Ausgangspunkt

Bei dieser Betrugsmasche erhalten Sie bei Facebook eine an Sie namentlich adressierte Nachricht von einem Ihrer Freunde mit Emoticons sowie einem angeblichen Link zu einem YouTube-Video. Durch die namentliche Ansprache und die spärlichen Informationen sollen Sie neugierig auf das ominöse Video gemacht und damit zum Anklicken des Links verleitet werden.

So sehen die gefährlichen Nachrichten und der Link aus.

Wer seiner Neugier nachgibt, beim vertrauten Facebook-Freund nichts Böses ahnt und auf den Link klickt, kann laut der Polizei Niedersachsen in eine Falle tappen. Nutzer werden – sofern sie den Link auf dem Smartphone aktivieren – beispielsweise auf eine gefälschte Facebook-Login-Seite geleitet, die als Fälschung jedoch kaum bis gar nicht erkennbar ist. Auf dieser (gefälschten) Facebook-Seite werden Sie erneut um Eingabe Ihre Zugangsdaten – also E-Mail-Adresse und Passwort gebeten. Diese Daten werden anschließend per Phishing erbeutet – das heißt sie werden an Kriminelle weitergeleitet.
Wer den Link von seinem Computer aus anklickt, landet auf der YouTube-Startseite oder einer gefälschten Seite, die möglicherweise Malware auf dem PC einschleusen könnte.
Betroffene werden von den Betrügern meist auch gleich selbst als Nachrichten-Versender missbraucht, ohne es zu merken. In ihrem Namen werden wiederum die Nachrichten mit dem präparierten YouTube-Video an die gesamte Freundesliste versendet.
Wenn Sie eine solche Messenger-Nachricht erhalten haben, sollten Sie keinesfalls den Link anklicken, sondern die Mitteilung umgehend löschen.
Haben Sie doch auf den Link geklickt? Ändern Sie sofort Ihre Zugangsdaten. Sollten Sie Ihr „Facebook-Passwort“ auch an anderer Stelle verwenden, so ändern Sie es auch dort entsprechend.

Maßnahmen, um sich vor derartigen Angriffen besser zu schützen

Diese linke Masche ist leider nicht neu und wiederholt sich schneeballartig. Sie schauen unterwegs und nicht besonders aufmerksam auf Ihre Nachrichten, klicken auf den Link und schon ist es zu spät. Das geht schnell. Deswegen sollten Sie Ihr Facebook-Konto besser vor solchen Angriffen schützen. Verwenden Sie dafür die sog. Zwei-Faktor-Authentifizierung. Bei diesem Verfahren muss – neben dem Benutzernamen und Passwort – noch ein weiterer Faktor (darum Zwei-Faktor) hinzukommen, damit Sie sich anmelden können.

Facebook bietet hierfür zwei unterschiedliche Verfahren an.
Beim ersten authentifizieren Sie sich per Mobiltelefon. Bei jeder Anmeldung wird eine SMS mit einem Code versendet, der zusätzlich eingegeben werden muss. Dieses Verfahren nutzen die meisten Online-Banking-Seite ebenfalls.
Daneben können Sie auch auf bestimmte Authentifizierungsprogramme zurückgreifen, die auf dem Smartphone oder einen anderen Gerät – beispielsweise einem iPad – installiert werden müssen. Hier läuft das Verfahren ganz ähnlich: Auf der App (oder dem Drittgerät) wird beim Anmeldeversuch ein Code angezeigt, der bei der Facebook-Anmeldung zusätzlich eingegeben wird. Erst jetzt funktioniert Ihr Login.

Fazit

Auch über ein halbes Jahr nach dem Bekanntwerden funktioniert dieser Angriff auf unsere Facebook-Zugangsdaten. Leider.
Mit diesen fünf Tipps können Sie sich zukünftig besser schützen:

1. Bleiben Sie stets skeptisch!
2. Klicken Sie nicht auf Links, von denen Sie nicht wissen, wohin Sie führen!
3. Geben Sie niemals Ihre Zugangsdaten nach einer oben beschriebenen Weiterleitung ein!
4. Aktivieren Sie die Zwei-Faktor-Authentifizierung in Ihrem Account!
5. Verwenden Sie eine Firewall, einen aktuellen Virenscanner und führen Sie stets alle Updates des jeweiligen Betriebssystems durch!

Haben Sie ebenfalls eine manipulierte Nachricht erhalten?

Ich bin auf Ihre Erfahrungen gespannt.

Schreiben Sie mir gern einen Kommentar!

__

Titelbild (CCO Public Domain)

__

Problemaufriss – Vibrator mit WLAN und Kamera

Neben Erotikartikeln in Weihnachtskalendern ist die Vielfalt der Angebotspalette auch für Heiligabend grenzenlos, jede Nachfrage findet ein passendes Angebot.

Der technologische Fortschritt zeigt sich auch hier: So gibt es beispielsweise inzwischen Vibratoren, die vom anderen Ende der Welt mittels App oder aber über das heimische WLAN  ferngesteuert werden können. Das ist allerdings längst noch nicht alles. Nunmehr berücksichtigt der Markt auch die Nachfrage nach Vibratoren mit Kamera. Auf den Seiten der Hersteller heißt es hierzu: „…Momente der Liebe durch aufgenommene Bilder und Videos zum Leben erwecken….“

Versetzen Sie sich in die Situation, die auf einer wahren Begebenheit basiert und in den USA zu einer Millionen-Dollar-Klage (für den Hersteller) führte: Wegen einer sich anbahnenden Geschäftsreise schenkte ein Mann seiner Frau einen Vibrator zu Weihnachten, um die Zeit der Fernbeziehung „entspannter“ zu überbrücken. Dabei ahnte der Mann nicht, dass er nicht nur ein Produkt verschenkte, sondern ebenfalls ein neues Produkt erzeugte, nämlich die Intimsphäre seiner Frau.

Denn eben dieser Vibrator besaß eine Kamerafunktionalität. Ob diese Funktion zwingend notwendig ist und welche „Vorteile“ hiermit verbunden sind, bleibt Ihrer Fantasie überlassen und soll vorliegend nicht näher beleuchtet werden.

Gleichwohl ist hierbei interessant, dass durch die zusätzliche Implementierung einer Kamerafunktion naturgemäß höchst intime Momente erfasst werden, welche im Rahmen des Datenaustausches – hier durch Übermittlung der aufgenommenen Kamerabilder – selbstverständlich durch Hacker an- und abgreifbar sind.

Dabei bedarf es im Zweifel nicht einmal eines Hackerangriffs im klassischen Sinne. Denn häufig ist es so, dass das Webinterface mit voreingestellten Zugangsdaten ausgestattet ist, wobei die SSID des WLAN-Access-Points direkt nach dem Gerät benannt wird. Benutzername und Passwort sind standardisiert – d.h. beim Kauf der Endprodukte immer gleich. Damit wird jedem Laien klar, dass der Angriff auf diese standardisierten Sicherheitseinstellungen nahezu einladend wirkt. Auch im Internet gibt es bereits zu Hauf Anleitungen, wie man ohne großen Aufwand auf die Gerätschaften zugreifen kann.

So geschehen.

Die Vorstellung, dass ein 15-Jähriger aus Bandar Seri Begawan oder auch gerne ein 80-Jähriger aus Castrop-Rauxel in Deutschland, Ihre intimsten Momente mitverfolgen und aufzeichnen kann, ist nicht nur frappierend, sondern bezieht sich auch auf alle anderen vergleichbaren Endgeräte. Denken Sie dabei insbesondere an Babyfongeräte, die ebenfalls vorkonfigurierte und immer gleiche „Sicherheitseinstellungen“ aufweisen und damit kinderleicht angreifbar sind.

Fazit

Zunächst einmal drängt sich die Frage auf, ob die Kamerafunktion für die Funktionalität eines Vibrators notwendig ist und wenn ja, um welchen Preis? Diese Frage muss sich jeder im Hinblick auf den Schutz seiner Daten und die Wahrung der Intimsphäre selbst beantworten. Letztlich besteht nicht nur die Gefahr des Datenmissbrauchs durch (kriminelle) Dritte – wie beispielsweise Hacker – sondern schon die reguläre Datenerhebung und Speicherung auf den Servern der Hersteller/Anbieter ist höchst problematisch. In dem erwähnten Fall in den USA willigte der Vibrator-Hersteller inzwischen ein, jedem US-Nutzer die Summe von 10.000 US-Dollar (etwa 9.350 Euro) als Entschädigung zu zahlen, dessen Daten über die App auf den Servern des Unternehmens gespeichert wurden.

Schaffen also erst gar keine Gelegenheit, dass solche Daten von Ihnen und über Sie erhoben, übertragen und gespeichert werden.

Gleiches gilt für Babyfongeräte, Webcams und Selfie Kameras. Wenn die visuelle Aufzeichnung/Überwachung nicht nötig ist, dann kleben Sie die Kameralinse doch einfach ab.

Darüber hinaus sollten Sie voreingestellte Passwörter umgehend ändern. Der Maßstab für „sichere“ Passwörter wurde auf diesem Blog bereits vorgestellt.

Wie stehen Sie zu diesem Thema?

Lassen Sie es mich wissen und kommentieren Sie diesen Beitrag!

__

Titelbild (CCO Public Domain)

__

Eine Analyse an einem Beispiel.

Der Sachverhalt

Am 20. Juni 2017 bekam ich eine E-Mail. Angeblich vom Internethändler Amazon – konkret vom Absender „info@amazon.eu“. Inhaltlich informierte mich der Absender über eine angebliche Pflicht – aus der neuen EU-Datenschutz-Grundverordnung (EU-DSGVO)  – mein Konto bei Amazon zu bestätigen, um meine Identität überprüfen zu können. Hierfür sollte ein Button mit der Aufschrift „Konto bestätigen“ betätigt werden.

Was fällt bei genauerer Betrachtung auf?

Der gewählte Absender wirkt unauffällig und seriös. Weiterhin wurde das korrekte Amazon-Logo verwendet. Ebenso wirkt das restliche Erscheinungsbild der E-Mail sehr professionell und ordentlich gestaltet. Ältere Spam-Mails ließen sich schon an der häufig sehr dilettantischen und unansehnlichen Formatierung erkennen und ausschließen. Am gravierendsten erscheint jedoch die Kombination aus richtiger Empfängeradresse und der persönlichen Ansprache. Es stimmen nicht nur Vor- und Nachname, auch das Geschlecht wurde richtig zugeordnet. Damit erreichte diese E-Mail ein erschreckendes Maß an Perfektion. Schlussendlich bemühen die kriminellen Versender ein aktuelles Thema, welches uns derzeitig in der medialen Berichterstattung umgibt. Auf diese Weise wird ein einfacher Prozess ausgelöst: „Ach, davon habe ich gehört – das wird schon stimmen“ und zack wird der Button gedrückt.

Woran lässt sich diese E-Mail klar als gefährliche Spam-Mail erkennen?

Ganz perfekt ist diese E-Mail (zum Glück) doch nicht. Erkennen lässt sich dies (wie so oft) an einigen Rechtschreibfehlern. Beispielhaft können „Standarts“, „gestalen“ sowie einige Interpunktionsfehler benannt werden. Bei der Domain-Endung „.eu“ könnten einem erfahrenen Internetnutzer erste Zweifel kommen. Ebenso die Aufforderung aus der E-Mail, das „Konto (zu) bestätigen“ ist fehlerhaft. Schlussendlich handelt es sich bei der verwendeten E-Mail-Adresse des Absenders auch um ein schwer zu erkennendes Indiz.

Fazit

Aber insgesamt erreicht die E-Mail eine mir bisher noch nicht gekannte und alarmierende Qualität. Doch was können Sie zukünftig beachten, um nicht in die Spam-Falle zu tappen?

1. Seien Sie beim Blick in Ihr E-Mail-Postfach skeptisch.
2. Schauen Sie zunächst auf den Absender – sollte Ihnen dieser auch nur im Entferntesten seltsam vorkommen, sollten Sie die Adresse erst einmal mithilfe von Google überprüfen.
3. Überprüfen Sie den Inhalt der E-Mail. Dies umfasst die richtige Ansprache, aber auch den sachlichen Inhalt.
4. Abschließend achten Sie bitte auf formelle Auffälligkeit – also die allgemeine Erscheinung, ein mögliches Logo, die Rechtschreibung und Interpunktion.
5. Kontaktieren Sie im Zweifelsfall den Kundenservice des Unternehmens, für das sich ausgegeben wird. Von einer schnellen Aufdeckung profitieren beide Seiten: Sie erlangen Gewissheit und die Unternehmen werden dadurch auf kriminelle E-Mails aufmerksam, die sich im Umlauf befinden und können ggf. schnelle Gegenmaßnahmen einleiten.

Am Ende ist der erste Tipp entscheidend:

Werden Sie misstrauisch und verabschieden Sie sich von einer Gutgläubigkeit im Bezug auf Ihre IT-Sicherheit, denn auch bei Ihrem E-Mail-Postfach gibt der alte Spruch: „Es ist nicht immer drin, was draufsteht“.

Haben Sie ähnliche E-Mails bekommen?

Ich bin sehr auf Ihre Erfahrungen gespannt. Schreiben Sie es mir in die Kommentare!

__

Titelbild (CCO Public Domain)

__

Wenn Sie Ihre Daten schützen möchten, dann verschlüsseln Ihre Kommunikation. Nur so können Sie sicher sein wer Ihre Nachrichten liest – Sie und der Empfänger, den Sie bestimmt haben. So wie es sein soll.

Nicht jede Nachricht muss unbedingt verschlüsselt sein, aber Sie sollten die Wahl haben.

In nur fünf Schritten genießen Sie diese Freiheit.

1. Installation von „GPG4win“
   Laden Sie sich das Programm „GPG4win“ von dieser Seite herunter und führen Sie das Programm aus.
   
   Akzeptieren Sie die Lizenzbedingungen und folgen Sie den Installationsanweisungen.
   
   Wählen Sie Ihre gewünschten Komponenten aus.
   
   Legen Sie ein Zielverzeichnis fest.
   
2. Nachdem Sie das Programm erfolgreich installiert haben, öffnen Sie über „Start“ – „Programme“ die Komponente „Kleopatra“.

3. Hier wählen Sie nun „Datei“ – „Neues Zertifikat“ und folgen auch hier den Anweisungen.
   Sie haben die Wahl zwischen OpenPGP und X.509. Näheres hierzu erfahren Sie im Gpg4win-Kompendium. In dieser Anleitung wurde OpenPGP gewählt.
   

Name und E-Mail müssen eingegeben werden. Der Kommentar wird Teil Ihres Zertifikats und ist optional.

Wichtig: Wählen Sie eine starke Passphrase als Passwort aus!
Eine Passphrase ist ein Passwort welches Sie aus einem Satz heraus (siehe auch hier Gpg4win-Kompendium) generieren und sich so leichter merken können.

Ihr Schlüsselpaar wurde erfolgreich erzeugt.
Sichern Sie Ihren geheimen Schlüssel unverzüglich auf einem USB-Stick oder einer CD-ROM. Lassen Sie ihn nicht auf der Festplatte!

4. Verbreiten Sie Ihren öffentlichen Schlüssel an alle Empfänger, mit denen Sie ab jetzt bei Bedarf verschlüsselt kommunizieren möchten.
   Voraussetzung ist, dass die Empfänger ebenfalls über ein Verschlüsselungsprogramm verfügen und Ihnen ihren öffentlichen Schlüssel zugänglich gemacht haben.
5. Wählen Sie nun in Ihrem E-Mail-Programm bei jeder Mail, ob sie verschlüsselt kommunizieren möchten (meist über ein kleines Schloss im Adress-/Betreff-Feld auswählbar).

Sie haben die Wahl einen Brief oder eine Postkarte zu schreiben.
Ob analog oder digital – nutzen Sie sie.

__

Titelbild (CCO Public Domain)

__

Eine Analyse.

Hackerangriffe auf IT-Strukturen sind kein Spaß

Das Strafgesetzbuch sieht empfindliche Strafen für Cyberkriminalität vor. Der Strafrahmen bewegt sich zwischen einer Geld- und einer bis zu dreijährigen Freiheitsstrafe. In besonders schweren Fälle drohen bis zu zehn Jahre Gefängnis.

Bundesinnenminister Thomas de Maizière (CDU) stellte die PKS kürzlich in Berlin vor. Cyberangriffe sind Bestandteil der Internetkriminalität, die als Kriminalität mit Informations- und Kommunikationstechnik (IuK) in der Statistik erfasst wird.

In dieser Kategorie erfasste die Polizei im Jahr 2016 etwa 82.649 Fälle von Cyberkriminalität. Im Vergleich zum Vorjahr kam es fast zu einer Verdoppelung der Fallzahlen, denn 2015 wurden „nur“ 45.793 Fälle registriert.

Erfreulicherweise stieg die Aufklärungsquote um 5,9 auf nun 38,7 Prozent. Letztlich bedeutet dies jedoch, dass weniger als 40 Prozent der registrierten Fälle aufgeklärt werden konnten. Bei weit mehr als der anderen Hälfte der Fälle konnten die Täter nicht ermittelt werden.

Ins Spektrum der Cyberkriminalität werden auch Delikte wie Computerbetrug (14.722 Fälle 2016; 23.562 im Jahr 2015) und dem Ausspähen, Abfragen oder Verändern von Daten (10.638 Fälle 2016; 9629 im Jahr 2015) gezählt.

Die PKS erfasst auch die Fälle der sog. Computersabotage. 2016 wurden 4422 Fälle dokumentiert – ein Anstieg von 25 Prozent im Vergleich zum Vorjahr. Zu dieser Gruppe werden beispielsweise Distributed Denial-of-Service (DDoS) Attacken zugeordnet: Die Täter attackieren hierbei Internetseiten (zB Onlineshops) solange mit massenhaften Anfragen, bis diese zusammenbrechen. Mit einer einfachen Folge: Ist der Onlinestore nicht erreichbar, kann auch nichts verkauft werden. Diese Situation machen sich die Täter zunutze und erpressen häufig die Seitenbetreiber.

Bei den Vorfällen der Computersabotage sank die Aufklärungsquote gegenüber dem Vorjahreswert um 4,6 Prozent auf magere 22,1 Prozent. Den deutschen Strafverfolgungsbehörden fällt es ganz offensichtlich schwer, mit den „Fähigkeiten“ der Kriminellen aus dem Internet Schritt zu halten.

Die Kriminalstatistik verdeutlich aber auch einen Anstieg der Straftaten, die zwar nicht direkt auf Computer und Daten gerichtet sind, jedoch die Möglichkeiten des Internets zur Herbeiführung des tatbestandlichen Erfolgs nutzen. Die Behörden nahmen 253.290 solcher Fälle in der Statistik auf. 2015 waren es noch 3,6 Prozent mehr Taten, die auf diesen Bereich entfallen. Darunter fallen beispielsweise Betrugsdelikte, bei denen über das Internet eingekauft, aber nicht bezahlt wurde.

Die enormen Zahlen alarmieren.
Die Dunkelziffer ist jedoch noch viel höher

Bei einem Blick in die PKS muss man sich allerdings bewusst machen, dass diese Zahlen nur einen kleinen Ausschnitt der (Cyber-) Kriminalität abbilden. Eine Vielzahl von Delikten kommt erst gar nicht zur Anzeige (und dadurch auch nicht in die Statistik), weil die Betroffenen beispielsweise den Angriff auf Ihre Daten gar nicht bemerkten. „Nach Studien ist davon auszugehen, dass rund 90 Prozent aller entsprechenden Taten nicht angezeigt werden“, so der BDK-Bundesvorsitzende André Schulz. Im Ergebnis wird also auch nur ein kleiner Ausschnitt des Schadens in der PKS abgebildet, der durch Internetkriminalität verursacht wird. Der BDK-Bundesvorsitzende Schulz geht von einem jährlichen Schaden in einem zweistelligen Milliardenbereich aus.

Für eine abschließende Beurteilungen kommt weiterhin erschwerend hinzu, dass viele Betrugsdelikte seit dem 1. Januar 2016 dem Bereich Cyberkriminalität zugeordnet werden und sich dadurch der Vergleich zum Vorjahr nicht direkt ziehen lässt. Ebenso werden nur Taten abgebildet, die in Deutschland begangen wurden. Nicht selten befinden sich die Server der Kriminellen jedoch im Ausland. Aus diesem Grund planen die Behörden auch diese Fälle in der PKS für die diesjährige Statistik – also 2017 – mit abzubilden, sodass auch hieraus Erkenntnisse gewonnen werden können.

Fazit

Auch wenn sich nicht jedes Delikt mit den Werten aus dem Vorjahr vergleichen lässt, so ist doch ein erheblicher Anstieg von Cyberkriminalität in Deutschland abzulesen. Der hierdurch entstandene Schaden ist erheblich. Ferner muss bedacht werden, dass es ein erhebliches Dunkelfeld gibt, welches sich nicht in der Statistik abbildet. Die Aufklärungsquoten sind nicht berauschend, was wohl einerseits an den starren Strukturen der Strafverfolgungsbehörden liegt, die sich erst nach und nach den neuen Entwicklungen behaupten können. Andererseits ist es auch ein Problem der technischen und personellen Ausstattung. Zum Schluss gibt es auch einige Unternehmen und Privatpersonen, die ihre persönlichen Daten und IT-Struktur mit keinerlei Anstrengung schützen und dadurch den Kriminellen Tür und Tor öffnen. Beispielsweise indem sie ihr Betriebssystem nicht auf dem neusten Stand halten, keine Firewall oder Virenscanner benutzen.

Die Kriminalstatistik ist folglich ein Beleg dafür, dass niemand vor Internetkriminalität sicher ist – gleich ob es sich um internationale Unternehmen oder Privatpersonen handelt.  Daher sollten Sie den Schutz Ihrer Daten ernst nehmen.

Lesen Sie auch meinen Artikel: Wie Sich sich gegen den Verschlüsselungstrojaner „WannaCry“ schützen können.

__

Titelbild (CCO Public Domain)

__

Eine Checkliste.

Ausgangssituation

Stellen Sie sich vor, Sie verlieren alle Bilder, Videos und persönlichen Dokumente, die auf Ihrem Computer gespeichert sind. Wie viel wären Sie bereit, zu zahlen, um all das zurückzubekommen?

Nach diesem Prinzip agiert der Verschlüsselungs- und Erpressungstrojaner WannaCry. Dabei handelt es sich um eine sog. Ransomware; also eine Schadsoftware (auch Malware genannt), die Ihren Computer infiziert, verschlüsselt und anschließend Geld dafür verlangt, ihn anschließend wieder zu entsperren.

Seit dem 13.05.2017 häufen sich Berichte über betroffene Computer. Besonders pikant dabei ist, dass es sich nicht „nur“ um private Rechner, sondern um ganze Firmen- und Krankenhauscomputernetze handelt, die WannaCry zum Opfer fielen.

Gefährdet waren und sind vor allem ältere Windows-Computer. 

In Großbritannien mussten Herz- und Krebspatienten nach Hause geschickt werden, da die Krankenhausrechner teilweise befallen waren und daher die Behandlung nicht sicher durchgeführt werden konnte.

In Frankreich setzte der Automobilhersteller Renault die Produktion in einigen Werken zum Schutz gegen WannaCry aus. Bei uns in Deutschland traf es die Deutsche Bahn. Die Anzeigesysteme auf vielen Bahnhöfen fielen aus. Aber auch in Spanien und Portugal meldeten die Telecom und Telefónica den Befall mit der Schadsoftware.

Wie greifen WannaCry und die Variationen der Malware an?

Der Begriff „Malware“ weist schon auf den zentralen Verbreitungsweg hin: Die Schadsoftware kommt häufig per E-Mail. Auf diesem Weg kam der Trojaner auch bei der Deutschen Bahn ins Netzwerk und verbreitete sich anschließend durch eine Sicherheitslücke in der Windows Netzwerk-Datenfreigabe. Diese Schwachstelle erkannte Microsoft bereits im März 2017 und stellte einen entsprechenden Patch zur Beseitigung zur Verfügung. Das Problem hierbei ist jedoch, dass dieses Update nur für die aktiv unterstützten Windows-Versionen bereitgestellt wurde. Im Ergebnis blieben ältere Versionen des Betriebssystems (wie beispielsweise Windows XP oder Server 2003) ungeschützt und sind deshalb besonders gefährdet. Mittlerweile gibt es auch für diese Nutzer ein entsprechendes Update. Aber leider gibt es auch Nutzer, die die automatische Update-Funktion ausgeschaltet haben – auch sie sind konkret der Gefahr ausgesetzt.

Wie können Sie sich gegen WannaCry und andere Verschlüsselungs- und Erpressungstrojaner schützen? Eine Checkliste:

1. Halten Sie Ihr Betriebssystem auf dem neusten Stand, indem Sie stets alle Sicherheits-Updates umgehend einspielen. Hierfür schalten Sie die automatische Update-Funktion immer ein. Im Zweifelsfall sollten Sie auch in den Windows-Update-Einstellungen nachsehen, ob womöglich ein Neustart für die Update-Installation nötig ist und diesen umgehend durchführen.
2. Stellen Sie sicher, dass auf Ihrem System ein Virenscanner installiert und dieser auf dem neusten Stand ist. Die Minimalanforderung an den Virenschutz ist der von Microsoft bereitgestellte Windows Defender. Es gibt aber auch weitere empfehlenswerte kostenlose Virenscanner (wie Avast Free Antivirus, Avira Free Antivirus oder AVG Anti-Virus Free).
3. Auch in diesem Fall gilt der Spruch „Ohne Backup kein Mitleid“. Sie können vielleicht nicht hundertprozentig den Befall mit dem Schadprogramm, jedoch durch regelmäßige Backups den vollständigen Verlust Ihrer persönlichen Daten verhindern. Dabei sollten Sie darauf achten, diese Daten auf einem externen Speichermedium zu sichern. Hängt das Medium zum Zeitpunkt des Trojanerbefalls am Rechner, verschlüsselt die Malware dieses leider gleich mit. Deshalb muss es nach der Sicherung umgehend ausgeworfen, ausgeschaltet und abgezogen werden. Die wichtigsten Daten sollten auf einen USB-Stick passen, größere Datenmengen sichern Sie auf eine externe Festplatte. (Lesen Sie hier über das „3-2-1 Backup-Verfahren“)
4. Öffnen Sie niemals verdächtigen Dateianhänge. Auch wenn die E-Mails von bekannten Adressen aus Ihrem Adressbuch stammen, bietet das keinerlei Sicherheitsgarantie – möglicherweise ist der Absender verfälscht oder dessen Rechner wurde ebenfalls kompromittiert. Oft stecken Trojaner in angeblichen Rechnungen.
5. Stellen Sie sicher, dass Microsoft Office keine Makros ausführt. Benutzen Sie zum Betrachten von PDF-Dateien am besten einen PDF-Reader, der keine Skripte ausführt – Sumatra PDF ist eine zwar spartanische, aber sichere Alternative.
6. Starten Sie niemals ausführbaren Dateien, die Ihnen nicht hundertprozentig vertrauenswürdig vorkommen. Überprüfen Sie deren Status lieber sicherheitshalber und einmal zu viel, als einmal zu wenig mit einem Online-Scanner (beispielsweise eignet sich VirusTotal).
7. Gewähren Sie keinem unbekannten Dritten den Zugang zu Ihrem Computer – sowohl nicht direkt, aber ebenso nicht durch eine Fernwartung.
8. Sollten Sie die Infektion mit der Schadsoftware feststellen, schalten Sie sofort den Rechner aus – am Besten durch die Unterbrechung der Stromzufuhr, denn damit unterbrechen Sie möglicherweise den Verschlüsselungsprozess, der bereits läuft und retten dadurch unter Umständen noch einige Ihrer Daten.
9. Es existieren bereits einige Tools (WannaKey und WannaKiwi), die betroffene Dateien wiederherstellen sollen. Problematisch hierbei ist, dass inzwischen mehrere Variationen von WannaCry im Umlauf sind und diese Programme nur Einzelfälle abdecken. Sollten Sie Dateien wiederherstellen können, müssen Sie trotzdem auf jeden Fall die Festplatte formatieren, um mögliche Reste der Malware zu entfernen.
10. Abschließend bleibt die Frage: Zahlen oder nicht zahlen. Bei einer früheren Infektion mit einem solchen Verschlüsselungs- und Erpressungstrojaner empfahl das FBI auf die Forderung einzugehen. Mittelweile wurde diese Position aufgegeben, denn es gibt keine Garantie, dass Ihre Daten nach der Zahlung auch wirklich entschlüsselt werden. Daher sollten Sie präventiv in sichere Backups investieren, anstatt im Worst Case an die Hacker die Erpressungssumme zu zahlen.

__

Titelbild (CCO Public Domain)

__

Das kalifornische Unternehmen Apple wird laut zahlreichen Berichterstattungen von der bekannten Hacker-Gruppe namens „Turkish Crime Family“ erpresst. Die Mitglieder dieser Gruppierung geben vor, dass sie Zugang auf mehrere Millionen iCloud-Konten hätten. „Turkish Crime Family“ forderte von Apple zunächst ein Lösegeld in Höhe von 75.000 $ in der Internet-Währung Bitcoin. Inzwischen erhöhten die Hacker die Lösegeldsumme auf 150.000 $ für den Zugang auf die Datensätze. Alternativ wäre die Gruppierung auch mit einem iTunes-Gutschein in Höhe von 100.000 $ zufrieden.

Sofern Apple dieser Forderung bis zum 7. April 2017 nicht nachkomme, werde die geforderte Summe weiter erhöht werden.

Daneben besteht die Gefahr, dass alle Daten und Einstellungen von Millionen von Nutzern gelöscht bzw. zurückgesetzt werden.

Die genaue Anzahl der betroffenen – d.h. gehackten iCloud-Konten – lässt sich nicht präzise beziffern. Über den Twitter-Account der Hacker-Gruppe kursierte zunächst die Zahl von angeblich 200 Millionen Apple-Konten, aber bis zum 7. April 2017 wolle man weitere Konten hacken. Von über 627 Million gehackten Konten sprechen die Hacker.

Einige IT-Experten bezweifeln die Behauptungen der Hacker, da ihnen keine konkreten Beweise dazu vorliegen. Auch das betroffene Unternehmen selbst äußerte sich gegenüber dem Magazin „Fortune“, dass es keine „Verstöße gegen irgendwelche Apple-Systeme einschließlich iCloud oder Apple ID gegeben“ hätte. Im Ergebnis seien die Apple-Benutzerdaten also sicher. Weiter heißt es:

„Es scheint, dass die angebliche Liste von E-Mail-Adressen und Passwörtern aus einem Angriff auf einen anderen Anbieter stamme.“

Nach weiteren Angaben werde die Situation aktiv seitens Apple überwacht und eng mit den Ermittlungs- und Strafverfolgungsbehörden zusammengearbeitet, um die Vorwürfe aufzuklären und den Schutz der Nutzerdaten zu gewährleisten. Die Entschlossenheit des Konzerns verdeutlichte eine weitere Äußerung zu den Gegebenheiten:

„Sie sollten wissen, dass wir keine Cyber-Kriminellen für Gesetzesbrüche belohnen.“

Das müssen Sie jetzt machen – in drei Schritten zu mehr Sicherheit 

1. Schritt: Ändern Sie umgehend Ihr Passwort.
2. Schritt: Erhöhen Sie zusätzlich die Sicherheit für Ihr Konto, indem Sie die Zwei-Faktor-Authentifizierung innerhalb Ihres iCloud-Kontos aktivieren. Durch dieses Verfahren erhalten Sie bei jeder Anmeldung oder Änderung Ihrer Einstellungen einen Zahlencode per SMS auf Ihr Handy, welchem Sie zusätzlich zu Ihrem Passwort eingeben müssen, um Ihre Identität nachzuweisen.
3. Schritt: Erstellen Sie von Ihrem iPhone, iPad oder Mac ein aktuelles Backup über iTunes bzw. Time Machine und sichern Sie dieses auf einem externen Speichermedium (einer externen Festplatte oder einem entsprechend großen USB-Stick).

Fazit

Die Erpressungsvorwürfe zeigen deutlich, dass auch ein namenhaftes Unternehmen, welches eigentlich für hohe Anforderungen an den Datenschutz und die Sicherheit ihrer Kunden bekannt ist, von Cyberkriminalität betroffen sein könnte. Solche Gefahren können leider nicht ausgeschlossen werden. Die Ursachen hierfür sind vielfältig – Sicherheitslücken, interne oder geheime Informationen, die in die falschen Händen gelangen. Das Einzige, was Sie tun können ist, regelmäßig Ihre (alle) Passwörter zu ändern, die Sicherheit durch weitere Authentifizierungsmöglichkeiten (wie die Zwei-Faktor-Authentifizierung) zu erhöhen und für den Fall der Fälle regelmäßige Backups zu erstellen.

Update (18.04.2017)

• Eine Apple-Mitarbeiterin, die anonym bleiben wollte, bestätigte wohl inzwischen gegenüber der Zeitschrift „COMPUTER BILD“, dass im Laufe des 7. April 2017 tatsächlich iCloud-Konten angegriffen wurden
• Apple äußerte sich nicht dazu, wie es zu diesen Vorfällen kommen konnte
• Offenbar waren die Hacker aber auch in der Lage, die Zwei-Faktor-Authentifizierung auszuhebeln, mit der Apple eigentlich das iCloud-Konten durch zusätzliche Zahlencode-Eingabe zur Verifikation schützen möchte
• Betroffen waren sowohl ältere Konten mit der Endung „mac.com” als auch neuer Adressen wie „me.com” und „icloud.com”
• Scheinbar ist in der Zwischenzeit Geld geflossen: Auf der Bitcoin-Plattform Blockchain lässt sich eine Summe von etwa 450.000 Euro identifizieren. Ob Apple das Geld dorthin gezahlte oder woher die Summe kommt – ist unbekannt
• Die Turkish Crime Family brüstet sich auf Twitter auf jeden Fall damit, das Geld von Apple erpresst zu haben. Der Angriff auf die iCloud-Konten sei jedoch damit beendet. Das bestätigt unter anderem auch das Portal International Business Times 

Haben Sie auch Ihr Passwort geändert?

Was halten Sie von der Zwei-Faktor-Authentifizierung?

Schreiben Sie es in die Kommentare!

__

Titelbild (CCO Public Domain)

__

Der (Hacker-) Wettbewerb

Die Aufgabenstellung klingt erst einmal nicht leicht. Es stehen unterschiedliche Geräte mit verschiedenen Betriebssystemen – wie Windows, mac OS oder Linux – bereit. Die teilnehmenden Hacker müssen sich von außen Zugriff und die vollständige Kontrolle über das Gerät verschaffen. Hierfür setzen die Hacker nicht auf Zauberei, auch wenn es den Anschein erweckt, sondern sie nutzen Sicherheitslücken innerhalb der Betriebsysteme und/oder verschiedener Standardprogramme. Zu diesen üblichen Programmen zählen beispielsweise Adobe Flash oder der Acrobat Reader – diese Programme sind extrem verbreitet und finden sich daher sehr häufig auf der Festplatte, insbesondere auf Computern mit dem Windows-Betriebssystem.
Manche der Sicherheitslücken sind bekannt und noch nicht behoben, die meisten Lücken werden jedoch durch die Wettbewerber entdeckt und ausgenutzt. Lösen die Teilnehmer diese Aufgabenstellung, können sie einerseits das gekaperte Gerät behalten und sich über ein stattliches Preisgeld freuen. In diesem Jahr liegt über eine Million US-Doller im Preisgeld-Topf. Die Belohnungen steigern sich je nach Schwierigkeit des Hackings. Am Ende wird aber erst einmal der Deckmantel der Verschwiegenheit über die entdeckten Sicherheitsprobleme gedeckt. Die Softwarehersteller bekommen die Ergebnisse übermittelt und erhalten dadurch die Möglichkeit, ihre Software oder ihr Betriebsystem entsprechend zu verbessern. Im Ergebnis erhalten die Kunden dann ein Update für das entsprechende Betriebssystem, welches die Lücken schließen soll.

Nichts scheint mehr sicher – wir sind alle betroffen

Der diesjährige Contest zeigt eindrucksvoll, dass alle Betriebsysteme angreifbar sind. Konkret schafften es die Hacker unberechtigten Zugriff auf Geräte mit dem neuen Edge-Browser von Microsoft, aber auch auf das Pendant von Apple – Safari – unter dem aktuelles Betriebssystem mac OS zu erlangen. Ein System mit der Linux-Variante Ubuntu war ebenso wenig sicher vor den Teilnehmern. Gerade Linux- und Mac-Systeme sind für eine höhere Sicherheit im Vergleich zur Windows-Konkurrenz bekannt. Deswegen sind diese Ergebnisse besonders brisant.

Fazit – ein Plädoyer für ständige Updates

Zusammenfassend muss festgestellt werden, dass auch bei vermeintlich sicheren Systemen keine absolute Sicherheit zu gewährleisten ist. Überall zeigten sich gefährliche Sicherheitslücken. Eine pauschale Faustformel nach der man mit Mac- und Linux-Systemen per se sicherer unterwegs ist, wurde durch diesen Wettbewerb dahingehend relativiert, dass auch diese Systeme angreifbar sind.
Am Ende kristallisiert sich also heraus, dass nicht nur Windows-Systeme gravierenden Lücken bezüglich der Sicherheit aufweisen; es sind praktisch alle Betriebssysteme betroffen und es gibt nur eine Möglichkeit, wie Sie sich davor schützen können: Führen Sie regelmäßig sicherheitsrelevante Updates durch, die Ihnen Ihr Betriebssystem bereitstellt. Wir empfinden die wiederkehrende Update-Meldungen von Flash, Windows & Co nicht selten als nervig – jedenfalls geht es mir damit so; oftmals sind auch noch ein Neustart und weitere zeitraubende Installationen erforderlich. Dieser Wettbewerb verdeutlich aber ganz plastisch, warum wir unsere Systeme stets auf dem neusten Stand halten sollten.

Machen Sie also regelmäßige Updates für Ihre Sicherheit, den Schutz Ihrer persönlichen Daten und zur Abwehr vor Cyberkriminalität.

Welche Updates führen Sie regelmäßig durch und welche Aktualisierungen nerven Sie?

Schreiben Sie es mir in die Kommentare!

__

Titelbild (CCO Public Domain)

__

Problemstellung 

Es sind unschöne Geschichten, doch sie passieren immer wieder: Große Internetkonzerne werden Ziel eines Cyberangriffs. Bei diesen Angriffe haben es die Hacker besonders auf Zugangs-, Kreditkarten- und weitere sensible Daten der Nutzer abgesehen, die bei diesen Firmen ein Benutzerkonto unterhalten.

Besonders brisant dabei ist die Problematik, dass die meisten Internetnutzer immer wieder die selben oder zumindest sehr ähnliche Zugangsdaten wählen, um sich zu registrieren. Dies führt jedoch zu einem Teufelskreis: Sind einmal die Zugangsdaten durch einen Hacking-Angriff in falsche Hände gelangt, ist es nur noch eine Frage der Zeit, bis die Daten in digitalen Kanälen weitergenutzt oder veräußert werden. Natürlich geschieht all dies mit der klaren Intention mit diesen illegal erworbenen Anmeldedaten bei anderen Portalen auszuprobieren, ob der rechtmäßige User auch dort ein Konto mit der gleichen Kombination aus Passwort und Benutzernamen führt. Auf diese Weise entsteht schnell ein Schneeballeffekt vor dem Sie sich schützen sollten.

1. Schritt: Finden Sie heraus, ob Sie betroffen sind.

Es existieren bereits einige Internetseiten, bei denen Sie überprüfen können, ob Ihre Zugangsdaten bereits (durch einen Cyberangriff) im Internet aufgetaucht sind.

Eine dieser Seiten finden Sie beispielsweise unter https://haveibeenpwned.com/

Geben Sie Ihre E-Mail-Adresse(n) in das Fenster ein. Anschließend erhalten Sie zur Bestätigung eine E-Mail mit einem Link zur Verifizierung, ob es sich bei der angegebenen E-Mail auch um Ihre Adresse handelt. Nach Betätigung des Links, werden Ihnen nun die Ergebnisse präsentiert.

Entweder Sie erhalten eine grüne Seite – d.h. Ihre E-Mail-Adresse wurde NICHT in den hinterlegten Datenbanken gefunden. Grundsätzlich ein gutes Zeichen, jedoch sind diese Datenbanken nicht abschließend – daher empfehle ich Ihnen trotzdem, Ihre Passwörter zu ändern.

Es kann aber auch sein, dass Sie eine rote Anzeige sehen, mit den Diensten, bei denen Sie einen Account haben/hatten und der Opfer eines Hackingangriffs wurde. Sie sehen sehr detailliert beschrieben, wie lange der Angriff zurückliegt, in welchem Umfang Daten gestohlen wurden und welche konkreten Daten von Ihnen sich bereits im Umlauf befinden. Nun müssen Sie handeln; ganz besonders, wenn Sie immer die identische Kombination aus Benutzernamen und Passwörter benutzen. Ändern Sie daher umgehend ÜBERALL Ihre Anmeldedaten.

2. Schritt: Verwenden Sie einen Passwort-Manager, um auch in Zukunft immer den Überblick zu behalten

Der ständige Passwortwechsel ist – da sind wir uns sicher einig – keine Angelegenheit, die besonders großen Spaß mit sich bringt. Ein analoges Buch mit allen Anmeldekombinationen, am besten noch mit allen PIN-Nummern zu EC- und Kreditkarten, ist ebenfalls keine gute Idee, denn auch ein solches Heft kommt schnell in falsche Hände.

Empfehlenswerter sind sog. Passwort-Manager. Damit behalten Sie stets all Ihre Zugangsdaten im Blick. Viele dieser praktischen Programme können auch gleich sichere Passwörter vorschlagen – damit fällt es Ihnen sicher leichter, sich von Ihren üblichen Mustern zu lösen. Anschließend speichern Sie die neuen Passwörter innerhalb des Passwort-Managers ab und schützen diesen wiederum mit einem „Masterpasswort“.

Nutzer von macOS können auf die „Schlüsselbundverwaltung“ zurückgreifen, aber auch der Internetbrowser „Safari“ schlägt mittlerweile sichere Passwörter vor, wenn Sie sich auf einem neuen Portal anmelden und dort um ein Passwort gebeten werden. Im Anschluss fragt Safari, ob die Zugangsdaten gespeichert werden sollen. Im Ergebnis eine überaus praktische Sache.

Auch Windows-Nutzer haben eine große Auswahl guter Passwort-Manager. Ein Tool, welches sich wachsender Beliebtheit erfreut, nennt sich „KeePass Password Safe“. Das Programm besticht neben der Grundfunktion, der Speicherung von Passwörtern , durch seine Browser-Erweiterungen, mit denen Sie KeePass mit diversen Funktionen bereichern und beispielsweise in Chrome oder Firefox integrieren können.

Fazit

Schlussendlich können Sie die Gefahr eines Datendiebstahls nicht verhindern – denn mögliche Vorkehrungen dagegen muss der Dienstanbieter treffen; darauf haben Sie folglich keinen Einfluss. Sie können jedoch auf wechselnde, nicht wiederkehrende und sichere Passwörter Einfluss nehmen. Nutzen Sie diese Möglichkeit. Es geht um Ihre Daten und um Ihre (Netz-)Sicherheit.

__

Titelbild (CCO Public Domain)

__

Wie funktioniert PayPal?

Die Grundlage für das kalifornische Online-Bezahlsystem bildet das sog. PayPal-Konto. Hierbei handelt es sich allerdings um ein virtuelles Konto. Es gibt keine Kontonummer oder IBAN – vielmehr wird die Identität des PayPal-Kontos durch die E-Mail-Adresse des PayPal-Mitglieds definiert. Analog zu einem herkömmlichen Bankkonto, werden auch beim PayPal-Konto Zahlungen an Dritte getätigt oder Geldanweisungen empfangen. Dabei fungiert PayPal als Dienstleister für den (Geld-) Transfer.

Der elementare Vorteil bei diesem Verfahren liegt darin, dass die über PayPal getätigten Zahlungen sofort beim Zahlungsempfänger gutgeschrieben werden. Aus diesem Grund entfällt die sonst bei Überweisungen übliche Banklaufzeit. Im Ergebnis führt die Verwendung von PayPal zu einer Verkürzung der Lieferzeit – da im Onlineshop getätigte Käufe schnell bezahlt und die Ware direkt nach der Zahlung versendet werden kann. Dadurch verkürzt sich für den Käufer die Lieferzeit und der Verkäufer erhält schneller als bei einer gewöhnlichen Banküberweisung die Kaufpreiszahlung.

Kritik – sicher oder nicht sicher?

Gerade im Vergleich mit anderen Zahlungsmöglichkeiten – wie der Sofortüberweisung – zeigt sich PayPal auf den ersten Blick als verhältnismäßig sicher. Beispielsweise wird bei jedem Bankkonto, welches zum ersten Mal bei PayPal hinterlegt wird, zunächst eine Testüberweisung mit einem speziellen Code durchgeführt. Hierdurch soll ausgeschlossen werden, dass bei PayPal fremde Bankkonten als Referenzkonto eingetragen werden.

Allerdings muss aber auch bei PayPal auf Probleme hinsichtlich der Datensicherheit hingewiesen werden.

Grundsätzlich können bei PayPal neben Bankkonten auch alle bekannten Kreditkarten (Visa, Mastercard …) hinterlegt werden. Daraus folgt nur logisch – wer Zugang zum PayPal-Konto (E-Mail-Adresse und Passwort) besitzt, dem ist ebenso der Zugriff auf alle hinterlegten Konten und Kreditkarten gewährt. In einem aktuellen Fall berichtet der Sicherheitsexperte Brian Krebs, dass sich Unbefugte Zugriff auf sein PayPal-Konto verschafften. Hierfür wandten sich die Hacker direkt an den PayPal-Support und gaben vor, Brian Krebs zu sein. Der Mitarbeiter wurde aufgefordert das Passwort zu ändern, da der vermeintliche Brian Krebs es vergessen habe. Um das Passwort ändern zu lassen, musste der Hacker nicht mehr als die letzten vier Ziffern von dessen Sozialversicherungsnummer und die letzten vier Ziffern eines älteren Kreditkartenkontos nennen. Diese Angaben fanden sich mit etwas Aufwand in den Weiten des Internets. Doch dieser Vorgang hätte sich nicht ereignet, wenn PayPal auf Authentifizierungsverfahren mit mehreren Faktoren und persönlichen Merkmalen setzen würde. Ebenso könnte auf ein ähnliches Verfahren, wie es beim Online-Banking eingesetzt wird – mobilTAN – zurückgegriffen werden, um zu verhindern, dass Dritte unbefugten Zugriff auf ein PayPal-Konto bekommen. Gerade eine Kombination aus mehreren Verfahren oder sogar mehreren Geräten, die schon einzeln als relativ sicher eingestuft werden, würde in der Summe die Sicherheit erhöhen.

Krebs fragte den Paypal-Manager beim Support, warum das Unternehmen seine Identität nicht einfach durch eine an sein Mobiltelefon gesandte Textnachricht oder ein besonderes Signal an eine mobile Paypal-App identifizieren könnte. Er erfuhr, dass der Bezahldienst über keine Technologien für mobile Authentifizierung verfüge.

Fazit und Empfehlungen – in drei Schritten zu mehr Sicherheit

Am Ende wird also auch PayPal zum Verhängnis, dass sobald ein dritter Dienstleister am digitalen Zahlungsverkehr beteiligt wird, auch eine Gefahr der Cyberkriminalität droht.

Daher sollten Sie die folgenden drei Hinweise beachten:

1. Sorgen Sie für einen gesicherten Zugang zu Ihrem PayPal-Konto. Hierfür sollten Sie zunächst ein sicheres Passwort verwenden und keine E-Mail-Adresse, die Sie im Internet mit anderen Konto in Verbindung bringt (z.B. bei Sozialen Netzwerken).
2. Wählen Sie sorgfältig und nicht inflationär Ihre Referenzkonten. Hinterlegen Sie so wenig Kreditkarten und Konten, wie möglich – nur dadurch können Sie einen Überblick behalten und nicht autorisierte Zahlungen entdecken.
3. Überwachen Sie stets Ihre Kontoaktivität. Dies können Sie am besten, wenn Sie die beim PayPal-Konto hinterlegte E-Mail-Adresse regelmäßig – beispielsweise auf Ihrem Smartphone – abrufen. Bei Unregelmäßigkeiten (wie unautorisierten Zahlungen oder fremden Passwortänderungen) können Sie auf diesem Wege direkt eingreifen und im schlimmsten Fall – wie bei Brian Krebs – Ihr Konto oder Ihre Kreditkarte sperren.

__

Lesen Sie auch meinen Artikel zu den Risiken der „Sofortüberweisung“ und „Paydirekt„.

__

Bildquelle

Pixabay (CCO Public Domain)

__