januar 2020 waren in Deutschland über 5.000 IT-Systeme über die Schwachstelle CVE-2019-19781 angreifbar. Das BSI hat die ISP über das o. g. Verfahren unverzüglich über die betroffenen Systeme informiert. Die Zahl der verwundbaren Systeme ist daraufhin stark zurückgegangen.

Im Oktober 2020 hat sich das BSI per Brief an die Geschäftsführungen derjenigen Betreiber gewandt, deren IT-Systeme weiterhin über die Schwachstelle CVE-2019-19781 angreifbar waren. In diesem speziellen Fall war eine Identifizierung der Betreiber möglich, da die Domain-Namen der betroffenen Systeme bekannt waren. Der Weg per Brief an die Geschäftsführungen wurde gewählt, da der übliche Weg über die ISP in diesen Fällen offensichtlich nicht zum Erfolg geführt hatte. Nach der Ansprache per Brief schlossen etwa die Hälfte der Angeschriebenen die Lücke in ihren Systemen. Die andere Hälfte der Systeme war weiterhin angreifbar. Daraufhin erfolgte durch das BSI stichprobenartig die telefonische Kontaktaufnahme mit den jeweiligen Geschäftsführungen einiger der betroffenen IT-Systeme, um die Gründe für deren Nicht-Tätigwerden in Erfahrung zu bringen.

• Citrix ADC und Citrix Gateway Version 13.0 vor 13.0.47.24
• NetScaler ADC und NetScaler Gateway Version 12.1 vor 12.1.55.18
• NetScaler ADC und NetScaler Gateway Version 12.0 vor 12.0.63.13
• NetScaler ADC und NetScaler Gateway Version 11.1 vor 11.1.63.15
• NetScaler ADC und NetScaler Gateway Version 10.5 vor 10.5.70.12
• Citrix SD-WAN WANOP appliance Modelle 4000-WO, 4100-WO, 5000-WO, und 5100-WO vor Version 10.2.6b und 11.0.3b.

Der Bundesregierung liegen keine verlässlichen Zahlen zu derart betroffenen Citrix- Systemen vor. Allerdings wurde bei mehreren Angriffen in den letzten Monaten ein bereits vorab durch die Tätergruppierungen installierte Remotezugang genutzt. Es handelte sich dabei nicht um eine Funktion der Software Citrix. Bei allen Systemen, die noch im Januar verwundbar waren, ist daher davon auszugehen, dass dort ebenfalls ein nachträglicher Remotezugang durch die Tätergruppierungen installiert wurde. Dies entspricht oft dem Vorgehen der Tätergruppierungen, sich Zugang zu einem System zu verschaffen, diesen aber erst später zu nutzen. Es liegen aktuell keine Erkenntnisse vor, ob die Unternehmen auch nach dem Installieren des Patches das System auf weiter zusätzlich eingefügte Remotezugänge geprüft haben oder andere Schutzmaßnahmen getroffen haben. Das BSI hat diese Problematik mit seinen Sicherheitswarnungen an die Unternehmen adressiert.

Nein, bei allen dem BSI bekannten KRITIS-Zuordnungen wurden die Systeme gepatcht. Das Melde- und Informationssystem zwischen BSI und KRITIS-Betreibern ist etabliert und hat sich bewährt.

Die Bundesregierung sieht als zentrale legislative Maßnahme zur Verbesserung der IT-Sicherheit in dieser Legislaturperiode das IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0) vor. Bei diesem Gesetz handelt es sich um die Fortschreibung des IT-Sicherheitsgesetzes aus dem Jahr 2015. Das IT-SiG 2.0 ist derzeit in der Ressortabstimmung.