Schlagwort: IT-Sicherheit

Konferenz zur IT-Sicherheitsforschung

14. Februar 2017

Heute startet in Berlin die dreitägige „Nationale Konferenz zur IT-Sicherheitsforschung“, die vom Bundesministerium für Bildung und Forschung organisiert wird. Das Programm sieht einerseits eine öffentliche Ausstellung von Projekten und Forschungsexponaten durch IT-Sicherheitsexperten vor, andererseits werden, zum Teil auch interaktiv, auch Fragen der Besucherinnen und Besucher beantwortet.

Eines der Kernthemen wird sicher das aktuelle Positionspapier zur Cyber-Sicherheit in Deutschland sein, das die drei Kompetenzzentren für IT-Sicherheitsforschung – CISPA in Saarbrücken, CRISP in Darmstadt und KASTEL in Karlsruhe – erarbeitet haben und welches am ersten Tag vorgestellt wird.

Darüber hinaus wird der russische Sicherheitsexperte Eugene Kaspersky zu den Keynote-Speakern der Konferenz gehören. In einem Interview mit der Zeitschrift „c’t – Magazin für Computer Technik“ äußerte er sich bereits recht provizierend. Datenschutz, so meint er, sei „wahrscheinlich nur noch in einem entlegenen sibirischen Dorf oder auf einer weit entfernten pazifischen Insel möglich“, ohne Internet und Sicherheitskameras. Die Diskussion darf mit Spannung erwartet werden.

Praktische Fragen zur DS-GVO

14. Juli 2016

Das Bayrische Landesamt für Datenschutzaufsicht (BayLDA) erstellt derzeit, teilweise gemeinsam mit dem Bayrischen Landesbeauftragten für den Datenschutz, eine Reihe von kurzen Papieren zu konkreten Fragen der EU-Datenschutzgrundverordnung (DS-GVO). Ziel dieser Serie ist es, möglichst praktische Hilfestellungen zur Umsetzung der DS-GVO zu geben, die ab Mai 2018 in Kraft treten wird.

Nach Papieren zur Rolle der IT-Sicherheit sowie zu Fragen der Zertifizierung ist nun ein Papier zur Videoüberwachung nach der DS-GVO erschienen. Die Papiere sollen ein- bis zwei mal im Monat erscheinen und jeweils einzelne Schwerpunkt der DS-GVO beleuchten.

Generalanwalt des EuGH: Keine Haftung von WLAN-Anbietern für Rechtsverletzungen Dritter

18. März 2016

Stellt ein Unternehmen ein kostenloses, offenes WLAN-Netz zur Verfügung, so haftet dieses nicht für durch Nutzer begangene Urheberrechtsverletzungen. Das ist der Tenor eines Gutachtens des Generalanwalts des Europäischen Gerichtshofs, welches am 16.3.2016 verkündet wurde.

Bisher ist es vor allem das Instrument der sogenannten Störerhaftung, das dem flächendeckenden, offenen Ausbau von öffentlichen WLAN-Netzen verhindert. Dabei haftet der Anbieter für Rechtsverstöße, welche ein Nutzer des bereitgestellten Netzwerks begeht, so zum Beispiel im Falle illegalen Downloads von Musik- oder Videodateien im Rahmen von urheberechtsgesetzlichen Haftungsnormen.

Nach Auffassung des Generalanwalts kann der Betreiber des WLAN-Netzes zwar zu einer Beendigung oder künftigen Verhinderung der Rechtsverletzung verpflichtet werden, soweit Nutzer wie beispielsweise Kunden eines Gastronomiebetriebs über dessen offenes Netz illegal Dateien downloaden. Der Betreiber eines kostenlosen WLAN-Netzes kann vom Rechteinhaber aber nicht verpflichtet werden, dieses stillzulegen, durch ein Passwort zu schützen oder die Kommunikationsvorgänge zu überwachen; auch Schadensersatzansprüche oder eine Geltendmachung der Mahn- und Gerichtskosten bestehen demnach gegen den Betreiber nicht.

Hintergrund des Gutachtens ist der Rechtstreit zwischen Sony und einem Geschäftsinhaber, der in seinem Betrieb ein für Kunden offenes WLAN anbietet. Über dieses wurde ein Musikwerk illegal heruntergeladen, für das Gericht glaubhaft aber nicht vom Betreiber selbst, sondern von einem anderen Nutzer. Das zuständige Landgericht München hatte den Europäischen Gerichtshof um Hilfe bei der Auslegung der Europäischen Richtlinie über den Elektronischen Rechtsverkehr dahingehend gebeten, ob diese auch auf Betriebe anzuwenden sei, die ein WLAN-Netz bloß im Rahmen einer anderen Hauptdienstleistung „nebenbei“ anbieten.

Der Auslegung des Generalanwalts muss der Europäische Gerichtshof zwar nicht folgen. Ein abweichendes Urteil wäre jedoch die Ausnahme.

Bundesministerium des Inneren stellt Entwurf einer Verordnung zur Bestimmung Kritischer Infrastrukturen vor

17. Februar 2016

Nachdem im Juli 2015 das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (BSIG) geändert wurde, stellt das Bundesministerium des Inneren (BMI) den Entwurf einer Rechtsverordnung zur Bestimmung Kritischer Infrastrukturen (BSI-KritisV) vor.

 
Im Rahmen der Änderungen des BSIG im vergangenen Sommer wurden unter anderem die §§ 8a ff. BSIG eingeführt. Diese Vorschriften verpflichten die Betreiber von Kritischen Infrastrukturen besondere Sicherheitsmaßnahmen zu treffen, um Mindestsicherheitsstandards für informationstechnische Systeme zu implementieren. Wer bisher eine kritische Infrastruktur betrieb, war nicht eindeutig geregelt. Das BMI hat zwischenzeitlich von seiner Verordnungsermächtigung Gebrauch gemacht und in einem ersten Korb der Verordnung teilweise bestimmt, welche Anlagen unter den Begriff „Kritische Infrastruktur“ zu subsumieren sind. Auf dieser Grundlage lässt sich ein erster Adressatenkreis des BSIG bestimmen.

 
In diesem ersten Korb werden Schwellenwerte für Anlagen und Dienstleistungen aus den Sektoren Energie, Wasser, Informationstechnik und Telekommunikation sowie Ernährung festgelegt. Hierbei ging der Verordnungsgeber in drei Schritten vor, wobei jeweils mit Vertretern der verschiedenen Branchen zusammengearbeitet wurde. In einem ersten Schritt wurde abgestimmt, welche Dienstleistungen eines Sektors als kritisch anzusehen sind. In einem zweiten Schritt wurden die Anlagenkategorien identifiziert, die zur Erbringung dieser Dienstleistung erforderlich sind. Schließlich werden in der BSI-KritisV Schwellenwerte für solche Anlagen und Teile von Anlagen festgelegt, die als hinreichend bedeutsame Anlagen zur Versorgung der Allgemeinheit als Kritische Infrastrukturen gelten.

 
Nach Schätzungen des BMI erfüllen circa 680 Anlagen aus den Sektoren Energie, Wasser, Informationstechnik und Telekommunikation und Ernährung die Schwellenwerte der BSI-KritisV. Im Frühjahr 2016 soll die BSI-KritisV in Kraft treten. Ab dem Zeitpunkt des Inkrafttretens haben die betroffenen Betreiber Kritischer Infrastrukturen 2 Jahre Zeit, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind.

 
Für die übrigen Sektoren Transport und Verkehr, Gesundheit, Finanz- und Versicherungswesen sollen bis Ende 2016 Bestimmungen zur Definition Kritischer Infrastrukturen festgelegt werden.

Hackerangriff: Massiver Datendiebstahl in den USA betrifft persönliche Daten von über 20 Millionen Regierungsangestellten

10. Juli 2015

Die US-Regierungsbehörde United States Office of Personnel Management (OPM) ist jüngst wiederholt Opfer von Cyberattacken geworden. Die Behörde ist für die Verwaltung des Öffentlichen Dienstes in den Vereinigten Staaten verantwortlich.

Bei den Attacken dürfte es sich nach offiziellen Angaben um die bisher größte Cyberattacke auf eine amerikanische Regierungseinrichtung handeln. Betroffen sind personenbezogene Daten von ca. 21,5 Millionen Angestellten des Öffentlichen Dienstes; darunter neben aktuellen auch ehemalige Angestellte sowie eventuell Bewerber und Anwärter für Regierungsorganisationen. Auch solchen nahestehende Verwandte und Freunde, welche im Rahmen sogenannter Background-Analysen durchleuchtet wurden, zählen wohl zu den Opfern. Von den Betroffenen wurden neben Adressen, Sozialversicherungsnummern und Finanzangaben auch besonders sensible Gesundheitsdaten erbeutet – besonders brisant darunter wohl die über eine Million Fingerabdrücke. Die OPM verwaltet auch Zugangsberechtigungen und Sicherheitsscreenings.

Die Angriffe erfolgten wohl bereits im letzten Jahr in zwei Fällen, wurden seitens der OPM aber erst im April dieses Jahres erstmals entdeckt. Im Juni bestätigte sich dann die nun veröffentlichte Zahl der Betroffenen.

Darüber, inwieweit diese Daten vor Angriffen von außen gesichert waren, schweigt die Behörde. Sie hat inzwischen eine Informationsseite für Betroffene eingerichtet. Darauf findet sich kein Hinweis auf den Urheber der Attacken – bereits nach den ersten Meldungen über die Cyberattacke berief sich die Washington Post auf Regierungsvertreter, die hinter den Hackern die chinesische Regierung vermuten. Das chinesiche Dementi folgte wenig überraschend.

Sicherheitsstudien: Cyberattacken häufig aus eigenen Reihen

22. Juni 2015

Spätestens seit dem Hackerangriff auf das Netz des Deutschen Bundestages und der Verabschiedung des Entwurfs eines IT-Sicherheitsgesetzes (wir berichteten darüber) ist das Thema Cybersicherheit in Deutschland in aller Munde. Da erscheinen die beiden Sicherheitsstudien von IBM zum passenden Zeitpunkt und erweitern die Diskussion um die Absicherung von IT-Systemen und Netzwerkern um neue Informationen: Etwa die Hälfte (55%) der Attacken stammt aus den Reihen von ehemaligen Angestellten, Dienstleistern mit Systemzugriff oder Mitarbeitern als Opfer von Kriminellen, so der Cyber Security Intelligence Index. Teilweise handeln diese Personen jedoch arglos oder die Schadsoftware gelangt etwa beim Klicken auf präparierte Links in Spam-E-Mails in das System. Um die Angriffsfläche durch derartige Insider zu verringern, kann ein durchgängiges Identitätsmanagement, also die Verwaltung von Benutzerdaten und damit die Zuordnung Zugriffsberechtigungen, bereits sicher helfen.

Der X-Force Threat Intelligence Report stellt heraus, dass daneben mit Schadsoftware infizierte Spam-Mails inzwischen eine echte Sicherheitsbedrohung darstellen. Der Bericht gibt Empfehlungen, wie solche Angriffe zu verhindern, oder zumindest zu verringern sind.

IBM identifizierte im Jahr 2014 in den beobachteten Unternehmen 81 Sicherheitsvorfälle (das sind rund 11% weniger als im Vorjahr), darunter rund 12.000 Cyberattacken (also Vorfälle, bei denen schadhafte Aktivitäten identifiziert werden konnten, bei denen ein Angriff auf das Netzwerk oder bestimmte Informationen versucht wurden). Die am meisten betroffenen Branchen sind Finanz- und Versicherungsdienstleister (über 25%), Informations- und Kommunikationsunternehmen (über 19%) und die herstellende Industrie (knapp 18%).

 

Ranking: Die zehn größten Bedrohungen für die IT-Sicherheit

30. März 2015

Informationssicherheit bedeutet die Gewährleistung sowohl des Datenschutzes hinsichtlich personenbezogener Daten als auch des Schutzes von Geschäfts- und Unternehmensgeheimissen. Nahezu jegliche sensible Daten – seien sie privater oder geschäftlicher Natur – werden heutzutage digital erhoben, verarbeitet und genutzt. Entscheidend für den Schutz von Informationen sind daher mehr denn je Maßnahmen und Eigenschaften der IT-Sicherheit. Doch wovon gehen die größten Gefahren für die IT-Sicherheit aus?
Der Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e.V. (BITKOM) hat unter Bezugnahme auf einen entsprechenden Report der European Network and Information Security Agency gerade ein Ranking der zehn größten Gefahren für die IT-Sicherheit erstellt:

1. Demnach sind es Trojaner und Würmer, die der IT-Sicherheit am gefährlichsten werden. Malware also, die sich in Computersystemen bewegt, indem sie sich entweder selbst verbreitet oder an eine scheinbar nützliche Datei versteckt anhängt, um von dort aus sensible Daten zu übertragen oder infizierte E-Mails zu verschicken. 350.000 solcher IT-Schädlinge tauchen im Internet auf – pro Tag! Der BITKOM empfiehlt als Schutz nicht nur aktuelle Versionen von Anti-Viren-Programmen, sondern gibt den Expertenratschlag (insbesondere für Unternehmen und Organisationen) weiter, Abwehrmaßnahmen über Endgeräte hinaus auch in der Netzwerkarchitektur zu implementieren.
2. Platz zwei der Liste macht webbasierte Schadsoftware aus, die sich beim Aufrufen manipulierter Websites über veraltete Versionen von Plug-Ins wie Java, Flash oder den Acrobate Reader herunterlädt (sog. Drive-by-Downloads), um dann im infiltrierten System Viren und Co. alle Pforten zu öffnen. Allein im Jahr 2014 ließen sich 145 Millionen solcher Websites identifizieren. Schützen kann man sich laut BITKOM, indem man von solchen Plug-Ins stets nur die aktuellste Version verwendet.
3. Bronze geht an infizierte Websites und mobile Apps für Smartphones oder Tablets. Solchen werden Codes eingefügt, die u.a. sensible Login-Daten ausspähen können (sog. SQL-Injection). Man kann dem vorbeugen, indem im Browser Plug-Ins wie Java oder Flash deaktiviert werden, und man nur Schadsoftware-geprüfte Apps aus offiziellen App-Stores bezieht.
4. Platz 4: Botnetze – aus mehreren Computern bestehende Netzwerke, die der sog. Botmaster kontrolliert. Dieser kann Passwörter oder persönliche Daten ausspähen, über das Netzwerk Spam- oder Phishing-Mails versenden u.a. BITKOM rät Nutzern, aktuelle Software und die neueste Virenscanner inklusive Firewall zu verwenden. Informationen dazu unter http://www.botfrei.de.
5. Es folgen Denial-of-Service-Attacken (Angriffe zur Blockierung eines Dienstes). Dabei werden Webserver oder Internetdienste mit Datenpaketen überflutet, bis diese schließlich nicht mehr erreichbar sind. Ausgeführt werden solche Angriffe von einzelnen Computern oder auch Botnetzen (s. 4.).
6. Zwar insgesamt rückläufig, aber immer noch gefährlich: Spam. Diese unerwünschten E-Mails machen immerhin Dreiviertel des gesamten E-Mail-Verkehrs aus. E-Mails mit gefälschten Absendern werden dabei häufig infizierte Dateien oder ein Download-Link für Schadsoftware angehängt. Trotz Spam-Filtern der jeweiligen Provider, die potenziell gefährliche E-Mails aussortieren, ist Vorsicht geboten. Mails unbekannter Herkunft sollten nie geöffnet werden.
7. Ebenfalls um gefälschte E-Mails dreht sich auch das Phishing. Solche enthalten Links zu bekannten Websites, mit der Aufforderung, sich dort einzuloggen. U.a. mittels unbekannten Trojanern können Kriminelle dann die Identität der Opfer samt zugehörigen Zugangsdaten beispielsweise zum Online-Banking ermitteln. BITKOM hält die Nutzer an, E-Mails stets kritisch zu hinterfragen. So bitten Banken und andere Unternehmen ihre Kunden niemals per E-Mail, vertrauliche Daten im Netz einzugeben. Diese E-Mails oder solche mit unbekanntem Dateianhang sollten umgehend gelöscht werden.
8. Auch für technische Laien zu benutzen, und nicht zuletzt daher gefährlich sind Viren-Baukästen (sog. Exploit-Kits), mit denen sich verschiedenste Schadsoftware individuell entwickeln lässt.
9. Ausnahmsweise keine Gefahr aus dem Internet, sondern so analog wie vermeidbar ist der physische Verlust von Daten. Immer mehr mobile Endgeräte wie Notebooks, Tablets und Smartphones werden gestohlen oder gehen verloren. Vor allem sensible Daten sollten unbedingt so gesichert werden, dass in einem solchen Falle Dritte auf diese keinen Zugriff bekommen. Passwortgesicherter Zugang zu den Geräten und Datenverschlüsselung sind dabei unersetzbar. Geräte im Online-Modus können zudem auch per Remote-Zugriff bedient oder gesperrt werden, was vor allem für dienstlich genutzte Geräte vorab eingerichtet werden sollte.
10. Noch in die Top-Ten sortiert der BITKOM den Datenverlust als solchen ein. Beschreibt dieser wohl eher die Folge einer Cyber-Attacke oder des physichen Abhandenkommens von Daten, dürfte jedem Nutzer dennoch klar sein, was Datenverlust bedeuten kann: Verlust vertraulicher persönlich oder geschäftlich sensibler Informationen, Missbrauch von Kreditkartendaten, Konto-Abbuchungen im Online-Banking, Schädigung der individuellen oder Unternehmensreputation usw. usf.

Natürlich ist diese Liste nicht abschließend. Aber Anlass zur Frage bietet sie allemal: Wie sicher ist die IT-gestützte Verarbeitung von Daten in Ihrem Unternehmen vor Gefahren von außen?

Bundesregierung beschließt Entwurf für IT-Sicherheitsgesetz

18. Dezember 2014

Wie Medien berichten, hat die Bundesregierung in dieser Woche einen überarbeiteten Entwurf für das geplante IT-Sicherheitsgesetz beschlossen.

40 Prozent der weltweiten Wertschöpfung basiere bereits auf der Informations- und Kommunikationstechnologie, heißt es beim bmi (Bundesministerium des Innern). Die Bundesregierung verfolge daher mit ihren Maßnahmen das Ziel, Deutschland als einen der sichersten digitalen Standorte weltweit zu etablieren.

Das neue Gesetz verpflichtet künftig Betreiber von kritischen Infrastrukturen einen Mindeststandard an IT-Sicherheit einzuhalten. Zu den Betreibern kritischer Infrastrukturen zählen zum Beispiel Energieversorger, Unternehmen im Gesundheits-, Finanz- und Versicherungswesen sowie aus der Transport- und Verkehrsbranche – also Einrichtungen, die für das Gemeinwesen von großer Bedeutung sind. Auch sieht das Gesetz eine Meldepflicht für IT-Sicherheitsfälle vor. Gemeint sind damit vor allem Cyberangriffe. Betroffen sind Betreiber, die mehr als zehn Personen beschäftigen und einen Jahresumsatz von über zwei Millionen Euro aufweisen. Für die so genannten Kleinunternehmer werden die Regelungen nicht gelten.

Darüber hinaus verschärft das IT-Sicherheitsgesetz Regelungen für Dienstanbieter im Bereich Telekommunikation und Telemedien. Diese sollen künftig ihre IT-Sicherheit nach dem aktuellsten technischen Stand aus- und einrichten und ihre Kunden darüber informieren, wenn dem Betreiber Auffälligkeiten am Anschluss des Kunden bekannt werden, die ebenfalls auf Angriffe oder Sicherheitslücken hindeuten.

Wie golem berichtet, sind in dem Gesetzesentwurf auch höhere Budget- und Personalressourcen vorgesehen. Bis zu 38 Millionen Euro jährlich für Personal und Sachmittel und bis zu 425 zusätzliche Stellen sollen bei Sicherheitsbehörden wie dem Bundesnachrichtendienst, dem Bundeskriminalamt und dem Verfassungsschutz entstehen.

Datendiebstahl bei Online-Dienstleister WHMCS

25. Mai 2012

Medienangaben zufolge ist es Hackern Anfang dieser Woche erfolgreich gelungen, in die Web-Server des Online-Dienstleisters WHMCS einzubrechen. Dabei sollen die Angreifer nicht nur den gesamten Serverinhalt kopiert und anschließend gelöscht haben, sondern auch die gesamte Kundendatenbank ausgelesen haben. Laut Angaben von WHMCS umfasst diese neben allen Bestellungen und Supportanfragen der letzten 17 Stunden vor dem Angriff auch über 500.000 E-Mail-Adressen und weitere personenbezogene Daten der Kunden. Die für den Angriff verantwortliche Hackergruppierung UGNazi soll unmittelbar nach dem Angriff die Benutzerdatenbank als MySQL-Dump online gestellt haben. Der Angriff sei damit begründet worden, dass den Betroffenen die mangelhafte Datensicherheit in eindeutiger Weise vor Augen geführt werden sollte.

Hierdurch wird wieder einmal mehr als deutlich, dass IT-Sicherheit und Datenschutz zwei Seiten der gleichen Medaille sind, die aufeinander abgestimmt dafür sorgen können, dass der Schaden solcher Angriffe auf ein Minimum reduziert werden kann.

Kategorien: Allgemein · Online-Datenschutz
Schlagwörter: ,

EU-Datenschutzverordnung: IT-Sicherheit im Wandel

2. März 2012

Die Kommission der Europäischen Union hat am 25. Januar 2012 einen Entwurf für einen neuen Rechtsrahmen zum Schutz personenbezogener Daten in der EU vorgestellt. Nach diesem Vorschlag soll u.a. die bisher bestehende Richtlinie 95/46/EG aus dem Jahr 1995 ersetzt werden. Kernstück soll eine neue Datenschutz-Grundverordnung (EU-Datenschutzverordnung) werden, die zur Harmonisierung des Datenschutzes in allen Mitgliedstaaten führen soll. Inhaltlich zielt die Reform in zwei Richtungen. Zum einen sollen die Rechte des Einzelnen auf Wahrung seiner Privatsphäre gestärkt werden, zum anderen soll die digitale Wirtschaft Europas belebt werden.

Einzelne Regelungen des Verordnungsentwurfes könnten hierbei weitreichende Änderungen der bestehenden IT- und Sicherheitskonzepte von Unternehmen zur Folge haben. Die Änderungen haben sowohl Erleichterungen als auch Verschärfungen zum Gegenstand. Zur Verminderung des Verwaltungsaufwands sollen administrative Anforderungen wie bestimmte Meldepflichten beseitigt werden. Anstelle der bisher bestehenden Verpflichtung den Datenschutzbeauftragten sämtliche datenschutzrelevanten Tätigkeiten zu melden, sieht die Neuregelung künftig mehr Verantwortung sowie eine verschärfte Rechenschaftspflicht bei der Verarbeitung personenbezogener Daten vor. Weiterhin muss nach der Feststellung einer Verletzung des Schutzes personenbezogener Daten künftig die nationale Aufsichtsbehörde unverzüglich, d.h. innerhalb von 24 Stunden benachrichtigt werden. Die Umsetzung des Entwurfs könnte dazu führen, dass aufgrund der Anforderungen an Transparenz, Offenlegung und der Nachweispflicht für Verstöße Unternehmen IT-Sicherheitsprozesse tiefer in die Geschäftsprozesse integrieren müssen. Auch wenn einige Fragen noch offen bleiben, beispielsweise wie der Begriff der Unverzüglichkeit zu interpretieren ist,  sind die Änderungen überwiegend begrüßenswert. (md)