Sie sind hier: Home » Markt » Tipps & Hinweise

Ein Jahr DSGVO: keinerlei Anlass zur Freude

Überwachung allerorts: Jeder kann sich dagegen wehren - Überwachung betrifft uns alle
Drohnen, Staatstrojaner und Gesichtserkennung in Echtzeit: Regierungen, aber auch Tech-Firmen haben wirklich viele Ideen zur Überwachung – meist unter dem Deckmantel der Sicherheit

Spätestens seit den Enthüllungen des Whistleblowers Edward Snowden ist klar: Jeder kann in einem schier unglaublichen Umfang überwacht und ausspioniert werden, und das nicht nur von der NSA. Auch Unternehmen wie Facebook, Google und Amazon überwachen, wo es nur geht. Die Überwachung fängt zwar im Internet an, ist aber nicht auf dieses beschränkt. "Der Datenskandal der Deutschen Post zeigt, dass die Überwacher längst in den eigenen Reihen sitzen. Da wäre die Meldebehörde, die unsere Daten für Parteiwerbung weitergibt, wenn wir nicht widersprechen. Oder Reise-Anbieter, die aufgrund bisher gebuchter Reisen neue passende Angebote machen. Oder auch Auskunfteien wie die Schufa, die überlegt hatte, Facebook-Daten für die Schufa-Auskunft mit auszuwerten", macht Christian Heutger, IT-Sicherheitsexperte bei der PSW Group Consulting aufmerksam.

Drohnen, Staatstrojaner und Gesichtserkennung in Echtzeit: Regierungen, aber auch Tech-Firmen haben wirklich viele Ideen zur Überwachung – meist unter dem Deckmantel der Sicherheit. "Tatsächlich gibt es zahlreiche Möglichkeiten, Menschen abzuhören und zu überwachen. Zum Beispiel über die Mikrofone und Kameras auf Rechnern, Smartphones und Tablets, über intelligente Lautsprecher, smarte Autos, Verkehrs- und Überwachungskameras", warnt Heutger und nennt nur einige von den zahlreichen Beispielen:

"Mobilfunkanbieter übertragen und speichern Daten, die zum Teil in Polizeiakten übertragen werden. Sind Daten bei Unternehmen gespeichert, müssen wir außerdem davon ausgehen, dass auch der Staat darauf zugreifen kann, beispielsweise bei Finanztransaktionen, aber auch auf Kommunikationsinhalte von ungesicherten Messengern, auf die Aufenthaltsorte des Mobiltelefons oder Tablets, auf Fluggastdaten, Suchmaschinenprotokolle, auf Dokumente in Google Drive, auf Fotos bei Flickr und so weiter. Auch Verkehrskameras überwachen zum Teil nicht nur den üblichen Verkehrsfluss, sondern können ebenfalls zum Bespitzeln herangezogen werden."

Zudem hat Anfang 2017 der Bundestag der Ausweitung der Videoüberwachung im öffentlichen Raum zugestimmt. So solle es beispielsweise Betreibern von Einkaufszentren oder Sportanlagen einfacher gemacht werden, Überwachungskameras anzubringen. Schon heute darf die Polizei dank entsprechender Kameratechnik Kfz-Kennzeichen automatisch auslesen. Am Bahnhof Südkreuz in Berlin existiert die Videoüberwachung mit Gesichtserkennung bereits. Die Aufnahmen werden direkt mit einer Datenbank abgeglichen. Wenn die Software eine Person aus der Datenbank mit der am Bahnhof abgleichen kann, schlägt sie Alarm und Beamte dürfen am Bahnhof anrücken. Wohnung, Arbeitsplatz, Aufenthaltsort: Hier findet Überwachung auch statt.

Und damit ist noch längst nicht Schluss. Wir alle können am Arbeitsplatz oder in unserer Wohnung überwacht werden. Wer will, bekommt auch unseren aktuellen Aufenthaltsort heraus. So gibt es zahlreiche Möglichkeiten, Mitarbeiter im Job zu überwachen: Software, die die Eingaben auf der Tastatur aufzeichnet, Überwachung für die E-Mails oder Kameras am Monitor.

Eine Firma hat grundsätzlich das Recht, zu prüfen, ob die Arbeit nach den Vorgaben und fehlerfrei erledigt wird. Es gibt jedoch Grenzen, und die sind erreicht, wenn die Persönlichkeitsrechte missachtet werden. So ist es dem Arbeitgeber untersagt, private E-Mails zu lesen, das private Surfverhalten nachzuverfolgen oder aber Kurznachrichten auf dem Diensthandy einzusehen" informiert Christian Heutger. Das Internet of Things bringt zwar manche Erleichterung ins Wohnzimmer - gleichzeitig aber auch rücksichtslose Überwacher. Erst jüngst zeichnete Sprachassistentin Alexa ein Gespräch eines Ehepaares ohne deren Wissen auf und versendete dieses an einen Mitarbeiter.

"Es ist nur ein Beispiel, aber es zeigt, dass der IoT-Trend sich schnell zur Rundumüberwachung entwickeln kann. Wer aber darauf achtet, mit welchen Technologien er sein Smart Home steuert, kann IoT auch sicher einsetzen. Wichtig dabei ist aber, die Sicherheit des Smartphones nicht zu vergessen. Denn in aller Regel werden IoT-Geräte darüber gesteuert. Die sicherste IoT-Technologie nützt nämlich nichts, wenn Eindringlinge via Smartphone-Hack ins Eigenheim eindringen", so der IT-Sicherheitsexperte.

Via GPS-Funktion im Handy lässt sich sehr sicher der Aufenthaltsort des Besitzers bestimmen. Deshalb: Die GPS-Funktion nur temporär nutzen, wenn sie wirklich benötigt wird. Ein noch recht junger Trend sind Drohnen, die mit Kameras ausgestattet sein können. Auch Wärmebildkameras sind inzwischen denkbar, die dann sogar einen Blick durch die Wände des eigentlich geschützten Hauses freigeben können.

Zwar ist das Befliegen von Privatgrundstücken bzw. das Filmen verboten, aber nicht jeder hält sich dran. Jeder kann sich wehren Es ist inzwischen also immer möglich, irgendwo von irgendjemandem überwacht zu werden. Bürger können sich jedoch dagegen wehren – mit verschiedenen Möglichkeiten: Anbieter sorgfältig auswählen Es ist längst kein Geheimnis mehr, dass einschlägige Online-Services mit Daten handeln, überwachen oder mit Geheimdiensten zusammenarbeiten. Auf der Site prism-break.org finden sich datenschutzfreundliche und quelloffene Alternativen zu konventionellen Anbietern.

"Ich rate außerdem, auf europäische Anbieter auszuweichen, da sie der Datenschutz-Grundverordnung unterliegen. Und wer meint, bei Facebook wäre das nicht möglich, irrt. Die Alternativen heißen Diaspora, MeWe oder minds", so Heutger.

Verschlüsselung von E-Mails und Datenübertragungen
Verschlüsselung funktioniert gegen das Ausspähen. Daher ist es sinnvoll, bei E-Mails immer auf einen Mix aus Transport- und Ende-zu-Ende-Verschlüsselung zu setzen. So sind die Inhalte geschützt und der Transportweg ist gegen Manipulation und Überwachung abgesichert. IP-Adresse verschleiern Um sich im World Wide Web möglichst spurlos zu bewegen, gibt es die Möglichkeit, die IP-Adresse zu verschleiern. Verzicht auf bestimmte Techniken & Dienste Es lohnt sich, situativ nachzudenken, welche Technik eingesetzt wird oder eben nicht. Wer kein Krypto-Telefon besitzt, um verschlüsselt zu telefonieren, sollte wichtige Nachrichten oder Geschäftsgeheimnisse nicht am Telefon besprechen.

Das gilt auch für E-Mails: Wer diese nicht verschlüsseln kann, sollte andere Kanäle zum Überbringen sensibler Nachrichten und damit zur Vermeidung von Überwachung nutzen. Notfalls werden brisante Themen nur persönlich besprochen. Regelmäßige Software-Updates, um Sicherheitslücken zu schließen Starke Passwörter helfen, den Zugriff auf Benutzerkonten deutlich zu erschweren.

"Jeder muss sich aber auch ein wenig mit der von ihm eingesetzten Technik befassen. Dazu gehört zu wissen, welche Berechtigungen Apps haben, wann zuletzt ein Passwort erneuert wurde, in welchen Netzwerken man aktiv ist und welche Informationen dort geteilt werden", rät Heutger. (PSW Group: ra)

eingetragen: 31.05.19
Newsletterlauf: 25.06.19

Meldungen: Tipps & Hinweise

Sicherheitsmaßnahmen gegenüber Bedrohungen
Steigende Compliance-Anforderungen und europäische Richtlinien wie die DSGVO oder die NIS-Richtlinie für kritische Infrastrukturen haben die Umsetzung von Cybersecurity-Maßnahmen in Unternehmen bereits wesentlich vorangetrieben. Jedoch erfüllen Unternehmen häufig lediglich die Mindestanforderungen - während Angreifer über umfassende und ausgefeilte Möglichkeiten verfügen, sich Zugang zu Unternehmensnetzwerken zu verschaffen. Mittelständische Unternehmen, beispielsweise in der produzierenden Industrie oder im Gesundheitswesen, stehen im Fokus von Hackern: Mittels Ransomware-Angriffen können Cyber-Akteure ganze Produktionsstraßen lahm legen oder Krankenhäuser vom Netz nehmen. Insbesondere in diesen Branchen ist der Schaden nach einer Attacke besonders groß, da sie enorme wirtschaftliche Auswirkungen zur Folge haben und eine Vielzahl von Menschen betreffen. Für Hacker sind zudem vor allem mittelständische Unternehmen interessant, die wirtschaftlich erfolgreich sind, aber gleichzeitig nicht über die gleichen umfassenden Sicherheitsmaßnahmen verfügen wie große, börsennotierte Konzerne.
Nahezu kein Expertenwissen mehr benötigt
Cyberkriminelle greifen mit gefälschten Rechnungen vermehrt Unternehmen des produzierenden Gewerbes in Deutschland an. Das hat Proofpoint herausgefunden. Die Angreifer versenden dabei gefälschte Rechnungen, die als Köder verwendet werden oder aber die E-Mail beinhaltet einen Link zu einer Website, auf der das gefälschte Dokument zum Download zur Verfügung steht. Die Dokumente sind mit dem Remote Access Trojaner NanoCore infiziert. Laut Proofpoint enthalten Anhänge eine komprimierte ausführbare Datei (mit der Erweiterung ".Z"), während bösartige Links den Empfänger veranlassen, die auf onedrive.live.com gehostete Malware herunterzuladen.
Fünf Sofortmaßnahmen zur Systemhärtung
Guardicore gibt Sicherheitsempfehlungen für das Support-Ende von Windows Server R2, Windows Server 2008 und Windows 7. Ab 14. Januar 2020 werden Nutzer dieser Microsoft-Betriebssysteme keine kostenlosen Sicherheitsupdates und Online-Aktualisierungen mehr erhalten. Ohne sicherheitsrelevante Updates sind die betroffenen IT-Systeme gegen neu entdeckte Schwachstellen nicht mehr geschützt. Zwar sind die genannten Betriebssysteme teilweise bereits über ein Jahrzehnt alt, aber Schätzungen zufolge ist allein Windows Server 2008/2008 R2 immer noch auf fast jedem dritten Server weltweit im Betrieb. Viele Organisationen können nicht auf aktuelle Betriebssystemversionen wechseln, weil sie komplizierten Gesetzes- und Zertifizierungsanforderungen unterliegen, oder einfach nicht das erforderliche Budget zur Verfügung haben. Gefragt sind deshalb Überbrückungslösungen - auch um zeitaufwendige Migrationsprozesse begleiten zu können.
Abfangen und Manipulieren von E-Mails
Die E-Mail ist das Kommunikationsmittel Nummer eins. Unternehmen sind in der Pflicht, sich mit der E-Mail-Sicherheit zu beschäftigen, kommunizieren sie doch sowohl intern als auch extern. Nahezu täglich ist von Datenpannen und Datendiebstählen zu hören: Fremde verschaffen sich - zum Teil leider kinderleicht - Zugang zum internen Unternehmenssystem und greifen Daten ab oder manipulieren diese. Einfache, unverschlüsselte E-Mails stellen deshalb grundsätzlich eine Gefahr dar: Sie ähneln einer Postkarte, deren Inhalt jeder lesen kann. "Denn gehen E-Mails weder digital signiert noch verschlüsselt auf die Reise, können die Inhalte nicht nur ausspioniert, sondern auch manipuliert werden. Da Angriffe dieser Art in aller Regel nicht sicht- und nachweisbar sind, wird die E-Mail-Sicherheit leider nach wie vor oft stiefmütterlich behandelt. Wie oft und von wem E-Mails gelesen werden, kann ihnen niemand ansehen", warnt Patrycja Tulinska, Geschäftsführerin der PSW Group.
Neuer Standort und neue BC/DR-Strategie?
Die Entfernung zwischen georedundanten Rechenzentren soll mindestens 200km betragen. So empfiehlt es das BSI seit diesem Jahr. Dies stellt viele Unternehmen vor Probleme, betrug die bisher empfohlene Distanz in der Vergangenheit doch gerade einmal fünf Kilometer. Diese geringe Distanz erlaubte es den Betreibern bisher, ihre Rechenzentren über HA-Systeme synchron zu spiegeln. Dies ist bei einem Abstand von 200km jedoch nicht mehr möglich: Die Latenz zwischen den Standorten ist einfach zu hoch, um Organisationen mit traditionellen Hochverfügbarkeits- und Backup-Lösungen gegen Systemausfälle zu schützen. Was können Unternehmen nun tun, um ihre IT etwa gegen logische Fehler oder Ransomware-Attacken abzusichern, um minimalen Datenverlust und kurze Ausfallzeiten zu garantieren? Der neue Mindestabstand, den das BSI (Bundesamt für Sicherheit in der Informationstechnik) seit Dezember 2018 zwischen sich Georedundanz gebenden Rechenzentren empfiehlt, stellt in vieler Hinsicht eine Zäsur dar. Er stellt die Nutzung synchroner Spiegelung grundsätzlich infrage und hat damit einen direkten Einfluss darauf, wie Rechenzentren hierzulande betrieben werden. Wer eine "kritische Infrastruktur" betreibt, wird vom Gesetzgeber sogar dazu gezwungen der Empfehlung zu folgen. Und wer das Pech hat Teil eines Branchenverbandes zu sein, der den Empfehlungen des BSI folgt, wie etwa Mitglieder der Bankenbranche Bafin, haben ebenfalls keine Wahl. All diese Organisationen müssen auf die Entscheidung reagieren und den Abstand ihrer Rechenzentren auf mindestens 200km bringen.

Kontrolle von und über Zugriffsberechtigungen Ausweitung der Videoüberwachung