Die Cyberangriffe während der Corona-Krise reißen nicht ab. Vor einigen Tagen hatten wir hier auf unserem Blog von einem enormen Anstieg von Phishing-Kampagnen berichtet. Kriminelle nutzen die aktuelle Situation schamlos aus und verbreiten Live-Übersichtskarten zur Ausbreitung des Virus, die im Hintergrund Passwörter und Kreditkarten stehlen, Corona-Tracking-Apps, die das Mobiltelefon des Opfers verschlüsseln und daraufhin Lösegeld verlangen (sogenannte „CovidLock“ Malware), oder auch erpresserische E-Mails, in denen sie damit drohen, die Empfänger mit dem Virus zu infizieren. Täglich kommen neue Berichte über Angriffe hinzu und werden beispielsweise hier oder hier zusammengetragen.
Angesichts dieser Situation sollten Unternehmen ihre Mitarbeiter jetzt für das Thema sensibilisieren, um so die Erfolgswahrscheinlichkeit von Angriffen auf das eigene Unternehmen zu reduzieren. Gute Leitfäden finden sich zum Beispiel bei Avast oder der Electronic Frontier Foundation. Wir bei der it.sec haben für sie einen Webcast mit den aus unserer Sicht wichtigsten Punkten zusammengestellt. Sie finden ihn hier: https://youtu.be/1AZ2NVnLEdM
Ihr Team der it.sec GmbH
Die Ausweitung der digitalen Nutzung und die allgemeine Hektik während der jetzigen Corona-Pandemie wird derzeit leider vermehrt von Cyberkriminellen missbraucht. Hierauf hatten wir in unserem Blogbeitrag von gestern bereits hingewiesen und Maßnahmen empfohlen, die wir heute in Teil 2 gerne ergänzen möchten:
Machen Sie regelmäßig Backups von Ihren Unternehmensdaten
Im Fall eines Cyber-Angriffs, bei dem bspw. sämtliche Daten verschlüsselt werden, um Ihr Unternehmen auf diese Weise zu erpressen, hilft Ihnen ein gutes Backup-Verfahren.
Wichtig ist, dass die Backupdaten getrennt von den Produktivdaten geschützt aufbewahrt werden und regelmäßig geprüft wird, ob die Datensicherungen vollständig und wiederherstellbar sind.
Sensibilisieren Sie Ihre Mitarbeiter
Sensibilisieren Sie Ihre Mitarbeiter, insbesondere hinsichtlich
- der Passwort-Sicherheit;
- der verantwortungsvollen Nutzung von betrieblichem E-Mail- sowie Internet-Zugang;
- der Preisgabe von Informationen über soziale Netzwerke, bspw. was neue Entwicklungen in Ihrem Unternehmen betrifft.
Zeigen Sie Cyber-Attacken bei der Polizei an
Wird Ihr Unternehmen Opfer einer solchen Cyber-Attacke, schalten Sie die Polizei ein und erstatten Sie Strafanzeige.
Beachten Sie bitte auch, dass die Pflicht aus Art. 33 DSGVO, solche Datenpannen an die Aufsichtsbehörden zu melden, auch in der jetzigen Situation weiterbesteht.
Die Liste an Maßnahmen, sowohl für den Arbeitgeber als auch den Arbeitnehmer, ist sehr umfassend, kommen Sie bei Fragen dazu bitte direkt auf uns zu!
Gerne unterstützen und beraten wir Sie auch kurzfristig zu weiteren Themen wie z.B.
- Zugriffsrechte
- Speicherdauer und Informationspflichten
- Umgang mit Besucherdaten
- Übermittlung von Betroffenendaten an Öffentliche Stellen
- Kurzschulungen für Mitarbeiter im Homeoffice
- Verpflichtungen der Mitarbeiter im Homeoffice
(Hier geht's zu Teil-1 des Blogbeitrags!)
Unsere Kontaktdaten für Ihre Datenschutz-Fragen:
Dr. Bettina Kraft
Tel. +49 731 20589-0
Bleiben Sie gesund!
Ihre it.sec GmbH
Beim Verlust oder Diebstahl des Notebooks denken die Mitarbeiter oft an den finanziellen Schaden. Jedoch kann der Verlust für das Unternehmen im Hinblick auf den Datenschutz wesentlich schlimmer sein. Es gilt eine mögliche Datenpanne zu verhindern.
Ein verlorenes oder entwendetes Notebook ist aus datenschutzrechtlicher Sicht immer kritisch. Die auf dem Rechner gespeicherten Daten sind nicht selten solche mit Personenbezug, wie Kontaktdaten von Kollegen, oder Geschäftspartnern, aber auch von Kunden. Mit dem Laptop sind auch diese Daten verloren gegangen und befinden sich nun im Besitz des Finders oder Diebes.
Zu ergreifende Maßnahmen durch das Unternehmen
Auch wenn der Rechner passwortgeschützt ist, muss schnell gehandelt werden, da keine Kontrolle mehr über die Daten vorhanden ist. Daher ist die unverzügliche Meldung des Verlustes an den Vorgesetzen unumgänglich, um so schnell wie möglich Schutzmaßnahmen zu ergreifen. Es gilt den Zugriff auf die Festplatte und damit eine Datenpanne im Sinne des Art. 33 DSGVO zu verhindern. Die Konsequenzen des Verlusts / Diebstahls sind zu ermitteln. Möglicherweise befinden sich auf dem Rechner keine personenbezogenen Daten. Falls vorhanden, ist der/die Datenschutzbeauftragte zu beteiligen.
Es ist zu prüfen, ob der Verlust eine Datenpanne bedeutet; diese müsste innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde gemeldet werden.
Prävention
Die Schutzmaßnahmen müssen schon vorher festgelegt worden sein. So kann z.B. festgelegt werden, dass dort, wo es technisch möglich ist, Zugänge gesperrt und Passwörter geändert werden. Ein Verfahren zum Löschen von Daten aus der Ferne sollte, wenn möglich, beschrieben sein. Passwortschutz durch ein starkes Passwort. Verschlüsselung der Festplatte und der Daten auf der Festplatte. Sind die Daten verschlüsselt, könnte es sich ggf. um keine meldepflichtige Datenpanne im Sinne des Art. 33 DSGVO handeln.
Michaela Dötsch
Rechtsanwältin
Auch in Baden-Württemberg wurde nun das erste Bußgeld nach der Datenschutzgrundverordnung (DSGVO) verhängt. Ein Social-Media-Anbieter hat gegen die in Art. 32 DSGVO vorgeschriebene Datensicherheit verstoßen und soll nun eine Geldbuße von 20.000 Euro bezahlen.
Im September dieses Jahres hatte das Unternehmen bemerkt, dass durch einen Hackerangriff personenbezogene Daten von ca. 330.000 Nutzern, darunter Passwörter und E-Mail-Adressen, entwendet und veröffentlicht wurden. Im Rahmen der Zusammenarbeit mit dem LfDI Baden-Württemberg wurde bekannt, dass das Unternehmen die Passwörter seiner Nutzer im Klartext gespeichert hatte, um die Nutzer durch den Einsatz eines Passwortfilters besser zu schützen.
Dadurch verstieß das Unternehmen jedoch gegen Art. 32 Abs. 1 lit. a DSGVO und die sich daraus ergebende Pflicht zur Gewährleistung der Datensicherheit bei der Verarbeitung personenbezogener Daten.
Die gute Kooperation des Unternehmens wirkte sich bei der Höhe des Bußgeldes positiv aus. Durch die Bereitschaft des Unternehmens bei der Umsetzung der Vorgaben und Empfehlungen konnte die Sicherheit der Nutzerdaten bereits deutlich verbessert werden.
Julia Eisenacher
Consultant für Datenschutz
Diplomjuristin
Ein Passwort ist eines der wichtigsten Mittel, die eigenen oder betrieblichen personenbezogenen Daten zu schützen. Dabei steht doch aber immer auch die Frage im Raum, wie ein solches Passwort zu gestalten ist, damit es die Daten auch nachhaltig schützen kann.
Bisher waren die Vorgaben, was ein sicheres Passwort ausmacht, recht klar. Die Verwendung von Passwörtern mit mind. 8 Zeichen bestehend aus einer Kombination von Groß- und Kleinbuchstaben, Sonderzeichen und Zahlen sowie ein Passwortwechsel alle 90 Tage sollten einem Hacker die Arbeit besonders erschweren.
Vor Kurzem hat jedoch das National Institute of Standard and Technology (NIST), welches diese Regeln erst ins Leben rief, diese Annahme revidiert. Der ursprüngliche Autor dieser Vorgaben, Bill Burr, hatte dazu auch erklärt, dass die damaligen Annahmen ein Irrtum gewesen seien.
Dies ist nicht darauf zurückzuführen, dass die Vorgaben damals generell falsch waren, doch aber darauf, dass sich seit 2003, das Veröffentlichungsdatum der alten Passwort-Regeln, die Technik erheblich weiterentwickelt hat. Auch haben die zahlreichen Hackerangriffe der letzten Zeit dafür gesorgt, dass es ausführliche Wörterbücher von verwendeten Passwörtern gibt, in welchen Angreifer „nachschlagen“ können.
Es ist also in der heutigen Zeit um vieles einfacher als noch vor 14 Jahren, Passwörter mithilfe einer Software auszulesen.
Daher ist ein neues Herangehen an die Passworterstellung angebracht. Das NIST hat in seinem neu veröffentlichten Leitfaden festgestellt, dass besonders die Passwortlänge eine entscheidende Rolle bei der Sicherheit spielt.
Es wird geraten, möglichst lange Passwörter mit mindestens 12 Zeichen und einer zufälligen Zeichenabfolge zu vergeben, also z.B. eine Wortreihe, die logisch keinen Sinn ergibt, wie SchuhDatenschutzRegen. Sonderzeichen können ebenso nützlich sein, aber auch beim Einsatz dieser gilt, ein Muster bei der Passwortvergabe, das einfach zu identifizieren ist, sollte vermieden werden. Denn Software, welche versucht Passwörter auszulesen, kann dies schneller tun, wenn dem Passwort ein Muster zugrunde liegt.
Auch sollten zu jeder Zeit für unterschiedliche Portale oder Anwendungen verschiedene Passwörter verwendet werden. Denn sollte doch einmal ein Passwort in unbefugte Hände geraten, sind nicht auch noch alle anderen Anwendungen oder Benutzerkonten in Gefahr, ausgespäht zu werden.
Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz
Am Ende des Jahres werden immer die beliebtesten Passwörter der Deutschen im Internet bekannt gegeben.
Diese werden jährlich von IT-Sicherheitsexperten des Hasso-Plattner-Instituts in Potsdam ermittelt. Insgesamt wurden für diese Studie ca. 1 Milliarde Nutzerkonten analysiert und ausgewertet, die aus 31 veröffentlichten Datenlecks in unterschiedlichen Bereichen stammen und im Internet frei verfügbar sind. Dabei konnte herausgefunden werden, dass 20 % der Nutzer ein identisches Passwort für verschiedene Accounts benutzen und bei 27 % der Nutzer lag eine sehr hohe Ähnlichkeit in der Zeichenfolge vor. Die Passwörter werden von Nutzern also sehr häufig nur geringfügig abgeändert.
Im Jahr 2016 schaffte es das Wort „hallo“ auf den ersten Platz der Liste!! Auf Platz zwei landete wiederholt das Passwort „passwort“. Auf den dritten Platz schafft es „hallo123“. Überraschend ist das Wort „schalke04“ auf dem 4. Platz. „passwort1“ schmückt Platz 5 und „qwertz“ Platz sechs gefolgt von „arschloch“, „schatz“, „hallo1“ und „ficken“. Achtung, der bisherige Passwortsieger der vergangenen Jahre „123456“ nimmt weiterhin einen weltweiten Spitzenplatz ein. Im hier vorliegenden Ranking wurden jedoch keine bloßen Zahlenkombinationen berücksichtigt.
Auch wenn man die Passwörter auf den ersten Blick erst einmal lustig finden mag, sicher sind diese auf keinen Fall. Und doch benutzt sie fast jeder für den ein oder anderen Account. Es wäre zu begrüßen, wenn man als User zur Verwendung von Mindestlängen und Sonderzeichen gezwungen werden würde.
Für ein sicheres Passwort, dass man sich leicht merken kann, kann eine sogenannte Passwortkarte herangezogen werden. Diese finden Sie frei zugänglich im Internet, einfach ausdrucken und lediglich zwei Koordinaten merken.
Dr. Bettina Kraft
Beraterin für Datenschutz
Justiziarin