Mehr als eine halbe Million online erreichbare IIS-Webserver haben ihren End-of-Life-Status erreicht. Auch in Deutschland stehen einige davon.

Nach Recherchen auf Basis von Shadowserver-Daten sind weltweit mehr als 514.780 IIS-Instanzen mit erreichtem End-of-Life-Status direkt aus dem Internet erreichbar. Laut Golem befinden sich darunter auch zahlreiche Systeme in Deutschland. Die Shadowserver Foundation ist eine gemeinnützige Cybersicherheitsorganisation, die weltweit erreichbare Systeme auf Schwachstellen, Fehlkonfigurationen und andere Risiken untersucht und entsprechende Warnhinweise an Betreiber und Partner weitergibt.

Warum das kritisch ist

Ein erheblicher Teil dieser öffentlich erreichbaren IIS-Systeme erhält keine regulären Sicherheitsupdates mehr. Mehr als 229.253 der erfassten Instanzen sollen sogar nicht mehr für Microsofts Extended Security Updates infrage kommen. Damit entstehen dauerhaft angreifbare Alt-Systeme, bei denen neu entdeckte Schwachstellen unter Umständen überhaupt nicht mehr geschlossen werden können. In diesem Fall schneidet Deutschland im Ländervergleich mit 4.818 Instanzen etwas besser ab und landet lediglich auf Platz 8. Angeführt wird das Feld abermals von China (74.960), gefolgt von den USA (52.527), Hongkong (13.123), Südkorea (7.575), Frankreich (6.692), Taiwan (5.848) und Italien (5.015).

Risiko für Unternehmen

Veraltete Webserver sind für Angreifer besonders attraktiv, weil sie oft direkt aus dem Internet erreichbar sind und sich gut für den Erstzugriff auf Unternehmensnetze eignen. Wenn ein solcher IIS-Server oder das zugrunde liegende Windows-System kompromittiert wird, kann er als Ausgangspunkt für lateral movement, Datendiebstahl oder weitergehende Angriffe im internen Netz dienen. Das Risiko steigt zusätzlich, wenn diese Systeme wegen alter Fachanwendungen über Jahre weiterbetrieben werden und dabei technisch oder organisatorisch nur unzureichend abgesichert sind. Viele betroffene Server bleiben online, weil Legacy-Anwendungen auf alte IIS- und Windows-Versionen angewiesen sind und eine Migration als zu aufwendig oder zu riskant gilt. Genau diese Konstellation führt jedoch dazu, dass Sicherheitsrisiken aufgeschoben statt beseitigt werden. Aus Sicht der Angreifer sind solche Systeme besonders wertvoll, weil sie bekannte Schwachstellen, schwache Segmentierung und selten gepflegte Konfigurationen kombinieren können.