Kategorie: Hackerangriffe

Dynamische IP-Adressen stellen personenbezogene Daten dar

17. Mai 2017

In seinem Urteil vom 16.05.2017 (Az. VI ZR 135/13) hat sich der Bundesgerichtshof (BGH) unter anderem mit den Fragen befasst, ob eine dynamische IP-Adresse ein personenbezogenes Datum darstellt und ob ein Webseitenbetreiber die IP-Adressen der Nutzer länger speichern darf als diese tatsächlich auf der Seite verweilen.

Anlass für dieses BGH-Urteil war, dass das Bundesministerium für Justiz und Verbraucherschutz die IP-Adressen aller Besucher seiner Webseite für eine Zeitspanne von 14 Tagen speicherte. In dieser Speicherung sah ein schleswig-holsteinischer Abgeordneter der Piratenpartei eine unzulässige Überwachung der Internetnutzer und erhob Klage gegen die Bundesrepublik als Betreiberin der Webseite. Die Bundesregierung argumentierte, dass die Speicherung nötig sei, um den sicheren Betrieb der Webseiten zu ermöglichen. Nur so könne man gegebenenfalls Hackerangriffe abwehren und die Angreifer identifizieren um strafrechtliche Schritte einleiten zu können.

Maßgeblich für die Entscheidung war die Frage, ob auch dynamische IP-Adressen personenbezogene Daten darstellen. Um im Internet agieren zu können, bekommt jedes internetfähige Endgerät vom jeweiligen Internetprovider eine eigene IP-Adresse zugewiesen. Bei diesen IP-Adressen unterscheidet man zwischen statischen und dynamischen Adressen. Im Gegensatz zu statischen IP-Adressen können sich dynamische IP-Adressen alle paar Stunden oder Tage ändern. Der Webseitenbetreiber selbst kann die Nutzer einer solchen dynamischen IP-Adresse in aller Regel nicht identifizieren. Lediglich die Internetprovider (bspw. Telekom oder Vodafon) sind hierzu in der Lage, da sie dem Nutzer die dynamische IP-Adresse zuweisen. Wenn dynamische IP-Adressen nicht als personenbezogene Daten anzusehen sind, ist eine Speicherung grundsätzlich als zulässig anzusehen. Sofern man sie jedoch als personenbezogene Daten qualifiziert, ist eine Speicherung nur nach den Maßgaben des Datenschutzrechts zulässig.

Nach § 3 Abs. 1 Bundesdatenschutzgesetz (BDSG) sind personenbezogene Daten „Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).“ Ähnlich wird dies auch in der EG-Datenschutzrichtlinie 95/46/EG definiert. Gerade bei dynamischen IP-Adressen drängt sich die Frage auf, ob auch diese eine hinreichende Bestimmbarkeit im Sinne der oben genannten Norm aufweisen. Diese Frage hat der BGH vor einiger Zeit dem Europäischen Gerichtshof (EuGH) zur Entscheidung vorgelegt. Der EuGH hat dargelegt, dass eine dynamische IP-Adresse dann ein personenbezogenes Datum darstellt, wenn es dem Webseitenbetreiber möglich ist, mit Hilfe rechtlicher Mittel die betroffene Person hinter der dynamischen IP-Adresse zu bestimmen oder bestimmen zu lassen. In seinem Urteil folgte der BGH dieser Leitlinie und stellte fest, dass dynamische IP-Adressen für die Bundesrepublik als Webseitenbetreiber ein personenbezogenes Datum darstellen, da mit Hilfe der Strafverfolgungsbehörden der Nutzer identifiziert werden könne.

Zur Frage der Speicherung einer dynamischen IP-Adresse als personenbezogenes Datum über das Ende des Nutzungsvorgangs hinaus führte der BGH weiter aus, dass eine solche Speicherung durch den Webseitenbetreiber ohne Einwilligung des Nutzers nur unter den Voraussetzungen des § 15 Abs. 1 Telemediengesetz (TMG) zulässig sei. Diese Norm sei europarechtskonform dahingehend auszulegen, dass die Erhebung und Verwendung erforderlich sein müsse, um die generelle Funktionsfähigkeit des Dienstes zu gewährleisten. Im vorliegenden Fall konnte der BGH kein abschließendes Urteil dazu treffen, ob die Speicherung der IP-Adresse des Nutzers über das Ende des Nutzungsvorgangs hinaus durch das Bundesministerium für Justiz und Verbraucherschutz erforderlich war, um die generelle Funktionsfähigkeit des Dienstes zu gewährleisten. Bei der Frage der Erforderlichkeit sollen aber in einer Abwägung insbesondere das Gefahrenpotential und der „Angriffsdruck“ zu berücksichtigen sein. In einem nächsten Schritt sollen dann das Interesse an der Aufrechterhaltung und der Funktionsfähigkeit des Online-Mediendienstes mit den jeweiligen Grundrechten und Grundfreiheiten des Nutzers der Seite abgewogen und in Einklang gebracht werden.

iCloud-Account Fernlöschung durch Erpresser am 7.April 2017

29. März 2017

Unbekannte Erpresser drohen Apple, dass sie iCloud-Accounts aus der Ferne löschen, wenn Apple die geforderte Summe in bitcoins nicht zahlt.

Die Erpresser nennen sich “Turkish Crime Family“ und behaupten sie seien im Besitz von mehreren hundert Millionen iCloud-Zugangsdaten, wie ZDNet berichtet.

Mit Hilfe dieser Zugangsdaten lässt sich die iCloud-Fernortungsfunktion aktivieren. Durch diese Funktion lassen sich Apple-Geräte orten, aus der Ferne sperren und löschen. Wie die Angreifer an diese Daten gekommen sind ist fraglich, denn Apple betonte bereits, dass kein Einbruch in iCloud vorliegt. Allerdings lässt sich die Echtheit anhand einer übermittelten Liste überprüfen.

Was kann der Apple-Nutzer, gegen die Ankündigung der Erpresser eine Fernlöschung des iCloud-Accounts am 7.April vorzunehmen, tun?  Die Nutzer sollten das Passwort ihrer Apple-ID ändern und kein Passwort benutzen, dass sie bereits anderswo nutzen. Zudem sollte das iOs-Backup auf den aktuellsten Stand gebracht werden, sodass falls etwas passiert die gelöschten Daten wieder aufgespielt werden können. Außerdem kann die Funktion “Mein iPhone suchen“ abgeschaltet werden. Das führt zwar dazu, dass das iPhone nicht mehr von Dritten gelöscht werden kann, aber auch der Nutzer selbst kann es im Falle eines Verlustes nicht mehr aufspüren und aus der Ferne löschen.

WhatsApp verhindert unbefugten Zugriff auf Konten durch 2-Faktor-Authentifizierung

10. Februar 2017

Mit seiner Freischaltung der 2-Faktor-Authentifizierung für alle WhatsApp Nutzer unter iOS und Android, möchte WhatsApp den Konten seiner Nutzer einen besseren Schutz vor dem Zugriff Unbefugter gewährleisten.

Grundsätzlich wird der unbefugte Zugang zu einem Online-Konto zunächst mit einem Passwort und einem sogenannten Token, z.B. einem Smartphone, über das Sicherheitscodes empfangen werden, geschützt.

Dies war bisher bei WhatsApp jedoch nicht der Fall: Die WhatsApp Nutzerkonten konnten nicht anhand eines Passwortes geschützt werden. Vielmehr legitimierte sich der Nutzer lediglich über seine Mobilfunknummer und sein Smartphone. Mit der 2-Faktor-Authentifizierung kommt jetzt als zweiter Faktor ein PIN-Code hinzu.

Durchaus ist die Freischaltung der 2-Faktor-Authentifizierung für alle WhatsApp Nutzer aus datenschutzrechtlicher Sicht begrüßenswert. So kann ein unbefugter Dritter die SIM Karte nicht einfach in ein anderes Smartphone stecken und sich Zugriff auf ein fremdes WhatsApp-Konto zu verschaffen.

Eine Pflicht stellt die 2-Faktor-Authentifizierung für die WhatsApp Nutzer jedoch nicht dar.

Der Nutzer legt unter der Rubrik „Einstellungen > Account > Verifizierung in zwei Schritten“ einen sechsstelligen Zahlencode fest, welchen WhatsApp abfragt, sobald ein Konto auf einem neuen Smartphone eingerichtet wird. Sollte der WhatsApp Nutzer seinen Zahlencode vergessen haben, kann er zusätzlich eine E-Mail-Adresse hinterlegen, über die er die 2-Faktor-Authentifizierung wieder ausschalten kann.

 

BSI weist auf Gefährdung kritischer Infrastrukturen durch Cyber-Angriffe hin

20. Januar 2017

Nachdem NATO-Generalsekretär Jens Stoltenberg dieser Tage seine Besorgnis über das Ansteigen von Cyber-Angriffen auch auf kritische Infrastrukturen zum Ausdruck gebracht hat, bestätigt der Präsident des Bundesamtes für Sicherheit in der Informationstechnik (BSI), Arne Schönbohm, diese Einschätzung auch aus nationaler Sicht.

Im Jahr 2016 habe es pro Monat durchschnittlich 500 bedrohliche Angriffe auf das Datennetz des Verteidigungsbündnisses gegeben, so Stoltenberg gegenüber der Welt. Dies sei ein Anstieg von 60 % und habe ein intensives Eingreifen seitens der Sicherheitsexperten notwendig gemacht. Anstrengungen, die Sicherheit in diesem Bereich zu verbessern, müssten noch intensiviert werden.

Ebenso sieht Schönbohm die mit diesem Anstieg verbundenen Herausforderungen beim Schutz Kritischer Infrastrukturen, wie beispielsweise im Gesundheitswesen oder im Energiesektor. Deutschland sei jedoch durch die Cyber-Sicherheitsstrategie der Bundesregierung und das IT-Sicherheitsgesetz sowie durch Einrichtungen wie den UP KRITIS (= öffentlich-private Kooperation zwischen Betreibern Kritischer Infrastrukturen, deren Verbänden und den zuständigen staatlichen Stellen) hier seiner Meinung nach bereits sehr gut aufgestellt.

 

 

Kategorien: Allgemein · Hackerangriffe
Schlagwörter: ,

Klage gegen D-Link eingereicht

6. Januar 2017

Die US-Handelskommission, Federal Trade Commission (FTC), hat beim US-Bundesbezirksgericht von Nord-Kalifornien Klage gegen D-Link eingereicht. D-Link ist Hersteller von Internet of Things (IoT)-Geräten und soll seine Produkte, im Gegensatz zu dem durch Werbung vermittelten Schutzgrad, nicht ausreichend vor Angriffen schützen. IoT-Geräte sind Geräte, die drahtlos an ein Netzwerk angeschlossen, Daten erfassen, speichern, verarbeiten und übertragen können, wie beispielsweise Smart Lighting.

FTC vermutet, dass die Verbraucher in ihrer Privatsphäre gefährdet sind, weil D-Link seinem Werbeversprechen nicht standhält. Viele Geräte, die von D-Link vertrieben werden, vor allem IP-Kameras und Router, sind mit geringem Aufwand zu hacken und eröffnen dem Angreifer so leichten Zugang zu sensiblen Kundendaten.

Die Sicherheitsproblematik betrifft jedoch nicht nur D-Link. Auch andere Hersteller der Branche haben Sicherheitsprobleme zu bewältigen. IoT-Geräte sind bei nicht ausreichender Überprüfung anfällig für Sicherheitslücken.

Nicht nur IoT-Geräte ziehen in immer mehr Haushalte ein, auch die damit einhergehende Gefahr für die Privatsphäre der Nutzer.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) forderte kürzlich die Hersteller zu mehr Sicherheitsmaßnahmen auf, zeitgleich veröffentlichte das BSI einen Leitfaden, der sich an die Nutzer solcher Geräte richtet.

Yahoo meldet abermals Rekord-Hack auf Nutzerkonten

19. Dezember 2016

Bereits im September diesen Jahres sah sich der US-Internet-Riese Yahoo dazu gezwungen die Öffentlichkeit über einen erfolgreichen Hacker-Angriff aus dem Jahr 2014 auf die eigene Infrastruktur zu informieren. Damals waren 500 Millionen Kundenkonten betroffen. Nun teilt Yahoo mit, dass nach den neuesten Erkenntnissen bereits im Jahr 2013 mehr als 1 Milliarde Konten gehackt wurden. Betroffene Datenarten sind Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Passwörter, die mit dem nicht mehr als sicher geltenden MD5-Verfahren verschlüsselt waren. Zudem wurden teils verschlüsselte, teils unverschlüsselte Sicherheitsabfragen samt Antworten kopiert.

Yahoo plant die betroffenen Kunden zu informieren. Grundsätzlich empfiehlt sich angesichts der großen Anzahl der Betroffenen für alle Yahoo-Kunden, die Zugangsdaten ihrer Kundenkonten und Sicherheitsabfragen zu ändern.

Kategorien: Allgemein · Hackerangriffe
Schlagwörter: , ,

Wird „Big Data“ den anstehenden Wahlkampf in Deutschland beeinflussen?

9. Dezember 2016

Wie bereits hinlänglich bekannt, ist das Internet und alle Entwicklungen die damit einhergehen, Fluch und Segen zugleich, jedoch bleibt die Frage, ob „Big Data“ auch den anstehenden Bundestagswahlkampf in Deutschland beeinflussen kann.

Cyberangriffe auf die politischen Parteien und den Bundestag sind bereits bekannt. Angreifer versuchten mit einer Spearphishing Kampagne die Computer deutscher Politiker auszuforschen. Es ist anzunehmen, dass auf diesem Wege Geheimnisse aus dem Politikbetrieb ausgespäht werden sollten. Sofern diese Angriffe Erfolg haben, ist nicht auszuschließen, dass die ausgespähten Daten zu einer Diskreditierung der Politiker und damit einer Beeinflussung der Bundestagswahl führen.

Abgesehen von Hackerangriffen besteht aber noch eine andere “Gefahr“. Die Analyse-Firma Cambridge Analytica soll im US-Wahlkampf und im Rahmen des Brexit-Votums gezielt für Donald Trump, bzw. für ein Ja zum Ausstieg  Werbung gemacht haben. An und für sich nicht weiter bedenklich. Jedoch ist die Art und Weise wie diese Firma vorgeht unheimlich. Cambridge Analytica erstellt Psychogramme von Facebook-Nutzern. Anhand von Likes und Postings der Nutzer kann nicht nur die Persönlichkeit des Menschen bestimmt werden, sondern kann darüber hinaus auch die politische Einstellung in Erfahrung gebracht werden und diese Informationen werden dann für eine passgenaue Werbung genutzt. Eine gruselige Entwicklung, vor allem vor dem Hintergrund, dass die Ergebnisse der US-Wahl und des Brexit-Votums, so nicht wirklich erwartet wurden.

Somit ist also nicht auszuschließen, dass „Big Data“ auch den Bundestagswahlkampf 2017 beeinflussen wird.

Neuer Verschlüsselungstrojaner „Goldeneye“ in Deutschland aktiv

8. Dezember 2016

Seit dem 06.12.2016 infiziert ein neuer Verschlüsselungstrojaner, genannt „Goldeneye“, die deutschen Computer. Wie heise.de berichtet, tarnt sich dieser Trojaner als Bewerbungs-E-Mail und wird von vielen Virenscannern noch nicht als solcher erkannt.

Aufgrund seiner fehlerfreien Formulierung ist der Trojaner kaum von herkömmlichen Bewerbungen zu unterscheiden und erhöht somit die potenzielle Gefahr für den Nutzer. Als Anhang an die Bewerbungs-E-Mail ist eine XLS-Datei beigefügt. Durch Öffnen dieser Excel-Datei wird der Nutzer aufgefordert die „Bearbeitungsfunktion“ zu aktivieren. Dieses Vorgehen aktiviert die Makros und gewährt dem Trojaner den Zugang zu allen Daten. Ziel des Trojaners ist es, Dateien umgehend zu verschlüsseln, um anschließend ein Lösegeld für die Freigabe zu fordern.

Derzeit sind die avisierten Ziele vor allem Personalverantwortliche in Firmen. Die Bewerbungen nehmen dabei Bezug auf tatsächlich offene Stellenangebote.

Kategorien: Allgemein · Hackerangriffe · Online-Datenschutz
Schlagwörter:

Millionenfacher Datendiebstahl bei Yahoo

23. September 2016

Wie Yahoo gestern abend mitteilte, wurden etwa 500 Millionen Nutzer-Accounts von Unbekannten gestohlen. Bei den vom Zugriff betroffenen Daten handelt es sich wohl um Namen, E-Mailadressen, Telefonnumern und Geburtsdaten.

Auch wenn die Nachricht von gestern abend, 22.09.2016, stammt, fand der Diebstahl wohl bereits 2014 statt. Yahoo hat nun an alle betroffenen Nutzer entsprechende informatorische E-Mails versandt mit dem Hinweis, ihr Passwort so schnell wie möglich zu ändern. Zwar seien die Passwörter wohl nach wie vor verschlüsselt gewesen und keinerlei Bankdaten betroffen. Da jedoch auch Sicherheitsfragen nebst deren Antworten für die Angreifer abrufbar waren, können somit nicht nur die Nutzer sondern auch die Angreifer die Passwörter ändern oder zurücksetzen.

Die betroffenen Nutzer sollten nun nicht nur ihr Yahoo Passwort, sondern auch alle anderen Passwörter ändern. Kritisch ist insbesondere die Nutzung eines Passworts für mehrere Konten, ebenso wie die gleichen Antworten auf die häufig genutzten Sicherheitsabfragen.

Immer wieder sind insbesondere Internetplattformen von Angriffen dieser Art betroffen. Allen Nutzern wird empfohlen, ein möglichst sicheres Passwort zu verwenden und verschiedene Passwörter für die unterschiedlichen Nutzerkonten zu verwenden.

Dropbox verliert durch Datenleck mehr als 68 Mio. Passwörter

1. September 2016

Quasi unendlicher Speicherplatz und stete, vom Endgerät unabhängige Erreichbarkeit. Die offensichtlichen Vorzüge des Cloud-Hostings liegen auf der Hand, doch birgt das Thema nicht unerhebliche Datenschutzrisiken. Insbesondere wenn internationale Anbieter genutzt werden, ist die datenschutzrechtlich vorgeschriebene Kontrolle über die eigenen Daten schnell nicht mehr vorhanden. Subunternehmer sind nicht erkennbar, Verschlüsselungen fehlen oder Auftragsdatenverarbeitungsverträge können nicht abgeschlossen werden, diese Punkte sind nur beispielhaft für die Probleme die sich daraus ergeben.

Nichts desto trotz taucht in der Mandatsarbeit regelmäßig die Frage nach der Nutzbarkeit von Clouds auf, und nicht selten wird dabei Dropbox als Wunschanbieter genannt. Der US-amerikanische Anbieter ist jedoch aus den oben benannten Gründen keine Option für den Einsatz im Unternehmen. Die Sicherheitsbedenken bestätigen sich nun durch einen Vorfall im Jahr 2012, der aber erst jetzt publik wurde. Dabei waren mehr als 68 Mio. Passwörter von Nutzern gehackt worden. Laut Dropbox soll es jedoch keinen unbefugten Zugriff auf Kundenkonten gegeben haben. Dropbox rät den Nutzern, die sich vor 2012 registriert haben und seitdem ihr Passwort nicht geändert haben, dies nun nachzuholen.

Kategorien: Hackerangriffe · Mobile Business · Online-Datenschutz
Schlagwörter:
1 2 3 10