Kleine Anfrage 3306des Abgeordneten Sven W. Tritschler vom 14.01.2020
Kritische Sicherheitslücke in der Fernzugriffs-Software der Firma Citrix – Sind auch Einrichtungen des Landes in Nordrhein-Westfalen betroffen?
Seit Montag, den 13. Januar 2020 wird bundesweit verstärkt von einer eklatanten Sicherheitslücke bei einer Serversoftware der Firma Citrix berichtet. Von dieser Sicherheitslücke sollen laut Medienberichten1 u.a. der Sächsische Landtag, die CSU-Landtagsfraktion, Behörden in Hessen, das Bundeseisenbahnvermögen (BEV) sowie zahlreiche Krankenhäuser, Kommunen Kraftwerksbetreiber und Stadtwerke betroffen sein. EU-weit betroffen sind z.B. das europäische Patentbüro, die europäische Arzneimittelagentur (EMA) und die europäische Polizeiakademie.
Die Sicherheitslücke war seit dem 17. Dezember 2019 bekannt und veröffentlicht. Seit wenigen Tagen wird diese jedoch durch verschiedene Exploits2 im großen Maßstab ausgenutzt, so sind u.a. auch schon sogenannte Cryptominer3 in betroffenen Systemen entdeckt worden.
Die Firma Citrix will erst Ende Januar ein Update zur Schließung dieser Sicherheitslücke veröffentlichen4 und bietet vorerst nur eine Anleitung zur Änderung der Serverkonfiguration an5. Bis dahin, so der Rat der Experten, hilft nur abschalten und das System neu aufsetzen, da die Wahrscheinlichkeit hoch wäre, dass das System kompromittiert ist.
Ich frage daher die Landesregierung:
1. Welche Einrichtungen des Landes nutzen die von der Sicherheitslücke betroffenen Produkte der Firma Citrix?
2. Wann wurde der Landesregierung erstmals die Sicherheitslücke in der Citrix Serversoftware bekannt?
3. Welche Maßnahmen wurden zur Weiterverbreitung dieser IT-sicherheitsrelevanten Informationen getroffen?
4. Wie wurde sichergestellt, dass diese sicherheitsrelevanten Informationen bei den potentiell betroffenen kommunalen Einrichtungen und kommunalen Versorgern angekommen sind und ebenso auch die Verantwortlichen entsprechende Schritte eingeleitet haben?
5. Hat die Landesregierung einen genauen Überblick über die in den Landeseinrichtungen und Landesbehörden sowie in den Kommunalen Verwaltungen verwendete Serversoftware?
Sven W. Tritschler
1 https://www.golem.de/news/shitrix-das-citrix-desaster-2001-146047.html
2 https://github.com/projectzeroindia/CVE-2019-19781
3 https://www.datenschutzbeauftragter-info.de/crypto-miner-wachsende-gefahr-im-hintergrund/
5 https://support.citrix.com/article/CTX267679
Nachfolgend die Antwort der Landesregierung, verfasst am 13.02.2020
Der Minister für Wirtschaft, Innovation, Digitalisierung und Energie hat die Kleine Anfrage 3306 mit Schreiben vom 13. Februar 2020 namens der Landesregierung im Einvernehmen mit dem Ministerpräsidenten sowie allen übrigen Mitgliedern der Landesregierung beantwortet.
1. Welche Einrichtungen des Landes nutzen die von der Sicherheitslücke betroffenen Produkte der Firma Citrix?
Die Landesverwaltung Nordrhein-Westfalen setzt in vier Ressorts von der Sicherheitslücke betroffene Produkte der Firma Citrix ein. Nach Auffassung der Landesregierung widerspricht eine detaillierte Nennung der betroffenen Häuser den schutzwürdigen Interessen der jeweiligen Betreiber und würde Beeinträchtigungen wesentlicher Sicherheitsinteressen zumindest ermöglichen.
2. Wann wurde der Landesregierung erstmals die Sicherheitslücke in der Citrix Serversoftware bekannt?
Die Sicherheitslücke wurde der Landesregierung erstmals am 20. Dezember 2019 bekannt.
3. Welche Maßnahmen wurden zur Weiterverbreitung dieser IT-sicherheitsrelevanten Informationen getroffen?
Das CERT NRW hat die die gegenständliche Sicherheitslücke betreffende Warnung des CERT Bund, des Bundesamtes für Sicherheit in der Informationstechnik (BSI), an alle benannten Ansprechpartner für Informationssicherheit der Landesverwaltung Nordrhein-Westfalen im Rahmen seines Warn- und Informationsdienstes zur Umsetzung eigener Maßnahmen weitergeleitet. Dabei wurde zudem auf die bereits vorgenommene Schutzmaßnahme („Workaround“) hingewiesen.
Die Schutzmaßnahme für alle über das Internet erreichbaren Systeme der Firma Citrix wurde unverzüglich implementiert.
Die zwischenzeitlich durch die Firma Citrix bereitgestellten Patche sind flächendeckend installiert worden.
4. Wie wurde sichergestellt, dass diese sicherheitsrelevanten Informationen bei den potentiell betroffenen kommunalen Einrichtungen und kommunalen Versorgern angekommen sind und ebenso auch die Verantwortlichen entsprechende Schritte eingeleitet haben?
Kommunale Einrichtungen und kommunale Versorger erhalten sicherheitsrelevante Informationen unmittelbar oder mittelbar über ihre IT-Dienstleister. Die Verantwortung für die Einleitung entsprechender Schritte liegt in den Kommunen.
5. Hat die Landesregierung einen genauen Überblick über die in den Landeseinrichtungen und Landesbehörden sowie in den Kommunalen Verwaltungen verwendete Serversoftware?
Die Landesregierung hat in den jeweiligen Organisationseinheiten einen genauen Überblick über die in den Landeseinrichtungen und Landesbehörden verwendete Serversoftware. Für die Kommunalverwaltung wird auf die Antwort zu Frage 4 verwiesen.