Schlagwort: IT-Sicherheit

BSI stellt aktuellen Lagebericht vor

26. Oktober 2022

Gestern veröffentlichte das Bundesamt für Sicherheit in der Informationstechnik (BSI) seinen Lagebericht zur IT-Sicherheit in Deutschland für den Zeitraum Juni 2021 bis Mai 2022. Daraus geht hervor, dass die Bedrohung im Cyberraum so hoch wie nie sei. Als Grund für diese hohe Bedrohung machte das BSI zwei Faktoren aus. Einerseits stellten Cybercrime, insbesondere durch „Ransomware“ eine Gefahr dar. Andererseits sei die Cybersicherheit durch Hacker- und Sabotage-Angriffe im Zusammenhang mit dem Ukrainekrieg bedroht.

Bedrohung durch „Ransomware“

In dem Bericht befasste sich das BSI und die zuständige Ministerin des Innern und für Heimat, Nancy Faeser zunächst mit der sog. „Ransomware“. Insbesondere Unternehmen seien Opfer dieser Art von Hackerangriff.

„Ransomware“ ist eine Schadsoftware, mit der Hacker lokale oder vernetzte Daten oder Systeme verschlüsseln. Diese Verschlüsselung verhindere für den Nutzer den Zugang zu seinen Daten. Ziel des Angriffs können entweder einzelne Dateien, wie Bild- oder Videodateien oder umfangreiche Dateisätze, wie ganze Datenbanken oder Serversysteme sein. Um die Verschlüsselung aufzuheben, bedarf es eines bestimmten Tools. Die Hacker drohen den betroffenen Personen damit, das Entschlüsselungstool zu vernichten. Außerdem verlangen sie Lösegeld, verbunden mit der Aussicht das Entschlüsselungstool auszuhändigen. Darüber hinaus könne es vorkommen, dass die Hacker zusätzlich damit drohen, erlangte Dateien zu veröffentlich. Das BSI stellte fest, dass die Kombination aus Lösegeld- und Schweigegelderpressung der Regelfall sei.

Um sich vor „Ramsomware“-Angriffe zu schützen, sei es erforderlich, dass Unternehmen die Nutzung ihrer Systeme durch unbefugte Personen erschweren. Dafür können sie eine Mehrfaktor-Authentisierung, ein Virtuelles Privates Netz (VPN) und strenge Passwortvorgaben einsetzen.

Cyberkriminalität im Zusammenhang mit dem Ukrainekrieg

Das BSI identifizierte als weitere große Bedrohung für die Cybersicherheit in Deutschland vielfältige Aktivitäten im Zusammenhang mit dem Ukrainekrieg. Dabei sei es zu einer Vielzahl an verschiedenen Hackerangriffen gekommen.

Zu Beginn des Krieges setzten Hacker gegen die Ukraine sog. „Wiper“ ein. Diese Softwareprogramme sorgen dafür, dass Daten gelöscht werden. So haben Hacker, beispielsweise die Daten von ukrainischen Banken gelöscht. Auch seien Soziale-Medien das Ziel von Hackerangriffen. In Deutschland haben Hacker pro-russische Kommentare verfasst. Besonders aufgefallen sei die pro-russische Hacker-Gruppe „Killnet“. Sie habe sog. „Distributed Denial of Servies-Angriffe” (DDoS-Angriffe) auf Ziele in Ländern der EU durchgeführt. Unter diesen „DDos”-Angriffen seien „Überlastungsangriffe auf Internetdienste“ zu verstehen.

Zu Hackerangriffen im Zusammenhang mit dem Ukrainekrieg zählte das BSI auch Angriffe des Hacker-Kollektivs „Anonymous“. Es habe Unternehmen außerhalb Russlands angegriffen, die geschäftliche Beziehungen zu Russland pflegten.

Fazit

Laut BSI sei „eine Erhöhung der Resilienz gegenüber Cyber-Angriffen (…)“ die Hauptaufgabe aller betroffenen Stellen aus Staat, Wirtschaft und Gesellschaft.

Für die Vorstellung des Lageberichts war ursprünglich ein früherer Termin vorgesehen. Dieser wurde aber wegen der Freistellung des BSI-Präsidenten Arne Schönbohm verschoben (wir berichteten).

Bundeskartellamt wirft Smart-TV-Herstellern massive Verstöße gegen die DSGVO vor

3. Juli 2020

Das Bundeskartellamt hat schwere Verstöße beim Datenschutz und der IT-Sicherheit bei Smart-TVs festgestellt und fordert von den Herstellern umfangreiche Nachbesserungen. Zu diesem Schluss kommt das Bundeskartellamt im Abschlussbericht seiner Sektoruntersuchung zu Smart-TVs.

Smart-TVs gehören zu den am weitesten verbreiteten Geräten des Internet der Dinge (Internet of Things, IoT). Mutmaßliche Verbraucherschutzverstöße betreffen daher viele Menschen aller Bevölkerungsgruppen. Vor diesem Hintergrund hat das Bundeskartellamt auf der Basis seiner verbraucherrechtlichen Kompetenzen im Dezember 2017 eine Sektoruntersuchung zu Smart-TVs eingeleitet und veröffentlichte nun seinen Abschlussbericht mit Stand vom Juli 2020.

Schwerwiegende Transparenzmängel bei der Privatsphäre der Verbraucher

Das Bundeskartelamt rügte gleich eine Vielzahl von Mängeln. Insbesondere ergab die Untersuchung, dass die Hersteller intime Nutzungsdaten der Verbraucher sammeln. Dazu gehören etwa das generelle Sehverhalten eines Verbrauchers, die App-Nutzung, das Surf- und Klickverhalten oder auch biometrische Daten wie Stimme oder Cursorbewegungen sowie die im Einzelnen über den Fernseher abgespielten Inhalte. Diese Daten würden dann für personalisierte Werbung verwendet werden.

Das kann der Verbraucher allerdings erst dann stoppen, wenn er die betreffenden Einstellungen an seinem Fernsehgerät ändert und sich dazu durch vielschichtige Menüs klickt. Sich über die Datenschutzbestimmungen bereits vor dem Kauf zu informieren, sei oft nicht oder nur mit großem Aufwand möglich. Bei der Ersteinrichtung – dies kann wahrscheinlich jeder Leser aus eigener Erfahrung bestätigen – willigten die meisten Verbraucher in die angezeigten Bedingungen ein, da dies alternativlos sei.

Selbst wenn sich der Verbraucher die Datenschutzbestimmungen aufmerksam durchlesen würde, wäre er danach in den meisten Fällen kein Deut schlauer als vorher. Denn diese enthielten in vielen Fällen keine Angaben, mit denen der Verbraucher in der Praxis etwas anfangen kann. Insbesondere Pauschalierungen würden dazu führen, dass die Datenschutzbestimmungen erheblich an Informationsgehalt einbüßen. “Dies führt sehr häufig zu Verstößen gegen die DSGVO”, teilte das Bundeskartellamt mit.

Mangelnde IT-Sicherheit

Zahlreiche Hersteller gewährleisten zudem nicht, dass der Standard der Fernsehgeräte für IT-Sicherheit auch in den Jahren nach des Erwerbs durch Software-Updates aufrechterhalten wird. Verbindliche Angaben der Unternehmen hierzu existieren nicht. Für die Verbraucher sei diese Information aber unerlässlich, “um einschätzen zu können, wie lange sie das Gerät uneingeschränkt gefahrlos verwenden können”.

Methodik

Für die nun veröffentlichte Sektoruntersuchung zu Smart-TVs befragte das Bundeskartellamt im vergangenen Jahr 32 Unternehmen sowie mehrere Marktteilnehmer und Experten. Die Ermittlungen betrafen rund 20 Anbieter, die in Deutschland internetfähige Fernsehgeräte unter eigenen Marken absetzen. Der komplette Bericht ist unter diesem Link abrufbar.

Emotet- Die gefährliche Schadsoftware

7. Dezember 2018

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in den letzten Tagen häufig Meldungen von IT-Sicherheitsvorfällen erhalten, die im Zusammenhang mit der Schadsoftware Emotet stehen. Betroffene leiden unter Ausfällen der kompletten IT-Sicherheitsstruktur, die die Geschäftsprozesse erheblich einschränken und Schäden in Millionenhöhe nach sich ziehen.

Das BSI hat aus aktuellem Anlass neue umfassende Sicherheitsmaßnahmen empfohlen. Angepasst an die Zielgruppen Unternehmen und Privatanwender sind diese auf den Webseiten des BSI abrufbar unter https://www.allianz-fuer-cybersicherheit.de/ACS/emotet und https://www.bsi-fuer-buerger.de/BSIFB/emotet.

Mithilfe des sogenannten “Outlook-Harvesting” ist Emotet in der Lage, authentisch aussehende Spam-Mails zu verschicken. Die Schadsoftware liest Kontaktbeziehungen und seit einigen Wochen auch E-Mail-Inhalte aus den Postfächern bereits infizierter Systeme aus. Weiterhin verfügt Emotet über die Möglichkeit weitere Schadsoftware bei bereits infizierten Systemen nachzuladen. Dadurch haben Angreifer Zugriff auf Zugangsdaten und erhalten einen vollständigen Remotezugriff auf das System.

Insbesondere der Banking-Trojaner “Trickbot” wurde zuletzt nachgeladen, der sich u.a. über das Auslesen von Zugangsdaten (Mimikatz) und SMB-Schwachstellen (Eternal Blue/Romance) selbstständig in einem Netzwerk ausbreiten kann.

ENISA-Bericht mit Empfehlungen zu Zertifizierungen nach der DSGVO

8. Dezember 2017

Die europäische IT-Sicherheitsbehörde ENISA (European Union Agency for Network and Information Security) hat Empfehlungen für Unternehmen bei der Umsetzung der DSGVO-Vorgaben für Zertifizierungen veröffentlicht.
Laut Udo Helmbrecht, dem Chef von ENISA, will die Behörde auf diese Weise Unternehmen eine Hilfestellung geben und eine effektive Umsetzung der Gesetzgebung unterstützen.
Der Bericht stellt die Möglichkeit der freiwilligen Zertifizierung nach Artt. 42, 43 DSGVO für Unternehmen in den Mittelpunkt. Helmbrecht betont, dass es vor allem darum geht Datenverarbeitungsvorgänge zu bewerten, ob sie den Anforderungen der DSGVO genügen. ENISA soll ab nächstem Jahr ein europaweites freiwilliges Zertifizierungsverfahren für IT-Sicherheit etablieren. Eine der Empfehlungen ist, dass sich zwar die Aufsichtsbehörden auf ein gemeinsames Vorgehen verständigen, aber die Zertifizierung von einer akkreditierten Stelle vorgenommen werden soll um Interessenskonflikte zu vermeiden.

US-Justizministerium beschuldigt Chinesen des Hackings

29. November 2017

Drei chinesische Mitarbeiter des Unternehmens Guangzhou Bo Yu Information Technologie Company Ltd. werden von dem US-Justizministerium bezichtigt, Cyber-Attacken auf den deutschen Großkonzern Siemens AG ausgeübt zu haben. Die Angriffe auf das Netzwerk von Siemens sowie zwei weiteren deutschen Unternehmen fanden zwischen den Jahren 2011 und 2017 statt.

Bei Siemens versuchten die Hacker im Sommer 2014 Passwörter und Nutzernamen abzugreifen. Im Sommer 2015 wurden erfolgreich 407 Gigabyte geschützter Daten des Unternehmens entwendet.

Siemens äußerte sich dabei aus Prinzip nicht zu Angelegenheiten, welche die interne Sicherheit betreffen. Jedoch betonte der Unternehmenssprecher, dass die Datensicherheit für das Unternehmen weltweit von höchster Priorität sei und Siemens seine Infrastruktur streng überwache und schütze.

Die drei Angeklagten befinden sich derzeit nicht in Gewahrsam und werden als Einzelpersonen behandelt, nicht als vom chinesischen Staat unterstützte Hacker. Beispiele wie dieses bestätigen Studien, die in Cyberangriffen auf Unternehmen eine allgegenwärtige und ernstzunehmende Bedrohung sehen.

198 Millionen US-Wählerdaten frei zugänglich

21. Juni 2017

Eine Datenbank mit persönlichen Wählerinformationen zu 198 Millionen US-Bürgern stand 2 Wochen frei zugänglich im Internet zum Download zur Verfügung.

Wie die US-Website Gizmodo berichtet, hatte das Unternehmen Deep Root Analytics im Auftrag der Republikanischen Partei eine Datenbank mit bis zu 198 Millionen Datensätzen an Wählerinformationen erstellt. Aus dieser gingen Namen, Geburtsdaten, Adressen und Telefonnummern eines Großteils der rund 200 Millionen wahlberechtigten US-Bürger hervor. Daneben waren in der Datenbank auch Analyseergebnisse zur politischen Einstellung, Religion, ethnischer Herkunft und wahrscheinliche Meinungen zu Themen wie Waffenbesitz, Stammzellenforschung oder Abtreibung der betroffenen Personen aufgeführt.

Auf die Datenbank aufmerksam geworden war die IT-Sicherheitsfirma UpGuard, nach deren Angaben die Eingabe der URL ausreichend war, um auf 1,1 Terrabyte der Datenbank, die auf einem Amazon Server gespeichert war, zugreifen und sie herunterzuladen zu können. Nicht einmal die Eingabe eines Passworts sei nötig gewesen.

Deep Root Analytics hat mit einer Stellungnahme auf die Datenpanne, die mittlerweile behoben ist,  reagiert und eigene Fehler eingeräumt. So wird die Datenpanne auf ein fehlerhaftes Update am 1. Juni zurückgeführt. Weiter heißt es darin, dass die Daten gesammelt würden, um personalisierte Wahlwerbung im Fernsehen schalten zu können.

Kategorien: Allgemein · Online-Datenschutz
Schlagwörter: , ,

Konferenz zur IT-Sicherheitsforschung

14. Februar 2017

Heute startet in Berlin die dreitägige “Nationale Konferenz zur IT-Sicherheitsforschung”, die vom Bundesministerium für Bildung und Forschung organisiert wird. Das Programm sieht einerseits eine öffentliche Ausstellung von Projekten und Forschungsexponaten durch IT-Sicherheitsexperten vor, andererseits werden, zum Teil auch interaktiv, auch Fragen der Besucherinnen und Besucher beantwortet.

Eines der Kernthemen wird sicher das aktuelle Positionspapier zur Cyber-Sicherheit in Deutschland sein, das die drei Kompetenzzentren für IT-Sicherheitsforschung – CISPA in Saarbrücken, CRISP in Darmstadt und KASTEL in Karlsruhe – erarbeitet haben und welches am ersten Tag vorgestellt wird.

Darüber hinaus wird der russische Sicherheitsexperte Eugene Kaspersky zu den Keynote-Speakern der Konferenz gehören. In einem Interview mit der Zeitschrift “c’t – Magazin für Computer Technik” äußerte er sich bereits recht provizierend. Datenschutz, so meint er, sei “wahrscheinlich nur noch in einem entlegenen sibirischen Dorf oder auf einer weit entfernten pazifischen Insel möglich”, ohne Internet und Sicherheitskameras. Die Diskussion darf mit Spannung erwartet werden.

Praktische Fragen zur DS-GVO

14. Juli 2016

Das Bayrische Landesamt für Datenschutzaufsicht (BayLDA) erstellt derzeit, teilweise gemeinsam mit dem Bayrischen Landesbeauftragten für den Datenschutz, eine Reihe von kurzen Papieren zu konkreten Fragen der EU-Datenschutzgrundverordnung (DS-GVO). Ziel dieser Serie ist es, möglichst praktische Hilfestellungen zur Umsetzung der DS-GVO zu geben, die ab Mai 2018 in Kraft treten wird.

Nach Papieren zur Rolle der IT-Sicherheit sowie zu Fragen der Zertifizierung ist nun ein Papier zur Videoüberwachung nach der DS-GVO erschienen. Die Papiere sollen ein- bis zwei mal im Monat erscheinen und jeweils einzelne Schwerpunkt der DS-GVO beleuchten.

Generalanwalt des EuGH: Keine Haftung von WLAN-Anbietern für Rechtsverletzungen Dritter

18. März 2016

Stellt ein Unternehmen ein kostenloses, offenes WLAN-Netz zur Verfügung, so haftet dieses nicht für durch Nutzer begangene Urheberrechtsverletzungen. Das ist der Tenor eines Gutachtens des Generalanwalts des Europäischen Gerichtshofs, welches am 16.3.2016 verkündet wurde.

Bisher ist es vor allem das Instrument der sogenannten Störerhaftung, das dem flächendeckenden, offenen Ausbau von öffentlichen WLAN-Netzen verhindert. Dabei haftet der Anbieter für Rechtsverstöße, welche ein Nutzer des bereitgestellten Netzwerks begeht, so zum Beispiel im Falle illegalen Downloads von Musik- oder Videodateien im Rahmen von urheberechtsgesetzlichen Haftungsnormen.

Nach Auffassung des Generalanwalts kann der Betreiber des WLAN-Netzes zwar zu einer Beendigung oder künftigen Verhinderung der Rechtsverletzung verpflichtet werden, soweit Nutzer wie beispielsweise Kunden eines Gastronomiebetriebs über dessen offenes Netz illegal Dateien downloaden. Der Betreiber eines kostenlosen WLAN-Netzes kann vom Rechteinhaber aber nicht verpflichtet werden, dieses stillzulegen, durch ein Passwort zu schützen oder die Kommunikationsvorgänge zu überwachen; auch Schadensersatzansprüche oder eine Geltendmachung der Mahn- und Gerichtskosten bestehen demnach gegen den Betreiber nicht.

Hintergrund des Gutachtens ist der Rechtstreit zwischen Sony und einem Geschäftsinhaber, der in seinem Betrieb ein für Kunden offenes WLAN anbietet. Über dieses wurde ein Musikwerk illegal heruntergeladen, für das Gericht glaubhaft aber nicht vom Betreiber selbst, sondern von einem anderen Nutzer. Das zuständige Landgericht München hatte den Europäischen Gerichtshof um Hilfe bei der Auslegung der Europäischen Richtlinie über den Elektronischen Rechtsverkehr dahingehend gebeten, ob diese auch auf Betriebe anzuwenden sei, die ein WLAN-Netz bloß im Rahmen einer anderen Hauptdienstleistung „nebenbei“ anbieten.

Der Auslegung des Generalanwalts muss der Europäische Gerichtshof zwar nicht folgen. Ein abweichendes Urteil wäre jedoch die Ausnahme.

Bundesministerium des Inneren stellt Entwurf einer Verordnung zur Bestimmung Kritischer Infrastrukturen vor

17. Februar 2016

Nachdem im Juli 2015 das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (BSIG) geändert wurde, stellt das Bundesministerium des Inneren (BMI) den Entwurf einer Rechtsverordnung zur Bestimmung Kritischer Infrastrukturen (BSI-KritisV) vor.

 
Im Rahmen der Änderungen des BSIG im vergangenen Sommer wurden unter anderem die §§ 8a ff. BSIG eingeführt. Diese Vorschriften verpflichten die Betreiber von Kritischen Infrastrukturen besondere Sicherheitsmaßnahmen zu treffen, um Mindestsicherheitsstandards für informationstechnische Systeme zu implementieren. Wer bisher eine kritische Infrastruktur betrieb, war nicht eindeutig geregelt. Das BMI hat zwischenzeitlich von seiner Verordnungsermächtigung Gebrauch gemacht und in einem ersten Korb der Verordnung teilweise bestimmt, welche Anlagen unter den Begriff “Kritische Infrastruktur” zu subsumieren sind. Auf dieser Grundlage lässt sich ein erster Adressatenkreis des BSIG bestimmen.

 
In diesem ersten Korb werden Schwellenwerte für Anlagen und Dienstleistungen aus den Sektoren Energie, Wasser, Informationstechnik und Telekommunikation sowie Ernährung festgelegt. Hierbei ging der Verordnungsgeber in drei Schritten vor, wobei jeweils mit Vertretern der verschiedenen Branchen zusammengearbeitet wurde. In einem ersten Schritt wurde abgestimmt, welche Dienstleistungen eines Sektors als kritisch anzusehen sind. In einem zweiten Schritt wurden die Anlagenkategorien identifiziert, die zur Erbringung dieser Dienstleistung erforderlich sind. Schließlich werden in der BSI-KritisV Schwellenwerte für solche Anlagen und Teile von Anlagen festgelegt, die als hinreichend bedeutsame Anlagen zur Versorgung der Allgemeinheit als Kritische Infrastrukturen gelten.

 
Nach Schätzungen des BMI erfüllen circa 680 Anlagen aus den Sektoren Energie, Wasser, Informationstechnik und Telekommunikation und Ernährung die Schwellenwerte der BSI-KritisV. Im Frühjahr 2016 soll die BSI-KritisV in Kraft treten. Ab dem Zeitpunkt des Inkrafttretens haben die betroffenen Betreiber Kritischer Infrastrukturen 2 Jahre Zeit, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind.

 
Für die übrigen Sektoren Transport und Verkehr, Gesundheit, Finanz- und Versicherungswesen sollen bis Ende 2016 Bestimmungen zur Definition Kritischer Infrastrukturen festgelegt werden.

Pages:  1 2
1 2