SICHER • INFORMIERT vom 03.09.2020

Ausgabe: 18/2020

Liebe LeserInnen,

wir informieren Sie regelmäßig über Cyberkriminelle, die versuchen, Daten von Computer, Tablets oder Smartphones zu stehlen, Geräte zu verschlüsseln oder Lösegeld zu erpressen. Aber die Welt ist nicht so schwarz-weiß, wie es manchmal wirkt: Es gibt auch HackerInnen, die dabei helfen, Schwachstellen aufzuspüren und zu schließen, wie wir weiter unten berichten.

In dieser Ausgabe geht es außerdem um Cyberkriminelle, die Spieleprofile aus dem populären Videospiel „Fortnite“ stehlen, um sie gewinnbringend weiterzuverkaufen. Auch beim Spielen ist also Vorsicht angesagt! Nicht zuletzt war das BSI dieses Jahr zum ersten Mal auf der virtuell stattfindenden Spielemesse Gamescom vertreten. Sie finden all unsere Tipps zum sicheren Onlinespielen noch bis Ende September online, einen kurzen Überblick geben wir in unserer Rubrik „Gut zu wissen“.

Viel Spaß beim Lesen wünscht Ihnen

Jan Lammertz / Team BSI-für-Bürger

Inhalt

In den Schlagzeilen—————–

Neue Ransomware der Trickbot-Bande
Facebook: Vorsicht vor Küsschen und Umarmungen 3. Visa-Kreditkarten: Zahlungen höherer Beträge auch ohne PIN möglich 4. Gute HackerInnen aus Bayern

Bleiben Sie up-to-date—————–

Aktuelle Warnmeldungen des Bürger-CERT 6. Fauler Apfel: Lücke im Safari Browser

Gut zu wissen—————–

Kein Spiel mehr: Fortnite-HackerInnen erbeuten eine Million US-Dollar pro Jahr 8. Daten im Darknet: Mehr als jeder zweite Mittelständler betroffen 9. Das BSI auf der Gamescom 2020 10. Mitmachen beim Aktionsmonat ECSM

Kurz erklärt—————–

Sicherheit in Onlinespielen

Zahl der Woche—————–

87.000 Einträge

Zeitlos wichtig—————–

Smartphone-Daten löschen – aber richtig!

—————————————————-

In den Schlagzeilen

Neue Ransomware der Trickbot-Bande

Unter dem Namen „Conti“ ist eine neue Ransomware aufgetaucht. Vom Vorgänger „Ryuk“ unterscheidet sich die Schadsoftware durch höhere Geschwindigkeit und größere Wirksamkeit, berichtet Heise Online. Wahrscheinlich stammt die Ransomware von der selben Cybercrime-Bande, die auch Trickbot hergestellt hat, wie ExpertInnen aus dem Code schließen. Anders als bisher werden nicht nur die Daten der befallenen Rechner verschlüsselt, um Lösegeld zu erpressen. Jetzt droht die Bande auch, von infizierten Computern kopierte Daten auf einem extra eingerichteten „Leak-Portal“ zu veröffentlichen.

BSI-Informationen über Ransomware: https://www.bsi.bund.de/DE/Themen/Cyber-Sicherheit/Empfehlungen/Ransomware/Ransomware_node.html

Heise Online über die Ransomware „Conti“: https://www.heise.de/news/Cybercrime-Trickbot-droht-nun-ebenfalls-mit-Veroeffentlichung-4879948.html

Facebook: Vorsicht vor Küsschen und Umarmungen

Über sogenannte XOXO-Adressen versuchen BetrügerInnen derzeit auf Facebook, Log-In-Daten von NutzerInnen abzugreifen und so vollen Zugriff auf ihre Konten zu erhalten, berichtet Computer Bild. Das X steht im Internet für einen Kuss, das O für eine Umarmung. Durch die X- und O-Kombinationen am Anfang der Internet-Adressen, wird die eigentliche URL nicht sichtbar, was eine automatische Blockierung solcher zwielichtigen Links durch Facebook erschwert. Die Link-Beschreibungen werben mit vermeintlich spektakulären Informationen. Werden die Adressen angeklickt, landen die Nutzerinnen stattdessen jedoch auf der Seite „InstaFace“. Dort wird eine vermeintliche Sicherheitsprüfung gestartet, die tatsächlich aber BetrügerInnen Zugriff auf die Nutzerdaten von Facebook und – falls verknüpft – auch von Instagram ermöglicht. NutzerInnen von Facebook sollten diese angebliche Sicherheitsprüfung daher auf keinen Fall ausführen, rät das Magazin.

Tipps zur sicheren Nutzung von Facebook finden Sie bei BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/SozialeNetze/Basisschutz/Einstellungen/SichereEinstellung_node.html

Computer Bild über den Facebook-Betrug: https://www.computerbild.de/artikel/cb-News-Sicherheit-Facebook-Betrugs-XOXO-Adressen-Script-27423243.html

Visa-Kreditkarten: Zahlungen höherer Beträge auch ohne PIN möglich

ForscherInnen der ETH Zürich haben es geschafft, die PIN-Abfrage beim kontaktlosen Bezahlen mit Visa-Karten zu umgehen. Normalerweise, so Heise Online, funktioniert das nur bis zu Beträgen von 50 Euro ohne PIN. Für das Umgehen der Nummer haben die WissenschaftlerInnen Smartphones mit einer selbst entwickelten App zwischen Bezahlterminal und Karte geschaltet. So manipulieren sie die Transaktionen der höheren Beträge und verhindern die PIN-Abfrage. Die ForscherInnen selbst haben einen Bugfix für das Problem vorgeschlagen; ob Visa darauf reagiert hat, ist dem Artikel nicht zu entnehmen.

BSI-Informationen zum kontaktlosen Bezahlen via NFC: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/OnlineBanking/MobilePayment/KontaktlosesBezahlen-NFC/kontaktloses_Bezahlen_NFC_node.html

Heise Online über den Visa-Hack: https://www.heise.de/security/meldung/Zahlen-ohne-PIN-Forscher-knacken-Visas-NFC-Bezahlfunktion-4881555.html

Gute HackerInnen aus Bayern

HackerInnen – das sind im Fernsehen fast immer Kriminelle, die Computer ausspähen, um Daten zu stehlen oder ihre NutzerInnen zu erpressen. Aber eben nur fast: Jetzt hat die Nürnberger Gruppe „0x90.space“ die bayerischen Staatsregierung auf eine Sicherheitslücke in der digitalen Lernplattform Mebis aufmerksam gemacht, die daraufhin geschlossen wurde, berichtet die Augsburger Allgemeine. Cyberkriminelle hätten eine Lücke im Code der Website nutzen können, um Passwörter zu stehlen. Mebis wird vom bayerischen Kultusministerium betrieben und steht allen Schulen des Freistaats zur Verfügung. Die Plattform hat nach eigenen Angaben eine Million NutzerInnen an rund 5500 Schulen.

Von Ethical Hacker bis Hacktivist – die verschiedenen „Hackertypen“ im Überblick: https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/Hacker/hacker_node.html

Augsburger Allgemeine über die gute Hacker-Gruppe aus Nürnberg: https://www.augsburger-allgemeine.de/bayern/Lernplattform-Mebis-So-halfen-Hacker-Sicherheitsluecken-zu-schliessen-id57980086.html

—————————————————-

Bleiben Sie up-to-date

Aktuelle Warnmeldungen des Bürger-CERT

Das „Computer Emergency Response Team“ des BSI („Bürger-CERT“) informiert regelmäßig über Schwachstellen in Hard- und Software. Aktuell gibt es Meldungen unter anderem zu VMWare (ESXi 6.5, ESXi 6.7, ESXi 7.0), zu Google Android 11 (< Patchlevel 2020-09-01) sowie zu den Internet-Browsern Mozilla Firefox (< 80), Mozilla Firefox ESR (< 68.12, < 78.2), Google Chrome (< 85.0.4183.83) und Mozilla Thunderbird (< 68.12, < 78.2).

Ausführliche Informationen, Tipps zum Umgang mit diesen gefährlichen Schwachstellen sowie weitere aktuelle Warnmeldungen des Bürger-CERT finden Sie hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Buerger-CERT/Sicherheitshinweise/Sicherheitshinweise_node.html

Fauler Apfel: Lücke im Safari Browser

Ein Fehler im Safari Browser von Apple kann dazu führen, dass NutzerInnen ungewollt persönliche Dateien teilen. „Der Sicherheitsforscher Pawel Wylecial hatte die Sicherheitslücke entdeckt und vor vier Monaten gemeldet“, schreibt Golem. Apple habe es versäumt, die Lücke zu schließen, und versucht, die Veröffentlichung bis ins Frühjahr 2021 hinauszuzögern, so die IT-News-Seite. Erst daraufhin habe sich der Forscher entschlossen, über die Schwachstelle zu berichten. Eine Reaktion von Apple auf die Veröffentlichung steht noch aus. Der Forscher schränkte einlenkend ein, dass das Problem nicht so ernst sei, da es eine Benutzerinteraktion bedürfe und das Opfer selbst die EmpfängerInnen auswähle.

Die Details der Sicherheitslücke im Safari-Browser erfahren Sie bei Golem: https://www.golem.de/news/ios-macos-apple-will-sicherheitsluecke-erst-nach-einem-jahr-schliessen-2008-150462.html

—————————————————-

Gut zu wissen

Kein Spiel mehr: Fortnite-HackerInnen erbeuten eine Million US-Dollar pro Jahr

Das Videospiel Fortnite lockt offenbar auch Cyberkriminelle an, die pro Jahr aus dem Verkauf gestohlener Konten jährlich mehr als eine Million US-Dollar (rund 835.000 Euro) erlösen. Die Zugangsdaten für die Fortnite-KundInnen werden im Dark Web gehandelt, wo kürzlich mehr als 15 Milliarden gestohlene Logins verfügbar waren, berichtet das US-amerikanische Magazin Forbes. Je nach Qualität der mit den Konten verknüpften Spielfortschritte lassen sich 10.000 US-Dollar und mehr mit dem Verkauf der Nutzerdaten erzielen. Der Schutz vor solchen Diebstählen ist dem Bericht zufolge relativ einfach: Nutzen Sie für jeden Online-Dienst sichere und eindeutige Passwörter und verwenden Sie keine Passwörter mehrfach.

Tipps zu sicheren Passwörtern hat BSI für Bürger in diesem Video für Sie zusammengefasst: https://youtu.be/cqE1djdxipc

Forbes über den Verkauf von Fortnite-Konten (ENG): https://www.forbes.com/sites/daveywinder/2020/08/27/heres-how-fortnite-hackers-make-1-million-a-year-epic-games-passwords/

Daten im Darknet: Mehr als jeder zweite Mittelständler betroffen

Von mehr als jedem zweiten mittelständischen Unternehmen kursieren Daten im Darknet, zitiert das Sicherheitsmagazin <kes> eine Untersuchung des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV). In den meisten Fällen handele es sich dabei um Kombinationen aus E-Mail-Adresse und Passwörtern. Die Untersuchung zeigt auch, dass die Daten teilweise von gehackten Seiten stammten, auf denen sich MitarbeiterInnen zu privaten Zwecken angemeldet hatten, darunter Online-Shops, soziale Netzwerke oder Gaming-Portale. Der GDV rät aus diesem Grunde, beruflich und privat genutzte Passwörter strikt voneinander zu trennen.

<kes> über die GDV-Studie: https://www.kes.info/archiv/schlaglichter/schlaglicht/?tx_ttnews%5Byear%5D=2020&tx_ttnews%5Bmonth%5D=08&tx_ttnews%5Bday%5D=18&tx_ttnews%5Btt_news%5D=184&cHash=fa36e97d9e2288acdf51e02814e75eb2

Das BSI auf der Gamescom 2020

Zum ersten Mal fand in diesem Jahr die Gamescom, die größte Spielemesse der Welt, Corona-bedingt ausschließlich online statt. Und zum ersten Mal war auch das BSI vertreten. Auf dem digitalen Stand auf der virtuellen Messe präsentierte das BSI jede Menge Wissenswertes rund ums Zocken und über den besten Schutz gegen Cyberkriminalität. Der Messeauftritt umfasst Videos, Interviews, praktische Empfehlungen und ein Phishing-Spiel, in dem die BesucherInnen der virtuellen Messe direkt testen können, wie gut sie digitale Betrugsmaschen erkennen. Sämtliche Inhalte des BSI für die Gamescom sind noch bis Ende September abrufbar.

BSI auf der Gamescom: https://now.gamescom.de/partner/bsi/

Mitmachen beim Aktionsmonat ECSM

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ruft auch in diesem Jahr wieder Institutionen aus Staat, Wirtschaft und Gesellschaft zur Teilnahme zum European Cyber Security Month (ECSM) auf. Als nationale Koordinierungsstelle möchte das BSI Partner gewinnen, die sich am europäischen Aktionsmonat im Oktober 2020 beteiligen.

Schon viele Aktionen sind mit dabei, weitere Infos und das Anmeldeformular unter: https://www.bsi.bund.de/DE/Service/Aktuell/Veranstaltungen/ECSM/ecsm_node.html

—————————————————-

Kurz erklärt

Sicherheit in Onlinespielen

Passend zur virtuellen Gamescom setzt das BSI mit der Episode „Sicherheit in Onlinespielen“ seine Videoreihe „IT-Sicherheit verständlich erklärt“ fort. In der neuen Folge gibt BSI-Experte Florian Bierhoff Tipps, wie GamerInnen bei Onlinespielen ihre persönlichen Daten wie Kreditkartennummern oder Anschrift am besten schützen.

BSI-Video „Sicherheit in Onlinespielen“: https://www.youtube.com/watch?v=cOf2-3-VnT8

Außerdem gibt Florian Bierhoff in einem Audio-Interview weitere Empfehlungen für einen unbeschwerten Spielealltag: https://www.youtube.com/watch?v=Hj3R3t9wyyc&t=19s

—————————————————-

Zahl der Woche

87.000 Einträge

Wer im Moment Restaurants, Clubs oder Kneipen besucht, muss seine persönlichen Daten hinterlegen. So lassen sich im Falle einer Corona-Infektion Übertragungswege und gefährdete Personen schnell ermitteln. Allerdings fand der Chaos Computer Club (CCC) nun im Internet insgesamt mehr als vier Millionen Adress- und Reservierungseinträge aus den vergangenen neun Jahren vor. Darunter sind mehr als 87.000 Einträge, die speziell der Kontaktverfolgung im Falle einer Corona-Infektion dienen sollen. Ulrich Kelber, Bundesbeauftragter für Datenschutz, spricht von einem „großen Datenschutzproblem“ und forderte die Löschung dieser Daten.

Tagesschau zum Datenleck in der Gastronomie: https://www.tagesschau.de/investigativ/ndr/datenleck-restaurants-101.html

—————————————————-

Zeitlos wichtig

Smartphone-Daten löschen – aber richtig!

Apropos Löschen: Wer sein altes Smartphone weiterverkaufen oder verschenken möchte, sollte unbedingt alle persönlichen Daten auf dem Gerät nachhaltig löschen. Das aber ist gar nicht so einfach: Das normale Zurücksetzen auf die Werkeinstellungen jedenfalls reicht nicht aus. Erschwerend kommt hinzu, dass es für das richtige Löschen keine einheitlichen Standards gibt, sondern von Gerät zu Gerät unterschiedliche Vorgehensweisen. Daher informiert BSI für Bürger ausführlich auf seiner Webseite darüber, wie sich Smartphone-Daten nachhaltig entfernen lassen: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/RichtigLoeschen/Smartphone/Smartphone_Daten_loeschen_node.html

Ihnen gefällt dieser Newsletter? Empfehlen Sie ihn Familie, Freunden oder Kollegen: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/bestellen/newsletter_bestellen_node.html

____________________________________________________________________________________________________

Über den folgenden Link können Sie den Newsletter wieder abbestellen.

https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html

Besuchen Sie uns auch auf:

https://www.bsi-fuer-buerger.de

https://www.facebook.com/bsi.fuer.buerger

https://www.twitter.com/BSI_Presse

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn