Doch: Was geschieht mit meinen Daten? Unter dieser Leitfrage war es Ziel der aktuellen DIVSI Studie „Wissenswertes über den Umgang mit Smartphones“ (hier geht es zur Pressemitteilung), realisiert vom Fraunhofer-Institut für Angewandte und Integrierte Sicherheit (AISEC), das Bewusstsein des einzelnen Nutzers dafür zu stärken, welche Daten auf dem Smartphone sein können, wie sie es verlassen und welche Möglichkeiten der Einsichtnahme und Einflussnahme der Nutzer bei unterschiedlichen mobilen Betriebssystemen hat.

Einen Überblick zeigt die folgende Infografik:

The post Wissenswertes über den Umgang mit Smartphones [Infografik] appeared first on DIVSI.

Bild: emin kuliyev – Shutterstock

Teil 1: Ungesundes Spannungsverhältnis zwischen der Politisierung des Themas und dem eher niedrigen Niveau des Diskurses.

Von Dr. Philipp Müller

Wir leben im Jahr 2014 in einem Zeitalter der Digitalisierung aller wesentlichen Infrastrukturen, Organisationen und Lebenswelten unserer Gesellschaft, auch wenn wir das im gesamtgesellschaftlichen Diskurs noch nicht voll und ganz realisiert haben. Wir fangen erst heute an, tatsächlich zu verstehen, was die Logik einer voll vernetzten Gesellschaft bedeutet, sei es in der Produktion mit Industrie 4.0, in der Verwaltung mit der nutzerorientierten, an Lebenslagen ausgerichteten Verwaltung 2020, seien es Unternehmen und zivilgesellschaftliche Organisationen, die sich um die Idee der Cloud organisieren und über Organisationsgrenzen und innerorganisatorische Silos hinweg kollaborieren: Und trotzdem entsteht sie, Stück für Stück, die Cloud-Gesellschaft.

Transatlantische Zerwürfnisse

Es besteht ein ungesundes Spannungsverhältnis zwischen der Politisierung des Themas und dem noch eher niedrigen Niveau, auf dem der Diskurs geführt wird. Das sieht man auch an den transatlantischen Unterhaltungen, bei denen das gegenseitige Unverständnis zwischen den Meinungsmachern in den USA und in Deutschland gefährlich geworden ist. In keiner anderen Industrie kann so fröhlich ein nationalistischer Ansatz gefordert werden, wie das zurzeit in der IT-Industrie geschieht. Politische Spielereien in komplexen Situationen können gefährliche, nicht intendierte Konsequenzen haben. Wann immer große strukturelle Veränderungen, die schwer zu überschauen sind, mit politischen Interessen zusammenkommen, besteht die Gefahr, dass die Konsequenzen schrecklich sein werden.

Die emergente Cloud-Gesellschaft

Analog zur jungen Moderne Anfang des 20. Jahrhunderts, verändern sich heute Prozesse, Geschäftsmodelle, Politik und Gesellschaft nachhaltig. Dies geschieht gleichermaßen in der Energiewirtschaft, dem Gesundheitswesen, der Bildung, der Mobilität, der Gesellschaft sowie im Staat. Allerdings gibt es auch viel verkaufsfördernde Scharlatanerie, politische Interessen und Gegenbewegungen. Es lohnt sich, den Versuch zu machen, die Situation zu verstehen und damit umzugehen. Drei Megatrends bestimmen unsere Zeit:

• Der technologische Dreischritt von der Mainframe zur Client-Server- und jetzt zur Cloud-Architektur verändert unsere gesamte Weltsicht radikal. Genauso, wie die Dampfmaschine, die Eisenbahn und die Elektrifizierung nicht nur die Industrialisierung, sondern auch die junge Moderne ermöglicht haben, verändert das Internet-Zeitalter unsere Kultur.
• Aufgrund der Durchdringung der Informations- und Kommunikationstechnologie in allen Lebensbereichen sind IT-Entscheidungen Chefsache geworden. Sich mit IT zu beschäftigen, ist immer noch „nerdy“, aber fast schon sexy, auch wenn Business-IT alignment oft noch ein Lippenbekenntnis ist. Das aber erlaubt Einzelnen, diese Themen zu nutzen, um politische Interessen hinter IT-Fragen zu verstecken.
• Die Snowden-Enthüllungen haben unser gesamtgesellschaftliches Vertrauen in jegliche Kommunikationstechnologie nachhaltig gestört. Und das führt zu allen möglichen Reaktionen und politischen Spielereien. Wichtig ist, dass wir schnellstmöglich den Diskurs um Sicherheit und Vertrauen in der IT erhöhen, um mit den realen Problemen intelligent umzugehen.

Das Pflänzchen Cloud-Gesellschaft ist allerdings noch zart. Wir tragen heute eine historische Verantwortung: die Schicht der Zivilisation, die wir in den letzten 60 Jahren aufgebaut haben, nicht zu zerstören.

Digitale Realpolitik

Die strukturelle Logik der Cloud-Gesellschaft ermöglicht Organisationen und Prozesse, die anders geschnitten sind als noch im 20. Jahrhundert. Während es im 20. Jahrhundert darum ging, 1-zu-n Beziehungen („Massen-Technologien“) zu organisieren (Radio, Fernsehen oder auch das Fließband), geht es im 21. Jahrhundert darum, n-zu-n Netzwerke (Internet, Social Media, Development Communities) zu strukturieren.

Und diese Debatten sollten wir nicht einem esoterischen Kreis der digitalen Eingeweihten und ihren Partikularinteressen überlassen. Denn digitale Politik unterliegt anderen, aber genauso im Kontext nur teilweise veränderbaren Bedingungen. Jegliche Realpolitik orientiert sich an den als real definierten Bedingungen und Möglichkeiten in ihrem Handlungsraum und ist zu unterscheiden von werteorientierten Ansätzen, die sich auch auf politische Ideen beziehen, egal, ob das kalifornisches Hippietum, libertarische Anarchie oder die athenische Demokratie ist.

Die Formbarkeit des Netzes ermöglicht unterschiedliche Architekturen, in denen dann Machtpolitik stattfindet. Das heißt, wir müssen lernen, das Spannungsverhältnis auszuhalten, zwischen den Dingen, die wir ändern können (auch metastrukturell), und denen, die wir nicht ändern können. In den Worten Reinhold Niebuhrs:

„Gott, gib mir die Gelassenheit, Dinge hinzunehmen, die ich nicht ändern kann, den Mut, Dinge zu ändern, die ich ändern kann, und die Weisheit, das eine vom anderen zu unterscheiden.“ (1941)

Das heißt, es geht heute um nicht mehr und nicht weniger als die Frage, wie wir unsere Cloud-Gesellschaft ausgestalten. Und das ist große Politik. Es ist jetzt die Aufgabe von digitalen RealpolitikerInnen, daran zu arbeiten, die Szenarien sachlich zu reflektieren, Möglichkeitsräume intelligent auszuloten, denn nur dann können wir als Gesamtgesellschaft das Bestmögliche erreichen.

IT-Sicherheitspolitik

Die Diskussion um IT-Sicherheit ist seit fast einem Jahr geprägt von der Idee, „deutsche Kabel in deutscher Erde zu verbuddeln“, ein erstaunlich nationalistischer Ansatz. Als intuitive Reaktion auf die Snowden-Enthüllungen klingt das verständlich, sie ist aber brandgefährlich. Geprägt ist diese Idee von digitaler Souveränität von einer zu naiven Sicht auf die Begriffe Vertrauen und Sicherheit. Dieses naive Verständnis wird dann von industriepolitischen Interessen gekapert und führt dazu, dass nationalistische Tendenzen unter dem Deckmantel der „Sicherheitspolitik“ gefördert werden. Leider erhöht sie unsere Sicherheit nicht, sondern gefährdet sie.

Das heißt, wir müssen die Sicherheits- und Vertrauenskrise verstehen und Ansätze entwickeln, vernünftig mit ihr umzugehen. Wir haben eine historische Verantwortung, dies zu tun. Und genau darum geht es in der IT-Sicherheitspolitik.

The post Digitale Realpolitik für die Cloud-Gesellschaft appeared first on DIVSI.

Sicherheitslücke in Apples iCloud?

Schnell war der Apple-Dienst iCloud als Quelle der Fotos in aller Munde. In der iCloud werden Inhalte online gespeichert, nachdem sie mit dem iPhone aufgenommen werden, um den lokalen Speicher zu entlasten und die Datensicherheit bei einem Gerätedefekt zu gewährleisten. Als dann das Skript iBrute als mögliches Werkzeug für die Attacke auftauchte, wurden kritische Stimmen laut. An einer Schnittstelle mit der Find-my-iPhone-Funktion soll Apple keine Login-Bremse eingestellt haben, sodass sogenannte Brute-Force-Attacken ungehindert durchgeführt werden konnten. Mit Brute-Force-Attacken probieren Angreifer über ein Skript unaufhörlich verschiedene Passwörter aus, bis das richtige Passwort gefunden und der Account geknackt ist. Diese Lücke wurde mittlerweile von Apple geschlossen.

iBrute Skript probiert Passwörter aus bis zum Erfolg (via TNW)

Apple wies gleichzeitig jedoch jede Schuld von sich und bestreitet, dass eine Sicherheitslücke in der iCloud zu dem Diebstahl der Fotos geführt haben könnte. Das Timing für diese medienwirksame Attacke und den damit einhergehenden möglichen Vertrauensverlust gegenüber Apple-Produkten ist auch denkbar schlecht: kommenden Dienstag stellt Apple voraussichtlich das neue iPhone 6 mit mehreren sicherheitskritischen Features (z.B. mobiler Zahlung, Gesundheits-Tracking) vor. Apple betont deshalb, dass die Angriffe gezielt auf die Konten der Promis angelegt waren und keiner der Angriffe über die iCloud oder Find my iPhone stattgefunden habe.

Zwei-Faktor-Authentifizierung die Lösung des Problems?

Stattdessen weist Apple auf starke Passwörter und die sogenannte Two-Step-Verification hin, um Angriffe dieser Art zu vermeiden. Über die Zwei-Faktor-Authentifizierung muss zunächst ein Code bestätigt werden, der an ein registriertes Gerät des Users versendet wurde, bevor Änderungen an dem Benutzerkonto oder Zugriffe von unbekannten Geräten erfolgen können. So soll sichergestellt werden, dass der Zugriff über eine Apple ID auch tatsächlich nur durch den Eigentümer erfolgt. Tech-Experten warnen jedoch: die Two-Step-Verification schützt nicht vor Angriffen auf Backups und Foto-Streams der iCloud. Sie tritt lediglich in Kraft, wenn man mit der Apple ID das Konto verwalten, Einkäufe über iTunes, App Store oder iBookstore auf einem anderen Gerät tätigen oder Kundenservice für die Apple ID in Anspruch nehmen möchte.

Wenn ein iCloud-Backup jedoch auf einem anderen Gerät wiederherstellt und seine Daten exportiert werden, wird nicht nach einem Bestätigungscode gefragt. Potentielle Angreifer bekommen so Zugang zu allen Daten der iCloud, auch zum Photo-Stream, der ebenfalls nicht durch die Two-Step-Verification geschützt ist.

„Backup wiederherstellen – Ihre iPhone-Einstellungen wurden wiederhergestellt.“ (via ElcomSoft)

Die Zwei-Faktor-Authentifizierung hätte also im Fall der nun verbreiteten Promi-Bilder nichts genützt und Apples Hinweis auf dieses Feature löst das Problem nicht. Noch heikler ist dabei der Fakt, dass die Sicherheitslücke bereits im Mai 2013 öffentlich gemacht wurde und Apple bis heute nichts geändert hat.

Wie kann man den Datendiebstahl von der Cloud verhindern?

Cloud-Storage bedeutet immer ein Risiko. Nicht nur Daten in der iCloud sind betroffen, sondern auch Daten, die über anderen Anbieter wie Facebook, Dropbox, Android oder WhatsApp hochgeladen oder verschickt werden, landen meist in einer Cloud. Die Vielzahl an möglichen Angriffspunkten in einer komplexen Architektur über Smartphones und Cloud-Infrastruktur hinweg ist so groß und derart schwer verlässlich zu kontrollieren, dass Computerwissenschaftler Ed Felten empfiehlt davon auszugehen, dass alles, was auf dem Smartphone gespeichert ist, als Risiko zu betrachten.

Welche Maßnahmen kann man jedoch selbst ergreifen, um die Sicherheit der eigenen Daten in der Cloud zu erhöhen?

1. Starke Passwörter

Eines der häufigsten Einfallstore bieten schwache Passwörter. Wir haben daher sechs wichtige Tipps zur Passwort-Sicherheit zusammengestellt. Passwort-Leaks haben in der Vergangenheit immer wieder gezeigt, dass Passwörter wie „123456“ und „password“ zu den am häufigsten verwendeten Passwörtern gehören. Hier sind allerdings auch die Anbieter gefragt: während die Hacker dank der millionenfachen Passwort-Leaks über fundierte Erfolgswahrscheinlichkeiten für ihre Attacken verfügen, werden auf Anbieterseite nur einfache Anforderungen wie „Groß- und Kleinschreibung verwenden“ gestellt. Die den Hackern zur Verfügung stehenden Passwortlisten sollten hier von den Anbietern herangezogen werden, um die unsichersten und häufigsten Passwörter auszuschließen.

2. Schwierige Sicherheitsfragen

Stellen Sie sicher, dass die Antworten auf Ihre Sicherheitsfragen schwer zu erraten sind. Informationen, die zur Beantwortung der Frage beitragen könnten, sollten nicht online auffindbar sein. Häufig werden hier Fragen nach dem Geburtsort oder dem Mädchennamen der Mutter gestellt – Informationen, die sich meist ohne großen Aufwand recherchieren lassen. Es empfiehlt sich hier also ebenso wie bei den Passwörtern schwer zu erratende Phantasienamen zu wählen.

3. Zwei-Faktor-Authentifizierung

Nutzen Sie die Zwei-Faktor-Authentifizierung, wenn sie angeboten wird. Informieren Sie sich jedoch genau, welche Vorgänge durch das Feature geschützt werden. Hier findet sich ein Zusammenstellung zur Aktivierung der Zwei-Faktor-Authentifizierung für iCloud, Dropbox, Google Drive und Microsoft OneDrive.

4. E-Mail-Anhänge

Öffnen Sie keine E-Mail-Anhänge, wenn Sie nicht genau wissen, was diese enthalten. Unbekannte Anhänge können Viren enthalten, die Skripte wie das iBrute-Skript auf Ihr Gerät laden können.

5. Automatische Synchronisation 

Wenn Sie Ihre Fotos nicht der Cloud anvertrauen möchten, stellen Sie sicher, dass die Synchronisation zwischen Smartphone und Cloud deaktiviert ist, um das automatische Hochladen von Daten zu vermeiden. Außerdem sollten Sie es vermeiden, Dateien, die sie nicht in einer Cloud wissen möchten, über Messenger-Dienste wie z.B. WhatsApp und Facebook-Messenger zu versenden.

The post Prominente nackt im Netz: Ursachen und wie man sich schützt appeared first on DIVSI.

Bild: Phovoir – Shutterstock

Der Vater: Clouds im Cyberspace – Fortschritt oder Konterrevolution?
Wolken ziehen im Internet auf, die Cloud kommt. Sie will meine Daten und verspricht mir dafür, dass ich immer und überall darauf zugreifen kann. Ich frage mich: Macht die Cloud uns freier oder fängt die Revolution jetzt an, ihre Kinder zu fressen?

Von Harald Lemke

Der Personal Computer löste in den 70ern des vorigen Jahrtausends eine globale Revolution aus. Die von der Herrschaft der Großrechner befreiten Benutzer vernetzten sich bald über Usenet, AOL und Compuserve zu einer digitalen Gemeinde, ohne die der weltweite Siegeszug des Internets nicht möglich gewesen wäre.

Dabei war „das Netz“ schon immer ein Widerspruch in sich. Es nimmt nicht gefangen, sondern macht frei. Die herausragende Rolle des Internets für mehr Demokratie und Befreiung von Terror-Herrschaft ist evident. Dabei war der eigene PC schon immer ein essenzieller Teil dieser Freiheit. Ein kleiner, aber souveräner Planet im Cyberspace, auf dem sein Besitzer unmittelbare Kontrolle über die eigenen Daten hat.

Geht diese Souveränität dem Ende zu?

Der aktuelle Anlass für meine Sorge ist schnell geschildert: Ich denke in Bildern. Bilder helfen mir, Komplexität zu be- herrschen und für andere begreifbar darzustellen. Ein Bild sagt eben mehr als tausend Worte. Deshalb war mir das iPad als mobiler Skizzenblock hochwillkommen und Ideas von Adobe meine Lieblings-App. Viel flexibler als ein Block Papier und immer dabei.

Dann habe ich mein iPad durch ein Android-Tablet ersetzt. Freiheit war übrigens das Hauptmotiv für diesen Wechsel. Raus aus einem geschlossenen System unter der Diktatur von Apples iTunes. Ideas war die erste Android App, die ich mir kaufte. Und dann der Schock. Denn als ich meine Skizze wie gewohnt als PDF exportieren wollte, ging das nicht mehr. Nach dem Willen von Adobe läuft das nur noch über die Creative Cloud, natürlich von Adobe. Ich soll also meine eigenen Dokumente über die Adobe Cloud mit mir selbst „sharen“, so das neue Buzzwort zur Cloud.

Völlig sichere Sache, verspricht Adobe. Niemand könne auf meine persönlichen Dokumente zugreifen. Und was ist mit einer verschlüsselten Ablage? Fehlanzeige, natürlich. Schließlich muss Adobe meine Dokumente lesen können, damit sie für mich die PDF-Konvertierung durchführen kann. Dabei ist Adobe kein Einzelfall. Flickr, Evernote, Dropbox und GoogleDocs sind weitere Beispiele für Anwendungen, bei denen Nutzer die Kontrolle über persönliche Dokumente für immer aus der Hand geben.

Selbst Spracherkennung auf Tablet-PCs und Smartphones läuft nur noch über die Cloud. Ich rede in mein Gerät und irgendein hilfreicher Geist in den Weiten des Cyberspace überträgt die Worte in lesbaren Text. Das klingt kompliziert, funktioniert aber tatsächlich. Nur, wo bleiben meine persönlichen Aufzeichnungen? Wo werden sie gespeichert und wie lange? Was passiert mit meinen Daten, wenn das hoffnungsvolle Startup-Unternehmen in Palo Alto pleite geht oder von einem anderen Unternehmen geschluckt wird? Vielleicht liegen meine Dokumente auch gar nicht bei meinem Vertragspartner, sondern auf irgendeiner angemieteten Festplatte in China oder wer weiß wo in dieser Cloud?

Vielleicht bin ich paranoid. Doch der Gedanke will mir nicht behagen, dass ich im Laufe meines digitalen Lebens alle persönlichen Dokumente bei Hunderten von Providern irgendwo in der Cloud verteile. Ganz nebenbei gehen mir langsam die Passwörter aus. Denn bekanntlich sollte niemand jedem Provider sein Master-Passwort überlassen. Die Pannen der letzten Monate machen überdeutlich, wie es tatsächlich um die Sicherheit dieser Zugangsdaten bestellt ist. Immerhin werden die CEOs der Internetfirmen nicht müde, mir auf ihren Homepages hoch und heilig zu versprechen,dass sie Datenschutz und Sicherheit absolut ernst nehmen. Wer sich jedoch durch ihre AGBs kämpft, sucht meist vergeblich nach konkreten Hinweisen darauf, wie das vollmundige Versprechen in die Tat umgesetzt wird.

Um es deutlich zu machen, es geht hier nicht um Twitter oder Facebook. Das sind digitale Litfass-Säulen zur Selbstdarstellung. Jeder Nutzer weiß das oder sollte es zumindest wissen. Bei der Cloud geht es ans Eingemachte. Nämlich um meinen digitalen Hausrat, meine intimsten Privat- und Geschäftsgeheimnisse. Deshalb meine ich: Wenn der Trend zur Cloud sich durchsetzt, müssen wir den Persönlichen Computer neu definieren. Mein PC, meine Daten – das wird zukünftig keine sichere Bank mehr sein.

Was ich fürchte, ist eine Zwangsbeglückung. Habe ich es zukünftig mangels Alternativen überhaupt noch in der Hand, wo meine Daten und Dokumente bleiben? Wem soll ich in der Cloud eigentlich vertrauen? Bisher hatte ich das Selbst- vertrauen, meine persönliche Technik zu beherrschen. Ich fühle mich auch rechtlich gut geschützt. Selbst das Bundesverfassungsgericht hat festgestellt, dass der PC zum intimen Lebensbereich des Menschen gehört und besonderen Schutz genießt. Die Verfassungsrichter meinten damit bestimmt nicht Bildschirm und Tastatur, sondern unsere persönlichen Daten auf unseren persönlichen Computern.

Alles vorbei?  Werde ich jetzt praktisch gezwungen, mein Vertrauen in eigene Kompetenz, Vorsicht und den höchstrichterlichen Schutz zugunsten zweifelhafter Bequemlichkeit aufzugeben – nur weil Cloud modern ist?

Ich will die Vorteile dieser Technologie nicht kleinreden. Sicher bietet sie viele Chancen und neue Möglichkeiten. Wer zum Beispiel sein Smartphone oder seinen Tablet-Computer effizient nutzen will, kommt beispiels- weise um ein Netzwerk-Laufwerk in der Cloud kaum herum. Daher brauchen wir Vertrauen in die neuen Dienste. Was ich deshalb fordere, ist vollständige Transparenz über den Verbleib meiner persönlichen Daten. Wo werden sie gespeichert und wer hat wann darauf Zugriff. Ich will präzise wissen, mit welchen Schutzmaßnahmen meine Dokumente gesichert werden. Und ich will sicher sein, dass meine Daten auch wirklich weg sind, wenn ich sie gelöscht habe. All diese Fragen will ich beantwortet haben, nicht in Statements, sondern in glas- klaren, einklagbaren Geschäftsbedingungen. Ein Gütesiegel für Datensicherheit und Datenschutz würde ebenfalls helfen, Vertrauen in die neuen Dienste zu fassen.

Solche Vertrauensanker und Garantien suche ich heute meist vergeblich. Dort, wo ich das nicht finde, ist die Cloud für mich nur undurchsichtiger Nebel mit viel Potenzial zur hagelvollen Gewitterwolke.

The post Generationenkonflikt bei der Sicherheit appeared first on DIVSI.