Nach einer ersten Warnung der italienischen Behörden ist inzwischen klar, dass es zu extrem kritischen Situationen gekommen ist: In einem weltweiten Angriff wurden Medienberichten zufolge tausende Server mit der Virtualisierungslösung ESXi von VMware mit Ransomware infiziert und verschlüsselt.
Regionale Schwerpunkte der Angriffe waren laut BSI-Dokument Frankreich, die USA, Deutschland und Kanada – weitere Länder sind betroffen. Die Angreifer nutzten eine seit längerem bekannte Schwachstelle im OpenSLP-Dienst der Anwendung aus, die einen Heap-Überlauf auslösen und letztlich die Remote-Ausführung von Code ermöglichen kann.
Unternehmen werden naturgemäß als erstes das technisch-faktische angehen, später steht dann die juristische Aufarbeitung an. Dass hier juristische Konsequenzen folgen müssen, liegt auf der Hand. Insoweit sind meine allgemeinen Ausführungen zu Log4J zu beachten, aber auch zur Haftung der Geschäftsführung bei IT-Sicherheitsmängeln in der eigenen Sphäre. Zu beachten ist hier, dass die Mängel laut BSI schon länger bekannt waren und Patches zur Verfügung stehen: Wenn tatsächlich über einen nicht nur kurzfristigen Zeitraum solche Patches nicht installiert werden, steht natürlich (!) die Haftung des Verantwortlichen im Raum, sei es des Geschäftsführers, der die Überwachungsmaßnahmen nicht ordentlich umgesetzt hat; oder auch des externen Dienstleisters, der eventuell schlicht gepennt hat.
Unsere Kanzlei ist spezialisiert auf Starke Strafverteidigung, seriöses Wirtschaftsstrafrecht, Arbeitsrecht und IT-Recht / Technologierecht.
- Software als Medizinprodukt - 23. April 2024
- Unternehmen kann Warentest nicht unterbinden - 22. April 2024
- Vorratsdatenspeicherung 2024: 1 Monat Speicherung? - 22. April 2024