SICHER • INFORMIERT vom 19.02.2020

Ausgabe: 04/2020

 

 

Helau, Alaaf und Rumskedi!

Ob Karneval, Fasching oder Fassenacht: Spätestens morgen erreicht mit Weiberfastnacht im Rheinland und anderen deutschen Karnevalshochburgen die fünfte Jahreszeit ihren verdienten Höhepunkt. In dieser Zeit bevölkern auffällig viele PiratInnen, Tiere und Märchenfiguren Deutschlands Straßen – das waren laut Statista 2019 die beliebtesten Verkleidungen. Wir sind für mehr Vielfalt – auch im Karneval. Falls Sie also noch nicht wissen, welches Kostüm es dieses Jahr werden soll: Wie wäre es zur Abwechslung mit Computervirus, Firewall oder Phishing-Mail?

Wo immer Sie ab morgen unterwegs sind: Passen Sie auf sich und Ihre Geräte auf, denn nicht alle Jecken führen hinter ihren lustigen Masken ausschließlich Gutes im Schilde. Insbesondere Taschendiebe nutzen die ausgelassene Stimmung nur allzu gern aus. Als erfahrene(r) LeserIn unseres Newsletters wissen Sie bereits, was Sie tun sollten: Machen Sie es Dieben so schwer wie möglich, auf Ihre Geräte und Daten zuzugreifen – durch eine gesunde Portion Skepsis, aktivierte Sicherheitsfunktionen an Ihrem Smartphone und gute Passwörter für Ihre Online-Konten. Das schützt Sie zwar nicht vor einem Diebstahl, begrenzt aber den Schaden im Fall der Fälle. Weitere nützliche Sicherheitstipps hält – wie gewohnt – dieser Newsletter für Sie parat.

Viel Spaß beim Lesen und eine narrensichere Woche wünscht Ihnen Jan Lammertz / Team BSI-für-Bürger

P.S.: Rumskedi, wer kennt es nicht, rufen sich übrigens die Närrinnen und Narren in Beckum zu, einer Karnevalshochburg in Westfalen!

Inhalt

 

In den Schlagzeilen—————–

1. Wenn Hacker sich bei Twitter als Facebook verkleiden 2. Schnelle Eingreiftruppe für Cyberangriffe?
2. Klarna = Klarname?

 

 

Bleiben Sie up-to-date—————–

4. Sicherheitslücken in Adobe-Programmen, Mozilla Firefox und Thunderbird 5. WhatsApp macht Probleme 6. Dell warnt vor Dell 7. Post von der Telekom 8. Bei Bluetooth wird Android schwach

 

 

Gut zu wissen—————–

9. S1E2: Cyber-Sicherheit2
10. Emotet hat Deutschland im Griff
11. Chrome blockiert demnächst unsichere Downloads

 

 

Kurz erklärt—————–

12. Neue Optionen für den E-Perso

 

 

Zahl der Woche—————–

13. 700

 

—————————————————-

In den Schlagzeilen

 

 

1. Wenn Hacker sich bei Twitter als Facebook verkleiden

 

Die Hacker der OurMine Security Group haben jüngst diverse Social-Media-Auftritte von Clubs der National Football League (NFL) bei Facebook, Instagram und Twitter gekapert. Betroffen waren unter anderem die Chicago Bears, Denver Broncos, New York Giants und Green Bay Packers. Zuletzt haben die Hacker sogar den Twitter-Zugang von Facebook gehackt. Von Schäden wird nichts berichtet; allerdings hinterließen OurMine Nachrichten wie „Wir sind hier, um den Leuten zu zeigen, dass alles gehackt werden kann.“ auf den betroffenen Accounts – wohl als Werbung für die eigene Arbeit. Unbekannt ist zudem, wie die Gruppe Zugriff auf die Konten erlangen konnten.

 

10 Tipps des BSI für Bürger zum sicheren Umgang mit Social Media: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/SozialeNetze/Zehn_Tipps/Zehn_Tipps_node.html

 

ZDNet über den Hackerangriff von OurMine: https://www.zdnet.de/88376361/hackergruppe-ourmine-kapert-social-media-konten-von-15-nfl-teams/

 

 

2. Schnelle Eingreiftruppe für Cyberangriffe?

 

An dieser Stelle berichten wir regelmäßig über Angriffe auf öffentliche Institutionen – Stadtverwaltungen, Behörden oder Hochschulen zum Beispiel. Was hier am Ende vor allem ärgerlich ist, könnte bei den sogenannten Kritischen Infrastrukturen (KRITIS) gefährliche Folgen haben, etwa bei Unternehmen, die uns mit Strom, Trinkwasser, Lebensmitteln oder Medikamenten versorgen. Die AG KRITIS, ein Zusammenschluss unabhängiger IT-SicherheitsexpertInnen, fordert nun die Gründung eines „Cyber-Hilfswerks“ (CHW). Es soll so ähnlich wie das Technische Hilfswerk (THW) als schnelle Einsatztruppe ausrücken bzw. eingreifen, um die Situation bei Cyber-Angriffen unter Kontrolle zu bringen. Nach Vorstellung der ExpertInnen soll das CHW eine „staatliche Truppe“ sein, die ausschließlich im behördlichen Auftrag arbeitet.

 

Für Bundesbehörden gibt es im BSI das CERT-Bund, das Computer Emergency Response Team (CERT), das präventiv aktiv wird, aber auch gemeinsam mit dem IT-Lage- und Analysezentrum einen 24-Stunden-Bereitschaftsdienst anbietet und bei IT-Sicherheitsvorfällen unterstützt. Für Privatpersonen stellt das Bürger-CERT umfangreiche Informationen über einen eigenen Warn- und Informationsdienst bereit, den Sie vor allem aus unserer Rubrik „Bleiben Sie up-to-date“ kennen.

 

Informationen des BSI über Kritische Infrastrukturen (KRITIS): https://www.bsi.bund.de/DE/Themen/KRITIS/kritis_node.html

 

Informationen zum CERT-Bund: https://www.bsi.bund.de/DE/Themen/Cyber-Sicherheit/Aktivitaeten/CERT-Bund/certbund_node.html

 

Heise Online über den Vorschlag für ein CHW: https://www.heise.de/security/meldung/Arbeitsgruppe-KRITIS-will-Cyber-Hilfswerk-fuer-IT-Katastrophenfaelle-gruenden-4656933.html

 

 

3. Klarna = Klarname?

 

Der schwedische Zahlungsanbieter Klarna will das Bezahlen im Internet einfacher machen. Offenbar gilt das aber auch für Hacker: Wie Der Spiegel meldet, konnten Dritte über das Autovervollständigen von Bestellformularen auf Telefonnummern von KundInnen zugreifen. Auf vielen Seiten, so das Nachrichtenmagazin, reiche schon die Eingabe von Postleitzahl und E-Mail-Adresse, damit sich das Bestellformular von allein mit weiteren Daten füllt, darunter die Anschrift, oder – allerdings in verschleierter Form – auch Geburtsdatum und Telefonnummer. Eigenen Angaben zufolge hat Klarna diese Funktion bei betroffenen Webseiten inzwischen deaktiviert.

 

BSI für Bürger über sicheres Einkaufen im Internet: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/EinkaufenImInternet/einkaufeniminternet_node.html

 

Der Spiegel über die Klarnamen bei Klarna: https://www.spiegel.de/netzwelt/web/klarna-telefonnummern-von-kunden-waren-fuer-dritte-abrufbar-a-a32cf8d5-04e6-4588-ba4f-46151a714523

 

 

—————————————————-

Bleiben Sie up-to-date

 

 

4. Sicherheitslücken in Adobe-Programmen, Mozilla Firefox und Thunderbird

 

Unser Bürger-CERT informiert regelmäßig über Schwachstellen in Hard- und Software. Aktuell sind unter anderem diese Vorfälle bekannt: Schwachstellen im Adobe Flash Player (< 32.0.0.330), Adobe Acrobat (< 2015.006.30510; < 2017.011.30158) und Reader (< 2015.006.30510; < 2017.011.30158; DC < 2020.006.2003) sowie Adobe Digital Editions (< 4.5.11) ermöglichen das Ausführen von Schadcode. Zudem gibt es auch Schwachstellen bei den Webbrowsern Mozilla Firefox (< 73; ESR < 68.5) und Thunderbird (< 68.5).

 

Weitere aktuelle Warnmeldungen des Bürger-CERT: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Buerger-CERT/Sicherheitshinweise/Sicherheitshinweise_node.html

 

 

5. WhatsApp macht Probleme

 

Eine schwerwiegende Sicherheitslücke hat ein Sicherheitsforscher in der Desktop-App von WhatsApp gefunden, meldet t3n. AngreiferInnen können mithilfe einer manipulierten Nachricht auf das Dateisystem des Opfers zugreifen. Betroffen sind NutzerInnen, die den Desktop-Client von WhatsApp für Mac und Windows in der Version 0.3.9309 oder niedriger einsetzen. Die Lücke lässt sich über ein Update schließen

 

Link zum WhatsApp-Update: https://www.facebook.com/security/advisories/cve-2019-18426

 

t3n über die WhatsApp-Lücke: https://t3n.de/news/whatsapp-desktop-sicherheit-1249901/.

 

 

6. Dell warnt vor Dell

 

Der Computerhersteller warnt vor einem eigenen Programm, dem Dell Support Assist, das eigentlich notwendige und passende Treiber installieren und aktuell halten soll. Allerdings wurde in der Software eine Schwachstelle entdeckt, die AngreiferInnen aus der Ferne ausnutzen können, um etwa Schadcode auf dem Rechner auszuführen, meldet t3n. Dell rät betroffenen KundInnen, so schnell wie möglich auf eine sichere Software-Version zu aktualisieren.

 

t3n-Meldung zu Dell: https://t3n.de/news/unsichere-software-update-vielen-1251485/

 

 

7. Post von der Telekom

 

Oft tarnen sich Cyberkriminelle als Anbieter populärer Online-Dienste, um über Phishing-Mails Schadsoftware oder Trojaner auf fremde Rechner zu bringen. Wenn Sie in diesen Tagen Post von der Telekom bekommen, sollten Sie diese E-Mail gründlich lesen: „Ihre Daten wurden gestohlen und sind im Internet einsehbar“, lautet der Betreff dieser E-Mail. Darin werden KundInnen aufgefordert, ihr Passwort im Kundencenter zu ändern, heißt es in einem Bericht von t-online. Die Telekom rät dazu, keinen Link in dieser E-Mail anzuklicken, sondern stattdessen direkt über den Browser das Kundencenter aufzurufen und dort ein neues Passwort zu hinterlegen. Eine Passwortänderung wird auch für alle Plattformen empfohlen, auf denen die KundInnen mit einer Telekom-Adresse angemeldet sind.

 

Meldung bei t-online: https://www.t-online.de/digital/sicherheit/id_87319550/telekom-mail-daten-gestohlen-auf-diese-nachricht-sollten-sie-reagieren.html

 

 

8. Bei Bluetooth wird Android schwach

 

NutzerInnen von Smartphones mit den Android-Versionen 8 bis 9 könnten via Bluetooth Opfer von Cyberangriffen werden. AngreiferInnen können theoretisch drahtlos und ohne Wissen der Opfer Code auf dem Smartphone ausführen, meldet t3n und beruft sich auf das Heidelberger IT-Sicherheitsunternehmen ERNW. Bei Geräten mit Android 10 ist ein solcher Angriff zwar nicht möglich, allerdings könnte die Sicherheitslücke die Bluetooth-Software zum Absturz bringen. Inzwischen hat Google die Schwachstelle gepatcht. NutzerInnen wird dringend empfohlen, den neuesten verfügbaren Sicherheitspatch zu installieren, rät ERNW.

 

In einer Broschüre informiert das BSI über drahtlose Kommunikationssysteme und ihre Sicherheitsaspekte: https://www.bsi.bund.de/DE/Publikationen/Broschueren/Drahtloskom/drahtloskom.html

 

t3n über die Sicherheitslücke bei Bluetooth auf Android: https://t3n.de/news/android-sicherheitsluecke-ueber-1251087/

 

 

—————————————————-

Gut zu wissen

 

 

9. S1E2: Cyber-Sicherheit2

 

Wir haben die zweite Episode der ersten Staffel („S1E2“) unserer Videoreihe veröffentlicht: „Wie schütze ich mein Smartphone richtig?“. Darin besprechen Peter Drescher vom BSI und Oliver Müller von der Verbraucherzentrale NRW, wie ein Smartphone sicher verwendet werden kann. In der ersten Episode der Reihe geben die beiden Experten Tipps für den Fall des Verlusts eines Smartphones.

 

Zum zweiten Teil der Reihe Cyber-Sicherheit² geht es hier entlang: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/smartphone-sicherheit.html

 

 

10. Emotet hat Deutschland im Griff

 

Nicht nur die Maßnahmen und Angebote des BSI zum Schutz der BürgerInnen werden immer besser; auch Cyberkriminelle sind nicht untätig und arbeiten offenbar intensiv daran, ihre Schadprogramme weiterzuentwickeln. Zuletzt wurden unter anderem das Kammergericht Berlin, die Universität Gießen, das Klinikum Fürth sowie die Städte Frankfurt und Bad Homburg Opfer von Emotet, einem der gefährlichsten Schadprogramme überhaupt. Emotet tarne sich immer besser und lade zudem immer neuere und gefährlichere Software auf infizierte Rechner, zitiert Security Insider das Unternehmen Bromium, ein Anbieter für Endpoint-Security-Lösungen. Um Infektionen zu vermeiden, sei bei allen E-Mails mit Links oder Anhängen Vorsicht geboten. So sollten NutzerInnen keine Makros oder andere aktive Inhalte innerhalb eines Dokuments aktivieren – zumindest solange, bis sie sich beim Absender rückversichert haben, dass es sich um harmlose Inhalte handelt.

 

Aktuelle Informationen zu Emotet finden Sie bei BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/emotet.html

 

Security Insider über Emotet: https://www.security-insider.de/emotet-hat-deutschland-weiterhin-im-griff-a-900565/

 

 

 

11. Chrome blockiert demnächst unsichere Downloads

 

Der Google-Webbrowser Chrome blockiert künftig unsichere Downloads, meldet Heise Online. Das gelte aber erst mit der Version 86, die im Herbst erscheinen soll. Downloads von einer HTTPS-Seite („Hypertext Transfer Protocol Secure)“ werden von allen neuen Versionen an nur noch dann zugelassen, wenn sie verschlüsselt sind. Google will dadurch vor Hackern und Phishing-Attacken schützen. Auf nicht speziell geschützten HTTP-Seiten ändert sich erst einmal nichts, so dass NutzerInnen auf Downloads von solchen Seiten ganz verzichten sollten.

 

BSI für Bürger rät zur Vorsicht beim Download von Software aus dem Internet: https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/Schadprogramme/schadprogramme_node.html

 

Heise Online über sichere Downloads bei Chrome: https://www.heise.de/newsticker/meldung/Nur-noch-HTTPS-Chrome-blockiert-unsichere-Downloads-4656085.html

 

 

—————————————————-

Kurz erklärt

 

 

12. Neue Optionen für den E-Perso

 

Bereits seit 2010 gibt es den elektronischen Personalausweis. Allerdings ließen sinnvolle Nutzungsszenarien für die sogenannte eID lange auf sich warten – auch weil nur wenige Menschen sich für 30 Euro einen zusätzlich nötigen Kartenleser anschaffen wollten. Da man aber statt des Lesegeräts inzwischen auch sein Smartphone einsetzen kann, sei der elektronische Personalausweis „endlich bequem nutzbar“, schreibt das Computermagazin c’t. Über die für den Bund entwickelte „AusweisApp2“ können zum Beispiel komfortabel und einfach Adressdaten an Webseiten übermittelt werden. Zudem findet sich in der App eine Liste von Behörden und Unternehmen, bei denen man sich online mit dem Ausweis identifizieren kann, darunter zum Beispiel die Rentenversicherung oder das Finanzamt („Elster Online“).

 

Das BSI über die eID-Infrastruktur: https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/ElektronischeIdentitaeten/Online-Ausweisfunktion/eID-Infrastruktur/eID-Infrastruktur_node.html

 

Website von AusweisApp2: https://www.ausweisapp.bund.de/ausweisapp2/

 

c‘t über neue Möglichkeiten des e-Persos: https://www.heise.de/ct/artikel/Was-man-mit-dem-E-Perso-im-Netz-anfangen-kann-4647067.html

 

 

—————————————————-

 

Zahl der Woche

 

 

13. 700

 

Von den 2.800 Stellen für IT-SicherheitsexpertInnen in Bundesministerien ist nach ZDF-Informationen jede vierte unbesetzt – insgesamt 700 Stück. Davon ist auch das BSI betroffen, das formal dem Bundesministerium des Innern, für Bau und Heimat unterstellt ist. „Hier ist sogar jede dritte Stelle offen“, meldet das ZDF. In diesem Sinne: Wir suchen neue KollegInnen! Mehr Informationen zum Arbeiten beim BSI und die offenen Stellen finden Sie hier: https://www.bsi.bund.de/DE/DasBSI/Jobs/jobs_node.html.

 

 

ZDF über unbesetzte Stellen für IT-Sicherheit: https://www.zdf.de/nachrichten/politik/cyberabwehr-bundesregierung-it-sicherheit-stellen-unbesetzt-100.html

 

 

Ihnen gefällt dieser Newsletter? Empfehlen Sie ihn Familie, Freunden oder Kollegen:https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/bestellen/newsletter_bestellen_node.html

____________________________________________________________________________________________________

Über den folgenden Link können Sie den Newsletter wieder abbestellen.

https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html

Besuchen Sie uns auch auf:

https://www.bsi-fuer-buerger.de

https://www.facebook.com/bsi.fuer.buerger

https://www.twitter.com/BSI_Presse

 

 

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn