Am 3. März 2021 wurde offiziell eine Zero-Day-Schwachstelle von Microsoft® bekanntgegeben. Durch diese Sicherheitslücke können Angreifer auf die lokalen „Microsoft Exchange Server“ (Version 2013, 2016 und 2019) zugreifen. Lediglich solche Server, die ausschließlich über vertrauenswürdige Verbindungen erreicht werden können (VPN), sollten von solchen Attacken nicht betroffen sein. Microsoft® stellt Updates bereit, die umgehend von den Exchange-Administratoren angewendet werden sollten. Darüber hinaus stellt Microsoft® ein eigenes Prüf-Script zur Verfügung, anhand dessen Systemadministratoren Anhaltspunkte für Angriffe auf Ihre Systeme erhalten können:

https://techcommunity.microsoft.com/t5/exchange-team-blog/march-2021-exchange-server-security-updates-for-older-cumulative/ba-p/2192020

und https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

Der TLfDI bittet darum, die umgehende Installation der verfügbaren Sicherheits-Patches vorzunehmen. Dieser dringliche Hinweis beruht auf der Verpflichtung zur Gewährleistung der Sicherheit der Verarbeitungstätigkeiten gemäß Artikel 32 DS-GVO von den Verantwortlichen gefährdeter Systeme.

„Bitte prüfen Sie auch, ob bereits Schadcodes installiert wurden. Festgestellte Datenschutzverletzungen sind dem TLfDI gemäß Artikel 33 der DS-GVO zu melden. Hierfür steht ein elektronisches Meldeformular auf unserer Homepage bereit: https://www.tlfdi.de/mam/tlfdi/datenschutz/meldung_einer_datenpanne_nach_artikel_33_ds-gvo.docx. Des Weiteren ist zu kontrollieren, ob die betroffenen Personen zu benachrichtigen sind.“, sagt Dr. Lutz Hasse, Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI).