Schlagwort: Bundesamt für Sicherheit in der Informationstechnik

BSI-Studie zu Windows 10

21. November 2019

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt zur Überprüfung von Windows 10 das Projekt „SiSyPHuS Win10“ (Studie zu Systemintegrität, Protokollierung, Härtung und Sicherheitsfunktionen in Windows 10) durch. Es sollen die sicherheitskritischen Funktionen einer Nutzung von Windows 10 bewertet und Rahmenbedingungen und Empfehlungen für einen sicheren Einsatz von Windows 10 erstellt werden.

Das BSI hat die Ergebnisse des ersten Teilbereichs der Studie nun veröffentlicht. In diesem ersten Projektteil werden die Telemetriefunktionen von Windows10 analysiert. Nach Einschätzung des BSI werden trotz verschiedener Konfigurations-Level stetig Daten übertragen. Eine vollständige Unterbindung der Erfassung und Übertragung von Telemetriedaten durch Windows sei zwar technisch möglich, für den einfachen Nutzer allerdings nur schwer umzusetzen.

Zu diesem Zusammenhang haben die Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) ein Prüfschema für Unternehmen, die das Microsoft Betriebssystem Windows 10 benutzen, veröffentlicht. Kernpunkt ist die regelmäßige Übertragung von Nutzerdaten in die USA. Die Aufsichtsbehörden stellen fest, dass eine vollständige Unterbindung des Datentransfers „aktuell nicht möglich“ sei. Nach Ansicht der Aufsichtsbehörden sollte zunächst sichergestellt und dokumentiert werden, welche personenbezogenen Daten an Microsoft übermittelt werden. Allerdings ist dies wegen des fortlaufenden Veränderns und Hinzufügens von Funktionalität durch Microsoft nicht möglich. Generell lasse sich die Frage, ob Windows 10 datenschutzkonform ist, nicht beantworten. Nach Einschätzung der deutschen Aufsichtsbehörden müssten die verantwortlichen Nutzer in Unternehmen und Behörden eben „das Restrisiko“ so minimieren, dass es „tragbar“ sei.

Datensatz mit gestohlenen Login-Informationen aufgetaucht

18. Januar 2019

Im Internet ist ein 87 Gigabyte großer Datensatz mit gestohlenen Login-Informationen aufgetaucht. Betroffen sind 773 Millionen E-Mailadressen und über 21 Millionen Passwörter.

Die Daten stammen nach ersten Informationen nicht aus einem einzelnen Hack, sondern sind aus verschiedenen zusammengetragen worden. Der Datensatz enthält Informationen von 12.000 Domains und verschiedenen Web-Diensten.

Die Existenz des Datensatzes wurde von dem australischen IT-Sicherheitsexperten Troy Hunt auf seiner Homepage publik gemacht, der den Datensatz als Collection #1. Der Experte schreibt, dass er zunächst von Bekannten auf den Datensatz aufmerksam gemacht worden ist und die Daten ursprünglich bei einem Filehosting-Anbieter verfügbar waren, wo sie inzwischen aber nicht mehr zu finden sind.

Sie haben die Möglichkeit selbst zu überprüfen, ob Ihre Daten betroffen sind. Zur Prüfung muss lediglich die eigene Adresse in das Suchfeld eingegeben und auf „pwned?“ geklickt werden. Der von dem australischen Sicherheitsforscher Troy Hunt veröffentlichte Dienst zur Überprüfung wird von dem Bundesamt für Sicherheit in der Informationstechnik (BSI) für vertrauenwürdig gehalten. Sollten Sie betroffen sein, wird empfohlen schnellstmöglich das Passwort zu ändern.

Neue Cyber-Attacke durch Ransomware

28. Juni 2017

Nachdem bereits vor etwas mehr als einem Monat zahlreiche Unternehmen und private Nutzer Opfer des Trojaners WannaCry geworden sind, findet momentan wohl eine neue Cyber-Angriffswelle statt. Arne Schönbohm, der Präsident des Bundesamts für Sicherheit in der Informationstechnik (BSI), teilte mit, dass es sich nach ersten Erkenntnissen um eine Angriffswelle mit der Schadsoftware Petya handele die Schwachstellen ausnutze, die bereits die Ransomware WannaCry ausgenutzt hätte.

Bei dieser Art von Cyberattacken werden Dateien auf den betroffenen Computersystemen verschlüsselt und der Nutzer wird zur Zahlung eines Lösegelds aufgefordert, damit die Daten wieder entschlüsselt werden. Die Zahlung des Lösegeldes garantiert jedoch nicht, dass die Daten tatsächlich wieder entschlüsselt werden. Unter anderem deswegen rät das BSI betroffenen Unternehmen auch dazu, nicht auf Lösegeldforderungen einzugehen.

Die ersten Attacken mit der Petya-Ransomware ereigneten sich nach aktuellem Informationsstand in der Ukraine und betrafen dort verschiedene Unternehmen wie beispielsweise die Zentralbank, den internationalen Flughafen Kiew-Borispyl und die U-Bahn. Auch das Kernkraftwerk Tschernobyl wurde von dem Cyberangriff betroffen. Die technischen Systeme des Kraftwerks sollen aber weiterhin normal funktionieren. Lediglich die Kontrolle der Radioaktivität müsse manuell stattfinden. Neben diesen Unternehmen sind auch die Deutsche Post in der Ukraine, das russische Ölunternehmen Rosneft oder die dänische Reederei Maersk von der Attacke betroffen.

Die Verbreitung von WannaCry konnte dadurch wesentlich verlangsamt werden, dass eine in den Code eingebettete Kill-Switch-Funktion entdeckt wurde. Wie sich die aktuelle Petya-Ransomware genau verbreitet und ob auch sie über einen solchen eingebauten Notschalter verfügt ist aktuell noch nicht ersichtlich.

Veraltete Softwaresysteme ermöglichen Datenzugriff bei über 1000 Online-Shops

13. Januar 2017

Laut des Bundesamtes für Sicherheit in der Informationstechnik (BSI) sind über 1000 Online-Shops Opfer von Angriffen auf ihre Kunden- und Zahlungsinformationen geworden. Ursache ist der Einsatz der veralteten Online-Shop-Software Magento Version, welche Sicherheitslücken aufweist, die es den Angreifern ermöglichen, beliebige Codes in die Online-Shops einzubringen. Vielen Shop-Betreibern, die die veraltete Software-Version einsetzen, ist die Problematik entweder nicht bewusst, oder – im schlimmsten Fall – wird von ihnen ganz einfach ignoriert, so das BSI.

Dabei forderte das CERT-Bund des BSI die zuständigen Provider bereits im Oktober 2016 auf, die von der Infektion betroffenen Kunden über die Problematik unverzüglich zu unterrichten, als sich nach einer Untersuchung von hunderttausenden Magento-Shops herausstellte, dass weltweit fast 6000 Shops von der Infektion betroffen waren. In Deutschland selbst stieg die Zahl bisher auf 500 betroffene Shops.

Trotz dieser Information über das Ausmaß der Infektion, steigt die Zahl der infizierten deutschen Shops weiter an.

Nach Hinweis des BSI, sind die Betreiber von Online-Shops nach § 13 Absatz 7 des Telemediengesetzes (TMG) verpflichtet, „ihre Systeme nach dem Stand der Technik gegen Angriffe zu schützen. Eine grundlegende und wirksame Maßnahme hierzu ist das regelmäßige und rasche Einspielen von verfügbaren Sicherheitsupdates.“

 

 

 

Klage gegen D-Link eingereicht

6. Januar 2017

Die US-Handelskommission, Federal Trade Commission (FTC), hat beim US-Bundesbezirksgericht von Nord-Kalifornien Klage gegen D-Link eingereicht. D-Link ist Hersteller von Internet of Things (IoT)-Geräten und soll seine Produkte, im Gegensatz zu dem durch Werbung vermittelten Schutzgrad, nicht ausreichend vor Angriffen schützen. IoT-Geräte sind Geräte, die drahtlos an ein Netzwerk angeschlossen, Daten erfassen, speichern, verarbeiten und übertragen können, wie beispielsweise Smart Lighting.

FTC vermutet, dass die Verbraucher in ihrer Privatsphäre gefährdet sind, weil D-Link seinem Werbeversprechen nicht standhält. Viele Geräte, die von D-Link vertrieben werden, vor allem IP-Kameras und Router, sind mit geringem Aufwand zu hacken und eröffnen dem Angreifer so leichten Zugang zu sensiblen Kundendaten.

Die Sicherheitsproblematik betrifft jedoch nicht nur D-Link. Auch andere Hersteller der Branche haben Sicherheitsprobleme zu bewältigen. IoT-Geräte sind bei nicht ausreichender Überprüfung anfällig für Sicherheitslücken.

Nicht nur IoT-Geräte ziehen in immer mehr Haushalte ein, auch die damit einhergehende Gefahr für die Privatsphäre der Nutzer.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) forderte kürzlich die Hersteller zu mehr Sicherheitsmaßnahmen auf, zeitgleich veröffentlichte das BSI einen Leitfaden, der sich an die Nutzer solcher Geräte richtet.

Wahlbeeinflussung durch Fake News

2. Januar 2017

Fake News verbreiten sich wie ein Lauffeuer im Internet, das ist kein Geheimnis, aber diese können auch gezielt genutzt werden, um die anstehende Bundestagswahl zu beeinflussen. Ähnliche Manipulationsversuche sind auch bei der US-Wahl aufgefallen. Deswegen beschäftigt sich auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit diesem Thema, wie es am Freitag bekannt gab.

Wir berichteten bereits im vergangenen Jahr über Möglichkeiten zur Beeinflussung der Wahl, jetzt kommt noch eine Neue hinzu, die nicht nur Politikern Sorgen bereitet.

Fake News können im Zuge des Wahlkampfes dazu genutzt, Wähler zu manipulieren, diese Gefahr besteht vor allem im Bereich Social Media. Dort werden Social Bots genutzt, um Fake News zu verbreiten. Social Bots täuschen eine menschliche Identität vor und generieren Einträge auf Social Media Plattformen wie Facebook oder Twitter.

Bundesinnenminister Thomas De Maizière (CDU) forderte die Betreiber von sozialen Netzwerken dazu auf, entschlossen gegen Fake News vorzugehen, damit im Wahlkampf die besseren Konzepte zum Erfolg führen und nicht Fake News.

Viel kann gegen eine solche Beeinflussung der Wähler jedoch nicht getan werden. Offensichtliche Fake News sind zwar strafbar, aber bevor diese als solche erkannt werden, haben sie bereits die Runde gemacht. Außerdem gilt auch hier: Das Internet vergisst nicht.

Somit bleibt nur, die Bürger für dieses Thema zu sensibilisieren und sie darauf aufmerksam zu machen, dass eine Manipulation durch Fake News möglich ist.

BSI: Deutsche noch zu fahrlässig im Umgang mit Passwörtern

7. Februar 2013

Auch wenn die Tendenz der letzten Jahre eine Sensibilisierung hinsichtlich des Themas Datenschutz in der Gesellschaft erkennen lässt, zeigen sich beim Thema „Passwortsicherheit“ weiterhin erkennbare Mängel. Zu diesem Ergebnis kommt jedenfalls eine Umfrage des Bundesamtes für Sicherheit in der Informationstechnik (BSI).

Diese ergab, dass etwa über die Hälfte der Internetnutzer ein einziges Passwort im Internet mehrfach bis ausschließlich verwenden. Dies verwundert angesichts der stetig wachsenden Notwendigkeit, sich auf diversen Portalen einzuloggen, um die entsprechenden Angebote und Dienste wahrnehmen zu können, nicht. Aber es stellt eine nicht zu vernachlässigende Gefahr aufgrund reiner Bequemlichkeit dar. „Viele Menschen sind zu nachlässig bei der Wahl ihrer Passwörter, ob für den heimischen Rechner, den E-Mail-Account oder für das Profil im Sozialen Netzwerk. Damit machen sie es den Kriminellen leicht, an ihre Daten zu kommen und schlimmstenfalls in ihrem Namen Straftaten zu verüben“, sagt Prof. Dr. Wolf Hammann, Vorsitzender der Polizeilichen Kriminalprävention der Länder und des Bundes (ProPK). Insbesondere Passwörter, die sich in Wörterbüchern finden, seien ein leichtes Ziel für Hacker. Diese können anhand einer leicht zu bedienenden Software etliche Wörter von A – Z innerhalb von kurzer Zeit auf die Kompatibilität testen. „In wenigen Augenblicken können sie anhand von speziellen Geräten, die von Aal bis Zwetschge alle Begriffe als Passwort ausprobieren, beispielsweise ein E-Mail-Postfach knacken. Damit sind ihnen oft Tür und Tor für andere Straftaten geöffnet. Deswegen ist es wichtig, für verschiedene Dienste verschiedene Passwörter zu haben, um sich vor Internetkriminalität schützen zu können“, sagt Hammann.

Michael Hange, Präsident des BSI erläutert, wie sicherer Passwortschutz funktioniert: „Ein sicheres Passwort für jeden Online-Dienst gehört zu den zehn Basismaßnahmen, die jeder Internetnutzer in Bezug auf die Sicherheit beherzigen sollte. Die Ergebnisse unserer Umfrage zeigen, dass unsere Aufklärungsarbeit Wirkung zeigt. Über zwei Drittel der Befragten wissen, wie ein starkes Passwort erstellt wird: Es besteht aus Groß- und Kleinbuchstaben, Ziffern sowie Sonderzeichen. Wer sein Passwort alle drei Monate ändert, macht es Internet-Kriminellen bedeutend schwerer.“

Das BSI rät zudem zu folgenden Maßnahmen:

  • Verwenden Sie nie dasselbe Passwort für mehrere Anwendungen und ändern Sie das Passwort regelmäßig.
  • Wählen Sie ein Passwort, das mindestens acht Zeichen lang ist. Es sollte aus Groß- und Kleinbuchstaben in Kombination mit Zahlen und Sonderzeichen bestehen und auf den ersten Blick sinnlos zusammengesetzt sein. (Ausnahme: Bei Verschlüsselungsverfahren wie beispielsweise WPA und WPA2 für WLAN sollte das Passwort mindestens 20 Zeichen lang sein.)
  • Tabu sind Namen von Familienmitgliedern, des Haustieres, des besten Freundes, des Lieblingsstars oder deren Geburtsdaten usw. Das Passwort sollte nicht in Wörterbüchern vorkommen. Auch Passwörter, die aus gängigen Varianten und Wiederholungs- oder Tastaturmustern bestehen (z. B. „asdfgh“ oder „1234abcd“), sind nicht empfehlenswert. Einfache Ziffern oder Sonderzeichen wie „$“ am Anfang oder Ende eines ansonsten simplen Passwortes bieten keinen ausreichenden Schutz.
  • Bewahren Sie Ihre Passwörter sicher auf.
  • Geben Sie Ihre Passwörter nicht an Dritte weiter.
  • Ändern Sie immer bereits voreingestellte Passwörter.
  • Nutzen Sie einen Bildschirmschoner mit Passwortabfrage nach einer voreingestellten Wartezeit, wenn der PC angeschaltet ist und nicht genutzt wird.