Newsletter SICHER • INFORMIERT vom 23.09.2021
Ausgabe: 17/2021
Liebe Leserinnen und Leser,
man werde nicht älter, sondern besser, ist mitunter auf Geburtstagskarten zu lesen. Genau das ist auch der Anspruch, dem wir beim BSI folgen, wenn es darum geht, eine sichere Digitalisierung in Deutschland zu gestalten – und das nun schon seit drei Jahrzehnten. Doch nicht nur das BSI feiert einen runden Geburtstag. Der Chaos Computer Club hat Mitte September sogar schon seinen 40.
begangen – herzlichen Glückwunsch! Am Sonntag steht obendrein die Wahl des 20. Deutschen Bundestags an. An Jubiläen mangelt es somit nicht, auch das Open-Source-Betriebssystem Linux darf sich über 30 Jahre freuen. Und unser Podcast ‚Update verfügbar‘ hat ebenfalls Grund zum Feiern und wird ein Jahr alt. Bei all der Feierei ist es natürlich trotzdem weiterhin wichtig, wachsam gegenüber Risiken aus der Welt der IT zu bleiben. Wir geben einen Überblick zu aktuellen Themen.
Viel Spaß beim Lesen wünscht Ihnen
Jan Lammertz / Team BSI
Inhaltsverzeichnis
In den Schlagzeilen—————–
- Gefälschte Downloadlinks: Cyberattacke auf deutsche Bankkundschaft 2. Ausgepowert: Fehlender Schutz bei Datenbank von Fitnesstrackern 3. Ransomware riegelt Systeme bei Olympus ab
Bleiben Sie up-to-date—————–
- Aktuelle Warnmeldungen des Bürger-CERT 5. Adobe schließt Schwachstellen in Photoshop & Co.
- Microsoft macht Schluss mit Sicherheitslücke in Windows
Gut zu wissen—————–
- Gehackt! Netzwerk der UN ohne Zwei-Faktor-Authentisierung 8. Neue Ziele für Cyber-Sicherheit in Deutschland beschlossen
Kurz erklärt—————–
- Was ist eigentlich ein Keylogger?
Zeitlos wichtig—————–
- Die Cloud sicher nutzen
Zahl der Woche—————–
- Null Passwörter bei Microsoft
Was wichtig wird—————–
- Der Oktober steht im Zeichen der Sicherheit 13. Ein Jahr ‚Update verfügbar‘: Was interessiert Sie besonders?
—————————————————-
In den Schlagzeilen
- Gefälschte Downloadlinks: Cyberattacke auf deutsche Bankkundschaft
Gefälschte Google-Anzeigen für Teamviewer sind laut t3n ein Einfallstor für Cyberkriminelle, die es insbesondere auf die Daten von Bankkundinnen und -kunden aus Deutschland und Australien abgesehen haben. Klicken die Nutzerinnen und Nutzer auf die gefälschte Anzeige, laden sie dem Bericht zufolge anstelle von Teamviewer eine Datei herunter, die dann ihrerseits Schadsoftware auf dem Gerät installiert. Konkret soll dabei die Schadsoftware Zloader zum Einsatz kommen, zitiert t3n die Erkenntnisse des Unternehmens Sentinel Labs. Das Programm diene dazu, die Anfragen der Bankkundschaft an die Webseiten der Banken abzufangen und so Bankdaten zu stehlen.
Tipps und Hinweise des BSI zum sicheren Onlinebanking: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Online-Banking-Online-Shopping-und-mobil-bezahlen/Online-Banking/onlinebanking_node.html
t3n über die gefälschten Downloadlinks: https://t3n.de/news/malware-teamviewer-banking-1407243/
- Ausgepowert: Fehlender Schutz bei Datenbank von Fitnesstrackern
Heute schon eine Runde gejoggt? Dann könnte diese Meldung besonders wichtig sein. Eine ungesicherte Datenbank mit mehr als 61 Millionen Datensätzen von Wearables und Fitness-Trackern aus der ganzen Welt wurde Heise Online zufolge online veröffentlicht. Wie Heise Online berichtet, sollen das Team des Onlineportals WebsitePlanet und ein Cyber-Sicherheitsforscher den ungeschützten Datenspeicher Ende Juni entdeckt haben. Die Datenbank wurde demnach von dem Unternehmen GetHealth betrieben, das gesundheitsbezogene Nutzerdaten von Fitbit, Misfit Wearables, Microsoft Band, Strava, Apples Healthkit oder auch Google Fit abruft. Im konkreten Fall sollen vor allem Daten von Apples Healthkit und Fitbit betroffen sein. GetHealth hat die Sicherheitslücke nach eigenen Angaben inzwischen geschlossen.
Auf welche Risiken Sie bei Fitness-Apps und Smartwatches achten sollten, hat das BSI hier zusammengestellt: https://www.instagram.com/p/CLFCHi3JAxE/?utm_source=ig_web_copy_link
Detailinfos über die sichere Nutzung von Wearables gibt es in diesem BSI-Beitrag: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Internet-der-Dinge-Smart-leben/Smart-Home/Wearables/wearables.html
Heise Online über die ungeschützte Datenbank: https://www.heise.de/news/Millionen-Datensaetze-von-Wearables-und-Fitness-Trackern-ungesichert-online-6190932.html
- Ransomware riegelt Systeme bei Olympus ab
Das Netzwerk sei verschlüsselt und nicht betriebsbereit – diese Benachrichtigung erhielten Beschäftigte der Europa-Tochter von Olympus einem Bericht von WinFuture zufolge bei dem Versuch, auf bestimmte Systeme des Unternehmens zuzugreifen. Zuvor soll die Ransomware-Gruppe BlackMatter Malware in das Netzwerk des Unternehmens eingeschleust haben, um Geld für die Entschlüsselung von Programmen zu erpressen. Als Kontaktmöglichkeiten gaben die Kriminellen demnach eine Darknet-Adresse an, die über das Tor-Netzwerk erreichbar ist. BlackMatter bietet seine Dienste als Ransomware-as-a-Service an. Olympus hat – wie WinFuture schreibt – den Datentransfer zu den infizierten Systemen gestoppt und relevante externe Partner über den Vorfall informiert.
Allgemeine BSI-Informationen zu Ransomware: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Schadprogramme/Ransomware/ransomware_node.html
Zur Meldung von WinFuture: https://winfuture.de/news,125166.html
—————————————————-
Bleiben Sie up-to-date
- Aktuelle Warnmeldungen des Bürger-CERT
Das „Computer Emergency Response Team“ des BSI informiert regelmäßig über Schwachstellen in Hard- und Software. Aktuell gibt es Meldungen zu Open Source WordPress (< 5.8; < 5.8.1); Microsoft Edge (< 93.0.961.38, < 93.0.961.47); Apple iOS (< 14.8, < 15), Apple iPadOS (< 14.8, < 15), Apple macOS (< Big Sur (< 11.6), Apple macOS (< 2021-005 Catalina), Apple Safari (< 14.1.2, < 15) und Apple iTunes (<U 3.8.3, < 12.2); Google Chrome (< 93.0.4577.82); AMD Prozessor PSP driver (< 5.17.0.0); sowie Apache OpenOffice (<= 4.1.10).
Informationen und Tipps zum Umgang mit diesen Schwachstellen sowie weitere aktuelle Warnmeldungen des Bürger-CERT finden Sie hier: https://www.bsi.bund.de/DE/Service-Navi/Abonnements/Newsletter/Buerger-CERT-Abos/Buerger-CERT-Sicherheitshinweise/buerger-cert-sicherheitshinweise_node.html
- Adobe schließt Schwachstellen in Photoshop & Co.
An seinem Patchday im September hat Adobe wichtige Sicherheitsupdates für gefährliche Schwachstellen bereitgestellt. Betroffen sind unter anderem Acrobat und Reader, Digital Editions, InCopy oder auch das bekannte Programm Photoshop. Wie Heise Online berichtet, könnten Angreiferinnen und Angreifer in den meisten Fällen die „kritischen“ Schwachstellen ausnutzen, um darüber Schadcode auf Computer zu schleusen. Das BSI empfiehlt, die Updates zeitnah durchzuführen.
Warum regelmäßige Updates wichtig sind, lesen Sie in unseren Basistipps zur IT-Sicherheit: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Updates-Browser-Open-Source-Software/Wichtige-Softwareupdates/wichtige-softwareupdates_node.html
Weitere Einzelheiten zum Patchday von Adobe: https://www.heise.de/news/Patchday-Adobe-schliesst-Schadcode-Luecken-in-Photoshop-Co-6192382.html
- Microsoft macht Schluss mit Sicherheitslücke in Windows
Insbesondere eine von unbekannten Angreiferinnen und Angreifern ausgenutzte Lücke in Windows hat Microsoft an seinem Patchday ins Visier genommen. Die Schwachstelle ermöglicht es, Trojaner auf Geräte zu spielen, wenn Nutzende vorher ein präpariertes Office- oder RTF-Dokument geöffnet haben, fasst Heise Online zusammen. Das Unternehmen hat Sicherheitspatches zum Download bereitgestellt, um die Lücke zu schließen. Außerdem wurden weitere Schwachstellen beseitigt, unter anderem in Azure, Edge, Office SharePoint Server. Kümmern Sie sich um eine zeitnahe Installation der Sicherheitsupdates!
Weitere Details zum Patchday von Microsoft: https://www.heise.de/news/Patchday-Microsoft-schliesst-von-Angreifern-ausgenutzte-Luecke-in-Windows-6192327.html
—————————————————-
Gut zu wissen
- Gehackt! Netzwerk der UN ohne Zwei-Faktor-Authentisierung
Eine Hackergruppe erlangte mit gekauften Zugangsdaten Zugriff auf Teile des Computersystems der Vereinten Nationen (UN), schreibt Golem. Demnach bestätigte ein Sprecher den Vorfall, zu dem es bereits im April gekommen sei. Einen großen Aufwand hatten Angreiferinnen und Angreifer dabei wohl nicht betrieben. Vielmehr hätten sie die Zugangsdaten eines Beschäftigten im Darknet erworben und sich über die Projektmanagementsoftware der UN eingeloggt. Die Zwei-Faktor-Authentisierung hätte zusätzlichen Schutz bieten können, sie war dem Bericht zufolge jedoch nicht aktiviert.
Informationen zur Einrichtung der Zwei-Faktor-Authentisierung finden Sie hier: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Wie-geht-Internet/Zwei-Faktor-Authentisierung-Datensicherheit/zwei-faktor-authentisierung-datensicherheit_node.html
Zur Meldung von Golem: https://www.golem.de/news/un-netzwerk-der-vereinten-nationen-gehackt-2109-159501.html
- Neue Ziele für Cyber-Sicherheit in Deutschland beschlossen
Die Bundesregierung hat ihre neue Cyber-Sicherheitsstrategie verabschiedet. Sie schreibt die bestehende Strategie fort und legt grundsätzlich Ziele für die nächsten fünf Jahre fest. Das BSI soll in den nächsten Jahren zur zentralen Stelle für die Zusammenarbeit von Bund und Ländern im Bereich der sicheren Digitalisierung ausgebaut werden. Staat, Wirtschaft und Gesellschaft müssten sich gemeinsam um die sichere und freie Nutzung neuer Technologien kümmern, insbesondere weil die Angriffe gefährlicher werden und die Schäden steigen. „Dazu gehören gut ausgestattete Sicherheitsbehörden, ein effektiver Schutz von kritischen Infrastrukturen und Wirtschaftsunternehmen und mehr Sicherheit für die Bürgerinnen und Bürger im digitalen Raum“, so der Innenminister Horst Seehofer.
Allgemeine Informationen zur Cyber-Sicherheitsstrategie: https://www.bundesregierung.de/breg-de/suche/neue-cybersicherheitsstrategie-1958144
Zur Meldung der Bundesregierung: https://www.bmi.bund.de/SharedDocs/kurzmeldungen/DE/2021/09/cybersicherheitsstrategie-2021.html
—————————————————-
Kurz erklärt
- Was ist eigentlich ein Keylogger?
Cyberkriminelle greifen bei ihren Attacken auch auf Keylogger zurück. Doch was ist das? Als Keylogger wird Hard- oder Software zum Mitschneiden von Tastatureingaben und Mausklicks bezeichnet. Keylogger zeichnen alle Eingaben auf, um sie möglichst unbemerkt an Angreiferinnen und Angreifer zu übermitteln. Auf diese Weise ist es möglich, Informationen wie beispielsweise Kreditkartennummern oder Passwörter abzufangen. Ursprünglich wurden Keylogger entwickelt, um Computersysteme in Forschungseinrichtungen zu untersuchen und zu verbessern.
Weitere Begriffserklärungen finden Sie in unserem Glossar der Cyber-Sicherheit: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Glossar-der-Cyber-Sicherheit/Functions/glossar.html
—————————————————-
Zeitlos wichtig
- Die Cloud sicher nutzen
Sie wollen die eigenen Daten in der Cloud absichern? Wie das gelingt und worauf Sie generell beim Nutzen der Cloud-Technologie achten sollten, verrät unser BSI-Experte Clemens Doubrava in einem kurzen Erklärvideo. Er liefert Antworten zu allen wesentlichen Fragen rund um die Cloudnutzung: https://youtu.be/apwqexjNiac.
Weitere BSI-Informationen zum Cloud-Computing: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/cloud-computing_node.html
—————————————————-
Zahl der Woche
- Null Passwörter bei Microsoft
Bei Microsoft ist Schluss mit Passwörtern – sofern Kundinnen und Kunden das bei ihren privaten Konten wollen, berichten mehrere Medien, darunter auch der Spiegel. Demnach ist es Nutzerinnen und Nutzern möglich, sich völlig passwortlos beim privaten Microsoft-Konto anzumelden, beispielsweise mithilfe einer Authentifizierungs-App oder eines USB-basierten Sicherheitsschlüssels. Zur Begründung für die Einführung des Systems weist Microsoft darauf hin, dass viele Personen unsichere Passwörter verwenden würden und es jährlich 18 Milliarden Angriffsversuche über Passwörter gebe.
Wie ein sicherer Umgang mit Passwörtern gelingt, erklärt das BSI in diesem Beitrag: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Umgang-mit-Passwoertern/umgang-mit-passwoertern_node.html
Der Spiegel berichtet über die Anmeldemethode von Microsoft: https://www.spiegel.de/netzwelt/web/microsoft-ihr-passwort-koennen-sie-vergessen-a-742af461-c132-45a4-aa63-6ed7b1ee18c0
—————————————————-
Was wichtig wird
- Der Oktober steht im Zeichen der Sicherheit
Der European Cyber Security Month steht wieder vor der Tür. Das BSI ist der Koordinator des Aktionsmonats in Deutschland mit seinen vielen unterschiedlichen Angeboten von Unternehmen, Organisationen, Hochschulen, Verbänden, Vereinen und Behörden. Traditionell dreht sich vor allem im Oktober alles um das Thema Cyber-Sicherheit. Der gesamte Aktionszeitraum erstreckt sich aber vom 15. September bis zum 15. November. Und so können Verbraucherinnen und Verbraucher auch schon vor Oktober an zahlreichen Events teilnehmen und sich über einen verantwortungsbewussten Umgang im Cyberraum informieren. Eine Übersicht der Veranstaltungen finden Sie auf der Seite des BSI: https://www.bsi.bund.de/DE/Service-Navi/Veranstaltungen/ECSM/Aktionen-2021/aktionen-2021_node.html?fbclid=IwAR2wwc7qCZi1lSTFlIp_BPGi3Aak3SXzGxzJEDDRmM8dQEnpPRwjWA45tzs
- Ein Jahr ‚Update verfügbar‘: Was interessiert Sie besonders?
Wie schnell doch die Zeit vergeht! Unser Podcast ‚Update verfügbar‘ feiert seinen ersten Geburtstag. Das nehmen wir zum Anlass für eine Community-Folge. Sie können sich wünschen, welche Themen in der nächsten Folge Ende September besprochen werden sollen. Wir freuen uns über E-Mails mit Texten oder Audionachrichten über Ihre Wünsche und Erfahrungen an .
Den persönlichen Aufruf unseres Moderationsduos hören Sie hier: https://fb.watch/8aI2dl5eZv/
Sie wünschen weitere Sicherheitstipps und Informationen für Ihren digitalen Alltag: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/verbraucherinnen-und-verbraucher_node.html
Sie haben allgemeine Fragen oder Verbesserungsvorschläge für diesen Newsletter? Unsere Kontaktmöglichkeiten: https://www.bsi.bund.de/DE/Service-Navi/Kontakt/kontakt_node.html
Ihnen gefällt dieser Newsletter? Empfehlen Sie ihn Familie, Freundinnen und Freunden oder Kolleginnen und Kollegen: https://www.bsi.bund.de/DE/Service-Navi/Abonnements/Newsletter/Buerger-CERT-Abos/Abonnieren/abonnieren_node.html
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
Besuchen Sie uns auch auf:
https://www.facebook.com/bsi.fuer.buerger
https://www.twitter.com/BSI_Bund
https://www.instagram.com/bsi_bund
Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn