Ein Blick auf Chaos, Sicherheitslücken und Geldverschwendung.

Was ist das beA?

Das besondere elektronische Anwaltspostfach (beA) soll (irgendwann) den elektronischen Versand anwaltlicher Dokumente ermöglichen. Das beA schafft damit die Grundlage für eine elektronische Kommunikation sowohl zwischen Rechtsanwälten untereinander als auch zwischen Anwälten und Justiz. Rechtliche Grundlage für das beA ist das Gesetz zur Förderung des elektronischen Rechtsverkehrs mit den Gerichten (ERV-Gesetz) vom 10. Oktober 2013. Hauptziel ist die stufenweise und flächendeckende Einführung des elektronischen Rechtsverkehrs für alle Gerichtsbarkeiten. Bis zum 31. Dezember 2017 lief eine Erprobungsphase des beA. Am 01. Januar 2018 sollte eigentlich der Regelbetrieb beginnen. Dazu kam es jedoch nicht. Der Termin ist auf unbekannte Zeit verschoben.

Was ist das Problem?

Wie sich beim BER die Probleme mit der Brandschutzanlage häufen, passiert Selbiges bei beA durch veraltete Software und ein rückständiges Anwendungskonzept.

Kurz vor Weihnachten – am 20. Dezember 2017 – fand ein Mitglied des Chaos Computer Clubs in der gesonderten Software für die Anmeldung zum Postfach, im sog. ClientSecurity System, eine Sicherheitslücke bei einem Sicherheitszertifikat. Dies geschah durch eine Analyse öffentlich zugänglicher Dokumente.

Die Erkenntnisse wurden dem Zertifikateanbieter T-Systems und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zugespielt, sodass T-Systems ihr Zertifikat für ungültig erklären musste und damit das beA nicht mehr ansteuerbar war. Die Bundesrechtsanwaltskammer (BRAK) teilte hierzu mit:

„Nach unseren Informationen waren und sind die beA-Plattform selbst, die Verschlüsselung der Nachrichten und die Sicherheit der Nachrichtenübermittlung und Speicherung im beA-System von der aktuell festgestellten Sicherheitslücke nie betroffen.“ 

Nach der Sperrung des Zertifikats wurde eine – mit der heißen Nadel gestrickte – Notlösung entwickelt. Die BRAK forderte alle Anwälte auf, das neu erstellte Sicherheitszertifikat zu installieren. Doch auch dieses enthielt gravierende Sicherheitsmängel. Am 23. Dezember 2017 forderte die BRAK die Anwälte schließlich auf, auch das vermeintlich sichere Zertifikat wieder zu deinstallieren.

Im Ergebnis kann das beA zur Zeit weder von Rechtsanwälten noch von Gerichten benutzt werden. Hierzu äußert sich der Chaos Computer Club pointiert: Es bestünde „keine Gefahr durch Nichtnutzung“.

Fazit

Die Entwicklung des beA kostete bisher über 38 Millionen Euro; bezahlt durch die Kammerbeiträge an die BRAK sowie einer entsprechenden Umlage. Das ist viel Geld. Der beauftragte IT-Dienstleister Atos hatte drei Jahre Zeit für die Umsetzung. Entwickelt wurde ein System, welches technisch sehr begrenzt ist (nur 60 MB pro Schriftsatz), auf antiquierte Software (Java) setzt und angreifbare Schnittstellen (TLS 1.2) benutzt.
Besonders ärgerlich ist es aber für die, die schon in der Testphase auf das beA gesetzt und ihren anwaltlichen Schriftverkehr digital verschickt haben. Der Präsident der BRAK – Ekkehart Schäfer – bemerkt dazu:

„Ich verstehe diejenigen, die sich in den letzten Tagen aufgebracht an uns gewandt haben. Und ich bedauere die Ihnen entstandenen Unannehmlichkeiten außerordentlich. Glauben Sie mir, jede und jeder hier in der BRAK hätte Ihnen und uns allen diese Situation gerne erspart.“

Eine Feststellung, die ebenso auch von den vielen Managern des BER hätte stammen können. Es bleibt also abzuwarten, wie es mit dem beA weitergeht; der baldige Regelbetrieb des beA scheint aber unter keinem guten Stern zu stehen. Diese Sicherheitspannen stehen stellvertretend für eine stiefmütterliche Beachtung von IT-Sicherheit, die wir uns 2018 nicht mehr leisten können. Sie symbolisiert unsere Rückständigkeit in puncto Digitalisierung. Nicht zuletzt ist dieser verkorkste Start des beA auch Gift für das so wichtige Vertrauensverhältnis zwischen einem Anwalt und seinem Mandanten.

Wir können glücklich sein, dass die BRAK nur ein elektronisches Anwaltspostfach und keinen Flughafen entwickeln musste. Das „besondere“ steht also für vieles – besonders für Ärger, Peinlichkeit – nicht aber für (und das wäre die eigentliche Aufgabe gewesen) für besondere Sicherheit. Schade.

Wie stehen Sie zum beA?

Ich bin auf Ihre Meinung und Erfahrungen gespannt.

Lassen Sie uns diskutieren!

Kommentieren Sie diesen Artikel!

__

Titelbild (BRAK)

__

Problemaufriss – Vibrator mit WLAN und Kamera

Neben Erotikartikeln in Weihnachtskalendern ist die Vielfalt der Angebotspalette auch für Heiligabend grenzenlos, jede Nachfrage findet ein passendes Angebot.

Der technologische Fortschritt zeigt sich auch hier: So gibt es beispielsweise inzwischen Vibratoren, die vom anderen Ende der Welt mittels App oder aber über das heimische WLAN  ferngesteuert werden können. Das ist allerdings längst noch nicht alles. Nunmehr berücksichtigt der Markt auch die Nachfrage nach Vibratoren mit Kamera. Auf den Seiten der Hersteller heißt es hierzu: „…Momente der Liebe durch aufgenommene Bilder und Videos zum Leben erwecken….“

Versetzen Sie sich in die Situation, die auf einer wahren Begebenheit basiert und in den USA zu einer Millionen-Dollar-Klage (für den Hersteller) führte: Wegen einer sich anbahnenden Geschäftsreise schenkte ein Mann seiner Frau einen Vibrator zu Weihnachten, um die Zeit der Fernbeziehung „entspannter“ zu überbrücken. Dabei ahnte der Mann nicht, dass er nicht nur ein Produkt verschenkte, sondern ebenfalls ein neues Produkt erzeugte, nämlich die Intimsphäre seiner Frau.

Denn eben dieser Vibrator besaß eine Kamerafunktionalität. Ob diese Funktion zwingend notwendig ist und welche „Vorteile“ hiermit verbunden sind, bleibt Ihrer Fantasie überlassen und soll vorliegend nicht näher beleuchtet werden.

Gleichwohl ist hierbei interessant, dass durch die zusätzliche Implementierung einer Kamerafunktion naturgemäß höchst intime Momente erfasst werden, welche im Rahmen des Datenaustausches – hier durch Übermittlung der aufgenommenen Kamerabilder – selbstverständlich durch Hacker an- und abgreifbar sind.

Dabei bedarf es im Zweifel nicht einmal eines Hackerangriffs im klassischen Sinne. Denn häufig ist es so, dass das Webinterface mit voreingestellten Zugangsdaten ausgestattet ist, wobei die SSID des WLAN-Access-Points direkt nach dem Gerät benannt wird. Benutzername und Passwort sind standardisiert – d.h. beim Kauf der Endprodukte immer gleich. Damit wird jedem Laien klar, dass der Angriff auf diese standardisierten Sicherheitseinstellungen nahezu einladend wirkt. Auch im Internet gibt es bereits zu Hauf Anleitungen, wie man ohne großen Aufwand auf die Gerätschaften zugreifen kann.

So geschehen.

Die Vorstellung, dass ein 15-Jähriger aus Bandar Seri Begawan oder auch gerne ein 80-Jähriger aus Castrop-Rauxel in Deutschland, Ihre intimsten Momente mitverfolgen und aufzeichnen kann, ist nicht nur frappierend, sondern bezieht sich auch auf alle anderen vergleichbaren Endgeräte. Denken Sie dabei insbesondere an Babyfongeräte, die ebenfalls vorkonfigurierte und immer gleiche „Sicherheitseinstellungen“ aufweisen und damit kinderleicht angreifbar sind.

Fazit

Zunächst einmal drängt sich die Frage auf, ob die Kamerafunktion für die Funktionalität eines Vibrators notwendig ist und wenn ja, um welchen Preis? Diese Frage muss sich jeder im Hinblick auf den Schutz seiner Daten und die Wahrung der Intimsphäre selbst beantworten. Letztlich besteht nicht nur die Gefahr des Datenmissbrauchs durch (kriminelle) Dritte – wie beispielsweise Hacker – sondern schon die reguläre Datenerhebung und Speicherung auf den Servern der Hersteller/Anbieter ist höchst problematisch. In dem erwähnten Fall in den USA willigte der Vibrator-Hersteller inzwischen ein, jedem US-Nutzer die Summe von 10.000 US-Dollar (etwa 9.350 Euro) als Entschädigung zu zahlen, dessen Daten über die App auf den Servern des Unternehmens gespeichert wurden.

Schaffen also erst gar keine Gelegenheit, dass solche Daten von Ihnen und über Sie erhoben, übertragen und gespeichert werden.

Gleiches gilt für Babyfongeräte, Webcams und Selfie Kameras. Wenn die visuelle Aufzeichnung/Überwachung nicht nötig ist, dann kleben Sie die Kameralinse doch einfach ab.

Darüber hinaus sollten Sie voreingestellte Passwörter umgehend ändern. Der Maßstab für „sichere“ Passwörter wurde auf diesem Blog bereits vorgestellt.

Wie stehen Sie zu diesem Thema?

Lassen Sie es mich wissen und kommentieren Sie diesen Beitrag!

__

Titelbild (CCO Public Domain)

__

Eine Analyse von alten (schlechten) und neuen (besseren) Passwörtern.

Ausgangssituation: Die bisherige Empfehlung 

Bisher galt die Faustregel: Ein sicheres Passwort setzt sich aus Sonderzeichen, Groß- und Kleinbuchstaben und Zahlen zusammen und muss häufig verändert werden. Diese Regel dachte nicht ich mir aus, sondern das National Institute of Standards and Technology (NIST) in den USA.

Die Frage, was ein sicheres Passwort ausmachen und ob es regelmäßig geändert werden sollte, wird in IT-Sicherheitskreisen schon länger diskutiert. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rief kürzlich einen „Ändere-dein-Passwort-Tag“ ins Leben. Die Behörde rät also ausdrücklich zu einem regelmäßigen Passwortwechsel.

Auch viele Unternehmen, Universitäten und Internetprovider fordern ihre Mitarbeiter, Studenten und Nutzer in festgelegten Zeitabständen zum Passwortwechsel auf. Dies kann besonders dann sinnvoll sein, wenn sich bereits Zugangsdaten in falschen Händen befinden. Durch jeden Passwortwechsel wird Angreifern immer wieder der Zugang verwehrt.

Nach der britischen Communications Electronics Security Group (CESG) bewirkt ein häufiger Passwortwechsel in praxi mitunter das Gegenteil: Um sich nicht zu viele Passwörter merken zu müssen, wird oft für viele unterschiedliche Dienste das selbe Kennwort benutzt und dieses bei einem Wechsel nur minimal verändert. Im Ergebnis ähnelt das neue Passwort oft dem vorherigen und ist damit sehr viel leichter zu erraten.

Ein weiteres Problem sind milliardenfache Passwort-Lecks. Hieraus lassen sich für IT-Sicherheitsforscher (aber ebenso für Kriminelle) wertvolle Informationen gewinnen, welche Passwörter in der Realität gewählt werden und welche Auswirkungen die Passwortrichtlinien auf diese haben.

Die Erkenntnis: Viel zu viele dieser Passwörter sind trivial zu erraten und damit im Ergebnis schnell zu knacken.

Sichere Passwörter im Jahre 2017

Inzwischen existiert eine überarbeitete NIST-Richtlinie. Diese neue Richtlinie lässt sich in zwei Schritte aufgliedern:

1. Verwenden Sie kein Passwort, welches bereits (durch ein Passwort-Leck) bekannt ist. Ob Ihr bevorzugtes Kennwort bereits geknackt und damit bekannt ist, können Sie beispielsweise über den Internetdienst Pwned Passwords herausfinden.
   

   Bei diesem Ergebnis sollten Sie umgehend Ihr Passwort ändern.

2. Die zweite Empfehlung bezieht sich auf die Verwendung von langen Passphrasen. Insofern wird eine deutlich Unterscheidung zu älteren Passwortvorgaben deutlich, die nur Anforderungen an die Komplexität – nicht allerdings an die Länge stellten. Weiterhin sollte sich das neue Passwort an möglichst vielen Stellen vom bisherigen unterscheiden. Ferner sollte vermieden werden, das Kennwort aus Wörtern oder Namensbestandteilen zusammenzusetzen.

Kurzum: Ein sicheres Passwort Anno 2017 ist lang und möglichst kryptisch. 

10-Punkte-Checkliste für ein sicheres Passwort.

Fazit

Lang und kryptisch. Schön und gut – aber wie soll man sich ein solches Passwort bitte merken? Sie können auf einen einfachen Trick zurückgreifen: Denken Sie sich einen (längeren) Satz aus. Wählen Sie jeweils die Anfangsbuchstaben der einzelnen Wörter, beachten sie die Groß- und Kleinschreibung und setzen Sie ein Satzschlusszeichen.

Beispiel:

Die besten Artikel zum Thema Datenschutz und Datensicherheit lese ich auf Power-Datenschutz.de!

Passwort: DbAzTDuDliaP-D.d!

Das Resultat ist ein Kennwort, welches keinen logischen Schluss auf seinen Besitzer zulässt. Seien Sie kreativ und vernachlässigen Sie die Wahl eines sicheren Passwortes nicht! Ändern sollten Sie Ihr neues Passwort übrigens erst, wenn es wahrscheinlich ist, dass es geknackt wurde. Ein willkürlicher Wechsel, der nur an einen bestimmten Zeitraum anknüpft, bringt grundsätzlich nicht mehr Sicherheit.

__

Titelbild (CCO Public Domain)

__

Am Vorabend zum 7. April – aber auch dringend danach (!) – ist es sehr empfehlenswert, sein Passwort bei Apple zu ändern.

Warum sollte ich mein Passwort ändern?

Apple wird nach diversen Berichten bedroht, dass man ihnen die iCloud hackt und Nutzerdaten bzw. Kundendaten stehlen oder zerstören möchte.
Hier einer der Berichte.
Aber auch der letzte Blogbeitrag hat sich direkt mit dem Thema beschäftigt.

Hier kurz das Wichtigste erklärt:

Wer ist betroffen? Bin ich betroffen?

Grundsätzlich jeder, der ein Gerät von Apple nutzt. Das kann der Mac sein, ein iPad, das iPhone oder die Applewatch.

Wer kein Applegerät nutzt, ist grundsätzlich nicht gefährdet. Ebenso, wer die iCloud nicht aktivierte. Wenn Du nicht weißt, ob Du die iCloud nutzt oder nicht, dann gehe sicherheitshalber davon aus, dass Du sie nutzt. Weit über 90% aller Apple-Nutzer nutzen auch die iCloud.

Was ist die iCloud?

Die iCloud ist ein Datenspeicherservice von Apple, der es dem Nutzer erlaubt, vor allem Daten zwischen seinen Geräten austauschen zu können und Backups ganz bequem anzulegen.

Über die iCloud können die Geräte von Apple regelrecht untereinander kommunizieren. So muss z.B. nur ein Gerät in das jeweilige WLAN-Netz integriert werden, schon sendet das Gerät standardgemäß die Zugangsdaten via iCloud an die anderen Gerätschaften von Apple.
Ebenso brauchen Fotos vom iPhone nicht manuell auf den Rechner überspielt werden. Sie werden beim nächsten Start des MacBooks – wie von Magie – automatisch auch auf dem Mac sein (weil sie zuvor vom iPhone automatisch in die iCloud gespeichert wurden und der Mac diese Informationen automatisch zieht – also ohne, dass der Mensch noch eingreifen muss).

Wo ist mein iCloud-Passwort?

Apple kennt kein spezielles iCloud-Passwort.
Vielmehr hat es eine zentrale Apple-ID (in aller Regel Deine E-Mail-Adresse, die bei Apple hinterlegt ist)
und Dein Passwort, welches Du z.B. für iTunes und für Apple Store etc. verwendest. Will sagen: Du hast kein spezielles iCloud-Passwort, sondern nur ein Passwort bei Apple, welches Du auch hier nutzt.

(Um so wichtiger ist, dass Du Dir bewußt bist, wie gefährlich die Herausgabe Deines Passwortes für Apple ist).

Wie ändere ich mein iCloud-Passwort?

1. Schritt: Gehe auf diese Seite.
2. Schritt: Gib bei „Apple-ID“ Deine E-Mail-Adresse ein, die Du bei Apple hinterlegt hast.
3. Schritt: Gib bei Passwort Dein Apple-Passwort ein. Du dürftest nur das eine Passwort haben. Das gib bitte ein.
4. Schritt: Wenn Du bereits eine „Zwei-Faktor-Authentifizierung“ hast, dann dürften jetzt auf Deinen Apple-Geräten ein PopUp aufgehen, welches Dich nach einer gesonderten Erlaubnis fragt. Bejahst Du diese, dann erhältst Du einen 6-stelligen Zifferncode, den Du zusätzlich eingeben musst.

Dann erst gelangst Du quasi in das Heiligste: Denn dort auf der sich nun für Dich öffnenden Webseite sind Deine persönlichsten Daten gespeichert, die Du bei Apple hinterlegt hast.

6. Schritt: Unter „Sicherheit“ kannst Du jetzt Dein Passwort ändern. Bitte gleich ausführen.

Bitte schalte bei der Änderung des Passwortes alle automatischen Passwortmerkhilfen/Passwortsafes etc. aus. Schalte auch den Mac-eigenen Passwortsafe bei Safari aus. Nicht nur, dass es Probleme mit diesen Anwendungen bei der Passwortänderung kommen kann. Das Passwort hier ist schlicht zu wichtig, als dass es selbst wiederum in einer potentiell hackbaren Umgebung gespeichert wird.

7. Schritt: Dann, wenn Du es sowieso noch nicht getan hast: Schalte die Zwei-Faktor-Authentifizierung ein! Allein das erhöht die Sicherheit für Deine Daten enorm!

8. Schritt: Schreib Dir das neue Passwort vielleicht in ein geheimes Buch auf und bewahre es so auf, dass wenn es denn mal gefunden werden sollte, man nicht auf die Idee kommen kann, dass es sich bei der Zahlen-Buchstabenkombination um Dein Apple-Passwort handeln könnte.

Update (18.04.2017)

• Eine Apple-Mitarbeiterin, die anonym bleiben wollte, bestätigte wohl gegenüber der Zeitschrift „COMPUTER BILD“, dass im Laufe des 7. April 2017 tatsächlich iCloud-Konten angegriffen wurden
• Apple äußerte sich nicht dazu, wie es zu diesen Vorfällen kommen konnte
• Offenbar waren die Hacker aber auch in der Lage, die Zwei-Faktor-Authentifizierung auszuhebeln, mit der Apple eigentlich das iCloud-Konten durch zusätzliche Zahlencode-Eingabe zur Verifikation schützt
• Betroffen waren sowohl ältere Konten mit der Endung „mac.com” als auch neuer Adressen wie „me.com” und „icloud.com”
• Scheinbar ist in der Zwischenzeit Geld geflossen. Auf der Bitcoin-Plattform Blockchain lässt sich eine Summe von etwa 450.000 Euro identifizieren. Ob Apple das Geld dorthin gezahlte oder woher die Summe kommt – ist unbekannt
• Die Turkish Crime Family brüstet sich auf Twitter auf jeden Fall damit, das Geld von Apple erpresst zu haben. Der Angriff auf die iCloud-Konten sei damit beendet. Das bestätigt unter anderem auch das Portal International Business Times 

__

Titelbild (CCO Public Domain)

__

Das kalifornische Unternehmen Apple wird laut zahlreichen Berichterstattungen von der bekannten Hacker-Gruppe namens „Turkish Crime Family“ erpresst. Die Mitglieder dieser Gruppierung geben vor, dass sie Zugang auf mehrere Millionen iCloud-Konten hätten. „Turkish Crime Family“ forderte von Apple zunächst ein Lösegeld in Höhe von 75.000 $ in der Internet-Währung Bitcoin. Inzwischen erhöhten die Hacker die Lösegeldsumme auf 150.000 $ für den Zugang auf die Datensätze. Alternativ wäre die Gruppierung auch mit einem iTunes-Gutschein in Höhe von 100.000 $ zufrieden.

Sofern Apple dieser Forderung bis zum 7. April 2017 nicht nachkomme, werde die geforderte Summe weiter erhöht werden.

Daneben besteht die Gefahr, dass alle Daten und Einstellungen von Millionen von Nutzern gelöscht bzw. zurückgesetzt werden.

Die genaue Anzahl der betroffenen – d.h. gehackten iCloud-Konten – lässt sich nicht präzise beziffern. Über den Twitter-Account der Hacker-Gruppe kursierte zunächst die Zahl von angeblich 200 Millionen Apple-Konten, aber bis zum 7. April 2017 wolle man weitere Konten hacken. Von über 627 Million gehackten Konten sprechen die Hacker.

Einige IT-Experten bezweifeln die Behauptungen der Hacker, da ihnen keine konkreten Beweise dazu vorliegen. Auch das betroffene Unternehmen selbst äußerte sich gegenüber dem Magazin „Fortune“, dass es keine „Verstöße gegen irgendwelche Apple-Systeme einschließlich iCloud oder Apple ID gegeben“ hätte. Im Ergebnis seien die Apple-Benutzerdaten also sicher. Weiter heißt es:

„Es scheint, dass die angebliche Liste von E-Mail-Adressen und Passwörtern aus einem Angriff auf einen anderen Anbieter stamme.“

Nach weiteren Angaben werde die Situation aktiv seitens Apple überwacht und eng mit den Ermittlungs- und Strafverfolgungsbehörden zusammengearbeitet, um die Vorwürfe aufzuklären und den Schutz der Nutzerdaten zu gewährleisten. Die Entschlossenheit des Konzerns verdeutlichte eine weitere Äußerung zu den Gegebenheiten:

„Sie sollten wissen, dass wir keine Cyber-Kriminellen für Gesetzesbrüche belohnen.“

Das müssen Sie jetzt machen – in drei Schritten zu mehr Sicherheit 

1. Schritt: Ändern Sie umgehend Ihr Passwort.
2. Schritt: Erhöhen Sie zusätzlich die Sicherheit für Ihr Konto, indem Sie die Zwei-Faktor-Authentifizierung innerhalb Ihres iCloud-Kontos aktivieren. Durch dieses Verfahren erhalten Sie bei jeder Anmeldung oder Änderung Ihrer Einstellungen einen Zahlencode per SMS auf Ihr Handy, welchem Sie zusätzlich zu Ihrem Passwort eingeben müssen, um Ihre Identität nachzuweisen.
3. Schritt: Erstellen Sie von Ihrem iPhone, iPad oder Mac ein aktuelles Backup über iTunes bzw. Time Machine und sichern Sie dieses auf einem externen Speichermedium (einer externen Festplatte oder einem entsprechend großen USB-Stick).

Fazit

Die Erpressungsvorwürfe zeigen deutlich, dass auch ein namenhaftes Unternehmen, welches eigentlich für hohe Anforderungen an den Datenschutz und die Sicherheit ihrer Kunden bekannt ist, von Cyberkriminalität betroffen sein könnte. Solche Gefahren können leider nicht ausgeschlossen werden. Die Ursachen hierfür sind vielfältig – Sicherheitslücken, interne oder geheime Informationen, die in die falschen Händen gelangen. Das Einzige, was Sie tun können ist, regelmäßig Ihre (alle) Passwörter zu ändern, die Sicherheit durch weitere Authentifizierungsmöglichkeiten (wie die Zwei-Faktor-Authentifizierung) zu erhöhen und für den Fall der Fälle regelmäßige Backups zu erstellen.

Update (18.04.2017)

• Eine Apple-Mitarbeiterin, die anonym bleiben wollte, bestätigte wohl inzwischen gegenüber der Zeitschrift „COMPUTER BILD“, dass im Laufe des 7. April 2017 tatsächlich iCloud-Konten angegriffen wurden
• Apple äußerte sich nicht dazu, wie es zu diesen Vorfällen kommen konnte
• Offenbar waren die Hacker aber auch in der Lage, die Zwei-Faktor-Authentifizierung auszuhebeln, mit der Apple eigentlich das iCloud-Konten durch zusätzliche Zahlencode-Eingabe zur Verifikation schützen möchte
• Betroffen waren sowohl ältere Konten mit der Endung „mac.com” als auch neuer Adressen wie „me.com” und „icloud.com”
• Scheinbar ist in der Zwischenzeit Geld geflossen: Auf der Bitcoin-Plattform Blockchain lässt sich eine Summe von etwa 450.000 Euro identifizieren. Ob Apple das Geld dorthin gezahlte oder woher die Summe kommt – ist unbekannt
• Die Turkish Crime Family brüstet sich auf Twitter auf jeden Fall damit, das Geld von Apple erpresst zu haben. Der Angriff auf die iCloud-Konten sei jedoch damit beendet. Das bestätigt unter anderem auch das Portal International Business Times 

Haben Sie auch Ihr Passwort geändert?

Was halten Sie von der Zwei-Faktor-Authentifizierung?

Schreiben Sie es in die Kommentare!

__

Titelbild (CCO Public Domain)

__

Der (Hacker-) Wettbewerb

Die Aufgabenstellung klingt erst einmal nicht leicht. Es stehen unterschiedliche Geräte mit verschiedenen Betriebssystemen – wie Windows, mac OS oder Linux – bereit. Die teilnehmenden Hacker müssen sich von außen Zugriff und die vollständige Kontrolle über das Gerät verschaffen. Hierfür setzen die Hacker nicht auf Zauberei, auch wenn es den Anschein erweckt, sondern sie nutzen Sicherheitslücken innerhalb der Betriebsysteme und/oder verschiedener Standardprogramme. Zu diesen üblichen Programmen zählen beispielsweise Adobe Flash oder der Acrobat Reader – diese Programme sind extrem verbreitet und finden sich daher sehr häufig auf der Festplatte, insbesondere auf Computern mit dem Windows-Betriebssystem.
Manche der Sicherheitslücken sind bekannt und noch nicht behoben, die meisten Lücken werden jedoch durch die Wettbewerber entdeckt und ausgenutzt. Lösen die Teilnehmer diese Aufgabenstellung, können sie einerseits das gekaperte Gerät behalten und sich über ein stattliches Preisgeld freuen. In diesem Jahr liegt über eine Million US-Doller im Preisgeld-Topf. Die Belohnungen steigern sich je nach Schwierigkeit des Hackings. Am Ende wird aber erst einmal der Deckmantel der Verschwiegenheit über die entdeckten Sicherheitsprobleme gedeckt. Die Softwarehersteller bekommen die Ergebnisse übermittelt und erhalten dadurch die Möglichkeit, ihre Software oder ihr Betriebsystem entsprechend zu verbessern. Im Ergebnis erhalten die Kunden dann ein Update für das entsprechende Betriebssystem, welches die Lücken schließen soll.

Nichts scheint mehr sicher – wir sind alle betroffen

Der diesjährige Contest zeigt eindrucksvoll, dass alle Betriebsysteme angreifbar sind. Konkret schafften es die Hacker unberechtigten Zugriff auf Geräte mit dem neuen Edge-Browser von Microsoft, aber auch auf das Pendant von Apple – Safari – unter dem aktuelles Betriebssystem mac OS zu erlangen. Ein System mit der Linux-Variante Ubuntu war ebenso wenig sicher vor den Teilnehmern. Gerade Linux- und Mac-Systeme sind für eine höhere Sicherheit im Vergleich zur Windows-Konkurrenz bekannt. Deswegen sind diese Ergebnisse besonders brisant.

Fazit – ein Plädoyer für ständige Updates

Zusammenfassend muss festgestellt werden, dass auch bei vermeintlich sicheren Systemen keine absolute Sicherheit zu gewährleisten ist. Überall zeigten sich gefährliche Sicherheitslücken. Eine pauschale Faustformel nach der man mit Mac- und Linux-Systemen per se sicherer unterwegs ist, wurde durch diesen Wettbewerb dahingehend relativiert, dass auch diese Systeme angreifbar sind.
Am Ende kristallisiert sich also heraus, dass nicht nur Windows-Systeme gravierenden Lücken bezüglich der Sicherheit aufweisen; es sind praktisch alle Betriebssysteme betroffen und es gibt nur eine Möglichkeit, wie Sie sich davor schützen können: Führen Sie regelmäßig sicherheitsrelevante Updates durch, die Ihnen Ihr Betriebssystem bereitstellt. Wir empfinden die wiederkehrende Update-Meldungen von Flash, Windows & Co nicht selten als nervig – jedenfalls geht es mir damit so; oftmals sind auch noch ein Neustart und weitere zeitraubende Installationen erforderlich. Dieser Wettbewerb verdeutlich aber ganz plastisch, warum wir unsere Systeme stets auf dem neusten Stand halten sollten.

Machen Sie also regelmäßige Updates für Ihre Sicherheit, den Schutz Ihrer persönlichen Daten und zur Abwehr vor Cyberkriminalität.

Welche Updates führen Sie regelmäßig durch und welche Aktualisierungen nerven Sie?

Schreiben Sie es mir in die Kommentare!

__

Titelbild (CCO Public Domain)

__

Wie funktioniert PayPal?

Die Grundlage für das kalifornische Online-Bezahlsystem bildet das sog. PayPal-Konto. Hierbei handelt es sich allerdings um ein virtuelles Konto. Es gibt keine Kontonummer oder IBAN – vielmehr wird die Identität des PayPal-Kontos durch die E-Mail-Adresse des PayPal-Mitglieds definiert. Analog zu einem herkömmlichen Bankkonto, werden auch beim PayPal-Konto Zahlungen an Dritte getätigt oder Geldanweisungen empfangen. Dabei fungiert PayPal als Dienstleister für den (Geld-) Transfer.

Der elementare Vorteil bei diesem Verfahren liegt darin, dass die über PayPal getätigten Zahlungen sofort beim Zahlungsempfänger gutgeschrieben werden. Aus diesem Grund entfällt die sonst bei Überweisungen übliche Banklaufzeit. Im Ergebnis führt die Verwendung von PayPal zu einer Verkürzung der Lieferzeit – da im Onlineshop getätigte Käufe schnell bezahlt und die Ware direkt nach der Zahlung versendet werden kann. Dadurch verkürzt sich für den Käufer die Lieferzeit und der Verkäufer erhält schneller als bei einer gewöhnlichen Banküberweisung die Kaufpreiszahlung.

Kritik – sicher oder nicht sicher?

Gerade im Vergleich mit anderen Zahlungsmöglichkeiten – wie der Sofortüberweisung – zeigt sich PayPal auf den ersten Blick als verhältnismäßig sicher. Beispielsweise wird bei jedem Bankkonto, welches zum ersten Mal bei PayPal hinterlegt wird, zunächst eine Testüberweisung mit einem speziellen Code durchgeführt. Hierdurch soll ausgeschlossen werden, dass bei PayPal fremde Bankkonten als Referenzkonto eingetragen werden.

Allerdings muss aber auch bei PayPal auf Probleme hinsichtlich der Datensicherheit hingewiesen werden.

Grundsätzlich können bei PayPal neben Bankkonten auch alle bekannten Kreditkarten (Visa, Mastercard …) hinterlegt werden. Daraus folgt nur logisch – wer Zugang zum PayPal-Konto (E-Mail-Adresse und Passwort) besitzt, dem ist ebenso der Zugriff auf alle hinterlegten Konten und Kreditkarten gewährt. In einem aktuellen Fall berichtet der Sicherheitsexperte Brian Krebs, dass sich Unbefugte Zugriff auf sein PayPal-Konto verschafften. Hierfür wandten sich die Hacker direkt an den PayPal-Support und gaben vor, Brian Krebs zu sein. Der Mitarbeiter wurde aufgefordert das Passwort zu ändern, da der vermeintliche Brian Krebs es vergessen habe. Um das Passwort ändern zu lassen, musste der Hacker nicht mehr als die letzten vier Ziffern von dessen Sozialversicherungsnummer und die letzten vier Ziffern eines älteren Kreditkartenkontos nennen. Diese Angaben fanden sich mit etwas Aufwand in den Weiten des Internets. Doch dieser Vorgang hätte sich nicht ereignet, wenn PayPal auf Authentifizierungsverfahren mit mehreren Faktoren und persönlichen Merkmalen setzen würde. Ebenso könnte auf ein ähnliches Verfahren, wie es beim Online-Banking eingesetzt wird – mobilTAN – zurückgegriffen werden, um zu verhindern, dass Dritte unbefugten Zugriff auf ein PayPal-Konto bekommen. Gerade eine Kombination aus mehreren Verfahren oder sogar mehreren Geräten, die schon einzeln als relativ sicher eingestuft werden, würde in der Summe die Sicherheit erhöhen.

Krebs fragte den Paypal-Manager beim Support, warum das Unternehmen seine Identität nicht einfach durch eine an sein Mobiltelefon gesandte Textnachricht oder ein besonderes Signal an eine mobile Paypal-App identifizieren könnte. Er erfuhr, dass der Bezahldienst über keine Technologien für mobile Authentifizierung verfüge.

Fazit und Empfehlungen – in drei Schritten zu mehr Sicherheit

Am Ende wird also auch PayPal zum Verhängnis, dass sobald ein dritter Dienstleister am digitalen Zahlungsverkehr beteiligt wird, auch eine Gefahr der Cyberkriminalität droht.

Daher sollten Sie die folgenden drei Hinweise beachten:

1. Sorgen Sie für einen gesicherten Zugang zu Ihrem PayPal-Konto. Hierfür sollten Sie zunächst ein sicheres Passwort verwenden und keine E-Mail-Adresse, die Sie im Internet mit anderen Konto in Verbindung bringt (z.B. bei Sozialen Netzwerken).
2. Wählen Sie sorgfältig und nicht inflationär Ihre Referenzkonten. Hinterlegen Sie so wenig Kreditkarten und Konten, wie möglich – nur dadurch können Sie einen Überblick behalten und nicht autorisierte Zahlungen entdecken.
3. Überwachen Sie stets Ihre Kontoaktivität. Dies können Sie am besten, wenn Sie die beim PayPal-Konto hinterlegte E-Mail-Adresse regelmäßig – beispielsweise auf Ihrem Smartphone – abrufen. Bei Unregelmäßigkeiten (wie unautorisierten Zahlungen oder fremden Passwortänderungen) können Sie auf diesem Wege direkt eingreifen und im schlimmsten Fall – wie bei Brian Krebs – Ihr Konto oder Ihre Kreditkarte sperren.

__

Lesen Sie auch meinen Artikel zu den Risiken der „Sofortüberweisung“ und „Paydirekt„.

__

Bildquelle

Pixabay (CCO Public Domain)

__