Schlagwort-Archiv: Nachrichten

Viele Magentoshops sind unsicher

Logo Hubit-DatenschutzAnfang Juli wurde ein Problem im sogenannten Zend-Framework bekannt. Das Framework ist eine Sammlung von „Programmiervorlagen“, die von vielen Anbietern verwendet werden. Sie vereinfachen die Arbeit der Programmierer. Das Framework wird unter anderem auch in Magentoshops eingesetzt.

Wenn die XMLRPC-Schnittstelle aktiviert ist, können Angreifer die Inhalte aller Dateien auslesen. Inklusive der Passwortdateien, mit denen Sie dann wieder Zugriff auf die Datenbank und eventuell sogar das Emailsystem bekommen.

Das einzige, was hier hilft, ist ein Patch bzw. Update auf die neuste Version. Leider sind immer noch viele Magentoshops ungepatcht, wie auch auf golem.de zu lesen war. Nicht nur bei Magentoshops auch bei jeglicher anderer Software ist es wichtig, die aktuellen Sicherheitspatches einzuspielen.

Auf zig-Millionen PC ist dringendes Update erforderlich!

Java UpdateIn bestimmten Kreisen war schon lange die Rede davon, dass es eine Sicherheitslücke in der Java-Plattform gebe. Der Hersteller Oracle hatte hierzu eine Zeit lang geschwiegen. Nun hat Oracle bekannt gegeben, dass es eine Sicherheitslücke in Java gibt und ein Update bereitgestellt.

Java ist für viele Programmierer (auch für Internetseiten) sehr beliebt. Leider auch bei denen, die die Technik kriminell einsetzen. So sollen bereits (infiltrierte / kriminelle) Internetseiten diese Sicherheitslücken ausnutzen, um Schadcode einzuschleusen. Vier Sicherheitslücken sollen nun durch das Java-Update geschlossen werden. Weltweit sollen laut Oracle mehrere Milliarden Geräte mit Java installiert sein. In Deutschland sind vermutlich zig Millionen PC´s, Notebooks und andere Geräte betroffen.

Dieses Update installiert sich in den meisten Fällen nicht von alleine! Die meisten Nutzer sollten durcheine Meldung auf das Update hingewiesen werden. Darauf sollten Sie nicht warten! Laden Sie sich das Java Update von der Herstellerseite runter

In den meisten Fällen ist es erforderlich, dass zunächst die alte Version deinstalliert wird. Sollten Sie weitere Fragen zur Systemverträglich, Installation oder Deinstallation haben, wenden Sie sich bitte an Ihren IT-Dienstleister bzw. Administrator.

In der Installation wird gefragt, ob Sie eine Toolbar installieren wollen (siehe Bild unten). Diese ist nicht zwingend erforderlich. Wenn Sie die Toolbar nicht wünschen entfernen Sie den Haken. In vielen Fällen sammeln Toolbars Nutzerdaten. Wie diese Toolbar arbeitet ist uns nicht bekannt.

56.000 Euro Bußgeld wegen GPS-Ortung

Logo Hubit-DatenschutzGPS-Module werden in immer mehr Geräte eingebaut. Die Beschaffungskosten sind mittlerweile gering und auch die technische Umsetzung ist mittlerweile einfach. Die Anwendungsmöglichkeiten sind vielfach. Doch nicht immer ist der Einsatz der Ortung rechtliche gestattet.

Wie im Weser Kurier am 18.07.2012 zu lesen war, hat Europcar einen Teil seiner Flotte mit GPS-Ortungssystemen ausgestattet. Die Autovermietung wollte mit diesem technischen Hilfsmittel Diebstähle leichter aufklären können. Weiterhin sollte mit den GPS-Geräten geprüft werden, ob sich die Kunden in dem vertraglich vereinbarten Gebieten aufhielten. Zusätzlich zum Standort wurden Datum und Uhrzeit sowie die Geschwindigkeit gespeichert.

Der Landesdatenschutzbeauftragte Hamburg, Herr Johannes Casper, hatte dem Artikel nach gestern mitgeteilt, dass die Autovermietung ein Bußgeld von 54.000,- Euro zahlen müsse. Die anlassbezogene Ortung im Falle eines Diebstahls sei rechtens. Allerdings wäre die heimliche Ortung (ohne Kenntnis der Mieter) der Mietfahrzeuge nicht mit dem Datenschutz vereinbar. Mit den gesammelten Daten könnten Bewegungsprofile der Mieter erstellt werden. Und dies stelle einen schweren Eingriff in das Persönlichkeitsrecht dar, so Caspar.

Unternehmen müssen vor dem Einsatz von Überwachungstechnik, wie GPS-Ortung, Videoüberwachung und ähnlichem, ihren betrieblichen Datenschutzbeauftragten Weitere Infos im Lexikon informieren. Dieser muss eine Vorabkontrolle Weitere Infos im Lexikondurchführen und die Rechtmäßigkeit des Einsatzes von Überwachungstechnik prüfen.

Handydaten millionfach abgefragt

Logo Hubit-DatenschutzDie Behörden in den USA haben im Jahr 2011 über eine Millionen Mal Daten, SMS und Aufenthaltsorte von Handybesitzer von den Telekommunikationsunternehmen abgerufen, wie Welt Online berichtete.

Der Kongress stellte eine entsprechende Anfrage, die diese enorme Zahl zu Tage brachte. Es seien große Telekommunikationsunternehmen wie AT&T und auch T-Online USA betroffen. Es ist kein Geheimnis, dass die USA andere gesetzliche Regelungen, wie z.B. den Patriot Act, haben als europäische Länder. Erschreckend ist hierbei, dass vielfach die Daten ohne richterliche Anordnung abgefragt würden. Dies sei möglich, wenn die Behörden „Gefahr im Verzug“ sehen und somit die Anfrage als Notfall deklarierten.

In Deutschland wäre ein solches Vorgehen undenkbar. Hier wird der Bürger durch das Bundesdatenschutzgesetz geschützt. Hier zulande würde es als Staatswillkür oder ähnlich bezeichnet werden. Hier ist in jedem Falle eine richterliche Anordnung erforderlich. Diese zusätzliche Hemmschwelle ist wichtig, damit die Daten der Bürger geschützt sind.

Interessant wäre hier die Fragestellung, wie häufig und in welchem Umfang T-Online USA bzw. T-Mobile USA und andere TK-Unternehmen Daten Deutscher Urlauber bereits übergeben hat.

Schaden für Unternehmen durch Social Media möglich?

Logo Hubit-DatenschutzSocial Media ist der Trend der letzten Jahre im Internet. Plattformen wie z.B. Twitter, Facebook, Google etc. bieten vielfältige Möglichkeiten zum Informationsaustausch. Viele Unternehmen nutzen mittlerweile diese Dienste für Marketing Kampagnen. Doch bringen diese Dienste nur Vorteile?

Es ist wie mit allen Dingen im Leben. Jede Sache hat zwei Seiten. Es gibt natürlich auch eine negative Seite. Aus technischer Sicht sind hierzu schon viele Artikel veröffentlicht worden, in den z.B. Facebook für das Auspionieren der Benutzer angeprangert wurde. Darum soll es in dieser Datenschutz-News nicht gehen.
Es geht um ansehensschädigende Beiträge und Industriespionage mittels Social Engineering. Beim Social Engineering Weitere Infos im Lexikon wird die größte Schwachstelle im System für die Informationsgewinnung genutzt.
Der Mensch.

Die Menschheit ist das, was sie ist, durch das Sprechen geworden. Das Austauschen von Informationen ist ein wichtiger Baustein in unserem Sein. So verwundert es nicht, dass alle gern über dies und das sprechen. In der Vergangenheit war es kein so großes Problem, wenn man seinen Freunden in geselliger Runde ein paar lustige Geschichten aus dem Geschäftsalltag erzählte oder sich negativ über seinen Arbeitgeber ausgelassen hat. Das meiste blieb in der Runde und die meisten Informationen gerieten mit der Zeit in Vergessenheit.

Heute sieht dies anders aus. Es gibt das Internet und eine Vielzahl an Möglichkeiten sich über Foren, Social Media Plattformen und andere Portale auszutauschen. Aber wo ist der Unterschied?
Es gibt zwei gravierende Unterschiede. Zum einen bleiben geschriebene Worte im Internet sehr lange gespeichert und werden selten gelöscht. Es ist sozusagen für die Ewigkeit geschrieben. Zum anderen wird selten darauf geachtet, dass nur eine bestimmte Personengruppe diese Beiträge liest.

Die Mitarbeiter müssen dafür sensibilisiert werden, dass sie nicht alles im Internet veröffentlichen. Auch das bayrische Landesamt für Verfassungsschutz warnt vor den Gefahren durch Internetplattformen.

Mitarbeiter sollten in Schulungen sensibilisiert werden. Weiterhin sollte ihnen vermittelt werden, wie sie ihre Privatsphäre-Einstellungen konfigurieren sollten. Schulungen von HUBIT zum richtigen Umgang mit sozialen Netzwerken, dem Internet und Unternehmensdaten können Sie individuell für Ihre Bedürfnisse durchführen lassen.

Dass sich Mitarbeiter negativ über Ihren Arbeitgeber auslassen ist sicherlich nicht angenehm. Aber auch hier sollte man sich der Kritik stellen und beurteilen, wieso der Mitarbeiter so unzufrieden ist, dass er (wissentlich oder unwissentlich) seinem Arbeitgeber Schaden zufügt.

Schlimmer ist hingegen, wenn unternehmensinterne Informationen im Internet veröffentlicht werden.
Zu Zeiten des Kalten Krieges wurde viel Wert auf Sicherheit und Schutz vor Industriespionage gelegt. Heute wird dieses Thema stiefmütterlich behandelt. Aber Industriespionage ist immer noch weit verbreitet. Jedoch wird sie heute mit ganz anderen Mitteln umgesetzt. Facebook, Google und andere Plattformen bieten genügend Raum für Klatsch und Tratsch. Jeder hat zig oder hunderte von Freunden, denen er alles mitteilt.

Aber sind das wirklich Freunde?
Wie gut kennt man seine „Freunde“ und „Follower“? Oder hat man sie nur seiner Liste hinzugefügt, weil sie nett waren, aussahen oder sich als Freund eines Freundes ausgaben?
Man sollte immer genau überlegen, wem man welche Informationen mitteilt – insbesondere im Internet.

Industriespionage hat mit den neuen Medien eine neue Grundlage gefunden, um einfach an Informationen zu gelangen. Social Engineering wird damit so einfach…!

Seien Sie zurückhaltend. Überlegen Sie sich genau, welche Information sie preisgeben möchten. Entscheiden Sie sich für einen sicheren Kanal. Es muss nicht immer jeder alles wissen.

Achtung: Phishing bei Strato-Kunden!

Logo Hubit-DatenschutzWie bei heise online zu lesen war, seien derzeit besonders Strato-Kunden von Phishing-Attacken betroffen.

Was bedeutet Phishing?
Beim Phishing Weitere Infos im Lexikonwird dem Internetbenutzer vorgegaukelt, er sei auf der Webseite eines seriösen Internetanbieters. Dort wird er meist aufgefordert, geheime oder sensitive Daten einzugeben.
Dies können Kreditkartendaten aber auch Login-Daten sein.

Phishing startet meist mit einer Email. In der Email wird dem „Opfer“ suggeriert es gebe ein Problem oder ein Sicherheitsproblem. Meist wird versucht zeitlichen Druck auszuüben, damit das Opfer sich gedrängt fühlt und sich nicht die Zeit nimmt, die Angaben zu prüfen. In der Email ist meist ein Link, der auf die oben beschrieben Webseite führt. Die Seite sieht optisch der des echten Anbieters sehr oder genau ähnlich. Farben sind dem Original nach empfunden. Aber auch der Aufbau der Webseite und selbst das Logo des echten Anbieters sind zu finden.

Mit Hilfe des Phishing wird in diesem Fall versucht die Login-Daten der strato-Kunden zu erlangen. Das dahinter steckende Ziel kann vielseitig sein.
Möglich wäre, dass man auf diese Weise Email-Konten anlegen möchte, über die Spam-Mails verschickt werden sollen. Möglich wäre aber auch eine Manipulation der Webseiten oder Server.

In jedem Falle gilt:
Seien Sie skeptisch. Wenn Ihnen etwas komisch vorkommt, dann rufen Sie Anbieter an und fragen dort nach, ob diese Email wirklich von ihm stammt.

Android-Handys sind nicht mehr sicher

Logo Hubit-DatenschutzEin Android-Handy ist nicht mehr so sicher, wie bislang geglaubt. Forscher der Universität North Carolina gelang es, ein Clickjacking-Rootkit zu entwickeln. Mit diesem kleinen Programm ist es möglich eine App zu infizieren und so das Handy zu infizieren.

Erschreckend ist, dass es derzeit keine Technik gibt, die eine solche Infizierung bzw. Sicherheitslücke erkennen kann. Glücklicherweise ist es Forscher und nicht Hackern gelungen ein solches Rootkit zu entwickeln. Die Forscher wollen sich nun daran machen, geeignete Erkennungsverfahren zu entwickeln. Das Clickjacking-Rootkit greift nicht den Kernel an sondern das Android-Framework.

Durch ein solches Clickjacking-Rootkit ist es möglich, Daten und Dateneingaben auszulesen bzw. abzufangen. Ein Beispiel zur Verdeutlichung:

Der Browser, mit dem die Internetseiten angesehen werden, hat immer noch den gleichen „Look and Feel“, aber alle Daten werden gesammelt und ausgewertet. Betroffen hiervon könnten zum Beispiel Zugangsdaten für das Onlinebanking, Kreditkarteninformationen und weitere sensible Daten sein.

Neues Meldegesetz ist ein datenschutzrechtlicher Rückschritt

Logo Hubit-DatenschutzViele Bürger wissen es vielleicht gar nicht. Die Meldeämter geben teilweise ihre Daten weiter. Bislang war dies auf bestimmte Zwecke limitiert. Das neue Gesetz zur Fortentwicklung des Meldewesens sollte den Datenschutz erhöhen. Dem Entwurf nach sollte eine Weitergabe der Daten nur noch mit der Einwilligung des Bürgers möglich sein. Das nun verabschiedete Gesetz ist aus Sicht des Datenschutzes ein Rückschritt.

Die Informationelle Selbstbestimmung des Bürgers wurde bereits durch das Bundesverfassungsgericht als wichtiges Gut ausgewiesen. Das sogenannte Volkszählungsurteil wurde 1983 gesprochen und war ein wichtiger Meilenstein im deutschen Datenschutz. Grundsätzlich sollte der Bürger selbst bestimmen, wer seine Daten verarbeitet.

Das Bundesdatenschutzgesetz nimmt sich genau dieser Grundlagen an und formulierte ein sogenanntes Verbot mit Erlaubnisvorbehalt. Dies bedeutet, dass prinzipiell jede Datenverarbeitung von personenbezogenen Daten verboten ist, es sei denn, dass ein Gesetz dies erlaubt bzw. vorschreibt oder die betroffene Person hierzu eingewilligt hat.

Das neue Meldegesetz soll das Meldewesen vereinheitlichen und so eine Harmonisierung zwischen den Ländern bewirken. Ebenfalls war es das ursprüngliche Ziel, das Datenschutzniveau anzuheben.

Bislang war es den Meldeämtern erlaubt, Daten für verschiedene Zwecke weiterzugeben. Der ein oder andere mag sich schon mal gewundert haben, warum er kurz vor der Wahl Werbung der einen oder anderen Partei in seinem Briefkasten hatte.

Im Rahmen von Wahlen, ist es gestattet die Meldedaten für Parteiwerbung weiterzugeben. Wussten Sie das?

Man konnte der Weitergabe der Daten schriftlich widersprechen (das sogenannt Opt-Out-Verfahren).

Das neue Meldegesetz sollte eine Verbesserung darstellen. Hier war ursprünglich von einem Opt-in-Verfahren die Rede. Dies bedeutet, dass die Daten nur mit Einwilligung des Bürgers weitergegeben werden dürfen.

Das Gesetz zur Fortentwicklung des Meldewesens wurde nun durch den Bundestag verabschiedet. Jedoch mit entscheidenden Änderungen. Von Opt-in ist nun keine Rede mehr. Der Bürger muss (wie in der Vergangenheit) der Weitergabe der Daten widersprechen. Das Gesetz ist nun aber noch weiter in „Datenschutz Vergangenheit“ abgerutscht. Es wurden weitere Lockerungen eingefügt, die nun auch Adresshändler und ähnlichen Werbetreibenden den Zugriff auf die Daten (zum Datenabgleich) erlaubt. Durch Widerspruch soll die Weitergabe zum Datenabgleich nicht betroffen sein. Laut Golem käme daher auch der Bundesbeauftragte für den Datenschutz und die Informationssicherheit zu der Einschätzung, in den meisten Fällen sei der Widerstand zwecklos.

Noch hat das Gesetz keine Rechtskraft. Es muss noch durch den Bundesrat bestätigt werden. Es bleibt also abzuwarten, ob der Bundesrat eine Änderung der Datenschutzbestimmungen fordert und das Gesetz blockiert.

Fachleute warnen vor steigender Internetkriminalität

Logo Hubit-DatenschutzNachdem bereits verschiedene Fachleute vor der Steigerung von Internetkriminalität und Cyber-Angriffen gewarnt hat, hat sich nun auch Jonathan Evans zu Wort gemeldet. Der Chef des englischen Geheimdienstes MI5 sagte, wie auf heise-online zu lesen war, das Ausmaß dessen, was dort vor sich ginge, sei erstaunlich.

Cyber-Angriffe, können unterschiedliche Intentionen haben. Zum einen gibt die klassische Spionage, in der der eine Staat versucht geheime Informationen des anderen Staates zu erlangen. Aber auch die Wirtschaftsspionage darf hierbei nicht unterschätzt werden. Auch nach dem kalten Krieg ist dies immer noch aktuell, auch wenn es nicht mehr in aller Munde ist. Das Internet und die Leichtfertigkeit im Umgang mit Daten macht es den Kriminellen leicht an die gewünschten Informationen zu langen.

Nach vielen Jahren, in den es um Konstruktionspläne, Erfindungen und betriebsinterne Abläufe ging, geht es heute auch um Kundendaten. Wie sicher ein Internetshop seine Daten wirklich aufbewahrt, kann ein Kunde nicht beurteilen (siehe hierzu Sonderbeilage eCommerce in Die Welt vom 22.06.2012). Selbst die Betreiber unterschätzen zeitweise das Risiko oder sind sich dessen nicht bewusst. Auch bei sorgfältiger Programmierung des Shopsystems können sich Fehler einschleichen.

Wir, die Firma HUBIT, bieten Ihnen die Möglichkeit, mögliche Angriffszeile in Ihrer Shopsoftware aufzudecken.

Die Zahl der Cyber-Angriffe steigt stetig an. Prinzipiell ist es unerheblich, ob der Angreifer ein kriminelles Ziel verfolgt oder das Ziel der Staatsspionage dient. Wichtig ist allein, dass es jede Internetseite, jedes Internetportal und jeden Internetshop betreffen kann. Die Palette der möglichen Angriffe ist breit gefächert und geht vom Einschleusen schadhaften Codes bis zum Auslesen von Kunden- und Kreditkarteninformationen.

Ãœbrigens:

Wenn Google oder andere Suchmaschinen erkennen, dass eine Internetseite mit schadhaftem Code infiltriert wurde, kann es vorkommen, dass diese Seite nicht mehr in den Google-Suchergebnissen angezeigt wird.