Log4j/Log4Shell Demo / Hackerangriff Vorführung
Zuletzt aktualisiert am 1. Juni 2026
*Vorwort* Es geht in dem Video um Webanwendungen als eines der vielen Beispiele für die Log4j-Schwachstelle, von der Schwachstelle ist jedoch potentiell jede Software betroffen die Log4j nutzt.
In den Log4j Listen (siehe Links unten) von Produkten und Anbietern liest man alle großen Namen der Software Welt wie z.B. Microsoft, Dell, IBM, SAP, Teamviewer usw.
Online wie Offline, Privat wie Unternehmen und andere Institutionen sind betroffen, einfach Jeder und potentiell jedes Produkt was mit einer Software ausgestattet ist das Log4j nutzt (Untersuchungen laufen, hunderte Anbieter und Produkte von globaler Bedeutung wurden bereits gelistet):
DATUREX GmbH stellt Ihnen einen externen Datenschutzbeauftragten nach Art. 37 DSGVO — inklusive Audit, Schulungen, VVT-Pflege und Datenpannen-Meldung. Kostenlose Ersteinschätzung in 30 Minuten.
→ Leistungen ansehenErsteinschätzung anfragenhttps://www.bleepingcomputer.com/news/security/log4j-list-of-vulnerable-products-and-vendor-advisories/
https://github.com/NCSC-NL/log4shell/tree/main/software
https://www.rumble.run/blog/finding-log4j/
In diesem kurzen Video geht es um die Log4j Schwachstelle die aktuell weltweit das Internet bedroht.
In unserer Demo zeigen wir kurz wie ein Angreifer unter Ausnutzung der Log4j-Schwachstelle über normale Eingabe-Formulare auf einer Webseite eine Remote-Verbindung zum anzugreifenden System herstellt, der Angreifer kann in diesem Beispiel die Webanwendung und im Anschluss den Webserver vollständig kontrollieren.
Es reicht zur Nutzung der Schwachstelle meist ein beliebiges Eingabefeld auf einer Webseite z.B. ein Suchfeld in einem Webshop, die genutzte Technologie hinter den Suchfeldern in Webshops ist meist ElasticSearch und ElasticSearch ist verwundbar.
Bei der Log4j-Schwachstelle verblüfft die Einfachheit in der Ausnutzbarkeit.
Der Angreifer erlangt in diesem Beispiel Root Rechte, da der Webserver im Root-Kontext läuft, dadurch ist eine vollständige Übernahme des Servers möglich.
Es können beliebige Daten extrahiert werden oder weitere Hackerangriffe auf die Webanwendung oder andere Internet-Teilnehmer durchgeführt werden.
Konsultieren Sie uns gern für eine Beratung oder für die Behebung von Log4j Schwachstellen in Ihrem Unternehmen.
Wir haben erfahrene Java Programmierer und Administratoren (Linux + Windows) mit an Board die gern Ihre IT-Systeme prüfen und Quellcode von eingesetzer Software auditieren sowie IT-Systeme und Software gegen Log4j härten können.
Bei Vorfällen im Zusammenhang mit Log4j besteht möglicherweise eine Meldepflicht bei den Behörden z.B. bei der Landesdatenschutzbehörde sofern personenbezogene Daten betroffen sind.
Was ist Log4j und warum ist die Schwachstelle so gefährlich?
Log4j ist eine weit verbreitete Open-Source-Bibliothek für die Protokollierung in Java-Anwendungen. Sie wird von Millionen von Anwendungen weltweit eingesetzt, von kleinen Webseiten bis hin zu komplexen Unternehmenssystemen. Die im Dezember 2021 entdeckte Schwachstelle CVE-2021-44228, auch als Log4Shell bekannt, erhielt die höchstmögliche Bewertung von 10.0 auf der CVSS-Skala.
Die Gefährlichkeit liegt in der Kombination mehrerer Faktoren: Die Schwachstelle ist extrem einfach auszunutzen, sie betrifft eine enorme Anzahl von Systemen weltweit, und der Angreifer erhält in vielen Fällen vollständige Kontrolle über das angegriffene System. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stufte die Bedrohungslage als extrem kritisch ein und rief die höchste Warnstufe Rot aus.
Technischer Hintergrund der Schwachstelle
Die Log4Shell-Schwachstelle nutzt eine Funktion namens JNDI (Java Naming and Directory Interface) Lookup aus. Normalerweise ermöglicht diese Funktion es Java-Anwendungen, Objekte über verschiedene Verzeichnisdienste wie LDAP oder DNS abzurufen. Die Schwachstelle entsteht dadurch, dass Log4j bestimmte Zeichenketten in Protokollnachrichten als JNDI-Lookup-Befehle interpretiert und ausführt.
Ein Angreifer kann in ein beliebiges Eingabefeld einer Webanwendung eine speziell formatierte Zeichenkette eingeben. Wenn diese Eingabe von Log4j protokolliert wird, führt die Bibliothek automatisch eine Verbindung zum Server des Angreifers her und lädt schädlichen Code herunter, der dann auf dem angegriffenen System ausgeführt wird.
Verantwortung in der Open-Source-Lieferkette
Log4j ist ein Open-Source-Projekt, das von einer kleinen Gruppe ehrenamtlicher Entwickler gepflegt wird. Der Vorfall hat eine wichtige Debatte über die Verantwortung in der Open-Source-Lieferkette ausgelöst. Unternehmen, die Open-Source-Komponenten in ihren Produkten einsetzen, tragen die datenschutzrechtliche Verantwortung für deren Sicherheit. Dies bedeutet, dass sie nicht nur bekannte Schwachstellen zeitnah patchen müssen, sondern auch aktiv die Sicherheit der eingesetzten Bibliotheken überwachen sollten — etwa durch Dienste wie Dependabot, Snyk oder das CVE-System des NIST.
Präventive Maßnahmen gegen Zero-Day-Schwachstellen
Die Log4j-Schwachstelle hat gezeigt, dass Unternehmen nicht nur auf bekannte Bedrohungen reagieren, sondern auch präventive Maßnahmen gegen unbekannte Schwachstellen implementieren müssen. Ein mehrschichtiges Sicherheitskonzept mit Netzwerksegmentierung, Web Application Firewalls und Intrusion Detection Systemen kann die Auswirkungen einer Zero-Day-Schwachstelle begrenzen, selbst wenn die eigentliche Lücke noch nicht bekannt ist.
Regelmäßige Sicherheitsaudits und Penetrationstests helfen dabei, die eigene Infrastruktur kritisch zu überprüfen. Unternehmen sollten zudem einen Notfallplan für Cybervorfälle bereithalten, der klare Zuständigkeiten, Kommunikationswege und technische Sofortmaßnahmen definiert.
Datenschutzrechtliche Konsequenzen von Log4j-Angriffen
Aus datenschutzrechtlicher Sicht sind Log4j-Angriffe besonders problematisch. Gelingt es einem Angreifer, über die Schwachstelle in ein System einzudringen, hat er in der Regel Zugriff auf alle dort gespeicherten Daten, einschließlich personenbezogener Daten. Dies stellt eine Datenschutzverletzung im Sinne von Art. 33 DSGVO dar.
Unternehmen, die von einem solchen Angriff betroffen sind, müssen innerhalb von 72 Stunden eine Meldung an die zuständige Aufsichtsbehörde abgeben. Zudem müssen die betroffenen Personen nach Art. 34 DSGVO benachrichtigt werden, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht. Die unterlassene oder verspätete Meldung kann zusätzliche Bußgelder nach sich ziehen.
Pflichten für Unternehmen nach der DSGVO
Die DSGVO verpflichtet Unternehmen in Art. 32, angemessene technisch-organisatorische Maßnahmen zum Schutz personenbezogener Daten zu treffen. Dazu gehört auch das zeitnahe Einspielen von Sicherheitsupdates und Patches. Unternehmen, die bekannte Schwachstellen wie Log4Shell nicht zeitnah beheben, können sich bei einem erfolgreichen Angriff nicht auf unverschuldete Umstände berufen.
Zu den empfohlenen Maßnahmen gehören die sofortige Aktualisierung aller Systeme, die Log4j verwenden, die Überprüfung der eigenen IT-Infrastruktur auf verwundbare Komponenten, die Implementierung von Web Application Firewalls und Intrusion Detection Systemen sowie die Durchführung regelmäßiger Sicherheitsaudits und Penetrationstests.
Meldepflichten und Reaktion auf Log4j-Vorfälle
Bei einem erfolgreichen Log4j-Angriff bestehen für Unternehmen umfangreiche Meldepflichten. Neben der bereits erwähnten Meldepflicht nach Art. 33 DSGVO an die Datenschutzaufsichtsbehörde kann auch eine Meldepflicht nach dem IT-Sicherheitsgesetz bestehen. Betreiber kritischer Infrastrukturen (KRITIS) müssen Sicherheitsvorfälle unverzüglich an das BSI melden.
Die Reaktion auf einen Log4j-Vorfall sollte einem vorab definierten Incident-Response-Plan folgen. Dieser Plan sollte die sofortige Isolation betroffener Systeme, die forensische Analyse zur Feststellung des Schadensausmaßes, die Benachrichtigung der zuständigen Stellen und Betroffenen, die Behebung der Schwachstelle und Wiederherstellung der Systeme sowie die Dokumentation des Vorfalls und der ergriffenen Maßnahmen umfassen.
Verantwortung der Software-Hersteller
Der Log4j-Vorfall hat auch die Frage der Herstellerverantwortung für Software-Sicherheitslücken in den Fokus gerückt. Die Europäische Union hat mit dem Cyber Resilience Act einen Rechtsrahmen geschaffen, der Hersteller von Produkten mit digitalen Elementen zu einem angemessenen Sicherheitsniveau verpflichtet. Dies umfasst auch die Pflicht zur Bereitstellung von Sicherheitsupdates über den gesamten Produktlebenszyklus.
Für Unternehmen bedeutet dies, dass sie bei der Auswahl von Software-Produkten und Cloud-Diensten verstärkt auf die Sicherheitsstandards der Anbieter achten müssen. Verträge mit Software-Herstellern und Cloud-Anbietern sollten klare Regelungen zu Sicherheitsupdates, Reaktionszeiten bei Schwachstellen und Haftungsfragen enthalten.
Praktische Checkliste für Unternehmen
Um sich vor Schwachstellen wie Log4Shell zu schützen, sollten Unternehmen folgende Maßnahmen umsetzen: Erstellen Sie ein vollständiges Inventar aller eingesetzten Software-Komponenten einschließlich Open-Source-Bibliotheken. Richten Sie einen Prozess für das zeitnahe Einspielen von Sicherheitsupdates ein. Implementieren Sie ein Schwachstellenmanagement mit regelmäßigen Scans. Führen Sie mindestens jährlich Penetrationstests durch. Schulen Sie Ihre Mitarbeiter in den Grundlagen der IT-Sicherheit und des Datenschutzes.
Die Kosten für diese präventiven Maßnahmen sind in der Regel deutlich geringer als die potenziellen Schäden durch einen erfolgreichen Cyberangriff. Neben den direkten Kosten für die Wiederherstellung der Systeme drohen Bußgelder, Schadensersatzforderungen und Reputationsverluste, die existenzbedrohend sein können.
Lehren aus Log4j für die IT-Sicherheit
Die Log4j-Schwachstelle hat grundsätzliche Schwächen in der Software-Lieferkette offengelegt. Viele Unternehmen wussten nicht einmal, dass sie Log4j in ihren Systemen einsetzen, da die Bibliothek oft als Abhängigkeit anderer Software-Komponenten eingebunden war. Dies unterstreicht die Notwendigkeit eines vollständigen Software-Asset-Managements und regelmäßiger Sicherheitsüberprüfungen.
Für Unternehmen ist es zentral, ein vollständiges Datenschutz- und Sicherheitskonzept zu implementieren, das nicht nur die eigenen Systeme, sondern auch die eingesetzten Drittanbieter-Komponenten berücksichtigt. Ein externer Datenschutzbeauftragter kann dabei helfen, die Anforderungen der DSGVO mit den praktischen Erfordernissen der IT-Sicherheit in Einklang zu bringen.
Die Demo erfolgte auf unseren Testsystemen, es kam dabei niemand zu Schaden und es hat sich dabei niemand strafbar gemacht.
Datenschutzrechtliche Konsequenzen von Log4j-Angriffen
Ein erfolgreicher Log4j-Angriff kann weitreichende datenschutzrechtliche Konsequenzen nach sich ziehen. Wenn durch die Schwachstelle personenbezogene Daten kompromittiert werden, liegt eine meldepflichtige Datenpanne gemäß Art. 33 DSGVO vor. Unternehmen müssen die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden informieren und die betroffenen Personen benachrichtigen, sofern ein hohes Risiko für deren Rechte und Freiheiten besteht.
Außerdem stellt die Log4j-Schwachstelle die Frage nach der Verantwortlichkeit in der Software-Lieferkette. Gemäß der DSGVO sind Verantwortliche verpflichtet, bei der Auswahl und dem Einsatz von Auftragsverarbeitern und Software-Komponenten angemessene Sorgfalt walten zu lassen. Dies umfasst die regelmäßige Überprüfung eingesetzter Bibliotheken auf bekannte Sicherheitslücken, die Implementierung eines technisch-organisatorischen Maßnahmenkonzepts sowie die Dokumentation aller sicherheitsrelevanten Entscheidungen.
Für Unternehmen, die Java-basierte Anwendungen einsetzen, empfiehlt sich die Erstellung eines Software Bill of Materials (SBOM), das alle verwendeten Komponenten und deren Versionen auflistet. So können bei Bekanntwerden neuer Schwachstellen betroffene Systeme schnell identifiziert und gepatcht werden. Die DATUREX GmbH unterstützt Unternehmen bei der Integration solcher Sicherheitsprozesse in ihr bestehendes Datenschutzmanagementsystem und sorgt für die lückenlose Dokumentation aller relevanten Maßnahmen.
Die Erfahrungen mit Log4j haben auch dazu geführt, dass viele Unternehmen ihre Notfallpläne für Cybervorfälle überarbeitet und verbessert haben. Ein strukturierter Incident-Response-Plan, der regelmäßig getestet wird, ist heute wichtig. Die DATUREX GmbH unterstützt Unternehmen in Dresden und Sachsen bei der Entwicklung und Umsetzung solcher Konzepte und sorgt für die datenschutzkonforme Dokumentation aller relevanten Prozesse.Datenschutz für Ihr Unternehmen
Verwandte Beiträge
Professioneller Datenschutz für Ihr Unternehmen
Die DATUREX GmbH ist Ihr zertifizierter externer Datenschutzbeauftragter — bundesweit, persönlich und DSGVO-konform. Ab 150 €/Monat.