Kategorie: Online-Datenschutz

Gravierende Sicherheitslücke im osCommerce Shopsystem

4. August 2011

Nach einem Bericht des Amorize Malware Blogs nutzen Unbekannte mehrere seit Längerem bekannte Lücken einer veralteten Version des quelloffenen Shopsystem osCommerce zur Verbreitung von Schadcode aus. Dieser versucht bei Besuchern der infizierten Onlineshops nach Möglichkeit Schadsoftware zu installieren. Nach Recherchen von Amorize ist die Anzahl der infizierten Seiten innerhalb kürzester Zeit von knapp 92.000 Seiten (24.07.2011) auf über 3,4 Millionen Seiten (31.07.11) gestiegen. Aktuell gibt die Suchanfrage, die auf betroffene Seiten hindeutet, eine Anzahl von 5,1 Millionen Seiten an.

Die Sicherheitslücken in osCommerce sind bereits seit Erscheinen der Version 2.3 im November 2010 behoben. Aktuell stehen sowohl die Version 2.3.1 als auch 3.0.1 zum Download zur Verfügung. Daher gilt für Shopbetreiber, die auf die Open-Source Software setzen, dass sie nach Möglichkeit eine der aktuellen Versionen installieren und nicht dem gefährlichen Grundsatz „never change a running system“ folgen sollten.

Auf Endnutzerseite versucht der eingeschleuste Schadcode Lücken in Java, dem Adobe Reader, dem Windows Hilfecenter sowie dem Internet Explorer auszunutzen. Auch diese Lücken sind allesamt seit Langem geschlossen und stellen mithin für den Nutzer, der sein System regelmäßig updatet, keine Gefahr da. Windowsnutzern, andere Betriebssysteme sind nicht betroffen, ist daher zu raten, die automatische Updatefunktion des Betriebssystems zu nutzen, welche Microsoftprodukte auf dem neuesten Stand hält. Auch gängige Fremdanbieterprogramme, wie z.B. der Adobe Reader, lassen sich weitgehend automatisch und zentralisiert aktualisieren. Dazu ist jedoch die Installation einer Zusatzsoftware notwendig.

Update vom 16.08.11:

Nachdem wir bereits vor einiger Zeit über die gravierenden Sicherheitslücken in osCommerce berichtet haben, hat nun auch das Bundesamt für Sicherheit in der Informationstechnik auf die „massenhafte Kompromittierung von Online-Shops“ und den daraus resultierenden „akuten Handlungsbedarf“ hingewiesen. Dies bekräftigt einmal mehr, dass die Lücke nicht auf die leichte Schulter genommen werden sollte. (se)

Kategorien: Online-Datenschutz

Wirtschaftsvertreter reagieren auf mögliche Weitergabe von Cloud-Daten an US-Behörden

Nach der Reaktion der Datenaufsichtsbehörden zu dem Eingeständnis Microsofts, dass US Firmen unter Umständen auch innerhalb Europas gespeicherte Cloud Daten an die US Behörden weitergeben müssen, äußerten sich nach einem Bericht der Financial Times nun auch Unternehmensvertreter zu den Auswirkungen dieser Praxis. IT-Verantwortliche aus Europa gaben demnach bei einer Serie von privaten Financial Times Meetings in Deutschland und der Schweiz bekannt, dass man US Cloud Service Anbieter meiden werde, da nicht einmal sicher gestellt sei, dass man im Falle eines Zugriffs auf die Daten darüber informiert würde. Ein Teil der Befragten wollten daraus die Konsequenz ziehen, auf Cloud-Dienste komplett zu verzichten, während andere Teilnehmer der Meetings lokalen Anbietern den Vorzug geben möchten.

Alan Murphy, der bei F5 Networks für Virtualisierung und Cloud Services zuständig ist, sieht in der zweiten Alternative mehr eine Chance, denn eine Notlösung. Nach Angaben der Financial Times führte er aus, dass gerade auf Grund der Weigerung der europäischen Wirtschaft in Zukunft US basierte Dienste zu nutzen, kleinere lokale Anbieter die Chance erhielten, auf Kosten der bekannten Marktgrößen Kunden zu gewinnen. Dazu müssten die kleinen Anbieter nach seiner Ansicht nur garantieren, dass ihre Cloud Angebote den örtlichen Datenschutzanforderungen entsprechen.(se)

Skandinavien befragt Facebook zum Datenschutz

21. Juli 2011

Das soziale Internet-Netzwerk Facebook soll nach der gemeinsamen Aktion von Datenschützern aus Norwegen, Schweden, Dänemark und Finnland Auskunft über den Umgang mit persönlichen Benutzerdaten geben.

Die norwegische Datenschutzbehörde hat dem kalifornischen Konzern im Namen aller vier oben genannten Staaten einen Fragenkatalog mit 45 Fragen eingereicht. Es geht um Informationen über Erhebung, Verbreitung oder Nutzung personenbezogener Daten (z.B. bei der Nutzung des „Gefällt-mir“-Button oder der Funktion „Fotos-Hochladen“). Facebook muss bis Ende August jede Frage möglichst ausführlich und gleichzeitig kurz beantworten.

„Es handelt sich dabei um eine gemeinsame Aktion, um bessere Kenntnisse darüber zu erhalten, wie das größte soziale Netzwerk der Welt persönliche Informationen behandelt“, erklärte der Chef der schwedischen Datenschutzbehörde, Hans-Olof Lindblom, in Oslo.

Dieses soziale Internet-Netzwerk wurde im Jahr 2004 von Mark Zuckerberg gegründet und zählt heutzutage 750 Millionen Nutzern weltweit. In Deutschland hat Facebook fast 20 Millionen aktive Mitglieder.

Hacking-Angriff auf Handelskonzern Rewe und dessen Tochter Penny

18. Juli 2011

Unbekannten ist es gelungen, in zwei Datenbanken des Netzwerkes des Handelskonzerns Rewe einzudringen und Kundeninformationen in Form von Anmeldedaten für die Teilnahme an Internet-Tauschbörsen und der Teilnahme an der Fußballsammelkartenaktion auszuspähen. Betroffen sein sollen Name, E-Mail-Adresse und Passwörter der Kunden, nicht hingegen deren Bank- oder Kreditkarteninformationen.

Nach Presseberichten soll die Sicherheitslücke mittlerweile behoben sein und der Datenschutz könne wieder gewährleistet werden. Nicht sicher feststellbar sei allerdings, wie lange die Sicherheitslücke bestanden hat.

Update:

Nach einem Pressebericht scheint mittlerweile auch die Rewetochter Penny das Ziel eines Angriffs geworden zu sein. Unbekannte haben auf dem Texthoster Pastebin.com Dateien veröffentlich, die angeblich Accounts und Passwörter von Penny und Nexum Mitarbeitern enthalten. Nexum ist für den Webauftritt von Rewe und Penny verantwortlich. Laut einem Kommentar, der dem mutmaßlichen Täter zugeordnet wird, hätte er Zugriff auf die Kundendaten erlangen können, habe dies aber unterlassen. Penny.de wurde bis zur Klärung der Vorkommnisse vom Netz genommen und ist momentan nicht zu erreichen. (se)

Folgen der Weitergabe von Cloud-Daten an US-Behörden

13. Juli 2011

Wie bereits berichtet, hat Microsoft offen zugegeben, auch in Europa gespeicherte Daten seines Dienstes Office 365 unter Umständen an US-Behörden weitergeben zu müssen.

Sogleich haben die deutschen Aufsichtsbehörden hierzu eine Reaktion gezeigt: Nach einer Meldung von heise online sieht Dr. Thilo Weichert vom Unabhängigen Landeszentrums für Datenschutz Schleswig Holstein (ULD) in einer solchen Datenweitergabe aus dem EU-Gebiet heraus einen Widerspruch zum europäischem Datenschutzrecht. Ein drohender Zugriff von US-Behörden stelle die Vertraulichkeit der gespeicherten Daten infrage und entziehe bestehenden Verträgen zur Datenverarbeitung somit die Grundlage. Auf Grund dessen lasse sich sowohl ein Sonderkündigungsrecht ableiten als auch die Feststellung treffen, dass Microsoft als Anbieter von Cloud-Lösungen wie Office 365 und Windows-Azure für personenbezogene IT-Dienstleistungen ausscheide. Als Alternative käme ferner der Bezug von Office 365 über T-Systems infrage, da dieser Anbieter seinen Nutzern zusichert, dass die Daten ausschließlich auf „unter eigener Kontrolle stehenden“ Servern gespeichert werden.

Dies zeigt einmal mehr, dass das Feld des Cloud Computing in Bezug auf Datenschutz rechtlich immer noch ein Minenfeld ist. (se)

Update:

Auch seitens der EU-Kommission liegt nunmehr eine Reaktion vor: Matthew Newman, der Pressessprecher der für Justiz-, Grundrechts- und Bürgerschaftsbelange zuständigen EU-Kommisarin Viviane Reding, hat sich gegenüber CHIP Online zu der Datenübermittlung in die USA im Rahmen des Patriot Acts geäußert. Nach seinem Verständnis muss sich dabei „jedwede Übertragung personenbezogener Daten in Drittstaaten (…) an die grundlegenden Prinzipien des Datenschutzes in der EU halten“. Wenn ein Drittland Zugriff auf Daten aus dem EU-Raum erlangen wolle, setze dies voraus, „die etablierten offiziellen Kommunikationswege zwischen öffentlichen Ämtern benutzen“.

Zur abschließenden Regelung des Problems hält Newman es für unerlässlich, „eine allumfassende Vereinbarung zwischen der EU und den USA über die gemeinsamen Datenschutz-Prinzipien zu treffen, um die personenbezogenen Daten, die ausgetauscht werden, im Kontext der Verbrechens- und Terrorismusbekämpfung zu schützen.“ (se)

Änderung des Telemediengesetzes: Mehr Schutz und Transparenz für Nutzer

11. Juli 2011

Der Bundesrat hat einen Gesetzesentwurf zur Änderung des Telemediengesetzes (TMG), der der mangelnden Transparenz bei der Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch Diensteanbieter Abhilfe schaffen soll, in den Bundestag eingebracht.

Wegen der besonderen Gefahren für Persönlichkeitsrechte sollen danach u.a. Diensteanbieter von nutzergenerierten Inhalten zusätzliche Schutzpflichten einhalten. Diese beinhalten etwa bei Neuanmeldungen für soziale Netzwerke die standardmäßige Voreinstellung der höchsten Sicherheitsstufe, die ausschließlich durch den Nutzer reduziert werden kann, und die standardmäßige Verhinderung der Auffindbarkeit und Auslesbarket mittels externer Suchmaschinen. Den Nutzern soll künftig auch ohne technisches Hintergrundwissen die Gelegenheit gegeben werden, datenschutzrechtliche Transparenz zu erhalten und selbst zu veranlassen, dass die im Telemediendienst veröffentlichten personenbezogenen Daten gelöscht, gesperrt oder anonymisiert werden.

Der Gesetzentwurf wurde bereits der Bundesregierung zugeleitet, die zur Darlegung ihrer Auffassung bis Ende Juli aufgefordert wurde.

Kategorien: Online-Datenschutz
Schlagwörter:

US-Behörden erhalten Zugriff auf Cloud-Daten, die in Europa gespeichert sind

2. Juli 2011

Gordon Frazer, Managing Director bei Microsoft UK, räumte zum Start des Online-Office-Dienstes Office 365 ein, dass US-Behörden auch dann Zugriff auf Daten gewährt werden müsste, wenn diese physikalisch auf europäischen Servern gespeichert sind.

Auf Grundlage des USA Patriot Acts ist ein solcher Zugriff dann nicht auszuschließen, wenn eine Firma ihren Hauptsitz in den USA hat oder alle Anteile von einer US-Mutterfirma gehalten werden. Neben Microsoft sind auch sonstige Internetgrößen wie Amazon, Apple und Google betroffen. Dies wird auch durch die Aussage Frazers, dass weder Microsoft noch andere Firmen die Garantie geben könnten (, dass den US-Behörden kein Zugriff auf die Daten gewährt wird), deutlich.

Nach Möglichkeit würden die Kunden aber von einem solchen Zugriff unterrichtet. Die Einschränkung „nach Möglichkeit“ ist notwendig, da bestimmte US-Behörden wie das FBI einen National Security Letter erlassen können, welcher es den betroffenen Stellen verbietet, Informationen über die Anfrage weiterzugeben (sogenannte Gag order).

Insgesamt wurde damit zum ersten Mal eine solche Zugriffsmöglichkeit explizit bestätigt. Unternehmen, die den rechtlichen Anforderungen des Datenschutzes beim Cloud-Computing Genüge tun wollen, kann somit vorerst nur geraten werden, ihre Daten einem europäischen Anbieter anzuvertrauen. (se)

Bundesrat möchte Datenschutz in sozialen Netzwerken stärken

22. Juni 2011

Bisher schalten die Betreiber sozialer Netzwerke neue Funktionalitäten oftmals frei, ohne ihre Nutzer um Zustimmung zu fragen. Das prominentestes Beispiel der letzten Zeit dürfte hierbei die von Facebook eingeführte Gesichtserkennung sein. Dieses datenschutzrechtlich regelmäßig mehr als fragwürdige Verhalten ist nun auch in das Blickfeld des Bundesgesetzgebers geraten.

Das Ziel eines durch Hessen in den Bundesrat eingebrachten Entwurfs zur Änderung des Telemediengesetzes ist es daher, für den Nutzer transparenter darzustellen, wie seine personenbezogenen Daten durch Telemediendienste erhoben, verarbeitet oder genutzt werden.  Um eine unreflektierte Preisgabe personenbezogener Daten, deren Bedeutung sich insbesondere Jugendliche oft nicht bewusst sind, zu vermeiden, sieht der Entwurf konkret folgende Maßnahmen vor:

  • Standardmäßig soll der Dienstanbieter immer die höchstmögliche Sicherheitsstufe als Voreinstellungen wählen. Diese kann der Nutzer dann nach eigenem Belieben lockern.
  • Die Dienstanbieter sollen dazu verpflichtet werden, eine Voreinstellung zu wählen, die Nutzerinhalte nicht durch externe Suchmaschinen wie Google oder Bing durchsuchbar und indizierbar macht.
  • Insgesamt sollen die Anbieter stärker über die Risiken, die mit der Veröffentlichung persönlicher Daten im Internet einhergehen, aufklären.
  • Der Nutzer soll immer die Möglichkeit haben, die Löschung, Sperrung oder Anonymisierung seiner veröffentlichten Daten zu veranlassen.

Insbesondere das Vorhaben, die Anbieter zur Voreinstellung der höchstmöglichen Sicherheitsstufe zu verpflichten, widerspricht dem Ansinnen der Betreiber sozialer Netzwerke, die Daten möglichst breit verfügbar und damit auch für Werbekunden lukrativ zu machen. Man darf daher gespannt sein, ob diese den Online-Datenschutz betreffenden Änderungen tatsächlich Niederschlag im TMG finden und auch in der Praxis umgesetzt werden.

Massenhafter Angriff auf Firmen der Videospielebranche

15. Juni 2011

Die Hackergruppierung Lulzsec, welche sich für die erfolgreichen Angriff auf Sony verantwortlich zeichnet, hat innerhalb der letzten Woche weitere bedeutende Firmen der Videospielebranche erfolgreich angegriffen.

Besonders schlimm getroffen hat es Codemasters. Dort besteht die Möglichkeit, dass Mitgliedsnamen, Benutzernamen, Bildschirmnamen, E-Mail-Adressen, Geburtsdaten, verschlüsselte Kennwörter, Newsletter-Voreinstellungen, Benutzerbiographien, IP-Adressen und Xbox Live-Gamertags ausgelesen wurden. Codemasters entschied sich daher die Website codemasters.com offline zu nehmen und auf die Facebook-Präsenz umzuleiten.

Zu den weiteren Betroffenen zählen Bethesda (Zugriff auf Nutzernamen, E-Mail Adressen, Passwörter) und Epic Games (Zugriff auf E-Mail Adressen, Passwörter).

Bei Nintendo hingegen wurden keine sensiblen Daten entwendet, sondern nur Zugriff auf eine Konfigurationsdatei erlangt, da Nintendo die zum Angriff verwendete Lücke bereits geschlossen hat.

Neben Firmen der Videospielebranche wurden mittlerweile jedoch auch andere Ziele angegriffen. Prominentestes Beispiel dürfte dabei die Sicherheits-Organisation InfraGard sein, welche eine Verbindung zwischen dem FBI und US-Privatunternehmen herstellt, um die USA durch die Verzahnung von Regierungsbehörden und Privatfirmen vor groß angelegten Cyber-Angriffen zu schützen.

Einen besonderen „Spaß“ erlaubte sich die Gruppe, die sich auch bei Twitter ihrer Taten berühmt, beim Hack einer Website für Erwachsenenunterhaltung. In diesem Fall wurden die Nutzerdaten nach Entwendung veröffentlicht. Diese Veröffentlichung wurde mit der Empfehlung verbunden, die Passwörter bei Facebook zu testen und den Bekanntenkreis der Betroffenen über deren Treiben zu informieren.

Dieses kriminelle Treiben macht einmal mehr deutlich, dass Nutzer für jeden Dienst ein anderes Passwort verwenden sollten. Auch der Online-Datenschutz bei Firmen und Behörden muss bereits damit beginnen, dass die Angestellten für den Firmenzuganng nicht dieselben Passwörter verwenden wie für andere Dienste. So wurden in der oben angesprochenen Liste mit Zugangsdaten die Adressen von staatlichen Stellen besonders hervorgehoben. Sollte in diesem Fall das angegebene Passwort auch Zugang zu den entsprechenden Benutzerkonten gewähren, wäre der Schaden weitaus größer, als dass die Betroffenen peinlich berührt sind.

Abseits dieses Ausspähens von Daten hat Lulzsec auch eine Reihe von Zielen durch DDoS Attacken vorübergehend in die Knie gezwungen:

Solche DDoS-Angriffe werden mittlerweile von der Rechtsprechung als Staftat im Sinne des §303b StGB angesehen.

Mit weiteren Angriffen ist zu rechnen, da Lulzsec eine telefonische Hotline für die Entgegennahme von neuen Zielen geschaltet hat.

 

RSA: Austausch von 40 Millionen Zugangsschlüsseln

10. Juni 2011

Anfang März dieses Jahres haben sich Unbekannte Zugriff auf die Datenbank des Sicherheitsdienstleisters RSA verschafft und auf diese Weise geheime Informationen über das Berechnungsverfahren von Zugangscodes für das Sicherheitssystem „SecurID“ erlangt, das die Zwei-Faktor-Authentifizierung mittels Tokens und Passworts aushebeln kann. Dieses Insiderwissen sollen diese Unbekannten  jüngst eingesetzt haben, um einen Hackingangriff auf den US-Rüstungskonzern Lockheed Martin, welcher „SecurID“ einsetzt, durchzuführen. Um Gefahren für die rund 30.000 Kunden, die „SecurID“ im Einsatz haben, zu unterbinden, tauscht RSA nun rund 40 Millionen seiner Zugangsschlüssel aus.

1 59 60 61 62 63