Sie sind hier: Home » Markt » Tipps & Hinweise

Im Netz der Datensammler

Mythen rund ums Surfen im Internet: Die stille Gefahr des Sammelns von Profildaten im Internet
Wie Persönlichkeitsprofile gar nicht erst entstehen

Wie würden Sie reagieren, wenn die Dame an der Supermarktkasse über Ihre Probleme beim Wasserlassen Bescheid weiß? Oder der Metzger von nebenan über Ihre finanziellen Engpässe? Wahrscheinlich empört. In Zeiten des Internets ist es inzwischen jedoch ganz normal, dass Unternehmen und andere Organisationen bestens über private Dinge informiert sind. Denn bei jedem Ausflug ins Web hinterlassen Nutzer unbemerkt Spuren, die sich zu detaillierten Persönlichkeitsprofilen verdichten lassen. Diese Nutzerprofile können Informationen über Gesundheitszustand, politische Gesinnung oder sogar sexuellen Vorlieben enthalten. "Meine Daten sind sicher!" - Ein weit verbreiteter Irrtum. Genau wie andere Mythen, die sich in den Köpfen vieler Internet-Nutzer verankert haben.

Mythos 1: Die Daten sind in guten Händen
Die Erfahrung lehrt uns, dass gesammelte Daten fast immer früher oder später missbraucht werden. Selbst in den Händen von großen "seriösen" Unternehmen sind sie alles andere als sicher. Egal ob Postbank, Telekom, Sony oder sogar der deutsche Bundestag: Missbrauchsfälle von Verbraucherdaten gibt es immer wieder. Ursächlich ist meist der schlechte Schutz. So geraten Namen, Adressen, Geburtsdaten, Anmeldedaten und sogar Kontonummern millionenfach auf den lukrativen Schwarzmarkt für persönliche Daten. Hinzu kommt: Jedes US-Unternehmen muss die Dateien seiner Kunden herausrücken, wenn Geheimdienste wie die NSA anklopfen.

Mythos 2: Es werden sowieso nur "anonyme" Metadaten gesammelt
Datensammler sind besonders gierig auf sogenannte Meta- oder Verkehrsdaten. Dabei handelt es sich nicht um konkrete Inhalte, sondern vielmehr um Informationen, die Rückschlüsse auf ein bestimmtes Verhalten zulassen. Beispielsweise wann eine Person eine bestimmte Internetseite besucht hat. Mithilfe von Analysen lassen sich dann erstaunlich detaillierte Informationen erlangen. Eine Studie der Universität Stanford zeigte: Allein durch die Auswertung von Metadaten waren die Forscher über bestimmte Krankheiten und den Drogenkonsum freiwilliger Probanden im Bilde. Dazu kommt: Ein genaues Persönlichkeitsprofil lässt sich mit ausgeklügelten Algorithmen anhand von Metadaten jedes Internet-Nutzers bilden und eindeutig einer Person zuordnen.

Mythos 3: Tracking ist böse
Nicht immer. Techniken, die das Verhalten von Surfern auswerten, dienen oft zur Verbesserung von Internetseiten. So kann etwa ein Shop-Betreiber Probleme erkennen und so seine Website optimieren. Jedoch ist es eher die Regel als die Ausnahme, dass der Nutzer vermeintlich kostenlose Webseiten-Betreiber mit seinen Daten bezahlt. Einer dieser schwarzen Schafe unter den Trackern ist Google Analytics, wo es allein ums Abgreifen persönlicher Daten geht. Tracker wie Google Analytics verfolgen Surfer über sämtliche Websites und Geräte hinweg und erstellen so detaillierte Persönlichkeitsprofile. Beispiel: Wenn sich ein Nutzer etwa morgens über "Migräne" informiert, nachmittags nach örtlichen Ärzten sucht und abends "Spezialklinken für Hirntumore" recherchiert, weiß das Unternehmen genau Bescheid. Dieses Wissen verkauft es gewinnbringend an Werbekunden und andere Dritte.

Mythos 4: Persönlichkeitsprofile entstehen nur am Windows-PC
Der PC steht in der IT-Welt für das Sicherheitsrisiko schlechthin: Viren, Ransomware und Banking-Trojaner? Immer trifft es gefühlt Windows-Computer. Für Datensammler spielt es aber keine Rolle, mit welchem Gerät Nutzer ins Web geheb. Egal ob PC, Mac, Smart-TV, Spielekonsole, Tablet oder Handy, alle gesammelten Daten werden Geräte-übergreifend miteinander verknüpft und zu detaillierten Persönlichkeitsprofilen verdichtet.

Mythos 5: Apps sind harmloser als Internetseiten
Das Gegenteil ist der Fall – Apps sind noch viel schlimmer. Denn im Vergleich zum Browser können sie proprietäre Protokolle zum Datenaustausch nutzen, um Schutzfunktionen wie Firewalls auszutricksen. So genießen sie oft zusätzlich Zugriff auf Positionsdaten, Kamera, Kalender und Kontakte. Das geschieht oft ohne Einwilligung des Nutzers. Obendrein lassen sich Daten über Kennziffern eindeutig einer bestimmten Person zuordnen. Zwielichtige App- Entwickler freut’s; Sie sammeln fleißig vertrauliche Daten, übermitteln die ungefragt an Dritte und machen kräftig Kasse.

Mythos 6: Gütesiegel schützen vor Datensammlern
Gütesiegel wie "Trusted Shops" oder "TÜV-Süd" suggerieren: Hier sind Kunden sicher. Das gilt aber nicht unbedingt für den Datenschutz. Wer auf einer Shop-Seite etwa Name, Anschrift und Email-Adresse eintippt, muss dem Betreiber vertrauen, dass dieser sich an die geltenden Datenschutzbestimmungen hält. Tests haben gezeigt, dass sich nicht alle daran halten. Hinzu kommt, dass Gütesiegel nichts darüber aussagen, welche Anbieter Nutzerdaten gewinnbringend weiterverkaufen.

Mythos 7: Cookies sind gefährlich
Cookies haben einen schlechten Ruf, doch tatsächlich nutzen professionelle Datensammler inzwischen ganz andere Werkzeuge. Der oft gut gemeinte Rat, Cookies generell abzuschalten, ist nicht nur ineffektiv in Puncto Datenschutz, sondern geht auch noch zu Lasten des Komforts: Internet-Seiten speichern dadurch keine Anmeldedaten, Warenkörbe oder Einstellungen mehr.

Mythos 8: Ich habe nichts zu verbergen
Wer soll schon etwas mit meinen Daten anfangen? Die interessieren doch keinen. Außerdem habe ich sowieso nichts zu verbergen. Zu sicher sollte man sich nicht sein. Ist für Krankenkassen etwa nicht der Gesundheitszustand von potentiellen Neukunden interessant? Oder für die Bank die Spielsucht? Oder für den Scheidungsanwalt die Anmeldung bei einem Seitensprungportal? Oder einem potenziellen Arbeitgeber die Mitgliedschaft in der Gewerkschaft?

Mythos 9: Daten sammeln dient der Sicherheit
Nicht nur Unternehmen, auch Geheimdienste setzen auf Profildaten. Das verbessere die Sicherheit, etwa vor Terroranschlägen, so der Irrglaube. Die Argumentation lautet oft: Wenn nichts passiert, dann haben wir das der guten Überwachung zu verdanken. Nach einem Anschlag werden dann die Forderungen nach noch mehr Überwachung lauter. Doch wie verhältnismäßig ist diese Forderung, wenn man bedenkt, dass das Risiko, an einer Pilzvergiftung oder im Straßenverkehr zu sterben, weitaus höher liegt als bei einem Terroranschlag?

Mythos 10: Ich kann nichts gegen die Datensammelwut tun
Das Internet generell zu verteufeln, ist keine Lösung. Die gute Nachricht: Schützen ist ganz einfach. Es gibt Lösungen, die schnell einsatzbereit sind und den gesamten Internet-Datenverkehr kontrollieren. Sie können bei allen angeforderten Seiten sämtliche Datenerfassungsdienste, Tracker und Werbung effektiv herausfiltern. Und das Beste: Der Schutz wirkt auf allen internettauglichen Geräten, egal ob Computer, Smartphone, Tablet oder Spielekonsole. (eBlocker: ra)

eingetragen: 19.07.16
Home & Newsletterlauf: 02.09.16

eBlocker: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Tipps & Hinweise

Sicherheitsmaßnahmen gegenüber Bedrohungen
Steigende Compliance-Anforderungen und europäische Richtlinien wie die DSGVO oder die NIS-Richtlinie für kritische Infrastrukturen haben die Umsetzung von Cybersecurity-Maßnahmen in Unternehmen bereits wesentlich vorangetrieben. Jedoch erfüllen Unternehmen häufig lediglich die Mindestanforderungen - während Angreifer über umfassende und ausgefeilte Möglichkeiten verfügen, sich Zugang zu Unternehmensnetzwerken zu verschaffen. Mittelständische Unternehmen, beispielsweise in der produzierenden Industrie oder im Gesundheitswesen, stehen im Fokus von Hackern: Mittels Ransomware-Angriffen können Cyber-Akteure ganze Produktionsstraßen lahm legen oder Krankenhäuser vom Netz nehmen. Insbesondere in diesen Branchen ist der Schaden nach einer Attacke besonders groß, da sie enorme wirtschaftliche Auswirkungen zur Folge haben und eine Vielzahl von Menschen betreffen. Für Hacker sind zudem vor allem mittelständische Unternehmen interessant, die wirtschaftlich erfolgreich sind, aber gleichzeitig nicht über die gleichen umfassenden Sicherheitsmaßnahmen verfügen wie große, börsennotierte Konzerne.
Nahezu kein Expertenwissen mehr benötigt
Cyberkriminelle greifen mit gefälschten Rechnungen vermehrt Unternehmen des produzierenden Gewerbes in Deutschland an. Das hat Proofpoint herausgefunden. Die Angreifer versenden dabei gefälschte Rechnungen, die als Köder verwendet werden oder aber die E-Mail beinhaltet einen Link zu einer Website, auf der das gefälschte Dokument zum Download zur Verfügung steht. Die Dokumente sind mit dem Remote Access Trojaner NanoCore infiziert. Laut Proofpoint enthalten Anhänge eine komprimierte ausführbare Datei (mit der Erweiterung ".Z"), während bösartige Links den Empfänger veranlassen, die auf onedrive.live.com gehostete Malware herunterzuladen.
Fünf Sofortmaßnahmen zur Systemhärtung
Guardicore gibt Sicherheitsempfehlungen für das Support-Ende von Windows Server R2, Windows Server 2008 und Windows 7. Ab 14. Januar 2020 werden Nutzer dieser Microsoft-Betriebssysteme keine kostenlosen Sicherheitsupdates und Online-Aktualisierungen mehr erhalten. Ohne sicherheitsrelevante Updates sind die betroffenen IT-Systeme gegen neu entdeckte Schwachstellen nicht mehr geschützt. Zwar sind die genannten Betriebssysteme teilweise bereits über ein Jahrzehnt alt, aber Schätzungen zufolge ist allein Windows Server 2008/2008 R2 immer noch auf fast jedem dritten Server weltweit im Betrieb. Viele Organisationen können nicht auf aktuelle Betriebssystemversionen wechseln, weil sie komplizierten Gesetzes- und Zertifizierungsanforderungen unterliegen, oder einfach nicht das erforderliche Budget zur Verfügung haben. Gefragt sind deshalb Überbrückungslösungen - auch um zeitaufwendige Migrationsprozesse begleiten zu können.
Abfangen und Manipulieren von E-Mails
Die E-Mail ist das Kommunikationsmittel Nummer eins. Unternehmen sind in der Pflicht, sich mit der E-Mail-Sicherheit zu beschäftigen, kommunizieren sie doch sowohl intern als auch extern. Nahezu täglich ist von Datenpannen und Datendiebstählen zu hören: Fremde verschaffen sich - zum Teil leider kinderleicht - Zugang zum internen Unternehmenssystem und greifen Daten ab oder manipulieren diese. Einfache, unverschlüsselte E-Mails stellen deshalb grundsätzlich eine Gefahr dar: Sie ähneln einer Postkarte, deren Inhalt jeder lesen kann. "Denn gehen E-Mails weder digital signiert noch verschlüsselt auf die Reise, können die Inhalte nicht nur ausspioniert, sondern auch manipuliert werden. Da Angriffe dieser Art in aller Regel nicht sicht- und nachweisbar sind, wird die E-Mail-Sicherheit leider nach wie vor oft stiefmütterlich behandelt. Wie oft und von wem E-Mails gelesen werden, kann ihnen niemand ansehen", warnt Patrycja Tulinska, Geschäftsführerin der PSW Group.
Neuer Standort und neue BC/DR-Strategie?
Die Entfernung zwischen georedundanten Rechenzentren soll mindestens 200km betragen. So empfiehlt es das BSI seit diesem Jahr. Dies stellt viele Unternehmen vor Probleme, betrug die bisher empfohlene Distanz in der Vergangenheit doch gerade einmal fünf Kilometer. Diese geringe Distanz erlaubte es den Betreibern bisher, ihre Rechenzentren über HA-Systeme synchron zu spiegeln. Dies ist bei einem Abstand von 200km jedoch nicht mehr möglich: Die Latenz zwischen den Standorten ist einfach zu hoch, um Organisationen mit traditionellen Hochverfügbarkeits- und Backup-Lösungen gegen Systemausfälle zu schützen. Was können Unternehmen nun tun, um ihre IT etwa gegen logische Fehler oder Ransomware-Attacken abzusichern, um minimalen Datenverlust und kurze Ausfallzeiten zu garantieren? Der neue Mindestabstand, den das BSI (Bundesamt für Sicherheit in der Informationstechnik) seit Dezember 2018 zwischen sich Georedundanz gebenden Rechenzentren empfiehlt, stellt in vieler Hinsicht eine Zäsur dar. Er stellt die Nutzung synchroner Spiegelung grundsätzlich infrage und hat damit einen direkten Einfluss darauf, wie Rechenzentren hierzulande betrieben werden. Wer eine "kritische Infrastruktur" betreibt, wird vom Gesetzgeber sogar dazu gezwungen der Empfehlung zu folgen. Und wer das Pech hat Teil eines Branchenverbandes zu sein, der den Empfehlungen des BSI folgt, wie etwa Mitglieder der Bankenbranche Bafin, haben ebenfalls keine Wahl. All diese Organisationen müssen auf die Entscheidung reagieren und den Abstand ihrer Rechenzentren auf mindestens 200km bringen.

Ranscam gibt Daten nicht wieder frei Nur was man kennt, kann man auch schützen