Autor: Melanie Kortemeyer

Wichtige Information für alle Nutzer der 3 CX Desktop App: am 29.03.2023 gab es erste Hinweise dazu, dass eine aktuelle Version des Voice Over IP Clients 3CX kompromittiert wurde. Die Softwareversion ist zwar durch den Hersteller signiert, enthält jedoch schadhafte Elemente die in ihrer Funktionsweise der eines Trojaners entsprechen. Der Grund dafür ist wohl eine schadhafte DLL Datei.

Bisher konnte beobachtet werden, dass die Anwendung nach erfolgreicher Installation eine Verbindung zu einem C&C Server aufbaut und somit schadhafte weitere Software nachlädt.

Bei den betroffenen Versionen handelt es sich um die folgenden:
Windows: 18.12.407 und 18.12.416
Mac: 18.11.1213, 18.12.407, 18.12.416.

Mögliche Gefahren sind hier beispielsweise das Mithören von Gesprächen oder die Ausweitung des Angriffs auf zusätzliche Netzwerkkomponenten. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) bewertet den Vorfall mit der zweithöchsten Bedrohungslage. https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2023/2023-214778-1032.html

Bitte prüfen Sie, wenn Sie den Anbieter in Anspruch nehmen, die folgenden Punkte:

• Welche Softwareversion ist derzeit im Einsatz?
• Bei Möglichkeit Entfernung des Installers bis zum neuen Release.
• Ist es möglich, ein erneutes Laden des Installers an der Firewall zu blockieren?
• Ist der Zugriff auf Domains, die mit den Angriffen in Verbindung stehen, unterbunden?
• Haben Sie die 3CX Desktop App entfernt?
• Haben Sie bereits Maßnahmen ergriffen um eine bereits erfolgte Kompromittierung des Netzwerks auszuschließen? Wenn nicht, sollten Sie dies nachholen.

Wenn Zweifel bestehen empfehlen wir Ihnen aktuell von einer Nutzung abzusehen und den Client zu löschen, bis das Problem seitens 3CX behoben werden konnte.

Es gibt Neuigkeiten hinsichtlich der Entwicklung zum Hinweisgeberschutzgesetz. Nachdem das Gesetzesvorhaben Anfang des Jahres nicht die nötige Zustimmung im Bundesrat erhalten hatte und somit die benötigte Mehrheit nicht zustande kam, geht es nun weiter. Die Zustimmung des Bundesrates war nötig, da es sich bei dem Entwurf um ein sogenanntes Zustimmungsgesetz handelte. Die Ablehnung erfolgte, da es sich aus Sicht mancher Länder um Regelungen handele, die über die europäischen Anforderungen hinaus gingen.

Der ursprüngliche Gesetzesentwurf wurde nun in zwei einzelne Entwürfe aufgeteilt:

Der neue Entwurf des Gesetzes für den besseren Schutz hinweisgebender Personen, der die EU Richtlinie 2019/1937 umsetzen soll, nimmt im Wesentlichen das am 16.12.2022 beschlossene Gesetz wieder auf. Als einzige Änderung wird auf die zustimmungsbedürftige Änderung des Beamtenstatusgesetzes verzichtet. Diese wäre erforderlich um auch Beamt:innen Meldungen nach diesem Gesetz zu ermöglichen.

Durch diese Änderung handelt es sich bei dem Entwurf nun nach der Einschätzung der Fraktionen nicht mehr um ein solches Zustimmungsgesetz, da es keine verfassungsrechtlichen Bezüge mehr aufweist.

Der zweite Entwurf ist der Entwurf eines Gesetzes zur Ergänzung der Regelungen zum Hinweisgeberschutzgesetz. Dieser Entwurf passt die beamtenrechtlichen Verschwiegenheitspflichten im Beamtenstatusgesetz an die Erfordernisse des neuen Hinweisgeberschutzgesetzes an. Mit diesem Entwurf wird insbesondere Landesbeamt:innen eine Meldung oder Offenlegung nach dem Hinweisgeberschutzgesetz ermöglicht. Diese Änderungen bedürfen aufgrund des verfassungsrechtlichen Bezuges weiterhin der Zustimmung des Bundesrats.

Sollten am Ende beide Entwürfe das Gesetzgebungsverfahren erfolgreich durchlaufen, dann würde es wohl im Ergebnis zu keinen wesentlichen Änderungen gegenüber des ursprünglichen Entwurfes kommen.

Beide Vorhaben wurden aktuell vorab dem Rechtsausschuss zur weiteren Beratung übergeben.

Die Umsetzung der Richtlinie in nationales Recht hätte eigentlich bereits bis zum Dezember 2021 erfolgen müssen. Dieses Ziel hat die Regierung jedoch verpasst. Als Folge dessen hat die EU-Kommission deshalb mittlerweile ein Vertragsverletzungsverfahren gegen Deutschland auf den Weg gebracht.