Cyberkriminelle sind oft nur einen Phishing-Angriff davon entfernt, ungehinderten Zugriff auf Geräte, Netzwerke und Unternehmensdaten zu erhalten. Dabei nutzen sie eine Vielzahl an Social-Engineering-Techniken. Diese reichen von Identitätsdiebstahl und Imitation bekannter Marken über gefälschte Stellenbewerbungen bis hin zu hochpersonalisiertem Spear-Phishing mithilfe privater Daten der Opfer. Phishing erfolgt meist per E-Mail, kann aber auch per Post, Telefon (Voice Phishing/Vishing), SMS (Smishing), Social Media sowie über Websites erfolgen, geht aber oft weit über die Verteilung verdächtiger Nachrichten hinaus. Zu weiteren Angriffstechniken zählen:

• DNS-basiertes Phishing gefährdet Hostdateien oder Domain-Namen eines Unternehmens und leitet dessen Kunden zu einer gefälschten Webseite weiter, um persönliche Daten oder Zahlungsinformationen abzugreifen. • Phishing mit Content-Injection nutzt verseuchte Inhalte wie Codes oder Bilder, die zur Unternehmenswebsite oder Seiten von Partnern hinzugefügt werden, um persönliche Informationen von Mitarbeitern und Kunden wie etwa Log-in-Details zu stehlen. Diese Art von Phishing zielt besonders auf Personen ab, die auf verschiedenen Websites das gleiche Passwort verwenden. • Man-in-the-Middle-Phishing: Hierbei stellen sich Kriminelle zwischen die Website des Unternehmens und dessen Kunden. So können sie alle Informationen, die der Kunde eingibt, erfassen.

Security-Best Practices gegen Phishing-Angriffe
Phishing birgt das Potenzial, viele der von Unternehmen eingesetzten Sicherheitsmaßnahmen zu umgehen und verheerende Auswirkungen auf sensible Daten und Ressourcen zu haben. Selbst für gut informierte User ist es mittlerweile schwierig, Phishing zu erkennen, da die Attacken immer ausgefeilter werden. Deshalb sind entsprechende Security-Best-Practices entscheidend, um sich gegen die Flut an Phishing-Angriffen zu verteidigen. Hierzu zählen: Multi-Faktor-Authentifizierung: Es ist empfehlenswert, zwei Arten der Überprüfung durchzuführen, etwa ein Passwort und eine Sicherheitsfrage, wenn Nutzer sich bei sensiblen Konten anmelden. Die Zwei- oder Multifaktor-Authentifizierung trägt dazu bei, Cyberkriminellen, die sich Zugang zu Konten verschaffen wollen, die Arbeit zu erschweren. Selbst wenn ein Passwort im Besitz des Angreifers ist, bleibt das Konto durch eine zweite oder sogar dritte Authentifizierungsebene geschützt. Für die beste Verteidigung eignen sich Authentifizierungsebenen, die dem Benutzer physisch vorliegen, zum Beispiel ein Gerät, oder eine biometrische Authentifizierung.

Security-Schulungen und Simulationstrainings von Phishing-Angriffen: Der erste Schritt besteht darin, alle Mitarbeiter darin zu schulen, Phishing-E-Mails zu erkennen. Eine der besten Möglichkeiten, um sicherzustellen, dass Mitarbeiter bei der Erkennung potenzieller Phishing-E-Mails wachsam sind, sind Simulationstrainings. So kann das IT-Team zum Beispiel selbst Test-Phishing-Mails an die Mitarbeiter versenden und überwachen, welche und wie viele Personen auf den Köder anspringen.

VPN zum Schutz der Internetverbindung: Ein VPN verschlüsselt die Internetverbindung und hält die besuchten Websites und die vom Nutzer eingegebenen Informationen vor Angreifern geheim. Die Nutzung eines VPN verhindert, dass Angreifer den WLAN-Verkehr über öffentliche Netzwerke abfangen, eine gängige Technik, um Anmeldedaten oder andere sensible Informationen abzugreifen.

Sicherung von BYODs vor bösartigen Applikationen: Ein neuer Bedrohungsvektor, der durch den BYOD-Trend entstanden ist, sind bösartige Apps auf Mobilgeräten der Mitarbeiter, welche auf deren Adressbücher zugreifen und diese exportieren. Hierdurch erhalten Angreifer Kontakte, die sie für gezieltes Spear-Phishing missbrauchen können. Ein wichtiger Schritt für die Unternehmenssicherheit ist es, potenzielle Angreifer daran zu hindern, auf das Firmenverzeichnis zuzugreifen, welches Namen, E-Mail-Adressen und andere persönliche Mitarbeiterdaten enthält. So sollte eine mobile Sicherheitssoftware auf Endgeräte installiert werden, die Apps scannt und Benutzer daran hindert, auf die Unternehmensnetzwerke zuzugreifen, wenn sich auf ihren Mobilgeräten Applikationen befinden, die die Datensicherheit gefährden.

Phishing-Schutz beim mobilen Arbeiten: Ein weiterer Schritt besteht darin, mobile Benutzer vor dem Besuch von Phishing-Websites zu schützen, besonders, wenn sie sich in einem WLAN-Netzwerk befinden, welches das Unternehmen nicht kontrolliert. Diese Schutzmaßnahmen müssen auf Netzwerkebene durchgeführt werden, da eine bloße E-Mail-Filterung hier nicht ausreicht. Phishing- und Spear-Phishing-Angriffe können sowohl über Firmen-Mails, die private E-Mail des Benutzers, als auch per SMS erfolgen. Mobile User sollten deshalb per VPN mit Diensten verbunden sein, die ein sicheres Domain Name System (DNS) und Blacklisting anbieten, um den Zugriff auf Phishing-Websites zu verhindern. Ausgeklügelte Phishing-Angriffe stellen weiterhin eine der größten Bedrohungen für die Unternehmenssicherheit dar, weil sie auf das häufig schwächste Glied in der Security-Kette abzielen: den Menschen. Durch umfangreiche und kontinuierliche Mitarbeitertrainings und einen mehrschichtigen Ansatz aus Sicherheitstechnologien können jedoch die Risiken von Phishing deutlich gemindert werden.

Viele Unternehmen verfügen über Richtlinien und Lösungen für die Telearbeit, doch diese sind meist auf Mitarbeiter zugeschnitten, die vollständig remote agieren oder normalerweise im Büro arbeiten, aber Flexibilität für ungewöhnliche Situationen benötigen. Die derzeitige Lage, mit der die meisten Unternehmen konfrontiert sind, kann die Fähigkeiten ihrer Remote-Arbeitsplätze auf die Probe stellen. Dies gilt insbesondere hinsichtlich Security-Kontrollen, Cyber-Hygiene und der Reduzierung von Sicherheitsrisiken, die eine Remote-Belegschaft mit sich bringt. Handelt es sich um IT-Administrationsteams, ausgelagerte IT und Drittanbieter, die eventuell privilegierten Zugriff auf Systeme und Infrastruktur haben, benötigen diese einen sicheren, granularen Zugang zu kritischen Infrastrukturressourcen, unabhängig vom Standort und ohne die Security-Problematik eines Virtual Private Networks (VPN). Im Idealfall sollte sich der privilegierte Zugriff auf diese Systeme nicht unterscheiden, egal ob sich die Benutzer in einem lokalen Rechenzentrum befinden oder, ob sie von außerhalb auf diese Systeme zugreifen.

VPN als Sicherheitsrisiko bei Zugriff auf kritische Ressourcen
Letztes Jahr erlitt Citrix durch einen Password-Spraying-Angriff, der auch den VPN-Zugang zu nutzen versuchte, einen Sicherheitsverstoß. Beim Password-Spraying verwenden Angreifer mittels Brute Force ein häufig genutztes Passwort gegen eine große Anzahl von Benutzerkonten. Diese Technik ermöglicht es Cyberkriminellen, unentdeckt zu bleiben, indem schnelle oder häufige Kontosperren vermieden werden. Jüngst wurden auch US-Energieunternehmen zur Zielscheibe von Angreifern, die Password-Spraying und VPN-Hacking nutzten. Im Gegensatz zu einem VPN, das Benutzern in der Regel Einblick in das gesamte Netzwerk gewährt, sollten Unternehmen deshalb den Zugriff auf Ressourcen nur auf der Basis der jeweils benötigten Berechtigungen gewähren. Dadurch erhalten privilegierte interne IT-Administratoren lediglich Zugriff auf so viel Infrastruktur wie nötig, während der Zugang eines ausgelagerten Teams auf die Server und Netzwerk-Hardware beschränkt wird, die für ihre Aufgabe erforderlich sind. Privilegierte Benutzer sollten sich entweder über Active Directory, LDAP oder einem anderen maßgeblichen Identitätsspeicher authentifizieren, oder Geschäftspartnern und Drittanbietern sollte ein vereinter granularer, privilegierter Zugriff auf Ressourcen gewährt werden. Zum Schutz vor Cyber-Angriffen ist deshalb eine Kombination aus rollenbasierten Zugriffskontrollen mit dem jeweiligen Risiko-Level, Benutzerkontext und einer Multi-Faktor-Authentifizierung empfehlenswert. Dies ermöglicht intelligente, automatisierte Echtzeit-Entscheidungen für die Gewährung von Zugangsberechtigungen für Benutzer beim Remote-Zugriff auf Server, dem Auschecken von Passwörtern oder bei der Verwendung eines gemeinsamen Kontos zur Anmeldung bei Remote-Systemen.

Sicherer Privileged Access für Vor-Ort- und Remote-Administration
Im Folgenden sechs Möglichkeiten, wie Unternehmen Konsistenz in ihrem Privileged Access Management-Ansatz (PAM) schaffen können, um den Fernzugriff auf Rechenzentrums- und Cloud-basierte Infrastrukturen durch einen Cloud-basierten Service oder die Bereitstellung on-Premises zu schützen:

1. Abgesicherter, kontextbezogener Zugriff für IT-Administratoren auf einen kontrollierten Satz von Servern, Netzwerkgeräten und Infrastructure-as-a-Service (IaaS). 2. Ermöglichung einer ausgelagerten IT, ohne dass Administratoren in das Active Directory aufgenommen werden müssen. 3. Zugriffskontrolle zu ausgewählten Rechenzentrums- und Cloud-basierten Ressourcen, ohne das erhöhte Risiko eines vollständigen VPN-Zugriffs einzugehen.

4. Absicherung des gesamten administrativen Zugriffs mit risikobewusster Multi-Faktor-Authentifizierung (MFA). 5. Ein einziger sicherer Zugriffspunkt für Administratoren zur Verwaltung der Infrastruktur mit gemeinsam genutzten Konten oder ihrem eigenen Active Directory-Konto. 6. Sicherer Fernzugriff auf Rechenzentrums- und Cloud-basierte Infrastrukturen für interne Benutzer, Drittanbieter und ausgelagerte IT über einen Cloud-Service oder die Bereitstellung vor Ort.

Sich auf VPNs zu verlassen, anstatt konsistente Sicherheitsprozesse und -Richtlinien einzuführen, birgt ein erhöhtes Risiko für kritische IT-Ressourcen. Unternehmen können ihre Sicherheitsposition erheblich stärken, indem sie intelligente, automatisierte Echtzeit-Entscheidungen für die Gewährung privilegierter Zugriffsberechtigungen auf Systeme und Infrastrukturen implementieren. Damit sind sie auch für eine große Anzahl von Mitarbeitern an Remote-Standorten gut vorbereitet, einschließlich privilegierter Administratoren.

Cloud-Storage- und File-Sharing-Anwendungen bringen Unternehmen aufgrund ihrer Skalierbarkeit und komfortablen Nutzung viele Vorteile. Wird File Sharing jedoch nicht ordnungsgemäß verwaltet, kann dies schwerwiegende Auswirkungen auf die Datensicherheit haben. Jedes Mal, wenn Mitarbeiter Technologien zum Dateienaustausch verwenden, ist dies mit Risiken wie Malware-Infektionen, Verlust oder Offenlegung sensibler Informationen verbunden. Ohne geeignete Sicherheitsmaßnahmen können die Nachteile durch File Sharing deutlich überwiegen, wenn kritische Unternehmensdaten wie Kunden-, Finanzinformationen, Geschäftsgeheimnisse und geistiges Eigentum zusätzlichen Bedrohungen ausgesetzt sind.

Maßnahmen für die File-Sharing-Sicherheit
Um Datensicherheitsrisiken zu minimieren, sollten Unternehmen einige Security-Maßnahmen bei der Nutzung von File-Sharing ergreifen. Hierzu gehören:

1. Aufklärung über Schatten-IT
Der erste Schritt für eine effektive File-Sharing-Security besteht darin, alle Mitarbeiter über die Risiken aufzuklären, insbesondere im Hinblick auf Schatten-IT – heißt, die Nutzung von IT-Lösungen, die nicht offiziell von der IT-Abteilung implementiert und genehmigt wurden. File Sharing per Schatten-IT beinhaltet die Nutzung privater E-Mail-Konten, kostenloser Cloud-Storage-Dienste und anderer File-Sharing-Systeme für Privatanwender. Diese entsprechen möglicherweise nicht den Sicherheitsstandards des Unternehmens und liegen in vielen Fällen außerhalb der bestehenden Sicherheitskontrollen.

2. File-Sharing-Richtlinien implementieren
Neben der Aufklärung der Mitarbeiter über die Risiken durch Schatten-IT, schafft die Umsetzung einer formalen File-Sharing-Richtlinie Klarheit. Die IT- und Security-Teams sollten die Nutzung und Sicherheit von Filesharing-Systemen bewerten. So können sie entscheiden, ob sie eine Verwendung zulassen oder nicht, sowie Sicherheitsmaßnahmen ergreifen, falls ein System zugelassen wird. Zudem sollten Unternehmen die Entwicklung und Implementierung einer allgemeinen Richtlinie für die Nutzung von Dateien erwägen, die speziell für die Verwendung aller File-Sharing-Methoden gilt – einschließlich der Cloud-basierten und der, die zwischen Dateisynchronisierungs- und Datenfreigabe-Anwendungen eingesetzt werden.

3. Anwendungs- und Datentransparenz sowie Datenkontrolle
Wichtig ist, dass die IT-Abteilung einen vollständigen Überblick über alle File-Sharing-Anwendungen hat, die von den Mitarbeitern für die gemeinsame Nutzung von Daten verwendet werden. Zudem sollte das IT-Team in der Lage sein, den Benutzerzugriff auf sensible Unternehmensdaten zu verwalten und zu kontrollieren. Auch müssen Mitarbeiter speziell über die Risiken von Datenverlust oder Diebstahl durch File Sharing aufgeklärt sowie über die Einhaltung der geltenden Vorschriften informiert werden. Zusätzlich helfen regelmäßig Audits, um die File-Sharing-Praktiken des Unternehmens zu analysieren und Sicherheitsrisiken zu identifizieren.

4. Datensicherheitslösungen für die File-Sharing-Security
Die letzte Verteidigungslinie der File-Sharing-Security ist eine Datensicherheitslösung, die vor Datenverlust und Diebstahl durch File Sharing schützt. Data-Loss-Prevention-Technologien (DLP) bieten Sicherheit für File-Sharing-Anwendungen und Cloud-Storage durch eine Kombination aus Zugriffs- und Anwendungskontrolle, Endgerätesteuerung, Netzwerksicherheits-Appliances und anderen proaktiven Maßnahmen, die den Austausch sensibler Unternehmensdaten für nicht autorisierte Anwendungen, Endgeräte und Benutzer wirksam verhindern. Zu den Vorteilen der Einführung einer Datensicherheitslösung für die Sicherheit von File Sharing gehören:

• Kontinuierliche Überwachung und Transparenz für alle Dateninteraktionen mit Web- und Cloud-Speicheranwendungen • Granulare Steuerung der Dateibewegung basierend auf Browser- und Betriebssystemereignissen, die Webanwendungen wie SharePoint, Dropbox und Google Apps betreffen • Automatische Klassifizierung und richtlinienbasierter Schutz von Daten, die von Webanwendungen heruntergeladen werden • Forensische Ereignisprotokolle für eine effektive Alarmierung, Berichterstattung und Richtlinienerstellung • Automatische Verschlüsselung sensibler Daten vor dem Austritt • API-Integration mit führenden File-Sharing-Anwendungen, um die Erweiterung der Datensicherheitsmaßnahmen des Unternehmens auf die Cloud zu ermöglichen Mit der zunehmenden Verbreitung von Cloud Computing kann es für Unternehmen eine große Herausforderung sein, die Nutzung von Cloud Storage und File Sharing durch Mitarbeiter effektiv zu blockieren. Mit der richtigen Kombination aus Mitarbeiterschulungen, umfassenden Sicherheitsrichtlinien für den Dateiaustausch sowie Data-Loss-Prevention-Technologien können Unternehmen jedoch die Vorteile von Cloud Computing und File Sharing nutzen und gleichzeitig Datensicherheitsrisiken minimieren.

Forscher des IT-Sicherheitsherstellers ESET haben in drei beliebten Smart-Home-Kontrollzentralen und Geräten gravierende Sicherheitslücken entdeckt. Zu den betroffenen Geräten zählen die in Deutschland an Privatanwender und kleinen Unternehmen viel verkauften HomeMatic Central Control Unit (CCU2), Fibaro Home Center Lite und eLAN-RF-003. Über die Schwachstellen können sich Angreifer die Kontrolle über die Geräte verschaffen und dadurch Man-in-the-middle-Angriffe durchführen, Opfer belauschen, sensible Daten stehlen, Hintertüren öffnen oder Root-Zugriff auf einige der Geräte erlangen. Im schlimmsten Fall schaffen es Hacker, über die Schaltzentralen die umfassende Kontrolle über das jeweilige Smart Home zu erlangen.

ESET hatte bereits 2018 die betroffenen Hersteller informiert, die umgehend mit Sicherheits-Updates reagiert haben. Da Updates händisch bestätigt werden müssen, ist von einer großen Anzahl ungepatchter Geräte auszugehen, die immer noch über die bekannten Schwachstellen verfügen. ESET empfiehlt Nutzern eindringlich, die neuen Programmversionen zeitnah einzuspielen. Die detaillierte Analyse befindet sich im ESET-Securityblog.

"Sicherheitslücken in IoT-Geräten sind ein weit verbreitetes und vielfach noch immer unterschätztes Problem. Mängel in den Einstellungen sowie die fehlende Verschlüsselung oder Authentifizierung treten nicht nur bei billigen Low-End-Geräten auf. Leider krankt auch High-End-Hardware sehr oft daran", sagt ESET-Security-and-Awareness-Spezialist Ondrej Kubovic.

Homematic CCU2
Die zentrale Steuereinheit des Smart-Home-Systems von eQ-3 zeigte während des ESET-Tests einen schwerwiegenden Sicherheitsmangel. Angreifer hätten als Root-Benutzer eine nicht authentifizierte Remote-Code-Ausführung (RCE) durchführen können. Mit entsprechenden Shell-Befehlen wäre der volle Zugriff auf die Schaltzentrale und auch auf angeschlossene Peripheriegeräte möglich gewesen. Da eQ-3 mit seinen Eigenmarken und OEM-Produkten einen Anteil von 40 Prozent installierten Basis aller "Whole-Home-Systeme" in Europa besitzt, hat diese Sicherheitslücke eine enorme Relevanz.

RF-Box eLAN-RF-003
Auch die Zentraleinheit RF-Box eLAN-RF-003 wies in der ESET-Analyse deutliche Schwachstellen auf. Die Sicherheitsexperten testeten das Gerät zusammen mit zwei Peripheriegeräten desselben Herstellers: einer drahtlos dimmbaren LED-Birne und einer dimmbaren Fassung. Eine unzureichende Befehlsauthentifizierung hätte es ermöglicht, dass Hacker alle Befehle ohne Anmeldung hätten ausführen können. Zudem zeigte sich, dass die Funkkommunikation mit Peripheriegeräten anfällig war für spezielle Netzwerkattacken, sogenannte "Record and Replay"-Angriffe.

Fibaro Home Center Lite
Der Home-Automation-Controller soll eigentlich die Peripheriegeräte im Smart Home steuern. Zahlreiche gravierende Schwachstellen hätten zum Super-GAU führen können. Angreifer wären in der Lage gewesen, eine SSH-Hintertür zu erstellen, Schadcode auszuführen und letztlich die volle Kontrolle über das Zielgerät zu erlangen.

US-amerikanische Software-Produkte wie ZOOM oder Skype übermitteln selbst sensible Daten an US-Behörden und Unternehmen. Denn der Cloud Act untergräbt den Privacy Shield. ZOOM-Konferenzen, Skype-Videochats und vieles mehr: Seit Covid-19 arbeiten immer mehr Menschen von zuhause aus. Die Software-Produkte der US-amerikanischen Hersteller erleben einen wahren Höhenflug. Doch der 2016 installierte Privacy Shield bietet keinerlei Schutz vor Betriebsspionage durch US-Unternehmen.

Cloud Act legitimiert Betriebsspionage
Das Hauptproblem ist der Cloud Act, ein US-amerikanisches Gesetz, das Internetfirmen und IT-Dienstleistern mit Sitz in den USA zwingt, den Behörden Zugriff auf alle gespeicherten Daten zu garantieren - selbst, wenn diese auf Europäischen Servern gespeichert sind. Die betroffenen europäischen Unternehmen haben zwar im Einzelfall ein Widerspruchsrecht, allerdings kann die US-Gesetzgebung den Dienstleistern verbieten, ihre Kunden über eine heimliche Abfrage zu informieren.

Die US-Regierung hat darüber hinaus auch das Recht, Daten von europäischen Servern an andere US-Unternehmen weiterzugeben. Das bedeutet, dass auch sensible Firmengeheimnisse und Recherchen an die amerikanische Konkurrenz weitergegeben werden können. Im Grunde genommen handelt es sich also um staatlich legitimierte Betriebsspionage.

Risikofaktor Online-Konferenzen
Vor allem ZOOM stand in letzter Zeit vermehrt in der Kritik. Andreas Czak von Epicenter Works dazu: "Zoom ist ein US-basiertes Unternehmen mit Verbindungen nach China. Die verwendeten Verschlüsselungsmethoden für Gespräche sind unzureichend, sodass davon auszugehen ist, dass auch Dritte abgefangenen Datenverkehr entschlüsseln können. ZOOM hat entgegen der Behauptung, es werde Ende-zu-Ende-Verschlüsselung eingesetzt, Zugriff auf alle kommunizierten Inhalte. Wenn Zoom verwendet wird, kann nicht ausgeschlossen werden, dass Gesprächsinhalte in den USA und in China den Mitarbeiter*innen von Zoom (und auch den Geheimdiensten) zugänglich werden. Man sollte Zoom daher nicht für vertrauliche Kommunikation nutzen."

Die NASA und das Raumfahrtunternehmen SpaceX haben ihren Mitarbeitern die Verwendung von ZOOM bereits verboten, auch das Auswärtige Amt in Deutschland hat die Mitarbeiter in einer internen Anweisung darauf hingewiesen, dass die App nicht auf Dienstgeräten installiert werden soll.

ZOOM ist nur die Spitze des Eisbergs
Tatsache ist jedoch, dass der Cloud Act alle US-Unternehmen betrifft. Selbst, wenn die Daten durch den Privacy Shield von 2016 auf europäischen Servern vor Zugriffen durch die US-Regierung geschützt sein sollten. Denn der zwei Jahre später (2018) erlassene Cloud Act befiehlt genau das Gegenteil. Deshalb müssen europäische User aller US-Internetprodukte davon ausgehen, dass ihre Daten ohne richterlichen Beschluss in US-amerikanischen Unternehmen landen können.

Robert Beens, CEO der europäischen Datenschutz-Suchmaschine Startpage https://startpage.com : "Unsere Privatsphäre, Betriebsgeheimnisse und auch persönliche Informationen sind nur bei Anbietern mit europäischem Firmensitz sicher. Wir alle sollten Anbieter aus der EU bevorzugen, einerseits im Sinne des Datenschutzes, andererseits aber, um die Innovationskraft und neue Entwicklungen nicht den großen US-Konzernen in die Hände zu spielen. Denn jede gute Idee kann durch den Cloud Act innerhalb kürzester Zeit von der übermächtigen US-Konkurrenz aufgegriffen werden." Startpage ist die weltweit erste und vertrauenswürdigste Datenschutz-Suchmaschine. Das Unternehmen hat seinen Sitz in den Niederlanden, Europa, und unterliegt deshalb nicht der US-Gesetzgebung.

Hacker könnten gängige 3D-Drucker relativ leicht als Waffe missbrauchen, um großen physischen Schaden anzurichten. Das hat das Security-Unternehmen Coalfire gezeigt. Denn wie viele Geräte im Internet der Dinge, scheinen auch die Drucker nicht gut gesichert. Angreifer könnten also Sicherheitsvorkehrungen außer Kraft setzen, damit die Heizelemente übermäßig heiß laufen und somit der 3D-Drucker wortwörtlich brandgefährlich wird.

Heißer als der Herd
3D-Drucker für den Hausgebrauch, die mittlerweile nur noch einige hundert Euro kosten und dementsprechend zunehmend Verbreitung finden, bauen Objekte aus Schmelzkunststoff auf. Sie enthalten also Heizelemente, welche die zum Schmelzen des Materials nötigen hohen Temperaturen erzeugen können. Eben diese Heizelemente sind brandgefährlich, wenn die Schutzmechanismen eines 3D-Druckers kompromittiert werden - und das scheint bei günstigen Geräten gar nicht so schwer, wie der Coalfire-Sicherheitsexperte Dan McInerney im Unternehmensblog berichtet. Die Forscher haben sich dazu das Plug-and-Play-Gerät "Finder" des Herstellers FlashForge angesehen.

"Unserer Forschung zufolge ist er wahrscheinlich sicherer als die meisten Konkurrenzgeräte", betont McInerney. Dennoch konnte das Team zeigen, dass es den Finder auf verschiedene Arten gefährlich heißlaufen lassen kann. Ein Angreifer im gleichen WLAN-Netz könnte dem 3D-Drucker demnach ein gefälschtes Firmware-Update unterjubeln, dass die Abregelung der Heiztemperatur bei 240 Grad aufhebt. Das Heizelement läuft dann unkontrolliert heiß und sorgt somit für Feuer. Alternativ ist es möglich, dem Gerät über einen offenen Port via Internet direkt Kommandos zu geben, um heißes Plastik unkontrolliert tropfen zu lassen.

Sehr unsichere Dinge
Gerade der Angriff mit gefälschter Firmware ist nicht ganz trivial. In den kommenden Tagen will Coalfire im Blog weitere Details dazu verraten, wie dieser gelungen ist. Freilich betont McInerney, dass der Finder nicht als besonders unsicheres Gerät zu sehen sei. "Die gefundenen Probleme deuten eher auf allgemeine Sicherheitsversäumnisse bei 3D-Druckern hin als auf isolierte Probleme mit dem spezifischen Modell", schreibt er. Letztendlich reihen sich 3D-Drucker damit auch nur in eine lange Reihe von Dingen, die im Internet hängen und nicht besonders cybersicher sind - das Heizelement eröffnet aber ein Potenzial für physischen Schaden, das vielen anderen Gadgets fehlt.

Die Cloud bringt eine Fülle von Vorteilen für Unternehmen mit sich, darunter reduzierte Kosten und flexible Skalierung, bietet Cyberkriminellen jedoch auch eine große Angriffsfläche, da enorme Datenmengen an einem Ort gespeichert sind. Cloud Account Hijacking auf Unternehmensebene ist besonders verheerend, wenn dadurch vertrauliche oder geschäftskritische Daten durchsickern oder gefälscht werden. Dies kann erhebliche Kosten, rechtliche Konsequenzen und Reputationsschäden verursachen. Cloud Account Hijacking ist eine gängige Taktik, bei der Cyberkriminelle gestohlene Kontoinformationen eines Opfers missbrauchen. Beispielsweise für das Auspionieren von Unternehmensaktivitäten und Finanztransaktionen, Datenmanipulation und Datendiebstahl sowie weiterführende Spear Phishing-Angriffe auf Kollegen und Geschäftspartner.

Proaktive Maßnahmen bereits bei der Auswahl von Cloud Service Providern
Unternehmen sollten deshalb bereits bei der Auswahl von Cloud Service Providern proaktive Maßnahmen ergreifen: Diese beinhalten die sorgfältige Überprüfung potenzieller Verträge und der Vergleich der Cloud-Sicherheits- und Datenintegritätssysteme verschiedener Provider. Auch sollte bei der Bewertung die Anzahl der Datenverluste, Störungen und Ausfallzeiten, die ein Cloud Service Provider erlebt hat, miteinbezogen werden und auf welche Weise er Schwachstellen überwacht und verwaltet.

Grundlegende Maßnahmen gegen Cloud Account Hijacking
• Multifaktor-Authentifizierung und starke Passwörter: Konten mit starken, nicht mehrfach verwendeten Passwörtern zu schützen, ist eine bewährte Best Practice. Unternehmen sollten ihre Mitarbeiter über die Standards zur Generierung starker Passwörter aufklären und gegebenenfalls zusätzlich sichere Passwortmanager nutzen. Darüber hinaus gibt es verschiedene Multifaktor-Authentifizierungs-Tools, die von den Usern die Eingabe von statischen Passwörtern sowie dynamischen Einmalpasswörtern verlangen, die per SMS, Hardware-Token, Biometrie oder anderen Verfahren bereitgestellt werden können. • Einschränkung der IP-Adressen, die für den Zugriff auf Cloud-Anwendungen zugelassen sind: Einige Cloud-Anwendungen bieten Tools zum Festlegen zulässiger IP-Bereiche und zwingen Benutzer, nur über Unternehmensnetzwerke oder VPNs auf die Anwendung zuzugreifen. • Verschlüsselung von sensiblen Daten, bevor sie in die Cloud gelangen. • Backups: Zudem sollte sichergestellt werden, dass alle Daten gesichert sind, falls Daten in der Cloud verloren gehen. • Mitarbeiterschulungen: Da Cyberkriminelle häufig über Social-Engineering-Angriffe Account-Daten erschleichen, ist es wichtig, die Mitarbeiter umfassend über Phishing- und Spear-Phishing-Taktiken aufzuklären. Phishing-E-Mails beinhalten häufig bösartige Anhänge zur Verbreitung von Malware oder Links zu gefälschten Webseiten, die Account-Daten abgreifen. Eine umfassende Aufklärung der Mitarbeiter, wie sie betrügerische Nachrichten erkennen können, trägt wesentlich dazu bei, diesen gängigen Bedrohungsvektor zu entschärfen. Zudem sollten Angestellte darüber informiert werden, welche Konsequenzen bei einem möglichen Datendiebstahl oder bei Datenmanipulation drohen.

Datenzentrierte Sicherheitslösungen gegen Cloud Account Hijacking
Für einen erweiterten Schutz vor Datendiebstahl sollten Unternehmen Sicherheitsplattformen wählen, die sich bis in die Cloud und ins Mobilfunknetz erstrecken. Diese Art von Datensicherheitsplattformen sollte Cloud-Security-Funktionen wie End-to-End-Verschlüsselung, Anwendungskontrolle, kontinuierliche Datenüberwachung und die Möglichkeit beinhalten, riskante Datenaktivitäten basierend auf Verhaltens- und Kontextfaktoren, die den Benutzer-, Ereignis- und Datenzugriffstyp betreffen, zu kontrollieren oder zu blockieren.

Data Loss Prevention-Tools (DLP) überwachen und steuern Endpunkt-Aktivitäten, überwachen Daten in der Cloud und filtern Datenströme in Unternehmensnetzwerken, um diese sowohl im Ruhezustand, in Bewegung sowie bei Verwendung zu schützen – selbst im Fall eines Sicherheitsverstoßes. Sobald Verstöße erkannt werden, verhindern DLP-Lösungen durch Warnmeldungen, Verschlüsselung und andere Schutzmaßnahmen, dass Angreifer unternehmenskritische Daten stehlen oder Mitarbeiter diese versehentlich teilen und dadurch die Unternehmenssicherheit gefährden.

Dieser datenorientierte und mehrschichtige Ansatz aus Best Practices und Technologien ermöglicht es Unternehmen, Cloud-Sicherheitsrisiken effektiv zu managen und gleichzeitig die Vorteile der Wolke voll auszuschöpfen.

Das CERT von Retarus warnt vor Phishing-Mails, welche die Empfänger auf ein mit Microsoft Forms erstelltes Formular leiten. Dort sollen sie die Login-Daten ihres Accounts preisgeben. Angeblich seien ihre Security-Einstellungen veraltet und müssen erneuert werden.

"Dear User, You are still using the old mail security settings for m_____.h____@r_____.com, Please visit the maintenance portal below to Automatically switch to the new mail settings to avoid service interruption and delays in outgoing/incoming mails."

Die in englischer Sprache verfasste Phishing-Mail richtet sich offensichtlich an Unternehmensanwender und fordert den Empfänger auf, in einem Wartungsportal die Einstellungen seines E-Mail-Accounts zu ändern. Der entsprechende Link führt auf ein mit Microsoft Forms erstelltes Formular, in dem man sich mit seiner E-Mail-Adresse und dem zugehörigen Passwort anmelden soll. "Mit diesem Passwort geben Anwender nicht nur den Zugang zu ihren E-Mails preis", betont Martin Mathlouthi, Product Line Manager Secure Email Platform bei Retarus. "Da Single Sign on üblich ist, handelt es sich gleichzeitig um das Kennwort zum Active Directory und kann den Phishern den Zugang zu weiteren Unternehmensdaten eröffnen."

Empfänger, die E-Mails vom "IT Support" erhalten, sollten genau hinsehen, rät Martin Mathlouthi. Im Unterschied zu anderen Phishing-Mails ist der Text weitgehend fehlerfrei verfasst, nur ein Wort ist falsch geschrieben. Jedoch steht im Absender zwar "IT Support", die hinterlegte E-Mail-Adresse gehört aber nicht zum eigenen Unternehmen oder einem eventuell beschäftigten Support-Dienstleister. Auch im hinterlegten Formular finden sich Hinweise auf den Betrugsversuch. Offenbar um die Microsoft-eigenen Sicherheitsmechanismen zu umgehen, besteht das Wort "Passwort" teilweise aus Sonderzeichen.

Cyberkriminelle haben es häufig auf lukrative Daten abgesehen – mit oft beträchtlichem finanziellem Schaden für das gehackte Unternehmen: In Deutschland kostet ein Datenverstoß eine Organisation durchschnittlich umgerechnet 4,32 Mio. Euro (4,78 Mio. US-Dollar), so das Ergebnis des aktuellen Cost of a Data Breach Report des Ponemon Institute und IBM. Deutschland besetzt damit Platz 3 nach den USA (8,19 Mio. US-Dollar) und dem Mittleren Osten (5,97 Mio. US-Dollar). Der globale Durchschnitt liegt bei 3,92 Mio. US-Dollar. Der Report befragte weltweit 507 Unternehmen aus 17 Branchen und untersuchte unter anderem, wie durch Abwehrmaßnahmen die Kosten eines Datenlecks reduziert werden können. Beispielsweise trugen Unternehmen, die Security-Automation-Technologien eingesetzt hatten, nur etwa die Hälfte der Kosten einer Datensicherheitsverletzung, verglichen mit Unternehmen, die diese Technologien nicht eingesetzt hatten. Eine umfassende Data Security-Strategie ist für jedes Unternehmen deshalb heutzutage unumgänglich, um finanzielle Schäden durch Datenlecks einzudämmen. Grundlegende Best Practices für die Data Security

1. Data Discovery
Heute befinden sich Daten nicht nur in Unternehmensnetzwerken, sondern auch in der Cloud, auf Mobilgeräten und an Homeoffice-Arbeitsplätzen. Das Aufspüren sensibler Daten sowie die Transparenz zu wissen, wohin Daten fließen, wer darauf Zugriff hat und sie weitergeben kann, ist grundlegend für die Datensicherheit. Ansonsten können Unternehmen nicht bewerten, welche Dateien, Dokumente oder geistiges Eigentum das größte Risiko bei einem Sicherheitsverstoß darstellen. Der erste Schritt ist deshalb die Entwicklung einer organisatorischen Sichtung und Strukturierung aller Daten. Umfassende Data Loss Prevention-Lösungen (DLP) verfügen über Data Discovery-Appliances. Diese ermöglichen ein automatisches, konfigurierbares Scannen von lokalen und Netzwerk-Freigaben unter Verwendung von erkennungsspezifischen Inspektionsrichtlinien, um sensible Daten überall dort zu finden, wo sie sich befinden. Detaillierte Auditprotokolle und -berichte liefern zudem die erforderlichen Informationen, um die Einhaltung von Vorschriften nachzuweisen, vertrauliche Informationen zu schützen und das Risiko von Datenverlusten zu verringern.

2. Datenklassifizierung
Die Strategien zur Datenklassifizierung können von Unternehmen zu Unternehmen variieren, aber durch den Einsatz von DLP-Tools zur Analyse sensibler Daten und der Anwendung von Richtlinien können Unternehmen die dringend benötigte Struktur in ihre Sicherheitsstrategie implementieren. Üblicherweise werden Daten in folgende Kategorien eingeteilt: • Eingeschränkt: Daten, die bei einem Datenleck dauerhafte und schwere Konsequenzen für ein Unternehmen bedeuten • Vertraulich: Daten, die vor unbefugtem Zugriff geschützt werden müssen und mäßig sensible Informationen enthalten • Öffentlich: Daten, die geteilt werden dürfen

3. Zugriffskontrollen und kontinuierliche Datenverfolgung
Nachdem die Daten klassifiziert wurden, sollten Unternehmen sicherstellen, dass auf Benutzerebene geeignete Sicherheitskontrollen vorhanden sind, um Informationen vor Diebstahl zu schützen. Richtlinienkontrollen stellen sicher, dass Daten nicht durch böswillige oder fahrlässige Mitarbeiter verändert, verloren oder gestohlen werden können. Gerade unvorsichtige Mitarbeiter sind seit Jahren eine der Hauptursachen für den Verlust von Unternehmensdaten. Um Risiken zu minimieren, entscheiden sich deshalb viele Unternehmen für Kontrollen, die den Datenzugriff für die Mitarbeiter einschränken. Dies stellt sicher, dass Angestellte nur Zugang auf für ihre Arbeit notwendige Daten haben. Data Loss Prevention-Tools bieten hier die Überwachung, Verfolgung und den Schutz sensibler Daten vor nicht autorisiertem Zugriff während des gesamten Verarbeitungszyklus, unabhängig davon, ob sie sich im Ruhezustand, Gebrauch oder in Übertragung befinden. Einige Lösungen verfügen über Richtlinien, die das Auffordern, Blockieren oder automatische Verschlüsseln ermöglichen, wenn ein Benutzer mit sensiblen Daten arbeitet. Andere können so konfiguriert werden, dass sie unbefugten Zugriff auf sensible Inhalte, Manipulationen oder die Synchronisierung mit Cloud-Umgebungen vollständig verhindern.

4. Mitarbeiteraufklärung bei riskantem Verhalten
Neben der Möglichkeit, kritische Daten zu überwachen und zu verfolgen, können Kontrollen zudem verhindern, dass Benutzer bestimmte Handlungen ausführen, wie etwa Daten zu verschieben, zu kopieren oder zu drucken. In diesen Szenarien können Administratoren DLP-Lösungen einsetzen, um Nutzern Benachrichtigungen anzuzeigen, die erklären, weshalb eine Handlung – sei es der Zugriff, das Verschieben oder das Verschicken bestimmter Daten per Mail – verboten ist. Dies trägt zur Aufklärung der Mitarbeiter bei und fördert die Optimierung im Umgang mit kritischen Informationen.

5. Einsatz verhaltensbasierter Erkennungswerkzeuge
Neben Data Loss Prevention, können zudem Lösungen wie Endpoint Detection and Response (EDR) oder Advanced Threat Protection (ATP) Bedrohungen in Echtzeit erkennen, bevor Daten gefährdet werden. EDR-Tools überwachen Endpunkt- und Netzwerkereignisse und speichern diese Informationen in einer zentralen Datenbank. Diese Daten werden auf Anomalien wie selten auftretende Prozesse, ungewöhnliche oder unbekannte Verbindungen und andere verdächtige Aktivitäten untersucht. Der Vorgang kann automatisiert werden, wobei Anomalien Alarme für sofortige Gegenmaßnahmen oder weiterführende Untersuchungen auslösen. Zudem bieten viele EDR-Tools auch eine manuelle oder nutzergesteuerte Datenanalyse.

Wenn Organisationen genau wissen, welche ihrer Daten besonders wertvoll sind, können sie diese zielgerichtet durch kontinuierliche Überwachung und Verschlüsselung gegen externe Angreifer und Insider-Bedrohungen verteidigen, selbst im Fall eines Sicherheitsverstoßes. Der Einsatz der obengenannten Data Security-Best Practices kann Unternehmen helfen, ihre sensiblen Informationen besser zu schützen und hohe Kosten durch einen Sicherheitsvorfall zu vermeiden.

Passwort-Checker, die die Stärke von Passwörtern einschätzen, steigern das Risiko von Cyber-Angriffen womöglich sogar. Davor warnt Steve Furnell, Professor für Informationssicherheit an der University of Plymouth. Denn er hat in einer Studie festgestellt, dass manche Passwort-Checker User richtig schlecht beraten. Manchen der angeblichen Hilfsmittel falle nicht einmal auf, dass "abc123" oder "iloveyou" ziemlich schwach sind.

Schwache Berater
"Passwort-Checker sind an sich keine schlechte Idee, aber man muss schon die richtigen nutzen oder bereitstellen", meint Furnell. Das Problem: Einige der gängigsten Modelle sind eher unzureichend. Das hat eine Untersuchung von 16 verbreiteten Passwort-Checkern ergeben, die Nutzern auch häufig unterkommen. Der Experte hat dabei untersucht, wie die Tools verschiedene Passwörter bewerten, darunter zehn der häufigsten und unsichersten Passwörter - wie "password" und "123456". Nur die Hälfte dieser richtig schwachen Passwörter wurde von allen Passwort-Checkern auch als schwach eingestuft.

Das mit Zahl und Sonderzeichen verzierte "Password1!" dagegen schnitt erschreckend gut ab und wurde von drei der Tools sogar als stark eingestuft - obwohl es recht wörtlich das erste Passwort mit Zahl und Sonderzeichen ist, auf das jeder leicht kommen könnte. Auch Zeichenfolgen wie "abc123" oder "iloveyou" würden von den Checkern nicht unbedingt als schwach eingestuft - zählen aber zu den Top 20 der beliebtesten miesen Passwörter 2019, die NordPass vor gut einer Woche gekürt hat.

Praktisch nutzlos
Dass Passwort-Checker also inkonsistente und in vielen Fällen schlichtweg falsche Ergebnisse liefern, ist ein Problem. "Sicherheitsbewusstsein und Aufklärung sind schwierig genug, ohne Chancen zu vertun, indem irreführende Informationen bereitgestellt werden, die User fehlberatend zurücklassen und ein falsches Sicherheitsgefühl vermitteln", kritisiert Furnell. Das liegt nicht zuletzt daran, dass die Nutzung fälschlich als stark eingestufter Passwörter den Cyber-Kriminellen das Leben leicht macht.

Der Sicherheitsexperte warnt zudem, dass selbst gute Passwort-Checker im Online-Alltag oft wenig bringen, da sie nur eine Einschätzung zur Passwort-Qualität liefern. "Viele Systeme und Seiten würden in der Praxis schwache Passwörter trotzdem akzeptieren, ohne Nutzern irgendeinen Rat oder Feedback zu geben, wie sie sich besser entscheiden können", erklärt Furnell.

Cyberkriminelle haben nach Einschätzung des europäischen IT-Security-Herstellers Senioren als lukrative Zielgruppe für sich entdeckt und nutzen dreist aus, dass Ältere oft weniger erfahren im Umgang mit digitalen Technologien sind als die Digital Natives. Waren die Täter bisher primär analog unterwegs, so gehen die Experten von einer Erweiterung ihres "Geschäftsfelds" und Kombination mit neuen Maschen und Technologien aus. Als besonders lukrativ hat sich hierbei der sogenannte Enkeltrick erwiesen, bei der die Kriminellen die Gutgläubigkeit der älteren Menschen ausnutzen. Die Schadenssummen sind immens: Laut Ermittlungsbehörden konnten die Täter in Einzelfällen bis zu einer halben Million Euro pro Betrugsdelikt erbeuten. ESET-Security-Experten zeigen die gefährlichsten Tricks und geben auf WeLiveSecurity Tipps, wie sich ältere Onliner am besten gegen die Betrugsmaschen schützen können.

"Allein in Deutschland sind nach Angaben des Statistischen Bundesamts mehr als die die Hälfte der über 65-Jährigen online. Eine sehr erfreuliche Entwicklung, da gerade ältere Menschen von den Kommunikations- und Servicemöglichkeiten des Internets profitieren können", so Thomas Uhlemann, ESET Security Specialist. "Leider beobachten wir aber auch, dass Cyberkriminelle gezielt ältere Menschen im Netz ins Visier nehmen. Der digitale Enkeltrick ist dabei eine der Maschen, die die Täter aus der analogen Welt ins digitale Zeitalter transferiert haben."

Was die häufigsten Angriffsmethoden sind und wie Senior-Surfer sich verhalten und schützen können, haben die ESET-Experten in ihrem neuesten Blogbeitrag "So vermeiden Sie Betrug im Internet - 5 Tipps speziell für ältere Nutzer" auf WeLiveSecurity zusammengefasst:

Fünf Best Practices zum Schutz gegen Privileged Access Abuse
Für Cyberkriminelle ist der Missbrauch kompromittierter Anmeldedaten heute eine der beliebtesten Angriffstechniken. Statt sich in Systeme einzuhacken, die durch hochentwickelte Sicherheitstechnologien geschützt werden, nehmen Kriminelle mit ausgefeilten Social-Engineering-Attacken Mitarbeiter als das schwächste Glied in der Verteidigungskette ins Visier. Mit den erbeuteten Zugangsdaten loggen sie sich anschließend einfach ein. Dabei haben es Angreifer vor allem auf das Kapern von Konten mit umfangreichen Berechtigungen abgesehen. Diese liefern den goldenen Schlüssel zu Systemen und Netzwerkressourcen und bilden die perfekte Tarnung für Datenexfiltration oder Sabotage.

Einmal eingedrungen, bewegen sich Angreifer lateral, um das Netzwerk zu scannen, erhöhen gegebenenfalls ihre Privilegien und extrahieren sensibelste Daten wie Bankkonteninformationen, Geschäftsgeheimnisse oder geistiges Eigentum. Zuletzt verwischen sie ihre Spuren, sodass einem Unternehmen unter Umständen nicht einmal bewusst ist, dass sich die Angreifer monatelang im System aufgehalten haben. Darüber hinaus können Cyberkriminelle privilegierte Zugangsdaten nicht nur für eigene Attacken nutzen, sondern sie auch lukrativ durch Verkauf im Darknet zu Geld machen. Laut dem Analystenhaus Forrester spielen kompromittierte privilegierte Zugangsdaten bei 80 Prozent aller Sicherheitsvorfälle eine Rolle (The Forrester Wave: Privileged Identity Management, Q4 2018). Um dieser wachsenden Bedrohung Herr zu werden, sollten Unternehmen deshalb ihre Sicherheitsbemühungen verstärkt auf die eigentliche Ursache des Problems konzentrierten: eine fehlende Kontrolle über ihre privilegierten Konten.

Fünf Best Practices gegen Missbrauch privilegierter Konten
Um Angreifern selbst im Fall eines Diebstahls privilegierter Log-in-Daten laterale Bewegung, Datendiebstahl und Sabotage unmöglich zu machen, benötigen Unternehmen einen mehrschichtigen Sicherheitsansatz aus Best Practices und Technologien. Die folgenden fünf grundlegende Maßnahmen helfen, den Missbrauch privilegierter Konten durch Cyberkriminelle zu minimieren:

1. Sicherheitstrainings für Mitarbeiter: Cyberkriminelle nutzen oft ausgefeilte Social-Engineering-Taktiken, um beispielsweise durch umfangreich recherchierte Spear-Phishing-Attacken an sensible Zugangsdaten zu gelangen. Regelmäßige und umfassende Sicherheitsschulungen, inklusive einer dezidierten Aufklärung der Benutzer über die Merkmale und Folgen von Phishing-Angriffen, sind deshalb ein wesentlicher erster Schritt, um das Risiko kompromittierter Anmeldedaten zu reduzieren. 2. Nutzerkonten-Erfassung und Passwort-Tresore: Dieser Schritt beginnt mit dem Erfassen und Registrieren aller Server, die ein Unternehmen in seiner Umgebung betreibt. Anschließend sollten alle von mehreren Usern verwendeten Konten, Alternate-Administrator-Konten sowie Dienst-Konten durch Passwort-Tresore geschützt sowie eine sichere Administrationsumgebung aufgebaut werden. Darüber hinaus sollten Auditing und die Überwachung von Sessions privilegierter Nutzer implementiert werden. 3. Identitätskonsolidierung und geringstmögliche Zugriffsberechtigungen: Zudem kann die Angriffsfläche weiter reduziert werden, indem Identitäten konsolidiert und lokale Konten so weit wie möglich eliminiert werden. Weiterhin sollten Kontrollen für die Berechtigungserweiterung implementiert werden sowie ein Just-in-Time-Privilegien-Zugriff: Dabei werden erforderliche Privilegien nur für einen begrenzten Zeitraum und/oder einen begrenzten Bereich vergeben. 4. Multi-Faktor-Authentifizierung (MFA) für privilegierte Benutzer: Eine der einfachsten Methoden ist darüber hinaus die Implementierung einer Multi-Faktor-Authentifizierung für alle privilegierten Benutzer. MFA ist eine der besten Möglichkeiten, um zu verhindern, dass unbefugte User auf sensible Daten zugreifen und sich lateral im Netzwerk bewegen können. Daher sollte eine MFA-Implementierung für alle Unternehmen Standard sein, insbesondere wenn es um den Schutz von Privilegien geht. 5. Härtung der Umgebung durch Air-Gaping und mit Hilfe von Machine Learning: Der letzte Schritt besteht darin, die Umgebung durch Air-Gaping, also einer logischen Isolation der Administrationskonten voneinander, zu härten, wie es Microsoft‘s Konzept der Enhanced Security Administration Environment (ESAE) vorschlägt. Um Angreifern keinerlei Umgehungsmöglichkeiten zu bieten, sollten zudem die Überwachung von Befehlen und die Verhaltensanalyse privilegierter Nutzer auf Basis von Machine Learning (User Behavior Analytics, UBA) eingesetzt werden. Diese Lösungen schlagen bei anormalen und verdächtigen Aktivitäten umgehend Alarm. Für die sensibelsten Umgebungen kann darüber hinaus noch eine Multi-Faktor-Authentifizierung der Sicherheitsstufe 3 hinzugefügt werden.

Sicherheitstechnologien wie Privileged Access Management-Lösungen (PAM) mit dezidiertem Zero Trust-Ansatz ermöglichen es hier, Nutzern nur den Zugriff mit den unbedingt erforderlichen Berechtigungen („Least Privilege“) zu gewähren. Dies geschieht, basierend auf der Überprüfung, wer den Zugriff anfordert, dem Kontext der Anforderung und dem Risiko der Zugriffsumgebung. Da sich traditionelle Netzwerk-Perimeter zunehmend auflösen, bietet eine PAM-Lösung mit Least-Privilege- und Zero-Trust-Ansatz sowohl kleinen und mittleren Unternehmen als auch großen Organisationen mit komplexen, heterogenen und agilen Infrastrukturen mit DevOps, Cloud-Instanzen und Containers umfassenden Schutz ihrer privilegierter Konten.

Für Cyberkriminelle ist der Diebstahl privilegierter Anmeldedaten und deren Missbrauch für den Zugriff auf ein Netzwerk in der Regel einfacher, effizienter und weniger riskant als das Ausnutzen einer bestehenden Schwachstelle – selbst eines Zero-Day-Exploits. Deshalb ist für Unternehmen ein mehrschichtiger Sicherheitsansatz, bestehend aus Sicherheitstrainings und der umfassenden Stärkung ihrer Authentifizierungssysteme, eine wichtige Voraussetzung, um Cyberangriffe durch Privileged Access Abuse abzuwehren.

Malvertising-Angriffe sind ein beliebtes Werkzeug für Cyberkriminelle. Häufig nutzen Hacker dabei das Vertrauen von Usern in bekannte Websites aus, um sie über legitim erscheinende Online-Werbung mit Viren, Ransomware und anderer Schadware zu infizieren. In der Vergangenheit wurde bereits eine beachtliche Liste seriöser Websites zu Trägern bösartiger Werbebanner, darunter MSN, YouTube, Spotify, Yahoo, Reuters, Forbes und die New York Times. Bei einer der jüngsten Kampagnen missbrauchten Kriminelle rund 10.000 gehackte WordPress-Seiten als Malvertising-Schleudern.

Funktionsweise von Malvertising-Angriffen
Malvertisements werden auf die gleiche Weise verbreitet wie normale Online-Werbung. Kriminelle übermitteln bösartige Grafikdateien an ein legitimes Werbenetzwerk mit der Hoffnung, dass der Werbetreibende nicht zwischen vertrauenswürdigen und schädlichen Anzeigen unterscheiden kann. Nach der Genehmigung durch den Werbetreibenden werden diese bösartigen Anzeigen an legitime Websites weitergeleitet.

In einigen Fällen registrieren Cyberkriminelle auch abgelaufene, zuvor legitime Domains neu, um sich selbst als vertrauenswürdige Domain zu tarnen. Anschließend verwenden die Kriminellen Weiterleitungen, um Nutzer auf die nun bösartige Website zu schicken. Da User beim Klick auf Anzeigen eine Weiterleitung erwarten, wirkt der Vorgang unverdächtig. Auf der bösartigen Website wird schließlich Code im Hintergrund ausgeführt, der versucht, Malware auf das Gerät des Users herunterzuladen. Diese unbeabsichtigten Downloads von Schadware werden als Drive-by-Downloads bezeichnet. Hochentwickelte Malvertising-Formen können sogar Schadware direkt von der ursprünglichen Website, welche die Online-Werbung anzeigt, auf dem Gerät des Besuchers installieren, ohne jegliche Interaktion des Opfers.

Warnzeichen für Malvertising
Cyberkriminelle werden immer raffinierter, sodass man auf den ersten Blick schwer erkennen kann, ob eine Anzeige legitim oder Teil eines Malvertising-Angriffs ist. Es gibt jedoch ein paar Warnzeichen, die auf bösartige Online-Werbung hindeuten:

• Anzeigen, die nicht so aussehen, als wurden sie von einem professionellen Grafikdesigner erstellt • Ads, die Rechtschreibfehler aufweisen • Werbung, die wundersame Heilmittel oder Prominentenskandale anpreisen • Anzeigen, die nicht mit dem aktuellen oder typischen Suchverlauf oder Browserverhalten übereinstimmen

Best Practices zum Schutz vor Malvertising-Angriffen
Es gibt zudem eine Reihe von Möglichkeiten, die vor Malvertisements schützen können: • Verwendung von Adblockern und Einschränkung von JavaScript: Wenn Anzeigen auf einer Website blockiert werden, reduziert dies natürlich das Risiko, auf eine bösartigen Werbebanner zu klicken. Allerdings sind einige Webseiten mittlerweile dazu übergangen, die Sicht auf Content zu blockieren, solange ein Adblocker aktiviert ist. Auch kann besonders fortschrittliches Malvertising Adblocker per JavaScript sowie URL-Umleitungen umgehen. Da JavaScript im Browser generell eine gewisse Gefahr birgt, kann dessen Einsatz beispielsweise mit einer Erweiterung wie „NoScript“ eingeschränkt werden. • Direkte Suche nach dem Angebot: Es empfiehlt sich generell, nicht auf Ads klicken, selbst von augenscheinlich seriösen Unternehmen. Bei Interesse an einem Angebot sollte man nach der Website des Unternehmens suchen, statt auf die Anzeige zu klicken. Wenn keine Website existiert oder Beschwerden über das Unternehmen in den Suchergebnissen auftauchen, ist die Anzeige höchstwahrscheinlich gefälscht. • Antiviren-/Antimalwareprogramme: Obwohl diese Lösungen nicht vor allen Formen von Malware schützen können, sind sie eine gute erste Verteidigungslinie gegen bekannte Malware. • Generell hohes Misstrauen walten lassen: Es ist wichtig, sich stets daran zu erinnern, dass reguläre Werbenetzwerke für die Verteilung sowohl von echten als auch betrügerischen Anzeigen verantwortlich sind. Die Zuverlässigkeit einer Website entscheidet nicht unbedingt darüber, ob sie bösartige Online-Werbung enthält oder nicht. Viele Beispiele zeigen, dass selbst die bekanntesten und legitimsten Websites unwissentlich Malvertisements verbreiten können. Trotz aller Bemühungen, wird es unweigerlich Fälle geben, in denen seriöse Unternehmen Malvertisements an Benutzer verteilen. • Verfolgen aktueller Malvertising-Skandale: Wenn sich Nutzer regelmäßig über gefährdete Websites und potenzielle Malvertising-Kampagnen informieren, bietet dies eine zusätzliche Verteidigungslinie gegen bekannte Malvertising-Bedrohungen.

Malvertising wird auch in den kommenden Jahren ein Sicherheitsproblem bleiben. Falls die Website eines Unternehmens ein Werbenetzwerk von Drittanbietern nutzt, sollten sich Verantwortliche darüber bewusst sein, dass jegliche versehentliche Verbreitung von Malvertisements auf ihrer Website potenziellen Kunden schaden und das Unternehmensimage schädigen können. Auch sollten Unternehmen ihre Mitarbeiter umfangreich über Malvertising-Angriffe im Rahmen von Sicherheitsschulungen informieren, um Infektionen auf Unternehmensrechnern sowie BYOD-Endgeräten und damit einhergehende mögliche Datenverluste zu vermeiden. Durch Aufklärung und Wachsamkeit können die Risiken von Malvertising deutlich verringert werden.

"Mercedes me", eine App von Mercedes-Benz http://mercedes-benz.com , hat aufgrund eines Systemfehlers zwei US-Nutzern fremde Kundendaten angezeigt. Die Anwendung, mit der Mercedes-Benz-Besitzer über ihr Smartphone ihr Fahrzeug finden, öffnen und starten können, hat laut "TechCrunch" die Namen, Telefonnummern und Aktivitäten von anderen Usern angezeigt.

Kein direkter Zugang
"Es gab ein kurzes Intervall, in dem die falschen Nutzerdaten in der App gezeigt wurden. Die Informationen waren gecacht, es gab keinen direkten Zugang zu fremden Konten. Es war auch nicht möglich, das betroffene Fahrzeug zu finden oder damit zu interagieren. Wir haben das System heruntergefahren, das Problem entdeckt und gelöst", versichtert Donna Boland, Sprecherin für Mercedes-Benz-Eigentümer von Daimler.

Laut einem der beiden Mercedes-Benz-Kunden, die das Datenleck gemeldet haben, konnte er zwar die Informationen und den Standort eines anderen Nutzers feststellen, jedoch nicht dessen Fahrzeug aufschließen oder zusperren. Auch das Auto anzustarten war ihm nicht möglich. Der zweite Kunde, der andere Nutzerdaten sah, überprüfte nicht, welche Möglichkeiten der Systemfehler eröffnete.

Mobile Apps fehleranfällig
Die Mercedes-me-App haben etwa 100.000 Kunden installiert. Durch mobile Anwendungen wird der Zugriff auf Autos zwar komfortabler, jedoch sind sie laut "TechCrunch" aufgrund ihrer Internetverbindung auch manchmal fehleranfällig. So hat sich die US-App "MyCar", mit der User ebenfalls ihr Auto aufsperren und anstarten können, schon einmal als anfällig für Hacker-Angriffe erwiesen.

Zero-Day-Schwachstellen und entsprechende Exploit-Kits sind äusserst wertvoll auf dem Schwarzmarkt. Cyberkriminelle, die etwa an staatlicher oder Industriespionage beteiligt sind, nutzen diese Schwachstellen als Einfallstor, um hochentwickelte Angriffe durchzuführen oder sensible Daten zu stehlen. Der durchschnittliche Lebenszyklus einer Zero-Day-Sicherheitslücke bis zu ihrem öffentlichen Bekanntwerden beträgt dabei rund sieben Jahre – Exploit-Kits für Angreifer stehen dagegen häufig bereits nach nicht einmal einem Monat zur Verfügung, so eine unabhängige Analyse durch Sicherheitsforscher des amerikanischen Think-Tanks Rand Corporation. Obwohl die Anzahl der Zero-Day-Angriffe steigt, sind viele Unternehmen schlecht vorbereitet, um sich gegen diese Attacken zu wehren. Auch, weil klassische Sicherheitstools sich hauptsächlich gegen bekannte Bedrohungen richten.

Zero-Day-Schwachstellen und -Exploits: Definition und Funktionsweise
Eine Zero-Day-Schwachstelle ist, einfach ausgedrückt, ein ungepatchtes Softwareproblem, das dem Softwarehersteller oder Antivirenanbietern bisher unbekannt ist. Es stehen daher keine Sicherheitspatches zur Verfügung, um den Fehler zu beheben. Zero-Day-Schwachstellen können in jeder Art von Software vorhanden sein und treten insbesondere bei Browser- und Betriebssystemsoftware sowie bei weitverbreiteter Software von Unternehmen wie beispielsweise Adobe auf. Ein Zero-Day-Exploit ist der Code, den Angreifer verwenden, um eine Zero-Day-Schwachstelle auszunutzen und ein System oder Gerät zu kompromittieren. So können Hacker unbemerkt durch die Nutzung des Exploits Zugriff auf Daten oder Netzwerke erhalten oder Malware auf einem Gerät installieren.

Das Zeitfenster zwischen der Entdeckung einer Zero-Day-Schwachstelle und der Veröffentlichung eines Patches zur Behebung des Fehlers ist eine wertvolle Gelegenheit für Angreifer, die Lücke auszunutzen. Deswegen werden Zero-Day-Schwachstellen häufig von Cyberkriminellen lukrativ auf dem Schwarzmarkt gehandelt. Die Preise für Zero-Day-Schwachstellen und Exploit-Kits sind sehr unterschiedlich, können aber bis zu 5.000 US-Dollar oder mehr einbringen. Ein Remote-Exploit für Firefox beispielsweise erzielt Schätzungen zufolge Spitzenpreise von bis zu 200.000 Dollar, ein fortschrittlicher Exploit für Google Chrome zwischen 500.000 und einer Million Dollar. Natürlich sind auch Schwachstellen, die in mehreren Versionen eines grossen Betriebssystems oder einer Software vorhanden sind, wertvoller als solche, die nur in einer einzigen System- oder Softwareversion existieren.

Massnahmen zum Schutz vor Zero-Day-Angriffen
Unternehmen, die einen proaktiven Sicherheitsansatz verfolgen, sind besser gerüstet, um sich gegen Zero-Day-Angreifer zu verteidigen. Aufgrund ihrer Unbekanntheit umgehen Zero-Day-Exploits den Schutz durch traditionelle Antiviren-Signaturen. Verhaltensbasierte Sicherheitslösungen wie Endpoint Detection and Response (EDR) können dagegen einen Zero-Day-Angriffe mithilfe von Heuristiken oder Algorithmen zur VeSicherheitsansatzrhaltensüberwachung erkennen. Diese Technologien überwachen hierfür Endpunkt- und Netzwerkereignisse und speichern diese Informationen in einer zentralen Datenbank. Mithilfe von Verhaltensanalyse werden die Daten auf Anomalien wie selten auftretende Prozesse, ungewöhnliche oder unbekannte Verbindungen und andere verdächtige Aktivitäten untersucht. Dieser Vorgang kann automatisiert werden, wobei Anomalien Warnmeldungen für sofortige Massnahmen oder weiterführende Untersuchungen auslösen.

Unternehmensinterne Datentransparenz für Sicherheitsteams ist ein weiterer Schlüssel zur frühzeitigen Erkennung eines Zero-Day-Angriffs. Durch eine Überwachung aller Datenzugriffe und -aktivitäten auf anomales Verhalten können Unternehmen schnell Sicherheitsverstösse identifizieren und eindämmen, bevor es zum Datendiebstahl kommt. Data Loss Prevention-Lösungen, die kontextbasierte Klassifikation verwenden, können sensible Geschäftsinformationen, geistiges Eigentum und personenbezogene Daten sowohl in strukturierter Form in Datenbanken als auch in unstrukturierter Form, beispielsweise Dokumente, Bilder, E-Mails, Audio- oder Video-Daten, klassifizieren. Mithilfe von Richtlinien, Kontrollen und Verschlüsselung lassen sich so sensible Daten sowohl im Ruhezustand, in Bewegung und bei Verwendung vor Diebstahl schützen, selbst, wenn es Cyberkriminellen gelingt, einen Zero-Day-Angriff durchzuführen und das Unternehmen einen Sicherheitsverstoss erleidet.

Softwareschwachstellen und die damit verbundenen Zero-Day-Attacken werden auch zukünftig eine unvermeidbare Bedrohung bleiben. Jedoch können Unternehmen durch einen mehrschichtigen und proaktiven Sicherheitsansatz die Risiken und Folgeschäden eines Zero-Day-Angriffs deutlich minimieren.

Das US-Logistikunternehmen Pitney Bowes hat einen Malware-Angriff bestätigt, der Informationen auf manchen Systemen verschlüsselt hat. Damit handelt es sich offenbar um eine Ransomware-Attacke. Kunden- oder Mitarbeiterdaten wurden demnach zwar keine gestohlen. Doch kommt es zu Störungen bei manchen Diensten des Unternehmens, das eigenen Angaben nach mit externen Sicherheitsexperten an der Behebung der Probleme arbeitet.

Postdienste beeinträchtigt
Pitney Bowes ist mit rund 1,5 Mio. Kunden ein Riese im internationalen Postgeschäft und unter anderem Partner für das internationale Versandprogramm von eBay. Seine Produktpalette umfasst auch diverse andere Angebote rund um den Postversand, beispielsweise die Frankier- und Versandlösung "SendPro". Eben bei dieser kommt es durch den Cyber-Angriff zu Störungen. SendPro Online ist für Kunden in Kanada und Grossbritannien komplett ausgefallen. Frankiermaschinen in den USA funktionieren weiter - aber nur solange sie auf bestehendes Guthaben zurückgreifen können. Ein Aufladen ist derzeit ebenso wenig möglich wie ein Account-Zugriff.

Auch bei anderen Versand- und E-Commerce-Lösungen von Pitney Bowes kommt es aufgrund der Verschlüsselungs-Malware zu teilweisen Funktionsstörungen. Das Unternehmen hebt positiv hervor, dass offenbar keinerlei Kundendaten in falsche Hände geraten sind. Freilich ist das aus IT-Security-Sicht nicht sonderlich überraschend. Bei Ransomware geht es schliesslich allgemein nicht um Datenklau, sondern um Erpressung. Allerdings hat Pitney Bowes sich eben dazu, ob es Geldforderungen gab, bislang nicht geäussrt.

Grosses Erpresser-Geschäft
Ein erpresserischer Ransomware-Angriff würde gut ins aktuelle Bild passen. Denn Online-Kriminelle haben Hochkonjunktur, in den USA waren dieses Jahr öffentliche Einrichtungen massiv im Visier (pressetext berichtete). Auch grosse Unternehmen wie der Eisteehersteller Arizona und der Aluminiumproduzent Norsk Hydro hat es 2019 schon erwischt. Anfang Oktober hat daher sogar das FBI vor der Gefahr gewarnt, die Ransomware-Angriffe für Unternehmen und Organisationen darstellen, und dabei die Bedeutung robuster Backup-Lösungen als Selbstschutz hervorgehoben.

Mit Diebstählen und Betrug rund um Bitcoin und andere Kryptowährungen haben Kriminelle bereits im ersten Halbjahr 2019 insgesamt 4,26 Mrd. Dollar ergaunert und Investoren entsprechend massive Schäden zugefügt. Das besagt der "Q2 2019 Cryptocurrency Anti-Money Laundering Report" des Analyseunternehmens CipherTrace. Hauptverantwortlich dafür waren "Exit Scams", bei denen Börsen und Wallets einfach offline gehen, insbesondere das PlusToken.

Jahr des Exit Scams
2019 könnte CipherTrace zufolge letztlich das Jahr des Exit Scams werden. Denn diese Form des Betrugs, bei dem Betreiber ihre Dienste einfach offline nehmen und offenbar mit dem Geld der Anleger verschwinden, trat dieses Jahr bereits häufiger und mit grossem Schaden auf. Der Löwenanteil davon entfällt freilich auf einen einzigen Fall. Bis zu 2,9 Mrd. Dollar sind mit der südkoreanischen Wallet und Börse PlusToken verschwunden, mit wohl 2,4 bis drei Mio. geschädigten Nutzern und Anlegern. Zwar haben die chinesischen Behörden hier einige Verdächtige verhaftet, die Milliarden scheinen aber dennoch verloren zu sein.

In die Gesamtschadenssumme noch nicht eingerechnet sind laut Ciphertrace zwei augenscheinliche Exit Scams aus dem zweiten Quartal. Betroffen seien die Kryptowährungs-Exchanges Coinroom und Bitsane, allerdings mit merklich geringerem Schaden. Das irische Bitsane soll immerhin 246.000 Nutzer betrogen haben, der genaue Gesamtbetrag ist aber noch unklar. Im Fall des polnischen Coinroom sollen tausende Anleger jeweils bis zu 15.000 Dollar verloren haben. Hier gibt es aber mittlerweile seitens des Betreibers Aussagen, dass man in den Konkurs geschlittert sei und möglichst viel erstatten wolle.

Hacks und andere Tricks
m Vergleich zur gigantischen Summe des PlusToken-Betrugs fielen klassische Hacks und andere cyberkriminelle Tricks regelrecht bescheiden aus. Doch gab es im zweiten Quartal auch derer genug. Laut CipherTrace hat eine Cyberattacke auf die weltgrösste Kryptowährungs-Börse Binance https://binance.com immerhin 44 Mio. Dollar gekostet, von der japanischen Börse BITPoint haben Hacker 30 Mio. Dollar erbeutet. Aufgeflogen sind im zweiten Jahresviertel auch zwei Typosquatting-Betrüge, bei denen Kriminelle echten Börsen ähnliche URLs genutzt haben, um achtlosen Nutzern Zugangsdaten und Kryptowährung zu stehlen.

CipherTrace nutzt für seinen Bericht den Wert gestohlener Kryptowährung zum Zeitpunkt des Vorfalls. Da insbesondere die Bitcoin seit Jahresbeginn wieder deutlich zugelegt hat, liegt der aktuelle Gegenwert wohl noch höher.

Bitdefender hat eine neue Sicherheitslücke identifiziert, die sämtliche moderne Intel Prozessoren betrifft. Diese Prozessoren nutzen die CPU-Funktion Speculative Execution, über die eine Side-Channel-Attacke erfolgen kann. Die Schwachstelle ermöglicht Zugriff auf Passwörter, Token, private Unterhaltungen sowie andere vertrauliche Daten von Privatanwendern und Unternehmen. Alle Rechner, bei denen neuere Intel-Prozessoren zum Einsatz kommen und auf denen Windows ausgeführt wird, sind betroffen, inklusive Server und Notebooks. Ãœber ein Jahr hat Bitdefender mit den Technologiepartnern an einer Veröffentlichung dieser Schwachstelle gearbeitet ? Patches stehen nun zur Verfügung oder werden in Kürze veröffentlicht.

Die Schwachstelle wurde weniger als drei Monate nach dem letzten Sicherheitsalert zu Intel-Prozessoren bekannt. Speculative Execution ist eine Funktion, die darauf abzielt, die Geschwindigkeit der CPU zu beschleunigen, indem Vermutungen darüber getroffen werden, welche Anweisung als nächstes folgen könnte. Speculative Execution kann Spuren im Cache hinterlassen, die es Angreifern ermöglichen, mit einem Seitenkanalangriff in den privilegierten Bereich des Arbeitsspeichers einzudringen, den der Betriebssystem-Kernel belegt. Dieser neu entdeckte Angriffsweg kombiniert Speculative Execution von Intel und die Verwendung eines spezifischen Befehls des Windows Betriebssystems innerhalb eines sogenannten Gadgets.

Der Angriff umgeht alle bekannten Schutzmechanismen, die nach Bekanntwerden von Spectre und Meltdown im Frühjahr 2018 implementiert wurden. Gemeinsam mit Intel hat Bitdefender über ein Jahr daran gearbeitet, nun die Öffentlichkeit über diesen Angriffsmechanismus informieren zu können.

?Die Erforschung solcher Angriffswege ist höchst komplex, da sie erstens tiefstes Wissen über die Funktionsweise moderner Prozessoren, zweitens ein umfassendes Verständnis der Prozesse innerhalb von Prozessoren und Betriebssystemen sowie drittens Kenntnisse von Speculative Execution und Seitenkanalattacken erfordern?, so Gavin Hill, Vice President, Datacenter and Network Security Products bei Bitdefender. Und zur potentiellen Gefahrenlage: ?Kriminelle, die über das Wissen um diese Angriffsmöglichkeit verfügen, wären in der Lage, weltweit die wichtigsten und am besten geschützten Daten von Unternehmen und Privatanwendern zu stehlen oder sie für Erpressung, Sabotage und Spionage zu missbrauchen.?

Microsoft und andere Partner haben bereits Patches veröffentlich, beziehungsweise sind dabei diese zu evaluieren und gegebenenfalls zu veröffentlichen. Die von Bitdefender entwickelte Technologie Hypervisor Introspection (HVI) zum Schutz von virtuellen Maschinen erkennt und verhindert diesen neuen Angriff auf ungepatchten Windows-Systemen.

Die neueste Enthüllung folgt der Mitte Mai dieses Jahres bekanntgewordenen Sicherheitsschwachstelle bei Intel-Prozessoren mit dem Namen ?Micro-Architectural Data Sampling?, die es Angreifern erlaubt, auf privilegierte Kernel-Mode-Informationen zuzugreifen, die bis dahin als unerreichbar für die meisten Anwendungen galten. Weitere Informationen zu diesem Angriffsmechanismus finden Sie auf dem Bitdefender Labs Blog.

Ein technisches Whitepaper findet sich hier: https://businessresources.bitdefender.com/bypassing-kpti-speculative-behavior-swapgs-instruction?utm_campaign=swapgs&utm_source=web

Unternehmen stehen ständig vor der Herausforderung, mit der wachsenden Bedrohungslandschaft Schritt zu halten. Eine Möglichkeit, um Sicherheitslücken in Systemen frühzeitig zu identifizieren, ist der Einsatz sogenannter Ethical Hackers. Zu ihren Aufgabengebieten gehören etwa Penetrationstests von Netzwerken, Rechnern, webbasierten Anwendungen und anderen Systemen, um potenzielle Bedrohungen aufzudecken. Oft handelt es sich bei diesen Mitarbeitern um Hacker, die ihre Fähigkeiten in der Vergangenheit für illegale Aktivitäten wie etwa Einbruch in Unternehmenssysteme und -netzwerke genutzt haben. Geläuterte Cyberkriminelle bieten damit einen umfangreichen Erfahrungsschatz sowie neue Denkansätze und können Lösungen vorschlagen, die nicht gleich auf der Hand liegen.

Bug-Bounty-Programme: Kopfgeldjagd auf Softwarefehler
Ein gutes Beispiel für das Einsatzspektrum von ethischen Hackern sind sogenannte Bug-Bounty-Programme. Mit diesen setzen Unternehmen quasi ein Kopfgeld auf Schwachstellen aus. Damit bieten sie Hackern finanzielle Anreize, um Fehler in einem bereitgestellten Softwareprodukt zu identifizieren und zu melden. Unternehmen können dadurch zeitnah reagieren und Schwachstellen beheben, bevor sie öffentlich bekannt werden. Die Sicherheitslücken Meltdown und Spectre sind gute Beispiele für Schwachstellen, die in einer grossen Anzahl von Systemen gefunden und rechtzeitig gepatcht wurden, bevor sie umfangreich missbraucht werden konnten. Hätten böswillige Angreifer diese Lücken entdeckt, wären die Auswirkungen sehr weitreichend gewesen.

Mögliche Probleme beim Einsatz von Ethical Hackers
Wenn Unternehmen zulassen, dass Hacker versuchen, in ihre Systeme einzudringen, birgt das natürlich auch Risiken. Denn im Erfolgsfall muss darauf vertraut werden, dass der Hacker unternehmensloyal handelt. Ein probates Mittel dafür sind deshalb Bug-Bounty-Programme, da sie den Aufwand des Hackers von vornherein monetarisieren. Sobald eine Schwachstelle gefunden und bestätigt wurde, wird der Hacker für seinen Aufwand bezahlt. So gibt es nur einen begrenzten Anreiz, Daten zu stehlen oder den Exploit weiterzuverkaufen.

Wichtig ist: Die Geschäftsbeziehung zwischen Bug-Bounty-Plattform und Hacker basiert auf gegenseitigem Vertrauen und Respekt. Es gibt Fälle, bei denen sich Hacker nicht an die Regeln und Einschränkungen des Bug-Bounty-Programms gehalten haben. Dies kann rechtliche Konsequenzen durch das Unternehmen nach sich ziehen. Ebenso sind einige Unternehmen und Bug-Bounty-Plattformen bekannt dafür, Hacker nicht zu bezahlen, obwohl die gemeldete Schwachstelle bestätigt wurde. Solch ein Verhalten schädigt das Vertrauen der Ethical-Hacker-Community enorm und kann sogar dazu führen, dass das Unternehmen und die Plattform auf eine Liste mit Zielen für böswillige Angriffe gesetzt werden.

Bedenken beim Einsatz ehemalig krimineller Hacker
Es gibt potenziell immer Personen, die Hacking nur wegen des Nervenkitzels betreiben. Deren Fähigkeiten können jedoch durch legale, herausfordernde Aufgaben positiv umgeleitet werden. Natürlich mag die Frage aufkommen, wie man sich sicher sein kann, dass ein ehemaliger Krimineller nicht wieder straffällig wird, doch dies ist kein spezifisches Problem der Cyberbranche. Wichtig ist, ein Umfeld zu schaffen, bei dem technische Herausforderung, Lern- und Weiterbildungsmöglichkeiten sowie entsprechende Vergütung gut ausgelotet sind. Ãœberwiegen diese Vorteile, lohnt sich das Risiko einer Straftat nicht.

Auch ist es wichtig, dass die Gesetzeslage mit der Technologieentwicklung Schritt hält, damit strafrechtliche Konsequenzen gut bekannt sind und genügend Abschreckung bieten. Cyber-Straftaten werden oft immer noch nachgiebiger geahndet als andere Delikte mit vergleichbarem finanziellem Schaden. Ein Grund, weshalb organisierte Banden immer mehr in die Online-Welt abwandern.

Von Kontrolle zu Freiheit: Zusammenarbeit von Unternehmen und Hackern
Es sollten auf beiden Seiten sehr klare Vereinbarungen getroffen werden, die die Möglichkeit bieten, gegenseitiges Vertrauen aufzubauen. Beispielsweise können Unternehmen zu Beginn Zeit und Ort für die Nutzung internetfähiger Geräte begrenzen, um eine bestimmte Aufgabe zu erfüllen. Ethische Hacker sollten Vorgaben und Abmachungen klar einhalten. Gleiches gilt für das Unternehmen. Werden Vereinbarung durch das Unternehmen nicht erfüllt, ist dies genauso schädlich für die Beziehung. Hat sich das gegenseitige Vertrauen schliesslich bestätigt, sollten ehemalig straffällig gewordene Hacker wie jeder andere Mitarbeiter behandelt werden und die Verantwortung und Rolle erhalten, die ihnen gebührt. Dauerhafte Stigmatisierung erhöht erwiesenermassen die Wahrscheinlichkeit einer Rückfälligkeit. Der Glaube an eine Rehabilitation ist ein wichtiger Bestandteil für ihr Gelingen.

Das US-amerikanische Department of Homeland Security (DHS) hat eine Sicherheitswarnung für Kleinflugzeuge ausgegeben. Wie die Behörde mit der Security-Firma Rapid7 herausgefunden hat, sind die modernen, vernetzten Flugsysteme kleinerer Maschinen besonders anfällig. Hacker könnten falsche Daten zu Triebwerken, Kompass oder Flughöhe anzeigen lassen. Die Hersteller wurden zu schnellstmöglichen Nachbesserungen aufgefordert.

Nur mit physischem Zugang
"Diese Warnung bezieht sich auf die Tatsache, dass die moderne Computertechnologie in Flugzeugen zunehmend von vernetzten Kommunikationssystemen abhängig ist - ähnlich wie in neueren Autos", heisst es in dem DHS-Bericht. Die Autoindustrie habe allerdings bereits einige wichtige und notwendige Schritte eingeleitet, um das Sicherheitsrisiko zu reduzieren. Bei den Flugzeugbauern sei das bislang jedenfalls noch nicht passiert, kritisiert die US-Behörde.

"Es ist sicher notwendig, die Sicherheit von vernetzten Flugsystemen zu verbessern. Solche Hacks lassen sich aber nur umsetzen, wenn man auch physischen Zugang zum Fluggerät hat. Und dafür muss man die Sicherheitskontrollen am Flughafen umgehen", zitiert "TechXplore" Jeffrey Troy, Leiter des Aviation Information Sharing and Analysis Center http://a-isac.com . Ein derartiges Szenario sieht man bei der US-Bundesluftfahrtbehörde Federal Aviation Administration (FAA) http://www.faa.gov als eher unwahrscheinlich. "Dennoch ist die Warnung der DHS ein wichtiger Reminder, wachsam zu bleiben", so die FAA-Experten.

Gilt nicht für grössere Maschinen
Die aktuelle Sicherheitswarnung ist das Ergebnis einer beinahe zwei Jahre andauernden Analyse der Security-Forscher von Rapid7. Diese haben sich eigenen Angaben zufolge nur auf kleinere Flugzeuge konzentriert, deren Systeme leichter zu bekommen und zu testen sind. "Grössere Flugzeuge verwenden viel komplexere Systeme und unterstehen ausserdem einer ganzen Reihe zusätzlicher Sicherheitsrichtlinien", erklärt Forschungsleiter Patrick Kiley. Von der Warnung ausgenommen sind ältere Maschinen, die noch auf mechanische Technik setzen.

Der britische Finanzsektor hat im vergangenen Jahr einen enormen Zuwachs von Cyber-Attacken auf kritische Computerinfrastruktur verzeichnet. Wie aus einer aktuellen Anfrage der Wirtschaftsprüfungsgesellschaft RSM an die zuständige Financial Conduct Authority (FCA) hervorgeht, ist die Zahl entsprechender Zwischenfälle von nur 69 im Jahr 2017 auf ganze 819 im Jahr 2018 nach oben geschnellt. Das ist ein Anstieg um mehr als 1.000 Prozent und ein neuer Rekordwert. Knapp 60 Prozent der Angriffe betreffen Privatkundenbanken.

"Riesige Menge an persönlichen Daten"
"Die Gefahr von Cyber-Attacken ist in der Finanzbranche rapide angestiegen", zitiert "BBC News" Steven Snaith, Spezialist für Cyber-Security bei RSM. Die Gründe hierfür würden eigentlich auf der Hand liegen. "Die Web-basierten Systeme, die heute im Finanzservicesektor eingesetzt werden, halten riesige Mengen an persönlichen und finanziellen Daten bereit, die für Cyber-Kriminelle einen unschätzbaren Wert haben können", betont der Experte.

Dass die Angriffe aus dem Netz derart zugenommen habe, liege aber auch daran, dass Hacker-Tools und -Wissen zu leicht zugänglich seien. "Viele Werkzeuge, die man für solche Aktionen benötigt, entsprechende Anleitungen und Know-how dafür sind online einfach frei verfügbar. Es gibt im Moment keinerlei Gesetz, das den Besitz oder die Entwicklung derartiger Tools verbietet. Das ist natürlich etwas, das die Situation noch weiter verschärft", so der Security-Spezialist.

DSGVO und laxe Firmen
Auch bei der FCA hat man gleich mehrere Erklärungen parat, warum die Zahl der Hacker-Attacken im Finanzbereich innerhalb eines einzigen Jahres so dermassen stark angestiegen ist. Die Behörde argumentiert hier allerdings interessanterweise durchweg anders als der RSM-Experte und ortet einen Teil der Schuld zumindest auch in der EU-weiten Einführung der neuen Datenschutz-Grundverordnung (DSGVO). Diese habe einfach dazu geführt, dass mehr Firmen und Organisationen solche Zwischenfälle gemeldet hätten, weil das auch im Gesetz so vorgesehen ist, mutmasst die FCA.

Dabei wird auch deren Leiterin Megan Butler zitiert, die im November 2018 ausdrücklich bemängelt hatte, dass sich immer noch zu viele Unternehmen nicht ausreichend um ihre Cyber-Sicherheit kümmern würden. "Ein Drittel der Firmen führt keine regelmässigen Sicherheitstests durch. Die meisten wissen zwar, wo ihre Daten liegen, sehen sich aber der Herausforderung, diese schützen zu können, oft nicht gewachsen. Die Hälfte der Firmen nimmt ausserdem keine Updates ihrer IT-Systeme vor", stellte Butler fest.

Mit der wachsenden Zahl immer ausgefeilterer Cyberattacken stellt sich nicht mehr die Frage, ob, sondern eher wann ein Unternehmen Opfer eines Angriffs wird. Viele Organisationen konzentrieren ihre Sicherheitsbemühungen immer noch auf Techniken zur Absicherung von Perimetern und investieren grosse Summen in den Versuch, Angreifer von ihren Netzwerken, Servern und Anwendungen fernzuhalten. Doch sollte der Sicherheitsfokus heutzutage auch auf den sensiblen Unternehmensdaten liegen und nicht nur auf den immer anfälligeren Schutzmauern, die sie umgeben ? denn auf lukrative Daten haben es Angreifer zumeist abgesehen. Deshalb verlagern immer mehr Unternehmen ihre Security-Strategie hin zu einer optimierten Identifizierung, Kontrolle und Absicherung ihrer sensiblen Datenbestände. Im Folgenden vier grundlegende Schritte für einen datenzentrierten Sicherheitsansatz:

1. Schritt: Wissen, was geschützt werden muss
Für Unternehmen, die eine datenzentrierte Sicherheitsstrategie verfolgen möchten, ist der beste Ausgangspunkt eine umfassende Datentaxonomie. Schliesslich ist es unmöglich, wirksame Sicherheitsmassnahmen zu ergreifen, wenn man nicht weiss, was es zu schützen gilt. Die Klassifizierung und Strukturierung der eigenen Daten hilft Unternehmen, den vollen Umfang ihrer Sicherheitsanforderungen zu verstehen.

3. Schritt: Kontrolle, wer Zugriff auf sensible Daten hat
Sobald die Daten entsprechend klassifiziert und eingestuft sind, besteht der nächste Schritt darin, den Zugriff auf diejenigen Nutzer zu beschränken, die ihn tatsächlich benötigen. In diesem Stadium ist es wichtig, sich daran zu erinnern, dass nicht alle Datenschutzverletzungen bösartig sind. Viele sind das Ergebnis unbeabsichtigter Nachlässigkeit von Mitarbeitern wie verlorene Memory-Sticks oder Laptops. Die Einführung einer Zugangskontrolle für sensible oder vertrauliche Daten macht es nicht nur böswilligen Insidern und externen Angreifern deutlich schwieriger, Daten zu stehlen, sondern ist auch eine der schnellsten Möglichkeiten, unbeabsichtigte Sicherheitsverstösse zu verhindern. Schliesslich können Mitarbeiter nichts verlieren, was sie gar nicht haben.

Dieser Ansatz gewährleistet auch die Sicherheit der Daten, unabhängig davon, ob sie sich im Ruhezustand, in Ãœbertragung oder in Bearbeitung befinden. In Kombination mit Sicherheits-Best-Practices wie Data-Awareness-Schulungen kann dieser Ansatz weitaus mehr Sicherheit bieten, als sich allein auf Firewalls und Antivirensoftware zu verlassen.

4. Einsatz datenzentrierter Technologien zur weiteren Stärkung der Sicherheit
Als weitere Sicherheitsschicht gibt es zahlreiche datenzentrische Sicherheitstechnologien, die speziell für den Schutz sensibler Daten entwickelt wurden. Data Loss Prevention (DLP), Cloud Access Controls, Verschlüsselungs- und Datentransparenzstrategien können ein erfolgreiches Programm ergänzen und bieten noch robusteren Schutz in der heutigen anspruchsvollen Online-Umgebung.

Trotz des alarmierenden Anstiegs der Cyber-Angriffe in den letzten Jahren ist es wichtig, sich daran zu erinnern, dass ein Sicherheitsverstoss nicht automatisch zu Datenverlust führt. Die Wahl eines datenzentrierten Ansatzes, anstatt ausschliesslicher Verteidigung des Perimeters, kann im Falle eines Verstosses Datenlecks verhindern. Ein grundlegender datenzentrierter Schutz muss nicht kompliziert sein. Wenn man sich nur die Zeit nimmt, um zu ermitteln, welche sensiblen Daten im Unternehmen existieren, wo sie sich befinden und wer Zugang zu ihnen haben sollte, kann dies die Verteidigung der Unternehmen erheblich stärken.

Der Sicherheitsexperte Mossab Hussein hat ein gravierendes Sicherheitsleck im System von Samsung entdeckt, wie "TechCrunch" schreibt. Dem Fachmann zufolge bestand das Leak bei zahlreichen Sourcecode-Dateien sowie bei sicherheitsrelevanten Zugangsdaten. Grobe Fehler bei den Einstellungen des GitLab-Repositorys sollen verantwortlich dafür gewesen sein

Das Sicherheitsleck ist deshalb so gravierend, weil eine von Samsung gehostete GitLab-Instanz laut Hussein betroffen waren - ein Ort, wo viele Projekte von Samsung vorangetrieben werden. Möglich war das öffentliche Einsehen für Fachleute wie Hussein nur deshalb, weil ein Mitarbeiter des südkoreanischen Unternehmens offenbar die Projekte als "public" definiert hat. Zusammen mit einem mangelhaften Passwortschutz konnte praktisch jeder die Projekte von aussen einsehen und sich den entsprechenden Sourcecode downloaden.

Konzern spielt Vorfall herunter
Besonders brisant: Nicht nur die Sourcecode-Dateien konnte Hussein finden. Auch stöberte er in einem Projekt die Zugangsdaten zum vollständig genutzten AWS-Zugang auf. Dieser ermöglicht den Zugriff auf 100 sogenannte S3-Storage-Buckets. Diese beinhalten Analysedaten und Log-Dateien, die sich problemlos auslesen lassen konnten. Vor allem umfangreiche Analysedaten zu den SmartThings- und Bixby-Diensten liessen den Sicherheitsforscher aufhorchen. Doch auch private GitLab-Tokens - und das auch noch im Klartext - zu weiteren Projekten waren vorhanden.

So wäre für einen Angreifer der Sourcecode zu manipulieren gewesen, wie Hussein schildert. Eigenen Angaben nach hat er seinen Fund am 10. April Samsung bekannt gegeben. Der Konzern versucht indes die Sache herunterzuspielen und verweist darauf, dass es sich bei der betroffenen Instanz lediglich um eine "Testplattform" gehandelt habe. Das Unternehmen habe zudem bis zum 30. April gebraucht, um die privaten GitLab-Keys zu sperren.

Daten gehören zu den wertvollsten Rohstoffen des 21. Jahrhunderts. Doch immer grössere Mengen an sensiblen Informationen gegen Cyber-Angriffe zu schützen, ist für Unternehmen eine Herausforderung. Viele Sicherheitsstrategien konzentrieren sich auf den Schutz strukturierter Daten in Datenbanken. Jedoch fehlen häufig Massnahmen für die ebenso sensiblen, aber oft schwieriger zu schützenden unstrukturierten Daten, beispielsweise in E-Mails oder Dokumenten. 80 Prozent der Daten in einem Unternehmen zählen laut IBM mittlerweile zu den unstrukturierten Daten. In diesen Datenmassen verbergen sich häufig geschäftskritische oder personenbezogene Informationen. Sie stellen damit ein Risiko für Unternehmen dar, wenn sie nicht ausreichend gegen unberechtigten Zugriff abgesichert werden. Im Folgenden ein kurzer Ãœberblick zu den beiden Datenformen sowie Best Practices zu deren Schutz.

Maschine versus Mensch: Strukturierte und unstrukturierte Daten
Strukturierte Daten sind so organisiert, dass sie für Maschinen einfach zu verarbeiten sind. Sie werden im Allgemeinen in relationalen Datenbanken gespeichert und in definierten Spalten und Zeilen angezeigt. Dadurch können Data-Mining-Tools und -Algorithmen darauf zugreifen und sie leicht analysieren. Traditionell verlassen sich Unternehmen bei ihren Geschäftsentscheidungen auf strukturierte Daten, beispielsweise im Lagerverwaltungs- oder Customer Relationship Management.

Unstrukturierte Daten werden hingegen in für Menschen leicht zugänglichen Formaten gespeichert. Diese Zugänglichkeit erschwert allerdings wiederum Maschinen und Algorithmen den Zugriff. Unstrukturierte Daten finden sich etwa in E-Mails, Textverarbeitungsdokumenten, PDF-Dateien, Bild-, Audio- und Videodateien, Social Media-Beiträgen oder mobilen Textnachrichten. Diese Formate erleichtern die menschliche Kommunikation, machen unstrukturierte Daten aber auch anfälliger für unberechtigten Zugriff und Datenlecks.

Best Practices zur Sicherung strukturierter und unstrukturierter Daten
Strukturierte Daten in Datenbanken lassen sich vergleichsweise einfach sichern. Der Zugang kann nach strengen Richtlinien eingeschränkt werden. Diese sollten folgende Punkte beinhaltet: ? Schaffung eines sicheren, zentralen Speichers ? Verfolgung der Dateneingabe und -nutzung ? Verwaltung von Authentifizierung und verschlüsselter Kommunikation mit SSL-Protokoll ? Schutz von Geräten durch sichere Passwörter ? Möglichkeit des Fernzugriffs zur Datenlöschung auf verlorenen Geräten ? Schulung der Mitarbeiter über Richtlinien und bewährte Sicherheitsverfahren

Der Schutz unstrukturierter Daten stellt eine grössere Herausforderung dar. Denn diese existieren überall im System, wo Benutzer auf Inhalte zugreifen oder diese erstellen. Dadurch kann es schwierig sein, überhaupt zu wissen, dass diese Daten existieren, wer Zugang zu ihnen hat oder sie verwendet. Auch die Verfolgung des Datenflusses durch einen Audit-Trail gestaltet sich schwieriger: Content Pattern Matching-Technologien können Server und Workstations scannen, um unstrukturierte Daten zu klassifizieren, aber diese Lösungen führen oft zu False Positives und Negatives, was sich negativ auf den Workflow auswirken kann. Folgende Best Practices helfen, unstrukturierte Daten zu schützen:

Identifizierung des Zugriffs auf strukturierte und unstrukturierte Daten
Unternehmen sollten identifizieren, welche Mitarbeiter Zugriff auf strukturierte und unstrukturierte Daten haben und den Zugriff auf sensible Datenquellen einschränken. Zudem sollte verwaltet werden, wie Mitarbeiter von Remote-Geräten darauf zugreifen dürfen. Die Ãœberwachung der Benutzeraktivitäten bietet zusätzlichen Schutz, um beispielsweise Anomalien zu erkennen, die auf eine Cyberattacke hinweisen.

Strukturierte und unstrukturierte Daten sind für Unternehmen gleichermassen von Bedeutung. Vor dem Hintergrund der DSGVO muss deshalb sichergestellt sein, dass beide Arten geschützt sind, da bei einem Datenleck hohe Geldbussen und Reputationsschäden drohen. Datenzentrierte Sicherheitstechnologien können Unternehmen zudem unterstützen, durch kontextbasierte Klassifikation und Verschlüsselung sensible Daten gegen Diebstahl und Cyberangriffe zu schützen, selbst im Fall eines Sicherheitsverstosses.

Der Verbraucherzentrale Bundesverband (vzbv) hat erfolgreich gegen Googles Datenschutzerklärung von 2012 geklagt. Laut dem Berliner Kammergericht verstossen grosse Teile der Erklärung gegen die im Mai 2018 in der gesamten EU erlassene Datenschutzgrundverordnung (DSGVO). In der Datenschutzerklärung räumte sich Google demnach ungerechtfertigt umfangreiche Rechte zur Erhebung und Nutzung der Kundendaten ein.

Dazu gehören die Standorterfassung von Nutzergeräten, die Verknüpfung der Kundendaten mit anderen Google-Diensten und in bestimmten Fällen auch die Weitergabe von persönlichen Daten an andere Unternehmen. "Hier ist die Frage weniger, was Google konkret mit den Daten macht, sondern was man mit den Klauseln aus der Datenschutzerklärung anstellen könnte", sagt Heiko Dünkel, Rechtsreferent beim vzbv, im Gespräch mit pressetext.

Erklärung schwer verständlich
Nutzer mussten der Datenschutzerklärung zustimmen, um weiter Google verwenden zu können. Für das Kammergericht ist die Erklärung aber zu verschachtelt und redundant, wodurch Nutzer nur schwer verstehen können, was für Google erlaubt ist. Deswegen reiche die Zustimmung von Nutzern, sie hätten die Datenschutzerklärung gelesen, nicht aus, um die Eingriffe in Kundendaten zu rechtfertigen.

Dünkel zufolge sind Datenschutzverstösse bei grossen Internetfirmen besonders heikel. "Sie kommen hauptsächlich aus den USA, dort ist das Datenschutzverständnis anders, ausserdem haben sie eine unheimliche Marktmacht. Google-Dienste gibt es bei fast jedem Smartphone. Wenn sie also Datenschutzverstösse begehen, hat das Auswirkungen auf extrem viele Verbraucher", so Dünkel. Es brauche mehr Transparenz bei den Klauseln, die eine Einwilligung vom Kunden erfordern.

Klage vollständig stattgegeben
Das Gericht erklärte auch mehrere einzelne Klauseln aus den Nutzungsbedingungen von Google für unwirksam. So räumte sich der Internetkonzern das Recht ein, einzelne Dienste nach eigenem Ermessen einzustellen oder zu ändern. Dem Urteil zufolge darf das aber nur möglich sein, wenn es für Kunden zumutbar ist. Das wurde in den Nutzungsbedingungen aber nicht angegeben.

Das Berliner Kammergericht hat die Klage des vzbv in vollem Umfang stattgegeben. 13 Klauseln der Datenschutzerklärung und zwölf der Nutzungsbedingungen von 2012 sind damit unwirksam. Laut Dünkel gibt es in der aktuellen Datenschutzerklärung von Google immer noch viele Klauseln, die ähnlich formuliert sind wie 2012. Google hat gegen die Klage eine Nichtzulassungsbeschwerde beim Bundesgerichtshof eingelegt.

Warum stehen deutsche Unternehmen besonders gerne im Fokus von eSpionage-Angriffen?
"Deutsche Unternehmen leben von ihrer Innovationskraft und ihrem über Jahrzehnte aufgebautem branchenspezifischen Know-how. Nach Auskunft des Europäischen Patentamts haben allein 2017 deutsche Unternehmen mehr als 25.000 neue Patente angemeldet. Dieses wertvolle Wissen zu stehlen, ist seit Jahren für Online-Kriminelle und Cyber-Spione ein lukratives Geschäft. Der Schaden für die deutsche Wirtschaft ist immens und beziffert sich nach Einschätzung von Industrieverbänden und Ermittlungsbehörden auf mehr als 55 Milliarden Euro pro Jahr."

Wie aufwendig sind derartige Angriffe auf Grossunternehmen? Und über welche finanziellen und technologischen Mittel müssen die Täter verfügen?
"Eine Attacke wie im aktuellen Fall ist für das jeweilige Ziel massgeschneidert. Eingesetzte Schadsoftware und andere Tools werden extra für diesen Angriff entwickelt und häufig nur für diesen Zweck benutzt. Das erschwert ein Auffinden durch automatisierte Systeme. Gleichzeitig bedeutet es, dass enorm viele Ressourcen aufseiten der Angreifer existieren müssen. Dazu zählen fähige Entwickler, entsprechende Infrastruktur und natürlich das Geld, um die Aktion zu finanzieren. Ãœber derartige Ausstattung verfügen in der Regel nur Milliarden-Konzerne oder eben Staaten. Die Mehrzahl der Angriffe, denen die deutsche Wirtschaft täglich ausgesetzt ist, ist jedoch "Massenware". Diese Malware hat nicht einzelne Firmen als Ziel, sondern versucht über massenhaft versandte Spammails in schlecht gesicherte IT-Systeme einzudringen. Berühmtestes Beispiel dafür sind aktuell sogenannte Ransomware- oder Verschlüsselungstrojaner-Attacken."

Wie lange bleiben erfolgreiche Angriffe auf Unternehmen verborgen?
"Es dauert durchschnittlich 180 Tage, bis Unternehmen bemerken, dass Angreifer sich an ihren Daten zu schaffen machen. In diesem halben Jahr können also Daten, Zugänge und andere sensible Informationen abgeschöpft werden. Oftmals fehlen jedoch entsprechende Verteidigungswerkzeuge, sodass die Dunkelziffer erfolgreicher Angriffe mit grosser Wahrscheinlichkeit weit höher ist. Sogenannte EDR (Endpoint Detection and Response) Tools können nachträglich helfen, Datenabflüsse zu entdecken und zurückzuverfolgen. Sie sind zwar am Markt verfügbar, werden aber selten genutzt."

Wie hoch ist der durchschnittliche Schaden eines Cyber-Angriffs?
"Es hängt hierbei ganz von der Art des Angriffs und des entstandenen Schadens ab. Man kann sicherlich den finanziellen Schaden beziffern, der durch einen Produktionsausfall direkt entsteht. Die Folgekosten für die Wiederherstellung der Betriebsfähigkeit zählen genauso dazu, werden oft aber nicht mit angegeben. Reputations- und Vertrauensverlust aufseiten der Geschäftspartner und Kunden lässt sich dagegen oft schwer beziffern, ist aber unter Umständen geschäftsgefährdend. In die Schadensbetrachtung gehört zudem unbedingt eine mögliche Strafzahlung aufgrund der EU-DSGVO, wenn etwa Nutzer- oder Kundendaten gestohlen wurden, weil sie nicht ausreichend gesichert wurden. Sind geheime Produktionsunterlagen oder Pläne für kommende Produktgenerationen gestohlen worden, ist der Schaden nur schwer kalkulier- und versicherbar. Die Fälle der Vergangenheit, gerade bei grossen Firmen, haben jedoch einen Schaden im Millionenbereich entstehen lassen, wobei alle Folgen noch nicht abschätzbar sind. Die Hackerangriffe auf die Reederei Maersk hat einen geschätzten Schaden von bis zu 300 Millionen US-Dollar verursacht."

Sind Dax-Konzerne besonders betroffen?
"Die Flaggschiffe der deutschen Wirtschaft stehen klar im Fokus der Cyber-Angreifer und Wirtschaftsspione. Unternehmen wie der Bayer-Konzern sind für potentielle Täter zweifellos lohnende Ziele. Das ergibt sich allein schon aus dem Wert der Daten, die potentielle Angreifer entwenden und für Millionen an zwielichtige Mitbewerber weiterverkaufen können. Erschwerend sind natürlich Angriffe, hinter denen einzelne Staaten vermutet werden. Cyberspionage scheint für einzelne Länder eine moderne Form der Wirtschaftsförderung zu sein. Im Vergleich zu mittelständischen Unternehmen verfügen Grosskonzerne über eigene Cyber-Abwehr-Zentren. Innovative Mittelständler können von derartigen Ressourcen natürlich nur träumen. Dabei verzeichnen wir gerade im KMU-Umfeld seit vielen Jahren eine deutliche Zunahme von Cyber-Angriffen. Diese sogenannten Hidden-Champions stehen klar auf der "Einkaufsliste" von Wirtschaftsspionen."

Wer steckt hinter dem aktuellen Angriff auf den Bayer-Konzern? Ist es möglich zweifelsfrei einen Staat als Ursprungsland zu identifizieren?
"Verschiedene Experten ordnen die Attacke der Winnti Gruppe zu. Da es ein leichtes ist, seine Spuren zu verwischen oder falsche Fährten zu legen, ist eine eindeutige Zuordnung zu einem Staat oder einer verbrecherischen Grossorganisation nicht zweifelsfrei möglich. Die Winnti Gruppe ist jedoch für eine Reihe von Angriffen unterschiedlichster Natur verantwortlich. zu machen. Erst in März hat ESET einen Forschungsbericht veröffentlicht, in dem deutlich wird, dass Winnti vor allem asiatische Gamer und die Gaming-Industrie im Visier hatte.

Wie können Unternehmen sich besser schützen - gerade, wenn sie nicht über die Ressourcen eines Grossunternehmens verfügen?
"Unternehmen, egal welcher Grösse, müssen verstehen, dass sie ein beliebtes Ziel für Kriminelle aller Art sind. Das Thema "IT-Security" kommt bei vielen Planungen noch zu kurz, wird schlecht budgetiert oder als Projekt betrachtet, dass mit dem Erwerb einer Antimalware-Lösung abgeschlossen werden kann. Die Sicherheit der zunehmenden Digitalisierung ist jedoch als permanenter Prozess zu verstehen, der innerhalb der Organisation auch gelebt werden muss. Die regelmässige Prüfung und Anpassung des Sicherheitskonzepts und auch die Schulung der eigenen Mitarbeiter ist hierbei zwingend erforderlich. Ein mehrschichtiger Verteidigungsansatz für alle Geräte und zusätzliche Tools, wie ESET Dynamic Threat Defense und ESET Enterprise Inspector können ein umfassendes Detection & Response-Konzept enorm unterstützen. Regelmässige Notfallübungen, inklusive der Ãœberprüfung der Backup-Strategien für den digitalen Ernstfall, gehören ebenfalls zu einem guten Security-Prozess."

Cyber-Stalking war noch nie so weit verbreitet wie heute. Es ist leicht, Menschen im digitalen Raum auszuspähen, zu analysieren und zu verfolgen. Doch vielen Internetnutzern fehlt noch immer die Sensibilität, um ihre Privatsphäre aktiv gerade in den sozialen Netzwerken zu schützen und so kein leichtes Ziel für Stalker zu sein. Fotos, Videos und Daten mit genauen Orts- und Zeitangaben werden arglos in sozialen Medien gepostet. Es gibt sogar so unbedarfte Anwender, die in Echtzeit ihre Standortdaten mit ihren Followern teilen. Nutzer lassen sich dadurch fast lückenlos tracken. Stalker können mit diesen Daten mühelos ganze Bewegungsprofile erstellen und dem Opfer jederzeit auflauern. In seinem aktuellen Blog-Artikel berichtet der ESET Sicherheitsexperte Jake Moore von alarmierenden persönlichen Erfahrungen und gibt Tipps für einen besseren Schutz der eigenen Privatsphäre.

"Während meiner Zeit als IT-Forensiker der britischen Polizei konnte ich verfolgen, wie weit Stalker gegangen sind, um ihre Opfer zu belästigen und zu peinigen", so Jake Moore, ESET Security Specialist. "Ich habe Berichte und Datensätze gelesen, die nicht nur beängstigend waren, sondern in einigen Fällen sogar tödlich endeten." Cyber-Stalking bedarf dabei auf Seiten der Täter leider kein hohes technisches Know-how oder umfangreiche Spionage-Tools. Die effektive Nutzung Sozialer Netzwerke reicht häufig vollkommen aus. "Cyber-Stalking muss stärker in den gesellschaftlichen Fokus rücken", fordert zudem Thomas Uhlemann, ESET Security Specialist DACH. "Um Internetnutzer umfassend auszuspähen, bedarf es keines technischen Wissens. Anwender sollten in den sozialen Netzwerken, genau wie im echten Leben, stets misstrauisch sein und ihre Privatsphäre schützen."

Tipps für mehr Sicherheit in den sozialen Netzwerken
- Persönliche Daten schützen: Geben Sie nur Daten, Fotos oder Videos von sich preis, die sie theoretisch allen Internet-Nutzern mitteilen würden. Das Web ist wie eine grosse Pinnwand und darauf kann jedes Mitglied zugreifen, ohne Eingangskontrolle.

- Privatsphären-Schutz aktivieren: Viele Plattformen, wie Facebook, Instagram und Co., bieten Einstellmöglichkeiten für die Privatsphäre. Nehmen Sie sich die Zeit und richten Sie diese nach ihren persönlichen Bedürfnissen ein. Verlassen Sie sich auf keinen Fall auf die Standardeinstellungen.

- Prüfen Sie Kontaktanfragen genau: Immer wieder stellen unbekannte Mitglieder in sozialen Netzwerken Kontaktanfragen. Bleiben Sie misstrauisch, auch wenn vielleicht ein gemeinsamer Freund besteht, womöglich hat ihr bereits bestehender Kontakt unbedarft der Anfrage des Fremden zugestimmt. Erkundigen Sie sich ausserhalb der sozialen Netzwerke wenn möglich nach der Glaubwürdigkeit. Die Regel sollte aber lauten: Im Zweifel ablehnen!

Ungenutztes Konto löschen: Wenn Sie ein Konto in einem sozialen Netzwerk nicht mehr nutzen, sollten Sie es löschen. Häufig ist diese Funktion versteckt. Gründe für den Austritt müssen Sie nicht nennen, auch wenn bei einigen Plattformen eine Aufforderung erscheint.

- Kinder über Gefahren aufklären: Viele Kinder und Jugendliche sind sich häufig gar nicht bewusst, welche Gefahren in sozialen Netzwerken lauern. Der Spass geht ihnen meistens vor Sicherheit. Eltern sollten hier Interesse zeigen und mit den Kindern reden. Das stärkt ihre Medienkompetenz und schafft Vertrauen.

Social Engineering gilt heute als eine der grössten Sicherheitsbedrohungen für Unternehmen. Im Gegensatz zu traditionellen Hacking-Angriffen können Social Engineering-Angriffe auch nicht-technischer Natur sein und müssen nicht zwingend eine Kompromittierung oder das Ausnutzen von Software- oder System-Schwachstellen beinhalten. Im Erfolgsfall ermöglichen viele Social-Engineering-Angriffe einen legitimen, autorisierten Zugriff auf vertrauliche Informationen. Die Social Engineering-Strategie von Cyberkriminellen fusst auf starker zwischenmenschlicher Interaktion und besteht meist darin, das Opfer dazu zu verleiten, Standard-Sicherheitspraktiken zu missachten. Und so hängt der Erfolg von Social-Engineering von der Fähigkeit des Angreifers ab, sein Opfer so weit zu manipulieren, dass es bestimmte Aktionen ausführt oder vertrauliche Informationen preisgibt. Da Social-Engineering-Angriffe immer zahlreicher und raffinierter werden, sollten Organisationen jeder Grösse eine intensive Schulung ihrer Mitarbeiter als erste Verteidigungslinie für die Unternehmenssicherheit betrachten.

Die Strategie der Cyberkriminellen: Trickbetrüger des digitalen Zeitalters
Social Engineering-Angreifer sind letztlich eine moderne Spielart der klassischen Trickbetrüger. Häufig verlassen sich diese Kriminellen auf die natürliche Hilfsbereitschaft von Menschen: Zum Beispiel rufen sie bei ihrem Opfer an und geben ein dringendes Problem vor, das einen sofortigen Netzwerkzugang erfordert. Social Engineering-Angreifer nutzen gezielt bestimmte menschliche Schwächen wie Unsicherheit, Eitelkeit oder Gier aus und verwenden Informationen, die sie aus Lauschangriffen oder dem Ausspionieren sozialer Medien gewonnen haben. Dadurch versuchen sie, das Vertrauen autorisierter Benutzer zu gewinnen, damit ihre Opfer sensible Daten preisgeben, mit Malware infizierte E-Mail-Anhänge öffnen, oder sie deren Zugangsdaten für Computernetzwerke oder Datenspeicher stehlen können. Auch durch den Aufbau eines Schreckensszenarios wie einem angeblichen Sicherheitsvorfall können sie ihre Zielperson dazu bewegen, beispielsweise als Antiviren-Software getarnte Malware zu installieren und auszuführen.

Häufige Social Engineering-Methoden im Ãœberblick
Technologielösungen wie E-Mail-Filter, Firewalls und Netzwerk- oder Daten-Ãœberwachungs-Tools helfen zwar, Social Engineering-Attacken abzuschwächen, doch eine gut geschulte Belegschaft, die in der Lage ist, Social Engineering zu erkennen, ist letztlich die beste Verteidigung gegen diese Art Angriffe. Unternehmen sollten ihre Mitarbeiter deshalb umfassend über die gängigen Arten von Social-Engineering aufklären. Im Folgenden daher ein Ãœberblick zu verschiedenen Angriffstechniken, deren Ãœbergänge teilweise fliessend sind und von Kriminellen auch in Kombination eingesetzt werden.

Pretexting: Geschicktes Vortäuschen falscher Tatsachen
Beim Pretexting schützt ein Angreifer geschickt falsche Tatsachen vor, um ein Opfer dazu zu bringen, ihm Zugang zu sensiblen Daten oder geschützten Systemen zu gewähren. Beispielsweise gibt ein Krimineller vor, Bankdaten zu benötigen, um die Identität des Empfängers zu bestätigen. Oder er tarnt sich als Mitarbeiter der IT-Abteilung, um sein Opfer dazu zu verleiten, Login-Daten preiszugeben oder einen Computerzugang zu gewähren. Angreifer führen Köderangriffe durch, indem sie ein mit Malware infiziertes Gerät wie ein USB-Flash-Laufwerk, an einem bestimmten Ort im Unternehmen zurücklassen, an dem es wahrscheinlich gefunden wird. Wenn ein Mitarbeiter den Datenträger mit seinem Computer verbindet, um beispielsweise zu sehen, was sich darauf befindet, wird der Rechner heimlich mit Malware infiziert. Einmal installiert, erlaubt die Malware dem Angreifer, in das System des Opfers einzudringen.

Phishing: Von gefälschten Geschäftsemails bis zum vermeintlichen Spendenaufruf
Bei einem Phishing-Angriff tarnen Cyberkriminelle sich als vertrauenswürde Quelle und nehmen eine betrügerische Kommunikation mit ihrem Opfer auf, um es dazu zu verleiten, Malware zu installieren oder persönliche, finanzielle oder geschäftliche Informationen herauszugeben. E-Mail ist der beliebteste Vektor für Phishing-Angriffe, aber Phishing kann auch Chat-Anwendungen, Social Media, Telefonanrufe (auch Vishing oder Voice Phishing genannt) oder gefälschte Websites verwenden. Einige besonders perfide Phishing-Angriffe täuschen gezielt wohltätige Zwecke vor dem Hintergrund aktueller Naturkatastrophen oder anderen tragischen Vorfällen vor. So nutzen sie den guten Willen ihrer Opfer aus, um durch einen Spendenaufruf an persönliche Daten oder Zahlungsinformationen gelangen.

Watering-Hole-Attacke
Bei einer Watering-Hole-Attacke (Auflauern am Wasserloch) wählt der Angreifer sorgfältig eine bestimmte Website aus, von der er weiss, dass seine Opfer diese häufig besuchen, und infiziert die Homepage mit Malware. Zielpersonen sind meist Mitarbeiter von grossen Unternehmen oder Regierungsstellen. Ein Beispiel wäre die Webseite eines lokalen Restaurants, in denen Mitarbeiter ihre Pause verbringen, beispielweise regelmässig das Tages- oder Wochenangebot abrufen oder den Lieferservice in Anspruch nehmen.

Spear-Phishing: Gezieltes Ausspähen und Angreifen eines Opfers
Spear-Phishing ist eine sehr gezielte Art von Phishing-Angriff, die sich auf eine bestimmte Person oder Organisation konzentriert. Spear Phishing-Angriffe verwenden persönliche Informationen, die spezifisch auf das Opfer zugeschnitten sind, um Vertrauen zu gewinnen und besonders legitim zu erscheinen. Oftmals werden diese Informationen aus den Social Media-Accounts der Opfer oder anderen Online-Aktivitäten entnommen. Durch die Personalisierung ihrer Phishing-Taktiken haben Spear-Phisher höhere Erfolgsquoten, wenn es darum geht, ihre Opfer dazu zu bringen, Zugang zu Systemen gewähren oder sensible Informationen wie Finanzdaten oder Geschäftsgeheimnisse preiszugeben. Social Engineering ist eine anhaltende Bedrohung für viele Organisationen. Mitarbeiterschulungen sind deshalb die erste und wichtigste Massnahme, um zu verhindern, dass Unternehmen Opfer von Angreifern werden, die immer ausgefeiltere Methoden einsetzen, um Zugang zu sensiblen Daten zu erhalten. Durch Sensibilisierung der Mitarbeiter in Kombination mit entsprechenden Security- und Datensicherheitstechnologien kann dieses Risiko erheblich minimiert werden.

Rund die Hälfte aller Unternehmen hatte in den vergangenen zwölf Monaten Datenverluste zu beklagen (Quelle: Computer Weekly). Verloren gegangene Informationen gehören zu den grössten Gefahren, auch für Privatanwender. Immer wieder werden Lecks bekannt, bei denen zum Teil Millionen Nutzerdaten gestohlen werden. Für Unternehmen haben Datenpannen unter Umständen schwere Imageschäden und hohe Strafen zur Folge. Für Anwender kann das den Verlust von persönlichen Fotos und Erinnerungen oder sogar finanzielle Schäden bedeuten, weil beispielsweise Kontoinformationen frei ins Internet gelangen. Der Grund für solche Datenverluste sind vielfältig und reichen von technischen über menschliche Fehler bis hin zu Cyberangriffen. Der "World Backup Day" am 31. März soll jährlich an die Bedrohung durch Datenverluste erinnern und zur regelmässigen Sicherung sensibler Informationen aufrufen.

"Die regelmässige Sicherung wichtiger Daten sollte für alle Pflicht sein - egal, ob Unternehmen oder Privatanwender", meint Thomas Uhlemann, ESET Security Specialist. "Eine Kopie allein dabei reicht oft nicht. Persönliche Dokumente und Erinnerungen sollten lokal sowie verschlüsselt in der Cloud gesichert werden."

Backups regelmässig erstellen
Privatanwender können Datensicherungen, sogenannte Backups, sehr einfach mit externen Speichermedien, wie USB-Sticks oder Netzwerkspeichern, erstellen. Eine weitere Möglichkeit besteht darin, auf Cloudspeicher-Angebote zurückzugreifen. Nutzer müssen hierbei für sich entscheiden, ob sie die Daten lieber lokal bei sich zu Hause speichern oder einen externen Dienstleister nutzen wollen. Die Cloud bietet den Vorteil, dass die Daten dort nahezu ausfallsicher gespeichert sind. Der Nachteil ist aber, dass diese Daten dem Kontrollbereich des Anwenders entzogen sind. Erhalten Fremde darauf Zugriff, kann das zu einem Problem werden.

Drei Tipps für die effektive Datensicherung
- Saubere Backups erstellen: Eine leistungsfähige Sicherheitslösung ist Pflicht. Ansonsten besteht die Gefahr, dass Datensicherungen mit Computerschädlingen erstellt werden und zu digitalen Zeitbomben werden.

- Externe Speichermedien trennen: Sind Backups auf das Medium eingespielt, sollte dieses vom Computer getrennt werden. Ansonsten besteht die Gefahr, dass zum Beispiel bei einer Ransomware-Attacke auch die Sicherungen verschlüsselt werden.

- Datensicherung regelmässig aktualisieren: Backups sollten regelmässig aktualisiert werden. Häufig sichern Anwender insbesondere wichtige Dokumente, Fotos und Videos. Es ist aber auch möglich ein gesamte Festplatte zu sichern. Hier bietet zum Beispiel Windows bereits von Haus aus eine Backup-Funktion. Diese Sicherungen sollten aber generell regelmässig erneuert werden, um bei einem Datenverlust keine böse Ãœberraschung zu erleben.

ESET-Forscher haben die neuesten Methoden der Spionagegruppe OceanLotus (auch bekannt als APT32 und APT-C-00) aufgedeckt. Derzeit nutzen die Angreifer eine bekannte Sicherheitslücke in Microsoft Office aus (CVE-2017-11882) und erlangen über ein schädliches .rtf-Dokument Zugriff auf die Systeme. Zudem hat die Gruppe einen Weg gefunden, Schadprogramme einzuschleusen, dabei jedoch kaum Spuren zu hinterlassen. Die Angreifer vereinen dabei eine grosse Bandbreite von Techniken und verbessern diese kontinuierlich, um unentdeckt zu bleiben. Aktuelle Analysen der ESET-Forscher zeigen, dass OceanLotus weiterhin gezielt Regierungen und Behörden in Südostasien attackieren.

"OceanLotus ist weiterhin sehr aktiv und entwickelt sich kontinuierlich weiter", erklärt Thomas Uhlemann, ESET Security Specialist. "Die Gruppe verfeinert ihre Techniken, damit gezielte Angriffe noch erfolgreicher durchgeführt werden können. Daher gehen wir davon aus, dass wir von OceanLotus in den nächsten Monaten noch einiges hören werden."