Datenklau bei Politikern

Datenklau bei Politikern

Datenklau
Quelle: GDD

Aktuell wird überall über einen Datenklau im großen Stil berichtet. Alle Medien sind voll davon, wie schön, es wird nicht langweilig. Es sollen von 1000 Personen des öffentlichen Lebens, also Politikern, Internetstars und anderen Prominenten Daten veröffentlicht worden sein.

Dies soll bereits im Dezember in einer Art Adventskalender bei Twitter passiert sein. Schnell wurde auch ein Verdächtiger ermittelt. Es soll sich um einen bei den Eltern lebenden und in Ausbildung befindlichen 20-jährigen handeln.

Na, das ging schnell!

Die Angelegenheit wird bekannt und ein Verdächtiger wird schnell präsentiert, ok. Als Motiv wurde bei einer Pressekonferenz heute bei Phönix Unzufriedenheit mit Politikern genannt. Warum also das Interesse an den anderen Daten oder einfach, weil man sie so einfach bekommen konnte?

Was wurde denn überhaupt gestohlen bzw. veröffentlicht?

Der Datenklau bei Politikern und anderen bezieht sich nach einem Phönix-Bericht hauptsächlich auf Kontaktdaten, Bilder, Dokumente, also selber eingestellte, nicht verschlüsselte Daten. Googelt man einige der genannten Politiker, so findet man schnell überall auch private Kontaktdaten. Worum geht es also? Ist es einfach nur der Schock über diesen Datenklau? Handelt es sich um einen Diebstahl, wenn man alles auf die Strasse wirft oder bekommt man auch einen Finderlohn fürs Aufsammeln? Wenn sich alles so verhält, wie es gerade berichtet wird, kann man ja nur dankbar sein, darauf aufmerksam gemacht worden zu sein.

Technische Möglichkeiten

Welche technischen Möglichkeiten hat der „Tatverdächtige“ denn genutzt? Das weiß man natürlich nicht so genau, aber wenn man mal schaut, wie einfach man an einige dieser Daten gelangen kann und dann noch den genannten recht langen Tatzeitraum anschaut, dann könnte er sie theoretisch auch abgeschrieben haben. Wenn wir die Geschichte so glauben, kann also nicht von großer Professionalität die Rede sein. Auch konnte man ihn ja schnell ermitteln, also kein Tor Browser oder ähnliches?

Eigenverantwortung

Eine weitere Frage, die sich mir stellt, ist die nach der Eigenverantwortung der Betroffenen. Schnell werden die Verantwortlichkeiten abgegeben, das BSI hätte etwas tun müssen, x und auch y haben versagt. Das finde ich wie immer schwierig.

Wenn es stimmt, dass es sich nur oder hauptsächlich um Kontaktdaten handelt, könnten die Betroffenen auch einfach einmal selber schauen, welche Daten, sie von sich selbst in welchen Netzwerken mit welchen Zugriffsberechtigungen posten. Auch geben sie ja sicher Visitenkarten aus, wo landen die Daten auf diesen Karten, das sollte man, wenn es einem wichtig ist, auch einmal kritisch hinterfragen.

Auch die Frage, wo man denn Daten aufbewahrt, sollten die Betroffenen sich stellen. In irgendwelchen dubiosen Clouds, iCloud, Dropbox? Versand über Webmailer, die nach eigenen Angaben Inhalte von Mails mitlesen? Ist das Datenklau, wenn man alles freiwillig veröffentlicht?

Wenn es vielelicht nicht nur um Kontaktdaten geht, ist dann auch Verantwortung im Amt und Geheimhaltung von Interna ein Thema? Wie gehe ich mit sensiblen Daten um, die mir als Politiker anvertraut wurden?  Wo speichere ich diese? Übernehme ich Verantwortung für die mir zur Verfügung gestellten Daten? Habe ich meiner Sorgfaltspflicht genügt?

Vor allem handelt es sich ja um private Accounts!

Und dann die Passwörter? Für alles das Selbe, weil es ja so schwierig ist, sich alles zu merken? Also ich weiß nicht, mir scheint es recht einfach, es werden Daten bekannt und ich schieße auf das BSI und andere, statt mich an die eigene Nase zu fassen? Oder verlasse medienwirksam irgendwelche sozialen Netzwerke?

Gut gebrüllt Löwe!

Wenn man schon auf das BSI schießt, könnte man doch einfach einmal die von diesem Amt herausgegebenen BSI-Grundschutzkataloge lesen und schauen, was man davon selber umsetzen möchte. Gerade als Politiker könnte man doch die Möglichkeiten des Staates nutzen, um mit gutem Beispiel voran zu gehen.

Für mich scheint diese Angelegenheit momentan sehr unvollständig und unplausibel. Ich werde beobachten, was daraus wird.

Zum Weiterlesen:

Vergabe von Passwörtern
Die Datenschutzerklärung von google
Facebookdatenanalyse
BSI private User

digitale Signatur

digitale Signatur, was ist das, wie geht das, wofür brauche ich das?

Früher war die rechtsverbindliche, persönliche Unterschrift auf Dokumenten der Nachweis für die Echtheit, für die Authentizität des Absenders. Das Senden von Fax-Nachrichten ist seit vielen Jahren aus der Mode gekommen, die meisten Dokumente werden ganz einfach an Emails angehängt und versendet. Geht schneller und spart Porto.

In Zeiten, in denen Diebstahl ganz einfach vom Sofa aus zu machen ist, nebenbei läuft noch die Lieblingsserie, machen sich viele Menschen Gedanken darüber, ob die Dokumente eigentlich echt sind, die sie so bekommen. Einen Emailabsender zu fälschen ist mit wenig krimineller Energie und geringem technischem Wissen mit Hilfe von google sehr leicht möglich.

Woher soll der Empfänger denn nun wissen, ob erstens Absender und zweitens Dokument echt und unverändert sind? Hier kommt für rechtlich relevante Dokumente die digitale Signatur ins Spiel.

digitale Signatur – elektronische Signatur

Meint im Prinzip dasselbe. Der juristische Begriff ist allerdings elektronische Signatur. Es gibt verschiedene Sicherheitsstufen der digitalen Signatur, wer das nachlesen möchte, findet es in den folgenden Rechtsschriften:

SignaturGesetz SigG

Verordnung zur elektronischen Signatur SigV

Wie funktioniert das nun technisch?

Die einfache digitale Signatur basiert auf einem Schlüsselpaar. Dem öffentlichen und dem privaten Schlüssel. Der private Schlüssel wird zum Entschlüsseln der Nachricht benötigt, der öffentliche Schlüssel zum Verschlüsseln. Der öffentliche Schlüssel wird in der Regel mit einem sogenannten Hashwert kombiniert, mit dem Ergebnis wird dann die Mail digital unterschrieben, also signiert.

Beispiel: Sie möchten sicherstellen, dass ein Dokument den Empfänger unverändert erreicht.

Senderseite

  • Fügen Sie das Dokument in eine Emailnachricht ein
  • Mithilfe spezieller Software (s.u.)  erzeugen Sie einen Fingerabdruck (Hash-Wert) des Dokumentes.
  • Nun verschlüsseln Sie den Hashwert mit Ihrem privaten Schlüssel
  • Das Ergebnis wird nun zur Signatur Ihrer Email, diese Signatur ist jedesmal anders.

Empfängerseite

  • Der Empfänger vergleicht nun mit Hilfe des öffentlichen Schlüssels den Hashwert Ihrer Nachricht, hiermit kann sichergestellt werden, dass der Inhalt von Ihnen stammt und unverändert ist.

Signatur vs. Verschlüsselung

Weil diese Begriffe oftmals in einen Topf geworfen werden, hier die Unterscheidung. Eine Signatur ist eine authentifizierte Unterschrift, bei einer Verschlüsselung wird der gesamte Inhalt verschlüsselt, so dass er nur mit dem entsprechenden Schlüssel (auch bei der Verschlüsselung wird das Verfahren angewendet) gelesen werden kann. In der Praxis werden oftmals beide Verfahren miteinander kombiniert.

digitale Signatur in der Praxis

In der Praxis wird man die elektronische Signatur in Verbindung mit einem Zertifikat verwenden. Das Zertifikat kann man bei einer Zertifizierungsstelle beantragen, dieses wird dann in ein öffentliches Verzeichnis eingetragen, so daß die echte Identität jederzeit nachvollziehbar ist.

Als Software kann zum Beispiel gpg für Windows verwendet werden, wenn es kostenlos sein soll. Natürlich gibt es jede Menge Anbieter passender Software.

Zertifizierungsstellen

Hier eine Liste der Bundesnetzagentur

Zusätzliche Infos

Hier ein sehr nützlicher Link zum Signaturrecht

Top 10 der grössten Internetbedrohungen

Top 10 der grössten Internetbedrohungen

Eine aktuelle Bitkom Studio hat die Top 10 der grössten Internetbedrohungen untersucht.  Interessant ist, dass Spam mittlerweile an letzter Stelle auftaucht und die ersten Plätze durch ausgeklügelte Techniken belegt sind, die vom normalen PC-Anwender schwer bis gar nicht erkannt werden. Wie immer, ich weiß, ich wiederhole mich, hilft auch hier wieder nur aktuelle Software zum Schutz des Rechners, ein aufmerksames Auge und gesundes Misstrauen.

Hier eine Auswahl aus den Top 10 der grössten Internetbedrohungen

Platz 1 wird belegt durch Drive-by-Downloads

Hier lädt man sich durch den Besuch auf manipulierten Webseiten Schadsoftware herunter. Leider kann man mitunter schlecht erkennen, ob die Seite manipuliert ist, insbesondere, wenn man sie das erste Mal besucht.

  • Abhilfe schafft hier nur, alle Browsersicherheitsupdates auch einzuspielen

Auf Platz 2 sind Trojaner und Würmer, auf Platz 4 schon die Virenbaukästen

Dies möchte ich beides zusammen betrachten, zumal Trojaner und Würmer auch Viren sind. Die Gefahr bei den Virenbaukästen ist, man kann sie sich recht einfach herunterladen und dann selber Schadsoftware zusammenbauen. Das ist so einfach, dass man kein Programmierer sein muss, um das hinzubekommen, also kann das im Prinzip jeder. Natürlich ist es so, wenn heute einer einen Virus baut, dann kennt mein Virenscanner den nicht zeitgleich. Alle Hersteller von ernstzunehmenden Virenscannern sind aber sehr interessiert daran, dass Ihre Programme alle aktuellen Schädlinge finden und scannen deshalb das Netz ständig nach neuen Viren. Das ist auch der Grund dafür, dass gute Virenscanner gefühlt jeden Tag eine neue Signaturdatei bekommen.

  • Die Abhilfe kann also nur sein, den Virenscanner aktuell zu halten.

Platz 7 Phishing und Platz 9 Scareware

Rückt immer weiter vor, hier geht es um das Erlangen von Zugangsdaten und/oder Erpressung auf immer neuen Wegen. Hier hilft recht zuverlässig der gesunde Menschenverstand. Banken und Behörden fragen nicht nach Zugangsdaten, ich gebe auch meine Zugangsdaten an niemanden. Bei Behörden kann man sich auch nicht durch die Zahlung von Geldbeträgen freikaufen. Kommt mir der Absender oder Betreff komisch vor, lösche ich die Mail sofort und sehe sie mir nicht noch lange an. Bekomme ich vermeintlich von einer Bundesbehörde eine Mail mit einem Bußgeldbetreff bin ich auch skeptisch, normalerweise kommt sowas mit der Post, woher haben die überhaupt meine Mailadresse, also sofort löschen.

Im Ranking sind natürlich auch wieder Botnetze, ein Dauerbrenner; Verschlüsselungstrojaner werden nicht explizit genannt, was mich wundert, aber wahrscheinlich fallen sie unter den Rankingpunkt Trojaner.

  • Hier helfen regelmäßige Datensicherungen auf externen Geräten, um im Falle einer Verschlüsselung, die Daten zurücksichern zu können
  • Virenscanner und Firewall aktuell halten
  • Auf Erpressungen niemals eingehen

 

Wer die gesamte Auswertung lesen möchte, findet sie hier

Urlaub und Socialmedia

Einbruchsschutz im Urlaub

Ach, endlich Urlaub, das wurde ja auch mal Zeit. Ganz sorglos werde ich mal allen

meinen Lieben in sämtlichen sozialen Netzwerken erzählen, dass ich endlich Urlaub habe und dass wir morgen endlich für 3 Wochen mit Sack und Pack wegfahren werden. Oma Lotte giesst alle 2 Tage die Blumen, den Hund nehmen wir mit.

Danke für die genauen Informationen freut sich der moderne, IT-affine Einbrecher, das sind ja mal wieder tolle Voraussetzungen. Meine Liste interessanter Objekte ist zwar schon lang, aber diese Steilvorlage bekomme ich noch unter. Ich fahre da mal mit dem Fahrrad vorbei und schaue mir die Gegend an.

Ach toll, die haben smart home oder wie das immer so schön heisst, die Jalousien fahren immer im 17 Uhr herunter, das ist ja klasse. Und dann lassen sie mehrmals am Tag das Licht an- und ausschalten, lustig.

Auch von unterwegs poste ich super Strandbilder, „Kamel“bilder etc. jeder weiß, dass ich noch weg bin, wie praktisch.

So oder so ähnlich ereignet es sich dieser Tage in großer Zahl in unserem schönen Land. Und dann wundern sich die Menschen noch, dass sie am Ende ihres Urlaubes ein durchwühltes Haus vorfinden. Was kann man also tun? Hier ein paar sehr einfache Verhaltensregeln für den Urlaub oder auch für das tägl. Leben:

  • Abwesenheit nie, wirklich niemals irgendwo öffentlich ankündigen, wenn das Haus oder die Wohnung dann leer ist.
  • Urlaubsbilder kann man auch nach dem Urlaub noch posten
  • Ortungsdienste ausstellen, wenn man dann während des Urlaubes irgendwas in sozialen Netzwerken postet, muss da nicht stehen, dass man gerade auf Malle ist und dann auch noch genau mit welchen Personen.
  • Smarthome bietet keine Sicherheit, man gibt nur die Verantwortung ab, an jemanden, der sie nicht übernimmt.
  • Wenn man sowas doch benutzt, keine App dafür freischalten und wenn doch, während des Urlaubes ausschalten, diese Apps sind zumeist unsicher. Das kann man mit gesundem Menschenverstand erschlagen, die die smarthome anbieten, sind zumeist Energieversorger oder Leitungsprovider, Software und/oder IT-Sicherheit sind nicht deren Kernkompetenzen, die bieten das als Kundenbindungsinstrument an.
  • Regelmäßig alle PW ändern, smarthome funktioniert meist auch über WLAN, bitte den Router so einstellen, dass er die Verbindung nur für bestimmte Geräte (MAC-Adresse) akzeptiert.
  • Auch die Passphrase eines Routers (steht immer so schön auf dem Aufkleber des Gerätes) kann man ändern, ebenso wie den Netzwerknamen. Kann man auch mehrmals im Jahr wiederholen, tut gar nicht weh.
  • Man kann sein Haus sehr einfach zusätzlich mit Videoaufnahmen sichern, am besten von innen und am besten sichert man irgendwo in der Cloud, bin ich ja sonst nicht so ein Fan davon, aber in diesem Fall können die Aufnahmen nicht durch Vandalismus vernichtet werden. Diese Kameras kosten kleines Geld und jeder Laie kann sie installieren.

Auch das BSI (Bundesamt für IT-Sicherheit) macht sich Gedanken über sorglose Urlauber und gibt noch ein paar weiterführende Tipps. Kann man hier finden.

Für Firmen bieten wir Sicherheitsberatungen an, sprechen Sie uns an.

Schwachstellenampel des BSI

Schwachstellenampel des BSI

Die Schwachstellenampel des BSI ist meines Erachtens eine gute Sache und kann als Entscheidungshilfe für den Einsatz gängiger Softwareprodukte namhafter Hersteller von großem Nutzen sein.

Die Schwachstellenampel dient dazu, Schwachstellen aufzuzeigen, zu bewerten, ob kritisch oder nicht und als Folge davon, die Anzahl geschlossener also fertig bearbeiteter Schwachstellen ebenfalls darzustellen.

Schwachstellenampel
quelle https://www.allianz-fuer-cybersicherheit.de/ACS/DE/_/downloads/BSI-CS_028.pdf;jsessionid=BE366EF831E6711BBD22BB4634B2FBAE.2_cid369?__blob=publicationFile&v=3

Hier ein Beispiel eines fiktiven Herstellers aus der BSI-eigenen Infobroschüre.

Zu Produkt 1: Es gab also im Abfragezeitraum 23 Schwachstellen, von denen 3 als kritisch angesehen wurden. Diese Schwachstellen wurden alle behoben, deshalb werden sie im Punkt geschlossene Schwachstellen aufgeführt. Für dieses Produkt gibt es allerdings eine aktuell offene Schwachstelle, die auch als kritisch angesehen wird. Die BSI-Schwachstellenampel bewertet Produkt 1 mit rot.

Die ganze Tabelle bezieht sich auf einen Hersteller und listet unterschiedliche Produkte auf. Die Gesamtbewertung aller offenen Schwachstellen aller Softwareprodukte dieses Herstellers bewertet das BSI somit mit rot.

Schwachstellenampel des BSI für welche Produkte

Natürlich bewertet die Schwachstellenampel des BSI nicht die Software von der Kellerklitsche um die Ecke. Hier werden verbreitete Softwareprodukte bewertet, die viele Anwender verwenden und deren Sicherheitslücken ebenfalls vielen Anwendern zum Verhängnis werden könnten.

Folgende Hersteller mit folgenden Produkten werden zum Zeitpunkt dieses Artikels genauer unter die Lupe genommen:

Schwachstellenampel Hersteller
Quelle: https://www.allianz-fuer-cybersicherheit.de/ACS/DE/_/downloads/BSI-CS_028.pdf;jsessionid=BE366EF831E6711BBD22BB4634B2FBAE.2_cid369?__blob=publicationFile&v=3

Der Auswertezeitraum der Schwachstellenampel wird im Kopf der Seite bekannt gegeben. Er legt das maximale Alter der geschlossenen Schwachstellen fest. Vor diesem Zeitraum geschlossene Schwachstellen werden nicht berücksichtigt.

Nicht zuletzt übt diese Bewertung des BSI auch Druck auf die Hersteller aus, keiner der Marktführer möchte hier gerne schlecht bewertet werden bzw. dauerhaft mit nicht geschlossenen Schwachstellen auftauchen.

Hier zur Seite des BSI

Auch innerhalb der kostenlosen APP securityNews erhältlich.

Verschlüsselungstrojaner über Dropbox

Verschlüsselungstrojaner über Dropbox

Das Niedersächsische Ministerium für Inneres und Sport informiert in Ihrer Wirtschaftsschutzinfo von Februar über eine neue Strategie bei der Verteilung von Schadsoftware.

Hier geht es um die Einsendung von Bewerbungen per Email. Der vermeintliche Bewerber schickt personifiziert eine Bewerbung an die Personalabteilung des suchenden Unternehmens. Die Bewerbungsunterlagen werden per Dropbox bereitgestellt.

Heruntergeladen werden dann aber nicht die erwarteten Unterlagen, sondern eine Schadsoftware, der Verschlüsselungstrojaner. Diese installiert sich im Hintergrund und startet sich dann selber.

Was ist daran neu?
Trojaner per Download zu erhalten ist nicht neu. Bisher ist Dropbox mit dieser Verteilungsform noch nicht in Verbindung gebracht worden, wenn gleich sie naheliegt. Das Neue und Gefährliche daran ist, es werden echte Stellenangebote von Firmen mit vermeintlichen Zusendungen von Bewerbungen beantwortet. Die Personalabteilungen denken sich nichts dabei und möchten natürlich die Bewerbungen lesen.

Welcher Schaden entsteht?
Die Schadsoftware verschlüsselt Daten auf der Festplatte des Anwenders. Nicht auszudenken, wenn sensible Personaldaten auch noch verschickt würden. Wenn die Virenschutzprogramme anschlagen, sind meistens bereits Daten verschlüsselt worden. Der Trojaner kann dann evtl. entfernt werden, die verschlüsselten Dateien bleiben aber verschlüsselt. Wohl dem, der an einem anderen Ort Sicherheitskopien seiner Daten hat.

Diese Art von Schadsoftware nennt sich Verschlüsselungstrojaner.

Vorbeugen
Abgesehen davon, dass man seinen Rechner natürlich aktuell hält, die nötigen Updates installiert und regelmäßige Backups anlegt, würde ich empfehlen, keine Zusendung von Dateien über Dropbox von Empfängern zu akzeptieren, die man nicht kennt. Ich würde sogar soweit gehen, nur Daten von Dropboxspaces herunterzuladen, die vorher abgesprochen wurden.

Heilen
Eine Heilung ist nur bedingt in Sicht. Sollten Sie den Verschlüsselungstrojanern TeslaCryt oder AlphaCrypt zum Opfer gefallen sein, kann Ihnen u.U. das kostenlose Programm TeslaDecoder helfen. Dieses entschlüsselt Dateien mit den Endungen .aaa, .abc, .ccc, .ecc, .exx, .vvv, .xyz und .zzz. Für andere Verschlüsselungstrojaner scheint es momentan noch keine echte Abhilfe zu geben.

Weitere Infos auf Heise.de

Emailverschlüsselung und -signatur mit pgp

Schluss mit dem Mitlesen von Emails!

Kann man beim Empfang einer Email darauf vertrauen, dass der angegebene Absender wirklich derjenige ist, für den er sich ausgibt? Das ist nicht so einfach, in Zeiten von Identitätsdiebstahl kann man sich da nicht mehr so sicher sein. Mich wundert immer wieder, welche Inhalte einfach so offen per Email geschickt werden. Auch ich konnte kürzlich ohne Überprüfung einfach so einen Überweisungsauftrag per Email an meine Bank senden.

Dabei wäre es ganz einfach und auch kostenlos:
Emailverschlüsselung und -signatur mit pgp (pretty good privacy)

Dieser Verschlüsselungsstandard gilt auch heutzutage noch als sicher. Die Methode wurde 1991 von Phil Zimmermann entwickelt.

Wie funktioniert das?

Emailverschlüsselung und -signatur mit pgp kann unter Windows mit gpg4win erreicht werden. Es gibt mittlerweile AddIns für alle verbreiteten Mailprogramme, z.B. Outlook. Die Bedienung ist super einfach – versprochen.

Die Methode ist genauso simpel wie genial. Jeder Mailuser erzeugt sich ein Schlüsselpaar, einen öffentlichen und einen privaten Schlüssel. Der private Schlüssel darf nie! in fremde Hände geraten, aber auch nicht verloren gehen! Der öffentliche Schlüssel wird soweit wie möglich gestreut (über jede Email als Anhang, Veröffentlichung über die eigene Webseite, über öffentliche keyserver).

Jeder!, der eine Mail an die zum öffentlichen Schlüssel gehörende Emailadresse schicken möchte, kann seine Email mithilfe des öffentlichen Schlüssels des Empfängers verschlüsseln. Entschlüsseln kann diese Mails nur der Inhaber des privaten Schlüssel. Die Mail wird also zum Versenden „abgeschlossen“, der Empfänger „schliesst“ sie dann wieder auf.

Unterschied verschlüsseln – signieren

Bei der Verschlüsselung wird der Inhalt für Nichtempfänger unkenntlich mit dem öffentlichen Schlüssel verschlüsselt. Das kann jeder machen, der den öffentlichen Schlüssel erhalten hat.

Beim Signieren, unterschreibt der Sender mit seinem privaten Schlüssel, der Empfänger kann daraus ersehen, dass es sich um den angegebenen Absender handelt. Dies kann nur der Inhaber des privaten Schlüssels.

Beide Verfahren können kombiniert werden.

Download: gpg4win

Safe-Harbor Abkommen / neues Urteil

Seit dem 6. Oktober 2015 gibt ein neues Urteil des europäischen Gerichtshofes zum Thema Kontrolle der Verarbeitung von personenbezogenen Daten von EU-Bürgern durch die  Landesdatenschutzbeauftragten der Mitgliedsstaaten.

Was ist das Safe-Harbor Abkommen?

Das Safe-Harbor Abkommen wurde im Jahr 2000 zwischen der europäischen Kommission und der US-Regierung geschlossen. Es wurde vereinbart, weil nach Art. 25 und 26 der Europäischen Datenschutzrichtlinie, der Export von personenbezogenen Daten in Drittländer verboten ist. Bei dem Safe-Harbor Abkommen handelt es sich um Prinzipien zur Verarbeitung von personenbezogenen Daten, dadurch ist es möglich, Daten in die USA zu exportieren. Es müssen folgende Prinzipien erfüllt werden: “

  1. Informationspflicht: die Unternehmen müssen die Betroffenen darüber unterrichten, welche Daten sie für welche Zwecke erheben und welche Rechte die Betroffenen haben.
  2. Wahlmöglichkeit: die Unternehmen müssen den Betroffenen die Möglichkeit geben, der Weitergabe ihrer Daten an Dritte oder der Nutzung für andere Zwecke zu widersprechen.
  3. Weitergabe: wenn ein Unternehmen Daten an Dritte weitergibt, muss es die Betroffenen darüber und die unter 2. aufgeführte Wahlmöglichkeit informieren.
  4. Zugangsrecht: die Betroffenen müssen die Möglichkeit haben, die über sie gespeicherten Daten einzusehen und sie ggfs. berichtigen, ergänzen oder löschen können.
  5. Sicherheit: die Unternehmen müssen angemessene Sicherheitsvorkehrungen treffen, um die Daten vor unbefugtem Zugang oder vor Zerstörung und Missbrauch zu schützen.
  6. Datenintegrität: die Unternehmen müssen sicherstellen, dass die von ihnen erhobenen Daten korrekt, vollständig und zweckdienlich sind.
  7. Durchsetzung: die dem Safe Harbor beigetretenen Unternehmen verpflichten sich zudem, Streitschlichtungsmechanismen beizutreten, so dass die Betroffenen ihre Beschwerden und Klagen untersuchen lassen können und ihnen im gegebenen Fall Schadensersatz zukommt.

Quelle: http://www.bfdi.bund.de/DE/Europa_International/International/Artikel/SafeHarbor.html

Interessant!

Beispiel: Dienste wie Facebook und WhatsApp verdienen ihr Geld über das sammeln, kategorisieren und weitergeben von personenbezogenen Daten. Deshalb sind sie scheinbar kostenlos. Wie sähe es z.B. mit dem Punkt 2 Wahlmöglichkeit bei Facebook aus? Normalerweise müßte Facebook schon jetzt das Abkommen erfüllen, das tut Facebook aber nicht.

Das neue Gesetz macht es nun möglich, dass Betreiber von Diensten, bei denen die Einhaltung fragwürdig ist, kontrolliert werden dürfen.

Anm.: Auch eine Nutzung der Daten durch Geheimdienste stellt eine Weitergabe dar.

Hackerangriff auf den Bundestag, nun geht’s los

Im Moment hört man ständig in den Medien, dass wegen des Hackerangriffs auf den Bundestag vor ca. 3 Monaten die IT-Infrastruktur abgeschaltet wurde.

Wenn ich so etwas lese, ergeben sich für mich sehr viele Fragen.

  • Der Hackerangriff war doch schon vor 3 Monaten, wurde in der Zwischenzeit einfach weitergearbeitet?
  • Was ist mit der Schadsoftware passiert? Ist sie noch im Netz und wurde in der Zwischenzeit fleissig weiter verteilt?
  • Warum müssen denn die Serversysteme auch getauscht werden
  • eigentlich hätte ich noch so ca. 10 Fragen, aber ich belasse es mal dabei.

Zusammenfassend kann man wohl sagen, sämtlicher Informationsfluss wirft immer wieder neue Fragen auf. Aus meiner Sicht sieht es gar so aus, als würde man total im Dunkeln tappen. Nach 3 Monaten erst mit Abschaltung der Systeme zu reagieren, ist entweder arrogant oder dumm.

Nun wird die Sommerpause genutzt, vor einigen Wochen sollte zwar schon einmal abgeschaltet werden, aber wegen der Debatten zur Griechenlandhilfe ging das nicht. Die (verseuchten?) Systeme wurden wohl noch gebraucht.

Zur Eliminierung des Trojaners werden viele verschiedene Informationen bekannt gegeben. Säuberung der Systeme, ich frage nochmal wirklich? nach 3 Monaten. Austausch von Hardware, hier frage ich mal, wer will denn da jetzt so richtig verdienen?

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) gibt regelmäßig Tipps zum Umgang mit IT-Sicherheit heraus. Es hat sogar die sogenannten BSI-Grundschutzkataloge auf den Markt geworfen. Die gaukeln zwar nur Sicherheit vor, leiten aber dazu an, sich über IT-Sicherheit mal kurz Gedanken zu machen und zu überprüfen, wo man steht und ob vielleicht etwas mehr getan werden sollte.

Jede ordentliche Firma hat einen Notfallplan, sei es für Feuer o.ä. Für IT-Notfälle heißt er IRP, Incident Response Process. Was sagt der für den Bundestag passende denn für den Fall eines Angriffes?

Und meine letzte Frage, wo steht denn der Bundestag (und ich werfe auch gerne schnell noch alle anderen Behörden in den Topf) in Bezug auf den BSI-Grundschutz? Sollte es nicht gerade dort Pflicht sein, das anzuwenden, was eine andere Behörde ausgearbeitet hat? Schließlich sind sie alle wie sie da sitzen nur unsere Vertretung (StaatsDIENER), ich erwarte etwas mehr Einsatz und Integrität für mein (Steuer) geld.

siehe auch: Hackerangriff auf franz. Fernsehsender; IT-Sicherheit ein Einführung

Botnet, was ist das, was macht das und was geht es mich an?

Immer wieder taucht der Begriff Botnet(z) in den Medien auf. Durch die Frequenz der Nennung ging dieses Wort wie selbstverständlich in unseren Sprachgebrauch über. Jeder kennt es, oder?

Ein (Ro)BOT- net(z) besteht aus verschiedenen Bots. Der Begriff wurde abgekürzt von Robot. Ein Bot ist ein Schadprogramm, mit dem ein bestimmter, krimineller Zweck verfolgt wird. Alle Rechner, die mit dem Bot infiziert sind, bilden das Botnet und sind zumeist zusammen ansteuerbar.

Anwendungsbeispiele von Botnetzen:

  • Über den infizierten Rechner kann auf weitere Rechner (Server, Firewalls etc.) im selben Netzwerk zugegriffen werden
  • Es können sensible lokale Daten gestohlen werden (Zugangsdaten etc.)
  • Nutzung des infizierten Rechners zur Fernsteuerung anderer Rechner oder
  • zum Versand von Phishing und Spammails
  • Missbrauch des gekaperten Rechners zur Speicherung/Verteilung illegaler Inhalte
  • der Phantasie sind hier keine Grenzen gesetzt

Wie kann man sich schützen?

Wie immer gilt, kann man auch nochmal in diesem Blog nachlesen, keine Mails von unbekannten Empfängern mit dubiosen Betreffs öffnen. Allerdings werden auch diese Mails immer besser. Nicht jeden Mist herunterladen.  Keine Links betätigen zur Validierung irgendwelcher Zugriffskonten u.ä.

Kann man sehen, ob der benutzte Rechner bereits Opfer geworden ist?

Es gibt ein sehr gutes Projekt, das Anti-Botnet-Beratungszentrum

Hier kann man Testsoftware und Cleaner herunterladen. Diese werden ständig aktualisiert, es lohnt sich deshalb auch regelmässige Checks am eigenen Rechner durchzuführen.

Vorsorge ist besser als heilen:

  • Rechner aktuell halten (Updates einspielen)
  • Virenscanner aktuell halten
  • Browser Plugins aktuell halten
  • Prüfen, ob man nicht auf Java verzichten kann, Java ist ein beliebter Angriffspunkt, meistens kann man drauf verzichten
  • Windows Firewall aktivieren
  • Routermöglichkeiten nutzen