Der Fehler liegt im System

Es ist wieder da. Wieder online. Das besondere elektronische Anwaltspostfach (beA). Was vom Ergebnis her gut klingt (die Grundidee eines elektronischen Anwaltspostfachs ist ja auch keine schlechte), löst unter der Anwaltschaft allerdings wenig Begeisterung aus.
Das mag einerseits an der Verunsicherung und mangelhaften Sicherheitsarchitektur liegen, die letztlich auch zur zwischenzeitlichen Außerbetriebnahme führte. Nicht unwahrscheinlich ist es, dass IT-Spezialisten auch an der nachgebesserten Version wieder Einfallstore und Risiken finden.
Hierzu äußert sich auch der neue Präsident der Bundesrechtsanwaltskammer (BRAK) Dr. Ulrich Wessels:

„Ziel ist es, dass die Kolleginnen und Kollegen weiter Vertrauen in den elektronischen Rechtsverkehr gewinnen – auch wenn es eine hundertprozentige Sicherheit vielleicht nie geben wird. Wir sind zuversichtlich und haben einiges dafür getan, dass es keine weiteren Pannen beim beA geben wird. Ich vertraue da auch den Ergebnissen der Prüfung von secunet, die nur noch von kleineren, im laufenden Betrieb behebbaren Schwachstellen, ansonsten aber von einem eindeutig sicheren System sprechen.“

Andererseits wird auch die grundsätzliche Konzeption kritisiert. Das beA ist auf einen Einzelanwalt ausgelegt. Jeder Anwalt hat ein persönliches Postfach. Dieses Postfach ist an die Person des Anwalts, nicht an seine Kanzlei gebunden. Der Einzelanwalt ist in der Praxis sehr häufig. Nicht selten schließen sich aber auch mehrere Anwälte zu einer Sozietät zusammen. Ebenfalls kommt es regelmäßig vor, dass sich diese Zusammensetzung im Laufe der Jahre verändert und sich Anwälte umorientieren, im Ergebnis die Kanzlei wechseln oder eine eigene gründen. In diesem Fall zieht das bisher für „gemeinsame Mandate“ genutzte besondere elektronische Postfach mit um (in die neue Kanzlei) und die Schriftsätze der Gegenseite gehen nun dort ein, obwohl der Anwalt durch den Kanzleiwechsel gar nicht mehr zuständig ist. Dieses Zuständigkeits- und Zustellungsproblem verschärft sich nochmals, wenn die berufliche Trennung nicht einvernehmlich war. Manche Vertreter der Anwaltschaft sprechen daher gar von „einem Geburtsfehler des beA“. Auch wenn sich viel einstellen und vertraglich regeln lässt, führt dies in der Praxis zu Schwierigkeiten.

Offene Probleme des beA

Neben diesen grundsätzlichen Unbehaglichkeiten gibt es weitere (bisher) ungelöste Problemfelder, die eine Nutzungsbereitschaft ausbremsen.
Nur ein Teil der Anwaltschaft ließ sich bisher für das beA vollständig registrieren/freischalten (obwohl seit dem 3. September 2018 eine zumindest passive Nutzungspflicht besteht; d.h. alle Anwälte müss(t)en über das beA erreichbar sein).
Anwälte, die sich noch nicht registriert haben, besitzen zwar ein Postfach, aber haben keinen Zugriff darauf. Das beA zeigt hier den Status „vorbereitet aktiv“ statt „vollständig aktiv“ an.
Es gibt eine Funktion, über die man einen Kollegen im beA suchen und zu seinem Urlaubsvertreter bestimmen kann. Generell eine feine Sache. Allerdings zeigt das System auch an, ob der ausgewählte Kollege bereits „vollständig“ oder lediglich „vorbereitet“ aktiv ist (was logische Voraussetzung ist, um eine Urlaubsvertretung technisch zu gewährleisten; wer nicht „vollständig aktiv“ ist, der kann das beA nicht nutzen und damit auch keinen Kollegen im Urlaub vertreten). Diese Funktion lässt sich aber auch zweckentfremden/missbrauchen. Mit der Suchfunktion kann natürlich auch der gegnerische Anwalt gesucht und feststellen werden, ob er das beA „vollständig“ oder nur „vorbereitet“ aktiv nutzt. Im letzteren Fall kann trotzdem an das Postfach zugestellt werden. Es gibt zahlreiche Möglichkeiten für derartige Zustellungen. Besonders problematisch sind solche mit einer Frist, die ohne die Benutzung des Postfachs nicht (rechtzeitig) berücksichtigt werden können, so beispielsweise: Der Gegner schlägt günstigen Vergleich vor, in den innerhalb einer Frist eingewilligt werden muss. Das Gericht setzt eine Ausschlussfrist für eine Stellungnahme/Klageerwiderung, die Einzahlung von Kostenvorschüssen oder die Ladung von Zeugen, Berufungsfristen, Verteidigungsanzeigen… Eine versäumte Frist kann zur Niederlage des Rechtsstreits führen und damit zu einem berufsrechtlichen Haftungsfall.

Fazit

Rechtsanwälte sind unabhängige Organe der Rechtspflege. Auch wenn es pathetisch klingen mag – so ist es. Von diesem Grundgedanken getragen entstand der Wunsch, ein völlig unabhängiges digitales Zustellungssystem in der Anwaltschaft zu etablieren. Es sollte von dem bereits bestehenden behördlichen/gerichtlichen System technisch völlig unabhängig sein. Am Ende stehen hohe Entwicklungskosten (über 40 Millionen Euro) und eine „Lösung“, die zwar unabhängig, aber bei Weitem auch nicht fehlerfrei ist. Dies betrifft die unzureichende Konzeption und die Fallstricke, die sich durch die bloße Benutzung ergeben.
Man kann sich also nicht sicher sein, ob das beA in seiner jetzigen Form tatsächlich so fortbestehen wird.
Digitalisierung ist ein enorme Chance, aber deren Ausprägungen sollten im Vergleich zur „analogen Welt“ einen wirklichen und greifbaren Mehrwert bieten. Der ist beim beA leider (noch) nicht ersichtlich, da es bisher auch an den erforderlichen Schnittstellen zu den gängigen Kanzleisoftwareanbietern fehlt, sodass eine Integration des beA in den bisherigen Arbeitsablauf zusätzlich erschwert wird.
Es bleibt also die Frage (in veränderter Form): Was funktioniert früher zufriedenstellend: der BER oder das beA?

Lassen Sie uns diskutieren!
Kommentieren Sie diesen Beitrag!
Besonders spannend ist sicher auch die Sicht von Mandanten.

__

Titelbild (CCO Public Domain)

__

Ein Blick auf Chaos, Sicherheitslücken und Geldverschwendung.

Was ist das beA?

Das besondere elektronische Anwaltspostfach (beA) soll (irgendwann) den elektronischen Versand anwaltlicher Dokumente ermöglichen. Das beA schafft damit die Grundlage für eine elektronische Kommunikation sowohl zwischen Rechtsanwälten untereinander als auch zwischen Anwälten und Justiz. Rechtliche Grundlage für das beA ist das Gesetz zur Förderung des elektronischen Rechtsverkehrs mit den Gerichten (ERV-Gesetz) vom 10. Oktober 2013. Hauptziel ist die stufenweise und flächendeckende Einführung des elektronischen Rechtsverkehrs für alle Gerichtsbarkeiten. Bis zum 31. Dezember 2017 lief eine Erprobungsphase des beA. Am 01. Januar 2018 sollte eigentlich der Regelbetrieb beginnen. Dazu kam es jedoch nicht. Der Termin ist auf unbekannte Zeit verschoben.

Was ist das Problem?

Wie sich beim BER die Probleme mit der Brandschutzanlage häufen, passiert Selbiges bei beA durch veraltete Software und ein rückständiges Anwendungskonzept.

Kurz vor Weihnachten – am 20. Dezember 2017 – fand ein Mitglied des Chaos Computer Clubs in der gesonderten Software für die Anmeldung zum Postfach, im sog. ClientSecurity System, eine Sicherheitslücke bei einem Sicherheitszertifikat. Dies geschah durch eine Analyse öffentlich zugänglicher Dokumente.

Die Erkenntnisse wurden dem Zertifikateanbieter T-Systems und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zugespielt, sodass T-Systems ihr Zertifikat für ungültig erklären musste und damit das beA nicht mehr ansteuerbar war. Die Bundesrechtsanwaltskammer (BRAK) teilte hierzu mit:

„Nach unseren Informationen waren und sind die beA-Plattform selbst, die Verschlüsselung der Nachrichten und die Sicherheit der Nachrichtenübermittlung und Speicherung im beA-System von der aktuell festgestellten Sicherheitslücke nie betroffen.“ 

Nach der Sperrung des Zertifikats wurde eine – mit der heißen Nadel gestrickte – Notlösung entwickelt. Die BRAK forderte alle Anwälte auf, das neu erstellte Sicherheitszertifikat zu installieren. Doch auch dieses enthielt gravierende Sicherheitsmängel. Am 23. Dezember 2017 forderte die BRAK die Anwälte schließlich auf, auch das vermeintlich sichere Zertifikat wieder zu deinstallieren.

Im Ergebnis kann das beA zur Zeit weder von Rechtsanwälten noch von Gerichten benutzt werden. Hierzu äußert sich der Chaos Computer Club pointiert: Es bestünde „keine Gefahr durch Nichtnutzung“.

Fazit

Die Entwicklung des beA kostete bisher über 38 Millionen Euro; bezahlt durch die Kammerbeiträge an die BRAK sowie einer entsprechenden Umlage. Das ist viel Geld. Der beauftragte IT-Dienstleister Atos hatte drei Jahre Zeit für die Umsetzung. Entwickelt wurde ein System, welches technisch sehr begrenzt ist (nur 60 MB pro Schriftsatz), auf antiquierte Software (Java) setzt und angreifbare Schnittstellen (TLS 1.2) benutzt.
Besonders ärgerlich ist es aber für die, die schon in der Testphase auf das beA gesetzt und ihren anwaltlichen Schriftverkehr digital verschickt haben. Der Präsident der BRAK – Ekkehart Schäfer – bemerkt dazu:

„Ich verstehe diejenigen, die sich in den letzten Tagen aufgebracht an uns gewandt haben. Und ich bedauere die Ihnen entstandenen Unannehmlichkeiten außerordentlich. Glauben Sie mir, jede und jeder hier in der BRAK hätte Ihnen und uns allen diese Situation gerne erspart.“

Eine Feststellung, die ebenso auch von den vielen Managern des BER hätte stammen können. Es bleibt also abzuwarten, wie es mit dem beA weitergeht; der baldige Regelbetrieb des beA scheint aber unter keinem guten Stern zu stehen. Diese Sicherheitspannen stehen stellvertretend für eine stiefmütterliche Beachtung von IT-Sicherheit, die wir uns 2018 nicht mehr leisten können. Sie symbolisiert unsere Rückständigkeit in puncto Digitalisierung. Nicht zuletzt ist dieser verkorkste Start des beA auch Gift für das so wichtige Vertrauensverhältnis zwischen einem Anwalt und seinem Mandanten.

Wir können glücklich sein, dass die BRAK nur ein elektronisches Anwaltspostfach und keinen Flughafen entwickeln musste. Das „besondere“ steht also für vieles – besonders für Ärger, Peinlichkeit – nicht aber für (und das wäre die eigentliche Aufgabe gewesen) für besondere Sicherheit. Schade.

Wie stehen Sie zum beA?

Ich bin auf Ihre Meinung und Erfahrungen gespannt.

Lassen Sie uns diskutieren!

Kommentieren Sie diesen Artikel!

__

Titelbild (BRAK)

__

Problemaufriss – Vibrator mit WLAN und Kamera

Neben Erotikartikeln in Weihnachtskalendern ist die Vielfalt der Angebotspalette auch für Heiligabend grenzenlos, jede Nachfrage findet ein passendes Angebot.

Der technologische Fortschritt zeigt sich auch hier: So gibt es beispielsweise inzwischen Vibratoren, die vom anderen Ende der Welt mittels App oder aber über das heimische WLAN  ferngesteuert werden können. Das ist allerdings längst noch nicht alles. Nunmehr berücksichtigt der Markt auch die Nachfrage nach Vibratoren mit Kamera. Auf den Seiten der Hersteller heißt es hierzu: „…Momente der Liebe durch aufgenommene Bilder und Videos zum Leben erwecken….“

Versetzen Sie sich in die Situation, die auf einer wahren Begebenheit basiert und in den USA zu einer Millionen-Dollar-Klage (für den Hersteller) führte: Wegen einer sich anbahnenden Geschäftsreise schenkte ein Mann seiner Frau einen Vibrator zu Weihnachten, um die Zeit der Fernbeziehung „entspannter“ zu überbrücken. Dabei ahnte der Mann nicht, dass er nicht nur ein Produkt verschenkte, sondern ebenfalls ein neues Produkt erzeugte, nämlich die Intimsphäre seiner Frau.

Denn eben dieser Vibrator besaß eine Kamerafunktionalität. Ob diese Funktion zwingend notwendig ist und welche „Vorteile“ hiermit verbunden sind, bleibt Ihrer Fantasie überlassen und soll vorliegend nicht näher beleuchtet werden.

Gleichwohl ist hierbei interessant, dass durch die zusätzliche Implementierung einer Kamerafunktion naturgemäß höchst intime Momente erfasst werden, welche im Rahmen des Datenaustausches – hier durch Übermittlung der aufgenommenen Kamerabilder – selbstverständlich durch Hacker an- und abgreifbar sind.

Dabei bedarf es im Zweifel nicht einmal eines Hackerangriffs im klassischen Sinne. Denn häufig ist es so, dass das Webinterface mit voreingestellten Zugangsdaten ausgestattet ist, wobei die SSID des WLAN-Access-Points direkt nach dem Gerät benannt wird. Benutzername und Passwort sind standardisiert – d.h. beim Kauf der Endprodukte immer gleich. Damit wird jedem Laien klar, dass der Angriff auf diese standardisierten Sicherheitseinstellungen nahezu einladend wirkt. Auch im Internet gibt es bereits zu Hauf Anleitungen, wie man ohne großen Aufwand auf die Gerätschaften zugreifen kann.

So geschehen.

Die Vorstellung, dass ein 15-Jähriger aus Bandar Seri Begawan oder auch gerne ein 80-Jähriger aus Castrop-Rauxel in Deutschland, Ihre intimsten Momente mitverfolgen und aufzeichnen kann, ist nicht nur frappierend, sondern bezieht sich auch auf alle anderen vergleichbaren Endgeräte. Denken Sie dabei insbesondere an Babyfongeräte, die ebenfalls vorkonfigurierte und immer gleiche „Sicherheitseinstellungen“ aufweisen und damit kinderleicht angreifbar sind.

Fazit

Zunächst einmal drängt sich die Frage auf, ob die Kamerafunktion für die Funktionalität eines Vibrators notwendig ist und wenn ja, um welchen Preis? Diese Frage muss sich jeder im Hinblick auf den Schutz seiner Daten und die Wahrung der Intimsphäre selbst beantworten. Letztlich besteht nicht nur die Gefahr des Datenmissbrauchs durch (kriminelle) Dritte – wie beispielsweise Hacker – sondern schon die reguläre Datenerhebung und Speicherung auf den Servern der Hersteller/Anbieter ist höchst problematisch. In dem erwähnten Fall in den USA willigte der Vibrator-Hersteller inzwischen ein, jedem US-Nutzer die Summe von 10.000 US-Dollar (etwa 9.350 Euro) als Entschädigung zu zahlen, dessen Daten über die App auf den Servern des Unternehmens gespeichert wurden.

Schaffen also erst gar keine Gelegenheit, dass solche Daten von Ihnen und über Sie erhoben, übertragen und gespeichert werden.

Gleiches gilt für Babyfongeräte, Webcams und Selfie Kameras. Wenn die visuelle Aufzeichnung/Überwachung nicht nötig ist, dann kleben Sie die Kameralinse doch einfach ab.

Darüber hinaus sollten Sie voreingestellte Passwörter umgehend ändern. Der Maßstab für „sichere“ Passwörter wurde auf diesem Blog bereits vorgestellt.

Wie stehen Sie zu diesem Thema?

Lassen Sie es mich wissen und kommentieren Sie diesen Beitrag!

__

Titelbild (CCO Public Domain)

__

Ausgangslage

Auch wenn gar nicht alle Details der Sicherheitslücken bekannt sind, war das Entsetzen innerhalb der Branche einigermaßen groß. Den bayerischen IT-Forschern ist es gelungen, eine bekannte Sicherheitslücke auszunutzen und auf diese Weise den digitalen Zahlungsverkehr auf dem Handy mit einem gezielten Angriff zu manipulieren. Den Wissenschaftlern der Universität Erlangen-Nürnberg gelang es, während eines Online-Banking-Prozesses auf das Smartphone zuzugreifen und das Geld unbemerkt auf ein anderes Konto umzuleiten. Betroffen sind Apps, die Online-Banking und die anschließende TAN-Ein- und Ausgabe auf dem selben Gerät realisieren – frei nach dem Motto: Wenn erst einmal der Zugang zum Handy besteht und hier beide Apps (Banking und TAN-Erzeugung) gleichzeitig ausgeführt werden, dann ist es auch leichter, die Prozesse parallel auszulesen, anzugreifen und schlussendlich (kriminell) zu beeinflussen.
Aber wie konnte dieses Einfallstor gleich bei 31 verschiedenen Banking-Apps gleichzeitig auftreten? Um das individuelle Design kümmern sich die unterschiedlichen Banken meist selbst, aber die Sicherheit ist ein heikles Thema. Hier bedienten sich die Geldinstitute einer spezialisierten IT-Sicherheitsfirma namens „Promon“. Einige Banken lagerten diesen sicherheitsrelevanten Bereich also an einen externen Dienstleister aus. Mit der Folge, dass wenn das System einmal angreifbar ist, sich dieser Fehler auf alle Banking-Apps auswirkt, die auf den „Promon-Unterbau“ setzen.

Kritik an den betroffenen Banking-Apps

Der Fakt selbst – also unsichere Online-Banking-Apps von namenhaften Banken – ist schon erschütternd, aber die Schuld ist nicht nur bei der externen IT-Sicherheitsfirma zu suchen. Mitschuld tragen auch die Kunden, die immer wieder smarte Banking-Lösungen einfordern, die nur auf eine möglichst komfortable Bedienung abzielt. Aber Verantwortung tragen ebenso die Geldhäuser, die diese wichtige Aufgabe delegieren, anstatt eigene und vor allem wirklich sichere Lösungen zu entwickeln. Es ist äußerst problematisch, dass diesen Rufen nach mehr Komfort (zu Lasten der Sicherheit), Gehör geschenkt und auf unabhängige Zwei-Faktor-Authentifizierung verzichtet wurde. Das ist ein Verfahren, bei dem zwei voneinander unabhängige Geräte nötig sind, um Transaktionen zu tätigen.

Handlungsempfehlung

Klar, dieser Vorfall ist alarmierend, aber auf die bequemen Online-Banking-Funktionen müssen Sie trotzdem nicht pauschal verzichten. Beachten sollten Sie jedoch sehr genau, welche Banking-App Sie bevorzugen und anschließend herunterladen. Trotz einiger Sicherheitsprüfungen in den App-Stores, gelingt es kriminellen Hackern (leider) immer wieder, Schadsoftware in die jeweilige Plattform einzuschleusen. Hier hilft nur eine Recherche oder eine direkte Anfrage bei Ihrer Bank. Weiterhin sollten Sie unbedingt Ihr Betriebssystem, welches auf Ihrem Smartphone läuft, auf dem aktuellen Stand halten. Nur so können Sicherheitslücken geschlossen werden. Dies kann für Android-Nutzer ein (unüberwindbares) Problem darstellen, da leider einige Hersteller nur verzögert und im Falle älterer Geräte sogar oft gar keine Software-Updates mehr anbieten. Bei älteren Android-Telefonen mit deutlich veralteter Software ist daher kritisch zu überdenken, ob Sie mit einen tendenziell unsicheren Smartphone sensible Bankgeschäfte tätigen wollen. Rechtlich könnte ein solches Verhalten schon als fahrlässig eingestuft werden – mit der Folge, dass Ihre Bank bei einem dadurch bedingten Schadensfall, den Schaden möglicherweise nicht reguliert. Das sollten Sie vermeiden.

Fazit

Der vorliegend Fall zeigt exemplarisch, wie verwundbar sicherheitsrelevante IT-Systeme sein können. Damit geht es hier ganz konkret um unser Geld. Es lohnt sich also, nicht blind nur irgendeine Banking-App herunterzuladen und das komfortabelste TAN-Verfahren auszuwählen, sondern konsequent eine möglichst sichere Lösung zu favorisieren. Dazu gehört, dass Sie das eigentliche Banking und das Erstellen der entsprechenden TAN nicht auf dem selben Gerät ausführen. Ebenso sollten Sie den Bereich, der in Ihrer Sphäre liegt – Ihr Smartphone – stets mit der neusten Software pflegen, um die Möglichkeit von Cyberangriffen zu reduzieren. Eine vollständige Sicherheit werden Sie nicht erreichen. Das sollte Ihnen bewusst sein. Es muss ja schließlich auch einen Grund geben, warum Sie diesen einen Freund/Bekannten haben, der kein Online-Banking betreibt…

Lesen Sie auch meine Artikel zur Sicherheit von der Sofortüberweisung, Paypal und Paydirekt.
Welche Erfahrungen haben Sie gemacht? Hatten Sie mit Ihrer Bank wegen eines Online-Banking-Zwischenfalls schon einmal Ärger? Lassen Sie es mich wissen und kommentieren Sie diesen Beitrag!

__

Titelbild (CCO Public Domain)

__

Eine Analyse von alten (schlechten) und neuen (besseren) Passwörtern.

Ausgangssituation: Die bisherige Empfehlung 

Bisher galt die Faustregel: Ein sicheres Passwort setzt sich aus Sonderzeichen, Groß- und Kleinbuchstaben und Zahlen zusammen und muss häufig verändert werden. Diese Regel dachte nicht ich mir aus, sondern das National Institute of Standards and Technology (NIST) in den USA.

Die Frage, was ein sicheres Passwort ausmachen und ob es regelmäßig geändert werden sollte, wird in IT-Sicherheitskreisen schon länger diskutiert. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rief kürzlich einen „Ändere-dein-Passwort-Tag“ ins Leben. Die Behörde rät also ausdrücklich zu einem regelmäßigen Passwortwechsel.

Auch viele Unternehmen, Universitäten und Internetprovider fordern ihre Mitarbeiter, Studenten und Nutzer in festgelegten Zeitabständen zum Passwortwechsel auf. Dies kann besonders dann sinnvoll sein, wenn sich bereits Zugangsdaten in falschen Händen befinden. Durch jeden Passwortwechsel wird Angreifern immer wieder der Zugang verwehrt.

Nach der britischen Communications Electronics Security Group (CESG) bewirkt ein häufiger Passwortwechsel in praxi mitunter das Gegenteil: Um sich nicht zu viele Passwörter merken zu müssen, wird oft für viele unterschiedliche Dienste das selbe Kennwort benutzt und dieses bei einem Wechsel nur minimal verändert. Im Ergebnis ähnelt das neue Passwort oft dem vorherigen und ist damit sehr viel leichter zu erraten.

Ein weiteres Problem sind milliardenfache Passwort-Lecks. Hieraus lassen sich für IT-Sicherheitsforscher (aber ebenso für Kriminelle) wertvolle Informationen gewinnen, welche Passwörter in der Realität gewählt werden und welche Auswirkungen die Passwortrichtlinien auf diese haben.

Die Erkenntnis: Viel zu viele dieser Passwörter sind trivial zu erraten und damit im Ergebnis schnell zu knacken.

Sichere Passwörter im Jahre 2017

Inzwischen existiert eine überarbeitete NIST-Richtlinie. Diese neue Richtlinie lässt sich in zwei Schritte aufgliedern:

1. Verwenden Sie kein Passwort, welches bereits (durch ein Passwort-Leck) bekannt ist. Ob Ihr bevorzugtes Kennwort bereits geknackt und damit bekannt ist, können Sie beispielsweise über den Internetdienst Pwned Passwords herausfinden.
   

   Bei diesem Ergebnis sollten Sie umgehend Ihr Passwort ändern.

2. Die zweite Empfehlung bezieht sich auf die Verwendung von langen Passphrasen. Insofern wird eine deutlich Unterscheidung zu älteren Passwortvorgaben deutlich, die nur Anforderungen an die Komplexität – nicht allerdings an die Länge stellten. Weiterhin sollte sich das neue Passwort an möglichst vielen Stellen vom bisherigen unterscheiden. Ferner sollte vermieden werden, das Kennwort aus Wörtern oder Namensbestandteilen zusammenzusetzen.

Kurzum: Ein sicheres Passwort Anno 2017 ist lang und möglichst kryptisch. 

10-Punkte-Checkliste für ein sicheres Passwort.

Fazit

Lang und kryptisch. Schön und gut – aber wie soll man sich ein solches Passwort bitte merken? Sie können auf einen einfachen Trick zurückgreifen: Denken Sie sich einen (längeren) Satz aus. Wählen Sie jeweils die Anfangsbuchstaben der einzelnen Wörter, beachten sie die Groß- und Kleinschreibung und setzen Sie ein Satzschlusszeichen.

Beispiel:

Die besten Artikel zum Thema Datenschutz und Datensicherheit lese ich auf Power-Datenschutz.de!

Passwort: DbAzTDuDliaP-D.d!

Das Resultat ist ein Kennwort, welches keinen logischen Schluss auf seinen Besitzer zulässt. Seien Sie kreativ und vernachlässigen Sie die Wahl eines sicheren Passwortes nicht! Ändern sollten Sie Ihr neues Passwort übrigens erst, wenn es wahrscheinlich ist, dass es geknackt wurde. Ein willkürlicher Wechsel, der nur an einen bestimmten Zeitraum anknüpft, bringt grundsätzlich nicht mehr Sicherheit.

__

Titelbild (CCO Public Domain)

__

Eine Analyse an einem Beispiel.

Der Sachverhalt

Am 20. Juni 2017 bekam ich eine E-Mail. Angeblich vom Internethändler Amazon – konkret vom Absender „info@amazon.eu“. Inhaltlich informierte mich der Absender über eine angebliche Pflicht – aus der neuen EU-Datenschutz-Grundverordnung (EU-DSGVO)  – mein Konto bei Amazon zu bestätigen, um meine Identität überprüfen zu können. Hierfür sollte ein Button mit der Aufschrift „Konto bestätigen“ betätigt werden.

Was fällt bei genauerer Betrachtung auf?

Der gewählte Absender wirkt unauffällig und seriös. Weiterhin wurde das korrekte Amazon-Logo verwendet. Ebenso wirkt das restliche Erscheinungsbild der E-Mail sehr professionell und ordentlich gestaltet. Ältere Spam-Mails ließen sich schon an der häufig sehr dilettantischen und unansehnlichen Formatierung erkennen und ausschließen. Am gravierendsten erscheint jedoch die Kombination aus richtiger Empfängeradresse und der persönlichen Ansprache. Es stimmen nicht nur Vor- und Nachname, auch das Geschlecht wurde richtig zugeordnet. Damit erreichte diese E-Mail ein erschreckendes Maß an Perfektion. Schlussendlich bemühen die kriminellen Versender ein aktuelles Thema, welches uns derzeitig in der medialen Berichterstattung umgibt. Auf diese Weise wird ein einfacher Prozess ausgelöst: „Ach, davon habe ich gehört – das wird schon stimmen“ und zack wird der Button gedrückt.

Woran lässt sich diese E-Mail klar als gefährliche Spam-Mail erkennen?

Ganz perfekt ist diese E-Mail (zum Glück) doch nicht. Erkennen lässt sich dies (wie so oft) an einigen Rechtschreibfehlern. Beispielhaft können „Standarts“, „gestalen“ sowie einige Interpunktionsfehler benannt werden. Bei der Domain-Endung „.eu“ könnten einem erfahrenen Internetnutzer erste Zweifel kommen. Ebenso die Aufforderung aus der E-Mail, das „Konto (zu) bestätigen“ ist fehlerhaft. Schlussendlich handelt es sich bei der verwendeten E-Mail-Adresse des Absenders auch um ein schwer zu erkennendes Indiz.

Fazit

Aber insgesamt erreicht die E-Mail eine mir bisher noch nicht gekannte und alarmierende Qualität. Doch was können Sie zukünftig beachten, um nicht in die Spam-Falle zu tappen?

1. Seien Sie beim Blick in Ihr E-Mail-Postfach skeptisch.
2. Schauen Sie zunächst auf den Absender – sollte Ihnen dieser auch nur im Entferntesten seltsam vorkommen, sollten Sie die Adresse erst einmal mithilfe von Google überprüfen.
3. Überprüfen Sie den Inhalt der E-Mail. Dies umfasst die richtige Ansprache, aber auch den sachlichen Inhalt.
4. Abschließend achten Sie bitte auf formelle Auffälligkeit – also die allgemeine Erscheinung, ein mögliches Logo, die Rechtschreibung und Interpunktion.
5. Kontaktieren Sie im Zweifelsfall den Kundenservice des Unternehmens, für das sich ausgegeben wird. Von einer schnellen Aufdeckung profitieren beide Seiten: Sie erlangen Gewissheit und die Unternehmen werden dadurch auf kriminelle E-Mails aufmerksam, die sich im Umlauf befinden und können ggf. schnelle Gegenmaßnahmen einleiten.

Am Ende ist der erste Tipp entscheidend:

Werden Sie misstrauisch und verabschieden Sie sich von einer Gutgläubigkeit im Bezug auf Ihre IT-Sicherheit, denn auch bei Ihrem E-Mail-Postfach gibt der alte Spruch: „Es ist nicht immer drin, was draufsteht“.

Haben Sie ähnliche E-Mails bekommen?

Ich bin sehr auf Ihre Erfahrungen gespannt. Schreiben Sie es mir in die Kommentare!

__

Titelbild (CCO Public Domain)

__

zuletzt am 3.10.2018 aktualiert. (GPG Suite für macOS 10.14 Mojave)

1. Installation von „GPG Suite“

Zunächst benötigen Sie die GPG Suite, um Ihre E-Mails mit AppleMail verschlüsseln zu können.

Öffnen Sie hierfür https://gpgtools.org und klicken Sie den Download-Button.

Download-Datei anklicken.

„Install“-Button klicken.

Anschließend beginnt der Installationsvorgang auf Ihrem Mac.

Folgen Sie nun den Installationsanweisungen und klicken Sie auf „Fortfahren“.

2. Eigenen Schlüssel erstellen

Nach der erfolgreichen Installation öffnet sich folgendes Fenster

Tragen Sie nun bitte Ihren Namen und Ihre E-Mail-Adresse ein.

Aktivieren Sie anschließend das Feld „Öffentlichen Schlüssel hochladen“ und tragen Sie unter dem Feld „Passphrase“ Ihr selbst ausgedachtes sicheres Passwort ein und bestätigen es abschließend.

Jetzt klicken Sie auf „Schlüssel erstellen“.

Ihr Schlüssel wurde nun erstellt.

3. Schlüssel des E-Mail-Empfängers suchen

Bevor Sie eine E-Mail an eine andere Person verschlüsselt versenden können, öffnen Sie GPG Keychain, klicken Sie auf Schlüssel suchen und geben Sie den Namen des zukünftigen Empfängers der E-Mail ein und laden Sie dessen Schlüssel herunter.

4. Und los geht es!

Ihre erste verschlüsselte E-Mail kann versendet werden.

Einfach vorher das Schloss aktivieren, den gewünschten E-Mail-Text verfassen und versenden.

Ab sofort kommunizieren Sie verschlüsselt.

Fazit

Es geht nicht um jede E-Mail.

Nicht um jeden belanglosen Inhalt.

Es geht ums Prinzip.

__

Titelbild (CCO Public Domain)

__

Problemstellung 

Es sind unschöne Geschichten, doch sie passieren immer wieder: Große Internetkonzerne werden Ziel eines Cyberangriffs. Bei diesen Angriffe haben es die Hacker besonders auf Zugangs-, Kreditkarten- und weitere sensible Daten der Nutzer abgesehen, die bei diesen Firmen ein Benutzerkonto unterhalten.

Besonders brisant dabei ist die Problematik, dass die meisten Internetnutzer immer wieder die selben oder zumindest sehr ähnliche Zugangsdaten wählen, um sich zu registrieren. Dies führt jedoch zu einem Teufelskreis: Sind einmal die Zugangsdaten durch einen Hacking-Angriff in falsche Hände gelangt, ist es nur noch eine Frage der Zeit, bis die Daten in digitalen Kanälen weitergenutzt oder veräußert werden. Natürlich geschieht all dies mit der klaren Intention mit diesen illegal erworbenen Anmeldedaten bei anderen Portalen auszuprobieren, ob der rechtmäßige User auch dort ein Konto mit der gleichen Kombination aus Passwort und Benutzernamen führt. Auf diese Weise entsteht schnell ein Schneeballeffekt vor dem Sie sich schützen sollten.

1. Schritt: Finden Sie heraus, ob Sie betroffen sind.

Es existieren bereits einige Internetseiten, bei denen Sie überprüfen können, ob Ihre Zugangsdaten bereits (durch einen Cyberangriff) im Internet aufgetaucht sind.

Eine dieser Seiten finden Sie beispielsweise unter https://haveibeenpwned.com/

Geben Sie Ihre E-Mail-Adresse(n) in das Fenster ein. Anschließend erhalten Sie zur Bestätigung eine E-Mail mit einem Link zur Verifizierung, ob es sich bei der angegebenen E-Mail auch um Ihre Adresse handelt. Nach Betätigung des Links, werden Ihnen nun die Ergebnisse präsentiert.

Entweder Sie erhalten eine grüne Seite – d.h. Ihre E-Mail-Adresse wurde NICHT in den hinterlegten Datenbanken gefunden. Grundsätzlich ein gutes Zeichen, jedoch sind diese Datenbanken nicht abschließend – daher empfehle ich Ihnen trotzdem, Ihre Passwörter zu ändern.

Es kann aber auch sein, dass Sie eine rote Anzeige sehen, mit den Diensten, bei denen Sie einen Account haben/hatten und der Opfer eines Hackingangriffs wurde. Sie sehen sehr detailliert beschrieben, wie lange der Angriff zurückliegt, in welchem Umfang Daten gestohlen wurden und welche konkreten Daten von Ihnen sich bereits im Umlauf befinden. Nun müssen Sie handeln; ganz besonders, wenn Sie immer die identische Kombination aus Benutzernamen und Passwörter benutzen. Ändern Sie daher umgehend ÜBERALL Ihre Anmeldedaten.

2. Schritt: Verwenden Sie einen Passwort-Manager, um auch in Zukunft immer den Überblick zu behalten

Der ständige Passwortwechsel ist – da sind wir uns sicher einig – keine Angelegenheit, die besonders großen Spaß mit sich bringt. Ein analoges Buch mit allen Anmeldekombinationen, am besten noch mit allen PIN-Nummern zu EC- und Kreditkarten, ist ebenfalls keine gute Idee, denn auch ein solches Heft kommt schnell in falsche Hände.

Empfehlenswerter sind sog. Passwort-Manager. Damit behalten Sie stets all Ihre Zugangsdaten im Blick. Viele dieser praktischen Programme können auch gleich sichere Passwörter vorschlagen – damit fällt es Ihnen sicher leichter, sich von Ihren üblichen Mustern zu lösen. Anschließend speichern Sie die neuen Passwörter innerhalb des Passwort-Managers ab und schützen diesen wiederum mit einem „Masterpasswort“.

Nutzer von macOS können auf die „Schlüsselbundverwaltung“ zurückgreifen, aber auch der Internetbrowser „Safari“ schlägt mittlerweile sichere Passwörter vor, wenn Sie sich auf einem neuen Portal anmelden und dort um ein Passwort gebeten werden. Im Anschluss fragt Safari, ob die Zugangsdaten gespeichert werden sollen. Im Ergebnis eine überaus praktische Sache.

Auch Windows-Nutzer haben eine große Auswahl guter Passwort-Manager. Ein Tool, welches sich wachsender Beliebtheit erfreut, nennt sich „KeePass Password Safe“. Das Programm besticht neben der Grundfunktion, der Speicherung von Passwörtern , durch seine Browser-Erweiterungen, mit denen Sie KeePass mit diversen Funktionen bereichern und beispielsweise in Chrome oder Firefox integrieren können.

Fazit

Schlussendlich können Sie die Gefahr eines Datendiebstahls nicht verhindern – denn mögliche Vorkehrungen dagegen muss der Dienstanbieter treffen; darauf haben Sie folglich keinen Einfluss. Sie können jedoch auf wechselnde, nicht wiederkehrende und sichere Passwörter Einfluss nehmen. Nutzen Sie diese Möglichkeit. Es geht um Ihre Daten und um Ihre (Netz-)Sicherheit.

__

Titelbild (CCO Public Domain)

__

Normalerweise gibt man bei der Anmeldung – beispielsweise beim E-Mail-Client GMX – seinen Benutzernamen und das dazugehörige Passwort ein.

Dieses Verfahren besteht nur aus einem Schritt (Eingabe von Benutzernamen und Passwort).

Bei der 2-Schritt Authentifizierung tritt noch eine weiterer Schritt dazu: Neben Benutzernamen und Passwort fragt das System nach einer Handynummer (auch Verifikationssnummer genannt). Anschließend erhält man eine SMS mit einem Zugangs- bzw. Bestätigungscode. Dieser wird nach Benutzernamen und Passwort als zusätzliche Authentifizierung eingegeben.

Aber warum ein so aufwendiges Verfahren?

Durch die Verifikation mit der Telefonnummer soll sichergestellt werden, dass es sich tatsächlich um die Person handelt, zu der auch der Benutzername und das entsprechend gewählte Passwort gehören – es sich dabei also nicht um einen Unberechtigten handelt, der zum Beispiel durch Hacking an Benutzernamen und Passwort gelangte.

Wer bietet das Verfahren an?

Der E-Mail-Dienst Yahoo bietet die Möglichkeit einer 2-Schritt-Verifikation an. Wer aber nicht unbedingt auf die neue 2-Schritt-Lösung umstellen möchte – der muss auch nicht – Yahoo zwingt seine Nutzer nicht; es steht jedem frei dieses Verfahren zu nutzen oder eben auch nicht.

Beispiel der 2-Schritt-Authentifizierung beim Anbieter Yahoo

Damit der Dienst nun die SMS mit der Verifikationsnummer zusenden kann, benötigt er natürlich zunächst erst einmal die Handynummer.

An diesem Punkt beginnt die datenschutzrechtliche Problematik. Sicherheit geht hier grundsätzlich auf Kosten des Datenschutzes. Mit der Preisgabe der Handynummer verfügt der Dienst über ein weiteres persönliches Datum und könnte dieses Datum auch anderweitig nutzen, als nur den Account besser abzusichern – kurz: Es besteht die Gefahr des Missbrauchs.

Hier muss der Nutzer also selbst zwischen der Sicherheit seines Accounts und der Preisgabe eines weiteren personenbezogenen Datums – der persönlichen Handynummer  – abwägen.

Empfehlung

Sollte der Dienst die Handynummer aus irgendwelchen Gründen bereits besitzen, wird das Risiko eines Missbrauchs durch die Benennung der Mobilnummer (um die Funktionalität der 2-Schritt-Authentifizierung nutzen zu können) nicht erheblich steigen.
Anders, wenn der Dienst die Nummer noch nicht kennt. Dann sollte man sich wirklich überlegen, ob eine erhöhte Sicherheit die Offenbarung der Rufnummer rechtfertigt.

Geht es um Dienste, wie Facebook, Google o.ä., also Anbieter, die ihr Geld fast ausschließlich mit Werbung verdienen, ist Vorsicht geboten und im Zweifel die Nummer nicht preiszugeben.

Handelt es sich um einigermaßen geschlossene Systeme im eigenen Unternehmen zB. also Dienste, die ihr Geld nicht in erster Linie mit der Verwertung Ihrer persönlichen Daten Geld verdienen, dann spricht weniger dagegen, die Handynummer zur Erlangung eines Mehr an Sicherheit, herauszugeben.

Wer hat bei wem schon sich zu einer 2-Schritt Authentifizierung angemeldet?

Ich bin auf Ihre Erfahrungsberichte gespannt.

__

100 Milliarden Euro Schäden durch Wirtschaftsspionage

Das Thema Wirtschaftsspionage ist ein seit vielen Jahren bestehendes Problem, unter dem vor allem mittelständische Unternehmen leiden. Der jährliche Schaden für die Wirtschaft wird mit ungefähr 100 Milliarden Euro beziffert. Eine Schadensumme mit großer Relevanz, die eine im April 2015 durch den Bundesverband Informationswirtschaft (Bitkom) veröffentlichte Studie bestätigte. Als Basis diente eine repräsentative Befragung von mehr als 1.000 mittelständischen Unternehmen. Das Ergebnis ist erschreckend. Alleine der Datendiebstahl ist für eine Summe von 51 Milliarden Euro verantwortlich.

Die wertvollen Informationen gelangen über mehrere Wege in die Hände des Mitbewerbs. Einer davon ist die Entwendung von IT-Komponenten und mobilen Endgeräten. Nicht weniger erfolgreich ist das Eindringen in die IT-Systeme und Kommunikations-Infrastrukturen der Unternehmen, wobei die Täter sehr gezielt verschiedene Einfallstore nutzen. Aufgegliedert nach Unternehmensbereichen entfallen 20 % aller Angriffe auf Lager und Logistik. Über den Einkauf gelangen 18 % der gestohlenen Informationen in die Hände der Wirtschaftsspione. Bei 15 % der Angreifer stand die Produktion im Mittelpunkt des Interesses. In Unternehmen mit dem Schwerpunkt Forschung und Entwicklung ab 500 Mitarbeitern zielen 30 % aller Angriffe auf den Bereich Forschung & Entwicklung ab.

Bei den genannten Zahlen ist zu berücksichtigen, dass es sich hier ausschließlich um protokollierte Eindringversuche und erfolgreiche Diebstähle handelt. Die Dunkelziffer ist wesentlich höher.

Innentäter und Social Engineering als größte Gefahr

Die größte Gefahr für den Diebstahl wichtiger Daten geht nur zu einem Teil von externen Spionen aus, die als Besucher oder Praktikanten getarnt, sensible Informationen stehlen. Dies gilt ebenfalls für Geheimdienste, die in nicht unbeträchtlichem Ausmaß Datendiebstähle begehen. Dabei gilt das Hauptinteresse jenen Unternehmen, die sich durch innovative Produkte und Produktionsideen auszeichnen. Da sich solche Firmen vor allem im mittelständischen Bereich bewegen, ist die Gefahr für diese Unternehmensgruppe im Verhältnis größer als für Kleinstunternehmen oder Konzerne. Trotz des Risikos für innovative Unternehmen, Spionageopfer durch ausländische Besucher oder Geheimdienste zu werden, muss das Hauptaugenmerk nach innen und auf das unmittelbare Unternehmensumfeld gerichtet werden.

Der Innentäter ist ein noch aktiver oder ehemaliger Mitarbeiter, der aus unterschiedlichsten Motiven heraus sensible Informationen und Daten an den Mitbewerb weiterleiten. Mit 52 Prozent der Informationsdiebstähle stellt diese Gruppe eine nicht unerhebliche Gefahr dar. Das unmittelbare Unternehmensumfeld definiert sich durch Lieferanten und Kunden, die sich mit einem Anteil von 39 Prozent aller Informationsdiebstähle an der Wirtschaftsspionage beteiligen. Eine weitere Gefahr bildet das Social Engineering mit einer Erfolgsquote von 19 Prozent.

Besonders einfallsreich agiert diesbezüglich der nationale und internationale Mitbewerb bei dieser speziellen Form der Wirtschaftsspionage. Als Marktforschungsinstitute getarnte Interviewer manipulieren die Mitarbeiter am Telefon äußerst geschickt, indem sie gezielte Fragen zu sensiblen Unternehmensbereichen stellen. Aus den Antworten sind die Wirtschaftsspione in der Lage, ein aussagekräftiges Bild zu erstellen.

Verschlüsselung und andere Sicherheitsmaßnahmen unverzichtbar

Zum Schutz der IT und der darin abgelegten Daten gibt es eine Vielzahl an Sicherheitslösungen in Form von Firewalls, Antivirenprogrammen und eine restriktive Rechtevergabe, die einer kontinuierlichen Prüfung unterzogen wird. Nicht zu vergessen die regelmäßigen Softwareupdates, die erkannte Sicherheitslücken schließen. Eine flache hierarchische Dateienstruktur ist zwar aufwendiger zu pflegen, sie reduziert jedoch das Risiko der vererbbaren Rechte und ist in der Lage, die von den Benutzern benötigten Zugriffsrechte möglichst individuell zu vergeben. Um das Unternehmen vor Social Engineering zu schützen, ist ein kontinuierliches Sicherheitsbriefing aller Mitarbeiter ein wichtiges Element des Sicherheitskonzeptes.

Vor Innentätern können sensible Informationen durch eine restriktive Rechtevergabe und der Unmöglichkeit, Daten auf Datenträger zu kopieren, geschützt werden. Um sie vor Angriffen von außen zu schützen, ist die Verschlüsselung durch Verschlüsselungsprogramme wie VeraCrypt eine zielführende Maßnahme. VeraCrypt, das 2013 die Nachfolge von TrueCrypt antrat, eignet sich für die Verschlüsselung unter Windows, Linux und Mac OS X.

Mit dem Wissen um die existierende Gefahr ist es für mittelständische Unternehmen möglich, sich vor Datendiebstahl in hohem Maß zu schützen. So ist jeder einzelne Unternehmer und IT-Verantwortliche in der Lage, den jährlichen hohen wirtschaftlichen Schaden zu reduzieren. Auch wenn Wirtschaftsspionage und Datendiebstähle nie in vollem Umfang zu verhindern sind, so ist bereits die Reduzierung durch selektive Sicherheitsmaßnahmen ein Schritt in die gewünschte Richtung.

Tipp:
Informieren Sie sich ausführlich zum Thema IT-Sicherheit und über die Verschlüsselungstechnik VeraCrypt. Detaillierte Informationen bietet das Tutorial.

__

Bild (CCO Public Domain)

__