In Reportagen hört man immer wieder, wie Menschen auf Betrugsmaschen hereinfallen und dadurch große Geldsummen verlieren. Doch das Thema trifft nicht nur im privaten Bereich zu, sondern kann auch Mitarbeitern im Unternehmen passieren, denn die angewendeten Betrugsmaschen werden immer raffinierter.
Vishing
Beim so genannten Vishing (Kombination aus Voice und Phishing) gibt sich jemand als Person bzw. Unternehmen aus (Bsp. Experte, Mitarbeiter, Kundenunternehmen) und versucht im Gespräch Informationen über Passwörter, Geburtsdaten etc. zu erhalten. Ziel der Betrüger ist es dabei, sich Zugang zu den Daten des Unternehmens zu verschaffen für den anschließenden Datenklau.
Versierte Betrüger können durch das so genannte Caller ID Spoofing sogar den Eindruck vermitteln, von einer dem Angerufenen bereits bekannten Telefonnummer aus anzurufen. Den Betrügern gelingt es dadurch das Vertrauen der angerufenen Person zu gewinnen, um an die benötigten Informationen zu gelangen.
CEO-Fraud
Beim so genannten CEO Fraud gibt sich eine Person als Vorstandsmitglied, Geschäftsleitung oder anderen Führungsperson des eigenen Unternehmens aus. Per E-Mail oder Telefon sollen Mitarbeiter dazu bewegt werden, hohe Geldbeträge ins Ausland zu überweisen. Durch Informationen von der Homepage des Unternehmens sowie Social Media Inhalten erweckt der Betrüger den Anschein, über interne Informationen zu verfügen. Gepaart mit dem Anschein eines hohen Zeitdrucks kommen Mitarbeiter dem Zahlungswunsch schließlich nach.
Wie vermeidet man, dass Mitarbeiter auf den Betrug eingehen?
Oftmals wird die Wahrscheinlichkeit, auf diese oder ähnliche Betrugsmaschen hereinzufallen, von den Unternehmen als gering bewertet. In jedem Fall sind Unternehmen gut damit beraten, ihre Mitarbeiter regelmäßig hinsichtlich (aktueller) Betrugsmaschen zu sensibilisieren und Hilfestellungen in Form von Verhaltensweisen an die Hand zu geben (Bsp. keine Weitergabe von Passwörtern oder internen Informationen).
Zudem sind in die bestehenden Prozesse zum Zahlungsverkehr auch Kontrollmechanismen einzubauen, sodass der Betrug schnell erkannt wird und rechtzeitig gestoppt werden kann, sofern es notwendig werden sollte.
Laura Piater
Justiziarin
Consultant für Datenschutz
Videokonferenzdienste erfreuen sich zur Zeit zunehmender Beliebtheit. Sie können helfen, gewohnte Arbeitsabläufe während der angeordneten Kontaktsperren aufrechtzuerhalten. Nicht alle Lösungen sind jedoch für den geschäftlichen Einsatz empfehlenswert.
Wir hatten bereits über den US-amerikanischen Anbieter Zoom berichtet. Wie sich nun herausstellt, wurden Zugangsdaten für hunderttausende Zoom-Accounts zum Kauf im Darknet angeboten. Dies berichten Mitarbeiter der IT-Sicherheitsfirma Cyble, die dort rund 530.000 Datensätze ankaufte. Laut Cyble bestehen die Datensätze aus E-Mail-Adressen, Passwörtern im Klartext sowie teilweise aus Meeting-URL und dem Zoom-Host-Key. Der Kaufpreis pro Satz soll weniger als einen US-Cent pro Stück betragen. Die Authentizität der Datensätze wurde nach Angaben von Cyble überprüft.
Das Raumfahrtunternehmen des Tesla-Gründers Elon Musk, SpaceX, hat sich ebenso wie die NASA frühzeitig entschieden, seinen Mitarbeitern die Verwendung von Zoom zu untersagen. Google hat sich mittlerweile ebenfalls entschieden, Zoom auf seinen Arbeitsrechnern zu blockieren. Zoom hatte bereits vor einer Woche den Ex-Sicherheitschef von Facebook engagiert, um die Probleme bei Datenschutz und Datensicherheit in den Griff zu bekommen.
Nicht alle Videokonferenzdienste sind unsicher. Achten Sie vor allem auf ausreichende Verschlüsselung und Verifikation der Nutzer bei der Anmeldung im Konferenzraum. Nicht alles, was kostenlos und nutzerfreundlich ist, erfüllt auch die Sicherheitsstandards für den kommerziellen Gebrauch.
Weiterhin gilt: Sprechen Sie möglichst vor der Einführung neuer Software mit Ihrem Datenschutz- und Informationssicherheitsbeauftragten! Nur auf diesem Weg erhalten Sie eine kompetente und unabhängige Einschätzung der Risiken von Datenverarbeitungsprozessen. Außerdem kann eine bestehende Lösung bei Bedarf besser abgesichert werden.
Florian S.
Justiziar | M.A.
Consultant für Datenschutz
Die Cyberangriffe während der Corona-Krise reißen nicht ab. Vor einigen Tagen hatten wir hier auf unserem Blog von einem enormen Anstieg von Phishing-Kampagnen berichtet. Kriminelle nutzen die aktuelle Situation schamlos aus und verbreiten Live-Übersichtskarten zur Ausbreitung des Virus, die im Hintergrund Passwörter und Kreditkarten stehlen, Corona-Tracking-Apps, die das Mobiltelefon des Opfers verschlüsseln und daraufhin Lösegeld verlangen (sogenannte „CovidLock“ Malware), oder auch erpresserische E-Mails, in denen sie damit drohen, die Empfänger mit dem Virus zu infizieren. Täglich kommen neue Berichte über Angriffe hinzu und werden beispielsweise hier oder hier zusammengetragen.
Angesichts dieser Situation sollten Unternehmen ihre Mitarbeiter jetzt für das Thema sensibilisieren, um so die Erfolgswahrscheinlichkeit von Angriffen auf das eigene Unternehmen zu reduzieren.
Gute Leitfäden finden sich zum Beispiel bei Avast oder der Electronic Frontier Foundation.
Wir bei der it.sec haben für sie einen Webcast mit den aus unserer Sicht wichtigsten Punkten zusammengestellt. Sie finden ihn hier: https://youtu.be/1AZ2NVnLEdM
Die PowerPoint steht Ihnen zum Download unter folgendem Link zur Verfügung: https://it-sec.de/download/webinar/Awareness-Webinar_1.0.pdf
Ihr Team der it.sec GmbH
Auch in Baden-Württemberg wurde nun das erste Bußgeld nach der Datenschutzgrundverordnung (DSGVO) verhängt. Ein Social-Media-Anbieter hat gegen die in Art. 32 DSGVO vorgeschriebene Datensicherheit verstoßen und soll nun eine Geldbuße von 20.000 Euro bezahlen.
Im September dieses Jahres hatte das Unternehmen bemerkt, dass durch einen Hackerangriff personenbezogene Daten von ca. 330.000 Nutzern, darunter Passwörter und E-Mail-Adressen, entwendet und veröffentlicht wurden. Im Rahmen der Zusammenarbeit mit dem LfDI Baden-Württemberg wurde bekannt, dass das Unternehmen die Passwörter seiner Nutzer im Klartext gespeichert hatte, um die Nutzer durch den Einsatz eines Passwortfilters besser zu schützen.
Dadurch verstieß das Unternehmen jedoch gegen Art. 32 Abs. 1 lit. a DSGVO und die sich daraus ergebende Pflicht zur Gewährleistung der Datensicherheit bei der Verarbeitung personenbezogener Daten.
Die gute Kooperation des Unternehmens wirkte sich bei der Höhe des Bußgeldes positiv aus. Durch die Bereitschaft des Unternehmens bei der Umsetzung der Vorgaben und Empfehlungen konnte die Sicherheit der Nutzerdaten bereits deutlich verbessert werden.
Julia Eisenacher
Consultant für Datenschutz
Diplomjuristin
Ein Passwort ist eines der wichtigsten Mittel, die eigenen oder betrieblichen personenbezogenen Daten zu schützen. Dabei steht doch aber immer auch die Frage im Raum, wie ein solches Passwort zu gestalten ist, damit es die Daten auch nachhaltig schützen kann.
Bisher waren die Vorgaben, was ein sicheres Passwort ausmacht, recht klar. Die Verwendung von Passwörtern mit mind. 8 Zeichen bestehend aus einer Kombination von Groß- und Kleinbuchstaben, Sonderzeichen und Zahlen sowie ein Passwortwechsel alle 90 Tage sollten einem Hacker die Arbeit besonders erschweren.
Vor Kurzem hat jedoch das National Institute of Standard and Technology (NIST), welches diese Regeln erst ins Leben rief, diese Annahme revidiert. Der ursprüngliche Autor dieser Vorgaben, Bill Burr, hatte dazu auch erklärt, dass die damaligen Annahmen ein Irrtum gewesen seien.
Dies ist nicht darauf zurückzuführen, dass die Vorgaben damals generell falsch waren, doch aber darauf, dass sich seit 2003, das Veröffentlichungsdatum der alten Passwort-Regeln, die Technik erheblich weiterentwickelt hat. Auch haben die zahlreichen Hackerangriffe der letzten Zeit dafür gesorgt, dass es ausführliche Wörterbücher von verwendeten Passwörtern gibt, in welchen Angreifer „nachschlagen“ können.
Es ist also in der heutigen Zeit um vieles einfacher als noch vor 14 Jahren, Passwörter mithilfe einer Software auszulesen.
Daher ist ein neues Herangehen an die Passworterstellung angebracht. Das NIST hat in seinem neu veröffentlichten Leitfaden festgestellt, dass besonders die Passwortlänge eine entscheidende Rolle bei der Sicherheit spielt.
Es wird geraten, möglichst lange Passwörter mit mindestens 12 Zeichen und einer zufälligen Zeichenabfolge zu vergeben, also z.B. eine Wortreihe, die logisch keinen Sinn ergibt, wie SchuhDatenschutzRegen. Sonderzeichen können ebenso nützlich sein, aber auch beim Einsatz dieser gilt, ein Muster bei der Passwortvergabe, das einfach zu identifizieren ist, sollte vermieden werden. Denn Software, welche versucht Passwörter auszulesen, kann dies schneller tun, wenn dem Passwort ein Muster zugrunde liegt.
Auch sollten zu jeder Zeit für unterschiedliche Portale oder Anwendungen verschiedene Passwörter verwendet werden. Denn sollte doch einmal ein Passwort in unbefugte Hände geraten, sind nicht auch noch alle anderen Anwendungen oder Benutzerkonten in Gefahr, ausgespäht zu werden.
Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz
Am Ende des Jahres werden immer die beliebtesten Passwörter der Deutschen im Internet bekannt gegeben.
Diese werden jährlich von IT-Sicherheitsexperten des Hasso-Plattner-Instituts in Potsdam ermittelt. Insgesamt wurden für diese Studie ca. 1 Milliarde Nutzerkonten analysiert und ausgewertet, die aus 31 veröffentlichten Datenlecks in unterschiedlichen Bereichen stammen und im Internet frei verfügbar sind. Dabei konnte herausgefunden werden, dass 20 % der Nutzer ein identisches Passwort für verschiedene Accounts benutzen und bei 27 % der Nutzer lag eine sehr hohe Ähnlichkeit in der Zeichenfolge vor. Die Passwörter werden von Nutzern also sehr häufig nur geringfügig abgeändert.
Im Jahr 2016 schaffte es das Wort „hallo“ auf den ersten Platz der Liste!! Auf Platz zwei landete wiederholt das Passwort „passwort“. Auf den dritten Platz schafft es „hallo123“. Überraschend ist das Wort „schalke04“ auf dem 4. Platz. „passwort1“ schmückt Platz 5 und „qwertz“ Platz sechs gefolgt von „arschloch“, „schatz“, „hallo1“ und „ficken“. Achtung, der bisherige Passwortsieger der vergangenen Jahre „123456“ nimmt weiterhin einen weltweiten Spitzenplatz ein. Im hier vorliegenden Ranking wurden jedoch keine bloßen Zahlenkombinationen berücksichtigt.
Auch wenn man die Passwörter auf den ersten Blick erst einmal lustig finden mag, sicher sind diese auf keinen Fall. Und doch benutzt sie fast jeder für den ein oder anderen Account. Es wäre zu begrüßen, wenn man als User zur Verwendung von Mindestlängen und Sonderzeichen gezwungen werden würde.
Für ein sicheres Passwort, dass man sich leicht merken kann, kann eine sogenannte Passwortkarte herangezogen werden. Diese finden Sie frei zugänglich im Internet, einfach ausdrucken und lediglich zwei Koordinaten merken.
Dr. Bettina Kraft
Beraterin für Datenschutz
Justiziarin