Kategorie: Online-Datenschutz
22. Juli 2015
Den white-hat Hackern Charlie Miller und Chris Valasek, die bereits im letzten Jahr mit PKW-Hacks auf sich aufmerksam gemacht haben, ist es gelungen, einen Jeep Cherokee kabellos und ohne Kontakt zum Auto, aus großer Ferne zu hacken. Zunutze machten sich die beiden dabei das sogennante Uconnect System von Jeep, durch welches das Infotainment gesteuert wird. Da über dieses auch ein WLAN-Hotspot eingerichtet werden kann, verfügt das System über eine IP-Adresse, durch welche eine Online-Zugriffsmöglichkeit vorhanden ist. Den beiden “guten” Hackern gelang es durch eine Sicherheitslücke im System auch auf die Fahrzeugsteuerung zuzugreifen. Damit konnten sie aus beinahe 1000 km Entfernung die Scheibenwischer ihres Cherokee aktivieren. Auch ein Zugriff auf Sitzheizung und andere elektronische Systeme war möglich – bis hin zum Ausschalten des Motors bei voller Fahrt.
Im Selbstversuch schlug dem Journalisten Andy Greenberg während der Fahrt plötzlich laute Heavy-Metal Musik entgegen und andere elektronische Systeme aktivierten sich wie von Geisterhand. Dann wurde sein Wagen komplett lahmgelegt, das Gaspedal funktionierte nicht mehr. Er beschreibt seine Machtlosigkeit, als ihm die Kontrolle über den Wagen entrissen wurde. Während er auf der Interstate fuhr, saßen die Hacker in 15 km Entfernung in Keller von Charlie Miller, einem ehemaligen Apple-Programmierer, und hatten ihren Spaß mit dem eingeweihten Opfer.
Charlie Miller und Chris Valasek haben es sich zur Aufgabe gemacht, Sicherheitslücken in modernen PKWs ausfindig zu machen und die Industrie zu warnen. Die genaue Schwachstelle im System wollen sie erst noch bekannt geben. Klar scheint allerdings zu sein, dass sie Zugriff auf den CAN-Bus hatten, durch den auch mechanische Komponenten des Autos gesteuert werden.
Neben grundsätzlichen Fragen zur Sicherheit stellt sich in diesem Zusammenhang auch die Frage, ob Automobilhersteller bei einem “echten” Hack unter Umständen schadensersatzpflichtig werden, wenn aufgrund laxer Sicherheitsvorkehrungen ein Hack ermöglicht wird, der zu einem Unfall führt.
Auch der ADAC hat kürzlich enthüllt, dass es mit relativ einfachen Mitteln möglich ist, das ConnectedDrive System von BMW zu hacken.
10. Juli 2015
Die US-Regierungsbehörde United States Office of Personnel Management (OPM) ist jüngst wiederholt Opfer von Cyberattacken geworden. Die Behörde ist für die Verwaltung des Öffentlichen Dienstes in den Vereinigten Staaten verantwortlich.
Bei den Attacken dürfte es sich nach offiziellen Angaben um die bisher größte Cyberattacke auf eine amerikanische Regierungseinrichtung handeln. Betroffen sind personenbezogene Daten von ca. 21,5 Millionen Angestellten des Öffentlichen Dienstes; darunter neben aktuellen auch ehemalige Angestellte sowie eventuell Bewerber und Anwärter für Regierungsorganisationen. Auch solchen nahestehende Verwandte und Freunde, welche im Rahmen sogenannter Background-Analysen durchleuchtet wurden, zählen wohl zu den Opfern. Von den Betroffenen wurden neben Adressen, Sozialversicherungsnummern und Finanzangaben auch besonders sensible Gesundheitsdaten erbeutet – besonders brisant darunter wohl die über eine Million Fingerabdrücke. Die OPM verwaltet auch Zugangsberechtigungen und Sicherheitsscreenings.
Die Angriffe erfolgten wohl bereits im letzten Jahr in zwei Fällen, wurden seitens der OPM aber erst im April dieses Jahres erstmals entdeckt. Im Juni bestätigte sich dann die nun veröffentlichte Zahl der Betroffenen.
Darüber, inwieweit diese Daten vor Angriffen von außen gesichert waren, schweigt die Behörde. Sie hat inzwischen eine Informationsseite für Betroffene eingerichtet. Darauf findet sich kein Hinweis auf den Urheber der Attacken – bereits nach den ersten Meldungen über die Cyberattacke berief sich die Washington Post auf Regierungsvertreter, die hinter den Hackern die chinesische Regierung vermuten. Das chinesiche Dementi folgte wenig überraschend.
9. Juli 2015
In dieser Woche verhandelt der Erste Senat des Bundesverfassungsgerichts über sechs zugelassene Verfassungsbeschwerden gegen Regelungen im Bundeskriminalamtgesetze (BKA-Gesetz). Das Gesetz wurde im Jahr 2007 novelliert und enthält seit dem unter anderem Regelungen, die dem Bundeskriminalamt weitreichende Befugnisse zur Abwehr von Gefahren des internationalen Terrorismus einräumen. Insbesondere Maßnahmen zur verdeckten Observation von Wohnraum, Onlinedurchsuchungen und Telekommunikationsüberwachung werden durch die Normen legitimiert. Gestützt werden die Normen auf die Kompetenz des Bundesgesetzgebers zur Abwehr von Gefahren durch den internationalen Terrorismus (Art. 73 Abs. 1 Nr. 9a GG).
Konkret geht es in dem Verfahren um die Frage, ob die Befugnisse des Bundeskriminalamtes – speziell diejenigen zur Wohnraum-, Online- und Telekommunikationsüberwachung – die Privatsphäre der Betroffenen verletzen bzw. im Rahmen welcher Grenzen dies rechtmäßig ist.
Geklagt hatten Gerhart Baum (ehemaliger Bundesinnenminister), Michael Neumann (ehemaliger Herausgeber der Zeit) sowie Verbandsvertreter der Journalisten und Ärzte, wie heise online berichtet.
Die zu überprüfenden Normen sind sehr weit gefasst. So darf das BKA nur dann nicht verdeckt auf dargestellte Weise observieren, wenn es dabei ausschließlich Informationen aus den Kernbereichen der privaten Lebensbereiche der Betroffenen erlangt. Da aber beispielsweise auf nahezu jedem PC Daten aus sämtlichen Lebensbereichen einer Person – sei es dienstliche Infos wie auch privat-intime – vorhanden sind, geht die Überwachung zu weit, so das Kernargument der Beschwerdeführer. Darüber hinaus wird die erlaubte Weiterleitung von Überwachungsdaten an ausländische Dienste und Behörden kritisiert.
6. Juli 2015
Der österreichische Datenschutz-Aktivist Max Schrems hatte dem sozialen Netzwerk Facebook im Rahmen einer Sammelklage, an der sich rund 250.000 Nutzer beteiligten (wir berichteten darüber), unter anderem ein Ausspähen des Surfverhaltens und ungültige Datenschutzbestimmungen vorgeworfen. Jetzt wurde die Klage vom Landgericht Wien als unzulässig zurück gewiesen, das Gericht erklärte sich für unzuständig.
Nach Auffassung des Gerichts handelte Schrems nicht mehr als Verbraucher, sondern verfolge mit seinem Vorgehen inzwischen auch berufliche Interessen. Mithin müsse er sich an ein Gericht in Irland wenden, wo Facebook seinen eurpäischen Sitz hat.
Schrems kündigte unmittelbar nach dem Beschluss Rechtsmittel an. Das Verfahren wird dann vor dem Oberlandesgericht fortgesetzt werden. Es handelte sich formal um eine Schadenersatzklage mit einem eher symbolischen Betrag von 500 Euro pro Kläger.
25. Juni 2015
Zum Sweep-Day, einer internationalen Prüfaktion des Global Privacy Enforcement Networks (GPEN), wurden Apps für Kinder und Jugendliche von weltweit 28 Datenschutzbehörden auf ihre Datenschutzkonformität geprüft. Das Ergebnis ist teilweise erschreckend. Wie heise online über den groß angelegten Test berichtet, verfügten gerade einmal drei Viertel der untersuchten Apps über eine Datenschutzerklärung, von denen nur rund die Hälfte der Erklärungen formal richtig waren. Lediglich 30 Prozent der deutschsprachigen Versionen waren auch mit einer deutschen Datenschutzerklärung versehen.
Ein weiteres großes Manko brachte die Prüfaktion ans Licht: Eltern haben viel zu geringe Überwachungs- und Eingriffsmöglichkeiten. Dies betreffe insbesondere mangelhafte oder nicht vorhandene Zugangsbeschränkungen bei Bilddaten, wie zum Beispiel das Hochladen von eigenen Fotos. Mehr als ein Drittel der untersuchten Apps verwendet Werbung und bindet In-App-Käufe ein, die von den meist minderjährigen Nutzern ohne Einverständnis der Eltern getätigt werden können.
Von deutscher Seite hatten an der Prüfaktion im Rahmen des „Sweep-Day“ Datenschutzbehörden aus Berlin, Bayern und Hessen teilgenommen.
22. Juni 2015
Spätestens seit dem Hackerangriff auf das Netz des Deutschen Bundestages und der Verabschiedung des Entwurfs eines IT-Sicherheitsgesetzes (wir berichteten darüber) ist das Thema Cybersicherheit in Deutschland in aller Munde. Da erscheinen die beiden Sicherheitsstudien von IBM zum passenden Zeitpunkt und erweitern die Diskussion um die Absicherung von IT-Systemen und Netzwerkern um neue Informationen: Etwa die Hälfte (55%) der Attacken stammt aus den Reihen von ehemaligen Angestellten, Dienstleistern mit Systemzugriff oder Mitarbeitern als Opfer von Kriminellen, so der Cyber Security Intelligence Index. Teilweise handeln diese Personen jedoch arglos oder die Schadsoftware gelangt etwa beim Klicken auf präparierte Links in Spam-E-Mails in das System. Um die Angriffsfläche durch derartige Insider zu verringern, kann ein durchgängiges Identitätsmanagement, also die Verwaltung von Benutzerdaten und damit die Zuordnung Zugriffsberechtigungen, bereits sicher helfen.
Der X-Force Threat Intelligence Report stellt heraus, dass daneben mit Schadsoftware infizierte Spam-Mails inzwischen eine echte Sicherheitsbedrohung darstellen. Der Bericht gibt Empfehlungen, wie solche Angriffe zu verhindern, oder zumindest zu verringern sind.
IBM identifizierte im Jahr 2014 in den beobachteten Unternehmen 81 Sicherheitsvorfälle (das sind rund 11% weniger als im Vorjahr), darunter rund 12.000 Cyberattacken (also Vorfälle, bei denen schadhafte Aktivitäten identifiziert werden konnten, bei denen ein Angriff auf das Netzwerk oder bestimmte Informationen versucht wurden). Die am meisten betroffenen Branchen sind Finanz- und Versicherungsdienstleister (über 25%), Informations- und Kommunikationsunternehmen (über 19%) und die herstellende Industrie (knapp 18%).
17. Juni 2015
Vergangene Woche hat der Bundestag den Entwurf eines neuen IT-Sicherheitsgesetzes verabschiedet. Die jüngsten Berichte über den Hacker-Angriff auf den Bundestag verdeutlichen die drohenden Gefahren durch Cyber-Attacken. Mit den nun verabschiedeten Regelungen beabsichtigt der Gesetzgeber solchen Gefahren eine geringere Angriffsfläche zu bieten. Die Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität von informationstechnischen Systemen (IT-Systemen) zu gewährleisten, ist der Zweck der Neuerungen zum IT-Sicherheitsgesetz.
Die störungsfreie Nutzung von IT-Systemen ist für Staat, Wirtschaft und Gesellschaft von überragender Bedeutung. Dementsprechend gravierend wären die Schadensausmaße, wenn unbefugte Dritte sich Zugriff auf IT-Systeme - beispielsweise von Energieversorgern oder Krankenhäusern – verschafften. Vor diesem Hintergrund hat der Gesetzgeber nun den Kreis derer erweitert, die zukünftig bestimmte Sicherheitsstandards umzusetzen haben. Welche Verpflichtungen sich hieraus ergeben, soll im Folgenden kurz dargestellt werden.
Eine wesentliche Neuerung des Gesetzesentwurfs liegt in den eingeführten Pflichten der Betreiber sogenannter „Kritischer Infrastrukturen“. Adressaten der Regelungen sind entsprechend der Definition Anbieter solcher Dienstleistungen, die den Sektoren Energie, Wasser, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Ernährung sowie dem Finanz- und Versicherungswesen angehören.
Nach Inkrafttreten des Entwurfes des IT-Sicherheitsgesetzes wird der Gesetzgeber in einer Rechtsverordnung konkrete Dienstleistungen dieser Sektoren festlegen, so dass sich auf dieser Grundlage genau bestimmen lässt, wer Betreiber einer Kritischen Infrastruktur ist.
Von dem Anwendungsbereich des IT-Sicherheitsgesetzes ausgenommen sind jedenfalls sogenannte „Kleinstunternehmen“. Kleinstunternehmen im Sinne der Vorschriften des IT-Sicherheitsgesetzes sind solche, bei denen weniger als 10 Personen beschäftigt sind und deren Jahresumsatz unter dem Betrag von € 2 Mio. liegt.
Gehört ein Unternehmen zukünftig hingegen zu den Betreibern Kritischer Infrastrukturen treffen ihn besondere Pflichten, die er gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (Bundesamt) als zuständige Stelle zu erfüllen hat.
Zukünftig besteht die Verpflichtung angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen für IT-Systeme einzuführen. Eine organisatorische und technische Vorkehrung ist angemessen, wenn die Belastung, welche für das Unternehmen durch ihre Implementierung entsteht, im Verhältnis zu dem Ziel , welches durch sie erreicht werden soll, nicht unverhältnismäßig groß ist. Diese Vorgabe der technischen und organisatorischen Vorkehrungen hat der Gesetzgeber bewusst offen formuliert. An dieser Stelle haben Branchen- und Interessenverbände der betroffenen Adressaten die Möglichkeit, eigene Maßstäbe zu definieren. Aufgrund ihres branchenspezifischen Fachwissens sollen die Interessenverbände gut die Angemessenheit von Vorkehrungen beurteilen können.
Die Verwendung von Mindeststandards haben die einzelnen Unternehmer alle zwei Jahre gegenüber dem Bundesamt nachzuweisen. Die Nachweise können durch Zertifikate, Prüfungen oder Sicherheitsaudits erbracht werden. Auch hier hat der Gesetzgeber den Branchenverbänden einen Gestaltungsspielraum bezüglich der konkreten Anforderungen an mögliche Nachweise eingeräumt.
Des Weiteren haben Unternehmen innerhalb von sechs Wochen nach Inkrafttreten des Gesetzes eine Kontaktstelle einzurichten, über welche die Korrespondenz mit dem Bundesamt abgewickelt werden soll.
Schließlich normiert das Gesetz eine Meldepflicht für Bertreiber Kritischer Infrastrukturen gegenüber dem Bundesamt. Treten erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit informationstechnischer Systeme, ihrer Komponenten oder Prozesse, auf, die zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen führen können oder bereits geführt haben, muss dies dem Bundesamt durch die Kontaktstelle gemeldet werden.
Für Diensteanbieter im Sinne des Telemediengesetzes sei schließlich erwähnt, dass die nicht-Verwendung der Mindeststandards bußgeldbewehrt ist.
Ob es letztendlich tatsächlich zu einer erhöhten Sicherheit von IT-Systemen kommt, bleibt abzuwarten.
12. Juni 2015
Wie schnell Unternehmen die Kontrolle über vertrauliche Daten verlieren können, zeigt die Recherche eines Teams der Nachrichten-Website Heise online. In diesem Falle wurde gezielt nach der Datenleck-Stelle „Intranet“ gesucht. Aufwendige Tools braucht man dafür genauso wenig wie besonderes Expertenwissen: Die Recherche funktioniert über Google.
Dabei wurde der Suchoperator einfach so konfiguriert, dass die Suchmaschine nur Inhalte herausfiltert, welche Intranets entstammen („inurl:intranet“). Damit konnten zahlreiche Dokumente gefunden werden, welche nie für eine Öffentlichkeit bestimmt waren, und zudem personenbezogene Daten im Sinne des § 3 Absatz 1 Bundesdatenschutzgesetz (BDSG) beinhalteten. Neben Geburtsdaten, Telefonnummern und Angaben mit familiärem Bezug wurden sogar Dokumente online gefunden, welche Gesundheitsdaten aufführten – besonders sensible personenbezogene Daten also, welche der Gesetzgeber im Bundesdatenschutzgesetz unter ein erhöhtes Datenschutzniveau stellt.
Offenkundig wurden solche Dokumente von Mitarbeitern der betroffenen Unternehmen selbst aus dem Intranet heraus online verfügbar gemacht – wohl unwissentlich.
Wie sicher betriebliche Prozesse ablaufen, liegt dabei in der Hand der Unternehmen selbst. Wer seine Prozesse hinterfragt, seine Mitarbeiter durch Schulungen sensibilisiert und die technischen und organisatorischen Maßnahmen zum Datenschutz regelmäßig aktualisiert, vermeidet leicht solche Datenpannen, die mitunter nicht nur bußgeldbewährt sein können, sondern auch die Unternehmensreputation nachhaltig schädigen können. Die Hinzuziehung eines externen Datenschutzbeauftragten kann dabei eine sinnvolle Investition darstellen, die dazu beiträgt, Haftungsrisiken abzuwenden und Kosten zu minimieren.
11. Juni 2015
Wie heise online berichtet, soll eine US-Behörde – vermutet wird das FBI – WhatsApp-Chats von Terrorverdächtigen in Belgien überwacht haben.
Dass die Polizei eine gezielte Razzia gegen mutmaßliche Jihadisten durchführen konnte, soll laut heise auch ein Verdienst der US-Kollegen gewesen sein. Diese sollen nämlich in der Lage gewesen sein, individualisierte Mobilfunknummern und mit diesen verknüpfte WhatsApp-Konten, auszuspähen und deren Kommunikation zu belauschen, die dann wiederum von den belgischen Behörden ausgewertet werden konnten. Bei der Razzia wurden 16 Personen festgenommen, von denen die meisten allerdings wieder freigelassen wurden.
Der Messenger WhatsApp gilt unter Datenschutzaspekten als eher unsicher. Eine Ende-zu-Ende-Verschlüsselung gibt es erst seit einem halben Jahr. Deshalb gerät der Messenger auch immer wieder in Kritik insbesondere was Datenschutz und Datensicherheit seiner Nutzer angeht. Aus diesem Grund halten sich hartnäckig Vermutungen, dass WhatsApp-Kommunikationen besonders von Geheimdiensten überwacht werden. Dokumentiert war dies allerdings bislang nicht, wie heise weiter ausführt.
So stellt sich natürlich nicht nur die Frage nach den rechtlichen Grundlagen für das Ausspähen des Messengers, sondern auch, in welchem Ausmaße und von wem genau dies durchgeführt wird und was die (unschuldig) ausgespähten Betroffenen dagegen tun können. So lange es keine handfesten Informationen hierüber gibt, muss davon ausgegangen werden, dass eine Überwachung via WhatsApp – zumindest theoretisch – nahezu jederzeit möglich ist und jeden treffen kann.
8. Juni 2015
Bisher war es sehr schwierig, die Kontoeinstellungen verschiedener Google-Dienste synchron und zum Schutz seiner personenbezogenen Daten einzurichten, doch seit der vergangenen Woche hat Google die Verwaltung von Gmail-, Youtube- oder Blooger-Accounts wesentlich übersichtlicher und damit nutzerfreundlicher gestaltet. Unter https://myaccount.google.com/ sind unter dem Unterkapitel “Persönliche Daten und Privatssphäre” eine Reihe von Instrumente und Einstellungen abrufbar, die den Schutz der Privatsphäre des Einzelnen erleichtern. So kann man beispielsweise das Sammeln von Informationen zum Standortverlauf einfach ausschalten, ebenso wie auch die sogenannte „interessenbezogene Werbung“ (darunter sind Anzeigen zu verstehen, die sich nach den Nutzer-Aktivitäten auf Google oder den besuchten Internetseiten orientieren).
Dieser Entwicklung voraus gegangen war ein Verwaltungsverfahren, in dem der Hamburgische Beauftragte für Datenschutz und Informationssicherheit durch Widerspruchsbescheid Google verpflichtet hatte, die Verarbeitung personenbezogener Daten deutscher Nutzer in zulässiger Weise zu organisieren. Die Nutzer müssten “künftig selbst über die Verwendung der eigenen Daten zur Profilerstellung entscheiden können“, so Johannes Caspar.
Die neuen Möglichkeit für den Nutzer, zumindest die Kontrolle über seine Kontoeinstellungen selbst in die Hand zu nehmen, könnte ein erster Schritt in Richtung der Umsetzung der Forderungen des Datenschützers sein. Ob sie tatsächlich den gewünschten Effekt einer Stärkung der Rechte deutscher Nutzer von Google-Diensten zeigen, wird noch zu überprüfen sein.
Pages: 1 2 ... 54 55 56 57 58 ... 90 91 
