- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Von IT-Sicherheitsexperten lernen


Das Internet der Dinge (IoT) ist ein guter Ausgangspunkt, um seine Lehren in Sachen IT-Sicherheit zu ziehen
Alles, was in den Bereichen Datenschutz und Datensicherheit schief läuft, findet man prompt im Internet der Dinge

- Anzeigen -





Autor: Varonis

Die Varonis Blog-Autoren haben inzwischen mit etlichen Sicherheitsexperten aus den unterschiedlichsten Bereichen gesprochen: mit Penetrationstestern, Anwälten, CDOs, Datenschützern, IT-Experten und sogar einem IT-Security-Guru. Wir haben die wichtigsten Analysen und Tipps hier für Sie zusammengetragen.

Die Weltformel
Das Internet der Dinge (IoT) ist ein guter Ausgangspunkt, um seine Lehren in Sachen IT-Sicherheit zu ziehen. Mit dem IoT, also dem Internet der Dinge mit seiner überwältigen Zahl an Geräten, werden Unternehmen und Endverbraucher mit praktisch allen Datenschutz- und Datensicherheitsproblemen konfrontiert, die man sich denken kann.

2016 hatten wir die Gelegenheit, uns mit dem IoT-Penetrationstester Ken Munro zu unterhalten. Seinen Anmerkungen zu Entwicklungen wie funkgesteuerten Türklingeln, Kaffeemaschinen und Kameras kann man kaum widersprechen:

"Dass Hersteller auch nur einen einzigen Gedanken an potenzielle Hackerangriffe verschwendet haben, halte ich für eine gewagte These. Eines der größten Probleme ist meiner Ansicht nach, dass viele Hersteller übereilt neue Produkte auf den Markt werfen ..."

Privacy by Design (PbD) ist offensichtlich nicht gerade ein Grundprinzip von IoT-Geräten im Consumer-Umfeld.

Gerade in den letzten Monaten konnten Verbraucher am eigenen Leib erfahren wie anfällig solche Geräte selbst für einfach gestrickte Angriffe sind. Dabei machen Hacker sich Backdoors, Standardpasswörter und sogar nicht vorhandene Anmeldeinformationen zunutze.

Nicht selten werden öffentlich zugängliche Router-Ports während der Geräteinstallation einfach offen gelassen. Und zwar ohne, dass der ahnungslose Nutzer einen Warnhinweis erhält. Für Angreifer ist es dann aufgrund von unsignierter Firmware möglich, Geräte vollständig zu kontrollieren.

Alles, was in den Bereichen Datenschutz und Datensicherheit schief läuft, findet man prompt im Internet der Dinge. Es gibt aber durchaus hilfreiche und vergleichsweise einfache Schutzmaßnahmen.

Alle Macht den Passwörtern
Geht es beim Thema Sicherheit immer um Passwörter? Nein, sicher nicht. Aber es kristallisiert sich mehr und mehr heraus, dass unsichere Passwörter oder nicht geänderte Standardpasswörter zu den Hauptursachen vieler Sicherheitsvorfälle gehören.

Die Sicherheitsexperten, mit denen wir gesprochen haben, brachten oft ohne Nachfrage den fahrlässigen Umgang mit Passwörtern zur Sprache. Einer von ihnen, der Passwortexperte Per Thorsheim , erinnert daran, dass die Zwei-Faktor-Authentifizierung (2FA) in Anbetracht dessen eine mögliche Sicherheitsmaßnahme ist:

"Im Hinblick auf die Sicherheit ist die Zwei-Faktor-Authentifizierung die Lösung schlechthin. Sie ist so sicher, dass man, nur als Beispiel, im Grunde sogar das Passwort seines Facebook-Kontos verraten könnte – aufgrund der Zwei-Faktor-Authentifizierung kann sich trotzdem niemand anders anmelden. Sobald jemand meinen Nutzernamen und mein Passwort eingibt, sendet mir Facebook per SMS einen Code auf mein Telefon, auf das nur ich zugreifen kann."

Menschen stellen erfahrungsgemäß beim Umgang mit Passwörtern wenig geschickt an. Zwei-Faktor-Authentifizierung sowie biometrische Erkennung werden in Zukunft zur Passwortsicherheit beitragen.

Bis es so weit ist, hat Professor Justin Cappos einen einfachen Trick für diejenigen parat, die sich noch immer am liebsten selbst Passwörter ausdenken:

"Um als Mensch ein sicheres Passwort zu erstellen, kann man nach dem Zufallsprinzip vier Wörter aus einem Wörterbuch auswählen und dann eine Geschichte erfinden, in der sie vorkommen. Diesen Ansatz bezeichnet man als ‚Correct Horse Battery Staple‘-Methode ."

Bei der "Correct Horse Battery Staple"-Methode dient die Geschichte als Gedächtnisstütze. Der Ansatz ist nicht neu, hilft aber, gute Passwörter zu finden, die nicht so leicht zu knacken sind.

Ein wichtiger Tipp der Experten lautet: Ändern Sie umgehend das Administratorpasswort des heimischen Routers (nach der "Correct Horse Battery Staple"-Methode). IT-Administratoren sollten ihre Passwörter ebenfalls genauer unter die Lupe nehmen, um nicht ungewollt zum Helfershelfer eines Angreifers zu werden.

Das Bewusstsein für Datenschutz schärfen
Wenn Sie für Ihre Konten die Zwei-Faktor-Authentifizierung aktivieren und bessere Passwörter erstellen, haben Sie schon viel für mehr Sicherheit getan. Es schadet allerdings trotzdem nicht, einen Schritt zurückzutreten und das eigene Datenschutzbewusstsein in Sachen Online-Transaktionen zu überprüfen.

Alexandra Ross, Anwältin und Datenschutz-Guru , erläutert die Vorteile der Datenminimierung sowohl für die Unternehmen, die Daten erfassen, als auch für Verbraucher, die sie zur Verfügung stellen:

"Es ist sehr wichtig, einen Moment lang innezuhalten und sich bewusst zu machen, was gerade passiert. Welche Daten werden abgefragt, wenn ich mich bei einem Social-Media-Dienst registriere? Und wozu dienen sie? Es lohnt sich, die Datenschutzrichtlinien von Apps und Online-Diensten oder die Kundenmeinungen zu lesen."

Und: "Marketing-Teams von IT-Unternehmen wollen oft kategorisch alle Daten sammeln. Das Motto lautet: ‚Lasst uns umfassende Nutzerprofile anlegen, die alle Bereiche abdecken, damit möglichst viele nützliche Daten zur Verfügung stehen‘. Wenn man aber etwas genauer nachfragt und die wichtigen Punkte klärt, findet man heraus, welche Daten wirklich notwendig sind."

Auch der Datenwissenschaftler Kaiser Fung weist darauf hin, dass die Sammelwut häufig völlig unbegründet ist:

"Es geht nicht nur um die Menge der Daten, sondern auch darum, dass Daten heutzutage ohne jeden Sinn und Zweck gesammelt werden. Diejenigen, die sie erheben, wissen oft gar nichts über die Probleme, die sich im Geschäftsalltag stellen."

Von daher unsere Botschaft an alle IT- und Marketing-Experten: Überlegen Sie gut, was Sie tun, bevor Sie das nächste Kontaktformular absenden!

Ross und andere Verfechter des Privacy-by-Design-Konzepts predigen schon lange den Grundsatz der Datenminimierung: Je weniger Daten gespeichert sind, umso geringer ist das Sicherheitsrisiko bei einem Angriff. Als Datenschutz-Guru erinnert Ross daran, dass in den Filesystemen diverser Unternehmen noch immer jede Menge Daten über uns herumschwirren. Scott Schober , Sicherheitsexperte und Autor von "Hacked Again", kommt aus eigener Erfahrung zum selben Schluss:

"Ich habe bei einer Veranstaltung einen Vortrag gehalten. Jemand fragte, ob er mir zeigen dürfte, wie leicht er meine Daten herausfinden und meine Identität missbrauchen könne. Ich zögerte, erklärte mich dann aber zu diesem Experiment bereit. Alles andere ist sowieso bekannt und ich weiß, wie einfach man an die Daten der Leute kommt. Ich war also das Versuchskaninchen. Kevin Mitnick, einer der bekanntesten Hacker der Welt, gab den Dieb. Innerhalb von 30 Sekunden hatte er meine Sozialversicherungsnummer herausgefunden. Kostenpunkt: 1 Dollar."

Grundsätzlich ist nichts dagegen einzuwenden, dass Unternehmen personenbezogene Daten speichern. Es geht vielmehr darum, sich gut zu überlegen, welche Daten man preisgibt, und zu bedenken, dass Sicherheitsvorfälle in Unternehmen inzwischen zum Alltag gehören. Kreditkarten können ersetzt, Passwörter geändert werden. Doch Angaben zu persönlichen Vorlieben und Sozialversicherungsnummern ändern sich nicht und sind ein beliebtes Social Engineering-Ziel.

Daten sind wertvoll
Wir haben uns mit zahlreichen Anwälten und Datenwissenschaftlern unterhalten. Bennett Borden ist beides in einer Person. Sein beruflicher Hintergrund ist bemerkenswert: Er ist nicht nur Prozessanwalt bei der Kanzlei Drinker Biddle, sondern darüber hinaus auch noch Datenwissenschaftler. Borden hat Artikel in juristischen Fachzeitschriften über die Anwendungsfelder des maschinellen Lernens, die Dokumentenanalyse, E-Discovery und andere juristische Themen verfasst.

Borden erläutert, wie wir als Angestellte in Form von E-Mails und Dokumenten alle eine digitale Spur hinterlassen, die sehr aufschlussreich sein kann. Er weist darauf hin, dass solche Daten für Anwälte nützlich sein können, die den fairen Wert eines Unternehmens bei einer potenziellen Übernahme ermitteln wollen. Er selbst sollte einmal eine Datenanalyse für einen Kunden durchführen und konnte aufzeigen, dass der Kaufpreis des Unternehmens laut internen Diskussionen zu hoch war:

"Der Preis verringerte sich daraufhin um mehrere Millionen Dollar. Und da wir heutzutage viel schneller an solche Daten gelangen, weil sie in elektronischer Form vorliegen, konnten wir dasselbe Prozedere seither viele Male wiederholen."

Informationen sind also auch rein in geschäftlicher Hinsicht wertvoll. Für Varonis ist das nichts Neues, doch es ist trotzdem immer wieder aufschlussreich, es von jemandem zu hören, der sich beruflich mit Unternehmensdaten beschäftigt.

Zusammenfassend lässt sich sagen, dass wir als Verbraucher und als Mitarbeiter von Unternehmen mit sozialer Verantwortung alle sorgfältiger mit dem wertvollen Gut Daten umgehen sollten: Daten und Informationen nicht leichtfertig preisgeben und sie schützen, wenn sie sich in unserem Besitz befinden.

Mehr als nur ein gut gemeinter Rat
Das Thema Privacy by Design kam in einigen unserer Expertengespräche auf. Einer der Grundsätze, datenschutzfreundliche Standardeinstellungen, ist für Unternehmen besonders schwer zu akzeptieren. Und das, obwohl der Datenschutz im Rahmen des PbD-Konzepts eben kein Nullsummenspiel ist: Es ist durchaus möglich, umfassende Datenschutzmaßnahmen zu ergreifen und dabei weiterhin Gewinne zu erzielen.

Für Unternehmen, die in der EU tätig sind, ist Privacy by Design ohnehin ab 2018 gesetzlich vorgeschrieben. Das Konzept wird in Artikel 25, "Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen", explizit dargelegt.

Wir thematisieren die Datenschutz-Grundverordnung (DS-GVO) und ihre zahlreichen Auswirkungen seit zwei Jahren. Doch eine Auswirkung, die häufig übersehen wird, ist, dass die DSGVO auch für Unternehmen außerhalb der EU gelten wird.

Die Expertin für Compliance im Bereich Datensicherheit Sheila Fitzpatrick hat diesen Aspekt im Gespräch mit uns besonders hervorgehoben:

"Der andere Punkt, an dem sich die DSGVO stark von anderen Rechtsakten unterscheidet (und das ist ein Konzept, das noch nicht oft umgesetzt worden ist): Sie gilt nicht nur für Unternehmen innerhalb der EU. Jedes Unternehmen, das Zugriff auf personenbezogene Daten von EU-Bürgern hat, muss die Bestimmungen der DSGVO einhalten, ganz gleich, wo die Standorte sind und ob das Unternehmen über Niederlassungen in der EU verfügt. Das ist eine bedeutsame Änderung."

Dieses Rechtsprinzip wird auch als "Extraterritorialität" bezeichnet. Insbesondere E-Commerce-Unternehmen und Anbieter von Webdiensten in den USA sind von der DSGVO betroffen, wenn sie mit EU-Bürgern zu tun haben. Damit werden Best Practices in der IT, die Experten für ratsam halten, zu gesetzlichen Vorgaben. Unternehmen und Verbraucher sollten vorausschauend handeln und sich darauf vorbereiten PbD-Konzepte, den Grundsatz der Datenminimierung, die Einwilligung betroffener Personen und des Datenschutzes umzusetzen. (Varonis: ra)

eingetragen: 14.03.17
Home & Newsletterlauf: 13.04.17


Varonis: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Cyber Intelligence - Mehr als ein Trend?

    Cyber Intelligence, auch Cyber Threat Intelligence oder nur Threat Intelligence, ist keine neue Disziplin innerhalb der Informationssicherheit. Die US-amerikanische National Security Alliance hat gemeinsam mit dem Beratungsunternehmen Deloitte bereits 2011 (!) verlautbaren lassen, dass Cyber Intelligence tatsächlich so etwas wie die intelligentere Art und Weise ist, mit Datenschutzverletzungen und Bedrohungsszenarien umzugehen. Zitat: "The consultancy Deloitte deems cyber intelligence as a vastly more sophisticated and full set of threat management tactics (than IT security itself), providing tools to move to a more proactive, over-the-horizon threat awareness posture."

  • Vorschriften im Gesundheitswesen

    Personenbezogene Daten geheim und sicher zu halten, ist im Gesundheitssektor immens wichtig. Mittlerweile ist es bereits 21 Jahre her seit Titel I des Health Insurance Portability and Accountability Act (HIPAA) in den Vereinigten Staaten verabschiedet wurde, um den Krankenversicherungsschutz für Arbeitnehmer und Familien zu gewährleisten. 2003 wurde Titel II als nationaler Standard für elektronische Transaktionen im Gesundheitswesen und nationale Kennzeichnungsvorschriften für Versorger, Krankenversicherungen und Mitarbeiter eingerichtet. Zu diesem Zeitpunkt wurden etliche Datenschutz- und Sicherheitsregeln zum Schutz elektronischer Gesundheitsdaten (e-PHI) definiert. Vor einigen Jahren haben der US-Kongress und das Department of Health and Human Services (Gesundheitsministerium HHS) im Cybersecurity Act von 2015 die Health Care Industry Cybersecurity (HCIC) Task Force eingerichtet. Grund war die wachsende Sorge um Risiken und Bedrohungen der Cybersicherheit für das Gesundheitswesen. Erst vor kurzem hat die Task Force ihre Ergebnisse in einem sehr detaillierten Report on Improving Cybersecurity in the Health Care Industry veröffentlicht. Der Report betont die Dringlichkeit der empfohlenen Maßnahmen angesichts der wachsenden Zahl komplexer Cyberbedrohungen. Das Gesundheitswesen müsse eben diese Maßnahmen zeitnah zum Schutz von Systeme und Patienten umsetzen.

  • Datensicherheit und Datenschutz

    Im Mai 2018 wird das EU-Regelwerk zum Datenschutz scharf gestellt. Unternehmen bleibt nicht viel Zeit, ihre IT für einen gesetzeskonformen Umgang mit personenbezogenen Daten umzubauen. Dabei ist mehr als Datenklassifizierung, Risikoanalyse und Dokumentation gefragt. Die gute Nachricht: Es ist noch nicht zu spät. Der Datenschutz in Europa wird vereinheitlicht. Darauf zielt die EU-Datenschutz-Grundverordnung (DSGVO) ab. Das Regelwerk, die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, wurde im April 2016 im EU-Parlament verabschiedet und am 4. Mai 2016 im EU-Amtsblatt veröffentlicht. Die 28 EU-Mitgliedstaaten haben bis zum 25. Mai 2018 Zeit, alle Vorgaben umzusetzen. In Europa gibt es Richtlinien, die von den EU-Staaten in nationales Recht umgesetzt werden müssen und Verordnungen, die unmittelbar geltendes Recht sind.

  • Googeln für Hacker

    Google ist die Suchmaschine schlechthin, auch wenn die Datensammelwut des Weltkonzerns aus Mountainview immer wieder kontrovers diskutiert wird. Fast 80 Prozent der Suchanfragen weltweit gehen an Google, während andere Suchmaschinen noch nicht einmal die 10-Prozent-Hürde schaffen. Bei Mobilgeräten liegt der Anteil von Google sogar bei mehr als 96 Prozent. Das ist selbst für Laien keine Überraschung. Weniger verbreitet ist das Wissen, dass Google sich auch bei Hackern großer Beliebtheit erfreut. Verschiedene versteckte Funktionen ermöglichen es Eingeweihten, sehr schnell an umfangreiche Listen potenzieller Opfer zu kommen. Versehentlich freigegebene Dokumente ausspähen, verwundbare Log-in-Seiten finden oder sich in schlecht geschützte Webcams einloggen - Google liefert bequem die einfachsten Ziele. Das ist nicht alles: durch verschiedene Tricks kann sich ein Angreifer quasi hinter der "harmlosen" Suchmaschine verstecken und so gezielt seine Spuren verwischen.

  • Ransomware: Es kommt schlimmer

    Seit ich im Jahr 2014 meine erste Keynote zu diesem Thema gehalten habe beschäftige ich mich mit Ransomware-Prognosen. Seinerzeit wagte ich etwa ein Dutzend Vorhersagen und tatsächlich sind alle eingetroffen. Vor kurzem wurde ich gebeten einen Beitrag für das ITSP Magazine beizusteuern. Und dieses Mal sollten die Prognosen nicht nur spezifischer sein, sondern die Sache auf die Spitze treiben. Sprich, welche Prognosen kommen dabei heraus, wenn man die aktuellen Szenarien bis zu Ende denkt. Soviel lässt sich sagen, alle sind einigermaßen beängstigend. Soeben hat eine Analyse von @David Formby eine der schlimmsten Befürchtungen bestätigt: Kritische Infrastrukturen geraten zunehmend ins Visier von Ransomware-Attacken (Targeting Critical Infrastructure for Ransom). Im letzten Frühjahr litten vornehmlich Krankenhäuser unter der sogenannten SamSam-Ransomware, und im Rahmen unserer Incident Containment-Methode haben wir drei Dinge übereinstimmend festgestellt.