IT-Sicherheit Archive - Seite 2 von 3

Urlaub und Socialmedia

Einbruchsschutz im Urlaub

Ach, endlich Urlaub, das wurde ja auch mal Zeit. Ganz sorglos werde ich mal allen

meinen Lieben in sämtlichen sozialen Netzwerken erzählen, dass ich endlich Urlaub habe und dass wir morgen endlich für 3 Wochen mit Sack und Pack wegfahren werden. Oma Lotte giesst alle 2 Tage die Blumen, den Hund nehmen wir mit.

Danke für die genauen Informationen freut sich der moderne, IT-affine Einbrecher, das sind ja mal wieder tolle Voraussetzungen. Meine Liste interessanter Objekte ist zwar schon lang, aber diese Steilvorlage bekomme ich noch unter. Ich fahre da mal mit dem Fahrrad vorbei und schaue mir die Gegend an.

Ach toll, die haben smart home oder wie das immer so schön heisst, die Jalousien fahren immer im 17 Uhr herunter, das ist ja klasse. Und dann lassen sie mehrmals am Tag das Licht an- und ausschalten, lustig.

Auch von unterwegs poste ich super Strandbilder, „Kamel“bilder etc. jeder weiß, dass ich noch weg bin, wie praktisch.

So oder so ähnlich ereignet es sich dieser Tage in großer Zahl in unserem schönen Land. Und dann wundern sich die Menschen noch, dass sie am Ende ihres Urlaubes ein durchwühltes Haus vorfinden. Was kann man also tun? Hier ein paar sehr einfache Verhaltensregeln für den Urlaub oder auch für das tägl. Leben:

Abwesenheit nie, wirklich niemals irgendwo öffentlich ankündigen, wenn das Haus oder die Wohnung dann leer ist.
Urlaubsbilder kann man auch nach dem Urlaub noch posten
Ortungsdienste ausstellen, wenn man dann während des Urlaubes irgendwas in sozialen Netzwerken postet, muss da nicht stehen, dass man gerade auf Malle ist und dann auch noch genau mit welchen Personen.
Smarthome bietet keine Sicherheit, man gibt nur die Verantwortung ab, an jemanden, der sie nicht übernimmt.
Wenn man sowas doch benutzt, keine App dafür freischalten und wenn doch, während des Urlaubes ausschalten, diese Apps sind zumeist unsicher. Das kann man mit gesundem Menschenverstand erschlagen, die die smarthome anbieten, sind zumeist Energieversorger oder Leitungsprovider, Software und/oder IT-Sicherheit sind nicht deren Kernkompetenzen, die bieten das als Kundenbindungsinstrument an.
Regelmäßig alle PW ändern, smarthome funktioniert meist auch über WLAN, bitte den Router so einstellen, dass er die Verbindung nur für bestimmte Geräte (MAC-Adresse) akzeptiert.
Auch die Passphrase eines Routers (steht immer so schön auf dem Aufkleber des Gerätes) kann man ändern, ebenso wie den Netzwerknamen. Kann man auch mehrmals im Jahr wiederholen, tut gar nicht weh.
Man kann sein Haus sehr einfach zusätzlich mit Videoaufnahmen sichern, am besten von innen und am besten sichert man irgendwo in der Cloud, bin ich ja sonst nicht so ein Fan davon, aber in diesem Fall können die Aufnahmen nicht durch Vandalismus vernichtet werden. Diese Kameras kosten kleines Geld und jeder Laie kann sie installieren.

Auch das BSI (Bundesamt für IT-Sicherheit) macht sich Gedanken über sorglose Urlauber und gibt noch ein paar weiterführende Tipps. Kann man hier finden.

Für Firmen bieten wir Sicherheitsberatungen an, sprechen Sie uns an.

Schwachstellenampel des BSI

Die Schwachstellenampel des BSI ist meines Erachtens eine gute Sache und kann als Entscheidungshilfe für den Einsatz gängiger Softwareprodukte namhafter Hersteller von großem Nutzen sein.

Die Schwachstellenampel dient dazu, Schwachstellen aufzuzeigen, zu bewerten, ob kritisch oder nicht und als Folge davon, die Anzahl geschlossener also fertig bearbeiteter Schwachstellen ebenfalls darzustellen.

Hier ein Beispiel eines fiktiven Herstellers aus der BSI-eigenen Infobroschüre.

Zu Produkt 1: Es gab also im Abfragezeitraum 23 Schwachstellen, von denen 3 als kritisch angesehen wurden. Diese Schwachstellen wurden alle behoben, deshalb werden sie im Punkt geschlossene Schwachstellen aufgeführt. Für dieses Produkt gibt es allerdings eine aktuell offene Schwachstelle, die auch als kritisch angesehen wird. Die BSI-Schwachstellenampel bewertet Produkt 1 mit rot.

Die ganze Tabelle bezieht sich auf einen Hersteller und listet unterschiedliche Produkte auf. Die Gesamtbewertung aller offenen Schwachstellen aller Softwareprodukte dieses Herstellers bewertet das BSI somit mit rot.

Schwachstellenampel des BSI für welche Produkte

Natürlich bewertet die Schwachstellenampel des BSI nicht die Software von der Kellerklitsche um die Ecke. Hier werden verbreitete Softwareprodukte bewertet, die viele Anwender verwenden und deren Sicherheitslücken ebenfalls vielen Anwendern zum Verhängnis werden könnten.

Folgende Hersteller mit folgenden Produkten werden zum Zeitpunkt dieses Artikels genauer unter die Lupe genommen:

Schwachstellenampel Hersteller — Quelle: https://www.allianz-fuer-cybersicherheit.de/ACS/DE/_/downloads/BSI-CS_028.pdf;jsessionid=BE366EF831E6711BBD22BB4634B2FBAE.2_cid369?__blob=publicationFile&v=3

Der Auswertezeitraum der Schwachstellenampel wird im Kopf der Seite bekannt gegeben. Er legt das maximale Alter der geschlossenen Schwachstellen fest. Vor diesem Zeitraum geschlossene Schwachstellen werden nicht berücksichtigt.

Nicht zuletzt übt diese Bewertung des BSI auch Druck auf die Hersteller aus, keiner der Marktführer möchte hier gerne schlecht bewertet werden bzw. dauerhaft mit nicht geschlossenen Schwachstellen auftauchen.

Hier zur Seite des BSI

Auch innerhalb der kostenlosen APP securityNews erhältlich.

Verschlüsselungstrojaner über Dropbox

Das Niedersächsische Ministerium für Inneres und Sport informiert in Ihrer Wirtschaftsschutzinfo von Februar über eine neue Strategie bei der Verteilung von Schadsoftware.

Hier geht es um die Einsendung von Bewerbungen per Email. Der vermeintliche Bewerber schickt personifiziert eine Bewerbung an die Personalabteilung des suchenden Unternehmens. Die Bewerbungsunterlagen werden per Dropbox bereitgestellt.

Heruntergeladen werden dann aber nicht die erwarteten Unterlagen, sondern eine Schadsoftware, der Verschlüsselungstrojaner. Diese installiert sich im Hintergrund und startet sich dann selber.

Was ist daran neu?
Trojaner per Download zu erhalten ist nicht neu. Bisher ist Dropbox mit dieser Verteilungsform noch nicht in Verbindung gebracht worden, wenn gleich sie naheliegt. Das Neue und Gefährliche daran ist, es werden echte Stellenangebote von Firmen mit vermeintlichen Zusendungen von Bewerbungen beantwortet. Die Personalabteilungen denken sich nichts dabei und möchten natürlich die Bewerbungen lesen.

Welcher Schaden entsteht?
Die Schadsoftware verschlüsselt Daten auf der Festplatte des Anwenders. Nicht auszudenken, wenn sensible Personaldaten auch noch verschickt würden. Wenn die Virenschutzprogramme anschlagen, sind meistens bereits Daten verschlüsselt worden. Der Trojaner kann dann evtl. entfernt werden, die verschlüsselten Dateien bleiben aber verschlüsselt. Wohl dem, der an einem anderen Ort Sicherheitskopien seiner Daten hat.

Diese Art von Schadsoftware nennt sich Verschlüsselungstrojaner.

Vorbeugen
Abgesehen davon, dass man seinen Rechner natürlich aktuell hält, die nötigen Updates installiert und regelmäßige Backups anlegt, würde ich empfehlen, keine Zusendung von Dateien über Dropbox von Empfängern zu akzeptieren, die man nicht kennt. Ich würde sogar soweit gehen, nur Daten von Dropboxspaces herunterzuladen, die vorher abgesprochen wurden.

Heilen
Eine Heilung ist nur bedingt in Sicht. Sollten Sie den Verschlüsselungstrojanern TeslaCryt oder AlphaCrypt zum Opfer gefallen sein, kann Ihnen u.U. das kostenlose Programm TeslaDecoder helfen. Dieses entschlüsselt Dateien mit den Endungen .aaa, .abc, .ccc, .ecc, .exx, .vvv, .xyz und .zzz. Für andere Verschlüsselungstrojaner scheint es momentan noch keine echte Abhilfe zu geben.

Weitere Infos auf Heise.de

Vortrag im April: „Datenschutz im Unternehmen“

Am 12. April in der Zeit zwischen 16.00 bis 18.00 Uhr werde ich für den URV Unternehmensverband Rotenburg-Verden einen Vortrag zum Thema „Datenschutz im Unternehmen – muß das sein?“ halten.

Hier die vorläufige Agenda:

betr. Datenschutz eine Einführung
personenbezogene Daten
Zweckbindungs- und Erforderlichkeitsprinzip
Rechte von Betroffenen (Auswahl)
Datenschutz in Bezug auf Email, WhatsAPP & Co
Homeoffice, Umleitung auf priv. Mailadressen u.ä.
Sammeln von Mailadressen für Werbezwecke (opt-in)
Aufgaben des betr. Datenschutzbeauftragten
interner Mitarbeiter vs. ext. Dienstleister

Der Ort steht erst kurz vorher fest.

Emailverschlüsselung und -signatur mit pgp

Schluss mit dem Mitlesen von Emails!

Kann man beim Empfang einer Email darauf vertrauen, dass der angegebene Absender wirklich derjenige ist, für den er sich ausgibt? Das ist nicht so einfach, in Zeiten von Identitätsdiebstahl kann man sich da nicht mehr so sicher sein. Mich wundert immer wieder, welche Inhalte einfach so offen per Email geschickt werden. Auch ich konnte kürzlich ohne Überprüfung einfach so einen Überweisungsauftrag per Email an meine Bank senden.

Dabei wäre es ganz einfach und auch kostenlos:
Emailverschlüsselung und -signatur mit pgp (pretty good privacy)

Dieser Verschlüsselungsstandard gilt auch heutzutage noch als sicher. Die Methode wurde 1991 von Phil Zimmermann entwickelt.

Wie funktioniert das?

Emailverschlüsselung und -signatur mit pgp kann unter Windows mit gpg4win erreicht werden. Es gibt mittlerweile AddIns für alle verbreiteten Mailprogramme, z.B. Outlook. Die Bedienung ist super einfach – versprochen.

Die Methode ist genauso simpel wie genial. Jeder Mailuser erzeugt sich ein Schlüsselpaar, einen öffentlichen und einen privaten Schlüssel. Der private Schlüssel darf nie! in fremde Hände geraten, aber auch nicht verloren gehen! Der öffentliche Schlüssel wird soweit wie möglich gestreut (über jede Email als Anhang, Veröffentlichung über die eigene Webseite, über öffentliche keyserver).

Jeder!, der eine Mail an die zum öffentlichen Schlüssel gehörende Emailadresse schicken möchte, kann seine Email mithilfe des öffentlichen Schlüssels des Empfängers verschlüsseln. Entschlüsseln kann diese Mails nur der Inhaber des privaten Schlüssel. Die Mail wird also zum Versenden „abgeschlossen“, der Empfänger „schliesst“ sie dann wieder auf.

Unterschied verschlüsseln – signieren

Bei der Verschlüsselung wird der Inhalt für Nichtempfänger unkenntlich mit dem öffentlichen Schlüssel verschlüsselt. Das kann jeder machen, der den öffentlichen Schlüssel erhalten hat.

Beim Signieren, unterschreibt der Sender mit seinem privaten Schlüssel, der Empfänger kann daraus ersehen, dass es sich um den angegebenen Absender handelt. Dies kann nur der Inhaber des privaten Schlüssels.

Beide Verfahren können kombiniert werden.

Download: gpg4win

Was macht denn google so, die Datenschutzerklärung von google

Habt Ihr sie kürzlich auch bekommen, die aktuellste Fassung der google Datenschutzerklärung?

Hier der Link: google-Datenschutz

Ich hatte jetzt mal Lust, mir das ganze genauer anzuschauen. Unter dem Punkt von uns erhobene Informationen, findet man dieses hier:

Wir erfassen Informationen, um allen unseren Nutzern bessere Dienste zur Verfügung zu stellen – von der Feststellung grundlegender Aspekte wie zum Beispiel der Sprache, die Sie sprechen, bis hin zu komplexeren Fragen wie zum Beispiel der Werbung, die Sie besonders nützlich finden, den Personen, die Ihnen online am wichtigsten sind, oder den YouTube-Videos, die Sie interessant finden könnten.

Es geht also um Nutzertracking und Werbung, nichts neues, aber „Personen, die Ihnen online am wichtigsten sind“ Was geht das bitte google an?

Weiter schreiben sie, dass sie gerätebezogene Informationen mitschneiden, wenn ich bestimmte Dienste nutze.

Wir erfassen gerätespezifische Informationen, beispielsweise das Modell der von Ihnen verwendeten Hardware, die Version des Betriebssystems, eindeutige Gerätekennungen und Informationen über das Mobilfunknetz einschließlich Ihrer Telefonnummer. Google verknüpft Ihre Gerätekennungen oder Telefonnummer gegebenenfalls mit Ihrem Google-Konto.

Wird noch besser:

Einzelheiten zu der Art und Weise, wie Sie unsere Dienste genutzt haben, beispielsweise Ihre Suchanfragen.
Telefonieprotokollinformationen wie Ihre Telefonnummer, Anrufernummer, Weiterleitungsnummern, Datum und Uhrzeit von Anrufen, Dauer von Anrufen, SMS-Routing-Informationen und Art der Anrufe.
IP-Adresse.
Daten zu Geräteereignissen wie Abstürze, Systemaktivität, Hardware-Einstellungen, Browser-Typ, Browser-Sprache, Datum und Uhrzeit Ihrer Anfrage und Referral-URL.
Cookies, über die Ihr Browser oder Ihr Google-Konto eindeutig identifiziert werden können.

Diese Datenschutzerklärung von google ist meterlang, es stellen sich gewisse Ermüdungserscheinungen beim Lesen ein. Aber der folgende Satz hat mich dann wieder wach gemacht:

Unsere automatisierten Systeme analysieren Ihre Inhalte (einschließlich E-Mails), um Ihnen für Sie relevante Produktfunktionen wie personalisierte Suchergebnisse, personalisierte Werbung sowie Spam- und Malwareerkennung bereitzustellen.

Super, die lesen Emails mit, was ist denn mit dem guten alten Postgeheimnis?

Es geht dann weiter, in schön formulierten Passagen, schreiben Sie dann, dass sie alle möglichen Informationen zusammen führen, um den besten Nutzen daraus zu haben.

verknüpfen wir personenbezogene Daten aus einem Dienst mit Informationen und personenbezogenen Daten aus anderen Google-Diensten.

Auch scheint google sehr bestrebt, sich möglichst nicht an unser BDSG zu halten.

Sofern wir den Zugriff auf und die Berichtigung von Daten gewähren können, erfolgt dies grundsätzlich kostenlos, außer in Fällen, in denen dies einen unverhältnismäßigen Aufwand erfordern würde.

Dies bestärkt mich in meinem bereits vor Jahren gefassten Beschluss, keine google Dienste zu nutzen, die auf meinen Geräten installiert werden müssen, also weder earth, noch hangout und schon gar nicht google chrome. Denn alles, was google heisst, finanziert sich durch großangelegtes Datentracking. Ich habe und hatte auch noch nie ein gmail-Konto und vermeide aus o.g. Gründen Leute anzumailen, die ein solches Konto haben. Denn, google liest ja die Emails mit auch die, die ich an gmail-Empfänger schicke.

Vielen Menschen heute ist ja Datenschutz egal, sie nutzen, das was alle nutzen, weil sie sonst Angst haben, außen vor zu sein. Ich persönlich möchte mir gerne meinen persönlichen Minimalanteil an Privatsphäre erhalten.

Hackerangriff auf den Bundestag, nun geht’s los

Im Moment hört man ständig in den Medien, dass wegen des Hackerangriffs auf den Bundestag vor ca. 3 Monaten die IT-Infrastruktur abgeschaltet wurde.

Wenn ich so etwas lese, ergeben sich für mich sehr viele Fragen.

Der Hackerangriff war doch schon vor 3 Monaten, wurde in der Zwischenzeit einfach weitergearbeitet?
Was ist mit der Schadsoftware passiert? Ist sie noch im Netz und wurde in der Zwischenzeit fleissig weiter verteilt?
Warum müssen denn die Serversysteme auch getauscht werden
eigentlich hätte ich noch so ca. 10 Fragen, aber ich belasse es mal dabei.

Zusammenfassend kann man wohl sagen, sämtlicher Informationsfluss wirft immer wieder neue Fragen auf. Aus meiner Sicht sieht es gar so aus, als würde man total im Dunkeln tappen. Nach 3 Monaten erst mit Abschaltung der Systeme zu reagieren, ist entweder arrogant oder dumm.

Nun wird die Sommerpause genutzt, vor einigen Wochen sollte zwar schon einmal abgeschaltet werden, aber wegen der Debatten zur Griechenlandhilfe ging das nicht. Die (verseuchten?) Systeme wurden wohl noch gebraucht.

Zur Eliminierung des Trojaners werden viele verschiedene Informationen bekannt gegeben. Säuberung der Systeme, ich frage nochmal wirklich? nach 3 Monaten. Austausch von Hardware, hier frage ich mal, wer will denn da jetzt so richtig verdienen?

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) gibt regelmäßig Tipps zum Umgang mit IT-Sicherheit heraus. Es hat sogar die sogenannten BSI-Grundschutzkataloge auf den Markt geworfen. Die gaukeln zwar nur Sicherheit vor, leiten aber dazu an, sich über IT-Sicherheit mal kurz Gedanken zu machen und zu überprüfen, wo man steht und ob vielleicht etwas mehr getan werden sollte.

Jede ordentliche Firma hat einen Notfallplan, sei es für Feuer o.ä. Für IT-Notfälle heißt er IRP, Incident Response Process. Was sagt der für den Bundestag passende denn für den Fall eines Angriffes?

Und meine letzte Frage, wo steht denn der Bundestag (und ich werfe auch gerne schnell noch alle anderen Behörden in den Topf) in Bezug auf den BSI-Grundschutz? Sollte es nicht gerade dort Pflicht sein, das anzuwenden, was eine andere Behörde ausgearbeitet hat? Schließlich sind sie alle wie sie da sitzen nur unsere Vertretung (StaatsDIENER), ich erwarte etwas mehr Einsatz und Integrität für mein (Steuer) geld.

siehe auch: Hackerangriff auf franz. Fernsehsender; IT-Sicherheit ein Einführung

Botnet, was ist das, was macht das und was geht es mich an?

Immer wieder taucht der Begriff Botnet(z) in den Medien auf. Durch die Frequenz der Nennung ging dieses Wort wie selbstverständlich in unseren Sprachgebrauch über. Jeder kennt es, oder?

Ein (Ro)BOT- net(z) besteht aus verschiedenen Bots. Der Begriff wurde abgekürzt von Robot. Ein Bot ist ein Schadprogramm, mit dem ein bestimmter, krimineller Zweck verfolgt wird. Alle Rechner, die mit dem Bot infiziert sind, bilden das Botnet und sind zumeist zusammen ansteuerbar.

Anwendungsbeispiele von Botnetzen:

Über den infizierten Rechner kann auf weitere Rechner (Server, Firewalls etc.) im selben Netzwerk zugegriffen werden
Es können sensible lokale Daten gestohlen werden (Zugangsdaten etc.)
Nutzung des infizierten Rechners zur Fernsteuerung anderer Rechner oder
zum Versand von Phishing und Spammails
Missbrauch des gekaperten Rechners zur Speicherung/Verteilung illegaler Inhalte
der Phantasie sind hier keine Grenzen gesetzt

Wie kann man sich schützen?

Wie immer gilt, kann man auch nochmal in diesem Blog nachlesen, keine Mails von unbekannten Empfängern mit dubiosen Betreffs öffnen. Allerdings werden auch diese Mails immer besser. Nicht jeden Mist herunterladen. Keine Links betätigen zur Validierung irgendwelcher Zugriffskonten u.ä.

Kann man sehen, ob der benutzte Rechner bereits Opfer geworden ist?

Es gibt ein sehr gutes Projekt, das Anti-Botnet-Beratungszentrum

Hier kann man Testsoftware und Cleaner herunterladen. Diese werden ständig aktualisiert, es lohnt sich deshalb auch regelmässige Checks am eigenen Rechner durchzuführen.

Vorsorge ist besser als heilen:

Rechner aktuell halten (Updates einspielen)
Virenscanner aktuell halten
Browser Plugins aktuell halten
Prüfen, ob man nicht auf Java verzichten kann, Java ist ein beliebter Angriffspunkt, meistens kann man drauf verzichten
Windows Firewall aktivieren
Routermöglichkeiten nutzen