- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Hack von Twitter- und Facebook-Konten


Soziale Medien – Privilegierte Konten über die niemand spricht
Eine zentrale Rolle spielt, wie Unternehmen mit ihrer Firmenpräsenz in den sozialen Medien und den zugehörigen Konten in der Praxis umgehen

- Anzeigen -





Von Susanne Haase, One Identity

Auch in diesem Jahr hatten wir wieder ausreichend Gelegenheit Zeuge einer Reihe von Datenschutzverletzungen zu werden. Hacker waren ausgesprochen effizient darin, von Unternehmen übersehene Schwachstellen zu finden, und diese Lücken zu ihrem Vorteil auszunutzen. Wie erfolgreich die Angreifer tatsächlich waren, ließ sich unschwer an Schlagzeilen aus aller Welt ablesen.

Persönliche Daten wurden gestohlen, veröffentlicht, verkauft und die betreffenden Unternehmen schwer beeinträchtigt. Mit etwas Abstand betrachtet ist gut zu erkennen, dass wir immer wieder denselben Fehlern und Verhaltensweisen begegnen. Eine zentrale Rolle dabei spielt, wie Unternehmen mit ihrer Firmenpräsenz in den sozialen Medien und den zugehörigen Konten in der Praxis umgehen.

Vor nicht allzu langer Zeit musste ein US-amerikanischer Fernsehprogrammanbieter die unangenehme Tatsache eingestehen, dass es Angreifern gelungen war, die Twitter- und Facebook-Konten des Unternehmens zu hacken. Eine Gruppierung namens OurMine hatte die Social Media-Kanäle gekapert und damit begonnen, Nachrichten im Namen des Unternehmens zu posten. Allerdings ist es dem TV-Programmanbieter ziemlich rasch gelungen, die Kontrolle zurück zu erlangen. Soviel sei eingeräumt. Alle offensichtlichen Folgen des Hacks konnten scheinbar entfernt werden, und die betreffenden Posts waren ziemlich rasch wieder verschwunden.

Damit aber nicht genug. Nur kurze Zeit später drohten Angreifer mit einem entsprechenden Screenshot als Beleg, noch unbekannte Folgen der beliebten Serie Game of Thrones zu leaken. Es dauerte erwartungsgemäß nicht lange bis das Thema auf Twitter Fahrt aufnahm und von Tausenden von Menschen weltweit diskutiert wurde. Das alles passierte zeitlich in unmittelbarer Nähe zu einer gerade koinzidierten Datenschutzverletzung, die einiges an medialer Aufmerksamkeit beansprucht hatte. So sah sich der Sender ein weiteres Mal dem Scheinwerferlicht der Öffentlichkeit ausgEsetzt. Naturgemäß rückten schließlich die vom Sender getroffenen Sicherheitsmaßnahmen und Sicherheitssysteme in den Mittelpunkt der Aufmerksamkeit. Das führte unter anderem dazu, dass sich der US-amerikanischer Fernsehprogrammanbieter weitreichenden Nachfragen und Überprüfungen ausgEsetzt sah, und das nicht nur innerhalb der eigenen Branche.

Unglücklicherweise ist dieser Programmanbieter bei weitem nicht das einzige Unternehmen, das die Sicherheitsanforderungen in den sozialen Medien vernachlässigt. In vielen Fällen betrachten Firmen ihre Marke und deren Wert nicht in derselben Art und Weise wie sie es mit anderen Unternehmenswerten tun würden. Man denke nur an das Personal- oder Finanzwesen. Bei internen Systemen sind erzwungene Passwortänderungen vorgeschrieben ebenso wie eine 2-Faktor-Authentifizierung. In punkto Sicherheitsmaßnahmen fortschrittlicher aufgestellte Unternehmen implementieren zusätzlich Managementsysteme für ihre privilegierten Konten. Solche Systeme gestatten Check-out-Passwörter bei besonders wichtigen oder gefährdeten Systemen. Anschließend werden die Passwörter randomisiert ehe der betreffende Nutzer sich erneut anmelden kann.

In manchen Fällen kann über im Rahmen der Verwaltung von privilegierten Konten ein Konto auch deaktiviert werden. Etwa, wenn es von niemandem mehr benutzt wird. Eine Maßnahme, die dafür sorgt, dass Konten weitgehend gegen Hackerangriffe gefeit sind. In einem scheinen sich Unternehmen allerdings durch die Bank schwer zu tun. Sie erkennen nur selten, dass ihre Twitter-, Facebook- und LinkedIn-Konten und die zugehörigen Passwörter denselben Risiken ausgEsetzt sind wie wertvolle und gefährdete interne Konten. Und folglich dasselbe Sicherheitsniveau haben sollten.

Warum aber tun sich Firmen an dieser Stelle so schwer?
der US-amerikanischer Fernsehprogrammanbieter ist ein gutes Beispiel für ein weltbekanntes Unternehmen, das durch einen Hackerangriff ernsthaften Rufschaden erlitten hat, und dessen Marke nach den Vorfällen deutlich angeschlagen war. Anders als Schäden an finanziellen Systemen oder im Personalwesen sind Rufschäden kaum wirklich kalkulierbar. Schwerwiegend sind sie allerdings fast immer. Dabei ist der Fakt noch nicht berücksichtigt, dass der Fall mit jedem neu publizierten Artikel wieder auflebt. Und weiterer Schaden entstehen kann beziehungsweise der Vorfall erneut in die öffentliche Diskussion gerät.

Es gibt eine ganze Reihe von Fragen, die Firmen sich stellen sollten, wenn es um das sichere Verwalten ihrer Social Media-Konten geht. So kann man beispielsweise mit einiger Berechtigung fragen, ob es nicht zu aufwendig ist, ein Check-Out-Passwort zu verwenden, wenn man nur twittern oder den Unternehmensstatus auf Facebook ändern will. Gibt es viele Mitarbeiter im Bereich soziale Medien, die alle in etwa zur gleichen Zeit auf die entsprechenden Konten zugreifen und folglich ein und dasselbe Passwort teilen müssen? Soziale Medien im Hinblick auf den Ruf eines Unternehmens und den Wert einer Marke hin zu überwachen hat nicht nur etwas mit Hackerangriffen zu tun. Ein Unternehmen sollte sich durchaus Gedanken machen, wer an welchen Stellen dafür verantwortlich ist, eine Firma nach Außen zu repräsentieren.

Mögliche Antworten liefern moderne Managementsysteme für privilegierte Konten. Diese Systeme erlauben es, sehr granulare Richtlinien zu definieren wie etwa "Abmeldung nach X Stunden erforderlich", "Check-out erforderlich bei Nutzung des Kontos außerhalb des Netzwerks" oder "Check-in vor dem Check-out abwarten" um sicherzustellen, dass immer nur eine Person postet und nicht mehrere gleichzeitig. Es ist sogar möglich die Konten so einzurichten, dass die Mitarbeiter, die für die Social Media-Konten verantwortlich sind, das Check-out-Passwort gar nicht kennen.

Kombiniert man diese Policy-Typen miteinander, kann man das Sicherheitsniveau von (privilegierten) Social Media-Konten sehr schnell anheben. Ein gutes System stellt zudem sicher, dass jedes von einem Mitarbeiter/einer Mitarbeiterin genutzte Passwort, das nicht randomisiert erstellt wurde, mit einer Liste von bekannten, bereits gehackten Passwörtern abgeglichen wird, wie sie sich in den Wörterbüchern der meisten Hacker befinden. Starwars, 123456 oder qwertz sind nur einige derer, die immer und immer wieder vorkommen.

Es ist an der Zeit, dass Unternehmen damit beginnen, ihre Konten in Facebook, LinkedIn, Twitter, Tumblr, Instagram und all den anderen Social Media-Systemen sicherheitstechnisch genauso ernst nehmen wie Konten über die finanzielle Transaktionen abgewickelt werden oder Konten im Personalwesen. Das ist technisch möglich. Dahingehend gibt es also keine Entschuldigung mehr. Es ist heutzutage unabdingbar, die Markenreputation und den Ruf eines Unternehmens zu schützen, indem man dafür sorgt, dass auch Firmenkonten in den sozialen Medien entsprechend geschützt werden. (One Identity: ra)

eingetragen: 16.10.17
Home & Newsletterlauf: 16.11.17


One Identity: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Cyberrisiken erkennen und verringern

    Technologien verändern unseren Alltag, das zeigt ein kurzer Blick auf die Kommunikation: Vom Anruf per Festnetztelefon, hin zu WhatsApp, Mail und vielen anderen Möglichkeiten. Dieser Wandel geht noch weiter: Smarte Geräte sind Standard und nicht nur unsere Telefone und Tablets, auch Fernseher, Kühlschränke und Heizungen kommunizieren mittlerweile über das Internet miteinander und mit uns. Die Vernetzung macht jedoch heute nicht mehr an der Haustüre halt: Viele Kommunen setzen auf die "Smart City", um den Verkehr effizient zu regeln oder das Parken besser zu organisieren. Tenable erläutert, warum der Faktor Sicherheit bei Smart Cities oft vergessen wird und worauf es für Städte ankommt.

  • Mining-Malware in die IT-Umgebung

    NTT Security weist darauf hin, dass Unternehmen verstärkt von Mining-Malware für die Kryptowährung Monero angegriffen werden. In einer aktuellen Analyse berichten die Forscher des Global Threat Intelligence Center (GTIC) von NTT Security über Malware, die ausschließlich für das Mining der anonymen Kryptowährung Monero entwickelt wurde. Die Malware wird, ohne dass die Betroffenen es merken, auf deren Rechner oder Smartphone installiert und nutzt nach der Installation die Computerressourcen, um Kryptowährungen zu schürfen. Den Gewinn streichen die Hacker ein. NTT Security hat Zugriff auf circa 40 Prozent des weltweiten Internet-Datenverkehrs und analysiert darüber hinaus Informationen aus einem breiten Spektrum von Bedrohungsquellen. Auf Basis dieser Datenlage hat NTT Security nachgewiesen, dass Miner und andere Cyber-Kriminelle hauptsächlich Phishing-Mails für den Zugang auf Rechner und ungepatchte Schwachstellen oder Backdoors für das Eindringen in Netzwerke nutzen.

  • ISOs am E-Mail-Gateway blockieren

    Heutzutage trifft man fortwährend auf die Begriffe Crypto-Währung, Bitcoin, Coinminer oder Blockchain. Sie stehen im wahrsten Sinne hoch im Kurs und viele interessieren sich brennend für diese neuen Themen. Doch auch Cyber-Kriminelle nutzen diesen Enthusiasmus und locken arglose Computer-Nutzer via Phishing-Mails in ihr illegales Netz. Bisher war die Crypto-Währung lediglich das Vehikel zur Bezahlung und nicht das Mittel des Cyber-Verbrechens. Ein Beispiel: wenn Betrüger einen Computer mit Ransomware verschlüsseln, um Lösegeld zu erpressen, sind Cryptocoins das bevorzugte Zahlungsmittel.

  • Kryptowährung zieht Cyberkriminelle an

    2017 war das Jahr der Kryptowährungen. Die boomende Branche zog allerdings nicht nur neue Nutzer an, sondern lenkte auch das Interesse von Cyberkriminellen auf sich. Unternehmen, Privatnutzer und Kryptobörsen sind heute gleichermaßen Zielscheibe von Phishingversuchen, Hackerangriffen und heimlichem Cryptomining über kompromittierte Geräte und Browser. In seinem neuen Whitepaper hat der europäische Security-Hersteller Eset die am weitesten verbreiteten Bedrohungen für Kryptowährungen bei Android-Geräten zusammengefasst und Empfehlungen für Nutzer zusammengestellt, die sich vor virtuellen Geldräubern schützen wollen.

  • Nötige Aufmerksamkeit in punkto Sicherheit

    Die Aktivitäten der IT-Sicherheit erzielen häufig nicht die erwünschten Resultate. Dass in solchen Fällen guter Rat teuer ist, ist eine Binsenweisheit. Denn oftmals sind es relativ simple Dinge, die die effiziente Umsetzung einer Sicherheitsstrategie behindern. Julian Totzek-Hallhuber, Solution Architect bei CA Veracode, nennt fünf vermeidbare Fehler in der Anwendungssicherheit. Kunden sollten eine Aufstellung ihrer geschäftskritischen Anwendungen anfertigen und diese in Risikogruppen einteilen. Das ist deshalb wichtig, da für die Anwendungssicherheit keine unbegrenzten Mittel zur Verfügung stehen. Wenn ein Unternehmen zu Beginn seiner Sicherheitsoffensive beispielsweise 20 Anwendungen schützen will, müssen diejenigen Vorrang haben, die am gefährdetsten sind.