Das Zauberwort heißt: Recht auf Vergessen.

Problemaufriss

Wir verbreiten unsere Daten sehr schnell im Internet. Dies geschieht beispielsweise bei jeder Onlinebestellung. Nicht selten fordern die Internethändler unser Einverständnis, um regelmäßig per Newsletter über neue Angebote zu informieren. Oft ist das entsprechende Kästchen schon vorausgewählt, sodass diese Option erst mühsam abgewählt werden müsste. In der Folge trudelt nach der erfolgreichen Bestellung häufig Werbung ins Haus – sowohl per E-Mail, wie auch klassisch per Post. „Des einen Freud, des anderen Leid“ könnte man sagen, denn nicht jeder möchte nach seinem Onlinegeschäft weiterhin über „Top-Angebote“ informiert werden (weil er oder sie z. B. das Kästchen mit der Einwilligung der Datennutzung schlicht übersehen hat).

Lösungsansätze

Im Hinblick auf Werbung per E-Mail (Newsletter) ist ein Lösungsansatz vielen bekannt: Jeder (seriöse) Newsletter muss einen Link mit der Abschrift „abmelden“ oder „unsubscribe“ enthalten. Auf diese Weise können Sie dem zukünftigen Versand verhindern. Sollte der Newsletter (meist am Ende) keine entsprechende Abmeldeoption vorhalten, sind die gesetzlichen Verpflichtungen des § 7 Abs. 2 Nr. 4 UWG nicht eingehalten – ein starkes Indiz für eine illegale Form der Werbung, was aber ein Thema für sich ist. Soweit – so bekannt.

Es gibt aber eine weitere Möglichkeit, die das Problem gewissermaßen an der Wurzel packt: Das Bundesdatenschutzgesetz und die zukünftig geltende Datenschutz-Grundverordnung (DS-GVO) gewähren uns ein sog. „Recht auf Vergessen“. Was sich in ersten Moment seltsam anhört, ist letztlich nur konsequent. Klar, wir können uns überall anmelden, unsere persönlichen Daten hinterlassen und unsere Einwilligung zur Nutzung dieser Daten geben, ABER wir können ebenso unser Einverständnis widerrufen und zur Löschung der gespeicherten Daten auffordern.

Recht auf Vergessen – die Rechtsgrundlage

Eine gesetzliche Grundlage hierfür findet sich in Art. 17 Abs. 1 lit. a) DS-GVO sowie im dazugehörigen Erwägungsgrund 65. Dort heißt es: „(…) Insbesondere sollten betroffene Personen Anspruch darauf haben, dass ihre personenbezogenen Daten gelöscht und nicht mehr verarbeitet werden, wenn die personenbezogenen Daten hinsichtlich der Zwecke, für die sie erhoben wurden, nicht mehr benötigt werden, wenn die betroffenen Personen ihre Einwilligung in die Verarbeitung widerrufen oder Widerspruch gegen die Verarbeitung der sie betreffenden personenbezogenen Daten eingelegt haben oder wenn die Verarbeitung ihrer personenbezogenen Daten aus anderen Gründen gegen diese Verordnung verstößt (…)“.

Soweit also die gesetzliche Grundlage, aber wie können Sie diese für sich fruchtbar machen und was hat das Recht auf Vergessen mit nervigen Newslettern und der Werbepost im Briefkasten zutun? Kurzum: Wenn Sie der Nutzung Ihrer Daten widersprechen und die Löschung verlangen, dann müssen Unternehmen dem auch nachkommen. Für Zuwiderhandlungen sieht die in Kraft tretende DS-GVO empfindlichen Geldstrafen vor. Im Ergebnis werden Ihre persönlichen Daten – Ihr Name, Ihre E-Mail-Adresse sowie Anschrift,… – gelöscht. Damit kann von diesem Unternehmen an Sie auch keine Werbung mehr geschickt werden. Dieses Vorgehen bringt einen weiteren Vorteil mit sich, denn je weniger Firmen Ihre personenbezogenen Daten speichern, desto geringer ist auch die Gefahr einer (illegalen) Datenweitergabe an Dritte oder des Datendiebstahls durch Hacker. Beachten sollten Sie jedoch, dass nach einer vollständigen Datenlöschung – beispielsweise bei einem Onlinestore – auch Ihre Bestelldaten gelöscht werden und es dann möglicherweise schwierig werden kann, wenn Sie innerhalb der Garantie Ihre Gewährleistungsrechte nutzen möchten.

Fazit

Wenn Sie sich immer noch nicht recht angesprochen fühlen sollten, dann durchforsten Sie doch mal bitte Ihr (Spam-) E-Mail-Postfach und beobachten Sie, wieviel Werbung in Ihrem Briefkasten an Sie adressiert landet und fragen Sie sich: „Möchte ich, dass diese Konzerne meine persönlichen Daten speichern und verwenden; interessiert mich diese Werbung?“ Sollten Sie diese Frage mit „nein“ beantworten, so stelle ich Ihnen folgenden Formulierungsvorschlag zur Verfügung, um Ihr Einverständnis zur Datennutzung zu widerrufen und zur Löschung aufzufordern.

Ein kleiner Tipp: Diese Aufforderung können Sie auch unkompliziert per E-Mail verschicken. Die E-Mail-Adresse der Unternehmen, mit denen diese am Rechtsverkehr teilnehmen, finden Sie meist auf der jeweiligen Internetseite unter „Impressum“. Sollten Sie trotz der Löschaufforderung mit weiteren E-Mails und Werbung per Post bombardiert werden, so können Sie sich an den zuständigen Landesdatenschutzbeauftragten wenden oder anwaltliche Hilfe in Anspruch nehmen.

Im Ergebnis kennen Sie jetzt eine gesetzliche Grundlage, wie Sie der Nutzung Ihrer persönlichen Daten widersprechen und die Löschung verlangen können. Lassen Sie sich also nicht nerven, sondern nutzen Sie die Möglichkeiten, die Ihnen das deutsche und europäische Datenschutzrecht gewährt.

Welche Newsletter nerven Sie am meisten? Haben Sie bereits Unternehmen angeschrieben und die Löschung Ihrer Daten verlangt? Ich bin auf Ihre Erfahrungen gespannt. Kommentieren Sie diesen Beitrag!

__

Titelbild (CCO Public Domain)

__

Ausgangslage

Auch wenn gar nicht alle Details der Sicherheitslücken bekannt sind, war das Entsetzen innerhalb der Branche einigermaßen groß. Den bayerischen IT-Forschern ist es gelungen, eine bekannte Sicherheitslücke auszunutzen und auf diese Weise den digitalen Zahlungsverkehr auf dem Handy mit einem gezielten Angriff zu manipulieren. Den Wissenschaftlern der Universität Erlangen-Nürnberg gelang es, während eines Online-Banking-Prozesses auf das Smartphone zuzugreifen und das Geld unbemerkt auf ein anderes Konto umzuleiten. Betroffen sind Apps, die Online-Banking und die anschließende TAN-Ein- und Ausgabe auf dem selben Gerät realisieren – frei nach dem Motto: Wenn erst einmal der Zugang zum Handy besteht und hier beide Apps (Banking und TAN-Erzeugung) gleichzeitig ausgeführt werden, dann ist es auch leichter, die Prozesse parallel auszulesen, anzugreifen und schlussendlich (kriminell) zu beeinflussen.
Aber wie konnte dieses Einfallstor gleich bei 31 verschiedenen Banking-Apps gleichzeitig auftreten? Um das individuelle Design kümmern sich die unterschiedlichen Banken meist selbst, aber die Sicherheit ist ein heikles Thema. Hier bedienten sich die Geldinstitute einer spezialisierten IT-Sicherheitsfirma namens „Promon“. Einige Banken lagerten diesen sicherheitsrelevanten Bereich also an einen externen Dienstleister aus. Mit der Folge, dass wenn das System einmal angreifbar ist, sich dieser Fehler auf alle Banking-Apps auswirkt, die auf den „Promon-Unterbau“ setzen.

Kritik an den betroffenen Banking-Apps

Der Fakt selbst – also unsichere Online-Banking-Apps von namenhaften Banken – ist schon erschütternd, aber die Schuld ist nicht nur bei der externen IT-Sicherheitsfirma zu suchen. Mitschuld tragen auch die Kunden, die immer wieder smarte Banking-Lösungen einfordern, die nur auf eine möglichst komfortable Bedienung abzielt. Aber Verantwortung tragen ebenso die Geldhäuser, die diese wichtige Aufgabe delegieren, anstatt eigene und vor allem wirklich sichere Lösungen zu entwickeln. Es ist äußerst problematisch, dass diesen Rufen nach mehr Komfort (zu Lasten der Sicherheit), Gehör geschenkt und auf unabhängige Zwei-Faktor-Authentifizierung verzichtet wurde. Das ist ein Verfahren, bei dem zwei voneinander unabhängige Geräte nötig sind, um Transaktionen zu tätigen.

Handlungsempfehlung

Klar, dieser Vorfall ist alarmierend, aber auf die bequemen Online-Banking-Funktionen müssen Sie trotzdem nicht pauschal verzichten. Beachten sollten Sie jedoch sehr genau, welche Banking-App Sie bevorzugen und anschließend herunterladen. Trotz einiger Sicherheitsprüfungen in den App-Stores, gelingt es kriminellen Hackern (leider) immer wieder, Schadsoftware in die jeweilige Plattform einzuschleusen. Hier hilft nur eine Recherche oder eine direkte Anfrage bei Ihrer Bank. Weiterhin sollten Sie unbedingt Ihr Betriebssystem, welches auf Ihrem Smartphone läuft, auf dem aktuellen Stand halten. Nur so können Sicherheitslücken geschlossen werden. Dies kann für Android-Nutzer ein (unüberwindbares) Problem darstellen, da leider einige Hersteller nur verzögert und im Falle älterer Geräte sogar oft gar keine Software-Updates mehr anbieten. Bei älteren Android-Telefonen mit deutlich veralteter Software ist daher kritisch zu überdenken, ob Sie mit einen tendenziell unsicheren Smartphone sensible Bankgeschäfte tätigen wollen. Rechtlich könnte ein solches Verhalten schon als fahrlässig eingestuft werden – mit der Folge, dass Ihre Bank bei einem dadurch bedingten Schadensfall, den Schaden möglicherweise nicht reguliert. Das sollten Sie vermeiden.

Fazit

Der vorliegend Fall zeigt exemplarisch, wie verwundbar sicherheitsrelevante IT-Systeme sein können. Damit geht es hier ganz konkret um unser Geld. Es lohnt sich also, nicht blind nur irgendeine Banking-App herunterzuladen und das komfortabelste TAN-Verfahren auszuwählen, sondern konsequent eine möglichst sichere Lösung zu favorisieren. Dazu gehört, dass Sie das eigentliche Banking und das Erstellen der entsprechenden TAN nicht auf dem selben Gerät ausführen. Ebenso sollten Sie den Bereich, der in Ihrer Sphäre liegt – Ihr Smartphone – stets mit der neusten Software pflegen, um die Möglichkeit von Cyberangriffen zu reduzieren. Eine vollständige Sicherheit werden Sie nicht erreichen. Das sollte Ihnen bewusst sein. Es muss ja schließlich auch einen Grund geben, warum Sie diesen einen Freund/Bekannten haben, der kein Online-Banking betreibt…

Lesen Sie auch meine Artikel zur Sicherheit von der Sofortüberweisung, Paypal und Paydirekt.
Welche Erfahrungen haben Sie gemacht? Hatten Sie mit Ihrer Bank wegen eines Online-Banking-Zwischenfalls schon einmal Ärger? Lassen Sie es mich wissen und kommentieren Sie diesen Beitrag!

__

Titelbild (CCO Public Domain)

__

Eine Analyse von alten (schlechten) und neuen (besseren) Passwörtern.

Ausgangssituation: Die bisherige Empfehlung 

Bisher galt die Faustregel: Ein sicheres Passwort setzt sich aus Sonderzeichen, Groß- und Kleinbuchstaben und Zahlen zusammen und muss häufig verändert werden. Diese Regel dachte nicht ich mir aus, sondern das National Institute of Standards and Technology (NIST) in den USA.

Die Frage, was ein sicheres Passwort ausmachen und ob es regelmäßig geändert werden sollte, wird in IT-Sicherheitskreisen schon länger diskutiert. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rief kürzlich einen „Ändere-dein-Passwort-Tag“ ins Leben. Die Behörde rät also ausdrücklich zu einem regelmäßigen Passwortwechsel.

Auch viele Unternehmen, Universitäten und Internetprovider fordern ihre Mitarbeiter, Studenten und Nutzer in festgelegten Zeitabständen zum Passwortwechsel auf. Dies kann besonders dann sinnvoll sein, wenn sich bereits Zugangsdaten in falschen Händen befinden. Durch jeden Passwortwechsel wird Angreifern immer wieder der Zugang verwehrt.

Nach der britischen Communications Electronics Security Group (CESG) bewirkt ein häufiger Passwortwechsel in praxi mitunter das Gegenteil: Um sich nicht zu viele Passwörter merken zu müssen, wird oft für viele unterschiedliche Dienste das selbe Kennwort benutzt und dieses bei einem Wechsel nur minimal verändert. Im Ergebnis ähnelt das neue Passwort oft dem vorherigen und ist damit sehr viel leichter zu erraten.

Ein weiteres Problem sind milliardenfache Passwort-Lecks. Hieraus lassen sich für IT-Sicherheitsforscher (aber ebenso für Kriminelle) wertvolle Informationen gewinnen, welche Passwörter in der Realität gewählt werden und welche Auswirkungen die Passwortrichtlinien auf diese haben.

Die Erkenntnis: Viel zu viele dieser Passwörter sind trivial zu erraten und damit im Ergebnis schnell zu knacken.

Sichere Passwörter im Jahre 2017

Inzwischen existiert eine überarbeitete NIST-Richtlinie. Diese neue Richtlinie lässt sich in zwei Schritte aufgliedern:

1. Verwenden Sie kein Passwort, welches bereits (durch ein Passwort-Leck) bekannt ist. Ob Ihr bevorzugtes Kennwort bereits geknackt und damit bekannt ist, können Sie beispielsweise über den Internetdienst Pwned Passwords herausfinden.
   

   Bei diesem Ergebnis sollten Sie umgehend Ihr Passwort ändern.

2. Die zweite Empfehlung bezieht sich auf die Verwendung von langen Passphrasen. Insofern wird eine deutlich Unterscheidung zu älteren Passwortvorgaben deutlich, die nur Anforderungen an die Komplexität – nicht allerdings an die Länge stellten. Weiterhin sollte sich das neue Passwort an möglichst vielen Stellen vom bisherigen unterscheiden. Ferner sollte vermieden werden, das Kennwort aus Wörtern oder Namensbestandteilen zusammenzusetzen.

Kurzum: Ein sicheres Passwort Anno 2017 ist lang und möglichst kryptisch. 

10-Punkte-Checkliste für ein sicheres Passwort.

Fazit

Lang und kryptisch. Schön und gut – aber wie soll man sich ein solches Passwort bitte merken? Sie können auf einen einfachen Trick zurückgreifen: Denken Sie sich einen (längeren) Satz aus. Wählen Sie jeweils die Anfangsbuchstaben der einzelnen Wörter, beachten sie die Groß- und Kleinschreibung und setzen Sie ein Satzschlusszeichen.

Beispiel:

Die besten Artikel zum Thema Datenschutz und Datensicherheit lese ich auf Power-Datenschutz.de!

Passwort: DbAzTDuDliaP-D.d!

Das Resultat ist ein Kennwort, welches keinen logischen Schluss auf seinen Besitzer zulässt. Seien Sie kreativ und vernachlässigen Sie die Wahl eines sicheren Passwortes nicht! Ändern sollten Sie Ihr neues Passwort übrigens erst, wenn es wahrscheinlich ist, dass es geknackt wurde. Ein willkürlicher Wechsel, der nur an einen bestimmten Zeitraum anknüpft, bringt grundsätzlich nicht mehr Sicherheit.

__

Titelbild (CCO Public Domain)

__

Eine Analyse an einem Beispiel.

Der Sachverhalt

Am 20. Juni 2017 bekam ich eine E-Mail. Angeblich vom Internethändler Amazon – konkret vom Absender „info@amazon.eu“. Inhaltlich informierte mich der Absender über eine angebliche Pflicht – aus der neuen EU-Datenschutz-Grundverordnung (EU-DSGVO)  – mein Konto bei Amazon zu bestätigen, um meine Identität überprüfen zu können. Hierfür sollte ein Button mit der Aufschrift „Konto bestätigen“ betätigt werden.

Was fällt bei genauerer Betrachtung auf?

Der gewählte Absender wirkt unauffällig und seriös. Weiterhin wurde das korrekte Amazon-Logo verwendet. Ebenso wirkt das restliche Erscheinungsbild der E-Mail sehr professionell und ordentlich gestaltet. Ältere Spam-Mails ließen sich schon an der häufig sehr dilettantischen und unansehnlichen Formatierung erkennen und ausschließen. Am gravierendsten erscheint jedoch die Kombination aus richtiger Empfängeradresse und der persönlichen Ansprache. Es stimmen nicht nur Vor- und Nachname, auch das Geschlecht wurde richtig zugeordnet. Damit erreichte diese E-Mail ein erschreckendes Maß an Perfektion. Schlussendlich bemühen die kriminellen Versender ein aktuelles Thema, welches uns derzeitig in der medialen Berichterstattung umgibt. Auf diese Weise wird ein einfacher Prozess ausgelöst: „Ach, davon habe ich gehört – das wird schon stimmen“ und zack wird der Button gedrückt.

Woran lässt sich diese E-Mail klar als gefährliche Spam-Mail erkennen?

Ganz perfekt ist diese E-Mail (zum Glück) doch nicht. Erkennen lässt sich dies (wie so oft) an einigen Rechtschreibfehlern. Beispielhaft können „Standarts“, „gestalen“ sowie einige Interpunktionsfehler benannt werden. Bei der Domain-Endung „.eu“ könnten einem erfahrenen Internetnutzer erste Zweifel kommen. Ebenso die Aufforderung aus der E-Mail, das „Konto (zu) bestätigen“ ist fehlerhaft. Schlussendlich handelt es sich bei der verwendeten E-Mail-Adresse des Absenders auch um ein schwer zu erkennendes Indiz.

Fazit

Aber insgesamt erreicht die E-Mail eine mir bisher noch nicht gekannte und alarmierende Qualität. Doch was können Sie zukünftig beachten, um nicht in die Spam-Falle zu tappen?

1. Seien Sie beim Blick in Ihr E-Mail-Postfach skeptisch.
2. Schauen Sie zunächst auf den Absender – sollte Ihnen dieser auch nur im Entferntesten seltsam vorkommen, sollten Sie die Adresse erst einmal mithilfe von Google überprüfen.
3. Überprüfen Sie den Inhalt der E-Mail. Dies umfasst die richtige Ansprache, aber auch den sachlichen Inhalt.
4. Abschließend achten Sie bitte auf formelle Auffälligkeit – also die allgemeine Erscheinung, ein mögliches Logo, die Rechtschreibung und Interpunktion.
5. Kontaktieren Sie im Zweifelsfall den Kundenservice des Unternehmens, für das sich ausgegeben wird. Von einer schnellen Aufdeckung profitieren beide Seiten: Sie erlangen Gewissheit und die Unternehmen werden dadurch auf kriminelle E-Mails aufmerksam, die sich im Umlauf befinden und können ggf. schnelle Gegenmaßnahmen einleiten.

Am Ende ist der erste Tipp entscheidend:

Werden Sie misstrauisch und verabschieden Sie sich von einer Gutgläubigkeit im Bezug auf Ihre IT-Sicherheit, denn auch bei Ihrem E-Mail-Postfach gibt der alte Spruch: „Es ist nicht immer drin, was draufsteht“.

Haben Sie ähnliche E-Mails bekommen?

Ich bin sehr auf Ihre Erfahrungen gespannt. Schreiben Sie es mir in die Kommentare!

__

Titelbild (CCO Public Domain)

__

Eine Checkliste.

Ausgangssituation

Stellen Sie sich vor, Sie verlieren alle Bilder, Videos und persönlichen Dokumente, die auf Ihrem Computer gespeichert sind. Wie viel wären Sie bereit, zu zahlen, um all das zurückzubekommen?

Nach diesem Prinzip agiert der Verschlüsselungs- und Erpressungstrojaner WannaCry. Dabei handelt es sich um eine sog. Ransomware; also eine Schadsoftware (auch Malware genannt), die Ihren Computer infiziert, verschlüsselt und anschließend Geld dafür verlangt, ihn anschließend wieder zu entsperren.

Seit dem 13.05.2017 häufen sich Berichte über betroffene Computer. Besonders pikant dabei ist, dass es sich nicht „nur“ um private Rechner, sondern um ganze Firmen- und Krankenhauscomputernetze handelt, die WannaCry zum Opfer fielen.

Gefährdet waren und sind vor allem ältere Windows-Computer. 

In Großbritannien mussten Herz- und Krebspatienten nach Hause geschickt werden, da die Krankenhausrechner teilweise befallen waren und daher die Behandlung nicht sicher durchgeführt werden konnte.

In Frankreich setzte der Automobilhersteller Renault die Produktion in einigen Werken zum Schutz gegen WannaCry aus. Bei uns in Deutschland traf es die Deutsche Bahn. Die Anzeigesysteme auf vielen Bahnhöfen fielen aus. Aber auch in Spanien und Portugal meldeten die Telecom und Telefónica den Befall mit der Schadsoftware.

Wie greifen WannaCry und die Variationen der Malware an?

Der Begriff „Malware“ weist schon auf den zentralen Verbreitungsweg hin: Die Schadsoftware kommt häufig per E-Mail. Auf diesem Weg kam der Trojaner auch bei der Deutschen Bahn ins Netzwerk und verbreitete sich anschließend durch eine Sicherheitslücke in der Windows Netzwerk-Datenfreigabe. Diese Schwachstelle erkannte Microsoft bereits im März 2017 und stellte einen entsprechenden Patch zur Beseitigung zur Verfügung. Das Problem hierbei ist jedoch, dass dieses Update nur für die aktiv unterstützten Windows-Versionen bereitgestellt wurde. Im Ergebnis blieben ältere Versionen des Betriebssystems (wie beispielsweise Windows XP oder Server 2003) ungeschützt und sind deshalb besonders gefährdet. Mittlerweile gibt es auch für diese Nutzer ein entsprechendes Update. Aber leider gibt es auch Nutzer, die die automatische Update-Funktion ausgeschaltet haben – auch sie sind konkret der Gefahr ausgesetzt.

Wie können Sie sich gegen WannaCry und andere Verschlüsselungs- und Erpressungstrojaner schützen? Eine Checkliste:

1. Halten Sie Ihr Betriebssystem auf dem neusten Stand, indem Sie stets alle Sicherheits-Updates umgehend einspielen. Hierfür schalten Sie die automatische Update-Funktion immer ein. Im Zweifelsfall sollten Sie auch in den Windows-Update-Einstellungen nachsehen, ob womöglich ein Neustart für die Update-Installation nötig ist und diesen umgehend durchführen.
2. Stellen Sie sicher, dass auf Ihrem System ein Virenscanner installiert und dieser auf dem neusten Stand ist. Die Minimalanforderung an den Virenschutz ist der von Microsoft bereitgestellte Windows Defender. Es gibt aber auch weitere empfehlenswerte kostenlose Virenscanner (wie Avast Free Antivirus, Avira Free Antivirus oder AVG Anti-Virus Free).
3. Auch in diesem Fall gilt der Spruch „Ohne Backup kein Mitleid“. Sie können vielleicht nicht hundertprozentig den Befall mit dem Schadprogramm, jedoch durch regelmäßige Backups den vollständigen Verlust Ihrer persönlichen Daten verhindern. Dabei sollten Sie darauf achten, diese Daten auf einem externen Speichermedium zu sichern. Hängt das Medium zum Zeitpunkt des Trojanerbefalls am Rechner, verschlüsselt die Malware dieses leider gleich mit. Deshalb muss es nach der Sicherung umgehend ausgeworfen, ausgeschaltet und abgezogen werden. Die wichtigsten Daten sollten auf einen USB-Stick passen, größere Datenmengen sichern Sie auf eine externe Festplatte. (Lesen Sie hier über das „3-2-1 Backup-Verfahren“)
4. Öffnen Sie niemals verdächtigen Dateianhänge. Auch wenn die E-Mails von bekannten Adressen aus Ihrem Adressbuch stammen, bietet das keinerlei Sicherheitsgarantie – möglicherweise ist der Absender verfälscht oder dessen Rechner wurde ebenfalls kompromittiert. Oft stecken Trojaner in angeblichen Rechnungen.
5. Stellen Sie sicher, dass Microsoft Office keine Makros ausführt. Benutzen Sie zum Betrachten von PDF-Dateien am besten einen PDF-Reader, der keine Skripte ausführt – Sumatra PDF ist eine zwar spartanische, aber sichere Alternative.
6. Starten Sie niemals ausführbaren Dateien, die Ihnen nicht hundertprozentig vertrauenswürdig vorkommen. Überprüfen Sie deren Status lieber sicherheitshalber und einmal zu viel, als einmal zu wenig mit einem Online-Scanner (beispielsweise eignet sich VirusTotal).
7. Gewähren Sie keinem unbekannten Dritten den Zugang zu Ihrem Computer – sowohl nicht direkt, aber ebenso nicht durch eine Fernwartung.
8. Sollten Sie die Infektion mit der Schadsoftware feststellen, schalten Sie sofort den Rechner aus – am Besten durch die Unterbrechung der Stromzufuhr, denn damit unterbrechen Sie möglicherweise den Verschlüsselungsprozess, der bereits läuft und retten dadurch unter Umständen noch einige Ihrer Daten.
9. Es existieren bereits einige Tools (WannaKey und WannaKiwi), die betroffene Dateien wiederherstellen sollen. Problematisch hierbei ist, dass inzwischen mehrere Variationen von WannaCry im Umlauf sind und diese Programme nur Einzelfälle abdecken. Sollten Sie Dateien wiederherstellen können, müssen Sie trotzdem auf jeden Fall die Festplatte formatieren, um mögliche Reste der Malware zu entfernen.
10. Abschließend bleibt die Frage: Zahlen oder nicht zahlen. Bei einer früheren Infektion mit einem solchen Verschlüsselungs- und Erpressungstrojaner empfahl das FBI auf die Forderung einzugehen. Mittelweile wurde diese Position aufgegeben, denn es gibt keine Garantie, dass Ihre Daten nach der Zahlung auch wirklich entschlüsselt werden. Daher sollten Sie präventiv in sichere Backups investieren, anstatt im Worst Case an die Hacker die Erpressungssumme zu zahlen.

__

Titelbild (CCO Public Domain)

__

Am Vorabend zum 7. April – aber auch dringend danach (!) – ist es sehr empfehlenswert, sein Passwort bei Apple zu ändern.

Warum sollte ich mein Passwort ändern?

Apple wird nach diversen Berichten bedroht, dass man ihnen die iCloud hackt und Nutzerdaten bzw. Kundendaten stehlen oder zerstören möchte.
Hier einer der Berichte.
Aber auch der letzte Blogbeitrag hat sich direkt mit dem Thema beschäftigt.

Hier kurz das Wichtigste erklärt:

Wer ist betroffen? Bin ich betroffen?

Grundsätzlich jeder, der ein Gerät von Apple nutzt. Das kann der Mac sein, ein iPad, das iPhone oder die Applewatch.

Wer kein Applegerät nutzt, ist grundsätzlich nicht gefährdet. Ebenso, wer die iCloud nicht aktivierte. Wenn Du nicht weißt, ob Du die iCloud nutzt oder nicht, dann gehe sicherheitshalber davon aus, dass Du sie nutzt. Weit über 90% aller Apple-Nutzer nutzen auch die iCloud.

Was ist die iCloud?

Die iCloud ist ein Datenspeicherservice von Apple, der es dem Nutzer erlaubt, vor allem Daten zwischen seinen Geräten austauschen zu können und Backups ganz bequem anzulegen.

Über die iCloud können die Geräte von Apple regelrecht untereinander kommunizieren. So muss z.B. nur ein Gerät in das jeweilige WLAN-Netz integriert werden, schon sendet das Gerät standardgemäß die Zugangsdaten via iCloud an die anderen Gerätschaften von Apple.
Ebenso brauchen Fotos vom iPhone nicht manuell auf den Rechner überspielt werden. Sie werden beim nächsten Start des MacBooks – wie von Magie – automatisch auch auf dem Mac sein (weil sie zuvor vom iPhone automatisch in die iCloud gespeichert wurden und der Mac diese Informationen automatisch zieht – also ohne, dass der Mensch noch eingreifen muss).

Wo ist mein iCloud-Passwort?

Apple kennt kein spezielles iCloud-Passwort.
Vielmehr hat es eine zentrale Apple-ID (in aller Regel Deine E-Mail-Adresse, die bei Apple hinterlegt ist)
und Dein Passwort, welches Du z.B. für iTunes und für Apple Store etc. verwendest. Will sagen: Du hast kein spezielles iCloud-Passwort, sondern nur ein Passwort bei Apple, welches Du auch hier nutzt.

(Um so wichtiger ist, dass Du Dir bewußt bist, wie gefährlich die Herausgabe Deines Passwortes für Apple ist).

Wie ändere ich mein iCloud-Passwort?

1. Schritt: Gehe auf diese Seite.
2. Schritt: Gib bei „Apple-ID“ Deine E-Mail-Adresse ein, die Du bei Apple hinterlegt hast.
3. Schritt: Gib bei Passwort Dein Apple-Passwort ein. Du dürftest nur das eine Passwort haben. Das gib bitte ein.
4. Schritt: Wenn Du bereits eine „Zwei-Faktor-Authentifizierung“ hast, dann dürften jetzt auf Deinen Apple-Geräten ein PopUp aufgehen, welches Dich nach einer gesonderten Erlaubnis fragt. Bejahst Du diese, dann erhältst Du einen 6-stelligen Zifferncode, den Du zusätzlich eingeben musst.

Dann erst gelangst Du quasi in das Heiligste: Denn dort auf der sich nun für Dich öffnenden Webseite sind Deine persönlichsten Daten gespeichert, die Du bei Apple hinterlegt hast.

6. Schritt: Unter „Sicherheit“ kannst Du jetzt Dein Passwort ändern. Bitte gleich ausführen.

Bitte schalte bei der Änderung des Passwortes alle automatischen Passwortmerkhilfen/Passwortsafes etc. aus. Schalte auch den Mac-eigenen Passwortsafe bei Safari aus. Nicht nur, dass es Probleme mit diesen Anwendungen bei der Passwortänderung kommen kann. Das Passwort hier ist schlicht zu wichtig, als dass es selbst wiederum in einer potentiell hackbaren Umgebung gespeichert wird.

7. Schritt: Dann, wenn Du es sowieso noch nicht getan hast: Schalte die Zwei-Faktor-Authentifizierung ein! Allein das erhöht die Sicherheit für Deine Daten enorm!

8. Schritt: Schreib Dir das neue Passwort vielleicht in ein geheimes Buch auf und bewahre es so auf, dass wenn es denn mal gefunden werden sollte, man nicht auf die Idee kommen kann, dass es sich bei der Zahlen-Buchstabenkombination um Dein Apple-Passwort handeln könnte.

Update (18.04.2017)

• Eine Apple-Mitarbeiterin, die anonym bleiben wollte, bestätigte wohl gegenüber der Zeitschrift „COMPUTER BILD“, dass im Laufe des 7. April 2017 tatsächlich iCloud-Konten angegriffen wurden
• Apple äußerte sich nicht dazu, wie es zu diesen Vorfällen kommen konnte
• Offenbar waren die Hacker aber auch in der Lage, die Zwei-Faktor-Authentifizierung auszuhebeln, mit der Apple eigentlich das iCloud-Konten durch zusätzliche Zahlencode-Eingabe zur Verifikation schützt
• Betroffen waren sowohl ältere Konten mit der Endung „mac.com” als auch neuer Adressen wie „me.com” und „icloud.com”
• Scheinbar ist in der Zwischenzeit Geld geflossen. Auf der Bitcoin-Plattform Blockchain lässt sich eine Summe von etwa 450.000 Euro identifizieren. Ob Apple das Geld dorthin gezahlte oder woher die Summe kommt – ist unbekannt
• Die Turkish Crime Family brüstet sich auf Twitter auf jeden Fall damit, das Geld von Apple erpresst zu haben. Der Angriff auf die iCloud-Konten sei damit beendet. Das bestätigt unter anderem auch das Portal International Business Times 

__

Titelbild (CCO Public Domain)

__

Das kalifornische Unternehmen Apple wird laut zahlreichen Berichterstattungen von der bekannten Hacker-Gruppe namens „Turkish Crime Family“ erpresst. Die Mitglieder dieser Gruppierung geben vor, dass sie Zugang auf mehrere Millionen iCloud-Konten hätten. „Turkish Crime Family“ forderte von Apple zunächst ein Lösegeld in Höhe von 75.000 $ in der Internet-Währung Bitcoin. Inzwischen erhöhten die Hacker die Lösegeldsumme auf 150.000 $ für den Zugang auf die Datensätze. Alternativ wäre die Gruppierung auch mit einem iTunes-Gutschein in Höhe von 100.000 $ zufrieden.

Sofern Apple dieser Forderung bis zum 7. April 2017 nicht nachkomme, werde die geforderte Summe weiter erhöht werden.

Daneben besteht die Gefahr, dass alle Daten und Einstellungen von Millionen von Nutzern gelöscht bzw. zurückgesetzt werden.

Die genaue Anzahl der betroffenen – d.h. gehackten iCloud-Konten – lässt sich nicht präzise beziffern. Über den Twitter-Account der Hacker-Gruppe kursierte zunächst die Zahl von angeblich 200 Millionen Apple-Konten, aber bis zum 7. April 2017 wolle man weitere Konten hacken. Von über 627 Million gehackten Konten sprechen die Hacker.

Einige IT-Experten bezweifeln die Behauptungen der Hacker, da ihnen keine konkreten Beweise dazu vorliegen. Auch das betroffene Unternehmen selbst äußerte sich gegenüber dem Magazin „Fortune“, dass es keine „Verstöße gegen irgendwelche Apple-Systeme einschließlich iCloud oder Apple ID gegeben“ hätte. Im Ergebnis seien die Apple-Benutzerdaten also sicher. Weiter heißt es:

„Es scheint, dass die angebliche Liste von E-Mail-Adressen und Passwörtern aus einem Angriff auf einen anderen Anbieter stamme.“

Nach weiteren Angaben werde die Situation aktiv seitens Apple überwacht und eng mit den Ermittlungs- und Strafverfolgungsbehörden zusammengearbeitet, um die Vorwürfe aufzuklären und den Schutz der Nutzerdaten zu gewährleisten. Die Entschlossenheit des Konzerns verdeutlichte eine weitere Äußerung zu den Gegebenheiten:

„Sie sollten wissen, dass wir keine Cyber-Kriminellen für Gesetzesbrüche belohnen.“

Das müssen Sie jetzt machen – in drei Schritten zu mehr Sicherheit 

1. Schritt: Ändern Sie umgehend Ihr Passwort.
2. Schritt: Erhöhen Sie zusätzlich die Sicherheit für Ihr Konto, indem Sie die Zwei-Faktor-Authentifizierung innerhalb Ihres iCloud-Kontos aktivieren. Durch dieses Verfahren erhalten Sie bei jeder Anmeldung oder Änderung Ihrer Einstellungen einen Zahlencode per SMS auf Ihr Handy, welchem Sie zusätzlich zu Ihrem Passwort eingeben müssen, um Ihre Identität nachzuweisen.
3. Schritt: Erstellen Sie von Ihrem iPhone, iPad oder Mac ein aktuelles Backup über iTunes bzw. Time Machine und sichern Sie dieses auf einem externen Speichermedium (einer externen Festplatte oder einem entsprechend großen USB-Stick).

Fazit

Die Erpressungsvorwürfe zeigen deutlich, dass auch ein namenhaftes Unternehmen, welches eigentlich für hohe Anforderungen an den Datenschutz und die Sicherheit ihrer Kunden bekannt ist, von Cyberkriminalität betroffen sein könnte. Solche Gefahren können leider nicht ausgeschlossen werden. Die Ursachen hierfür sind vielfältig – Sicherheitslücken, interne oder geheime Informationen, die in die falschen Händen gelangen. Das Einzige, was Sie tun können ist, regelmäßig Ihre (alle) Passwörter zu ändern, die Sicherheit durch weitere Authentifizierungsmöglichkeiten (wie die Zwei-Faktor-Authentifizierung) zu erhöhen und für den Fall der Fälle regelmäßige Backups zu erstellen.

Update (18.04.2017)

• Eine Apple-Mitarbeiterin, die anonym bleiben wollte, bestätigte wohl inzwischen gegenüber der Zeitschrift „COMPUTER BILD“, dass im Laufe des 7. April 2017 tatsächlich iCloud-Konten angegriffen wurden
• Apple äußerte sich nicht dazu, wie es zu diesen Vorfällen kommen konnte
• Offenbar waren die Hacker aber auch in der Lage, die Zwei-Faktor-Authentifizierung auszuhebeln, mit der Apple eigentlich das iCloud-Konten durch zusätzliche Zahlencode-Eingabe zur Verifikation schützen möchte
• Betroffen waren sowohl ältere Konten mit der Endung „mac.com” als auch neuer Adressen wie „me.com” und „icloud.com”
• Scheinbar ist in der Zwischenzeit Geld geflossen: Auf der Bitcoin-Plattform Blockchain lässt sich eine Summe von etwa 450.000 Euro identifizieren. Ob Apple das Geld dorthin gezahlte oder woher die Summe kommt – ist unbekannt
• Die Turkish Crime Family brüstet sich auf Twitter auf jeden Fall damit, das Geld von Apple erpresst zu haben. Der Angriff auf die iCloud-Konten sei jedoch damit beendet. Das bestätigt unter anderem auch das Portal International Business Times 

Haben Sie auch Ihr Passwort geändert?

Was halten Sie von der Zwei-Faktor-Authentifizierung?

Schreiben Sie es in die Kommentare!

__

Titelbild (CCO Public Domain)

__

Ausgangslage

Die Nutzerzahlen von Facebook und Twitter steigen kontinuierlich an. Der Austausch über diese Plattformen ist vielfältig. Es steht nicht nur private Kommunikation, sondern auch die rasante Verbreitung von Nachrichten des Tagesgeschehens im Mittelpunkt. Um nichts zu verpassen nutzen viele Nutzer Twitter und Facebook nicht bloß am heimischen Computer. Viel bequemer ist es doch, die dazugehörigen Apps aus dem Play- oder Apple-Store zu laden, um beispielsweise den Schnappschuss sogleich in einem der beiden sozialen Netzwerke teilen zu können.

So weit, so gut. Oder doch nicht? Schon beim Installieren der Apps direkt von Facebook und Twitter werden weitreichende Berechtigungen gefordert: Vom Zugriff auf das Adressbuch über die Standortdaten bis hin zum Mikrofon. Viele dieser Daten lesen die Apps regelmäßig aus – auch wenn Sie die App gerade nicht aktiv benutzen (denn diese läuft stets im Hintergrund). Dieser Datenhunger schreckt bereits einige kritische Benutzer ab. Die meisten Facebook- und Twitter-Fans lassen sich hiervon aber (leider) nicht abhalten.

Das Problem lässt sich auch noch von einer zweiten Seite beleuchten. Da die Apps dieser beiden Dienste permanent im Hintergrund laufen, werden dadurch enorm viele Ressourcen gebunden und verbraucht. Darunter ist nicht nur die Rechenleistung und der Arbeitsspeicher von Ihrem mobilen Endgerät, sondern vor allem der Akku betroffen. Gerade die Facebook-App verbraucht viel Strom.

Lösungsvorschlag

Was können Sie gegen die Akku- und Ressourcenfresser einerseits und die (unerwünschte) Datensammlung andererseits tun? Ein erster Gedanke wäre natürlich: Warum Facebook und Twitter nicht einfach auf dem Smartphone direkt über den Browser abrufen? Dieser Weg ist zwar möglich, aber z.B. bei Facebook mit gravierenden Funktionslücken verbunden. Eine dieser Lücken ist die direkte Benutzung des Messengers. Diesbezüglich werden Sie auf die Facebook-Messenger-App verwiesen.

Ganz so einfach ist es also nicht, wenn Sie ohne die angebotenen Apps der sozialen Dienste auskommen möchten. Eine Antwort auf die eingangs gestellte Frage liefern die sog. „Wrapper“. Hinter dem Begriff verstecken sich alternative Anwendungen für Ihr Smartphone. Diese Apps nutzen einen einfachen Trick: Sie rufen beispielsweise die Website von Facebook auf, wie es ein normaler Browser (egal ob mobil oder auf dem Computer) tun würde – und stellen anschließend die Informationen für den Smartphone-Bildschirm neu zusammen. Im Ergebnis haben sie den gleichen Funktionsumfang, wie am PC oder Mac, aber verzichten trotzdem auf die energie-, daten- und speicherhungrige App von Facebook.

Dabei sind die meisten dieser Wrapper-App-Alternativen schneller und bedeutend datenschutzfreundlicher als „das Original“. Sie fordern nur die notwendigsten Berechtigungen, um Bilder auf Facebook zu veröffentlichen, Netzzugriff zu erhalten und sich gegebenenfalls an bestimmten Orten einzuloggen. Die Nutzer müssen aber weder ihre Identität, noch ihre Telefonnummer oder ihr Adressbuch preisgeben.

Konkrete Alternativen für Android und iOS

A) Für Android 

Geräte mit Android finden im Google-Play-Store zwei gute Derivate. Einmal die App „Messenger for Facebook“ – die als kostenlose Version mit eingeschränktem Funktionsumfang und als Pro-Version angeboten wird. Daneben kann auch „Metal for Facebook“ empfohlen werden.

Meinen persönlichen Tipp erreichen Sie nicht über den Google-Play-Store. Hierfür benötigen Sie den alternativen App-Store „F-Droid“. Dort gibt es eine hervorragende Anwendung namens „SlimSocial for Facebook“. Diese kostenlose Applikation bietet uneingeschränkten Funktionsumfang, bei den niedrigsten Berechtigungszugriffen.

Ebenso über F-Droid gelangen Sie zu einem alternativen Twitter-Client, der sich „Tinfoil for Twitter“ nennt.

B) Für iOS

Geräte mit Apples iOS können auf „Friendly – One App for Facebook and Messenger“ oder „Puffin“ zurückgreifen.

Fazit

Wenn Sie Ihrem Akku, den Ressourcen Ihres Geräts und außerdem dem Schutz Ihrer persönlichen Daten etwas Gutes tun möchten, dann verzichten Sie nicht auf die Apps von Facebook und Twitter, sondern laden Sie sich schnell und einfach eine Alternative herunter, die um einiges besser ist, als das Original. Auf diesem Wege lassen sich Datenschutz und Praxistauglichkeit zu einem Gewinn verbinden.

Welche App-Alternative überzeugte Sie?

Schreiben Sie es mir in die Kommentare!

__

Titelbild (CCO Public Domain)

1. Das Dauerangebot 

An der linken Seitenhälfte befinden sich Links zu (Dauer-) Themen aus dem Bereich Datenschutz. Hier werden beispielsweise ganz grundlegende Fragen aufgeworfen und konkrete Antworten darauf geliefert:

„Was wird durch Datenschutz geschützt?“

„Welche Rolle spiele ich dabei?“ oder

„Mit welchen Tipps kann ich den Datenschutz für mich persönlich erhöhen?“

Auf die letztgenannte Fragestellung antworte das Portal mit den „zehn wichtigsten digitalen Geboten“, die schon für sich genommen ganz zentrale Handlungsmaxime für den Schutz unserer Daten liefern.

Daneben nimmt sich das Angebot aber auch konkreterer Problemfelder an. So werden die Grundprobleme von Facebook, Google, WhatsApp und anderen Diensten übersichtlich und verständlich aufgezeigt. Dabei bleiben die Autoren nicht am Punkt der sachlichen Kritik stehen, sondern zeigen hilfreich auf brauchbare Alternativen. Besonders werden hierbei die Bedürfnisse junger Personen in den Vordergrund gerückt. Aber natürlich sind diese Informationen gleichermaßen für Eltern, Verwandte oder Lehrende von großem Interesse. Nicht selten werden sie zu diesem Themengebiet befragt und sollten daher über eine gewisse Expertise verfügen.

Am Beispiel von „Snapchat“ lässt sich gut erkennen, dass sich die App einerseits bei Jugendlichen und jungen Erwachsenen steigender Beliebtheit erfreut, andererseits bei Eltern und im Lehrerzimmer teils noch unbekannt ist. Ebenso sind die Probleme aus datenschutzrechtlicher Sicht unbekannt. Youngdata stellt den Foto-, Video- und Nachrichtendienst vor, nimmt sich dem sog. „Sexting-Problem“ an und hält schlussendlich einen Leitfaden bereit, mit dem sich die eigene Privatsphäre trotz Benutzung dieser App schützen lässt.

2. Das aktuelle News-Angebot

Neben den exemplarisch genannten Informationen zu Datenschutz, Cybermobbing und Videoüberwachung, wird die Seite unter „News“ auch ständig mit Neuigkeiten versorgt. Hier lohnt es sich regelmäßig vorbeizuschauen. Die Beiträge werden sorgsam ausgewählt und liefern stets einen Mehrwert, auch wenn man sich nicht speziell für Informationsfreiheit, Überwachung oder digitale Selbstverteidigung interessiert. Gerade die technische Entwicklung, die übergreifende Vernetzung und eine moderne Arbeitswelt bieten genug Schnittstellen, um eigene Berührungspunkte zu entdecken. So könnte es beispielsweise für die eine oder den anderen interessant sein, dass die USA neuerdings vor der Einreise auch Social-Media-Accounts abfragt oder die beliebte Taschenlampen App „Super Bright LED-Flashlight“ eine „Datenkrake“ ist.

3. Fazit

Youngdata bereitet zum einen bereits Bekanntes präzise auf und informiert über aktuelle Entwicklungen. Dabei wird eine ganz wichtige Personengruppe in den Fokus gerückt: junge Menschen. Das ist aus meiner Sicht extrem wichtig, denn es geht nicht nur darum, das neuste iPhone Modell richtig zu bedienen, sondern ebenso einen gewissenhaften Umgang mit unseren Daten zu erlernen und eine sichere Handhabung damit zur Selbstverständlichkeit werden zu lassen. Ein gesundes Misstrauen zu entwickeln, wann, wo und welche Daten eingegeben werden sollten und wann nicht – das ist nicht immer leicht und offensichtlich erkennbar.

In diesem Sinne: Früh übt sich.

__

100 Milliarden Euro Schäden durch Wirtschaftsspionage

Das Thema Wirtschaftsspionage ist ein seit vielen Jahren bestehendes Problem, unter dem vor allem mittelständische Unternehmen leiden. Der jährliche Schaden für die Wirtschaft wird mit ungefähr 100 Milliarden Euro beziffert. Eine Schadensumme mit großer Relevanz, die eine im April 2015 durch den Bundesverband Informationswirtschaft (Bitkom) veröffentlichte Studie bestätigte. Als Basis diente eine repräsentative Befragung von mehr als 1.000 mittelständischen Unternehmen. Das Ergebnis ist erschreckend. Alleine der Datendiebstahl ist für eine Summe von 51 Milliarden Euro verantwortlich.

Die wertvollen Informationen gelangen über mehrere Wege in die Hände des Mitbewerbs. Einer davon ist die Entwendung von IT-Komponenten und mobilen Endgeräten. Nicht weniger erfolgreich ist das Eindringen in die IT-Systeme und Kommunikations-Infrastrukturen der Unternehmen, wobei die Täter sehr gezielt verschiedene Einfallstore nutzen. Aufgegliedert nach Unternehmensbereichen entfallen 20 % aller Angriffe auf Lager und Logistik. Über den Einkauf gelangen 18 % der gestohlenen Informationen in die Hände der Wirtschaftsspione. Bei 15 % der Angreifer stand die Produktion im Mittelpunkt des Interesses. In Unternehmen mit dem Schwerpunkt Forschung und Entwicklung ab 500 Mitarbeitern zielen 30 % aller Angriffe auf den Bereich Forschung & Entwicklung ab.

Bei den genannten Zahlen ist zu berücksichtigen, dass es sich hier ausschließlich um protokollierte Eindringversuche und erfolgreiche Diebstähle handelt. Die Dunkelziffer ist wesentlich höher.

Innentäter und Social Engineering als größte Gefahr

Die größte Gefahr für den Diebstahl wichtiger Daten geht nur zu einem Teil von externen Spionen aus, die als Besucher oder Praktikanten getarnt, sensible Informationen stehlen. Dies gilt ebenfalls für Geheimdienste, die in nicht unbeträchtlichem Ausmaß Datendiebstähle begehen. Dabei gilt das Hauptinteresse jenen Unternehmen, die sich durch innovative Produkte und Produktionsideen auszeichnen. Da sich solche Firmen vor allem im mittelständischen Bereich bewegen, ist die Gefahr für diese Unternehmensgruppe im Verhältnis größer als für Kleinstunternehmen oder Konzerne. Trotz des Risikos für innovative Unternehmen, Spionageopfer durch ausländische Besucher oder Geheimdienste zu werden, muss das Hauptaugenmerk nach innen und auf das unmittelbare Unternehmensumfeld gerichtet werden.

Der Innentäter ist ein noch aktiver oder ehemaliger Mitarbeiter, der aus unterschiedlichsten Motiven heraus sensible Informationen und Daten an den Mitbewerb weiterleiten. Mit 52 Prozent der Informationsdiebstähle stellt diese Gruppe eine nicht unerhebliche Gefahr dar. Das unmittelbare Unternehmensumfeld definiert sich durch Lieferanten und Kunden, die sich mit einem Anteil von 39 Prozent aller Informationsdiebstähle an der Wirtschaftsspionage beteiligen. Eine weitere Gefahr bildet das Social Engineering mit einer Erfolgsquote von 19 Prozent.

Besonders einfallsreich agiert diesbezüglich der nationale und internationale Mitbewerb bei dieser speziellen Form der Wirtschaftsspionage. Als Marktforschungsinstitute getarnte Interviewer manipulieren die Mitarbeiter am Telefon äußerst geschickt, indem sie gezielte Fragen zu sensiblen Unternehmensbereichen stellen. Aus den Antworten sind die Wirtschaftsspione in der Lage, ein aussagekräftiges Bild zu erstellen.

Verschlüsselung und andere Sicherheitsmaßnahmen unverzichtbar

Zum Schutz der IT und der darin abgelegten Daten gibt es eine Vielzahl an Sicherheitslösungen in Form von Firewalls, Antivirenprogrammen und eine restriktive Rechtevergabe, die einer kontinuierlichen Prüfung unterzogen wird. Nicht zu vergessen die regelmäßigen Softwareupdates, die erkannte Sicherheitslücken schließen. Eine flache hierarchische Dateienstruktur ist zwar aufwendiger zu pflegen, sie reduziert jedoch das Risiko der vererbbaren Rechte und ist in der Lage, die von den Benutzern benötigten Zugriffsrechte möglichst individuell zu vergeben. Um das Unternehmen vor Social Engineering zu schützen, ist ein kontinuierliches Sicherheitsbriefing aller Mitarbeiter ein wichtiges Element des Sicherheitskonzeptes.

Vor Innentätern können sensible Informationen durch eine restriktive Rechtevergabe und der Unmöglichkeit, Daten auf Datenträger zu kopieren, geschützt werden. Um sie vor Angriffen von außen zu schützen, ist die Verschlüsselung durch Verschlüsselungsprogramme wie VeraCrypt eine zielführende Maßnahme. VeraCrypt, das 2013 die Nachfolge von TrueCrypt antrat, eignet sich für die Verschlüsselung unter Windows, Linux und Mac OS X.

Mit dem Wissen um die existierende Gefahr ist es für mittelständische Unternehmen möglich, sich vor Datendiebstahl in hohem Maß zu schützen. So ist jeder einzelne Unternehmer und IT-Verantwortliche in der Lage, den jährlichen hohen wirtschaftlichen Schaden zu reduzieren. Auch wenn Wirtschaftsspionage und Datendiebstähle nie in vollem Umfang zu verhindern sind, so ist bereits die Reduzierung durch selektive Sicherheitsmaßnahmen ein Schritt in die gewünschte Richtung.

Tipp:
Informieren Sie sich ausführlich zum Thema IT-Sicherheit und über die Verschlüsselungstechnik VeraCrypt. Detaillierte Informationen bietet das Tutorial.

__

Bild (CCO Public Domain)

__