Schlagwort-Archiv: Datenschutz

Sicheres Bezahlen ohne Datenspur

Bezahlen mit dem Smartphone wird im Nahverkehr immer beliebter. Aber ist es auch sicher? (Foto: Gabi Zachmann/KIT)

Bezahlen mit dem Smartphone wird im Nahverkehr immer beliebter. Aber ist es auch sicher? (Foto: Gabi Zachmann/KIT)

Ob als Smartphone-App für die Fahrkarte im Nahverkehr, als Geldwertkarten für das Schwimmbad oder in Form einer Bonuskarte für den Supermarkt: Für viele gehören „elektronische Geldbörsen“ längst zum Alltag. Doch vielen Kunden ist nicht klar, dass sie mit der Nutzung dieser Angebote weitestgehend auf ihre Privatsphäre verzichten. Am Karlsruher Institut für Technologie (KIT) entsteht ein sicheres und anonymes System, das gleichzeitig Alltagstauglichkeit verspricht. Es wird nun auf der Konferenz ACM CCS 2017 in den USA vorgestellt.

Bonussysteme als Datenschleudern

Es ist vor allem das fehlende Problembewusstsein, das den Informatiker Andy Rupp von der Arbeitsgruppe „Kryptographie und Sicherheit“ am KIT immer wieder erstaunt: „Den wenigsten Nutzern ist nach meiner Beobachtung klar, dass sie mit der Teilnahme an solchen Bonus- oder Zahlungssystemen detailgetreu offenlegen wie und was sie konsumieren oder welche Wege sie zurücklegen.“ Denn um eine Manipulation der Konten durch unehrliche Nutzer vorzubeugen, werden die Kundendaten und Kontostände bei Zahlungs- und Bonussystemen.

Der Kunde wird bei jedem Zahlungsvorgang identifiziert und die Details seiner Transaktion der zentralen Datenbank mitgeteilt. Dieser wiederholte Identifikationsvorgang führt zu einer Datenspur, die durch den Anbieter oder durch Dritte missbraucht werden könnte.

Mit dem scheinbaren Widerspruch von Privatsphäre und Sicherheit wollte sich der Kryptographie-Experte nicht abfinden und hat nun gemeinsam mit Gunnar Hartung und Matthias Nagel vom KIT sowie Max Hoffmann von der Ruhr-Universität Bochum die Grundlagen einer „elektronischen Geldbörse“ vorgestellt, die anonym funktioniert, gleichzeitig aber Missbrauch verhindert.

Protokoll „black-box accumulation plus“ (BBA+)

Das von ihnen entwickelte Protokoll „black-box accumulation plus“ (BBA+) verlagert dabei alle notwendigen Kontoinformationen auf die verwendete Karte oder das Smartphone und garantiert mithilfe kryptographischer Methoden deren Vertraulichkeit. Gleichzeitig bietet BBA+ aber auch Sicherheitsgarantien für den Betreiber des Bonus- oder Zahlungssystems: Das Protokoll garantiert den korrekten Kontostand und ist mathematisch zudem so konstruiert, dass die Identität eines Nutzers aufgedeckt wird, sobald versucht wird, mit einem manipulierten Konto zu bezahlen.

Das neue Protokoll „BBA+“macht  elektronisches  Bezahlen sicher und  vertraulich  (Foto: Gabi Zachmann/  KIT)

Das neue Protokoll
„BBA+“macht
elektronisches
Bezahlen sicher und
vertraulich
(Foto: Gabi Zachmann/
KIT)

Das neue Protokoll ist die Weiterentwicklung eines anonymen Bonuskartensystems, das ebenfalls von der KIT-Forschungsgruppe entwickelt wurde. Allerdings war es dabei notwendig beim Sammeln und Einlösen von Punkten eine Internetverbindung zu gewährleisten, um einen Missbrauch zu verhindern.

„Unser neues Protokoll garantiert nun die Privatsphäre und Sicherheit der Kunden auch im Offline-Betrieb“, sagt Andy Rupp. „Das ist wichtig für die Alltagstauglichkeit eines Zahlungssystems. Denken Sie etwa an ein U-Bahn Drehkreuz oder an Mautbrücken, dort besteht vielleicht gar keine oder nur eine zu langsame Internetverbindung.“ Alltagstauglich wird das neue Protokoll auch durch dessen eindrucksvolle Effizienz: Bei ersten Testläufen konnten die Forscher Zahlungen in etwa einer Sekunde abwickeln.

 

Dauerhafte Überwachung: Google Home Mini zeichnete jedes Geräusch auf

Der Journalist Artem Russakovskii war einer der ersten Besitzer eines Google Home Mini. Er integrierte den smarten Lautsprecher in seinem Bad bis er nach einigen Tagen feststellen musste, dass der Mini jedes Geräusch aufzeichnete, berichtet „basicthinking“. …mehr

 

 

Darum lehnen Verbraucher Gesichtserkennung in Geschäften ab

Deutsche Kunden wollen nicht, dass ihre Gesichter beim Einkaufen gescannt werden. Vor allem nicht, wenn sie als Resultat personalisierte Werbung vorgeführt bekommen. Wie eine Umfrage jetzt zeigt, würden viele sogar Geschäfte meiden, die diese Technik einsetzen, berichtet „Wired“. …mehr ..

 

 

Gesichtserkennung und Privatsphäre sind kein Widerspruch – sagt Apple

Apple-Manager Phil Schiller präsentierte das iPhone X am 12. September erstmals öffentlich. Face ID scannt Gesichter der Nutzer, um das Handy zu entsperren. Jetzt erklärt Apple, wie Face ID funktioniert und Nutzerdaten schützt. Experten bleiben aber skeptisch, schreibt die „Süddeutsche“. … mehr

 

So können Hacker Sprachsteuerungen unhörbar manipulieren

Forscher der Universität Princeton haben einen Weg gefunden, die Sprachsteuerung digitaler Assistenten zu kapern. Ein solcher Hacker-Angriff über das Mikrofon wäre für Menschen entweder unhörbar oder nur als zufälliges Geplapper wahrnehmbar, berichtet „Wired“. …mehr

 

 

So nehmen Hacker privilegierte Benutzerkonten ins Visier

Privilegierte Benutzerkonten spielen bei Cyber-Attacken eine Schlüsselrolle. Gelingt es Hackern, die Kontrolle über solche Konten zu gewinnen, können sie hochsensible Informationen stehlen, Sicherheitsmechanismen aushebeln oder geschäftskritische Prozesse, Systeme und Anwendungen manipulieren. Aus diesem Grund setzen sie alles daran, in den Besitz der Zugangsdaten für privilegierte Benutzerkonten zu gelangen. CyberArk erläutert die sechs häufigsten Methoden, die sie dabei anwenden.

Keystroke Logging

Hierbei werden mit Hilfe einer eingeschleusten Schadsoftware die Eingaben eines Benutzers an der Tastatur protokolliert. Ein Keylogger kann entweder sämtliche Daten aufzeichnen oder gezielt auf bestimmte Eingaben warten.

Brute-Force-Attacken

Bei dieser Methode versuchen Hacker Kennwörter zu erraten, indem sie mit Unterstützung einer speziellen Software einfach sämtliche mögliche Kombinationen durchprobieren. Je kürzer und einfacher die Kennwörter sind, und je seltener sie geändert werden, desto höher ist die Erfolgswahrscheinlichkeit.

Memory Scraping

Eine Malware zapft den Arbeitsspeicher von PCs an und sucht dort nach Zugangsdaten. Das können Kennwörter sein, die im Klartext gespeichert sind, oder Hashes in Windows-Umgebungen, die sich für Pass-the-Hash-Attacken nutzen lassen.

Passwort-Spreadsheets

Viele Unternehmen halten ihre Passwörter nach wie vor in zentralen Tabellen vor. Das macht sie zu einem besonders lohnenden Ziel für Cyber-Kriminelle.

Social-Engineering

Hierbei geben sich Hacker, etwa in E-Mails, täuschend echt als Bekannte oder Kollegen aus. Auf diesem Weg versuchen sie, ihre Opfer zur freiwilligen Preisgabe von Zugangsdaten zu bewegen.

Hart-kodierte Zugangsdaten

Häufig suchen Cyber-Kriminelle auch nach Passwörtern oder SSH-Keys, die sich in den Programmiercodes von Anwendungen, in Scripts oder in Konfigurationsfiles befinden. Sie ermöglichen weitreichende Zugriffe, werden aber häufig jahrelang nicht geändert.

„Den meisten Unternehmen ist inzwischen bewusst, dass privilegierte Zugangsdaten bei Cyber-Attacken die entscheidende Rolle spielen. Dennoch werden sie häufig nicht ausreichend geschützt“, sagt Michael Kleist, Regional Director DACH bei CyberArk in Düsseldorf.

So halten viele Unternehmen nach Erfahrung des Experten ihre Kennwörter in Spreadsheets vor, ändern die Zugangsdaten viel zu selten, oder räumen den Usern oft unnötigerweise volle Administrations-Rechte auf PCs und Servern ein. Darüber hinaus sind die herkömmlichen IT-Security-Maßnahmen gegen moderne Cyber-Angriffe häufig machtlos. Das Eindringen von Schadsoftware, die dem Ausspionieren von Zugangsdaten dient, kann durch Perimeter-Absicherung oft nicht verhindert werden.

Vernetztes Spielzeug: Bundesnetzagentur hat Datenschutzbedenken

Die Regulierungsbehörde geht nicht nur gegen den Vertrieb der Puppe „My Friend Cayla“ vor, sondern hat insgesamt bislang rund 160 Verfahren gegen sendefähiges Spielzeug eingeleitet. Beim Roboter „i-Que“ sieht sie noch wenig Handlungsbedarf, berichtet „Heise“. …mehr

 

Neue Phase der Beziehung zwischen Menschen und Maschinen im Jahr 2030

2030_TechnologiesBis zum Jahr 2030 wird sich die Beziehung von Menschen zu Maschinen in Richtung einer umfassenderen Interaktion verändern: Menschen werden in Arbeit und Alltag als digitale Dirigenten fungieren und die Art und Weise, wie gelebt und gearbeitet wird, wird sich radikal verändern. Das ist eines der zentralen Ergebnisse einer internationalen Untersuchung von Dell Technologies, wie neue Technologien in den kommenden Jahren die Gesellschaft und das Arbeiten verändern werden.

Im Jahr 2030 werden alle Unternehmen Technologie-Unternehmen sein – sie müssen daher schon heute darüber nachdenken, wie sie ihre Infrastruktur und ihre Mitarbeiter zukunftssicher machen können; das stellt eine Untersuchung von Dell Technologies fest, die vom Institute for the Future mit 20 internationalen Experten aus Technologie, Wissenschaft und Business durchgeführt wurde. Untersucht wurde dabei, wie neue Technologien wie Künstliche Intelligenz, Robotik, virtuelle Realität, Augmented Reality oder Cloud Computing das Leben und Arbeiten im nächsten Jahrzehnt verändern werden.

 The Next Era of Human-Machine Partnerships

Der Report mit dem Titel „The Next Era of Human-Machine Partnerships“  zeigt, dass sich Konsumenten und Unternehmen vor allem auf die folgenden Entwicklungen vorbereiten müssen:

• Bis zum Jahr 2030 wird die Abhängigkeit von Technologie zu einer neuen Art der Interaktion zwischen Menschen und Maschinen führen, die Kreativität und unternehmerische Denkweise fördert.

• 2030 werden personalisierte Assistenten, die auf Basis von Künstlicher Intelligenz (KI) arbeiten, ganz neue Möglichkeiten für die Unterstützung von Menschen schaffen.

• Technologie wird nicht notwendigerweise Arbeitskräfte ersetzen, aber der Prozess, Arbeit zu finden und zu gewinnen, wird sich ändern. Der Arbeitsplatz wird in vielen Fällen kein konkreter Ort mehr sein.

• Ein Großteil der Berufe des Jahres 2030, geschätzt rund 85 Prozent, ist heute noch nicht erfunden. Die Fähigkeit, neues Wissen zu gewinnen, wird von zentraler Bedeutung sein; Technologien wie Augmented Reality und Virtual Reality werden dabei auf breiter Basis genutzt werden.

Der Bericht geht davon aus voraus, dass die neuen Technologien – angetrieben durch massive Fortschritte in Software, Big Data und Rechenleistung – das Leben umgestalten werden. Die ganze Gesellschaft wird damit auch in eine neue Phase der Beziehung zwischen Menschen und Maschinen eintreten, die durch folgende Aspekte charakterisiert wird:

• Automation wird wesentlich effizienter sein und die Menschen in vielen neuen Anwendungsfeldern unterstützen.

• Menschen werden als digitale Dirigenten die Arbeit und alle täglichen Aktivitäten besser steuern.

• Durch neue, datengetriebene Vermittlungs-Technologien können Unternehmen auf Talente aus aller Welt zurückgreifen.

„Die Digitale Transformation verändert Wirtschaft und Gesellschaft, aber was dabei genau auf uns, auf einzelne Branchen, aber auch auf jeden von uns persönlich zukommt, lässt sich noch nicht absehen. Nur so viel erscheint heute sicher: Die Umwälzungen werden nicht irgendwann passieren, sondern sind bereits in vollem Gange: 2030 ist morgen“, erklärt Doris Albiez, Senior Vice President & General Manager Dell EMC Deutschland. „Es ist daher höchste Zeit, sich Gedanken über diese unmittelbare Zukunft zu machen, denn nur so können wir uns gut vorbereiten. Und genau darum geht es Dell Technologies mit der vorliegenden Untersuchung und den sich daran anschließenden Aktivitäten zu diesem Thema. Wir wollen besser darüber Bescheid wissen, wie unsere Zukunft aussieht.“

Neue Spione in den Straßen, auf den Plätzen und in den Läden – Interaktive Werbeflächen aus ethischer Sicht

Der vorliegende Beitrag in „Telepolis“ untersucht das Phänomen digitaler Werbeflächen aus ethischer Sicht. Erstens wird der Begriff des Digital Signage erklärt, unter den der Begriff der interaktiven Werbeflächen subsumiert wird. Typisch für diese sind – abgesehen von den digitalen Bildschirmen – Kameras, Mikrofone, Lautsprecher, Muster-, Bild- und Gesichtserkennung. Zweitens werden Überlegungen aus Sicht von Informations-, Technik- und Wirtschaftsethik und darüber hinaus, etwa im Sinne des Verbraucherschutzes, angestellt. Auch die Maschinenethik wird berücksichtigt. … mehr

 

 

Wie sich Krankenhäuser vor WannaCry & Co. schützen können

imagesDie weltweite Angriffsserie der Erpresser-Malware WannaCry hat Unternehmen, Behörden und Anwender gleichermaßen erschüttert. Innerhalb weniger Stunden und Tage infizierte der gefährliche Trojaner mehr als 200.000 Computer in rund 150 Ländern, verschlüsselte wichtige Daten und forderte Lösegeld. Krankenhäuser des britischen Gesundheitssystems National Health Service (NHS) wurden dabei mit am schwersten getroffen. Einmal mehr wird deutlich, dass die IT-Sicherheit in Krankenhäusern und Gesundheitseinrichtungen der aktuellen Bedrohungslage nicht mehr gewachsen ist.

Eine Sicherheitslücke in Microsoft-Windows und ein verpasstes Sicherheitsupdate wurden rund 45 Kliniken in England und Schottland unlängst zum Verhängnis: Sie infizierten sich mit dem gefährlichen WannaCry-Trojaner und mussten sich daraufhin für viele Stunden von einem normalen Verwaltungs- und Behandlungsablauf verabschieden.

Etliche Erkrankte – darunter auch Krebspatienten –, deren Daten nicht zur Verfügung standen, mussten unbehandelt nach Hause geschickt oder in andere Kliniken umgeleitet werden.

Veraltete Infrastrukturen und verspätete Updates

Dass keine Krankenhäuser im deutschsprachigen Raum von der Ransomware-Welle betroffen waren – zumindest wurden keine Angriffe öffentlich bekannt – ist dabei wohl nur Zufall. Denn auch hierzulande ist es um die IT-Sicherheit im Gesundheitswesen alles andere als gut bestellt. Nimmt man die Krankenhaus-IT einmal genauer unter die Lupe, stößt man in vielen Kliniken auf veraltete Netzwerke, Soft- und Hardware.

Auch in deutschen Kliniken laufen viele PCs aber auch lebenswichtige Medizingeräte noch auf Windows XP, für das es schon lange Zeit keinen offiziellen Support mehr gibt. Der Großteil der Updates wird von den Verantwortlichen, wenn überhaupt, verspätet oder unvollständig ausgeführt. Die Gründe für diese Vernachlässigung sind dabei vielfältig. Fehlendes Budget für neue Software, Security-Experten oder Mitarbeiterschulungen dürften hier jedoch ausschlaggebend sein.

Zur Verteidigung der Krankenhäuser ist jedoch zu sagen: Das zeitnahe Einspielen von Updates ist für Kliniken wie für viele andere Unternehmen und Behörden nicht immer so einfach wie man gerne annehmen möchte und geht mit Abwägungen einher. Was ist, wenn die Softwareaktualisierung Probleme bereitet und es zu Konflikten innerhalb des Systems kommt, die einen kompletten System-Ausfall nach sich ziehen?

Auch dies kann letztlich den Arbeits- und Verwaltungsbetrieb oder aber die lebenswichtige Intensivpflege eines Patienten beeinträchtigen. Kein Wunder also, dass Updates verschoben werden und IT-Verantwortliche notgedrungen hinnehmen, dass sich Sicherheitslücken einschleichen.

Dabei ist diese Fahrlässigkeit in zweifacher Hinsicht fatal: Denn einerseits zählen Gesundheitseinrichtungen zu den kritischen Infrastrukturen des Landes, d.h. zu den Einrichtungen, deren Ausfall Versorgungsengpässe und Störungen der Sicherheit nach sich ziehen. Andererseits sind Gesundheitseinrichtungen für Cyberkriminelle auch ein besonders attraktives Ziel, da sie Unmengen an sensiblen personenbezogenen Daten speichern. Immerhin werden im Dark Web gestohlene Patientendaten mittlerweile höher gehandelt als gestohlene Kreditkarteninformationen. Eine angemessene IT-Sicherheit auf aktuellstem Stand ist für Krankenhäuser und Kliniken also mehr als wichtig.

Endpunktschutz: Nur verhaltensbasierte Lösungen schützen wirklich

Eine Nachlässigkeit, die man IT-Verantwortlichen in Krankenhäusern jedoch nicht verzeihen kann, ist der Einsatz unzureichenden Endpunktschutzes. Noch heute verlassen sich viele Gesundheitseinrichtungen bei der Abwehr von Schadsoftware auf herkömmliche Antivirus-Lösungen, die schadhafte Dateien, URLs oder IP-Adressen mit Hilfe eines signaturbasierten Ansatzes aufspüren und bei der Identifizierung von hochentwickelten und verschleierten Angriffen daher versagen müssen.

Erst im Januar dieses Jahres offenbarte eine Befragung von SentinelOne, dass 30 Prozent der britischen NHS-Einrichtungen bereits Opfer eines Ransomware-Angriffs wurden und das, obwohl fast alle befragten Krankenhäuser Antivirus-Software installiert haben, um ihre Endgeräte vor Malware zu schützen. Dass herkömmliche Sicherheitstechnologien im Kampf gegen bösartige Malware-Formen ohnmächtig sind, steht also außer Frage, nicht aber, warum die IT-Verantwortlichen diese Unzulänglichkeit  hinnehmen und damit Angriffe wie WannaCry Tür und Tor öffnen, anstatt zu handeln.

Tatsache ist: Bereits heute existieren Endpoint Protection-Lösungen, die den signaturbasieren Ansatz hinter sich lassen und bei der Erkennung von Schadcode neue, effektivere Wege gehen. Endpunktschutz der nächsten Generation nutzt innovative Technologien wie maschinelles Lernen und dynamische Verhaltensanalysen, die Einblick in den Modus Operandi der Malware gewähren, ihr Vorgehen aufdecken und schädliche Manipulationen verhindern. Da diese Lösungen in der Lage sind, schadhaften Code anhand seines Laufzeitverhaltens zu erkennen, können auch völlig neuartige und bisher unbekannte Varianten identifiziert werden. Die WannaCry-Angreifer hätten keine Chance gehabt!

Sicherheit hat im Gesundheitswesen in vielerlei Hinsicht oberste Priorität. Bei der Umsetzung einer adäquaten IT-Sicherheit hapert es jedoch nach wie vor. Vor allem aus rechtlicher Sicht begeben sich Kliniken und ihre Geschäftsführer damit jedoch auf dünnes Eis, denn Bundesdatenschutzgesetz, BSI-Gesetz, NIS-Richtlinie und die nahende EU-Datenschutzgrundverordnung stellen an Betreiber kritischer Infrastrukturen mittlerweile hohe Anforderungen.

Um Datenrechtsverletzungen und damit verbundenen Bußgeldern vorzubeugen, müssen Krankenhäuser für eine ausreichende technische Ausstattung sorgen und die entsprechenden organisatorischen Maßnahmen schaffen, um Cyberangriffe bestmöglich abzuwehren und im Krisenfall schnell und rechtssicher agieren zu können.

 Autor: Rainer M. Richter, CEE, SentinelOne

 

 

 

Nein, die deutsche Polizei kann WhatsApp nicht hacken

(Bildquelle: Battle_Hack_Berlin_2014)

(Bildquelle: Battle_Hack_Berlin_2014)

Strafverfolger bekommen mehr Rechte, zumindest im digitalen Umfeld. Der Bundesrat hat Anfang Juli 2017 die Einsatzbereiche für die Quellen-TKÜ, den sogenannten Staatstrojaner, gelockert. Das hat im Gegenzug eine Reihe von übertrieben oder schlicht falschen Meldungen generiert – u.a. geistert die Meldung durchs Web, wonach die Polizei die Verschlüsselung von Messengern wie Signal oder WhatsApp aufbrechen kann.

 Das ist, gelinde gesagt, übertrieben.

„Leider führt das limitierte technische Wissen einiger Gesetzgeber und Politiker zu Pressemeldungen und Statements, die schlicht lächerlich sind“, sagt Tom Van de Wiele, Security-Consultant bei F-Secure. „Die Aussagen führen dazu, dass die Öffentlichkeit davon ausgeht, dass nur Kriminelle Verschlüsselung nutzen. Dabei wird gerne übersehen, dass Verschlüsselung auch für Banken, das Militär oder zur Sicherung unserer Kommunikation essentiell ist.“

Nehmen wir an, das BKA würde die Verschlüsselung eines Dienstes knacken, was hält Kriminelle davon ab, zu einem Kommunikationssystem zu wechseln? Wikipedia allein kennt 30 verschiedene Dienste mit einer End-zu-End-Verschlüsselung. Die Behörde müsste für jeden Messenger einzelne Hintertüren finden, ausnutzen und dabei sicherstellen, dass diese auch im rechtlichen Rahmen abläuft. Das dürfte sowohl Budget wie auch Know How der deutschen Strafverfolgung übersteigen. „Die Architektur der meisten sicheren Messenger und wie sie verteilt werden verhindert, dass eine Behörde einfach eine modifizierte Version in Umlauf bringen kann“, so Tom Van de Wiele. „Auch kann die End-zu-End-Verschlüsselung nicht einfach aufgebrochen werden. Daher kommen die Rufe nach Hintertüren in Applikationen und der Verschlüsselung.“

Abfangen an der Quelle

Der Staatstrojaner arbeitet anders. Es handelt sich dabei (wahrscheinlich) um mehre Programme, die auf jeweils unterschiedliche Einsatzzwecke und Betriebssysteme zugeschnitten sind. Dabei kann es sich um selbst entwickelte Programme handeln, die im Rahmen der Quellen-TKÜ geschrieben werden. Ebenso wahrscheinlich ist, dass Behörden fertige Tools wie FinFisher der Firma Gamma“ einkaufen. Über diese Firma und deren Software hat das Magazin The Verge eine sehr lesenswerte Reportage geschrieben, auch die Macher von Netzpolitik beschäftigen sich immer wieder mit der Software.

Dieser Ansatz umgeht die Verschlüsselungsproblematik komplett. Einmal auf dem Zielsystem installiert – etwa einem Handy oder PC – können sie den kompletten Datenverkehr mitlesen bevor er verschlüsselt wird. Außerdem hat das Programm Zugriff auf Kontakte, E-Mails, Fotos und Videos oder die Standortdaten. Sogar das Mikrofon lässt sich aktivieren um Geräte in Wanzen zu verwandeln. „Wer das Telefon kontrolliert, der kontrolliert was empfangen und gesendet wird“, so Tom  Van de Wiele.

Das klingt nicht nur wie ein klassischer Trojaner, für einen normalen Beobachter verhalten sich staatliche Überwachungsprogramme wie Malware von Kriminellen. Auch die Infektionswege ähneln sich. Denn irgendwie muss die Schnüffelsoftware auf die Endgeräte gelangen. Auf PCs kann dies etwa durch Mitarbeiter der Behörde erfolgen, parallel zur Verwanzung einer Wohnung im Rahmen des großen Lauschangriffs. Für mobile Geräte ist das etwas schwieriger, da diese selten allein gelassen werden. Hier helfen Ansätze der Cyberkriminellen – mit Tricks wie Phishing oder dem gezielten Zusenden von bösartigen Links lassen sich auch mobile Geräte infizieren.

Wie so eine Attacke funktioniert zeigen die 2015 geleakten Daten der italienischen Firma  Hacking Team. Diese hatte sich auf Programme spezialisiert, die wie der Bundestrojaner arbeiten. Die Macher konnten Android ebenso wie iOS übernehmen – letzteres auch ohne installierten Jailbreak. Es liegt nahe, dass andere Firmen ebenfalls an Lösungen mit diesem Kaliber arbeiten. In die Karten sehen kann man den Firmen nicht.

Moralische Zwickmühle

Je häufiger Behörden einen Quellen-TKÜ einsetzen, desto mehr stolpern sie in eine Zwickmühle. Denn damit ein PC oder ein mobiles Gerät erfolgreich und zuverlässig infiziert werden kann, benötigt man idealerweise Zero-Day-Schwachstellen gegen die es keinen Patch gibt.

Entdeckt eine Behörde eine solche Schwachstelle, steht sie vor der Wahl: Geheimhalten und selbst nutzen oder den Hersteller kontaktieren und alle Nutzer schützen?

Wie schnell ein Horten der Lücken nach hinten losgeht, konnten wir in diesem Jahr bereits zweimal sehen: Sowohl die WannaCry-Ransomware wie auch NotPetya nutzten Angriffsprogramme, die auf den Zero-Day-Fundus der NSA zurückgehen. Diese waren Anfang des Jahres publik geworden und wurden öffentlich im Internet verbreitet.

F-Secure kennt keine Ausnahmen

„Jede verdächtige Aktivität als Resultat von Malware wird von unseren Produkten gleich behandelt – es gibt keine Ausnahmen bei der Quelle“, sagt Tom Van de Wiele. Ein staatlicher Trojaner unterscheidet sich nicht von einem kriminellen Schädling. Tom Van de Wiele weiter: „Es gibt Unterschiede bei der Qualität, aber in einer Welt, in der Malware-Teile gekauft, verkauft und wiederverwendet werden ist eine genaue Zuordnung schwierig. Es gibt Ausnahmen, etwa Stuxnet, aber diese sind wirklich selten.“und Internetbetreibern sowie tausenden von Händlern angeboten.

Wandel mit weltgeschichtlicher Dimension: Wie neue Geschäftsmodelle zwischen Produkt und Daten unsere Welt verändern können

 Die klassischen Unternehmen befinden sich längst im Wettlauf mit den großen Datengiganten wie Google, Amazon oder Facebook. Denn die Geschäftsmodelle der Zukunft entstehen durch die systematische Nutzung von Daten kombiniert mit Kernkompetenzen rund um ein Produkt. Diese Mischung verändert weltweit das gesellschaftliche und wirtschaftliche Gefüge. Möglicherweise stehen wir vor einem Wandel mit weltgeschichtlichen Dimensionen. Meint Deliberate-Geschäftsführer Thomas Denk.

Noch mangelt es Vielen an konkreten Perspektiven. Unternehmenslenker, die in die digitale Transformation einsteigen wollen, stellen sich deshalb zu Beginn des Prozesses häufig Fragen wie diese: Wie kann unsere Zukunft als Unternehmen überhaupt aussehen? In welche Richtung sollten wir denken?

Antworten darauf zeigen sich am Beispiel der Automobilbranche, so Thomas Denk. Sie ist schon heute stark von den Umwälzungen betroffen, die durch Digitalisierung erst möglich werden. Ganz zu schweigen davon, dass der weltweit drohende Verkehrskollaps und der Klimawandel gerade die Autohersteller unter massiven Veränderungsdruck setzen. Ein Druck, der auch die Armada an Zulieferern erfasst hat und sich immer weiter verästelt.

Die Autobauer sind mittlerweile vom Fahrzeugbau zur Mobilitäts-Dienstleistung übergegangen. Thomas Denk: „Es gibt heute keinen Hersteller mehr in diesem Segment, der ausschließlich noch Fahrzeuge baut. Das Thema Mobilität beherrscht die komplette Branche.“

Kapital – Daten – Erfindergeist

Ihre exzellente Wirtschaftslage und die hohe Kapitalisierung setzen die Autobauer in die Lage, viel Geld in Forschung und Entwicklung zu stecken. Dabei denken sie längst über das E-Mobil hinaus. „Es geht um Lösungen, die den Individualverkehr retten und helfen sollen, ganz neue Märkte zu erschließen – oder zu schaffen.“ Dabei spielen Daten die entscheidende Rolle.

So arbeitet die Mobilitätsbranche derzeit weltweit an der Lösung von Parkplatz-Problemen ebenso wie an der Auflösung des Stau-Problems. Auch die Nutzung der Zeiträume, in denen ein Fahrzeug nicht privat genutzt wird, ist Gegenstand intensiver Untersuchungen. Hier lassen sich beispielsweise Wartungs-, Reinigungs- oder Einkaufs-Dienstleistungen kombinieren.

Immense Datenmengen erlauben fundierte Prognosen

„VW etwa forscht gemeinsam mit D-Wave in Peking und demnächst in Barcelona daran, das Stau-Problem zu lösen.“ Erklärtes Ziel ist es, einen drohenden Stau zu erkennen, und zwar 15 Minuten bevor er entsteht. Diese Informationen, so die Idee, werden in die Zielführung der Fahrzeuge eingespeist, der prognostizierte Stau entsteht erst gar nicht.

Quantencomputing macht´s möglich. Die riesigen Datenmengen, die zur Verfügung stehen, erlauben in Kombination mit extrem hoher Rechenleistung hinreichend treffsichere Vorhersagen.

„Man stelle sich nur vor, es gäbe in absehbarer Zeit weitgehend staufreie Städte. Vororte und das Umland würden aufgewertet, die Preise für Immobilien würden sich verschieben, die Wahl von Arbeitsplatz und Wohnort bekäme deutlich mehr Optionen. Und das kombiniert mit autonomem Fahren und weiteren Veränderungen im Individualverkehr auf der Basis extensiver Datennutzung…“

Wettlauf mit den Datengiganten

Das Ziel der Autohersteller ist es, die sich abzeichnende Entwicklung aktiv zu gestalten – und zwar in vorderster Reihe. Der Wettlauf mit den Datengiganten wie Google, Amazon oder Facebook hat schon lange begonnen.

Dabei hat die Branche bislang nichts anderes getan, als sich auf ihre Kernkompetenz Mobilität zu konzentrieren und zu experimentieren. Genau das ist es, was andere Unternehmen jetzt tun sollten, um den immer schneller fahrenden Digitalisierungszug nicht zu verpassen.

Nach Überzeugung von Thomas Denk sind Innovationen wie die skizzierten geeignet, „unser gesellschaftliches und wirtschaftliches Gefüge massiv zu verändern.“ Denn die Autobranche ist ja nur eine von vielen, die vor solchen Veränderungen stehen. Kurz: Es sieht ganz danach aus, als könnte die digitale Transformation der Beginn eines Paradigmenwechsels ungeahnten Ausmaßes sein.

„Möglicherweise stehen wir vor einem Wandel mit weltgeschichtlichen Dimensionen. Wer die dabei neu entstehenden Märkte rechtzeitig besetzen will, braucht die richtigen Partner und Geschäftsmodelle. Und muss den Wandel aktiv mitgestalten.“

 

 

Bitdefender Expertise hilft internationalen Strafverfolgungsbehörden beim Abschalten globaler Dark Markets

hansaMit Unterstützung der Experten von Bitdefender ist es Europol, FBI und dem US-amerikanischen Justizministerium gelungen, Hansa, den weltweit drittgrößten kriminellen Cyber-Marktplatz, zu schließen.

Forscher von Bitdefender arbeiteten mit Europol und anderen Strafverfolgungsbehörden daran, technisches Beweismaterial zusammenzutragen, das zur Schließung von Hansa geführt hat. Dort wurden illegale Drogen, gefälschte Produkte, Schusswaffen, Schadsoftware und andere rechtswidrige Produkte gehandelt. Die Operation ist das Ergebnis von mehr als einem Jahr an investigativer Arbeit. Bitdefender ist ein führender Anbieter von Internet Security Technologie, der weltweit 500 Millionen Anwender schützt.

Anfang Juli war bereits AlphaBay, der größte kriminelle Cyber-Marktplatz der Welt, wo vergleichbare illegale Güter wie bei Hansa verfügbar waren, geschlossen worden. Schätzungen gehen davon aus, dass dort Waren im Wert von mehr als einer Milliarde US-Dollar verkauft wurden. Danach war ein massenhafter Umzug der kriminellen Aktivitäten hin zu Hansa zu beobachten.

„Europol hat die Ermittlung zu kriminellen Marktplätzen im Dark Web seit mehreren Jahren unterstützt. Mithilfe von Bitdefender, einer Internet-Sicherheitsfirma, welche dem European Cybercrime Center (E3) von Europol seit einiger Zeit beratend zur Seite steht, konnte Europol niederländischen Behörden 2016 bei Hansa einen Hinweis für die Ermittlungen geben“, so Europol in einer heute veröffentlichten Pressemeldung.

Catalin Cosoi, Chief Security Strategist bei Bitdefender kommentiert: „Die internationalen Behörden haben hier eine große Leistung vollbracht. Wir sind stolz darauf, dass wir unsere Partner bei Europol unterstützen konnten. Wichtig ist der Umstand, dass die Ergebnisse, die wir heute sehen, auf einem koordinierten Vorgehen von zahlreichen Einrichtungen basieren. Und es ist ein klares Beispiel dafür, dass die Partnerschaft zwischen öffentlichen und privaten Organisationen erfolgreich ist. Wir freuen uns, dass wir mit unserer technischen Expertise bei der Bekämpfung von Cybercrime dazu beitragen, dass die Welt zu einem besseren Ort wird.“

„Fortbildung im Dark Web“ – In sechs Wochen zum professionellen Kreditkartenbetrüger

Digital Shadows, Anbieter von Lösungen für das Management von digitalen Risiken, hat in seinem Report „Inside Online Carding Courses Designed for Cybercriminals“ einen neuen Trend beim Kreditkartenbetrug aufgedeckt. Demnach werden im Dark Web verstärkt Kurse angeboten, die Teilnehmern die Grundlagen von Kreditkartenbetrug beibringen.

„Kurse“ für Cyberkriminelle

Die sechswöchigen, exklusiven Kurse werden nur in russischer Sprache durchgeführt und von fünf „Ausbildern“ betreut. Der Lehrplan umfasst 20 Unterrichtseinheiten, zu denen auch Webinars gehören. Für eine Kursgebühr von (umgerechnet) 650 Euro erhalten die Teilnehmer begleitend zum Webinar Schulungs- und Informationsmaterial.  Die Anbieter versprechen ein umfassendes Know-how in Sachen Kreditkartenbetrug mit dem selbst Anfänger zu professionellen Cyberkriminellen aufsteigen.

Nach erfolgreichem Abschluss des Kurses winkt den angehenden Hackern die Aussicht auf ein monatliches Einkommen von 10,500 Euro bei einer 40-Stunden-Woche. Angesichts eines durchschnittlichen Monatslohns in Russland von weniger als 600 Euro bringt der kriminelle Karrierewechsel das 17-fache Gehalt. Glaubt man den positiven Bewertungen der Teilnehmer vergangener Kurse scheint sich die Fortbildung zu lohnen (siehe Bild unten).

Die Kursanbieter haben es auf einen lukrativen Markt abgesehen. In einer Momentaufnahme fand Digital Shadows allein auf den zwei bekanntesten “Kreditkarten”-Foren im Dark Web 1,2 Millionen Nutzerdaten von Kreditkarteinhabern weltweit. Der Kaufpreis beträgt durchschnittlich 5 Euro pro Datensatz. Interessanterweise scheint es auf vielen russischen Foren zudem eine ungeschriebene Verhaltensregel zu geben, die den Verkauf von Daten russischer Kreditkartenbesitzer verbietet.

Preise für Daten variieren und sind auch vom Sicherheitsgrad der Kreditkarte und Karteninhaber abhängig. Günstig sind zum Beispiel Kreditkarten, die vor Kaufabschluss eine zweite Authentifizierung erfordern. Die PIN-Nummer eines Karteninhabers zu ermitteln kann sich als zeitaufwändig und schwierig erweisen. Allerdings finden sich auch hier Dienstleister und automatisierte Services, die mit Social Engineering-Techniken an die gewünschten Daten gelangen.

„Das Angebot an qualifizierten Fortbildungen im Dark Web sind eine Reaktion auf die ausgefeilten Methoden der großen Kreditkartengesellschaften, die diese in den letzten Jahren zu Betrugsbekämpfung eingeführt haben“, erklärt Rick Holland, VP Strategy at Digital Shadows. „Das Ziel der Betrüger ist es, die Zugangsbarrieren für kriminelle Aktivitäten zu senken und das Ecosystem rund um Kreditkartenbetrug auszubauen – leider auf Kosten von Kreditkartenanbietern, dem Einzelhandel und den Verbrauchern. Man kann aber auch etwas Positives in der offensiven Taktik der Cyberkriminellen sehen: Je mehr sie für ihre Aktivitäten Werbung betreiben, desto mehr Informationen geben sie uns in die Hand, um gegen die kriminellen Aktivitäten vorzugehen.”

Digitale Hoteldiebe „DarkHotel“ auf neuen Wegen

Verfeinerte Werkzeuge, neue Angriffsmethoden und neue Ziele – Bitdefender analysiert neue Malware der Hackergruppe „DarkHotel“.

Verfeinerte Werkzeuge, neue Angriffsmethoden und neue Ziele – Bitdefender analysiert neue Malware der Hackergruppe „DarkHotel“.

Ein Whitepaper von Bitdefender gibt neue Einblicke in die Arbeit der Hackergruppe DarkHotel. Die Gruppe ist seit einem Jahrzehnt aktiv und hat tausende von Unternehmen über WLAN-Infrastrukturen in Hotels angegriffen.

Sie ist dafür bekannt, die Ausnutzung noch unbekannter Schwachstellen (Zero Day Exploits) komplexe Malware und Angriffswege mit „Whaling“ zu kombinieren, also dem gezielten „Phishing“ nach ganz großen Fischen, wie Top-Managern und Geheimnisträgern. Das neue White Paper trägt den Titel „Inexsmar: An unusual DarkHotel campaign“. Es zeigt, wie die Hacker ihre Werkzeuge verfeinerten, ihre Angriffsmethoden verändert haben und nun offenbar statt auf finanziellen Nutzen auch auf politische Informationen abzielen.

Bitdefender hat herausgefunden, dass ein Malware-Sample aus dem September 2016, bekannt als Inexsmar, starke Ähnlichkeiten mit Malware hat, welche die Gruppe schon seit dem Jahr 2011 nutzt. Inexsmar stammt mit hoher Wahrscheinlichkeit von DarkHotel.

Für die Inesxmar Kampagne wich DarkHotel jedoch von ihrem bisherigen Erfolgsrezept ab und nutzte neue Mechanismen, um den schädlichen Payload auszuliefern und um Infos zu exfiltrieren. Dazu gehört Social Engineering mittels E-Mail und ein sehr komplexer Trojaner. In einem mehrstufigen Verfahren lädt der Trojaner zur Tarnung harmlose Dokumente herunter, sendet Systeminfos an einen Command-and-Control-Server und löscht verdächtige Malware-Bestandteile selbst wieder vom Endgerät des Opfers.

Ebenfalls spannend: Während DarkHotel in der Vergangenheit hochrangige Firmenmitarbeiter, wie CEOs, Top-Manager oder Entwicklungsleiter attackierte, um Informationen über Prototypen, geistiges Eigentum oder Software Quellcode zu stehlen, scheint diese Attacke eher politische Hintergründe zu haben.

„Wir vermuten, dass diese Methode, Social Engineering mit einem mehrstufigen Trojaner-Downloader zu kombinieren, auch ein Schritt ist, um die Malware wettbewerbsfähig zu halten. Denn die Schutzmechanismen der Opfer verbessern sich immer weiter“, schreibt Alexandru Rusu, Malware Researcher und Autor des White Papers.