Kategorie: Hackerangriffe

WPA2: Sicherheitslücke aufgedeckt

19. Oktober 2017

In der WPA2-Verschlüsselung ist eine kritische Schwachstelle gefunden worden.

Die WPA2-Verschlüsselung ist üblicherweise für den Schutz der Datenübertragung im WLAN zuständig.

Zwei Sicherheitsforscher der belgischen KU Leuven haben die Schwachstelle im WPA2-Protokoll, die dazu führt, dass Angreifer den eigentlich geschützten Datenverkehr mitlesen können, aufgedeckt. Durch einen Angriff auf die Schwachstelle können persönliche Informationen belauscht und mitgeschnitten und/oder Daten manipuliert werden. Zugegriffen wird dabei auf den Verbindungsaufbau. Die Angreifer klinken sich in diesen ein und haben so Zugriff auf die nicht mehr geschützten Daten.

Das hört sich in der Theorie schlimmer an, als es in der Praxis tatsächlich ist. Durch den Angriff kann zum einen nicht das WLAN-Passwort in Erfahrung gebracht werden und zum anderen werden sehr viele Vorgänge durch SSL/TLS zusätzlich gesichert, wie beispielsweise bei HTTPS-Verbindungen die für Online-Banking oder zum Übertragen von Login-Daten  genutzt werden. Außerdem müssen die Angreifer für den Zugriff in Reichweite des WLANs sein, was zumindest zahlenmäßig große Angriffe ausschließt, da sie sehr aufwändig wären.

Die Schwachstelle kann zudem durch Software-Updates, welche von einigen Herstellern bereits angekündigt wurden,  behoben werden.

Kategorien: Allgemein · Hackerangriffe · Online-Datenschutz
Schlagwörter:

Cybercrime – Jeder zweite Deutsche war schon Opfer

12. Oktober 2017

Im vergangenen Jahr ist fast jeder zweite Deutsche Opfer von Cybercrime geworden. Dies ergab eine Umfrage im Auftrag des Digitalverbands BITKOM. Das häufigste Delikt ist dabei die Infizierung des Computers mit Schadprogrammen wie Viren. 43 Prozent der Internetnutzer wurden Opfer eines solchen Angriffs.
Bei rund jedem Fünften wurden Zugangsdaten zu Online-Diensten wie sozialen Netzwerken oder Online-Shops gestohlen (19 Prozent) oder persönliche Daten illegal genutzt (18 Prozent). Jeder Sechste (16 Prozent) ist beim Online-Shopping oder Online-Banking betrogen worden. Acht Prozent berichten von massiven Beleidigungen, fünf Prozent von sexueller Belästigung im Web. In jedem zweiten Fall von Cybercrime (54 Prozent) ist auch ein finanzieller Schaden entstanden.

„Die zunehmende Vernetzung und die verbreitete Nutzung digitaler Technologien lockt auch Kriminelle an. Internetnutzer sollten sich mit technischen Hilfsmitteln wie aktuellen Virenscannern und Firewalls schützen, zugleich muss aber auch das Wissen der Nutzer über mögliche Angriffe im Netz und Schutzmöglichkeiten verbessert werden“, fordert BITKOM-Präsidiumsmitglied Winfried Holz. Denn

Die Opfer sehen wenig Chancen die Täter zu ergreifen, so haben gut 65 % der Opfer nichts gegen die Cybercrime-Fälle unternommen. Nur 18 % haben überhaupt eine Anzeige bei den Strafverfolgungsbehörden erstattet.Rund jedes zweite Cybercrime-Opfer (45 Prozent), das keine Anzeige erstattet hat, glaubt, dass die Täter ohnehin nicht gefasst werden, jedem Dritten (34 Prozent) ist zudem der Aufwand zu hoch. 13 Prozent sagen, dass Polizei und Staatsanwaltschaft Cybercrime nicht ernst nehmen, zwölf Prozent waren sich nicht sicher, ob ihr Fall überhaupt von den Behörden verfolgt würde und acht Prozent glauben, dass sich die Ermittler mit dem Thema schlicht nicht auskennen.

Dabei sollten sich die Opfer an die Strafverfolgungsbehörden wenden. „Verbrechen in der digitalen Welt sind kein Kavaliersdelikt. Bei allen Landeskriminalämtern gibt es inzwischen eine Zentrale Ansprechstelle Cybercrime, an die sich betroffene Bürger und Unternehmen wenden können“, so Holz. „Die staatlichen Stellen müssen jetzt technologisch und personell besser ausgestattet werden, damit sie solche Vorfälle ebenso verfolgen können wie Verbrechen in der analogen Welt.“

Yahoo: Hackerangriff aus 2013 betraf mehr als drei Milliarden Nutzer

5. Oktober 2017

Der Hackerangriff auf den US-Internetanbieter Yahoo im Jahr 2013 hat nach Medienangaben alle drei Milliarden Nutzer getroffen – und somit zwei Milliarden mehr als bisher bekannt. Die Betroffenen würden per Email informiert, teilte das Unternehmen mit. Zugleich versicherte Yahoo, dass die Hacker weder Passwörter noch Bankdaten entwendet hätten. Yahoo war Anfang des Jahres von dem US-Telekommunikationskonzern Verizon übernommen worden. Danach wurden das Ausmaß und die Umstände der Cyberattacke von 2013 noch einmal überprüft.

Kategorien: Hackerangriffe
Schlagwörter: ,

Cyber-Attacken bei der Bundestagswahl

17. August 2017

Aus dem letzten Verfassungsschutzbericht des Bundesamts für Verfassungsschutz geht hervor, dass das Risiko, Opfer von Cyber-Attacken ausländischer Dienste zu werden, stetig steigt. Dabei registriert der Verfassungsschutz unter anderem vermehrt auch Attacken auf die Politik und die Verwaltung. Bei früheren Cyber-Attacken auf verschiedene Parteien und den Bundestag ist es dabei bereits zu größeren Datenabflüssen gekommen.

Im Wahljahr gerät nun auch die im September 2017 anstehende Bundestagswahl in den Fokus. Die Möglichkeit gezielter Cyber-Attacken auf das Verwaltungsnetz sieht auch der Bundeswahlleiter Dieter Sarreither. Man bereite sich auf verschieden Szenarien vor und spiele diese durch. Um einen bestmöglichen Schutz zu gewährleisten sei die Infrastruktur des Rechenzentrums verdreifacht worden. Darüber hinaus sei man nach Sarreither auch in der Lage, die Standorte und die Rechner zu wechseln. Im Ernstfall könne man außerdem auch auf das Cyber-Abwehrzentrum der Bundesregierung zurückgreifen. Des Weiteren würde das Datennetz der Wahlleitung von Experten des Bundesamtes für Sicherheit in der Informationstechnik überprüft und auf mögliche Schwachstellen hin untersucht. Rund eine Woche vor der Bundestagswahl sollen schließlich noch einmal alle Systeme in einer ausführlichen Generalprobe getestet werden.

Aufgrund all dieser Sicherheitsmaßnahmen sieht sich Sarreither für die Bundestagswahl gut gewappnet: „Eine Attacke könnte die Veröffentlichung des vorläufigen Wahlergebnisses schlimmstenfalls verzögern“.

Passwort-Vorgaben im Unternehmen: Der Vorreiter bereut sein Werk

11. August 2017

Bill Burr ist 72 Jahre alt, mittlerweile im Ruhestand und arbeitete beim National Institute of Standards and Technology, das unter anderem für Technlogiestandards zuständig ist. Er ist auch derjenige, der die Vorgaben für Passwörter verfasst hat, die mehr als ein Jahrzent als das Nonplusultra galten. Im Rahmen seines 2008 verfassten Dokumentes „NIST Special Publication 800-63. Appendix A“ empfahl er, welche Passwort-Richtlinien Behörden, Unternehmen und Webseitenbetreiber für ihre Nutzer und Mitarbeiter einführen sollten.

Konkret regte Burr an, dass Passwörter alle 90 Tage gewechselt werden sowie stets nicht nur kleine und große Buchstaben, sondern auch eine Nummer und ein Sonderzeichen enthalten sollten. Der Schutz, der durch solche Maßnahmen tatsächlich erreicht wird, ist allerdings schon seit längerem fraglich. So schätzte Microsoft-Analyst Cornac Herley schon vor Jahren, dass die Pflicht, das Passwort in regelmäßigen Abständen zu wechseln, mehr koste als eventuelle Angriffe von IT-Kriminellen, vor denen der Wechsel des Kennwortes schützen soll. Auch die Varation zwischen normalen Buchstaben, Zahlen und Sonderzeichen bringt oftmals nicht den gewünschten Effekt der höheren Sicherheit, da Nutzer in vielen Fällen einfach nur einen Begriff variieren und die einzelnen Buchstaben eines Wortes mit Sonderzeichen – wie etwa dem „$“ für ein „S“ – ersetzen. Algorithmen, die dafür genutzt werden, Passwörter erraten zu können, können diese Varationen leicht erraten.

Wie Burr in einem Interview mit dem Wall Street Journal erklärte, bereue er seine Empfehlungen mittlerweile: „Vieles von dem, was ich getan habe, bereue ich.“ Sein Problem war vor allem, dass 2003 der Kenntnisstand über den effektiven Schutz von Passwörtern sehr gering war und er sich daher laut seinen Angaben im Interview auf ein Paper aus den 1980er Jahren stützte. Einem Jahrzent, in dem nur Wenige überhaupt ein Computerpasswort benutzten.

Nicht nur deswegen hat der NIST in diesem Sommer Burrs Empfehlungen komplett überarbeitet. Dabei konnten sie auf die Auswertung von einer Vielzahl von Passwörtern zurückgreifen, die Hacker in den letzten Jahren nach Angriffen auf beliebte Webseiten geknackt und ins Netz gestellt hatten. Dies half dem NIST, zu verstehen, wie Nutzer ihre Kennwörter auswählen und wie leicht sie für Hacker zu knacken sind. Nach Ansicht des NIST empfiehlt es sich daher, Passwörter aus möglichst mehreren Wörter zu bilden, sodass ein langes Passwort entsteht. Die Nutzung von Sonderzeichen und Zahlen ist dabei nicht mehr erforderlich.

Cyberangriff auf UniCredit-Bank: Informationen von 400.000 Kunden ausgelesen

28. Juli 2017

Hackern gelang es durch einen Cyberangriff an Kontodaten von über 400.000 italienischen Kunden der UniCredit-Bank zu kommen. Das Unternehmen bestätigte den Angriff, unterstreicht allerdings auch, dass keine besonders kritischen Daten, wie Passwörter, kopiert wurden, die für einen Zugriff auf Kundenaccounts oder illegale Transaktionen genutzt werden könnten. Sicher ist jedoch, dass persönliche Informationen und die IBAN-Nummern der Kunden abhanden gekommen sind.

Bereits Ende 2016 war die UniCredit-Bank in das Visier von Hackern geraten und erlebt damit nun bereits den zweiten Cyberangriff innerhalb von zehn Monaten. Nach Angaben des Unternehmens soll der Zugriff auf die Daten über einen „unautorisierten Zugang durch einen italienischen Dienstleister“ erfolgt sein.

Die UniCredit-Bank will nun 2,3 Milliarden Euro investieren, um die eigene IT-Sicherheit zu stärken. Zu beachten ist hierbei, dass das Unternehmen für die Datensicherheit ihrer Kunden und Partner stets selbst verantwortlich bleibt, auch wenn verschiedene Prozesse – wie hier – durch Outsourcing von anderen Unternehmen im Wege der Auftragsdatenverarbeitung übernommen werden. Das Outsourcing stellt aber oftmals auch ein erhöhtes Sicherheitsrisiko dar, weshalb bei der Auswahl des Dienstleisters und den zu treffenden Sicherheitsvorkehrungen höchste Sorgfalt geboten ist. Erst recht, wenn 2018 die DSGVO in Kraft tritt und solche Datenpannen mit erhöhten Bußgeldern geahndet werden können.

Unternehmen in Sorge wegen Cyber-Attacken

10. Juli 2017

Bei kleinen und mittelgroßen Unternehmen wächst die Angst vor Cyber-Attacken. Zu diesem Ergebnis kommt eine Studie der Gothaer die zwischen Ende April und Anfang Mai diesen Jahres (vor dem Trojaner Wannacry) durchgeführt wurde. Insgesamt wurden 1000 kleine und mittlere Unternehmen befragt.

35 % der befragten Unternehmen halten es für wahrscheinlich, dass Cyber-Risiken bestehen. Im Jahr 2015 waren es noch 5 % weniger.

Zur Risikominimierung setzen die Unternehmen Virenschutzprogramme und Firewalls ein, jedoch gibt jedes 5. Unternehmen an, dass es einen solchen Schutz nicht hat. Eine mehrfache Datensicherung führen nur zwei von drei Unternehmen durch. Cyber-Policen die inzwischen von vielen Versicherungen angeboten werden haben nur 9% der Unternehmen.

Im Ergebnis rangiert die Angst vor Cyber-Attacken auf Rang drei der meist gefürchteten Risiken. Davor befindet sich noch das Risiko von Einbruch/Vandalismus und das Risiko von menschlichem Versagen.

Kategorien: Allgemein · Hackerangriffe
Schlagwörter:

Neue Cyber-Attacke durch Ransomware

28. Juni 2017

Nachdem bereits vor etwas mehr als einem Monat zahlreiche Unternehmen und private Nutzer Opfer des Trojaners WannaCry geworden sind, findet momentan wohl eine neue Cyber-Angriffswelle statt. Arne Schönbohm, der Präsident des Bundesamts für Sicherheit in der Informationstechnik (BSI), teilte mit, dass es sich nach ersten Erkenntnissen um eine Angriffswelle mit der Schadsoftware Petya handele die Schwachstellen ausnutze, die bereits die Ransomware WannaCry ausgenutzt hätte.

Bei dieser Art von Cyberattacken werden Dateien auf den betroffenen Computersystemen verschlüsselt und der Nutzer wird zur Zahlung eines Lösegelds aufgefordert, damit die Daten wieder entschlüsselt werden. Die Zahlung des Lösegeldes garantiert jedoch nicht, dass die Daten tatsächlich wieder entschlüsselt werden. Unter anderem deswegen rät das BSI betroffenen Unternehmen auch dazu, nicht auf Lösegeldforderungen einzugehen.

Die ersten Attacken mit der Petya-Ransomware ereigneten sich nach aktuellem Informationsstand in der Ukraine und betrafen dort verschiedene Unternehmen wie beispielsweise die Zentralbank, den internationalen Flughafen Kiew-Borispyl und die U-Bahn. Auch das Kernkraftwerk Tschernobyl wurde von dem Cyberangriff betroffen. Die technischen Systeme des Kraftwerks sollen aber weiterhin normal funktionieren. Lediglich die Kontrolle der Radioaktivität müsse manuell stattfinden. Neben diesen Unternehmen sind auch die Deutsche Post in der Ukraine, das russische Ölunternehmen Rosneft oder die dänische Reederei Maersk von der Attacke betroffen.

Die Verbreitung von WannaCry konnte dadurch wesentlich verlangsamt werden, dass eine in den Code eingebettete Kill-Switch-Funktion entdeckt wurde. Wie sich die aktuelle Petya-Ransomware genau verbreitet und ob auch sie über einen solchen eingebauten Notschalter verfügt ist aktuell noch nicht ersichtlich.

Single Sign-on-Dienst-Hersteller OneLogin wurde gehackt

8. Juni 2017

OneLogin wurde in der vergangenen Woche Opfer eines Hackerangriffs.

Das Unternehmen ist ein Single Sign-on-Dienst-Hersteller. Single Sign-on-Dienste werden hauptsächlich von Unternehmen eingesetzt und erleichtern deren Mitarbeitern das Einloggen. Mit Hilfe dieser Systeme müssen die Mitarbeiter sich nicht für jeden Dienst den sie nutzen einzeln anmelden, sondern sie melden sich nur einmalig an und können dann verschiedene Dienste nutzen für die sonst eine separate Passwort-Eingabe notwendig ist. Auf der einen Seite eine Arbeitsbeschleunigung, auf der anderen Seite aber auch ein beliebtes Angriffsziel für Hacker.

Wie OneLogin am 31.Mai bekannt gab kam es zu einem Angriff. Der Hacker ist über die Amazon Web Services (AWS) in die Systeme des Unternehmens eingedrungen und hatte Zugriff auf diverse Datenbanken. Der Hacker wurde sieben Stunden lang nicht bemerkt. Erst dann stellten Angestellte ungewöhnliche Datenbankaktivitäten fest und stellten den betroffenen Cloud-Server ab, wie Alvaro Hoyos, Sicherheits-Chef von OneLogin, auf dem firmeneigenen Blog bekannt gibt.

Nicht bekannt, aber auch nicht auszuschließen ist, ob der Hacker die gespeicherten Daten entschlüsseln konnte.

Kunden empfiehlt OneLogin alle Kennwörter und Zertifikate zu ändern, um sicher zu gehen, dass Außenstehende keinen Zugriff auf die Daten bekommen.

Dieser Hackerangriff ist nicht der ersten für OneLogin. Bereits im Jahre 2016 kam es zu einem Angriff auf die Systeme des Unternehmens.

Kategorien: Hackerangriffe
Schlagwörter: ,

Dynamische IP-Adressen stellen personenbezogene Daten dar

17. Mai 2017

In seinem Urteil vom 16.05.2017 (Az. VI ZR 135/13) hat sich der Bundesgerichtshof (BGH) unter anderem mit den Fragen befasst, ob eine dynamische IP-Adresse ein personenbezogenes Datum darstellt und ob ein Webseitenbetreiber die IP-Adressen der Nutzer länger speichern darf als diese tatsächlich auf der Seite verweilen.

Anlass für dieses BGH-Urteil war, dass das Bundesministerium für Justiz und Verbraucherschutz die IP-Adressen aller Besucher seiner Webseite für eine Zeitspanne von 14 Tagen speicherte. In dieser Speicherung sah ein schleswig-holsteinischer Abgeordneter der Piratenpartei eine unzulässige Überwachung der Internetnutzer und erhob Klage gegen die Bundesrepublik als Betreiberin der Webseite. Die Bundesregierung argumentierte, dass die Speicherung nötig sei, um den sicheren Betrieb der Webseiten zu ermöglichen. Nur so könne man gegebenenfalls Hackerangriffe abwehren und die Angreifer identifizieren um strafrechtliche Schritte einleiten zu können.

Maßgeblich für die Entscheidung war die Frage, ob auch dynamische IP-Adressen personenbezogene Daten darstellen. Um im Internet agieren zu können, bekommt jedes internetfähige Endgerät vom jeweiligen Internetprovider eine eigene IP-Adresse zugewiesen. Bei diesen IP-Adressen unterscheidet man zwischen statischen und dynamischen Adressen. Im Gegensatz zu statischen IP-Adressen können sich dynamische IP-Adressen alle paar Stunden oder Tage ändern. Der Webseitenbetreiber selbst kann die Nutzer einer solchen dynamischen IP-Adresse in aller Regel nicht identifizieren. Lediglich die Internetprovider (bspw. Telekom oder Vodafon) sind hierzu in der Lage, da sie dem Nutzer die dynamische IP-Adresse zuweisen. Wenn dynamische IP-Adressen nicht als personenbezogene Daten anzusehen sind, ist eine Speicherung grundsätzlich als zulässig anzusehen. Sofern man sie jedoch als personenbezogene Daten qualifiziert, ist eine Speicherung nur nach den Maßgaben des Datenschutzrechts zulässig.

Nach § 3 Abs. 1 Bundesdatenschutzgesetz (BDSG) sind personenbezogene Daten „Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).“ Ähnlich wird dies auch in der EG-Datenschutzrichtlinie 95/46/EG definiert. Gerade bei dynamischen IP-Adressen drängt sich die Frage auf, ob auch diese eine hinreichende Bestimmbarkeit im Sinne der oben genannten Norm aufweisen. Diese Frage hat der BGH vor einiger Zeit dem Europäischen Gerichtshof (EuGH) zur Entscheidung vorgelegt. Der EuGH hat dargelegt, dass eine dynamische IP-Adresse dann ein personenbezogenes Datum darstellt, wenn es dem Webseitenbetreiber möglich ist, mit Hilfe rechtlicher Mittel die betroffene Person hinter der dynamischen IP-Adresse zu bestimmen oder bestimmen zu lassen. In seinem Urteil folgte der BGH dieser Leitlinie und stellte fest, dass dynamische IP-Adressen für die Bundesrepublik als Webseitenbetreiber ein personenbezogenes Datum darstellen, da mit Hilfe der Strafverfolgungsbehörden der Nutzer identifiziert werden könne.

Zur Frage der Speicherung einer dynamischen IP-Adresse als personenbezogenes Datum über das Ende des Nutzungsvorgangs hinaus führte der BGH weiter aus, dass eine solche Speicherung durch den Webseitenbetreiber ohne Einwilligung des Nutzers nur unter den Voraussetzungen des § 15 Abs. 1 Telemediengesetz (TMG) zulässig sei. Diese Norm sei europarechtskonform dahingehend auszulegen, dass die Erhebung und Verwendung erforderlich sein müsse, um die generelle Funktionsfähigkeit des Dienstes zu gewährleisten. Im vorliegenden Fall konnte der BGH kein abschließendes Urteil dazu treffen, ob die Speicherung der IP-Adresse des Nutzers über das Ende des Nutzungsvorgangs hinaus durch das Bundesministerium für Justiz und Verbraucherschutz erforderlich war, um die generelle Funktionsfähigkeit des Dienstes zu gewährleisten. Bei der Frage der Erforderlichkeit sollen aber in einer Abwägung insbesondere das Gefahrenpotential und der „Angriffsdruck“ zu berücksichtigen sein. In einem nächsten Schritt sollen dann das Interesse an der Aufrechterhaltung und der Funktionsfähigkeit des Online-Mediendienstes mit den jeweiligen Grundrechten und Grundfreiheiten des Nutzers der Seite abgewogen und in Einklang gebracht werden.

1 2 3 11