IPMI und BMC absichern: Die vergessene Fernwartungsschnittstelle im Server

Aktuelle Sicherheitsberichte zeigen: Über 24.000 Server sind weltweit noch immer über eine rund 20 Jahre alte Schwachstelle im IPMI-Protokoll angreifbar. Das Bemerkenswerte daran ist nicht das Alter der Lücke, sondern wie selten IPMI- und BMC-Schnittstellen überhaupt Teil des regulären Patch-Managements sind. Gerade bei KMU mit eigenen Servern im Serverraum oder Rechenzentrum ist dieser blinde Fleck weit verbreitet.

Was IPMI und BMC überhaupt sind

IPMI (Intelligent Platform Management Interface) ist ein Standard, über den sich Server unabhängig vom Betriebssystem fernwarten lassen – etwa um einen abgestürzten Server neu zu starten, die Hardware-Temperatur zu prüfen oder eine Neuinstallation per Remote-Konsole durchzuführen. Umgesetzt wird IPMI über den BMC (Baseboard Management Controller), einen kleinen, eigenständigen Computer auf der Hauptplatine des Servers. Bekannte Umsetzungen sind Dell iDRAC, HPE iLO oder Supermicro IPMI.

Der entscheidende Punkt: Der BMC läuft unabhängig vom Hauptsystem, hat eine eigene Netzwerkschnittstelle und bleibt aktiv, selbst wenn der Server ausgeschaltet ist. Genau das macht ihn für die Fernwartung so nützlich – und aus Sicherheitssicht zu einem eigenständigen Angriffsziel, das komplett am regulären Betriebssystem-Patchmanagement vorbeiläuft.

Warum die Schnittstelle so oft vergessen wird

Ein BMC wird meist einmalig bei der Server-Installation eingerichtet und danach kaum noch angefasst. Firmware-Updates für den BMC laufen getrennt vom Betriebssystem und werden dementsprechend selten mitgedacht. Viele Admins patchen zuverlässig Linux oder Windows Server, prüfen aber nie, welche Firmware-Version die IPMI-Schnittstelle selbst hat – dabei ist genau diese Schnittstelle oft direkt aus dem internen Netz oder, schlimmer noch, aus dem Internet erreichbar.

Warum IPMI/BMC ein attraktives Angriffsziel ist

• Voller Hardware-Zugriff: Wer den BMC übernimmt, kann den Server neu starten, die Boot-Reihenfolge ändern, eine virtuelle Konsole öffnen und im schlimmsten Fall ein eigenes Betriebssystem-Image booten – unabhängig von jeder Betriebssystem-Sicherheitsmaßnahme.
• Werkspasswörter bleiben oft aktiv: Viele BMC-Implementierungen werden mit Standard-Zugangsdaten ausgeliefert, die nach der Installation nie geändert werden.
• Veraltete Firmware über Jahre im Einsatz: Da BMC-Updates nicht im normalen Patch-Rhythmus laufen, sind teils zehn Jahre alte Firmware-Versionen mit bekannten, öffentlich dokumentierten Schwachstellen im Einsatz.
• Erreichbarkeit ohne Netzwerksegmentierung: Ist die Management-Schnittstelle im selben Netz wie der restliche Firmenbetrieb, genügt ein einziger kompromittierter Client, um den BMC zu erreichen.
• Keine Protokollierung im Blick: Zugriffe auf die IPMI-Schnittstelle landen selten im zentralen Log-Monitoring, sodass ein Missbrauch lange unbemerkt bleiben kann.

Was KMU jetzt konkret prüfen sollten

1. Bestandsaufnahme aller BMC-Schnittstellen

Zunächst gilt es zu klären, welche eigenen Server über IPMI, iDRAC, iLO oder vergleichbare Schnittstellen verfügen und ob diese aktuell aktiv sind. In vielen Betrieben ist das nicht dokumentiert, weil die Einrichtung schon Jahre zurückliegt.

2. Erreichbarkeit einschränken

Die Management-Schnittstelle gehört in ein eigenes, von Servern und Arbeitsplätzen getrenntes Management-VLAN – erreichbar nur für autorisierte Admin-Systeme, niemals direkt aus dem Internet. Eine Netzwerksegmentierung mit VLANs ist hier die wirksamste einzelne Maßnahme.

3. Standardzugänge und Passwörter ändern

Werkspasswörter und Standard-Benutzerkonten sollten nach der Server-Einrichtung sofort ersetzt werden. Wo möglich, sollte für den BMC-Zugriff eine eigene, starke Passwortrichtlinie gelten – unabhängig vom Betriebssystem-Passwort.

4. Firmware-Updates in den Patch-Zyklus aufnehmen

BMC-Firmware sollte denselben Stellenwert wie Betriebssystem- und Firewall-Updates bekommen. Hersteller wie Dell, HPE oder Supermicro veröffentlichen regelmäßig Sicherheitsupdates für ihre Management-Controller – diese müssen aktiv eingeplant und nicht dem Zufall überlassen werden.

5. Ungenutzte Schnittstellen deaktivieren

Wird die Fernwartung über IPMI gar nicht benötigt, ist die sicherste Option, die Netzwerkschnittstelle des BMC vollständig zu deaktivieren oder physisch vom Netz zu trennen.

Praxisbeispiel: Server-Inventur mit blindem Fleck

Bei einem mittelständischen Betrieb aus Dresden mit eigenem kleinen Serverraum zeigte eine Sicherheitsüberprüfung, dass mehrere Server-Systeme über Jahre hinweg mit aktivierter, aber nie aktualisierter IPMI-Schnittstelle liefen – erreichbar im selben Netzwerksegment wie die Mitarbeiter-Arbeitsplätze, teilweise noch mit Werkspasswort. Die Korrektur erfolgte in wenigen Schritten:

1. Vollständige Inventur aller Server und ihrer Management-Schnittstellen
2. Einrichtung eines eigenen, isolierten Management-VLANs
3. Änderung sämtlicher Standardzugänge und Vergabe individueller, starker Passwörter
4. Firmware-Update aller BMC-Controller auf den aktuellen Stand
5. Aufnahme der BMC-Firmware in den regulären Patch-Prozess

Der Aufwand für diesen Schritt lag im Rahmen weniger Tage, das Sicherheitsniveau der Server-Infrastruktur stieg spürbar.

Sie suchen Unterstützung in Dresden?

Rexoma unterstützt KMU in Dresden, Sachsen und ganz Ostdeutschland bei der Absicherung ihrer Server-Infrastruktur – von der Inventur vorhandener IPMI- und BMC-Schnittstellen über die Einrichtung isolierter Management-Netze bis zum laufenden Patch-Management für Linux-Server und deren Fernwartungszugänge. Als IT-Dienstleister mit Fokus auf mittelständische Betriebe sorgen wir dafür, dass genau die Schnittstellen abgesichert sind, die im Alltag sonst leicht übersehen werden.

FAQ

Was ist der Unterschied zwischen IPMI und BMC? IPMI ist der offene Standard bzw. das Protokoll für die Fernverwaltung von Servern, der BMC (Baseboard Management Controller) ist der eigenständige Chip auf der Hauptplatine, der diesen Standard umsetzt. Herstellerspezifische Umsetzungen wie Dell iDRAC oder HPE iLO bauen auf demselben Prinzip auf.

Warum ist eine IPMI-Schnittstelle gefährlich, wenn der Server ausgeschaltet ist? Der BMC hat eine eigene Stromversorgung und ein eigenes Betriebssystem, unabhängig vom eigentlichen Server. Er bleibt aktiv, solange der Server an das Stromnetz angeschlossen ist – auch wenn das Hauptsystem selbst heruntergefahren wurde.

Wie erkenne ich, ob unsere Server eine aktive IPMI-Schnittstelle haben? Ein Blick in die Netzwerkdokumentation oder ein Scan des internen Netzwerks nach typischen IPMI-Ports zeigt in der Regel, welche Systeme eine aktive Management-Schnittstelle besitzen. Bei physischem Zugriff lässt sich das auch direkt am Server-Mainboard beziehungsweise über die Server-Firmware prüfen.

Reicht ein starkes Passwort für die BMC-Schnittstelle aus? Ein starkes, individuelles Passwort ist die Grundvoraussetzung, aber nicht ausreichend. Zusätzlich sollte die Schnittstelle nur aus einem isolierten Management-Netz erreichbar sein und die Firmware regelmäßig aktualisiert werden.

Wie oft sollte BMC-Firmware aktualisiert werden? Sicherheitsrelevante Updates sollten zeitnah nach Veröffentlichung eingespielt werden, mindestens jedoch sollte die Firmware-Version einmal pro Quartal überprüft werden – idealerweise als fester Bestandteil des allgemeinen Patch-Management-Prozesses.