[Buerger-Cert-Warnmeldung] TW-T19-0167 – Microsoft Outlook for Android: Schwachstelle ermöglicht Cross-Site Scripting

Art der Meldung: Sicherheitshinweis

Risikostufe 3

Microsoft Outlook for Android: Schwachstelle ermöglicht Cross-Site Scripting

 

20.11.2019____________________________________________________________________________________________________

Betroffene Systeme:

Microsoft Outlook for Android

____________________________________________________________________________________________________

Empfehlung:

Das BürgerCERT empfiehlt die zeitnahe Installation der vom Hersteller bereitgestellten Sicherheitsupdates, um die Schwachstellen zu schließen.

____________________________________________________________________________________________________

____________________________________________________________________________________________________

Beschreibung:

Outlook ist ein Personal Information Manager von Microsoft und ist Bestandteil der Office Suite.

____________________________________________________________________________________________________

Zusammenfassung:

Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Microsoft Outlook for Android zu einem Cross-Site Scripting Angriff ausnutzen.

____________________________________________________________________________________________________

Quellen:

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1460

____________________________________________________________________________________________________

Über den folgenden Link können Sie den Newsletter wieder abbestellen.

https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html

Besuchen Sie uns auch auf:

https://www.bsi-fuer-buerger.de

https://www.facebook.com/bsi.fuer.buerger

https://www.twitter.com/BSI_Presse

 

 

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

[Buerger-Cert-Warnmeldung] TW-T19-0166 – Google Chrome: Mehrere Schwachstellen

Art der Meldung: Sicherheitshinweis

Risikostufe 3

Google Chrome: Mehrere Schwachstellen

 

19.11.2019____________________________________________________________________________________________________

Betroffene Systeme:

Google Chrome < 78.0.3904.108

____________________________________________________________________________________________________

Empfehlung:

Das BürgerCERT empfiehlt die zeitnahe Installation der vom Hersteller bereitgestellten Sicherheitsupdates, um die Schwachstellen zu schließen.

____________________________________________________________________________________________________

____________________________________________________________________________________________________

Beschreibung:

Chrome ist ein Internet-Browser von Google.

____________________________________________________________________________________________________

Zusammenfassung:

Ein Angreifer kann mehrere Schwachstellen in Google Chrome ausnutzen, um beliebigen Programmcode auszuführen, vertrauliche Informationen auszuspähen oder das Programm zum Absturz zu bringen.

____________________________________________________________________________________________________

Quellen:

https://chromereleases.googleblog.com/2019/11/stable-channel-update-for-desktop_18.html

____________________________________________________________________________________________________

Über den folgenden Link können Sie den Newsletter wieder abbestellen.

https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html

Besuchen Sie uns auch auf:

https://www.bsi-fuer-buerger.de

https://www.facebook.com/bsi.fuer.buerger

https://www.twitter.com/BSI_Presse

 

 

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

[Buerger-Cert-Newsletter] SICHER • INFORMIERT vom 14.11.2019

SICHER • INFORMIERT vom 14.11.2019

Ausgabe: 24/2019

 

Liebe LeserInnen,

in gut zwei Wochen ist es wieder soweit: Am Black Friday, dem 29. November, locken Onlineshops und stationärer Handel mit besonderen Rabattaktionen. Ursprünglich aus den USA kommend, markiert der Tag seit einigen Jahren auch hierzulande den inoffiziellen Startschuss für das Weihnachtsgeschäft.

Ein guter Moment, um sich näher mit der „Kehrseite des Einkaufens“ zu beschäftigen – dem Bezahlen.

Das tun die Deutschen noch immer am liebsten mit Bargeld. Kontaktloses Bezahlen via Smartphone, Smartwatch oder EC- und Kreditkarte ist jedoch immer stärker verbreitet: Near Field Communication, kurz NFC, ist die Technologie, die diese neue Form des Bezahlens möglich macht.

Wir haben uns NFC näher angeschaut und die wichtigsten Informationen für Sie zusammengetragen:

https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/NFC-kontaktlos-Bezahl

en.html

Nützliche Tipps und Hinweise zum Mobile Payment am Black Friday und allen anderen Tagen im Jahr finden Sie hier:

https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/OnlineBanking/MobilePayment/mobilePaym

ent_node.html

Egal, ob Sie ein Freund von Bargeld oder kontaktlosem Bezahlen sind: Auch in dieser Ausgabe unseres Newsletters haben wir wieder Wissenswertes und Nützliches rund um die Sicherheit Ihrer Online-Accounts und Geräte zusammengestellt, die allen gleichermaßen helfen.

Viel Spaß beim Lesen wünscht Ihnen

Jan Lammertz / Team BSI-für-Bürger

Inhalt

 

In den Schlagzeilen—————–

  1. Alexa, kauf heimlich ein!
  2. Android Beam: Angriff aus nächster Nähe 3. Nur Bares ist Wahres – oder?
  3. Nein, ich möchte keine Passwörter kaufen 5. Vorsicht vor Steuerrückerstattung für 2019: zu schön, um wahr zu sein

 

 

Bleiben Sie up-to-date—————–

  1. BSI warnt vor Schwachstellen in Google Chrome und Android 7. Mehrere Sicherheitslücken 8. Siri-Datenbank speichert verschlüsselte E-Mails im Klartext

 

 

Gut zu wissen—————–

  1. NFC – eine sichere Sache?
  2. Emotet: ein Angreifer in vielen Gestalten 11. Die glorreichen 7? Wohl eher nicht! – die Tricks der Hacker 12. Die besten 20? Schon eher! – 20 Sicherheitstipps

 

 

Zahl der Woche—————–

  1. 24% wurden bereits Opfer von Internetkriminalität

 

 

Was wichtig wird

 

—————————————————-

In den Schlagzeilen

 

 

  1. Alexa, kauf heimlich ein!

 

Forschende der University of Michigan und der University of Electro-Communications in Tokyo ist es gelungen, digitale Assistenten wie Alexa oder Google Home per Laser zu steuern, wie u.a. Spiegel Online berichtet. Abhängig davon, wie die Geräte am Einsatzort vernetzt sind, ist es den ForscherInnen gelungen, Befehle zum Öffnen von Haus- oder Garagentüren zu übermitteln oder Aufträge für Online-Einkäufe abzusenden. Diese Angriffe sind für NutzerInnen nur schwer zu erkennen – im besten Fall an den akustischen Rückmeldungen der Geräte oder an der Reflexion der Laserstrahlen. Schützen können Sie sich vor solchen Angriffen, indem sie die Geräte so aufstellen, dass die direkte Beeinflussung per Laserstrahlen etwa durchs Fenster unmöglich ist.

 

Tipps zum Umgang mit digitalen Assistenten finden Sie bei BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/IoT/Digitale_Assistenten/Digitale_Assistenten_node.html

 

Zur Meldung von Spiegel Online: https://www.spiegel.de/netzwelt/gadgets/light-commands-forscher-taeuschen-sprachassistenten-per-laser-a-1294910.html

 

 

  1. Android Beam: Angriff aus nächster Nähe

 

Die App Android Beam nutzt das Nahfunkverfahren NFC („Near Field Communication“) zum Übertragen von Daten – wie das genau funktioniert, erfahren Sie in unserer neuen Rubrik „Kurz erklärt“ weiter unten. Android Beam ist auf vielen Android-Geräten ab Werk installiert und kann, wie Heise Online berichtet, genutzt werden, um unbemerkt Schadprogramme zu installieren. Abhilfe schafft ein Update aus dem Oktober.

 

BSI für Bürger informiert ebenfalls über NFC und warnt vor Missbrauch: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/OnlineBanking/MobilePayment/KontaktlosesBezahlen-NFC/kontaktloses_Bezahlen_NFC_node.html

 

Zur Meldung von Heise Online: https://www.heise.de/security/meldung/Android-Beam-erlaubt-Einschleusen-fremder-Apps-4574396.html

 

 

  1. Nur Bares ist Wahres – oder?

 

Eine repräsentative Forsa-Befragung im Auftrag von Visa zeigt, wie kontakt- und bargeldloses Zahlen hierzulande ankommt: 55 Prozent der Mobile Payment-NutzerInnen setzen auf NFC-fähige EC- und Kreditkarten, 6 Prozent nutzen ihr Smartphone oder ihre Smartwatch zum Bezahlen. Und auch nur knapp jeder Vierte Nicht-Nutzer (23 Prozent) kann sich vorstellen, im Laufe des nächsten Jahres kontaktlos zu zahlen. Die Sorge vor Missbrauch ist für die Hälfte der Befragten (47 Prozent) ein entscheidender Grund, NFC-basierte Bezahlverfahren nicht zu nutzen. Beinah genauso viele Befragte haben sich allerdings überhaupt noch nicht mit dem Thema befasst.

 

Informationen von BSI für Bürger zum Mobile Payment gibt es hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/OnlineBanking/MobilePayment/mobilePayment_node.html

 

Unter anderem berichtet das IT-Finanzmagazin über den „Visa Payment Monitor“: https://www.it-finanzmagazin.de/visa-payment-monitor-wachsendes-interesse-an-mobile-payment-96773/

 

 

  1. Nein, ich möchte keine Passwörter kaufen

 

Cyberkriminelle versuchen regelmäßig, wertvolle Daten zu stehlen, um sie beispielsweise über Untergrundforen zu Geld zu machen. Das IT-Sicherheitsunternehmen ImmuniWeb hat sich solche Angebote genauer angeschaut, berichtet Heise Online. Bei ihren Recherchen fanden die Sicherheitsexperten nach eigenen Angaben mehr als 21 Millionen Zugangsdatensätze von Unternehmen aus der Fortune-500-Liste der weltweit umsatzstärksten Unternehmen. Allein 16 Millionen davon wurden erst während der letzten 12 Monate erbeutet, sind also noch relativ aktuell. Dabei haben sie auch herausgefunden, dass viele Datensätze mit Passwörtern wie „password“, „abc123“ oder „123456“ leichte Beute für die Datendiebe werden konnten.

 

Empfehlungen von BSI für Bürger für gute Passwörter finden Sie hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/Passwoerter/passwoerter_node.html

 

Zur Meldung von Heise Online: https://www.heise.de/security/meldung/Geschaefte-mit-Passwort-Leaks-Forscher-analysieren-Millionen-von-Daten-4579124.html

 

Wenn Sie wissen möchten, ob einer Ihrer Online-Accounts schon einmal gehackt wurde, können Sie das auf der Seite des Hasso-Plattner-Instituts prüfen: https://sec.hpi.de/ilc/

 

 

  1. Vorsicht vor Steuerrückerstattung für 2019: zu schön, um wahr zu sein

 

Das BSI warnt aktuell vor einer neuen Welle betrügerischer E-Mails. Sie stammen angeblich vom „Bundeszentralamt für Steuern“ und versprechen eine „Steuerrückerstattung 2019″. Im angehängten Word-Dokument „Steuerbescheid.doc“ sind Makros enthalten, die im Hintergrund ein schädliches Programm installieren und ausführen. „Eine Infektion mit der Schadsoftware Maze kann zum totalen Datenverlust führen“, warnt das BSI. Die AngreiferInnen verschlüsseln in diesem Fall den Rechner, um die NutzerInnen zu Lösegeldzahlungen zu erpressen. Von solchen Zahlungen rät das BSI dringend ab, weil oft genug die Daten dennoch nicht wieder freigeschaltet werden und zudem neue Angriffe erfolgen können. „Der einzig sichere Schutz vor solchen Angriffen sind regelmäßige Back-ups“, schreibt t-online.de dazu. „Diese sollten allerdings auf einem unabhängigen Speichermedium gesichert werden, das nicht dauerhaft mit dem Computer verbunden ist.“

 

Die Meldung des BSI auf Twitter: https://twitter.com/certbund/status/1192030129347801088?s=20

 

Lesen Sie hier den Artikel auf t-online.de: https://www.t-online.de/digital/handy/id_86759704/datenverlust-droht-falscher-steuerbescheid-infiziert-computer-bsi-warnt.html

 

 

—————————————————-

Bleiben Sie up-to-date

 

 

  1. BSI warnt vor Schwachstellen in Google Chrome und Android

 

Google Chrome und Android sind von mehreren Sicherheitslücken betroffen. Das BSI empfiehlt, die vom Hersteller bereitgestellten Sicherheitsupdates zeitnah zu installieren.

 

Eine Übersicht der aktuellen Warnmeldungen finden Sie hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Buerger-CERT/Sicherheitshinweise/Sicherheitshinweise_node.html

 

 

  1. Mehrere Sicherheitslücken

 

Schwachstellen in Nvidias GPU-Treiber und Geforce Experience gefährden Windows, berichtet Heise Online. Es sind jedoch inzwischen Sicherheitsupdates verfügbar, die diese Lücken schließen.

 

Außerdem entdeckten SicherheitsforscherInnen erstmals eine Schadsoftware, die die Bluekeep-Sicherheitslücke von Windows ausnutzt. Die Gefahr wird allerdings als gering eingestuft, da die Sicherheitsupdates und Warnungen von Microsoft seit Bekanntwerden der Lücke im Mai dazu geführt haben, dass es deutlich weniger verwundbare Geräte gibt.

 

Zum Artikel von Heise Online: https://www.heise.de/security/meldung/Schwachstellen-in-Nvidias-GPU-Treiber-und-Geforce-Experience-gefaehrden-Windows-4580733.html

 

 

  1. Siri-Datenbank speichert verschlüsselte E-Mails im Klartext

 

Heise berichtet, dass die digitale Assistentin Siri selbst im abgeschalteten Modus verschlüsselte E-Mails aus Apple Mail im Klartext in einer eigenen Datenbank auf Mac Computern speichert. Das Problem bestehe mindestens in macOS 10.12 bis hin zur aktuellen Version 10.15 Catalina. Ein Sicherheitsupdate vom Hersteller steht aus. IT-Spezialist Bob Gendler hat ein Konfigurationsprofil veröffentlicht, mit dem Administratoren die Siri-Einstellung für alle Nutzer eines Macs abschalten können. So können zumindest keine neuen verschlüsselten E-Mails im Klartext in der Datenbank gespeichert werden.

 

Zur Meldung von Heise Online und zum Konfigurationsprofil von Gendler: https://www.heise.de/mac-and-i/meldung/Siri-speichert-verschluesselte-E-Mails-im-Klartext-auf-Macs-4580692.html

 

 

—————————————————-

Gut zu wissen

 

 

  1. NFC – eine sichere Sache?

 

Auch wenn aktuelle Studien zeigen, dass bislang nur ein kleinerer Teil der Deutschen kontaktlos zahlt: Das Bezahlen mit NFC-fähigen Karten ist genauso sicher wie mit klassischen EC- oder Kreditkarten, die ins Kartenterminal gesteckt werden. Noch sicherer ist die Zahlung mit einem NFC-fähigen mobilen Endgerät wie dem Smartphone oder der Smartwatch. Dennoch ist es theoretisch möglich für AngreiferInnen, diese Daten abzuschöpfen. Dafür müssten sie sich jedoch zum Zeitpunkt der Transaktion räumlich sehr nah an ihrem Opfer befinden.

 

Mehr Informationen rund um das kontaktlose Bezahlen per NFC: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/OnlineBanking/MobilePayment/KontaktlosesBezahlen-NFC/kontaktloses_Bezahlen_NFC_node.html

 

 

  1. Emotet: ein Angreifer in vielen Gestalten

 

In den vergangenen Wochen haben viele Medien über die Ransomware Emotet berichtet – auch hier in unserem Newsletter war sie oft Thema. Sie verbreitet sich in der Regel über E-Mails mit Anhängen, die sich als Dokumente tarnen, tatsächlich aber eine ausführbare Schadsoftware mit unterschiedlichen Aufgaben ist. Auch öffentliche Einrichtungen hat Emotet bereits befallen – neben dem Kammergericht Berlin ist nun auch die Humboldt-Universität in Berlin betroffen. Heise Online hat die Ransomware näher beleuchtet und schlüsselt auf, was sie so gefährlich macht: Es handelt sich dabei nicht nur um einen einfachen Schädling, sondern eine ganze Kaskade von Schadprogrammen.

 

Aktuelle Informationen zur Schadsoftware Emotet finden Sie bei BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/emotet.html

 

Zum Bericht über den Angriff auf die Humboldt-Universität: https://www.tagesspiegel.de/berlin/emotet-in-berlin-computervirus-befaellt-auch-humboldt-uni/25209242.html

 

Heise Online berichtet ausführlich über den „explosiven Malware-Cocktail“ von Emotet, Trickbot und Ryuk: https://www.heise.de/security/artikel/Emotet-Trickbot-Ryuk-ein-explosiver-Malware-Cocktail-4573848.html

 

 

  1. Die glorreichen 7? Wohl eher nicht! – die Tricks der Hacker

 

Phishing, das Installieren von Schadsoftware, Ausnutzen von Sicherheitslücken und Ausspähen von Beschäftigten über Social Engineering: Die Tricks von Cyberkriminellen werden immer raffinierter und sind mitunter auch nur sehr schwer zu erkennen. Da ist es gut, wenn man von den populärsten Hacker-Tricks wenigstens schon mal gehört oder gelesen hat. Security-Insider stellt die „7 raffiniertesten Hacker-Tricks“ in einem ausführlichen Beitrag vor.

 

Zum Artikel von Security-Insider: https://www.security-insider.de/die-7-raffiniertesten-hacker-tricks-a-879199/

 

 

  1. Die besten 20? Schon eher! – 20 Sicherheitstipps

 

Noch einmal meldet sich Security-Insider zu Wort – mit den besten 20 Tipps für Sicherheit und Datenschutz in Windows 10. Neben den Ratschlägen für regelmäßige Updates und Virenschutz informieren die Redakteure zum Beispiel über den eingebauten „Ransomware-Schutz“ des Microsoft-Betriebssystems. Darüber können u. a. Daten in der Cloud gespeichert und nach einem Befall wiederhergestellt werden.

 

Zum Artikel von Security-Insider: https://www.security-insider.de/20-tipps-fuer-sicherheit-und-datenschutz-in-windows-10-a-879179

 

 

—————————————————-

Zahl der Woche

 

 

  1. 24% wurden bereits Opfer von Internetkriminalität

 

Fast jede/r vierte BürgerIn (24 Prozent) hat bereits selbst einen Cyberangriff erlebt. Das ist eines der Ergebnisse des BSI-Berichts zur Lage der IT-Sicherheit in Deutschland. Am häufigsten kommt es zu Betrug beim Online-Shopping (36 Prozent), gefolgt von Angriffen über Schadsoftware (26 Prozent) und Phishing (23 Prozent).

 

Den ganzen Bericht können Sie hier lesen: https://www.bsi.bund.de/DE/Publikationen/Lageberichte/lageberichte_node.html

 

 

—————————————————-

Was wichtig wird

  1. Am Black Friday und Cyber Monday sicher auf Schnäppchenjagd

 

Der Black Friday am 29. November und der darauffolgende Cyber Monday sind das größte „Shopping-Event“ des Jahres und zugleich der inoffizielle Auftakt des Weihnachtsgeschäfts. In Deutschland findet der Black Friday seit 2013 in größerem Rahmen statt, die meisten Rabatte werden online angeboten. Laut t3n könnte die Woche rund um den diesjährigen Black Friday die umsatzstärkste Onlineshopping-Woche aller Zeiten werden. Genau das ist ein Grund für besondere Vorsicht: Prüfen Sie die verlockenden Angebote im Web vor einem Kauf eingehend, um keinem Betrug aufzusitzen.

 

Tipps und Hinweise fürs Onlineshopping finden Sie hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/EinkaufenImInternet/einkaufeniminternet_node.html

 

Mehr zum Thema Schnäppchenfallen: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/Schnaeppchenfallen_im_Internet.html

 

Ihnen gefällt dieser Newsletter? Empfehlen Sie ihn Familie, Freunden oder Kollegen: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/bestellen/newsletter_bestellen_node.html

____________________________________________________________________________________________________

Über den folgenden Link können Sie den Newsletter wieder abbestellen.

https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html

Besuchen Sie uns auch auf:

https://www.bsi-fuer-buerger.de

https://www.facebook.com/bsi.fuer.buerger

https://www.twitter.com/BSI_Presse

 

 

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

[Buerger-Cert-Warnmeldung] TW-T19-0165 – VMware Fusion und Workstation: Mehrere Schwachstellen

Art der Meldung: Sicherheitshinweis

Risikostufe 3

VMware Fusion und Workstation: Mehrere Schwachstellen

 

12.11.2019____________________________________________________________________________________________________

Betroffene Systeme:

VMware Workstation < 15.5.1

____________________________________________________________________________________________________

Empfehlung:

Das BürgerCERT empfiehlt die zeitnahe Installation der vom Hersteller bereitgestellten Sicherheitsupdates, um die Schwachstellen zu schließen.

____________________________________________________________________________________________________

____________________________________________________________________________________________________

Beschreibung:

Die Virtualisierungssoftware von VMware ermöglicht die simultane Ausführung von verschiedenen Betriebssystemen auf einem Host-System.

____________________________________________________________________________________________________

Zusammenfassung:

Ein Angreifer auf einer Gastmaschine kann mehrere Schwachstellen in VMware Fusion und VMware Workstation ausnutzen, um Informationen offenzulegen, Code zur Ausführung zu bringen oder einen Denial of Service zu verursachen.

____________________________________________________________________________________________________

Quellen:

https://www.vmware.com/security/advisories/VMSA-2019-0021.html

____________________________________________________________________________________________________

Über den folgenden Link können Sie den Newsletter wieder abbestellen.

https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html

Besuchen Sie uns auch auf:

https://www.bsi-fuer-buerger.de

https://www.facebook.com/bsi.fuer.buerger

https://www.twitter.com/BSI_Presse

 

 

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

[Buerger-Cert-Warnmeldung] TW-T19-0164_Update_1 – Intel Prozessoren: Mehrere Schwachstellen

Art der Meldung: Sicherheitshinweis
Risikostufe 4
Intel Prozessoren: Mehrere Schwachstellen

13.11.2019____________________________________________________________________________________________________
Betroffene Systeme:
Dell Dell Computer
Intel Prozessor
VMware ESXi
VMware Workstation
____________________________________________________________________________________________________
Empfehlung:
Das BürgerCERT empfiehlt die zeitnahe Installation der von den jeweiligen Betriebssystem-Herstellern bereitgestellten Sicherheitsupdates, um die Schwachstellen zu schließen.
____________________________________________________________________________________________________
____________________________________________________________________________________________________
Beschreibung:
Der Prozessor ist das zentrale Rechenwerk eines Computers.
____________________________________________________________________________________________________
Zusammenfassung:
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Intel Prozessoren ausnutzen, um seine Privilegien zu erhöhen, einen Denial of Service Angriff durchzuführen oder vertrauliche Daten einzusehen.
____________________________________________________________________________________________________
Quellen:
– https://www.vmware.com/security/advisories/VMSA-2019-0020.html
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

[Buerger-Cert-Warnmeldung] TW-T19-0163 – Google Chrome: Mehrere Schwachstellen ermöglichen nicht spezifizierten Angriff

Art der Meldung: Sicherheitshinweis
Risikostufe 3
Google Chrome: Mehrere Schwachstellen ermöglichen nicht spezifizierten Angriff

07.11.2019____________________________________________________________________________________________________
Betroffene Systeme:
Google Chrome < 78.0.3904.97 ____________________________________________________________________________________________________ Empfehlung: Das BürgerCERT empfiehlt die zeitnahe Installation der vom Hersteller bereitgestellten Sicherheitsupdates, um die Schwachstellen zu schließen. ____________________________________________________________________________________________________ ____________________________________________________________________________________________________ Beschreibung: Chrome ist ein Internet-Browser von Google. ____________________________________________________________________________________________________ Zusammenfassung: Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Google Chrome ausnutzen, um einen nicht näher spezifizierten Angriff durchzuführen. ____________________________________________________________________________________________________ Quellen: - https://chromereleases.googleblog.com/2019/11/stable-channel-update-for-desktop.html ____________________________________________________________________________________________________ Über den folgenden Link können Sie den Newsletter wieder abbestellen. https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html Besuchen Sie uns auch auf: https://www.bsi-fuer-buerger.de https://www.facebook.com/bsi.fuer.buerger https://www.twitter.com/BSI_Presse Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

[Buerger-Cert-Warnmeldung] TW-T19-0162 – Google Android: Mehrere Schwachstellen

Art der Meldung: Sicherheitshinweis
Risikostufe 5
Google Android: Mehrere Schwachstellen

05.11.2019____________________________________________________________________________________________________
Betroffene Systeme:
Google Android 10
Google Android 8.0
Google Android 8.1
Google Android 9
____________________________________________________________________________________________________
Empfehlung:
Das BürgerCERT empfiehlt die zeitnahe Installation der vom Hersteller bereitgestellten Sicherheitsupdates, um die Schwachstellen zu schließen.
____________________________________________________________________________________________________
____________________________________________________________________________________________________
Beschreibung:
Das Android Betriebssystem von Google ist eine quelloffene Plattform für mobile Geräte. Die Basis bildet der Linux-Kernel.
____________________________________________________________________________________________________
Zusammenfassung:
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Google Android ausnutzen. Als Folge kann der Angreifer die Kontrolle über das Gerät übernehmen, Daten ausspionieren, das Gerät zum Absturz bringen oder unbrauchbar machen. Zur erfolgreichen Ausnutzung der Schwachstellen genügt es, eine manipulierte App zu öffnen oder einen Link anzutippen, der zu einer bösartigen Software führt.
____________________________________________________________________________________________________
Quellen:
– https://source.android.com/security/bulletin/2019-11-01
– https://source.android.com/security/bulletin/pixel/2019-11-01
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

[Buerger-Cert-Warnmeldung] TW-T19-0161 – Google Chrome: Mehrere Schwachstellen

Art der Meldung: Sicherheitshinweis
Risikostufe 3
Google Chrome: Mehrere Schwachstellen

01.11.2019____________________________________________________________________________________________________
Betroffene Systeme:
Google Chrome < 78.0.3904.87 ____________________________________________________________________________________________________ Empfehlung: Das BürgerCERT empfiehlt die zeitnahe Installation der vom Hersteller bereitgestellten Sicherheitsupdates, um die Schwachstellen zu schließen. ____________________________________________________________________________________________________ ____________________________________________________________________________________________________ Beschreibung: Chrome ist ein Internet-Browser von Google. ____________________________________________________________________________________________________ Zusammenfassung: In Google Chrome bestehen mehrere Schwachstellen. Diese können ausgenutzt werden, um den Browser zum Absturz zu bringen oder um beliebige Programme auszuführen. Zur Ausnutzung genügt es, eine Webseite zu öffnen, die bösartigen Code enthält (z. B. durch Anklicken eines Links). Das amerikanische Department of Homeland Security berichtet, dass eine der Schwachstellen bereits aktiv ausgenutzt wird. ____________________________________________________________________________________________________ Quellen: - http://chromereleases.googleblog.com/2019/10/stable-channel-update-for-desktop_31.html - https://www.us-cert.gov/ncas/current-activity/2019/10/31/google-releases-security-updates-chrome ____________________________________________________________________________________________________ Über den folgenden Link können Sie den Newsletter wieder abbestellen. https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html Besuchen Sie uns auch auf: https://www.bsi-fuer-buerger.de https://www.facebook.com/bsi.fuer.buerger https://www.twitter.com/BSI_Presse Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

[Buerger-Cert-Newsletter] SICHER • INFORMIERT vom 18.10.2019

SICHER • INFORMIERT vom 18.10.2019
Ausgabe: 22/2019

Liebe Leser*Innen,

wie steht es um die IT-Sicherheit in Deutschland und wie gefährdet sind IT-Infrastrukturen, Geräte und Daten hierzulande? Mit diesen und weiteren Fragen setzt sich der neue „Bericht zur Lage der IT-Sicherheit in Deutschland 2019“ auseinander, den Bundesinnenminister Horst Seehofer zusammen mit BSI-Präsident Arne Schönbohm in Berlin vorgestellt hat. Die wichtigste Quintessenz: Auch in einer weiterhin angespannten IT-Sicherheitslage ist die Abwehr von Cyber-Angriffen in Deutschland erfolgreich. Und das, obwohl die Zahl der Attacken ebenso zunimmt wie die Qualität der Angriffe, die oft nur schwer zu erkennen und noch schwerer zu bekämpfen sind.

Umso wichtiger ist es, neben den umfangreichen Schutzmaßnahmen und Handlungsempfehlungen immer auch an die BürgerInnen zu appellieren, dass alle eine Eigenverantwortung beim Schutz der persönlichen IT-Geräte sowie ihrer Daten tragen.

In diesem Newsletter haben wir deshalb wieder Hinweise zu aktuellen Fällen und Möglichkeiten für Sie aufgelistet, sich vor Cyber-Angriffen wirkungsvoll zu schützen.

Wir wünschen Ihnen viel Spaß beim Lesen!

Jan Lammertz / Team BSI-für-Bürger
Inhalt

In den Schlagzeilen—————–
1. Kindersicher: Mehr Datenschutz und Privatsphäre für die Jüngsten 2. Wenn der Fernseher Ihnen beim Fernsehen zuschaut 3. Gesundheits-App Ada: Vertrauliche Daten bei Facebook?
4. Smart-Meter-Gateways: Auf diesen Strom können Sie zählen 5. Keine Faxen mit Buran

Bleiben Sie up-to-date—————–
6. Schließen Sie Sicherheitslücken in macOS und iTunes 7. iOS schachmatt 8. Unity-Router von Sicherheitslücke betroffen 9. Auch WhatsApp mit Lücke 10. Schwachstellen bei Android 11. Patchday bei SAP, Microsoft und Google 12. Schwachstellen bei Adobe Acrobat identifiziert

Gut zu wissen—————–
13. Technik für alle?
14. Hack, Hack – Daten weg!

Zahl der Woche—————–
15. BSI-Bericht zur Lage der IT-Sicherheit in Deutschland

—————————————————-
In den Schlagzeilen

1. Kindersicher: Mehr Datenschutz und Privatsphäre für die Jüngsten

Die internationale Arbeitsgruppe zum Datenschutz in der Telekommunikation hat zwei neue Arbeitspapiere veröffentlicht, die vor allem für Eltern spannend sind: Sie untersuchen die Privatsphäre von Kindern bei der Nutzung von Online-Diensten sowie Datenschutzrisiken durch smarte Geräte für Kinder. Das Arbeitspapier gibt außerdem Empfehlungen zur Bewältigung dieser Probleme für Hersteller, NutzerInnen, Schulen und Behörden.

Weitere Informationen zum Basisschutz für Kinder im Internet finden Sie auch bei BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/Kinderschutz/kinderschutz_node.html

Die Informationen können Sie ebenfalls im Podcast mit BSI-Expertin Katja Vogel hören: https://www.bsi-fuer-buerger.de/SharedDocs/Audio/DE/BSIfB/Podcast_Basisschutz-Kinder1.html

Über die Arbeitspapiere schreibt unter anderem Netzpolitik: https://netzpolitik.org/2019/datenschutz-neue-empfehlungen-fuer-die-privatsphaere-von-kindern/

2. Wenn der Fernseher Ihnen beim Fernsehen zuschaut

Forscher der Universität Princeton (USA) haben die Streaming-Boxen von Amazon und Roku untersucht. Dabei stellten sie fest, dass 89 Prozent der Streaming- und TV-Kanäle von Amazon Fire TV und 69 Prozent von Roku mit bekannten Trackern kommuniziert haben. Diese Tracker senden teils sehr persönliche Daten über die Nutzerinnen vor allem an Domains von Google und Facebook, um daraus Kundenprofile für Werbezwecke zu erstellen.

Informationen des BSI für Bürger zur sicheren Nutzung von Smart-TVs finden Sie hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/IoT/SmartTV/SmartTV_node.html

Zur Meldung von Heise Online über die Smart-TV-Studie der Universität Princeton: https://www.heise.de/newsticker/meldung/Smart-TV-Studie-Amazon-Fire-TV-und-Roku-sind-Datenschleudern-4554240.html

3. Gesundheits-App Ada: Vertrauliche Daten bei Facebook?

Die Gesundheits-App der Berliner Ada Health GmbH übermittelt persönliche Daten unter anderem an Facebook und an Amplitude Analytics – schon bevor Nutzer*Innen der Datenschutzerklärung und den AGB zugestimmt haben. Nach der Anmeldung wurden sogar medizinische Daten der Nutzer an Trackingdienste weitergeleitet, heißt es bei c’t über eine Untersuchung des IT-Sicherheitsforschers Mike Kuketz. Der Anbieter Ada Health dementiert diese Weiterleitung allerdings. Dennoch wurde die App aus dem Google Play Store entfernt und durch eine andere Version ersetzt.

Viele Gesundheitsdaten werden auch über so genannte Wearables – tragbare Geräte wie zum Beispiel Fitness-Armbänder – gesammelt. Wie Sie diese sicher verwenden können, erfahren Sie hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/IoT/Wearables/Wearables_node.html

Zur Ada-Meldung von c’t: https://www.heise.de/ct/artikel/Massive-Datenschutzmaengel-in-der-Gesundheits-App-Ada-4549354.html

4. Smart-Meter-Gateways: Auf diesen Strom können Sie zählen

Das BSI hat einen zweiten Smart-Meter-Gateway zertifiziert. Kommt ein drittes von einem weiteren unabhängigen Hersteller dazu, greift die gesetzliche Verpflichtung zum Einbau von Smart-Meter-Gateways, die auf das 2016 verabschiedete „Gesetz über den Messstellenbetrieb und die Datenkommunikation in intelligenten Energienetzen (MsbG)“ zurückgeht. Smart-Meter-Gateways werden in intelligenten Messsystemen eingesetzt und ermöglichen die zuverlässige Erhebung, Verarbeitung, Übermittlung, Protokollierung, Speicherung sowie auch Löschung von Messwerten der Stromzähler. Sie sorgen für mehr Transparenz sowie die sicherere Übermittlung von Messdaten und verbessern das Last- und Erzeugungsmanagement im Verteilnetz.

Das BSI hat wichtige Hintergrundinformationen zu Smart Metering Systems für Sie zusammengestellt: https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/SmartMeter/smartmeter_node.html

Zur Meldung des pv magazins über das Smart-Meter-Zertifikat des BSI: https://www.pv-magazine.de/2019/10/01/bsi-erwartet-beginn-des-verpflichtenden-smart-meter-rollouts-noch-in-diesem-jahr/

5. Keine Faxen mit Buran

Das BSI warnt aktuell eindringlich vor einer Flut gefälschter E-Mails, die ein vermeintliches Fax enthalten. Tatsächlich steckt dahinter eine Spam-Kampagne zur Verbreitung der Ransomware Buran. Die Schadsoftware verschlüsselt Dateien auf infizierten Rechnern und verlangt dann ein Lösegeld (Englisch: „ransom“). Die E-Mails mit den verseuchten Anhängen kommen vom Absender und tarnen sich als Nachricht des eigentlich seriösen Dienstleisters eFax. Das BSI rät, den in der E-Mail enthaltenen Link auf keinen Fall anzuklicken. Wenn bereits eines Ihrer Geräte infiziert ist, nehmen Sie bitte Kontakt mit dem Team von BSI für Bürger auf, um sich beraten zu lassen – entweder telefonisch unter 0800 2741000 oder per Mail an .

Das Service-Center des BSI für Bürger erreichen Sie hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/Wissenswertes_Hilfreiches/Kontakt/kontakt_node.html

Zur Meldung der Süddeutschen Zeitung: https://www.sueddeutsche.de/digital/bsi-buran-trojaner-ransomware-phishing-kammergericht-berlin-1.4625156

—————————————————-
Bleiben Sie up-to-date

6. Schließen Sie Sicherheitslücken in macOS und iTunes

Im Betriebssystem macOS sowie der Multimedia-Anwendung iTunes existieren derzeit mehrere Schwachstellen. Das BSI rät, die Sicherheits-Updates des Herstellers zeitnah zu installieren.

Lesen Sie die vollständigen Meldungen hier:
https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2019/10/warnmeldung_tw-t19-0141.html;jsessionid=28FFF3F4FAB04E78F755ECE67D3BD73F.2_cid369?nn=9266440

https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2019/10/warnmeldung_tw-t19-0142.html;jsessionid=28FFF3F4FAB04E78F755ECE67D3BD73F.2_cid369?nn=9266440

7. iOS schachmatt

Alle iPhones, iPads, iPods und Apple TV-Geräte, die zwischen 2011 und 2017 auf den Markt kamen, besitzen eine kritische Sicherheitslücke namens Checkm8 (Deutsch: „schachmatt“). Schließen lässt sich diese offenbar nicht, allerdings benötigen die Angreifer physischen Zugriff auf die Geräte, um sie ausnutzen zu können. Ist Ihr Gerät betroffen, können Sie es ganz einfach durch einen Neustart bereinigen. Zum Schutz vor Checkm8 sollten Sie Ihr mobiles Gerät nicht unbeaufsichtigt lassen und einen sechsstelligen PIN-Code zur Sperrung einrichten.

Weitere Informationen zum Schutz Ihres Smartphones: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/BasisschutzGeraet/EinrichtungMobileGeraete/EinrichtungMobileGeraete_node.html

Zur Meldung von der Süddeutschen Zeitung zu Checkm8: https://www.sueddeutsche.de/digital/apple-iphone-it-sicherheit-checkm8-1.4622223

8. Unity-Router von Sicherheitslücke betroffen

Heise berichtet über eine fatale Sicherheitslücke in Millionen Routern von Unitymedia. Derzeit spielt der Provider ein Firmware-Update aus, das die Lücke schließt, heißt es in dem Artikel. Die Installation des Firmware-Update erfolgt automatisch.

Erfahren Sie mehr über das Thema Router-Sicherheit: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/basisschutz_fuer_den_router.html

Zur Meldung von Heise Online: https://www.heise.de/security/meldung/Unitymedia-Fatale-Sicherheitsluecke-in-Millionen-Routern-4544886.html

9. Auch WhatsApp mit Lücke

Die Computer Bild berichtet über eine schwere Sicherheitslücke des Instant Messengers WhatsApp. Über die Lücke könnten Hacker auf Android-Smartphones zugreifen und an persönliche Daten gelangen. WhatsApp hat bereits ein Update veröffentlicht, das die Lücke beseitigt.

Hinweise zur Nutzung und Auswahl von Instant Messengern: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/KommunikationUeberInternet/Messenger/Tipps/tipps_node.html

Zur Meldung von Computer Bild: https://www.computerbild.de/artikel/cb-News-App-Check-WhatsApp-Schwere-Sicherheitsluecke-das-muessen-Nutzer-jetzt-beachten-24252569.html

10. Schwachstellen bei Android

Google selbst weist auf Sicherheitslücken in seinem Betriebssystem Android hin, die mehrere Smartphone-Modelle verschiedener Hersteller betreffen. Ein lokaler Angreifer könnte die Lücke missbrauchen, um seine Rechte zu erweitern und letztlich die vollständige Kontrolle über das Gerät zu erlangen. Updates zum Schließen dieser Lücken sind bereits erschienen.

Zur Meldung von Heise Online: https://www.heise.de/security/meldung/Android-Google-warnt-vor-gefaehrlicher-Luecke-in-mehreren-Smartphone-Modellen-4545822.html

11. Patchday bei SAP, Microsoft und Google

Anfang Oktober haben auch SAP, Microsoft und Google wichtige Updates veröffentlicht, die zum Teil kritische Sicherheitslücken schließen.

Zur Meldung von Heise Online: https://www.heise.de/security/meldung/Patchday-Microsoft-sichert-Windows-und-Browser-gegen-Angriffe-ab-4549555.html

12. Schwachstellen bei Adobe Acrobat identifiziert

Ein entfernter, anonymer Angreifer kann mehrere Sicherheitslücken in Adobe Acrobat, Adobe Acrobat Reader DC und Adobe Acrobat Reader ausnutzen. Das BSI rät dazu, die vom Hersteller bereitgestellten Sicherheitsupdates zeitnah zu installieren.
Lesen die gesamte Meldung bei BSI für Bürger: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2019/10/warnmeldung_tw-t19-0147.html?nn=9266440

—————————————————-
Gut zu wissen

13. Technik für alle?

Digitale Technologien spielen für viele Menschen eine immer wichtigere Rolle, stellt eine Studie zur digitalen Teilhabe der Initiative „Digital für alle“ fest. Allerdings sehen das nicht alle positiv: Jeder Vierte äußerte beispielsweise Sorge um Datensicherheit. Auch der Umgang mit technischen Geräten fällt nicht allen leicht: Fast vier von zehn Befragten gaben an, dass es ihnen schwerfällt, die Bedienung eines technischen Gerätes zu lernen.

BSI für Bürger gibt nützliche Tipps für den sicheren Umgang mit modernen Technologien und erleichtert so die Teilhabe am technischen Fortschritt: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/empfehlungen_node.html

Die „Digitaltag 2020: Studie zur digitalen Teilhabe“ finden Sie hier: https://digitaltag.eu/sites/default/files/2019-09/Pr%C3%A4sentation%20Digital%20f%C3%BCr%20alle%20und%20Digitaltag%202020%2025%2009%202019_final.pdf

14. Hack, Hack – Daten weg!

In der Ausgabe „Hack, Hack – Daten weg“ des Cosmo-Tech Podcasts berichtet Jörg Schieb für den WDR über die Arbeit und Denkweise von Hackern. Unter anderem kommt auch Klaus Rodewig zu Wort, der Mitglied im Expertenkreis Cyber-Sicherheit des BSI ist.

Zum Nachhören: https://blog.wdr.de/digitalistan/hack-hack-daten-weg-2/
(Der Podcast steht bis zum 30.09.2020 zur Verfügung)

—————————————————-
Zahl der Woche

15. BSI-Bericht zur Lage der IT-Sicherheit in Deutschland

114 Millionen neue Schadprogramm-Varianten hat das BSI zwischen Juni 2018 und Mai 2019 registriert. Dazu kommen mehr als 110.000 Bot-Infektionen täglich – meist auf mobilen Endgeräten oder vernetzten Geräten aus dem Bereich des Internets der Dinge (IoT). Das sind nur zwei Schlaglichter aus dem „Bericht zur Lage der IT-Sicherheit in Deutschland 2019“, den das BSI am 17. Oktober 2019 veröffentlicht hat. Der Bericht gibt einen Überblick über die Entwicklung der Bedrohungslage im Cyber-Raum und über die Aktivitäten und Maßnahmen des BSI.

Der Bericht steht auf der BSI-Webseite zum kostenlosen Download zur Verfügung und kann auch als Printexemplar bestellt werden https://www.bsi.bund.de/DE/Publikationen/Lageberichte/lageberichte_node.html

BSI-Präsident Arne Schönbohm stellte den Bericht auf einer Pressekonferenz am 17. Oktober 2019 vor. Zur Pressemitteilung: https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2019/Lagebericht_171019.html

Ihnen gefällt dieser Newsletter? Empfehlen Sie ihn Familie, Freunden oder Kollegen: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/bestellen/newsletter_bestellen_node.html
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

[Buerger-Cert-Newsletter] SICHER • INFORMIERT vom 31.10.2019

SICHER • INFORMIERT vom 31.10.2019
Ausgabe: 23/2019

Liebe LeserInnen,

heute endet der Oktober – mit dem „schrecklichsten“ aller Tage, Halloween. Sie werden heute vermutlich viele Geister, Hexen und Fledermäuse sehen – hoffentlich aber niemanden, der sich als Ihr Chef verkleidet und Geld von Ihnen verlangt. Leider ist so etwas kein Halloween-Gag, sondern ein so genannter Deep Fake, der Sie das ganze Jahr über heimsuchen kann. Um täuschend echt wirkende Bild-, Video- und Audio-Dateien zu erzeugen, die in Wahrheit gefälscht sind, wird oftmals künstliche Intelligenz verwendet. In den Händen von Cyber-Kriminellen mitunter eine gruselige Waffe. Lesen Sie mehr dazu in dieser Ausgabe des Newsletters.

Der 31. Oktober markiert zugleich das Ende des „European Cyber Security Month“ (ECSM). Im Oktober haben Organisationen und Privatpersonen daran erinnert, wie wichtig der Schutz von Geräten und IT-Infrastrukturen ist. Auch wir haben unsere ECSM-Serie zum Thema „Hilfe zur Selbsthilfe“ mit dem vierten Teil abgeschlossen – schauen Sie doch mal rein.

Damit Sie auch in den nächsten Monaten sicher sein können, präsentieren wir Ihnen heute die aktuellsten Infos sowie Tipps und Tricks für mehr IT-Sicherheit – garantiert ohne Fakes.

Viel Spaß beim Lesen wünscht Ihnen

Jan Lammertz / Team BSI-für-Bürger
Inhalt

In den Schlagzeilen—————–
1. Wenn der Chef plötzlich Geld braucht
2. Emotet legt Berliner Kammergericht lahm 3. Intelligente Spione in den eigenen vier Wänden 4. Wenn Ihr Office verschnupft ist

Bleiben Sie up-to-date—————–
5. BSI warnt vor akuten Schwachstellen in Chrome, Firefox, Mware ESXi, Foxit Phantom PDF Suite und Mozilla Thunderbird 6. Kritische Sicherheitslücken in Mozilla Firefox 7. Samsung Galaxy: Folie statt Fingerabdruck

Gut zu wissen—————–
8. Basisschutz für Ihre Geräte: nicht perfekt, aber wirksam 9. Vorsicht vor Heidi Klum und Emilia Clarke!
10. TOTP: Passwörter zum Wegwerfen
11. BSI und Polizei geben Phishing-Checkliste für den Ernstfall heraus

Was wichtig wird—————–
12. „Deepfake Detection Challenge“ von Facebook und Microsoft

—————————————————-
In den Schlagzeilen

1. Wenn der Chef plötzlich Geld braucht

Die Wirtschaftswoche warnt vor Cyber-Attacken, bei denen sich Betrüger als Vorgesetzte ausgeben und so millionenschwere Überweisungen auf falsche Konten veranlassen. Die Angreifer nutzen sogar Stimmimitation, um MitarbeiterInnen am Telefon zu täuschen. Die internationale Polizeibehörde Interpol nennt diese Art von Deep Fakes „Business Email Compromise“ (BEC). Um diese Form von Cyberkriminalität zu stoppen, hat Interpol eine Informationskampagne gestartet: Mit dem Slogan #BECareful – „Sei vorsichtig“ möchte die Polizeibehörde über das Vorgehen der Betrüger aufklären und Beschäftigte sensibilisieren.

So rät die Wirtschaftswoche zu „Vorsicht vor den falschen Chefs“: https://www.wiwo.de/technologie/digitale-welt/cybersecurity-vorsicht-vor-den-falschen-chefs-/25128068.html

Auf BSI für Bürger finden Sie wichtige Informationen zum Thema Social Engineering: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/IT_Sicherheit_am_Arbeitsplatz/SoEng/Social_Engineering_node.html

2. Emotet legt Berliner Kammergericht lahm

Über Emotet haben wir an dieser Stelle bereits mehrfach berichtet. Der Virus, der Rechner verschlüsselt, um seine Besitzer zu erpressen oder Schadsoftware aufspielt, um Daten abzugreifen, ist weiterhin aktiv. Zum Beispiel in der IT-Anlage des Berliner Kammergerichts: Seit Wochen hat das Gericht keinen Internetzugang mehr und kann seine Rechner nur noch als Schreibmaschine nutzen. Per E-Mail ist das Gericht momentan und auf absehbare Zeit nicht zu erreichen.

Lesen Sie hier den F.A.Z.-Artikel zum Thema: https://www.faz.net/aktuell/wirtschaft/diginomics/emotet-wie-ein-trojaner-das-hoechste-gericht-berlins-lahmlegte-16442702.html

Das BSI rät zu diesen Maßnahmen zum Schutz vor Emotet und gefährlichen E-Mails im Allgemeinen: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/emotet.html

3. Intelligente Spione in den eigenen vier Wänden

Es war „nur“ ein Forschungsprojekt: Hacker des Berliner Security Research Labs (SRLabs) haben Apps für die Smart Speaker-Sprachassistenten Alexa und Google Home entwickelt, mit denen sie die NutzerInnen unbemerkt abhören können. Die „smart spies“ (intelligenten Spione) gaben sich zum Beispiel als Horoskop-App aus und blieben auch dann aktiv, wenn sie mit einem Stopp-Befehl eigentlich beendet wurden. Wer das nicht bemerkte, konnte von dem Forschungsteam abgehört werden. Amazon und Google haben darauf reagiert und Abhilfe angekündigt. Die Apps der SRLabs wurden inzwischen gelöscht.

Wie die „Spione“ bei Alexa und Google Home funktionieren, beschreibt unter anderem Der Spiegel ausführlich: https://www.spiegel.de/netzwelt/gadgets/amazon-echo-und-google-home-apps-machen-smart-speaker-zu-wanzen-a-1292367.html

Informationen und Tipps für den Umgang mit digitalen Assistenten finden Sie auch hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/IoT/Digitale_Assistenten/Digitale_Assistenten_node.html

4. Wenn Ihr Office verschnupft ist

Die meisten Viren gelangen per E-Mail auf Computer – oft als verseuchter Anhang in Form von Office-Dokumenten. Um den Schutz der BürgerInnen vor Angriffen solcher Viren zu verbessern, hat das BSI die besten Einstellungen für Sicherheit, Datenschutz und Funktionalität in Office herausgearbeitet. Privatpersonen können diese Einstellungen in ihrer Office-Version selbst vornehmen. In Unternehmen werden die Parameter am besten von den IT-Beauftragten über so genannte Gruppenrichtlinien eingerichtet, die für alle Beschäftigten gelten.

Über die Vorschläge des BSI berichtet unter anderem die PC WELT: https://www.pcwelt.de/ratgeber/Office-vor-Viren-schuetzen-Das-empfiehlt-das-BSI-10677218.html

Die Empfehlungen des BSI zur sicheren Konfiguration von Microsoft Office-Produkten finden Sie hier: https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2019/Empfehlungen_Microsoft_190619.html

—————————————————-
Bleiben Sie up-to-date

5. BSI warnt vor akuten Schwachstellen in Chrome, Firefox, Mware ESXi, Foxit Phantom PDF Suite und Mozilla Thunderbird

Auch in den vergangenen Tagen wurden wieder zahlreiche Sicherheitslücken in gängiger Software bekannt, die genutzt werden können, um Ihre Geräte anzugreifen. Das BSI empfiehlt die zeitnahe Installation der bereitgestellten Sicherheitsupdates. Eine Übersicht der aktuellen Warnmeldungen finden Sie hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Buerger-CERT/Sicherheitshinweise/Sicherheitshinweise_node.html

6. Kritische Sicherheitslücken in Mozilla Firefox

Heise berichtet über mehrere Schwachstellen im Browser Firefox: Angreifer können so „Computer direkt über das Internet attackieren und nach einer erfolgreichen Attacke die Browser abstürzen lassen oder sogar Schadcode ausführen“. Das Schadprogramm tarnt sich in diesem Fall als Video und nutzt Speicherfehler aus, um sich zu aktivieren und zu verbreiten. 13 Lücken hat Mozilla geschlossen: https://www.mozilla.org/en-US/security/advisories/mfsa2019-34/

Zum Artikel von Heise: https://www.heise.de/security/meldung/Sicherheitsupdate-Praepariertes-Video-koennte-Firefox-zum-Absturz-bringen-4567059.html

Über welche Einfallstore Schadprogramme in Rechner gelangen können, lesen Sie bei BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/Infektionswege/infektionswege_node.html

7. Samsung Galaxy: Folie statt Fingerabdruck

Auf den Samsung-Smartphones Galaxy S10 und Note 10 ist es laut Heise möglich, den Fingerprintscanner mit bestimmten Display-Folien auszutricksen, sodass Unbefugte auf das Gerät zugreifen könnten. Das Problem tritt aber nur dann auf, wenn der Fingerabdruck bereits mit der aufgeklebten Folie erfasst wurde. Samsung kennt den Fehler und hat einen Patch dafür angekündigt, der in Kürze auch in Europa erhältlich sein soll.

Lesen Sie mehr dazu bei Heise: https://www.heise.de/newsticker/meldung/Fingerabdruckscanner-von-S10-Samsung-verteilt-Sicherheitsupdate-4567117.html

—————————————————-
Gut zu wissen

8. Basisschutz für Ihre Geräte: nicht perfekt, aber wirksam

Einen perfekten Schutz für Geräte und NutzerInnen kann es nicht geben, denn Hacker und Cyberkriminelle arbeiten täglich daran, aktuelle Schutzmechanismen auszuhebeln. Trotzdem sollten Sie Ihre Geräte optimal schützen – das senkt auch ohne endgültige Garantie das Risiko, Opfer von Cyber-Angriffen zu werden. Wertvolle Tipps für den wirksamen Basisschutz Ihres Computers, Tablets und Smartphones hat BSI für Bürger:

https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/BasisschutzGeraet/BasisschutzGeraet_node.html

9. Vorsicht vor Heidi Klum und Emilia Clarke!

Nein, das Sicherheitsunternehmen McAffee warnt nicht vor der nächsten Staffel von „Germany‘s next Topmodel“ oder „Game of Thrones“. Einer Untersuchung von McAffee zufolge führen Internetsuchen nach diesen beiden Prominenten besonders oft zu Seiten mit Schadsoftware. Die Wahrscheinlichkeit, auf eine infizierte Seite zu stoßen, beträgt immerhin 5,2 Prozent. Rund jede 20. Suche stellt also eine potenzielle Gefährdung dar. Nicht viel besser sieht es übrigens bei Justin Bieber, Ed Sheeran und Lady Gaga aus, die auf den Plätzen zwei bis fünf folgen.

Lesen Sie den ausführlichen Artikel bei PC Welt: https://www.pcwelt.de/news/Vorsicht-Heidi-Klum-und-Emilia-Clarke-bringen-Viren-auf-PC-10688305.html

Wie Sie Ihre Geräte mit Virenschutzprogrammen schützen können, verrät Ihnen BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/Schutzprogramme/Virenschutzprogramme/virenschutzprogramme_node.html

10. TOTP: Passwörter zum Wegwerfen

Ein starkes Passwort kann Geräte und Online-Accounts gut schützen. Allerdings kann sich kaum jemand eine sichere Phrase wie „jt@TS#MKg7#ZK~QD“ merken. Daher nutzen die meisten Menschen immer noch einfach zu knackende Passwörter wie „123456“ oder „passwort“ – und das für viele Konten und Geräte gleichzeitig. Unter dem Begriff „Time-based One-time Password“ (TOTP) hat die Initiative For Open Authentication (OATH) eine Technologie entwickelt, über die zeitlich begrenzt gültige, nur einmal nutzbare Passwörter zur Anmeldung an einem System generiert werden. Selbst wenn solche Passwörter in fremde Hände gelangen, sind sie unbrauchbar, denn sie verlieren bereits nach wenigen Sekunden ihre Gültigkeit. Die Wegwerf-Passwörter werden vor allem im Zusammenhang mit der Zwei-Faktor-Authentisierung genutzt.

„Was ist TOTP?“, fragt Security Insider – und beantwortet die Frage auch gleich: https://www.security-insider.de/was-ist-totp-a-875708

Tipps von BSI für Bürger für den richtigen Umgang mit Passwörtern finden Sie hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/Passwoerter/passwoerter_node.html

11. BSI und Polizei geben Phishing-Checkliste für den Ernstfall heraus

Haben Sie auch schon einmal eine E-Mail von einem Prinzen erhalten, der Ihnen fünf Millionen Euro in Aussicht stellt? Es klingt zu verlockend: Sie müssen nur einen Link klicken und Ihre Kreditkartendaten eintragen. Zu schön, um wahr zu sein: Dahinter steckt natürlich keine Nächstenliebe, sondern ein Cyber-Krimineller. Beim so genannten Phishing verschicken Angreifer betrügerische Nachrichten per E-Mail, über Messenger oder soziale Netzwerke. Darin fordern sie NutzerInnen auf, vertrauliche Informationen wie Passwörter, Zugangsdaten oder Kreditkartennummern preiszugeben. Doch was können Sie tun, wenn Sie Opfer eines solchen Betrugs geworden sind? Gestern wurde die neue „Phishing: Checkliste für den Ernstfall“ veröffentlicht, die über Sofortmaßnahmen informiert, wenn Sie Zahlungsdaten oder Zugangsdaten zu Ihrem E-Mail-Konto oder anderen Accounts weitergegeben haben oder auf einen Link geklickt haben und Geldforderungen bekommen oder den Verdacht haben, dass Ihre Daten abgeschöpft wurden.

Außerdem gibt Ihnen diese Checkliste Tipps, wie Sie sich in Zukunft vor Phishing schützen können: https://www.bsi.bund.de/DE/Presse/Kurzmeldungen/Meldungen/phishing-checkliste-ernstfall-301019.html

—————————————————-
Was wichtig wird

12. „Deepfake Detection Challenge“ von Facebook und Microsoft

Künstliche Intelligenz (KI) ist eine tolle Sache, weil sie zum Beispiel bei der Früherkennung von Krebs oder beim Bekämpfen von Hunger in der Welt helfen kann. Aber in Form von sogenannten Deep Fakes kann KI auch beträchtlichen Schaden anrichten, wie wir im Artikel „Wenn der Chef plötzlich Geld braucht“ bereits beschrieben haben. Um den Missbrauch von KI für Deep Fakes zu verhindern, lädt die „Deepfake Detection Challenge“ Menschen in der ganzen Welt ein, Technologien zu entwickeln, die beim Aufspüren solcher Deep Fakes helfen. Neben Unternehmen und Institutionen wie Microsoft, Facebook, der New York Times und der University of Oxford hat sich jetzt auch Amazon dieser Herausforderung angeschlossen.

Wenn Sie bei diesem Kampf mitmachen möchten, besuchen Sie die Webseite der „Deepfake Detection Challenge“: https://deepfakedetectionchallenge.ai/

Ihnen gefällt dieser Newsletter? Empfehlen Sie ihn Familie, Freunden oder Kollegen: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/bestellen/newsletter_bestellen_node.html
____________________________________________________________________________________________________
Über den folgenden Link können Sie den Newsletter wieder abbestellen.
https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html
Besuchen Sie uns auch auf:
https://www.bsi-fuer-buerger.de
https://www.facebook.com/bsi.fuer.buerger

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn