Kategorie: Online-Datenschutz

Datenpanne bei Facebook – Entwickler haben ungewollten Zugriff auf Nutzerfotos

17. Dezember 2018

Der Facebook-Konzern hat eine weitere Datenpanne gemeldet. Ausgehend davon sei diversen Apps unberechtigterweise Zugang zu verschiedenen Fotos von Mitgliedern sowie Informationen auf der Plattform Marketplace ermöglicht worden. Dieser unberechtigte Zugriff hätte bereits im September für mehrere Tage bestanden und beträfe ca 6,8 Millionen User. Zumindest die 72-Stunden Frist für die Meldung der Datenpanne habe Facebook nach bisherigem Kenntnisstand jedoch eingehalten.

Entgegen aller präventiven Maßnahmen – auch seit Inkrafttreten der DSGVO – entstehen Datenpannen häufiger und umfangreicher als möglicherweise zu erwarten. Hierfür stehen auch die regelmäßigen Meldungen über derartig große Vorfälle Pate (wir berichten regelmäßig). Aus diesem Grund sind Unternehmen jeder Größe gut beraten, adäquate sowie datenschutzkonforme Schutzmechanismen in die Unternehmensstruktur zu implementieren. Ebenfalls ist eine Vorbereitung auf etwaige Datenpannen sowie, gegebenenfalls, das Einholen juristischer Beratung ratsam.

 

 

Kategorien: Allgemein · Online-Datenschutz · Social Media
Schlagwörter:

EU-Richtlinie für schärfere Strafen bei Betrug im Rahmen von bargeldlosen Zahlungen

12. Dezember 2018

Am Dienstagabend haben sich Vertreter des Europäischen Parlaments, des Ministerrates sowie der Kommission auf einen Richtlinienentwurf geeinigt, um zukünftig mit einem schärferen Schwert gegen Betrugs- und Fälschungsfälle in Bezug auf den Umgang mit bargeldlosen Zahlungsmitteln wie Kredit- oder EC-Karten vorgehen zu können. Die Richtlinie umfasst dabei erstmalig auch die rechtswidrige Nutzung von virtuellen Währungen, wie z.B. Bitcoins oder die mobile Zahlung über Smartphones. Ziel der Richtlinie ist dabei die europaweite Harmonisierung von Mindeststrafrahmen bei Delikten, die die oben genannten Fälle der rechtswidrigen Datennutzung und Nutzung der Zahlungsmittel erfassen. Das Strafmaß reicht dabei, je nach Schwere des Delikts, von einem Jahr bis zu fünf Jahren Freiheitsstrafe.

Die Richtlinie erfasst zudem die Fälle, in denen Zahlungsdaten z.B. durch die Nutzung von Phishing-Mails, Skimming an Geldautomaten oder Terminals rechtswidrig erhoben und in der Folge rechtswidrig genutzt werden. Schätzungsweise werden mit solchen Betrugsfällen jährlich mindestens 1,8 Milliarden Euro rechtswidrig erwirtschaftet.

Die Richtlinie muss nun durch das Parlamantsplenum und dem Rat angenommen werden. Nach dem Inkrafttreten der Richtlinie werden die Mitgliedstaaten 2 Jahre Zeit haben, die Vorschriften in nationales Recht umzusetzen.

Facebook – 10 Millionen Euro Strafe in Italien

11. Dezember 2018

Facebook ist in Italien zu einer Datenschutzstrafe von zehn Millionen Euro verurteilt worden. Die Wettbewerbsbehörde AGCM störte sich an der Weitergabe von Nutzerdaten bei der Anmeldung mit einem Facebook-Account bei anderen Websites und Apps. Facebook wird eine aggressive Geschäftspraxis vorgeworfen, wenn Daten ohne ausdrückliche Zustimmung der Nutzer an andere Plattformen weitergegeben werden. Die vorgesehenen Abwahl-Möglichkeiten für die Funktion seien nicht ausreichend.

Zudem sei es irreführend, wenn vor der Kontoeröffnung darauf hingewiesen wird, dass die Nutzung kostenlos sei. Denn, dass Nutzerdaten für kommerzielle Zwecke gesammelt werden, sei für den Nutzer nicht klar ersichtlich. Daher sei zu befürchten, die Nutzer könnten sich anders entscheiden, wenn sie vorher – also vor der Kontoeröffnung – angemessen auf diese Aspekte hingewiesen worden wären.

Facebook selbst erklärte, man prüfe die Entscheidung und hoffe, die Bedenken der Behörde ausräumen zu können. Denn eine Teilung der Nutzerdaten mit anderen Apps oder Websites ohne eine vorherige Zustimmung würde nicht praktiziert.

Emotet- Die gefährliche Schadsoftware

7. Dezember 2018

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in den letzten Tagen häufig Meldungen von IT-Sicherheitsvorfällen erhalten, die im Zusammenhang mit der Schadsoftware Emotet stehen. Betroffene leiden unter Ausfällen der kompletten IT-Sicherheitsstruktur, die die Geschäftsprozesse erheblich einschränken und Schäden in Millionenhöhe nach sich ziehen.

Das BSI hat aus aktuellem Anlass neue umfassende Sicherheitsmaßnahmen empfohlen. Angepasst an die Zielgruppen Unternehmen und Privatanwender sind diese auf den Webseiten des BSI abrufbar unter https://www.allianz-fuer-cybersicherheit.de/ACS/emotet und https://www.bsi-fuer-buerger.de/BSIFB/emotet.

Mithilfe des sogenannten „Outlook-Harvesting“ ist Emotet in der Lage, authentisch aussehende Spam-Mails zu verschicken. Die Schadsoftware liest Kontaktbeziehungen und seit einigen Wochen auch E-Mail-Inhalte aus den Postfächern bereits infizierter Systeme aus. Weiterhin verfügt Emotet über die Möglichkeit weitere Schadsoftware bei bereits infizierten Systemen nachzuladen. Dadurch haben Angreifer Zugriff auf Zugangsdaten und erhalten einen vollständigen Remotezugriff auf das System.

Insbesondere der Banking-Trojaner „Trickbot“ wurde zuletzt nachgeladen, der sich u.a. über das Auslesen von Zugangsdaten (Mimikatz) und SMB-Schwachstellen (Eternal Blue/Romance) selbstständig in einem Netzwerk ausbreiten kann.

Frage-Portal Quora gehackt – Daten von 100 Millionen Nutzer kopiert

4. Dezember 2018

Derzeit warnen die Betreiber des Frage-Portals Quora rund 100 Millionen Nutzer per E-Mail, dass unbekannte Angreifer die Website erfolgreich gehackt haben. Dadurch haben sie nun Zugriff auf verschiedene Nutzerdaten. Quora hat den Vorfall am Freitag entdeckt. Die Eindringlinge konnten unter anderem Kontodaten (z. B. Name, E-Mail-Adresse, verschlüsseltes Passwort, aus verknüpften Netzwerken importierte Daten (sofern der Nutzer dies genehmigt hatte), Öffentliche Inhalte und Aktionen (z. B. Fragen, Antworten, Kommentare, positive Bewertungen), Nicht-öffentliche Inhalte und Aktionen (z. B. Fragen, Antwortanfragen, negative Bewertungen, Direktnachrichten) kopieren. Betroffen sind jedoch keine Kreditkartendaten und anonym verfasste Beiträge. Die Passwörter sollen nach Angaben der Website-Betreiber geschützt auf den Servern vorliegen.

Den Auskunftsdienst gibt es seit 2006. Dort kann man Fragen aller Art stellen, die von der Community beantwortet werden.

Quora hat die Strafverfolgungsbehörden in Kenntnis gesetzt und zusätzlich eine führende digitale Forensik- und Sicherheitsfirma eingeschaltet, die sie bei den Ermittlungen und den nächsten Schritten unterstützt.

 

Hacker erbeuten bis zu 500 Millionen Daten

Angriffe von Hackern auf IT-Systeme dienen oftmals der Erlangung personenbezogener Daten. Von besonderem Interesse und Wert sind dabei vor allem auch Kreditkarteninformationen. Nun wurde bekannt, dass der Marriott-Konzern, eine der weltweit größten Hotelketten, Opfer groß angelegter Cyberattacken wurde. Das Unternehmen gab bekannt, dass persönliche Daten von möglicherweise bis zu 500 Millionen Gästen gestohlen wurden. Im Mittelpunkt der Cyberattacken stand dabei die Tochtermarke Starwood, die von Marriott im Jahr 2016 für rund 13,6 Milliarden Dollar gekauft wurde. Zu  Starwood gehören unter anderem die Hotels Westin, St. Regis, Le Méridien und W Hotels. Nun wurde bekannt, dass die von den Starwood Hotels eingesetzte Datenbank zum Management von Gästereservierungen seit 2014 regelmäßig von Hackerangriffen betroffen war. Bei diesen Attacken wurden unter anderem Namen, Geburtsdaten, Passinformationen, E-Mail – Adressen und die Aufenthaltszeiträume von Hotelgästen entwendet. Darüber hinaus konnten die Hacker wohl auch von einigen Hotelgästen die in der Datenbank hinterlegten Kreditkarteninformationen, samt den zur Entschlüsselung notwendigen Daten, erlangen. Nachdem die Angriffe dem Marriott-Konzern intern bekannt wurden, wurden die zuständigen Ermittlungsbehörden eingeschaltet. Weiterhin kündigte Marriott an, dass die von der Cyberattacke betroffenen Hotelgäste zeitnah per Mail hierüber informiert werden würden und das die IT-Systeme der Tochtermarke Starwood ausgemustert werden sollen. Das Bekanntwerden dieser Datenpanne führte dazu, dass der Kurs der Marriott-Aktie kurzfristig um bis zu 6 Prozent nachgab.

Google und sein Datenhunger im Visier der europäischen Verbraucherschutzverbände

28. November 2018

Ein kurzes Video der norwegischen Verbraucherschutzorganisation zeigt wie mittels Googles Tracking von Nutzer-Standorten ein ausführliches Bild über religiöse und politische Überzeugungen, den Gesundheitsstand und die sexuelle Orientierung gemacht werden kann.

Android-Smartphones besitzen eine Funktion des automatischen Standortverlaufs, die die Bewegungen des Nutzers aufzeichnet und dafür sorgt, dass Googles Dienste wie z.B. Google Now ordnungsgemäß funktionieren. Die gesammelten Daten werden dann für die Optimierung der Suchfunktionen, aber auch für die gezielte Werbung genutzt. Dabei werden verschiede Tricks verwendet um die Abschaltung der Standort-Ortung durch Nutzer zu vermeiden.

Europäische Verbraucherschutzverbände aus Norwegen, den Niederlanden, Griechenland, Tschechien, Slowenien, Polen und Schweden sehen in dem Googles Tracking von Nutzer-Standorten ein Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) und wollen bei ihren jeweiligen Datenschutzbehörden Beschwerde einlegen. Nach Ansicht der Verbraucherschutzverbände fehle Google ein ausreichender rechtlicher Grund um diese Daten zu verarbeiten.

Google-Sprecher verweist nach dem Vorwurf der Verbraucherschützer auf die Möglichkeit des Ausschaltens der Tracking-Funktion, jedoch teilt ebenfalls mit, dass die Standort-Ortung auch nachdem sie ausgeschaltet sei, weiter Standort-Daten zur Nutzungsverbesserung sammele.

Es bleibt daher abzuwarten, ob die Beschwerde eingelegt wird und wie sich der Verbraucherzentrale Bundesverband in Deutschland zu diesem Thema äußert.

Instagram gesteht Datenpanne ein

19. November 2018

Bei der Abfrage der bei Instagram gespeicherten Daten haben Nutzer auch ihr Passwort unverschlüsselt sehen können.

Im Zuge der DSGVO-Umsetzung hat Instagram die „Download your data“-Option eingeführt. So konnten Nutzer eine Übersicht der über sie bei Instagram gespeicherten Daten bekommen. Bei der Abfrage war allerdings auch das Passwort ausgeschrieben in der URL im Browser sichtbar. Dies bedeutet, dass die Passwörter unverschlüsselt auf dem Server gespeichert waren, was die Sicherheitsstandards von Instagram in Frage stellt.

Nach dem Instagram das Problem aufgefallen ist wurde es direkt behoben. Nach eigenen Angaben seien nur wenige Nutzer betroffen. Die Betroffenen wurden informiert und gebeten ihre Passwörter zu ändern.

Ungeklärt bleibt, wie lange dieses „Datenleck“ bereits bestand und warum nur einige Nutzer betroffen sein sollten und nicht alle.

Cookienutzung: wenig Beeinflussung durch DSGVO

15. November 2018

Die internationale Mediaplattform „Teads“ hat in einem neuen Report ermittelt, dass nur fünf Prozent der europäischen Internetnutzer Werbe-Cookies aktiv vermeiden. Trotz zahlreicher Diskussionen über die neue DSGVO bleibt mithin die Datenbasis für personalisierte Werbung zunächst erhalten.

Jeder kennt Sie: Die Cookie-Banner, die von Europas Publisher auf den Websiten eingesetzt werden, um die Besucher der Website zu fragen, ob Sie den Einsatz von Cookies akzeptieren möchten. 62 % dieser Banner sind derart ausgestaltet, dass Nutzer die Werbe-Cookies akzeptieren oder ablehnen können. Im Durchschnitt entscheiden sich derzeit 95 % der Nutzer, die aktiv auf die Frage antworten, für Cookies, lediglich 5 % entscheiden sich aktiv gegen den Cookie-Einsatz.

Da sich etwa zwei Drittel der laut Comscore 300 weltweit führenden Online-Publisher im Vermarktungsnetzwerk von Teads befinden, ist diese Auswertung durchaus aussagekräftig.

Für Deutschland kann eine derartige Auswertung nicht vorgenommen werden. Es gibt keine Daten zur Cookie-Zustimmung, da die meisten deutschen Publisher keine explizite Zustimmung zur Cookie-Verwendung einholen. Diese stützen sich auf ihr berechtigtes Interesse, welches nach der DSGVO eine Datennutzung für Werbezwecke in gewissem Umfang erlaubt. Wenn der Nutzer Cookies nicht wünscht, muss er selbst im Browser den Einsatz deaktivieren.

Im Rahmen der personalisierten Werbung stellt der Einsatz von Cookies einen wesentlichen Faktor dar. Nach Inkrafttreten der DSGVO sollen individuelle Daten grundsätzlich nur noch mit ausdrücklicher Zustimmung des Nutzers erhoben werden. Lediglich das „berechtigte Interesse“ lässt gewissen Spielraum zu, der in Deutschland von den Publishern genutzt wird. Allerdings kann sich in der Hinsicht noch einiges verschärfen, wenn die geplante E-Privacy-Verordnung kommt. Dann könnte es auch in Deutschland Pflicht werden, ein Opt-In für jegliches Tracking einzuführen.

 

Bestandsdatenschutz – Bundesdatenschutzbeauftragte übt Kritik

12. November 2018

Die Bundesdatenschutzbeauftragte, Andrea Voßhoff, bezog vor dem Bundesverfassungsgericht Stellung zu einer Verfassungsbeschwerde gegen Bestandsdatenauskünfte. Voßhoff äußert Ihre Kritik darin, dass das Auskunftsrecht des Bundesamtes für Verfassungsschutz dazu führe, dass Behörden Auskünfte zur Identifizierung von Internetnutzern sowie zum Erhalt von Passwörtern nutzen könne, da das Gesetz weder Anlass, Umfang noch betroffenen Personenkreis beschränke.

Insbesondere kritisiert die Bundesdatenschutzbeauftragte, dass sich dem Bundeskriminalamt bereits im Vorfeld von Gefahren die Möglichkeit eröffne, Daten zu sammeln. Gemäß einer von Voßhoff dargelegten Kontrolle, stelle sich heraus, dass die Schwelle zu einer Erhebung von Daten sehr „niedrig“ sei, wodurch der Verfassungsschutz beliebige Daten zu Personen anreichern könne. Um Ihre Kritik zu untermauern, erläuterte Sie, dass in der Praxis Informationen von unschuldigen Personen oftmals in Akten zu verdächtigen Personen aufgeführt werden. 

Abschließend erläuterte Voßhoff, dass eine Nutzeridentifizierung künftig nur noch nach richterlicher Anordnung möglich sein solle. Die Entscheidung des Bundesverfassungsgerichts über die eingereichte Beschwerde ist noch abzuwarten.

1 2 3 4 5 61