Foto: bygermina/GaudiLab – Shutterstock

Wichtigste Voraussetzung ist Cybersicherheit. Digitaler Verbraucherschutz wird immer wichtiger – für den Einzelnen ebenso wie für die Gesellschaft insgesamt.

Von Arne Schönbohm

Die zunehmende Digitalisierung aller Lebensbereiche führt für viele Bürgerinnen und Bürger ebenso wie für Unternehmen zu neuen Möglichkeiten, zu mehr Komfort und zu mehr Effizienz. Gleichzeitig entstehen durch die zunehmende Vernetzung und Internetfähigkeit von Informations- und Unterhaltungselektronik, Haushaltsgeräten oder anderen Gegenständen des täglichen Gebrauchs neue Risiken und potenzielle Angriffsflächen für Cyberkriminelle.

Informationssicherheit wird daher im Sinne eines „digitalen Verbraucherschutzes“ immer wichtiger – für einzelne Anwender ebenso wie für die Gesellschaft. Die Etablierung von grundlegenden IT-Sicherheitsstandards und die Information und Sensibilisierung der Verbraucherinnen und Verbraucher ist daher eine Aufgabe, der sich das BSI als nationale Cybersicherheitsbehörde stellt.

Cyberkriminelle

Digitalisierung und Vernetzung führen dazu, dass Verbraucherinnen und Verbraucher jederzeit und von jedem Ort aus auf Online-Angebote zugreifen oder Anwendungen steuern können. Bankgeschäfte werden per Online- Banking, Einkäufe per Online-Shopping erledigt. Die Heizung im „smarten“ Zuhause wird per Smartphone aus der Ferne geregelt, auch die Rollläden lassen sich per App auf- und zumachen. Gleichwohl gehen mit diesen neuen Möglichkeiten der Vernetzung auch Risiken einher, denn die Digitalisierung schafft auch für unbefugte Dritte neue Möglichkeiten. Cyberkriminelle nutzen dies für ihre Zwecke und gefährden die Cybersicherheit einzelner oder vieler Anwender.

Im Fokus der Cyberkriminellen stehen unter anderem persönliche Daten von Verbraucherinnen und Verbrauchern, aber auch der Angriff auf ganze Systeme, um diese zum Einsturz zu bringen. Mittels Cyberangriffen wird etwa versucht, in die Systeme von digitalen Diensteanbietern einzudringen, um dort sensible Kundendaten abzuschöpfen. So gelang es Cyberkriminellen zum Beispiel, eine Sicherheitslücke in 1.000 Online-Shops in Deutschland auszunutzen, die es ihnen ermöglichte, bei der Aufgabe einer Bestellung die Kundendaten auszuspähen.

Neben dieser Gefährdung Einzelner stellen unsichere IT-Produkte jedoch auch ein Risiko für die öffentliche Sicherheit dar. Wenn zum Beispiel internetfähige Anwenderprodukte wie Router, Netzwerkdrucker oder Smart-TVs von Cyberkriminellen zu einem Botnetz zusammengeschlossen werden, können damit Cyberangriffe gegen Dritte bzw. gegen weitere Geräte oder Netzwerke ausgeführt werden und weitaus größere Schäden anrichten. Der Fall des Mirai-Botnetzes, das aus zusammengeschlossenen ungesicherten IoT-Geräten besteht, und der damit verbundene Ausfall Hunderttausender Telekom-Router als Folge einer versuchten Infektion mit Schadcode belegen dieses Risiko eindrücklich.

Router: Von Cyberkriminellen gebündelt zum Botnetz können sie erheblichen Schaden anrichten (Foto: moebiusdream – Pixabay)

Transparenz

Um die Digitalisierung erfolgreich gestalten zu können, müssen Verbraucherinnen und Verbraucher über bestehende und neue Risiken aufgeklärt und dabei unterstützt werden, sich dagegen zu wappnen. Im Sinne eines „digitalen Verbraucherschutzes“ unterstützt das BSI als herstellerunabhängige und kompetente technische Stelle die Verbraucherinnen und Verbraucher in der Risikobewertung von Technologien, Produkten, Dienstleistungen und Medienangeboten. Dabei arbeitet das BSI eng mit anderen Einrichtungen des Verbraucherschutzes zusammen, etwa mit der Verbraucherzentrale NRW. Neben einem besseren Schutz des Einzelnen wird dagesellschaftliche Widerstandsfähigkeit gegen Cybergefahren jeglicher Art erhöht.

Vor dem Hintergrund seiner Zuständigkeit für den Digitalen Verbraucherschutz hat das BSI kürzlich eine Technische Richtlinie (TR) für Breitband-Router veröffentlicht. Die TR definiert ein Mindestmaß an IT-Sicherheitsmaßnahmen, die für Router im Endkundenbereich umgesetzt sein sollten. Ziel ist es unter anderem, die Sicherheitseigenschaften für Verbraucherinnen und Verbraucher transparent zu machen.

Die Veröffentlichung der TR-Router ist ein wichtiger Schritt in Richtung eines IT-Sicherheitskennzeichens, wie es die Bundesregierung in der Cyber-Sicherheitsstrategie von 2016 und im Koalitionsvertrag vorgesehen hat. Das BSI wird auch für weitere Geräte des Internets der Dinge und des Smart Homes Mindestanforderungen an deren IT-Sicherheit formulieren.

Cybersicherheit ist die Voraussetzung für eine erfolgreiche Digitalisierung. Sie ist keine Innovationsbremse, sondern ein Innovationsgarant, wenn die strategischen politischen Entscheidungen für die Zukunft der Digitalisierung Cybersicherheit bereits berücksichtigen. Auf diesem Weg ist Deutschland ein gutes Stück vorangekommen. Wichtige Maßnahmen auf legislativer und operativer Ebene wurden in allen Bereichen umgesetzt. Die Vernetzung der Akteure in Bund, Ländern und Kommunen wurde vorangetrieben, die Kooperation mit Einrichtungen der Wirtschaft und Gesellschaft wurde ausgebaut, das BSI wurde personell aufgestockt. Wir sind gut gerüstet.

Fortsetzung

Das sind wir aber nur so lange, wie wir als Gesellschaft nicht nachlassen, unsere Bemühungen für mehr Cybersicherheit zumindest parallel, noch besser aber proaktiv zur Gefährdungslage zu steigern. Denn eine erfolgreiche Fortsetzung des Digitalisierungsprozesses wird es ohne Cybersicherheit nicht geben. Vorhandene Kooperationsstrukturen müssen dazu national und international intensiviert, ein funktionierendes Abwehrniveau muss immer wieder auf den Prüfstand gestellt werden. Wir müssen offen bleiben für Neues, neue Gefährdungen antizipieren und das Bewusstsein für die Bedeutung der IT-Sicherheit weiter schärfen.

The post Digitalisierung erfolgreich gestalten appeared first on DIVSI.

Foto: eBlocker

Intelligente Lösung sichert Privatsphäre beim Surfen auf allen Geräten – immer und überall.

Von Christian Bennefeld

Anwendungen im Internet und per App sind meist gratis. Doch so groß der damit verbundene Vorteil auch sein mag, oft dienen die Angebote vor allem einem Zweck: dem Ausspionieren der Nutzer. Hat man gerade nach Tipps zur Finanzierung gesucht, bombardieren einen andere Webseiten mit Werbung für Online-Kredite. Informiert man sich in sozialen Netzwerken und mithilfe von Suchmaschinen zu bestimmten Themen, werden zukünftige Nachrichtenangebote auf das vorangegangene Nutzungsverhalten zugeschnitten, also „gefiltert“. Diese Filterblasen führen dazu, dass man nicht mehr mit anderen Sichtweisen konfrontiert, sondern nur noch einseitig informiert wird. Viele Online-Shops verwenden dynamische Preisbildung, um ihren Profit zu optimieren. Abhängig davon, ob Nutzer mit Computer, Tablet oder Smartphone auf der Suche nach Angeboten sind, sehen sie unterschiedliche Preise.

Der Grund für die Verfolgung durch Werbung oder unterschiedliche Preisangebote sind Persönlichkeitsprofile, erstellt von Werbeservern und Datensammlern, bekannt als „Tracker“. Diese schreiben nicht nur das Verhalten des Nutzers auf einzelnen Webseiten mit, sondern können ihn durch das ganze Internet verfolgen, und zwar so lange, bis ein Tracker entdeckt und abgeschaltet wird. Dadurch entstehen nicht nur Persönlichkeitsprofile, sondern ganze Profile zur Persönlichkeitsentwicklung.

Generelle Gefährdung

Nicht einmal vor dem Nachwuchs machen die Datenwanzen halt. Eine Untersuchung der Tracker- Experten von eBlocker zeigte, dass selbst Internetseiten, die sich speziell an kleine Kinder richten, ihre Besucher ausspionieren und anschließend mit verlockender Werbung bombardieren. Von zwölf geprüften Kinderseiten schnüffelten neun ihre vorrangig kindlichen Besucher aus. Auf einigen Seiten fanden die Experten bis zu 64 solcher Tracker. Sie protokollieren alles. Dazu werden sämtliche Mausbewegungen haargenau aufgezeichnet und die Augenreaktionen daraus abgeleitet. Nach einiger Zeit wissen die Tracking-Unternehmen exakt, mit wem sie es zu tun haben: Alter, Geschlecht, Vorlieben, Lernfortschritte, Entwicklungsstand. Jeder Einzelne hinterlässt unbewusst seine ganz persönliche Visitenkarte.

Die Profiteure sind Datenhändler, Werbekonzerne und Scoring-Anbieter. So verknüpft beispielsweise Google nach eigenen Angaben über die mehr als 70 Dienste gewonnenen Daten zu genauen Persönlichkeitsprofilen. Selbst wenn der Nutzer gar keine Google-Dienste nutzt, gerät er in die Fänge des Datenkraken. Dank Google Analytics, des Web-Analyse-Systems von Google, das heute auf mehr als 80 Prozent aller Websites zum Einsatz kommt, entgeht dem Konzern kaum ein Klick. Vor diesem Hintergrund ist das Ergebnis der DIVSI Internet-Milieu-Studie 2016 „Die digitalisierte Gesellschaft in Bewegung“ geradezu erschreckend; „Lediglich 6 Prozent der Internetnutzer gehen davon aus, dass ihr Online-Verhalten schon einmal getrackt wurde.“ Das ist realitätsfern. Denn jeder wird unentwegt getrackt, wenn keine besonderen Schutzmaßnahmen getroffen wurden.

Anders als in traditionellen Medien ohne Rückkanal, wie Radio, Fernsehen oder Print, ist es durch die Internetnutzung möglich, auf die Persönlichkeit individuell abgestimmte Informationen anzuzeigen. Die Branche spricht hierbei von nutzerindividuellem Targeting. Gerade Jugendliche und junge Erwachsene geraten in Filterblasen, in denen sie maßgeschneiderte Inhalte präsentiert bekommen. Das geschieht, wenn bestimmte Dienste per Relevanzfilterung Beiträge gezielt auf Hobbys und politische Orientierung vorfiltern und ausrichten.

Datenschnüffelei

Das Schockierende: Die Tracking-Praktiken greifen auf jedem internetfähigen Endgerät, egal ob Computer, Tablet, Smartphone, Spielekonsole, Smart-TV, WLAN-fähigem Fitnessarmband oder anderen Gadgets aus dem wachsenden Internet of Things (IoT). Aus gutem Grund ist in den USA bereits seit 2013 das Tracken von Online-Aktivitäten von Kindern unter 13 Jahren per Gesetz verboten. Hierzulande haben Datenschnüffler dagegen anscheinend freie Bahn. Wer denkt, dass in Deutschland besonders hohe Datenschutzstandards die Bürger schützen, befindet sich auf dem Holzweg. Zwar genießen wir in der Tat hohe Datenschutzstandards. Die im Mai in Kraft getretene DSGVO stärkt zum Beispiel in vielen Punkten die Rechte der Verbraucher, etwa durch die Möglichkeit des Widerspruchs der Profildatenspeicherung. Faktisch hat sich dadurch aber kaum etwas geändert.

Schutzlos

Ein Betreiber muss laut DSGVO alle Tracker in der Datenschutzerklärung der Website nennen, die Nutzerprofile erfassen. In der Praxis taucht aber häufig nur ein Bruchteil der verwendeten Tracker in der Datenschutzerklärung auf. Außerdem ist ein Widerspruch nur möglich, wenn der sogenannte Opt-out technisch möglich ist und nicht an bestimmte Betriebssysteme oder Browser gebunden ist. Google Analytics bietet beispielsweise standardmäßig nur eine Widerspruchsmöglichkeit per Plugin an, das sich beispielsweise auf Apple iOS-Geräten, auf Smart-TVs oder Spielekonsolen nicht ausführen lässt. Nicht zuletzt verzichten viele Seitenbetreiber gleich komplett auf die aufwendige Implementierung von Opt-out-Cookies.

Selbst wenn sämtliche Tracker in der Datenschutzerklärung genannt werden und eine technisch auf jedem Gerät funktionierende Widerspruchsmöglichkeit existiert, hat der Nutzer praktisch keine Chance gegen die Datenerhebung. Denn dazu müsste er nicht nur sämtlichen durchschnittlich 20 Trackern einzeln widersprechen – und das, bevor er die Seite besucht. Anschließend müsste er dazu kleinlich darauf achten, dass er die Cookies, die den Widerspruch enthalten, nicht wieder löscht, um dann wieder von vorne anzufangen. Ein solches Vorgehen ist vollkommen unrealistisch.

Kaum ein Unternehmen hält sich beim Tracking an die Vorgaben der Datenschutzaufsichtsbehörden. Eine stichprobenartige Untersuchung der Internetseiten der zehn umsatzstärksten DAX-Unternehmen durch eBlocker ergab, dass nur das Unternehmen E.ON die Anforderungen der Aufsichtsbehörden umsetzt. Nicht zuletzt halten sich nur wenige Unternehmen an die Vorgaben, da der Staat Verstöße selten bis nie ahndet. Die DSGVO scheint sich als zahnloser Tiger zu entpuppen, den nicht einmal die größten Unternehmen mit bester juristischer Beratung fürchten. Konsequenz: Nutzer müssen sich selbst schützen.

Privatsphäre garantiert

Die Menschen wollen die Vorteile des Internets nutzen, fühlen sich aber technisch nicht in der Lage, sich angemessen gegen Tracker und andere Gefahren zu schützen. Das Hamburger Start-up eBlocker hat eine kinderleichte Anwendung entwickelt, die so einfach ist, dass sie von jedem genutzt werden kann, ganz ohne IT-Wissen. Als weltweit erste Plug & Play-Lösung ermöglicht der eBlocker anonymes Surfen und sichert die persönliche Privatsphäre. Dazu wird die kleine Box lediglich per Kabel am Router angedockt und mit Strom versorgt. Sofort blockiert sie zuverlässig alle bekannten Trackingsysteme sowie andere Datensammler – und das bei allen Geräten im Heimnetz, egal ob Computer, Tablet, Smart-TV oder Spielekonsole.

Schutzwürfel: Kleines Gerät mit großer Wirkung. Auch Laien könnenes problemlos nutzen. (Foto: eBlocker)

Das Gerät kann als Torwächter zum Internet dienen. Es hilft den Nutzern, die Kontrolle über ihre Online-Privatsphäre zu behalten. Er bietet die Möglichkeit, für alle Geräte im Heimnetz die Identität zu tarnen, Tracking zu verhindern, Gefahren durch Malware wie gefährliche Phishing- Seiten abzublocken.

Schutzwall: Die grafische Oberfläche des eBlockers: klar und übersichtlich. (Foto: eBlocker)

Wertvolle Jugendschutzfunktionen helfen, dass sich Eltern keine Sorgen mehr machen müssen, ob ihr Kind auf jugendgefährdende oder andere ungeeignete Inhalte im Netz stößt. Bequem per Klick kann z.B. die sichere & kindgerechte Website für Kinder fragFINN freigeschaltet werden. eBlocker bietet altersgerechte Filtersysteme, die wahlweise nur bestimmte Seiten zulassen, Zudem die Möglichkeit, die Online-Zeit auf die Minute genau zu regulieren, das geheime nächtliche Surfen auszuschließen und genaue Tageszeiten und geräteübergreifende Nutzungszeiten festzulegen.

Mithilfe einer Mobile-Tunneling-Lösung werden sogar mobile Geräte unterwegs geschützt. Das Prinzip dahinter: Nutzer, die mit ihrem Smartphone mobil online sind, verbinden sich per VPN-Verbindung über das Mobilfunknetz und in öffentlichen Hotspots mit dem heimischen eBlocker. Dadurch entfaltet sich die Sicherheitswirkung selbst außerhalb des Heimnetzes. Positiver Nebeneffekt: Auch der Verbrauch kostbaren Datenvolumens wird reduziert, indem unerwünschtes Tracking und Werbung geblockt wird.

Wie viele Tracking-Informationen geben Sie weiter?

The post Sicherheit und Convenience bei der Internetnutzung: So geht‘s appeared first on DIVSI.

Zum Inhalt: In Hamburg sagt man Tschüss
 Und weitere Themen…

The post DIVSI Magazin – Ausgabe 4/2018 appeared first on DIVSI.

Foto: piick | Shutterstock

Dringend gefordert: Maßnahmen zum Schutz unserer digitalen Infrastrukturen und privater Kommunikation

Von Konstantin von Notz

Vor einigen Monaten gelang es Hackern, in das hochgesicherte Netz des Bundes einzudringen und sich darin mindestens ein halbes Jahr unentdeckt zu bewegen. Dabei wurde das Netzwerk des Bundes von der Bundesregierung nach einem ähnlich verheerenden Angriff auf den Deutschen Bundestag als eines der sichersten Netze überhaupt gepriesen. Der Angriff kann nicht als singuläres Ereignis betrachtet werden. Er reiht sich in eine ganze Kette vergleichbarer Attacken auf digitale Infrastrukturen und IT-Systeme ein, die von Staaten, öffentlichen Einrichtungen, Unternehmen und Privatpersonen genutzt werden. Deutlich wurde erneut: Insgesamt steht es schlecht um die IT-Sicherheit in Deutschland.

Seit Jahren weisen wir darauf hin, dass in unserer zunehmend vernetzten Welt auch die Bundesregierung in der Pflicht steht, einen hohen Schutz von Netzen, IT-Systemen und privater Kommunikation zu garantieren. Eine solche Schutzverpflichtung lässt sich, darauf haben Verfassungsrechtler wiederholt hingewiesen, direkt aus unserem Grundgesetz ableiten.

Dennoch wird die Bundesregierung dieser Schutzverantwortung bis heute nicht gerecht. Dies ist insofern auch vollkommen unverständlich, als dass Vertrauen in gute IT-Sicherheit und die Privatheit von Kommunikation nicht nur die Voraussetzung für die gemeinwohlorientierte Gestaltung der Digitalisierung, sondern auch für die Akzeptanz in neue digitale Angebote und E-Government ist.

Maßnahmen unzureichend

Die bisherigen Maßnahmen der Bundesregierung zum Schutz der IT-Sicherheit sind absolut unzureichend: Erst wurde die IT-Sicherheit über Jahre der Selbstregulierung der Wirtschaft überlassen. Dann wurde von der letzten großen Koalition ein IT-Sicherheitsgesetz verabschiedet, das seinen Namen kaum verdient. Insgesamt bleibt die IT-Sicherheitspolitik der Bundesregierung höchst widersprüchlich. Um nur ein Beispiel zu nennen: Ob man Verschlüsselung nun politisch unterstützen oder mit neuen Behörden wie ZITIS lieber flächendeckend brechen will, man scheint es selbst nicht genau zu wissen.

Im Bereich der IT-Sicherheit irrlichtert die Bundesregierung orientierungslos durch den digitalen Raum. Erst vor wenigen Wochen musste sie erneut einräumen, dass sie auf zentrale, verfassungsrechtlich heikle Fragen auch weiterhin keine Antworten hat. Dies gilt u.a. für weiterhin hochumstrittene „Hackbacks“, also offensive Gegenschläge, aber auch den staatlichen Umgang mit IT-Sicherheitslücken.

Rechtliche Klarstellungen sind seit Jahren überfällig, werden aber bewusst verschleppt. Dies ist schlecht für die Rechtssicherheit von Unternehmen und die Akzeptanz digitaler Innovationen. Zudem gefährdet es Grundrechte und bestärkt Staaten wie China, denen man so ganz gewiss kein Entgegenkommen bei gerade gescheiterten, aber weiterhin dringend benötigten neuen Abkommen, beispielsweise zur Ächtung von Cyberwaffen im Rahmen von UN-Verhandlungen, abringen kann.

Militarisierung

Dennoch treiben derzeit vor allem Ursula von der Leyen und Horst Seehofer die Militarisierung des digitalen Raums weiter voran und schaffen gänzlich neue Gefahren. Der Name der neuen „Agentur für Innovationen in der Cybersicherheit“ ist reiner Etikettenschwindel. Diese Agentur würde die IT-Sicherheit ganz bestimmt nicht erhöhen, sondern zusätzlich gefährden – und zwar massiv.

Die Pläne für die neue Cyberagentur könnten unausgegorener kaum sein. Was sie eigentlich leisten, auf welcher Rechtsgrundlage sie arbeiten soll oder wie eine Abgrenzung zu – ebenfalls höchst umstrittenen – Einrichtungen wie ZITIS aussehen soll – all das weiß die Bundesregierung scheinbar selbst nicht. Eine Abstimmung mit anderen Ministerien, beispielsweise dem Auswärtigen Amt, das seit Jahren eine dezidiert andere Politik verfolgt und dessen internationale Bemühungen zur Verbesserung der IT-Sicherheit so massiv torpediert werden, fand scheinbar nicht statt. Aus gutem Grund haben sich auch Abgeordnete aus den regierungstragenden Fraktionen öffentlich gegen die unausgegorenen und die IT-Sicherheit gefährdenden Pläne ausgesprochen. Geholfen hat es nichts. Knappe Ressourcen. Die Bundesregierung muss endlich umsteuern. Statt die Eskalationsspirale im digitalen Raum weiter zu befördern, muss sie eine echte Kehrtwende im Bereich der IT-Sicherheit vornehmen. Auch vor dem Hintergrund, dass es eine beinahe irrwitzige Annahme ist, ein cyberpolitisches Wettrüsten gegen Staaten wie Nordkorea, China und Russland gewinnen zu können, sollten sich die wenigen zur Verfügung stehenden Ressourcen auf die notwendige Härtung und den Schutz digitaler Infrastrukturen konzentrieren. Die Bundesregierung muss sich gemeinsam mit ihren Verbündeten für neue internationale Regelungen und Kontrollregime engagieren. Genau wie die Ächtung von Antipersonenminen brauchen wir auch die Ächtung bestimmter Praktiken der Cyberkriegsführung und -technologien. Nur das sorgt langfristig für Sicherheit und Freiheit im digitalen Raum. Offensive Operationen und sogenannte „Hackbacks“, der staatliche Ankauf, das Offenhalten und die weitere Nutzung von bislang nicht öffentlich bekannten Sicherheitslücken („Zero-Day-Exploits“) sowie Überlegungen einer gesetzlichen Verpflichtung für Unternehmen, Hintertüren in Hard- und Software zu verbauen, sind konsequent abzulehnen. Sicherheitslücken müssen schnellstmöglich im Zusammenspiel staatlicher und privater Akteure geschlossen und der Öffentlichkeit bekannt gemacht werden.

Anlasslose Massendatenspeicherungen ohne erwiesenen sicherheitspolitischen Mehrwert und zulasten von Grundrechten sind auch weiterhin abzulehnen. Zudem brauchen wir, will man an diesen Instrumenten festhalten, endlich zumindest klare Rechtsgrundlagen für den Einsatz von Quellen-Telekommunikationsüberwachung und die Online-Durchsuchung. Diese fehlen bis heute.

Foto: piick | Shutterstock

Maßnahmenbündel

Der Staat hat für die Vertraulichkeit und Integrität informationstechnischer Systeme zu sorgen und das Grundrecht auf Privatheit der Kommunikation zu wahren und auszubauen. Damit die Bundesregierung dieser weiterhin drängenden Aufgabe endlich tatsächlich nachkommt, haben wir einen umfassenden Katalog mit 25 Maßnahmen zur Erhöhung der IT-Sicherheit vorgelegt.

Wir fordern die Bundesregierung u.a. auf, schnellstmöglich ein neues IT-Sicherheitsgesetz vorzulegen, das seinen Namen tatsächlich verdient, sehr viel breiter ansetzt und Anreize für proaktive Investitionen in gute IT-Sicherheitslösungen schafft. Auch die weiterhin mangelnde Koordinierung und ungeklärte Zuständigkeiten muss die Bundesregierung endlich auflösen.

Weiterhin scheint es notwendig, die Verantwortung für IT-Sicherheit aus dem Bundesinnenministerium herauszulösen. Zu groß sind die Interessenkonflikte, beispielsweise bezüglich des notwendigen Schutzes digitaler Infrastrukturen und privater Kommunikation und der weiterhin extrem hohen Begehrlichkeiten der Sicherheitsbehörden, die ein „going dark“ um jeden Preis verhindern wollen. Ein solcher Anspruch ist sicherheitspolitisch eventuell verständlich, aus einer rechtsund demokratiepolitischen Perspektive jedoch abzulehnen. Denn einen solchen Anspruch, in jedweden Kommunikationsvorgang schauen zu können, kennen wir bislang nur aus autoritären und totalitären Staaten wie China. Statt eines auf die Allgemeinheit und die Schwächung der IT-Sicherheit insgesamt abzielenden Ansatzes brauchen wir eine zielgerichtete, polizeiliche Abwehr konkreter Gefahren auf klaren Rechtsgrundlagen. Das ist die Erkenntnis der letzten Jahre.

Auch das Bundesamt für die Sicherheit in der Informationstechnik (BSI) ist noch immer dem Innenministerium unterstellt. Wie zuvor die Bundesdatenschutzbeauftragte (BfDI) wollen wir es aus dem Verantwortungsbereich des BMI herauslösen. Nur so kann es eine unabhängige Beratung tatsächlich leisten. Ferner machen wir uns dafür stark, dass die bestehenden Aufsichtsstrukturen sehr viel besser ausgestattet werden.

Unterstützung der Wirtschaft

Einseitige Abhängigkeiten von wenigen IT-Dienstleistern, deren Software nicht überprüfbar ist, muss behoben und der Einsatz und die hohe Qualität von quelloffener Software politisch stärker unterstützt werden. Bei allen E-Government- Angeboten sind beste IT-Sicherheitslösungen auf dem neuesten Stand der Technik, wie zum Beispiel durchgehende Ende-zu-Ende-Verschlüsselungen, zum Standard zu machen. Dabei müssen Datenschutz und IT-Sicherheit zwingend zusammen gedacht werden. Mit Zertifizierungen sollen Anreize geschaffen werden, in gute und sichere IT-Lösungen, insbesondere beim „Internet der Dinge“ (IoT), zu investieren. Kleinere und mittlere Unternehmen müssen bei sicherheitstechnischen Herausforderungen durch ein dezentrales und unabhängiges IT-Beratungsnetzwerk unterstützt werden. Haftungsanreize für alle in der IT-Kette verantwortlichen Stellen wollen wir stärken und Anbieter zur Bereitstellung von Sicherheits-Updates verpflichten.

Diese und weitere Maßnahmen zum Schutz unserer digitalen Infrastrukturen und unserer privaten Kommunikation sind überfällig. Die Bundesregierung muss sie endlich umsetzen – zumindest, wenn sie sich nicht weiter vorhalten lassen will, selbst eine Gefahr für die IT-Sicherheit darzustellen, und sie ihre eigenen Sonntagsreden zum notwendigen Grundrechtsschutz im Digitalen ernst nimmt.

The post IT-Sicherheit stärken, Freiheit erhalten, Frieden sichern appeared first on DIVSI.

Foto: cherezoff | Shutterstock

Betroffen sind alle. Vor allem ausländische Unternehmen müssen Strategien entwickeln, damit umzugehen.

Von Florian Kessler, Jost Blöchl

Das chinesische Cybersecurity- Gesetz (CSG), das seit dem 1. Juni 2017 in Kraft ist, trifft Regelungen zu Datenschutz, IT-Sicherheit und Verhalten im Internet. In Deutschland finden sich vergleichbare Inhalte in der Datenschutzgrundverordnung (DSGVO), dem IT-Sicherheitsgesetz, den Regelungen zum Äußerungsrecht oder dem Netzwerkdurchsetzungsgesetz. Die chinesische Variante unterscheidet sich jedoch in der Anwendung in etlichen Punkten. Grund hierfür ist eine grundsätzlich andere Ausrichtung. Argumentieren europäische Gesetzgeber primär mit dem Schutz von Persönlichkeitsrechten ihrer Bürger, stehen in China die Erhaltung der „Souveränität über den Cyberspace“ und der nationalen Sicherheit im Vordergrund.

Das CSG ist Teil einer Gesamtstrategie zum Aufbau eines digitalen Chinas. An seiner Umsetzung sind diverse Behörden und Institutionen beteiligt, die, teilweise mit Rechtssetzungskompetenz ausgestattet, weitere Vorschriften erlassen. Dies sind Gesetze, Verordnungen oder nationale Standards, die die im CSG nur grob umrissenen Pflichten konkretisieren. Die Titel von circa 300 nationalen Standards, die sich mit IT-Sicherheit und Datenschutz befassen, zeigen, wohin China will: Cloud Computing, Big Data, Internet of Things, industrielle Kontrollsysteme oder Smart City sind nur einige Beispiele für die geplante umfassende Regulierung des digitalen Raums. Viele der Vorschriften befinden sich noch im Entwurfsstadium. Voraussichtlich wird ein Großteil der Vorschriften bis Ende 2018 finalisiert.

Zwingendes Thema: Das CSG gilt für natürliche und juristische Personen, die im Gebiet Chinas Informationen erheben, verarbeiten oder verbreiten. Betroffen sind alle ausländischen Unternehmen mit Niederlassungen in China, aber auch ausländische Unternehmen, die sich zum Beispiel mit ihrer Webseite an chinesische Kunden wenden. Diesen droht bei Verstößen die Blockierung ihrer Angebote in China.

Betroffene: Die Zielgruppen des CSG

Schwellenwerte für die Anwendbarkeit des Gesetzes, z.B. nach Anzahl der Mitarbeiter oder nach Umfang der Datenverarbeitung, gibt es nicht. Die zu erfüllenden Pflichten variieren aber in Abhängigkeit von der rechtlichen Einordnung als Betroffener nach dem CSG und nach dem Umfang der Datenverarbeitung.

Umsetzungsfokus

Die ersten Anwendungsfälle des neuen Gesetzes betreffen die Steuerung des Verhaltens der Unternehmen und Bürger im Internet und spiegeln damit das chinesische Primat der Erhaltung der Souveränität über den Cyberspace wider. Behörden prüften Webseiten und Social-Media-Kanäle auf die Einhaltung „sozialistischer Werte“ und verlangten die Löschung von Inhalten, z.B. Klatschgeschichten oder politisch nicht gewollten Inhalten. Internationale Aufmerksamkeit erlangte der Fall einer Hotelkette, deren Webseite in China für eine Woche gesperrt wurde, weil sie Tibet und Taiwan in einem Auswahlmenü als eigenständige Kategorien aufgeführt hatte.

Weitere Maßnahmen erfolgten zum Datenschutz, z.B. bei der Unterbindung des illegalen Datenhandels. Nach aktuellem Stand werden zukünftig die Polizeibehörden die Aufsicht über die Durchsetzung des CSG führen und nicht unabhängige Datenschutzbehörden. Gründe hierfür sind der gesetzgeberische Fokus des CSG auf die Erhaltung der nationalen Sicherheit sowie die enge Verknüpfung von Datenschutz und Strafrecht. Fälle von Identitätsdiebstahl und Online-Betrug sind ein wachsendes Problem in China, welches die Behörden in den Begriff bekommen wollen.

Beim Datenschutz ergeben sich Parallelen und Besonderheiten im Vergleich zur DSGVO. Das CSG erfasst personenbezogene Daten, die ähnlich der DSGVO nach dem Merkmal der Identifizierbarkeit einer natürlichen Person bestimmt werden. Daneben werden mit Verweis auf die nationale Sicherheit, die wirtschaftliche Entwicklung Chinas und öffentliche Interessen auch „wichtige“ Daten vom CSG erfasst. Welche Daten hierunter genau fallen, ist noch nicht geklärt. Ein aktueller Entwurf bezeichnet Daten aus insgesamt 27 Kategorien als wichtig.

Die Pflichten für den Umgang mit personenbezogenen und wichtigen Daten sind aktuell weitestgehend einheitlich gestaltet. Für die Verarbeitung personenbezogener Daten gelten einige zusätzliche Pflichten. Bei deren Umsetzung können europäische Unternehmen in vielen Fällen auf Vorarbeiten im Rahmen der DSGVO zurückgreifen und müssen diese häufig nur geringfügig an die chinesischen Besonderheiten anpassen. Pflichten wie die Aufzeichnung von Verarbeitungsprozessen, Risikoabschätzungen, ein grundsätzliches Einwilligungserfordernis, die Wahrung von Auskunftsrechten, Berichtigungs- und Löschungsansprüchen oder das Vorhalten einer Datenschutzerklärung finden sich parallel in der DSGVO und den chinesischen Regeln.

Erfassung. Egal welche Daten: Alles ist fest im Visier.

Eine große Sorge für ausländische Unternehmen ist die im Raum stehende lokale Speicherpflicht in China. Diese laut CSG nur für Betreiber Kritischer Infrastrukturen geltende Pflicht wurde in einem Entwurf einer Umsetzungsvorschrift auf alle Netzwerkbetreiber erweitert. Bleibt es bei dieser Erweiterung, müssten ausländische Unternehmen ihre IT-Infrastruktur massiv anpassen, z.B. die Wahl von Cloud-Services oder zentral aus dem Ausland betriebene ERP-Systeme oder SAP-Anwendungen. Vor einem Datentransfer in Drittländer werden Unternehmen nach dem Entwurf voraussichtlich eine interne Sicherheitsüberprüfung durchführen und bei größeren Datenmengen eine vorherige Genehmigung einholen müssen.

Kollisionsgefahr

Bei Verstößen gegen das CSG drohen Strafen von Geldbußen bis zum Entzug der Geschäftslizenz.

Die Umsetzungspraxis zeigt, dass ausländischen Unternehmen der Umgang mit dem CSG schwerfällt. Gründe hierfür sind die Regelungsflut, fehlendes geschultes Personal oder Abweichungen von geschriebenem Gesetz und Praxis. So schlagen chinesische Internet-Unternehmen wie Alibaba oder Jingdong in der Praxis (offenbar mit Duldung der Aufsichtsbehörden) einen von den hart formulierten Anforderungen eines empfohlenen Standards abweichenden Weg ein und lassen sich z.B. bei der Registrierung auf ihren Plattformen weitreichende Einwilligungen zusichern.

Für Unternehmen aus dem Technologie- Bereich kann das CSG zu einer erheblichen Einschränkung des Marktzugangs führen. Betroffen sind vor allem Anbieter von Anwendungen für den Bereich Industrie 4.0. Umsetzungsvorschriften stellen klar, dass Netzwerkprodukte z.B. auch Sensorik oder industrielle Kontrollsysteme sind, mit denen Daten erfasst und verarbeitet werden. Der Begriff der wichtigen Daten wird womöglich viele Informationen aus dem Bereich der industriellen Fertigung erfassen.

Diese potenzielle Marktzugangsbeschränkung hat vor allem mit einer Besonderheit nationaler Standards zu tun. Standards werden in der Regel zur Einhaltung empfohlen und nicht als verpflichtend erlassen. Das CSG fordert aber, dass „zwingende Anforderungen relevanter nationaler Standards“ einzuhalten sind. Häufig werden empfohlene Standards faktisch verpflichtend, weil die Einhaltung von Aufsichtsbehörden, Prüfstellen oder Vertragspartnern gefordert wird. Betreiber Kritischer Infrastrukturen sind nach dem CSG gezwungen, nur Netzwerkprodukte und -services einzukaufen, für die die Einhaltung relevanter Standards in Sicherheitsüberprüfungen nachgewiesen ist.

Werden Sicherheitsüberprüfungen nicht oder nur zögerlich durchgeführt, z.B. weil es keine Umsetzungsstrategie gibt, droht der Verlust zukünftiger Aufträge. Vor Kurzem warnte ein amerikanischer Thinktank, dass China eine verstärkte Anwendung der Cybersecurity- Standards als weiteres Mittel im Handelsstreit einsetzen und so für eine Marktabschottung sorgen könnte.

Weitblick

Die Erfüllung der gesetzlichen Mindestanforderungen an Datenschutz und IT-Sicherheit wird für alle Unternehmen in China zu einer regelmäßigen Aufgabe werden. Mit Ausnahme der möglichen Pflicht zur Datenspeicherung in China sind die Anforderungen angesichts der Parallelen zur Rechtslage in Europa für die meisten Unternehmen mit verhältnismäßigem Aufwand handelbar.

Schwerwiegend scheinen die langfristigen Auswirkungen für Unternehmen, die technologiebasiert arbeiten. Diese sollten die weitere Entwicklung der Standards verfolgen und sich soweit möglich an der Erstellung beteiligen, z.B. durch Mitarbeit in internationalen Arbeitsgruppen oder durch Kommentierung von Regelungsentwürfen in China. Anlaufstellen sind z.B. die GIZ oder die Europäische Handelskammer in China. Mit Behörden, Prüfstellen und Kunden, vor allem Betreibern Kritischer Infrastrukturen, ist laufend zu kommunizieren, in welchem Umfang die empfohlenen Regelungen der Standards zwingend werden. Der Aufbau von Expertise und die Schaffung erfolgreicher Strategien zum Umgang mit dem CSG und seinen Umsetzungsvorschriften sind für deutsche Unternehmen ein wesentlicher Baustein für Erhalt und Ausbau der Wettbewerbsfähigkeit auf dem chinesischen Markt.

The post So wirkt Chinas Gesetz für Cybersecurity appeared first on DIVSI.

The post DIVSI Magazin – Ausgabe 3/2018 appeared first on DIVSI.

The post DIVSI Magazin – Ausgabe 2/2016 appeared first on DIVSI.

Bild: Vorobyeva – Shutterstock

Angriffe mit kriminellem Hintergrund sind eine größere Bedrohung als Angriffe mit einem nachrichtendienstlichen Hintergrund.

Von Michael Hange

Die millionenfachen Identitätsdiebstähle von Bürgern, Meldungen zu Cyberangriffen auf Wirtschaftsunternehmen und nicht zuletzt die Snowden-Enthüllungen haben weit über die Expertenebene hinaus das Bewusstsein der Verletzbarkeit im Cyberraum deutlich gemacht. Insbesondere ist klar geworden, dass alle Gesellschaftsgruppen hiervon betroffen sind.

Im Verständnis der besonderen Dynamik der Cybersicherheit ist es wichtig, zunächst zu beschreiben, von welchen Charakteristika die heutige Informationstechnik geprägt wird:

1. Technologische Durchdringung und Vernetzung: Alle physischen Systeme werden von IT erfasst und schrittweise mit dem Internet verbunden.
2. Komplexität: Die Komplexität der IT nimmt durch vertikale und horizontale Integration in die Wertschöpfungsprozesse erheblich zu.
3. Allgegenwärtigkeit: Jedes System ist praktisch zu jeder Zeit und von jedem Ort über das Internet erreichbar.

Unter den beschriebenen Umständen stoßen altbekannte, konventionelle IT-Sicherheitsmechanismen schnell an ihre Grenzen und vermögen es nicht, Zuverlässigkeit und Beherrschbarkeit in gewohntem Maße zu gewährleisten. Der traditionelle Perimeterschutz in der IT-Sicherheit wird überholt oder gar unwirksam.

Trotz der umfangreichen Herausforderungen für die Cybersicherheit bietet die Digitalisierung ökonomische sowie gesellschaftliche Potenziale, auf die ein hoch entwickeltes Industrieland wie Deutschland nicht verzichten kann.

Gefährdungslage

Neben dem Wissen über Technologie und Technologieentwicklung ist es unerlässlich, die Gefährdungslage zu kennen. Denn technologische Entwicklung und Gefährdungslage hängen zusammen.

Das BSI hat im Dezember 2014 den „Bericht zur Lage der IT-Sicherheit in Deutschland 2014“ herausgegeben, der Auskunft über Ursachen von Cyberangriffen, über Angriffsmittel und -methoden gibt. Eine wesentliche Schlussfolgerung ist: Das Internet ist als Plattform für Angreifer sehr attraktiv. Denn der Aufwand für einen Angriff ist gering, es reichen ein Laptop und ein Internetanschluss aus, um Angriffe zu starten. Zudem existiert ein florierender globaler Markt mit „Trojanerkoffer“ und „Malware-as-a-Service“-Angeboten, die es auch technischen Laien ermöglichen, Cyberangriffe durchzuführen. Das Entdeckungsrisiko ist gering, da das dezentral und offen gestaltete Internet für den Angreifer vielfältige Tarnmöglichkeiten bietet. Außerdem erweitert sich die Masse der möglichen Angriffsziele mit der fortlaufenden technologischen Entwicklung. Ein weiterer Grund für die Attraktivität des Internets als Angriffsplattform ist die Tatsache, dass Schwachstellen in Software systemimmanent sind. Sie sind der häufigste Ausgangspunkt für die Entwicklung von Cyberangriffsmitteln in Form von Schadprogrammen.

Neben den bekannten und weitverbreiteten Angriffsmethoden wie beispielsweise Spam, Schadsoftware oder Drive-by-Exploits sind Advanced Persistent Threats (APT) von besonderer Bedeutung. Dies sind hochwertige „Premiumangriffe“, die schwer detektierbar sind. APT-Angriffe zeichnen sich durch sehr hohen Ressourceneinsatz und erhebliche technische Fähigkeiten aufseiten der Angreifer aus.

In der Angreifer-Typologie ist zwischen Cyberkriminellen und Cyberangriffen durch Nachrichtendienste zu differenzieren. Cyberkriminelle nutzen die gesamte Bandbreite der Cyberangriffsmethoden – meist nicht gezielt und auf den schnellen finanziellen Gewinn ausgerichtet. Nachrichtendienste arbeiten dagegen langfristiger und setzen Cyberangriffe gezielter ein, wobei hochwertigere Angriffsmethoden genutzt werden, um unter anderem das Entdeckungsrisiko zu minimieren.

Es ist festzuhalten, dass die Masse der Angriffe mit kriminellem Hintergrund heute die größere Bedrohung für Bürger und Wirtschaft darstellt als Angriffe mit nachrichtendienstlichem Hintergrund.

Man ist diesen Entwicklungen jedoch nicht schutzlos ausgeliefert. Anwender können sich relativ gut gegen gängige Breitenangriffe aus dem Bereich Cyber Crime schützen, indem sie zumindest die vom BSI empfohlenen Mindestmaßnahmen umsetzen. Ausnahmen bestehen jedoch für spionagegefährdete Bereiche wie Rüstung und potenziell auch für Betreiber kritischer Infrastrukturen.

Die Prognose sieht wie folgt aus: Es werden insbesondere der Diebstahl von digitalen Identitäten von Bürgern und APT-Angriffe auf Unternehmen und Behörden in Qualität und Quantität zunehmen.

Lösungsansätze

Grundvoraussetzungen für erfolgreiche Lösungsansätze sind folgende drei Aspekte:

1. Nationale Initiativen, die Kompetenz, Lösungsorientierung, Kooperation und Transparenz in der Cybersicherheit erhalten bzw. etablieren.
2. Sicherheitsmaßnahmen müssen skalierbar sein, da unterschiedliche Zielgruppen verschiedene Schutzbedürfnisse haben. Sicherheitsmaßnahmen werden nur in der Breite angewandt, wenn Aufwand und Nutzen angemessen in Einklang stehen.
3. Erfolgsmodelle anderer Staaten sind zu beleuchten. Politische, rechtliche und wirtschaftliche Rahmenbedingungen sind jedoch bei der Frage der Übertragbarkeit zu beachten.

Voraussetzung für die Gewährleistung von Informationssicherheit sind zudem effektive und vertrauenswürdige Sicherheitsmechanismen auf technischer Ebene. Denn Manipulationen an IT-Komponenten können auch mit einem hohen Prüfaufwand nicht vollständig ausgeschlossen werden.

Vor dem Hintergrund der Gefährdungslage und der Grundvoraussetzungen für erfolgreiche Lösungsansätze sind die drei Bereiche Kryptosicherheit, Cybersicherheit und IT-Sicherheitsmanagement von besonderer Bedeutung.

Kryptosicherheit

Die mathematische Kryptografie ist hinsichtlich der Algorithmen stabil. Zudem gibt es in Deutschland leistungsstarke Anbieter von Kryptographie. Unsicherheitsfaktoren sind die Schlüsselversorgung und die Implementierung, die von vertrauenswürdigen Herstellern bzw. Dienstleistern erfolgen sollte.

Eine Herausforderung ist die Nachfrage und hier insbesondere die Nutzerakzeptanz von Verschlüsselungsverfahren. Auch nach den Snowden-Enthüllungen wollen ca. 75 Prozent der Nutzer ihre E-Mails nicht verschlüsseln, ca. 20 Prozent sind prinzipiell bereit, fühlen sich aber nicht kompetent genug. Lediglich 5 Prozent der Anwender nutzen Ende-zu-Ende-Verschlüsselungsverfahren.
Um mehr Verschlüsselung zu erreichen, bedarf es einer Förderung des Angebots sowohl von Ende-zu-Ende-Verschlüsselungsverfahren wie auch von Transportverschlüsselung durch Provider, aber auch durch Wirtschaft und Staat.

Cybersicherheit

In den Bereichen Cybersicherheitsprodukte und IT-Sicherheitsdienstleister besteht national Nachholbedarf. Mit der Digitalen Agenda soll diese Lücke geschlossen werden. Voraussetzung hierfür ist aber auch, dass Wissenschaft und Hersteller sowie Verwaltung und Wirtschaftsunternehmen kooperieren, sodass in Deutschland ein nachhaltiger Markt für qualifizierte Produkte und Dienstleistungen entsteht und sich weiterentwickelt.

IT-Sicherheitsmanagement

Nicht nur die Verbesserung der Sicherheitstechnologie ist von Bedeutung, sondern auch die Qualifikation und das Management von IT-Sicherheit in den Unternehmen selbst.

Fazit

Die Digitalisierung und zunehmende Vernetzung ist von Wert und bringt viele Vorteile mit sich. Die mit ihr einhergehenden Gefährdungen sind einer ständigen Bewertung zu unterziehen, und das Risikomanagement ist fortlaufend anzupassen. Zielsetzung unserer Anstrengungen muss sein, Kompetenz, Lösungsorientierung, Kooperation und Transparenz im Handeln zu schaffen.

Das Internet der 90er-Jahre als reiner virtueller Erlebnisraum existiert nicht mehr. Die Kriminalität mit geringer Aufklärungsquote und das breite Betätigungsfeld von Nachrichtendiensten mit dem Ziel der Spionage und in militärischer Perspektive der Sabotage nehmen das Internet auch für ihre Zwecke ein. Um den Mehrwert des Cyberraums zu erhalten, muss die Cybersicherheit hinreichendes Vertrauen gewährleisten können. Um zu einer leistungsfähigen Cybersicherheit zu gelangen, bedarf es der engen Zusammenarbeit zwischen Staat, Wirtschaft und Wissenschaft.

The post Lage der IT-Sicherheit in Deutschland appeared first on DIVSI.

The post DIVSI Magazin – Ausgabe 2/2015 appeared first on DIVSI.

Visualisierung der größten Firmen-Hacks (Grafik: informationisbeautiful)

Hacking attraktiver als Online-Drogenhandel

Hacking ist seinen Kinderschuhen entwachsen und hat sich zu einem professionalisierten Umfeld entwickelt. Durch die wachsende Vernetzung aller Lebensbereiche ist der Handel mit Zero-Day-Exploits etwa noch profitabler als Online-Drogenhandel geworden. Auf dem Online-Schwarzmarkt wird ein Paket personenbezogener Daten mit 3 US-Dollar gehandelt und Kreditkartendaten sind bis zu 45 US-Dollar Wert.

Preise für Datensätze auf dem Online-Schwarzmarkt (Grafik: informationisbeautiful)

Mit E-Spionage drängen zunehmend auch Nationen mit politischen und wirtschaftlichen Absichten in das Hacking-Milieu.

Mentalitätswandel auf Seiten der Angreifer und Verteidiger

Kim Zetter, Security-Spezialistin bei WIRED, spricht in einem Podcast mit Andreessen Horowitz über den Mentalitätswandel auf Seiten der Angreifer und Verteidiger. Des Weiteren gibt sie Einblick in die Evolution von ziellosen Phishing-Hacks zu gezielten Spearphishing- und Ransomware-Angriffen und präsentiert einige Möglichkeiten, mit denen sich User und Unternehmen schützen können.

The post Wie läuft Hacking ab und wer steckt dahinter? appeared first on DIVSI.