Bild: sunsinger – Shutterstock

Er sieht Gefahren. Dennoch ist der Experte überzeugt: Das Positive am Netz wird vermutlich immer überwiegen. Dr. Karsten Nohl im Interview zu Fragen um Hacking, Cyberterrorismus und das Internet der Dinge.

Karsten Nohl gehört zu den bekanntesten Kryptografen unserer Zeit. Zu seinen Forschungsgebieten zählen GSM-Sicherheit, RFID-Sicherheit und der Schutz der Privatsphäre. Seit 2010 ist er Forschungsleiter und Geschäftsführer der Berliner Security Research Labs. Sein Blick nach vorn kann nicht nur froh stimmen.

Wir haben 2016 – braucht das Internet neue Gesetze, eine moralische Instanz?

Dr. Karsten Nohl: Als Hacker habe ich über die letzten Jahre gelernt, dass das Internet sich seine eigene Moral gibt und dass es Gesetze grundsätzlich umgeht. Insoweit brauchen wir informiertere Nutzer. Das Internet wird ein Gemisch aus Gut und Böse bleiben, wobei vermutlich das Positive immer überwiegen wird. Aber auf die bösen Seiten muss man geschult werden. Das heißt: Wir müssen uns alle einzeln darauf einstellen, vom Internet aus angegriffen zu werden, müssen verstehen, wie solche Angriffe ablaufen würden, und müssen darauf reagieren.

Was sind erste Schritte für eine solche Reaktion?

Wir sollten wichtige Daten weniger weit streuen, weniger auf E-Mails reagieren, nach denen wir nicht gefragt haben, und sicherere Passwörter verwenden. Alles im Grunde sehr einfache Schritte, die uns insgesamt sehr viel sicherer machen würden, ohne dass wir auf den Komfort der modernen Technik verzichten müssen.

Wie weit ist der Staat gefordert?

Es kann nicht sein, dass der Anspruch an den Staat ist, Bürger vor dem Internet zu schützen. Das kann kein einzelner Staat erreichen und würde, wenn überhaupt, die Innovationsfähigkeit einschränken. Die Möglichkeiten der Hacker allerdings nicht.

Stichwort Hacker – gibt es noch irgendetwas, was nicht zu hacken ist?

Vermutlich nicht. Im Grunde ist alles hackbar, was heute einen Computer hat. Das sind unsere Telefone, das sind unsere kritischen Infrastrukturen, Logistik, Wasserversorgung, Stromversorgung. Das sind aber auch zunehmend Flugzeuge und Autos und andere technische Systeme, die um Computer erweitert werden.

Dabei geht Hacking doch noch weit über die Technik hinaus …

Richtig. Das Hacken ist das Umgehen von Sicherheitsmaßnahmen, und das kann auch eine physische Maßnahme wie das Social Engineering sein, also das Beeinflussen von Menschen. Hacken passiert immer dann, wenn einer eine Sicherheitsmaßnahme aufbaut und ein anderer einen Weg drum herum findet.

Was wäre ein denkbarer Worst Case?

Hacking kann in unserem Leben im Worst Case alles zunichtemachen, die komplette Infrastruktur von Gesellschaften lahmlegen und auch noch die Menschen beeinflussen. Das wird als Schreckensszenario schon seit vielen Jahren diskutiert, ist aber zum Glück noch nie vorgekommen.

Also sind die technischen Infrastrukturen doch irgendwie vor Hacking geschützt?

Dass der Worst Case sich noch nie ereignet hat, weist vermutlich nicht unbedingt darauf hin, dass unsere technischen Infrastrukturen sehr gut vor Hacking geschützt sind. Ich glaube eher, dass niemand sie wirklich fundamental hacken will. Niemand hat Interesse daran, uns vom Strom, vom Wasser oder von Lebensmitteln abzuschneiden.

Wo steht Deutschland in einem internationalen Sicherheits-Ranking?

Schwierig zu sagen. Ich glaube, von den Schutzfähigkeiten her ist Deutschland schlecht aufgestellt. Wir haben wenig aktive Cyberkompetenz.

Was bedeutet das präzise?

Das heißt, wir bereiten uns nicht darauf vor, andere Länder anzugreifen, was ja sehr gut ist. Aber die gleiche Kompetenz wäre nötig, um sich zu verteidigen.

Andere Länder – allen voran sicher die USA, aber auch China, Russland, jetzt der Iran – investieren sehr viel mehr in diesen Wettlauf zu den schnellsten und besten Cyberwaffen. Deutschland – als kriegsmäßig eher zurückhaltendes Land – ist da hinterher.

Stichwort Cyberkrieg. Sind wir, ist die Welt dagegen gerüstet?

Schockierend wenig. Die Welt hat sich auf den Cyberkrieg oder Cyberterrorismus, wie es häufig genannt wird, bisher kaum vorbereitet. Unsere Infrastrukturen werden immer mal wieder von Amateuren gehackt. Die machen das meist gutmütig und erklären den Betreibern anschließend, wie man erkannte Schwachstellen beseitigt. Aber wenn es selbst Amateure schaffen, dann schafft es selbstverständlich auch eine staatliche Organisation. Und solche gibt es mittlerweile in fast jedem Staat.

Wen muss man sich als Kämpfer in einem Cyberkrieg vorstellen?

Das sind Hacker, die in irgendeinem Keller in Peking, Moskau oder auch Berlin sitzen und von dort staatliche Aufträge ausführen.

Zum Beispiel könnten sie dann in einem echten Kriegsfall die Infrastruktur eines anderen Landes zerstören. Es geht dann wirklich vom Effekt her Richtung Flächenbombardements. Man schadet Gesellschaften und nicht nur Armeen. Und das haben wir auch in der konventionellen Kriegsführung, zumindest in Europa, lange nicht gesehen.

Ließen sich solche Angriffe nachweisen?

Das Schlimme an einem Cyberkrieg wäre, dass die Nachweisbarkeit der Taten schwierig bis unmöglich wird. Im Internet kann sich jeder sehr schnell anonymisieren.
Das Internet lädt also zu so etwas wie einem Partisanenkrieg ein. Das ist das Szenario, das derzeit viel diskutiert wird. Und in fast allen Diskussionen kommt raus: Wir wären davor nicht geschützt.

Wo lagen nach Ihrer Überzeugung die Anfänge in diesem Cyberkrieg?

Angefangen haben die Amerikaner mit der virtuellen Kriegsführung im Schlag gegen das iranische Atomprogramm. Aber selbstverständlich haben die Iranis mittlerweile auch aufgerüstet und jedes andere Land gleich mit. Das heißt, es stehen Cyberarmeen bereit. Doch zum Glück wurden die noch nie großflächig eingesetzt.

Computerwurm Stuxnet: 2010 sorgte er für Störungen im iranischen Atomprogramm. (Bild: Borna_Mirahmadian – Shutterstock)

Das „Internet der Dinge“ – was wird es uns bringen?

Das Internet der Dinge beschreibt ganz verschiedene Entwicklungen, die alle darauf hinwirken, dass das Internet mit der echten Welt verwächst. Vor allem dadurch, dass Sensoren aufgestellt werden, die Daten über die echte Welt – Temperaturmessungen, Bewegungsmessungen und in der Zukunft viel mehr Kamerabilder und so was alles – ins Internet bringen und die dort analysiert werden. Im zweiten Schritt wirken Aktoren wieder auf die echte Welt ein. Das Internet erfährt mehr und mehr über die Welt und wirkt mehr und mehr auf die Welt ein.

Fingerdruck: Hausautomation per Tablet, das Internet der Dinge macht‘s möglich. (Bild: Alexander Kirch – Shutterstock)

Was waren die Anfänge dieser Entwicklung?

Das hat mit unseren Telefonen angefangen: Das Internet weiß plötzlich immer, wo wir sind und was wir machen. Das wird aber bei den Telefonen nicht aufhören. Sensoren werden sich bald auch in der Kleidung finden, werden sich bald in allen anderen Elektroniken finden, werden teilweise als Sensoren einfach ausgestreut, um dem Internet mehr Einblick in die echte Welt zu geben.

Viele sehen darin mehr Kontrolle. Wo bleibt das Positive?

Ein großes Versprechen des Internets der Dinge ist es, alles in der Welt optimal zu arrangieren. Das wird nicht überall klappen, aber an vielen Stellen ist es vorstellbar. Zum Beispiel Stromverbrauch und Stromerzeugung perfekt aufeinander abzustimmen. Oder Medikamente perfekt auf den jeweiligen Körper, dem sie verabreicht werden, einzustellen. Oder Bewässerungssysteme perfekt auf das Ökosystem einzustellen, das bewässert wird. All das ist algorithmisch sehr leicht möglich, aber heute fehlt noch die Datengrundlage.

The post Internet und Partisanenkrieg aus dem Keller appeared first on DIVSI.

Bild: Ventura – Shutterstock

Phishing und Identitätsdiebstahl liegen an der Spitze.

Caroline von der Heyden und Dr. Johannes Rieckmann

Zur Darstellung der Lage und Entwicklung der Kriminalität in Deutschland wird üblicherweise die Polizeiliche Kriminalitätsstatistik (PKS) herangezogen. Diese bildet ausschließlich das sogenannte Hellfeld ab – also die Fallzahlen von der Polizei durch Anzeige oder eigene Ermittlungen bekannt gewordenen Straftaten. Um diese Darstellung für eine Auswahl von Delikten zu erweitern, die besonders viele Bürger direkt betreffen, förderte das Bundesministerium für Bildung und Forschung von 2012 bis 2015 ein besonderes Projekt: Gemeinsam entwickelten das Deutsche Institut für Wirtschaftsforschung (DIW Berlin) und das Brandenburgische Institut für Gesellschaft und Sicherheit (BIGS) ein „Wirtschaftswissenschaftliches Indikatorensystem zur Messung von Sicherheit und Sicherheitswirtschaft in Deutschland“ – kurz WISIND.

WISIND berücksichtigt die Schweregrade mittels verschiedener Gewichtungsverfahren und schätzt das „wahre“ Kriminalitätsaufkommen durch Integration des Dunkelfeldes. Das System bildet die objektivierte Lage einerseits sowie das subjektive Empfinden der Bevölkerung andererseits ab; und zeigt Unterschiede über Raum – auf Kreis-, Regionen- und Länderebene – und Zeit. Ergänzend hierzu wurde vom BIGS die Sicherheitswirtschaft in Deutschland mithilfe einer Bestandsaufnahme näher beleuchtet und die Entwicklung im Zeitablauf verfolgt. Ein Aspekt, dem wegen seiner stark ansteigenden Bedeutung besondere Aufmerksamkeit geschenkt wurde, ist die Internet-Kriminalität.

Schwer fassbar

Im Vergleich zu anderen Deliktbereichen, die häufiger in der Öffentlichkeit und vor Zeugen stattfinden (z.B. Körperverletzung) oder deren Schäden oft versichert sind (z.B. Wohnungseinbruchdiebstahl), gelangen Fälle von Internet-Kriminalität den Strafverfolgungsbehörden oft nicht zur Kenntnis – und bleiben so in der PKS unsichtbar. Erst recht im Dunkeln bleiben die über die Gesamtbevölkerung insgesamt entstandenen Schäden. Abhilfe schaffen repräsentative Umfragen, sogenannte Dunkelfeld-Studien. Bislang wurden diese in Deutschland fast nur regional durchgeführt. Eine Ausnahme bildet die im Rahmen des Verbund-Forschungsprojektes „Barometer Sicherheit in Deutschland“ (BaSiD) durchgeführte Erhebung, die allerdings keinen Fokus auf durch Internet-Kriminalität entstandene finanzielle Schädigungen legte. Bisherige Erfassungen finanzieller Schäden durch Internet-Kriminalität nahmen in erster Linie Unternehmen ins Visier.

Im Rahmen des WISIND-Projektes wurden daher bundesweit über 12.000 Privathaushalte zu ihren Opfererfahrungen und Bedrohungswahrnehmungen sowie zu entstandenen finanziellen Schäden in den Jahren 2012 bis 2014 telefonisch befragt. Exemplarisch wurden dabei vier typische Bereiche der Internet-Kriminalität ausgewählt, die Bürger betreffen. Konkret sind dies Identitätsbetrug, Phishing, Angriffe mit Schadsoftware (die nicht folgenlos abgewehrt werden konnten) sowie Waren- und Dienstleistungsbetrug via Internet.

Schadensanstieg

Die Fallzahlen aus der Stichprobe wurden auf einen durchschnittlichen Jahreswert und die Gesamtbevölkerung um- und hochgerechnet. Die Schätzung beläuft sich auf mehr als 14,7 Millionen Fälle im Jahr – wohlgemerkt bereits allein für die vier betrachteten Beispieldeliktgruppen. Zum Vergleich: Die PKS wies im Jahr 2013 lediglich 64.426 Fälle aus dem Bereich Informations- und Kommunikations-Kriminalität aus. Gut ein Fünftel der Befragten gab an, innerhalb der drei abgefragten Jahre Opfer geworden zu sein – nicht selten sogar mehrfach. Als fallzahlenmäßig am bedeutsamsten erwies sich in der Befragung Schadsoftware mit fast zwei Dritteln der Fälle, gefolgt von Betrug (16 Prozent), Identitätsdiebstahl (14 Prozent) und Phishing (7 Prozent). Ein gutes Drittel der Befragten äußerte die Befürchtung, im kommenden Jahr Opfer von Internet-Kriminalität zu werden – deutlich mehr als bei Eigentumsdelikten oder körperlichen Übergriffen.

Ohne Berücksichtigung von Versicherungsleistungen und sonstigen Entschädigungen liegt Phishing mit einem Schaden von über 800 Euro pro Fall an der Spitze. Es folgen Identitätsdiebstahl mit gut 400 Euro, Betrug mit knapp 240 Euro und Schadsoftware mit etwas weniger als 130 Euro. Für Letztere konnten die entstandenen Schäden nicht vergleichbar gut wie bei den anderen Delikten erfragt werden, daher beschränkte sich die Befragung auf eine Erfassung der Folgen: Die Antwort-Optionen umfassten von der sofortigen Neutralisierung der Bedrohung (weder als Fall betrachtet noch mit einem Schaden assoziiert) über dauerhaften Datenverlust und längere Reparatur auch Gerätezerstörung. Diesen Ereignissen wurden dann angenommene durchschnittliche Schadenshöhen zugeordnet: 0 Euro für Datenverlust, 50 Euro für eine längere Reparatur und 500 Euro für ein Ersatzgerät. Die sich ergebenden Summen sind vermutlich noch konservativ geschätzt.

Basierend auf den Angaben zur Opferwerdung sowie zu den durch die jeweiligen Fälle entstandenen Schäden wurden die Gesamtschäden überschlagen. Hierdurch wurde zum einen die Gesamtdimension deutlich, zum anderen ändert sich die Reihenfolge der Bedeutsamkeit der Deliktgruppen im Vergleich zum reinen Auszählen von Fallzahlen. An der Spitze rangiert weiter die Schadsoftware – mit einem geschätzten direkten Gesamtschaden von fast 1,2 Milliarden Euro. Das entspricht in etwa 14,70 Euro pro Bundesbürger im Jahr – wenn man nicht nur die Opfer einberechnet, sondern die Last auf die Schultern aller verteilen würde. Es folgen Identitätsdiebstahl mit fast 900 Millionen Euro, Phishing mit fast 800 Millionen Euro sowie Betrugsdelikte mit fast 580 Millionen Euro Gesamtschaden. Allein die vier genannten Teilbereiche der Internet-Kriminalität verursachen also Privatleuten um die 3,4 Milliarden Euro Schaden – das entspricht 0,1 Prozent des Bruttoinlandsproduktes. Das ist zwar nicht ganz in der gleichen Liga wie die Schäden, die Unternehmen entstehen (KPMG beispielsweise schätzte diese in 2013 und 2014 auf jährlich etwa das 8-Fache, siehe www.kpmg.com/DE/de/Documents/e-crime-studie-2015.pdf). Aber allein für den Bereich Phishing deuten die Schätzungen aus dem WISIND-Projekt auf Schäden, die die vom Bundeskriminalamt (PKS-basiert) erfassten Summen um den Faktor 50 übersteigen. Aus Großbritannien liegen Schätzungen in ähnlicher Größenordnung vor, andere – teilweise aus der Sicherheitswirtschaft publizierte – Studien übertreffen sie noch um ein zweistelliges Vielfaches.

Reaktionen

Im Zuge der mit der Digitalisierung entstandenen Internet-Kriminalitätsdelikte und des Anstiegs von Cyber-Bedrohungsformen, wie bspw. Hackerangriffe auf kritische Infrastrukturen (KRITIS), sind auch die Ausgaben für die Bereitstellung von Cybersicherheit gestiegen. Neben den speziell zur Cyberabwehr geschaffenen staatlichen Organen ist ein umfangreicher IT-Sicherheitsmarkt entstanden. Auch in Deutschland stellt der IT-Sicherheitsmarkt einen wachsenden Wirtschafts- und Forschungszweig dar, der eine wesentliche Rolle bei der Bereitstellung von Schutz vor Bedrohungen aus dem Cyberraum für die gesamte Gesellschaft spielt.

In den vom BIGS durchgeführten Marktstrukturerhebungen zur „Vermessung der Sicherheitswirtschaft“ wurden knapp 6000 Unternehmen in der Sicherheitswirtschaft identifiziert, befragt und die Ergebnisse analysiert. Demnach ist der IT-Sicherheitssektor seit der ersten telefonischen Befragung in 2012 um knapp 20 Prozent gewachsen – d.h., heute sind mehr als die Hälfte der befragten Unternehmen ganz oder teilweise im Bereich IT-Sicherheit tätig. Die Online-Befragungen der Projektfolgejahre haben ergeben, dass die IT-Sicherheitswirtschaft mit einem überdurchschnittlichen Wachstum von 6,3 Prozent einen Wachstumstreiber innerhalb der Sicherheitsbranche darstellt.

Die steigende Nachfrage nach IT-Sicherheit ist auch ein Indiz dafür, dass die Berichterstattung über die NSA-Affäre („Snowden-Effekt“) bei Bürgern und Unternehmen mutmaßlich zu einer stärkeren Sensibilisierung geführt und die Bereitschaft zu mehr Investitionen in diesen Bereich gefördert hat. In 2014 gaben insgesamt 60 Prozent (knapp 50 Prozent in 2013; unter 20 Prozent in 2012) der befragten Unternehmen (unabhängig von ihrer Branchenzugehörigkeit) an, dass IT-Sicherheit zu einem entscheidenden Zukunftstrend im Sicherheitsbereich wird, wobei insbesondere Datenschutz und Netzwerksicherung eine prägnante Rolle spielen. Das für die Folgejahre zu erwartende Wachstum der IT-Sicherheitswirtschaft von 6,9 Prozent ist nicht zuletzt auch zurückzuführen auf die Neubewertung von Aufwendungen für F&E, die nach der aktuellsten Studie des Bundeswirtschaftsministeriums zukünftig als Investitionen definiert und rechnerisch zu einem Anstieg der Bruttowertschöpfung der Branche führen werden.

Entscheidungsfindung

Sowohl das WISIND-Indikatorensystem als auch die Analyse der Sicherheitswirtschaft können nicht nur für zukünftige empirische Sicherheitsforschung ein zentrales Element darstellen. Vielmehr wurden damit umfangreiche, transparente und robuste Messkonzepte geschaffen, welche die langfristige sicherheitspolitische Entscheidungsfindung für Politik, Verwaltung und Wirtschaft unterstützen können.

The post Internet-Kriminalität – für alle eine Herausforderung appeared first on DIVSI.

Bild: Macrovector – Shutterstock

Hohe Erwartungshaltungen an Integrität und Korrektheit des Handelns sind berechtigt.

Von Holger Münch

Vertrauen ist eine „Hypothese künftigen Verhaltens“, die sicher genug sein muss, um darauf eigene Bewertungen und Einschätzungen aufzubauen. Vertrauen ist somit immer auch ein „Vertrauensvorschuss“, der im Wesentlichen an drei Erwartungen geknüpft ist: Kompetenz, Integrität und Wohlwollen des Gegenübers. Je geringer der Einblick in das Tun des Gegenübers ist, desto höher muss das Vertrauen in seine Kompetenzen sein.

Damit die Bürger der Polizei vertrauen, muss diese als kompetent, integer und grundsätzlich gutwillig wahrgenommen werden. Vertrauen in die Polizei begründet sich in der Wahrnehmung der Professionalität und Ausgewogenheit polizeilicher Maßnahmen.

Das Besondere an der Polizeiarbeit, gegenüber den von der Bevölkerung ebenfalls als sehr vertrauenswürdig eingestuften Hilfeberufen wie Feuerwehr oder Rettungsdienst, ist, dass es sich bei der Polizeiarbeit um Eingriffsverwaltung handelt. Zu Recht sind die Erwartungshaltungen des Bürgers an polizeiliche Arbeit, an die Integrität und die Korrektheit des Handelns damit besonders hoch.

Um das hohe Vertrauen der Bevölkerung zu wahren, hat die Polizei in den letzten Jahrzehnten Einsatzstrategien verändert, Aus- und Fortbildung professionalisiert und Organisationsstrukturen angepasst. Polizeibeamte lernen heute, dass Kommunikation und Deeskalation zentrale Handlungselemente sind.

Undercover

Von besonderer Bedeutung ist das Vertrauen in die polizeiliche Arbeit, wenn polizeiliches Handeln nicht beobachtbar und nicht einschätzbar ist. Dies ist zum Beispiel bei verdeckten Maßnahmen zum Schutz der Beteiligten und zur Sicherung einer effektiven Strafverfolgung der Fall. Die Bürger müssen sich bei solchen Maßnahmen darauf verlassen können, dass polizeiliche Eingriffe nur auf Basis gesetzlicher Befugnisse durchgeführt werden und nur im erforderlichen und verhältnismäßigen Umfang. Polizeiliche Maßnahmen unterliegen deshalb zu Recht Berichts- und Dokumentationspflichten sowie der Kontrolle und Überprüfbarkeit durch Justiz und Parlament. Polizeiliche Maßnahmen stehen darüber hinaus unter intensiver Beobachtung der Medien, was für das Vertrauen in die Institution Polizei ein ganz wesentlicher Baustein ist.

Kommunikation: Der direkte Kontakt mit dem Bürger gewinnt für die Polizei zunehmend größere Bedeutung. (Foto: www.polizei-beratung.de)

Balance

Ein weiteres Element ist die Selbstkontrolle in der Polizei in Form des sich immer stärker entwickelnden Beschwerdemanagements oder der Organisationseinheiten wie „interne Ermittlungen“.

Es wird deutlich, dass Vertrauen und Kontrolle zwei gleichberechtigte Komponenten sind und dass Vertrauen in die Polizei durch die Balance zwischen Personal- und Organisationsentwicklung einerseits und Transparenz und Kontrolle polizeilichen Handelns andererseits entsteht. Die Herausforderung besteht heute darin, diese Balance auch in Zukunft, in einer seit den 90er-Jahren immer digitaler und internationaler werdenden Welt, zu gewährleisten. Seit dem Fall der der Globalisierung entgegenstehenden Grenzen am 9. November 1989 ist eine vernetzte Welt mit World Wide Web und ständiger mobiler Erreichbarkeit entstanden.

Kriminelle Netze

Diese neue, vernetzte Welt bringt viele Vorteile für z.B. Wissenschaft und Wirtschaft. So können Produktions- und Steuerungsabläufe heute grenzübergreifend gestaltet werden, Forschungszentren und Computerexperten global kooperieren.

Auf der anderen Seite vernetzen sich heute aber auch Kriminelle und nutzen die digitalen Möglichkeiten, um Straftaten zu begehen. Das Entdeckungsrisiko für diese „Cyberkriminellen“ ist sehr gering, was darauf zurückzuführen ist, dass die Ermittlungsfähigkeiten der Polizei in der digitalen Welt noch wenig ausgebildet sind.

Ein Problem stellt die Flüchtigkeit der Daten dar. Insbesondere dynamische IP-Adressen lassen sich nur sehr kurz zurückverfolgen, weshalb Täter und auch Opfer nur in einem kurzen Zeitfenster feststellbar sind. Eine weitere Schwierigkeit ist die zunehmende Verschlüsselung der Kommunikation. Die großen Konzerne sorgen sich um das Vertrauen ihrer Kunden und setzen immer häufiger Technik ein, die auch für die Polizei nicht zu entschlüsseln ist. Schließlich führen Datenmassen in Bereichen wie der Kinderpornografie zu hohem Arbeitsaufwand bei der Auswertung, die die Polizei an Ihre Kapazitätsgrenzen bringt.

Kommunikation zu erkennen und auszuwerten, Täter zu ermitteln und beweiskräftig zu überführen, wird damit immer aufwendiger bei gleichzeitig sinkender Erfolgswahrscheinlichkeit. Der Polizei fehlt damit immer häufiger ein wichtiger Ermittlungsansatz. Zeitgleich nehmen die internationalen Bezüge stetig zu und sorgen somit für zusätzliche Komplexität in der polizeilichen Arbeit.

Diesen neuen Herausforderungen kann nur mit einem umfassenden Maßnahmenpaket begegnet werden.

Bündelung

Ein Baustein in diesem Paket ist die Vernetzung. Insofern stellt die Herausforderung gleichzeitig die Lösung dar: Kräfte im Bund und zwischen Bund und Ländern müssen weiter gebündelt werden. Zudem muss die polizeiliche Zusammenarbeit in Europa und weltweit weiter intensiviert werden.

Die Polizeiarbeit muss darüber hinaus an die neuen Gegebenheiten und Phänomene angepasst werden. Polizei muss aktiv und genauso effektiv Gefahrenabwehr und Prävention in der digitalen wie in der analogen Welt sicherstellen.

Dabei dürfen wir die bekannten und bewährten Elemente von Transparenz und Kontrolle in der digitalen Welt nicht vernachlässigen. Diskussionen wie die zu Mindestspeicherfristen geben Grund zur Sorgen, dass die Sicherheitsorgane von Teilen der Gesellschaft als Bedrohung und nicht als Verbündete zum Schutz ihrer Daten empfunden werden. Kritiker sehen die gerechte Balance zwischen Freiheit und Sicherheit, zwischen Abwehrrechten und Schutzpflichten in Gefahr. Zudem klingt aus dem verwendeten Vokabular Misstrauen. „Datensammelwut“, nicht „Rückgriff auf Daten bei schwerster Kriminalität“; „Vorratsdatenspeicherung“, nicht „Mindestspeicherfristen“. Das Aberwitzige bei dieser Diskussion ist, dass die geäußerten Befürchtungen der Entwicklung der tatsächlichen Möglichkeiten der Polizei diametral entgegenstehen. Daher bedarf es der Überprüfung und Weiterentwicklung des Rechts und der polizeilichen Instrumente, um den digitalen und internationalen Herausforderungen mit wirksamer Gefahrenabwehr und Strafverfolgung begegnen zu können.

Hierbei ist darauf zu achten, dass die rechtsstaatlichen Prinzipien für die Bürger nachvollziehbar in der digitalen Welt angewendet werden. Zudem ist wichtig, dass sich die Polizei klar von den Methoden einiger internationaler Geheimdienste und von der Datensammelwut mancher großer internationaler Konzerne abgrenzen.

Transparenz

Die Unwissenheit und Skepsis der Bürger, die sich in Diskussionen wie der zu Mindestspeicherfristen zeigt, zieht außerdem eine Bringschuld der Polizei nach sich, polizeiliche Maßnahmen zu erläutern und so Vertrauen zu schaffen. Diese Bringschuld kann man besonders gut am Verhältnis von Transparenz und Vertrauen, welche sich komplementär zueinander verhalten, veranschaulichen.

„Vertrauen ist nicht das Ergebnis, sondern die Alternative zu Transparenz“, sagt der Sozialwissenschaftler Vincent Rzepka. Und weiter: „Dabei ist Vertrauen ein risikobehaftetes Unterfangen: Wer vertraut, kann eben nicht über alles informiert sein, sondern legt seine Zukunft zu einem gewissen Grad blind in die Hand von Menschen und Mechanismen. […] Letztlich ist die Aufgabe dann aber nicht, auf Transparenz oder Vertrauen zu setzen. Vielmehr wäre es notwendig, darüber zu diskutieren, in welchem Mischungsverhältnis beide zukünftig stehen können und sollen. Bei jeder konkreten Entscheidung wäre zu hinterfragen, welche Auswirkungen das eine oder andere hat.“ Somit ist es Aufgabe der Polizei, Verlässlichkeit und Überprüfbarkeit in der digitalen Welt durch Kommunikation zu gewährleisten.

Lebenswirklichkeit

Zusammenfassend bleibt festzuhalten, dass das BKA und die Polizeien in Deutschland ein Programm der Personal- und Organisationsentwicklung 2.0 mit den Schwerpunkten Cyberfähigkeit, nationale und internationale Zusammenarbeit und Kompetenzbündelung umsetzen müssen. Gleichzeitig müssen die polizeilichen Instrumente an die neue Lebenswirklichkeit unter Wahrung rechtsstaatlicher Prinzipien und unter Betonung der Verlässlichkeit und Überprüfbarkeit polizeilichen Handelns angepasst werden.

Beide Entwicklungsstränge sind wichtig, damit das hohe Vertrauen in die Polizei im demokratischen Rechtsstaat erhalten bleibt, weil sie kompetent und integer ist und man sich auf die Korrektheit ihres Handelns verlassen kann.

The post Bringschuld der Polizei: Vertrauen schaffen durch Aufklärung appeared first on DIVSI.

Bild: Alexey Boldin – Shutterstock

Das IKT-Nutzerverhalten hat grundlegenden Einfluss auf Datensicherheit.

Von Carsten J. Pinnow

Unsere Gesellschaft befindet sich derzeit in einer folgenreichen Umbruchphase – nahezu kein Lebensbereich wird sich der Digitalisierung und Vernetzung entziehen können. Das Internet ist zur Lebensader moderner Gesellschaften geworden, denn beinahe alle Bereiche hängen von dessen einwandfreier Funktion ab.

Hier sind insbesondere die kritischen Infrastrukturen zu nennen, also solche Organisationen und Einrichtungen mit besonderer Bedeutung für das staatliche Gemeinwesen. Ihr Ausfall oder auch nur ihre Beeinträchtigung würden existenzgefährdende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder sonstige negative Auswirkungen größeren Ausmaßes hervorrufen.

Neun Sektoren

Die zunehmende Vernetzung und gegenseitige Abhängigkeit dieser kritischen Infrastrukturen birgt zusätzliche Gefahren und lässt Kaskadeneffekte befürchten. Das Bundesministerium des Innern (BMI) gliedert diese kritischen Infrastrukturen in neun Sektoren (Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung, Finanz- und Versicherungswesen, Staat und Verwaltung, Medien und Kultur).

Aber auch für private Nutzer, für Unternehmen oder andere Institutionen können Ausfall oder Störung des Internets ebenfalls erhebliche schädliche Auswirkungen haben.

Für Verbraucher ergeben sich aus der Nutzung von Internet-Angeboten eine Reihe von Annehmlichkeiten im Alltag: schnelle Informationsrecherche, Pflege sozialer Kontakte über soziale Netzwerke, Beteiligung an Diskussionen, Online-Banking oder Einkaufen auch außerhalb von Ladenöffnungszeiten.

Die steigende Vernetzung birgt indes Chancen und Risiken gleichermaßen. Dies gilt gerade auch für das sogenannte „Internet der Dinge“, also die zunehmende Vernetzung von Geräten, die nicht im klassischen Sinne Personal Computers sind. Dazu gehören solche eingebetteten Geräte, die Menschen unmerklich im Alltag unterstützen („Wearables“ etc.).

Zunehmend sind Informations- und Kommunikationssysteme wie Computer und mobile Geräte (Smartphones, Tablets) einer Vielzahl von Gefahren ausgesetzt. Dazu zählen Sicherheitslücken in Betriebssystemen und Anwendungen oder Schadprogramme wie Viren, Würmer und Trojaner. Allerdings darf auch und gerade das Fehlverhalten der Nutzer nicht vergessen werden. Die Gesamtsicherheit eines IKT-Systems ist immer nur so stark wie das schwächste Glied der Sicherheitskette – in den meisten Fällen ist der Mensch dieses schwächste Glied!

Restrisiko

Mit den Regeln für Datensicherheit verhält es sich wie mit den Regeln im Straßenverkehr. Sie sind nur dann nützlich, wenn sie auch konsequent beachtet werden. Das Wissen und die Einhaltung sind der eigenen Sicherheit, aber auch der Sicherheit anderer dienlich. In beiden Fällen bleibt aber wie so oft im Leben ein Restrisiko. Während für den Straßenverkehr grundlegende Kenntnisse in Kindergärten, Schulen und Fahrschulen vermittelt werden, ist beim Wissen um die Datensicherheit meist Eigeninitiative gefragt.

Längst sind Auswirkungen der eigenen Versäumnisse nicht mehr nur auf einen selbst beschränkt. Digitale Sorglosigkeit bedroht mitunter auch andere, z.B. durch Bot-Netze und Schäden durch den Diebstahl digitaler Identitäten.

Diskrepanz

Spätestens seit der sogenannten „Snowden-Affäre“ ist das Themenfeld Datensicherheit/Datenschutz für alle Internet-Nutzer in den Fokus gerückt. Umfragen in der Folge dieser Affäre zeigen die Diskrepanz zwischen subjektiver Wahrnehmung von Sicherheit und den eigenen Kenntnissen sowie dem objektiven Risiko, z.B. Opfer einer „digitalen Straftat“ zu werden, bzw. den Fähigkeiten, diese zu verhindern.

Einer gemeinsamen Studie der Messe „INTERNET WORLD“ und Fittkau & Maaß Consulting zufolge bezeichnet sich gut jeder zweite Internet-Nutzer als sicherheitsbewusst. Fast ein Drittel bewertet den eigenen Kenntnisstand als gut oder sehr gut, nur 3% stufen ihren Kenntnisstand als gering ein.

Sicherheit ist Bürgern wichtig, jedoch ist kaum jemand bereit, dafür zu zahlen. Hier ist also ein Kulturwandel dringend notwendig! BSI-Präsident Michael Hange betonte im Rahmen der „it-sa 2014“, dass 80 bis 90% der Angriffe auf IT-Syteme mit den vorhandenen Abwehrmaßnahmen abzuwehren seien – diese müssten jedoch auch konsequent zum Einsatz kommen.

Vom BSI wird für Bürger ein Basisschutz empfohlen. Dazu gehören regelmäßige Updates, der Einsatz von Antiviren-/Antischadsoftware, die Nutzung einer Personal Firewall, regelmäßige Back-ups der eigenen Daten, die Abschaltung unnötiger Dienste, möglichst die Verwendung verschlüsselter Internet-Verbindungen (https://), die Nutzung nicht privilegierter Nutzerkonten, die Deinstallation nicht genutzter Programme sowie auch sichere Passwörter.

Browser-Plugin

Ferner sollten Standardkonfigurationen von Betriebssystem und Geräten unbedingt einem Sicherheitscheck unterzogen werden. Viel zu häufig sind Standardkonten mit Standardpasswörtern vorhanden. Häufig ist sogar ein Zugang ohne Passwort möglich. Für die tägliche Arbeit sollten dem Nutzer grundsätzlich so wenig Rechte wie möglich und so viel wie nötig eingeräumt werden!

So nicht: „123456“ war 2013 das beliebteste Passwort. (Bild: LiquidLayout – Shutterstock)

Browser-Plugins (Erweiterungen) für Multimedia-Inhalte (Adobe Flash etc.) sollten aus Sicherheitsgründen nicht automatisch aktiviert werden. Moderne Internet-Browser gestatten es, diese von Fall zu Fall einzuschalten. In letzter Zeit sind immer wieder Sicherheitslücken in diesen Erweiterungen aufgetaucht, die zum Schaden des Anwenders genutzt wurden, bevor vom Hersteller ein Patch (Zero-Day-Exploit) zur Schließung der Lücke zur Verfügung gestellt wurde.

Riesenschaden

Entscheidend ist es, zu verhindern, dass Geräte (PCs, Router, mobile Geräte) zu fremdgesteuerten Bestandteilen eines sogenannten Bot-Netzes werden, das z.B. zu DDoS-Angriffen (Lahmlegen von IKT-Systemen) missbraucht werden kann. Gerade in diesem Bereich hat sich bereits seit Längerem eine regelrechte Schattenwirtschaft etabliert, in der Bot-Netze gekauft, aber auch verkauft werden können.

Solche Attacken sollen Experten zufolge für unter 50 US-Dollar pro Tag zu kaufen sein. Betroffenen, z.B. Online-Händlern, die auf diesen Vertriebsweg angewiesen sind, entstehen nach einer Schätzung der Kaspersky Labs Schäden von 50.000 US-Dollar je Stunde. Haupteinfallswege für Schadsoftware, die den eigenen Rechner zum Teil eines Bot-Netzes werden lassen, sind verseuchte E-Mails und USB-Sticks. Ein gesundes Misstrauen ist ein guter Wegbegleiter für die eigene Sicherheit und damit auch für die Sicherheit anderer!

Schlüsselfaktor

Der Befall durch Malware geschieht bei E-Mails hauptsächlich durch das Klicken auf eingebettete Links oder das Öffnen von Dateianhängen und bei USB-Sticks dadurch, dass Programme automatisch nach Einstecken des Speichersticks zur Ausführung gebracht werden.

E-Mails, die eine Kontenüberprüfung verlangen, große Erbschaften versprechen oder angeblich noch nie gesehene Bilder von Stars zeigen, sollten gelöscht und keinesfalls geöffnet werden. Bei USB-Sticks aus unbekannter Quelle ist ohnehin Vorsicht geboten!

Das Nutzerverhalten ist ein Schlüsselfaktor für ein akzeptables Datensicherheitsniveau insgesamt; daher ist eine ausreichende Sensibilisierung der Anwender dringend notwendig. Sicherheitsfunktionalitäten von IKT-Systemen müssen so bereitgestellt werden, dass Nutzer sie anwenden können und wollen.

Verantwortung in der Digitalen Welt ist von Nutzern, Unternehmen und dem Staat gleichermaßen zu übernehmen!

The post Schwächstes Glied ist oft der Mensch appeared first on DIVSI.

Visualisierung der größten Firmen-Hacks (Grafik: informationisbeautiful)

Hacking attraktiver als Online-Drogenhandel

Hacking ist seinen Kinderschuhen entwachsen und hat sich zu einem professionalisierten Umfeld entwickelt. Durch die wachsende Vernetzung aller Lebensbereiche ist der Handel mit Zero-Day-Exploits etwa noch profitabler als Online-Drogenhandel geworden. Auf dem Online-Schwarzmarkt wird ein Paket personenbezogener Daten mit 3 US-Dollar gehandelt und Kreditkartendaten sind bis zu 45 US-Dollar Wert.

Preise für Datensätze auf dem Online-Schwarzmarkt (Grafik: informationisbeautiful)

Mit E-Spionage drängen zunehmend auch Nationen mit politischen und wirtschaftlichen Absichten in das Hacking-Milieu.

Mentalitätswandel auf Seiten der Angreifer und Verteidiger

Kim Zetter, Security-Spezialistin bei WIRED, spricht in einem Podcast mit Andreessen Horowitz über den Mentalitätswandel auf Seiten der Angreifer und Verteidiger. Des Weiteren gibt sie Einblick in die Evolution von ziellosen Phishing-Hacks zu gezielten Spearphishing- und Ransomware-Angriffen und präsentiert einige Möglichkeiten, mit denen sich User und Unternehmen schützen können.

The post Wie läuft Hacking ab und wer steckt dahinter? appeared first on DIVSI.

Die ISIS platzierte eine Botschaft auf der Website und den Social Media-Kanälen des TV-Senders (Bild: Mashable)

Der ISIS gelang damit eine überaus medienwirksame Cyberattacke. 

Menschliches Versagen eine der häufigsten Ursachen für Cyberangriffe

Ein Interview mit einem TV5 Monde-Mitarbeiter nach dem Angriff belegt eindrucksvoll, dass die tatsächlichen Risiken, die derartige Attacken ermöglichen, häufig nicht technischer Natur sind, sondern in mangelnder Vorsicht begründet liegen: auf einer Pinnwand im Hintergrund sind sensible Passwörter, u.a. zu Social Media Kanälen, zu erkennen, die ein Mitarbeiter offensichtlich ausgedruckt hatte.

Sichtbare Passwörter im TV-Interview (Bild: Spiegel Online)

Laut Spiegel Online sei mindestens das Passwort für den YouTube-Kanal lesbar und laute „Lemotdepasseyoutube“, frei ins Deutsche übersetzt ganz einfach „das Passwort für YouTube“ – ein Passwort, das sich mit geringem Aufwand und auch ohne technische Fachkenntnis knacken oder sogar erraten lässt.

Auch wenn Dominique Riban, stellvertretender Chef der französische IT-Sicherheitsbehörde, den Hack nicht gänzlich auf diese gravierende Nachlässigkeit zurückführt, entlarvt der Vorfall dennoch mangelhaftes Risikobewusstsein als zentrales Problem der IT-Security. So identifizierte IBM im „2014 Cyber Security Intelligence Index“, dass menschliches Versagen in 95% aller Sicherheitsvorfälle beteiligt ist. Der Vorfall unterstreicht deutlich die Notwendigkeit komplexer Passwörter – und den verantwortungsbewussten Umgang mit diesen.

Edward Snowden bringt in einem Interview mit US-Comedy-Show-Moderator John Oliver die zentralen Probleme amüsant auf den Punkt und gibt Empfehlungen für die Wahl komplexer Passwörter ab, die sich einfach merken lassen:

6 Tipps für starke Passwörter

Im Zuge des Heartbleed-Bugs im vergangenen Jahr hatten wir bereits Empfehlungen zur Erstellung sicherer Passwörter zusammengestellt. An dieser Stelle nochmal für Sie zusammengefasst:

Sofern sie keinen Passwort Manager wie etwa Password Safe des Sicherheitsexperten Bruce Schneier nutzen, können Sie mit folgenden Tipps selbst starke Passwörter erstellen:

1. Keine bekannten, in Wörterbüchern auftauchenden Wörter verwenden, auch wenn sie mittels Zahlen oder Sonderzeichen verfremdet werden. Stattdessen kann man mit Hilfe von Eselsbrücken Passwörter konstruieren, die kaum zu ermitteln sind. Hierfür empfiehlt sich beispielsweise aus den Anfangsbuchstaben eines Satzes ein Passwort zu erstellen und dieses zusätzlich mit Zahlen, Groß- und Kleinschreibung sowie Sonderzeichen zu verstärken. Wir nehmen etwa den Satz „Heute ist das Wetter schön, doch es regnet morgen bestimmt wieder!“ und ergänzen die Zeitangaben „heute“ und morgen“ mit einem Datum, beispielsweise Weihnachten. Die erste Zahl (heute) könnte den Monat Dezember bedeuten, die zweite Stelle (morgen) den Tag nach Heiligabend. Das so erstellte Passwort könnte demnach so aussehen: H12idWs!derM25bw!
2. Vermeiden Sie die Verwendung gleicher Passwörter auf unterschiedlichen Seiten. Überprüfen Sie ihre sämtlichen Passwörter auf Stärke und mehrmalige Verwendung.
3. Durchsuchen Sie Ihre E-Mails nach Logindaten und löschen Sie die Informationen.
4. Schützen Sie sensible Logins wie Banking-Seiten und Cloud-Speicherdienste mit besonders starken Passwörtern.
5. Nutzen Sie, sofern möglich, zusätzlich zu Passwörtern noch weitere Sicherungsverfahren, etwa 2-Faktor-Authentifikation, bei der zudem ein einmal gültiger Code eingegeben werden muss.
6. Kontrollieren Sie regelmäßig ihren Kontostand auf verdächtige und fremde Aktivitäten.

The post TV5-Monde-Hack und der leichtsinnige Umgang mit Passwörtern – 6 Tipps appeared first on DIVSI.

Bild: JMiks – Shutterstock

Von Yi-Ji Lu

Typosquatting – so nennt sich eine Methode, um aus den Tippfehlern von Internet-Nutzern zu profitieren. Webseiten-Betreiber mieten hierbei zu bekannten Internetseiten ähnliche Domains an und hoffen auf Traffic durch Vertipper bei der URL-Eingabe.

Typosquatting-Seiten können auf mehreren Ebenen von User-Fehleingaben ansetzen:

• Vertipper bei der URL-Eingabe (z.B.: www.wiipedia.org, www.eikipedia.org. www.wikipdia.org anstatt www.wikipedia.org)
• Abweichende Top-Level-Domain (z.B.: www.whitehouse.com anstatt www.whitehouse.gov)

Typosquatting-Seite whitehouse.com (Quelle: t3n)

Alle Typosquatting-Seiten unseriös und mit Malware infiziert?

Typosquatting-Seiten gelten als unseriös und werden oft mit nichtjugendfreien Inhalten, Werbeanzeigen-Popups oder Malware assoziiert. Zwar warnt Kaspersky vor Infizierung durch derartige Webseiten, eine Studie des Security-Unternehmens Sophos zeigte jedoch, dass nur eine von 14.495 untersuchten Typosquatting-Webseiten Malware enthielt. Eine weitere Aufschlüsselung zeigt die Themenfelder, in denen sich die untersuchten Seiten bewegen:

• Werbeanzeigen und Popups (15%)
• IT und Hosting-Dienste (12%)
• Suchmaschinen (6%)
• mit Cyberkriminalität (Hacking, Phishing, Online-Betrug, Spamming) assoziierte Seiten (3%)
• pornografische oder Dating-Seiten (2%)

Anstatt Malware zu verbreiten, zielen sie eher auf fremden Traffic ab, den sie meist über zwei Wege monetarisieren:

• auf einer Typosquatting-Website werden entweder direkt oder über eine Suchmaschine Werbeanzeigen geschaltet
• der Besucher wird mit einem Cookie versehen und direkt oder indirekt auf die eigentlich gewünschte Website weitergeleitet. Schließt er dort einen Kaufvertrag ab, erhält der Betreiber der Typosquatting-Website die Provision für die Weiterleitung

Viele Typosquatting-Seiten siedeln sich naturgemäß um die großen Internetseiten herum an. So kommt Sophos zu dem Ergebnis, dass über 80% der ermittelten Typosquatting-Seiten in einem Bezug zu Facebook, Google und Apple stehen. Die Seiten stammen überwiegend aus den USA (63,8%), an zweiter Stelle folgt Deutschland (4,6%).

Typosquatting-Seiten nach Ländern (Quelle: nakedsecurity)

Eine ganze Industrie steckt dahinter – auch Google verdient mit

Typosquatting ist in hohem Maße professionalisiert. Dies überrascht nicht – schließlich generierten Typosquatting-Domains laut einer Harvard-Studie bereits im Jahr 2010 täglich 68,2 Millionen Klicks. Unternehmen haben sich unlängst auf die Sicherung von Typosquatting-Domains und Weiterleitung auf Online-Shops spezialisiert. Google geht zwar gegen Internetseiten vor, die auf reines Domain-Parking mit geschalteten Werbeanzeigen aus sind, doch soll Google laut den Harvard-Forschern durch diese Seiten selbst rund 500 Millionen US-Dollar im Jahr verdienen.

Die Blogosphäre ist derzeitig von einer ähnlichen kriminellen Methode betroffen. Hierbei werden ähnliche Domains zu bekannten Blogs – lediglich die Top-Level-Endung weicht ab – angemietet. Bei Aufruf der falschen Domain wird der Inhalt des Original-Blogs mittels eines Proxy-Servers gezogen und auf die falsche Domain gespiegelt. Die Betrüger erzielen dadurch Affiliate-Marketing-Einnahmen mittels fremder Inhalte.

Vorgehen gegen Typosquatting

Typosquatting resultiert für Unternehmen und Blogger meist in wirtschaftlichen Schäden. Um dagegen vorzugehen, reservieren Seitenbetreiber die für ihre eigene Internetseite typischen Typosquatting-Domains oft selbst. So verwaltet etwa Google die Domains goolge.com oder gogle.com und leitet von dort automatisch auf die Suchmaschine weiter.

Es gibt zudem rechtliche Bestrebungen, gegen Typosquatting vorzugehen. Im Januar 2014 urteilte der Bundesgerichtshof in der Klage gegen den Betreiber von wetteronlin.de, dass Tippfehler-Domains zwar rechtlich zulässig sind und nicht gelöscht werden müssen. Das gezielte Abfangen von Kunden verstoße jedoch gegen das Verbot unlauterer Behinderung, wenn für den Nutzer nicht sofort ersichtlich wird, dass es sich um eine andere Website handelt.

The post Typosquatting – wie aus Tippfehlern Geld gemacht wird appeared first on DIVSI.

Shellshock-Logo (Paul M. Gerhardt, Twitter)

Eine Vielzahl von Unix-Systemen, sowohl Linux und Mac OSX, als auch die meisten Webserver, sollen davon betroffen sein. Das National Institute of Standards and Technology (NIST) bewertet Shellshock mit der Höchstwertung von 10/10 Punkten in den Kategorien Ernsthaftigkeit, Ausmaß und Ausnutzbarkeit. Gleichzeitig ist Shellshock wenig komplex und bietet Hackern damit beste Voraussetzungen. Daher schätzt Sicherheitsexperte Robert Graham von Errata Security die Sicherheitslücke gefährlicher ein, als den im April bekannt gewordenen OpenSSL-Heartbleed-Bug, der bislang als gravierendste Sicherheitslücke des Web galt.

I think I was wrong saying #shellshock was as big as #heartbleed. It’s bigger.

— Robert Graham (@ErrataRob) 25. September 2014

Shellshock wird noch viele Jahre lang Probleme bereiten

Robert Graham prognostiziert aufgrund der schieren Masse an möglicherweise betroffenen Systemen, dass die Sicherheitslücke noch viele Jahre lang Probleme bereiten wird. Ein umfassender Bug-Fix werde zudem durch das wachsende Internet der Dinge erschwert, da Geräte wie etwa Fernseher, Kühlschränke, Klimaanlagen etc., in hoher Zahl an das Netz angeschlossen werden und nur selten oder nie ein Update erhalten würden. Bereits wenige Stunden nach der Ankündigung wurde die Sicherheitslücke ausgenutzt, um mit wenig Aufwand Rechner zu infiltrieren und Botnetze aufzubauen. Das Ausmaß der Attacken sei zwar, gemessen an der Schwere der Sicherheitslücke, noch überschaubar. Experten vermuten daher, dass die Hacker mit ihren Angriffen keine große Aufmerksamkeit auf sich lenken wollen. Das Auftauchen eines sich schnell verbreitenden Wurms sei aber nur eine Frage der Zeit.

Ist mein System betroffen?

Um herauszufinden, ob Ihr System betroffen ist, müssen Sie den folgenden Befehl in die Kommandozeile ihres Systems (Terminal in OSX) eingeben:

env x='() { :;}; echo vulnerable‘ bash -c „echo this is a test“

Ist Ihr System betroffen, wird diese Antwort ausgegeben:

vulnerable

this is a test

Positive Prüfung auf die Shellshock-Sicherheitslücke (Grafik: t3n)

Wie kann ich mich schützen?

Bislang gibt erst es Patches für die folgenden Linux-Distributionen (können hier abgerufen werden):

• Red Hat Enterprise Linux
• Fedora
• CentOS
• Ubuntu
• Debian
• OpenSuse

Zunächst sah Apple keine unmittelbare Bedrohung für den Normalanwender, lieferte nun jedoch Updates für die Mac OS X-Versionen Mavericks, Lion und Mountain Lion nach.

The post Shellshock bedroht Unix-Systeme – schwerwiegender als Heartbleed? appeared first on DIVSI.

Bild: hauhu – Shutterstock

Laut dem Sicherheitsunternehmen Hold Security hat eine russische Hackergruppe den bisher größten Datencoup der Internetgeschichte gelandet. Von über 420.000 Internetseiten wurden 1,2 Milliarden Login-Daten sowie über 500 Millionen E-Mail-Adressen gestohlen.

Der Datenklau erfolgte via SQL-Injection – eine weithin bekannte Sicherheitslücke, die zum Standard der Absicherung gehört. Mittels Botnetzen (Netzwerke von infizierten Rechner) überprüften die Hacker die von Nutzern aufgerufenen Seiten nach der Sicherheitslücke und extrahierten die jeweiligen Datenbanken mit User-Logins. Auf einem Großteil der betroffenen Internetseiten ist die Sicherheitslücke bis heute weiterhin offen. Bislang hat Hold Security noch nicht bekannt gemacht, um welche Seiten es sich handelt. Betroffen sollen jedoch auch die Websites großer Unternehmen sein. Anscheinend wurden die Login-Daten bislang noch nicht für Identitätsdiebstahl, sondern nur für Spam missbraucht.

Sind meine Userdaten betroffen und wie erstelle ich sichere Passwörter, die ich mir merken kann?

Hold Security arbeitet derzeit an einem Tool, mit dem User überprüfen können, ob die eigenen Daten betroffen sind. Momentan ist jedoch noch nicht abzusehen, wann dieses Tool verfügbar sein wird. Sicherheitshalber sollten die eigenen Passwörter daher geändert werden, da vor dem Hintergrund des Ausmaßes fast jeder User betroffen sein könnte.

Im Zuge des Heartbleed-Bugs im April diesen Jahres hatten wir bereits Empfehlungen zur Erstellung sicherer Passwörter zusammengestellt. Sie können Passwort-Manager wie Password Safe des Sicherheitsexperten Bruce Schneier nutzen oder mit folgenden Tipps selbst starke Passwörter erstellen:

1. Keine bekannten, in Wörterbüchern auftauchenden Wörter verwenden, auch wenn sie mittels Zahlen oder Sonderzeichen verfremdet werden. Stattdessen kann man mit Hilfe von Eselsbrücken Passwörter konstruieren, die kaum zu ermitteln sind. Hierfür empfiehlt sich beispielsweise aus den Anfangsbuchstaben eines Satzes ein Passwort zu erstellen und dieses zusätzlich mit Zahlen, Groß- und Kleinschreibung sowie Sonderzeichen zu verstärken. Wir nehmen etwa den Satz „Heute ist das Wetter schön, doch es regnet morgen bestimmt wieder!“ und ergänzen die Zeitangaben „heute“ und morgen“ mit einem Datum, beispielsweise Weihnachten. Die erste Zahl (heute) könnte den Monat Dezember bedeuten, die zweite Stelle (morgen) den Tag nach Heiligabend. Das so erstellte Passwort könnte demnach so aussehen: H12idWs!derM25bw!
2. Vermeiden Sie die Verwendung gleicher Passwörter auf unterschiedlichen Seiten. Überprüfen Sie ihre sämtlichen Passwörter auf Stärke und mehrmalige Verwendung.
3. Durchsuchen Sie Ihre E-Mails nach Logindaten und löschen Sie die Informationen.
4. Schützen Sie sensible Logins wie Banking-Seiten und Cloud-Speicherdienste mit besonders starken Passwörtern.
5. Nutzen Sie, sofern möglich, zusätzlich zu Passwörtern noch weitere Sicherungsverfahren, etwa 2-Faktor-Authentifikation, bei der zudem ein einmal gültiger Code eingegeben werden muss.
6. Kontrollieren Sie regelmäßig ihren Kontostand auf verdächtige und fremde Aktivitäten.

The post Passwort-Sicherheit in 6 Schritten appeared first on DIVSI.

Bild: Pew Research Center

PEW Research Center befragte einige Wochen später 1.501 Erwachsene in den USA zu ihrem Datenschutzempfinden. Die zentralen Ergebnisse:

• der Heartbleed-Bug war im öffentlichen Bewusstsein weniger prominent als andere Ereignisse wie etwa die Ukraine-Krise
• 64% der Internet-Nutzer haben vom Heartbleed-Bug erfahren, überwiegend Erwachsene mit guter Bildung (77% mit College-Ausbildung) und/oder hohem Einkommen (75% Haushalte mit Jahreseinkommen von $75.000 und höher)
• 29% der User nehmen an, dass ihre persönlichen Informationen durch den Heartbleed-Bug gefährdet waren
• 39% der User haben Sicherheitsmaßnahmen ergriffen, um ihre Online-Accounts besser zu schützen (Passwort-Änderung oder Deaktivierung von Konten)
• 6% der User nehmen an, dass ihre persönlichen Informationen gestohlen wurden
• trotzdem nehmen 69% der Internet-User an, dass ihre Online-Konten und privaten Informationen im Internet generell sicher sind

The post Pew Research Studie: So reagierten User auf den OpenSSL Heartbleed-Bug appeared first on DIVSI.