Es haben sich ja nun schon einige gute Leute mit den technischen Aspekten dieses aktuellen Angriffes beschäftigt.
Deshalb möchte ich meinen Beitrag eher uns “normalen Leuten” widmen, die nicht den ganzen Tag auf der Jagd nach “roter Alarm” sind.
Was ist eigentlich dieses “Log4J”?
Wikipedia beschreibt das so:
“Log4j ist ein Framework zum Loggen von Anwendungsmeldungen in Java. Innerhalb vieler Open-Source- und kommerzieller Softwareprodukte hat es sich über die Jahre zu einem De-facto-Standard entwickelt.” (Quelle: wikipedia)
Man muss dazu wissen, dass es um etwas geht, was mit der Programmiersprache “Java” zu tun hat.
Die Besonderheit – Java wurde so entwickelt, dass es auf nahezu jedem Computersystem dieser Welt funktionieren kann.
Das ist schon eine Besonderheit, weil viele Programme speziell für bestimmte Serien von Prozessoren geschrieben werden und nicht so einfach auf andere umgeschrieben werden können.
So ähnlich wie das Thema mit den “64-Bit” bei Windows.
Mit Java wurde das so gelöst, dass man ein “Zwischenprogramm”, die sog. “Laufzeitumgebung” gemacht hat.
Nur dieses muss individuell programmiert sein. Damit laufen dann aber alle Java Programme.
Damit man nicht jede Kleinigkeit selbst programmieren muss, nutzen die Programmierer sog. “Frameworks” oder “Bibliotheken (Libraries)”.
Das ist eine Art von Baukasten, den man in sein neues Programm einbinden kann und so stehen alle Funktionen zur Verfügung, die darin enthalten sind.
Nimmt man diese beiden Informationen zusammen, dann wird klar, weshalb wir es wieder einmal mit einem sehr besonderen Fall zu tun haben und weshalb die “Alarmstufe Rot” auch gerechtfertigt ist.
Java Programmen finden sich überall. Auf Computern, Smartphones aber auch in Überwachungssystemen, Kühlschränken und Spielen.
Das bekannte Spiel “Minecraft” ist z.B. komplett in Java entwickelt worden.
Und darin (in den Servern, die man gemeinsam zum spielen nutzt) ist Log4J enthalten.
Damit sind alle diese Server “verwundbar”. Dort wurden die Angriffe recht früh bemerkt.
Nun kann man nicht einfach so sehen, ob in einem Gerät mit Log4J und / oder Java gearbeitet wurde.
Das wissen in der Regel nur die Hersteller und die sind nun gefragt, alles Systeme zu prüfen und zu aktualisieren.
Doch selbst wenn das gemacht ist, müssen die Änderungen erst einmal auf alle Geräte verteilt werden, was oft nur mit Hilfe der Nutzer geht.
Deshalb könnte es lange dauern, bis diese Schwachstelle komplett geschlossen wurde.
Ein wenig ist das so wie bei Corona – nur geimpfte Systeme sind geschützt.
Gelingt es einem Angreifer – und es werden in jeder Sekunde mehr – ein System erfolgreich anzugreifen, kann er die volle Kontrolle darüber bekommen.
In harmlosen Fällen rechnet dann der Kühlschrank in Zukunft Kryptowährungen aus und wird Teil eines weltweiten Netzwerkes der Verbrecher. Vollständig unter deren Kontrolle.
Weitaus schlimmer können die Folgen sein, wenn darüber die Angreifer auf andere Systeme springen können oder Zugang zu sensitiven Informationen bekämen.
Stellen Sie sich nur einmal vor, der Fernseher wäre komplett unter der Kontrolle von fremden Menschen?
Natürlich wird nun sehr viel getan, aber glaubt nur nicht, das wird ausreichen.
Wir werden noch recht lange damit zu tun haben und wenn dann in zwei Wochen die mediale Aufmerksamkeit abgeklungen ist, geht es munter weiter.
Gerne würde ich auch einen Tip geben, wie man das Problem selbst mit einfachen Mitteln lösen kann.
Nur gibt es so etwas aktuell noch nicht.
Somit können wir alle nur hoffen und warten.
Und daraus lernen, weil die IT immer mehr von Seiten angegriffen wird, die wir so bisher gar nicht auf dem Schirm hatten.
Log4J ist nur ein Beispiel für eine Vielzahl von “Frameworks”.
Na ja – zumindest haben Leute wie ich, damit auf längere Zeit auch eine gute Job-Perspektive.