aboutpixel.de / Sicher ist Sicher © Ronald Leine

Com­mu­ni­ty Health Sys­tems, ame­ri­ka­ni­scher Betrei­ber von 206 Kran­ken­häu­sern in 29 Bun­des­staa­ten, oute­te sich die­se Woche. Man sei Opfer einer erfolg­rei­chen Hacker-Atta­cke geworden.
Gegen­über der US Auf­sichts­be­hör­de SEC gab der Betrei­ber an, zwi­schen April und Juni von einer wahr­schein­lich aus Chi­na ope­rie­ren­den Grup­pe erfolg­reich gehackt wor­den zu sein. Bei den ent­wen­de­ten Daten soll es sich um nicht-sen­si­ble Infor­ma­tio­nen gehan­delt haben. Betrof­fen sind Pati­en­ten von Ärz­ten, mit denen der Betrei­ber in den letz­ten fünf Jah­ren zusam­men­ge­ar­bei­tet habe. Man ver­mu­tet einen Zusam­men­hang mit frü­he­ren Atta­cken, bei denen min­des­tens 140 Unter­neh­men in den USA, Kana­da und Groß­bri­tan­ni­en Angriffs­ziel waren.

Sind Daten in Ihrem Unter­neh­men sicher? Ana­ly­sen der letz­ten Mona­te zei­gen, nicht nur gro­ße Kon­zer­ne und Unter­neh­men ste­hen im Fokus sol­cher Angrif­fe. Voll­au­to­ma­ti­siert wer­den von außen über das Inter­net Schwach­stel­len in Unter­neh­mens­net­zen abge­scannt und ziel­ge­rich­tet pene­triert. Oft mit Erfolg und meist ohne Kennt­nis der betrof­fe­nen Unter­neh­men. Ger­ne unter­stüt­zen wir Sie bei der Über­prü­fung und Absi­che­rung Ihres Fir­men­netz­wer­kes zusam­men mit unse­ren Part­nern für IT-Sicherheit.

Quel­le: Bei­trag auf recode​.net

aboutpixel.de / Vorsicht in s/w © Peter Ehmann

Ame­ri­ka­ni­sche und nun auch deut­sche Medi­en berich­ten vom wohl größ­ten Daten­klau in der Geschich­te des Inter­nets. Zumin­dest vom größ­ten bekann­ten Daten­klau kann man wohl getrost ausgehen.

Einer rus­si­schen Hacker­grup­pe soll es gelun­gen sein, über 1,2 Mil­li­ar­den Daten­sät­ze zu hacken. Betrof­fen sei­en Benut­zer­na­men, Pass­wör­ter und auch Email-Adres­sen. Das deut­sche Bun­des­amt für Sicher­heit in der Infor­ma­ti­ons­tech­nik, kurz BSI warnt vor der opti­mis­ti­schen Ein­schät­zung, deut­sche Nut­zer könn­ten even­tu­ell nicht betrof­fen sein. Sobald man wei­te­re Infor­ma­tio­nen aus den USA vor­lie­gen habe, wer­de man sich um Hil­fe­stel­lun­gen für deut­sche Inter­net­nut­zer bemü­hen und die­se ver­öf­fent­li­chen. Ursprüng­lich sei­en wohl sogar mehr als 4 Mil­li­ar­den Daten­sät­ze betrof­fen gewe­sen, doch durch Aus­schluß von Dopp­lun­gen sei es zu einer Reduk­ti­on auf 1,2 Mrd. gekommen.

Nun heißt es also wie­der mal, breit­flä­chig Pass­wör­ter ändern. Das die­se gewi­ße Sicher­heits­an­for­de­run­gen genü­gen müs­sen, soll­te sich mitt­ler­wei­le rum­ge­spro­chen haben. Auch die Nut­zung von einem Pass­wort für meh­re­re Diens­te ist geeig­net, es Hackern und Die­ben leich­ter zu machen — von daher kei­ne gute Idee. Da man sich die­se nicht alle mer­ken kann, bie­tet sich die Nut­zung eines Pass­wort-Tre­sors wie Kee­pass an. Cloud basier­te Pass­wort­ma­na­ger ohne Ver­schlüs­se­lugn oder gar von ame­ri­ka­ni­schen Anbie­tern soll­ten sich von selbst verbieten.

Wohl dem, der in sei­nen Online Pro­fi­len nicht alle Kom­fort-Merk­ma­le nutzt. Es ist zwar prak­tisch, wenn der Online Shop die Kre­dit­kar­ten­da­ten für eine schnel­le­re Abwick­lung schon gespei­chert hat und man die­se nicht mehr ein­ge­ben muss. Sicher ist dabei aber im Zwei­fel nur eins: wird Ihr Account gehackt — und wenn auch über Umwe­ge -, dann hat der Hacker auch gleich noch Ihre Zah­lungs­da­ten. Wol­len Sie das?

Wir hal­ten Sie auf unse­rem Blog infor­miert, wenn sei­tens des BSI belast­ba­re Infor­ma­tio­nen kom­mu­ni­ziert werden.

 

Neu­er Online Check nicht iden­tisch mit BSI

Bereits zwei Mal die­ses Jahr stell­te das Bun­des­amt für Sicher­heit in der Infor­ma­ti­ons­tech­nik ein Online Prüf-Tool zur Ver­fü­gung. Mit­tels die­ses Tools konn­ten Nut­zer tes­ten, inwie­weit ihre Email-Adresse(n) in Ver­bin­dung mit Web­log­ins bereits aktiv miß­braucht wurde(n). Mil­lio­nen Anwen­der haben die­ses Tool bis­her genutzt.

Eine etwas ande­re Daten­ba­sis bie­tet nun das HPI der Uni­ver­si­tät Pots­dam. Deren Tool prüft ein­schlä­gi­ge Foren und Boards, ob dort Email-Adres­se und /​ oder wei­te­re per­so­nen­be­zo­ge­ne Anga­ben inklu­si­ve Pass­wort öffent­lich zum Miß­brauch zur Ver­fü­gung gestellt wer­den. Zur Zeit umfasst die Daten­bank 171 Mil­lio­nen Einträge.

Nach Ein­ga­be einer Email-Adres­se erhält der Nut­zer zeit­nah eine Email mit genau­er Anga­be der kom­pro­mit­tier­ten Daten. Wenn kein Ein­trag gefun­den wur­de, wird kei­ne Email ver­sandt. Das bedeu­tet jedoch nicht, dass die­se Daten nicht ander­wei­tig bekannt sind und miß­braucht werden.

Top 10 der unsi­che­ren Passwörter

Obwohl die Tat­sa­che hin­läng­lich bekannt ist, wie ein eini­ger­ma­ßen siche­res Pass­wort aus­se­hen soll­te, fin­den sich in der Top 10 der Sta­tis­tik alte Bekann­te wie “123456”, “pass­word” und “qwertz” wie­der. Details über unsi­che­re Pass­wör­ter und Hil­fe­stel­lun­gen zu merk­ba­ren siche­ren Pass­wör­tern fin­den Sie hier im a.s.k. Daten­schutz-Blog

Zum Online Check des HPI: https://​sec​.hpi​.uni​-pots​dam​.de/​l​e​a​k​-​c​h​e​c​k​e​r​/​s​e​a​rch

Es lohnt sich, nicht nur alle pri­va­ten Email Adres­sen zu prü­fen, son­dern auch die geschäft­li­chen Daten einzubeziehen.

Spion im DunkelnWäh­rend sich die Web­sei­te des Pay TV Anbie­ters dazu (noch) aus­schweigt, mel­den  bekann­te Online Medi­en seit Mit­te der Woche ein Daten­leck bei SKY.

Stand 09.11.2013: auf der Start­sei­te von SKY ist nach wie vor kei­ne Mel­dung zu fin­den. Eben­so wenig unter Unter­neh­men, Pres­se oder Meldungen.

Aus­lö­ser war ein Gewinn­spiel-Anruf bei einem SKY Kun­den. Der Anru­fer wuß­te Name, Anschrift und Bank­ver­bin­dung des Ange­ru­fe­nen. Als Quel­le der Daten wur­de SKY Deutsch­land durch den Anru­fer benannt.

Auf Nach­fra­ge äußer­te sich SKY, “dass mög­li­cher­wei­se in ver­ein­zel­ten Fäl­len Sky-Kun­den­da­ten unbe­fug­ter­wei­se in die Hän­de Drit­ter gelangt sind.” Die betrof­fe­nen Kun­den sowie die zustän­di­ge Lan­des­da­ten­schutz­be­hör­de sei­en infor­miert. Über Ursa­che und Umfang schwieg man sich bis­her aus.

Der glück­li­che “Gewin­ner” wand­te sich per­sön­lich an SKY. “Er sei nicht der Ein­zi­ge”, so wur­de er beschie­den. Ob dies ein ange­mes­se­nes Kri­sen­ma­nage­ment darstellt?

 

Wäh­rend sich die Inter­net­sei­te des Web­hos­ters Hetz­ner noch in Still­schwi­gen hüllt (07.06.2013, 07:00), ver­mel­de­te u.a. hei­se secu­ri­ty am Vor­abend einen weit­rei­chen­den Hack der Ver­wal­tungs­ober­flä­che Robot für dedi­zier­te Ser­ver­sys­te­me. Neben Pass­wort-Has­h­es sind auch Zah­lungs­da­ten wie Bank­ver­bin­dun­gen von Kun­den für Last­schrif­ten betrof­fen. Der Anbie­ter kann zur Zeit nicht aus­schlie­ßen, dass die für die Ent­schlüs­se­lung der Daten benö­tig­ten pri­va­ten Kryp­to-Schlüs­sel nicht eben­falls ent­wen­det wur­den. Lt. Hetz­ner fand der Angriff auf einem tech­nisch unge­wöhn­lich hohen Niveau statt. Das BKA soll nach eige­nen Anga­ben bereits ein­ge­schal­tet sein.

Was es mit mel­de­pflich­ti­gen Daten­pan­nen auf sich hat, erfah­ren Sie hier.