- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

TLS-Verschlüsselung keine Herausforderung


"KRACK"-WLAN-Sicherheitslücke bedroht vor allem Unternehmen
Unverschlüsselte E-Mails können durch KRACK leicht mitgelesen werden

- Anzeigen -





Die Sicherheitslücke "KRACK" in der WPA2-Verschlüsselung bei WLAN-Verbindungen in aller Munde. Sie führt dazu, dass Angreifer potentiell den Datenverkehr mitlesen und neue Daten einstreuen können. Allgemeine Gefahren und Sicherheitsanweisungen für Privatnutzer werden breit diskutiert, unbeachtet bleiben dagegen bisher die speziellen Gefahren, die KRACK für Unternehmen mit sich bringt.

Die Aufklärung zur Sicherheitslücke KRACK bezieht sich insbesondere auf Themen wie Onlinebanking und Onlineshopping. Es wird geraten, beim Surfen im Internet nur verschlüsselte Verbindungen mit dem kleinen Schlosssymbol in der Browserzeile und HTTPS statt HTTP zu nutzen. Damit ist eine Ende-zu-Ende-Verschlüsselung unabhängig von der WLAN-Verbindung umgesetzt.

Weniger beachtet wurden bisher die Auswirkungen von KRACK auf den E-Mail-Verkehr. E-Mails sind grundsätzlich nur so sicher wie Postkarten. Wer Zugriff auf die Datenströme hat, kann E-Mails mitlesen und manipulieren. HTTPS schützt E-Mails nur beim Abruf vom Mailserver über den Browser. Für die Verschlüsselung der Verbindung zwischen Mailservern steht TLS-Verschlüsselung zur Verfügung.

Dr. Burkhard Wiegel, Geschäftsführer und Gründer der Berliner E-Mail-Verschlüsselungsspezialistin Zertificon, warnt davor, bei der E-Mail-Sicherheit ausschließlich auf TLS-Verschlüsselung zu vertrauen: "Die Transportverschlüsselung TLS wird nicht flächendeckend eingesetzt. Unsere eigenen Messungen haben ergeben, dass ca. 50 Prozent der E-Mails nicht TLS verschlüsselt sind. Wenn TLS eingesetzt wird, sind dies häufig veraltete Versionen. Auch das TLS-Zertifikatsmanagement ist nicht sicher. Denn Zertifikate werden selbst ausgestellt, Prüfmechanismen werden nicht genutzt. TLS ist anfällig für "Man-in-the-middle"-Attacken." Dr. Wiegel sieht sogar die grundsätzliche Gefahr durch TLS viel höher als bei der Sicherheitslücke KRACK: "Für Angreifer, die in der Lage sind, KRACK auszunutzen, ist das Hacken einer TLS-Verschlüsselung gar keine Herausforderung."

Die Bedrohung für Unternehmen ist real. Wer sich in ein Gewerbegebiet begibt oder in den Ballungsräumen der Start-up-City Berlin ein Café aufsucht, hat sehr schnell physischen Zugang zu einer großen Auswahl an Firmen-WLANs und damit gegebenenfalls zur Kommunikation ganzer Unternehmen. Die Gefährdung wird vielfach unterschätzt. Dabei gibt es vielfältige Nutzungsszenarien für die E-Mail-Ausbeute eines Werktages. Eine der derzeit gefürchtetsten Attacken auf Unternehmen ist der CEO-Fraud. Die Aufklärung der Mitarbeiter zu dieser Betrugsmasche bleibt fruchtlos, wenn der Angreifer seine Story auf der Basis intimster Firmenkommunikation konstruieren kann. Doch auch der ungewollte Know-how-Transfer, Mitarbeiterabwerbung und Erpressungsversuche aller Art basieren auf Insider-Informationen, die über den Mailverkehr leicht zu erbeuten sind.

Einzig die Kombination aus E-Mail-Signatur und E-Mail-Verschlüsselung bietet Unternehmen, deren Geschäftspartnern und Kunden Sicherheit. Die Signatur bestätigt die Unversehrtheit der E-Mail-Inhalte und ihrer Anhänge, die Verschlüsselung dagegen bewahrt die gesamten Daten vor unberechtigtem Zugriff.

Grundsätzlich sind Unternehmen und Privatpersonen gut beraten, sich beim E-Mail-Versand nicht alleine auf die Transportverschlüsselung wie WPA2 oder TLS zu verlassen. Wird nur der Übertragungsweg gesichert, bleiben die Daten darin schutzlos, wenn der sicher geglaubte Transporttunnel Lücken aufweist. Und die nächste Sicherheitswarnung kommt gewiss.

Ein großes Maß an Sicherheit sowohl für Privatnutzer als auch für Unternehmen bietet die Verschlüsselung der Inhalte. Wer seine E-Mails ende-zu-ende verschlüsselt, schützt diese unabhängig von der Sicherheit der Transportstrecke. Wenn Angreifer Zugang zum WLAN bekommen oder sich in andere Datenleitungen hacken, bleiben als Beute nur nutzlose verschlüsselte Datenpakete.

Verschlüsselung wird häufig als wenig effizient und nicht wirtschaftlich wahrgenommen. Diese Einschätzung ist veraltet. In vielen Unternehmen sind sogenannte Secure Email Gateways zur E-Mail-Verschlüsselung und -Signatur heutzutage Bestandteil der Standard IT-Infrastruktur. Diese Gateways arbeiten weitgehend automatisiert im Hintergrund, ohne dass die Mitarbeiter sich mit dem Thema Verschlüsselung beschäftigen müssen.

Um geschäftliche E-Mails auch auf Endgeräten, Servern, internen Strecken sowie im WLAN und in Mobilfunknetzen zu schützen, kann ein Secure Email Gateway zur "Organizational Ende-zu-Ende-Verschlüsselung" erweitert werden. Mit diesem Schutzniveau wäre selbst der Bundestagshack 2015 wirkungslos geblieben und auch KRACK verliert seinen Schrecken. (Zertificon Solutions: ra)

eingetragen: 06.11.17
Home & Newsletterlauf: 07.12.17


Zertificon Solutions: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • NTT Security warnt vor Deepfake-Angriffen

    Künftig ermöglichen Deepfakes Cyber-Angriffsszenarien in einer ganz neuen Dimension, warnt NTT Security. Da bisher keine ausgereiften technischen Abwehrmechanismen zur Verfügung stehen, müssen Unternehmen größte Vorsicht walten lassen. 2017 tauchten erstmals in größerem Stil Deepfake-Videos auf; vor allem gefälschte Porno-Videos mit Hollywoodstars wie Scarlett Johansson und Emma Watson verbreiteten sich rasch im Internet. Große Bekanntheit erlangten zudem die zahlreichen Deepfakes mit Nicolas Cage, in dem der Oscar-Preisträger nahezu in jedem Hollywoodstreifen zu sehen war. Und auch Politiker wurden von Deepfakes nicht verschont, etwa Angela Merkel, die in einer Rede plötzlich die Gesichtszüge von Donald Trump annimmt.

  • Neun Tipps, um den Computer abzusichern

    Hacker haben es auch auf die Computer in Schulen und von Schülern abgesehen. Denn hier sind teils sensible Daten wie Schulzeugnisse, Krankheiten oder Zugangsdaten zu Social Media- und E-Mail-Konten gespeichert. Lehrer und Eltern sind meist schlecht auf einen möglichen Cyberdiebstahl vorbereitet. Daher sollten auch sie ihre Hausaufgaben jetzt erledigen und die von den Kindern genutzten Computer absichern. Die Sicherheitsexperten von F5 geben neun Tipps, wie Computer am besten abgesichert werden können.

  • Zehn ultimative Anzeichen für Phishing-E-Mails

    Ja? Nein? Probehalber anklicken? Vielleicht passiert ja gar nichts? - Phishing-E-Mails sind nicht einfach zu erkennen. Zur Orientierung hat Sophos die Top 10 der bestechenden Hinweise auf einen Phishing-Versuch aufgestellt. Eines aber vorweg: "probehalber" ist keine empfohlene Herangehensweise. Phishing-E-Mails können plump sein oder sehr raffiniert. Doch es gibt ein paar untrügliche Kennzeichen, was eine verdächtige E-Mail ausmacht. Sophos hat im Rahmen seines Phishing White Papers zehn Merkmale zusammengefasst, bei denen Nutzer hellhörig werden sollten.

  • SamSam-Angreifer schwer fassbar

    Seit zweieinhalb Jahren werden Unternehmen von einem Schädling terrorisiert, der in ihre Netzwerke eindringt und sämtliche Computer mit einer zerstörerischen Datenverschlüsselnden Malware infiziert: SamSam. Details über die Attacken, die Opfer, die Methoden und den Ursprung dieser Malware sind seitdem nur schwer aufzudecken. Eines ist aber gewiss: Durch das Erpressen hoher Lösegelder von einer wohl recht kleinen Opfergruppe, die nur sehr widerwillig Einblicke in ihr Unglück gab, bleiben die SamSam-Angreifer schwer fassbar - häuften aber ein geschätztes Vermögen von rund 5,9 Millionen US-Dollar an.

  • Multiple Faktoren schützen Identitäten

    Auf 3,33 Millionen Euro belaufen sich laut der Studie "Cost of a Data Breach 2018" des Ponemon-Instituts die durchschnittlichen Kosten einer Datenpanne - Tendenz weiter steigend. Verlorene Geschäftschancen, Wiederherstellung aufgewendeter Arbeitsstunden und negative Auswirkungen auf die Reputation zählen zu den Kostentreibern. Verstöße gegen die Datensicherheit finden täglich statt, lassen sich zunehmend schlechter erkennen und somit schwerer verhindern. Mit jedem erbeuteten Datensatz verdienen Hacker bares Geld, zerstören unternehmerische Existenzen und bescheren der Weltwirtschaft empfindliche Einbußen: Bitkom beziffert allein die jährlichen Schäden der deutschen Wirtschaft auf 55 Milliarden Euro.