Wer seine IT von einer Firma betreuen lässt, merkt davon im Alltag wenig. Updates laufen in der Nacht, ein Problem wird aus der Ferne behoben, bevor man es bemerkt. Möglich macht das ein kleines Programm auf jedem Rechner des Betriebs, das mit einer zentralen Plattform der IT-Firma verbunden ist. Von dort aus lassen sich alle Rechner aller Kunden verwalten: Software verteilen, Skripte ausführen, Einstellungen ändern.
Eine der verbreiteten Plattformen dafür heisst N-central, vom Hersteller N-able.
Was passiert ist
Am 8. November hat ein Sicherheitsforscher 33 schwere Lücken in N-central veröffentlicht, zusammen mit funktionierendem Angriffscode. Laut der Sicherheitsfirma Huntress lassen sie sich zu vier Angriffsketten verbinden. Drei davon erlauben es, Code auf dem Server der Plattform auszuführen, eine verschafft volle Rechte. Eine der Ketten kommt laut Bleeping Computer ohne Anmeldung aus.
Am 9. November hat N-able seine gehosteten N-central-Umgebungen weltweit abgeschaltet. IT-Firmen, die N-central auf eigenen Servern betreiben, sollen diese ebenfalls vom Netz nehmen, bis eine Korrektur da ist. Angriffe hat N-able bis dahin nach eigenen Angaben keine gesehen. Kennnummern für die Lücken und eine Liste betroffener Versionen gab es zunächst nicht.
Warum das grösser ist als eine gewöhnliche Lücke
Eine Fernwartungsplattform ist kein gewöhnliches Programm. Sie ist so gebaut, dass sie auf jedem verwalteten Rechner Befehle ausführen darf. Wer die Plattform übernimmt, übernimmt diese Fähigkeit, bei allen Kunden der IT-Firma zugleich.
Dass das nicht theoretisch ist, zeigt ein früherer Fall: Bei einer älteren Lücke in N-central haben Angreifer laut Huntress über die Plattform Skripte und Werkzeuge an die Umgebungen der Kunden verteilt.
Es ist dasselbe Muster wie bei den Kühlanlagen, über die wir gestern geschrieben haben: Ein einziger Zugang beim Dienstleister öffnet viele Betriebe auf einmal. Nur sitzt diese Tür nicht im Kühlraum, sondern auf jedem Rechner im Büro.
Was ein Kleinbetrieb davon merkt
Im besten Fall wenig: Die IT-Firma kann ein paar Tage nicht aus der Ferne eingreifen, Updates verzögern sich. Im schlechteren Fall ist es eine Frage, die man nur beantworten kann, wenn man weiss, welches Werkzeug überhaupt im Einsatz ist. Das wissen die wenigsten.
Gerade deshalb lohnt der Anlass, um einmal nachzufragen. Nicht nur wegen N-central, sondern grundsätzlich.
Was jetzt zu tun ist
Bei der IT-Firma nachfragen. Mit welcher Plattform verwaltet ihr unsere Rechner? Ist sie von den Lücken in N-central betroffen? Wenn ja: Ist sie abgeschaltet, und habt ihr die Zugriffe seit dem 8. November geprüft?
Nach den Zugängen fragen. Wer bei der IT-Firma kann auf unsere Rechner zugreifen, und meldet sich diese Person mit einem zweiten Faktor an? Wird festgehalten, wann jemand auf welchem Rechner war?
Wissen, was installiert ist. Auf jedem Rechner läuft ein Programm des Dienstleisters. Der Name steht meist in der Liste der installierten Programme. Es lohnt sich, einmal aufzuschreiben, welches es ist und wofür es da ist.
Nicht in Panik deinstallieren. Das Programm einfach zu entfernen, nimmt der IT-Firma die Möglichkeit, Updates einzuspielen, und schafft ein neues Problem. Abschalten muss die IT-Firma die Plattform, nicht der Kunde die Rechner.