SICHER • INFORMIERT vom 06.12.2018

Ausgabe: 25/2018

Inhalt

 

Störenfriede—————–

1. Emotet: Vorsicht vor gefälschten E-Mails im Namen von Bekannten 2. Datendiebstahl: Sensible Kundeninformationen von Marriott-Gästen entwendet 3. E-Mail-Drohung: Dubiose Inkasso-Mahnungen 4. Online-Betrug: Kleinanzeigen werden zur Abzocke missbraucht

 

 

Schutzmaßnahmen—————–

5. Android: Aktualisierung des Betriebssystems empfohlen 6. Windows: Sicherheitsupdate empfohlen 7. VMWare: Schwachstelle ausnutzbar

 

 

Prisma—————–

8. Berechtigungen: Fragwürdige Apps sammeln Daten 9. Phishing: Wenn das Schloss-Symbol zur Falle wird 10. Blockchain: Kryptowährungen sicher nutzen 11. Smart Toys: Was gilt es beim Kauf zu beachten?
9. JIM-Studie 2018: Wie Jugendliche Medien nutzen

 

Liebe Leserinnen, liebe Leser,

 

die Uhr für die Weihnachtseinkäufe tickt. Damit die Päckchen pünktlich zum Fest unter dem Baum liegen, kaufen viele Menschen online ein. Oft landet dieser Tage intelligent vernetztes Spielzeug in den Warenkörben. Doch sogenannte Smart Toys sollten mit Umsicht verwendet werden – schließlich können sie mit dem Internet verbunden sein. Umsicht ist nicht nur bei der Produktwahl gefragt, sondern auch beim Shoppen selbst. Denn die konsumintensive Vorweihnachtszeit nutzen Kriminelle verstärkt zum Phishing nach persönlichen Informationen und Bezahldaten. Kryptowährungen wie Bitcoin könnten eine alternative Zahlungsmethode sein, jedoch sind sie noch nicht sehr verbreitet. Wir zeigen Ihnen, worauf Sie bei einem sicheren Einkauf im Internet achten sollten.

 

Wir wünschen Ihnen eine spannende Lektüre.

 

Ihr Bürger-CERT-Team

 

 

—————————————————-

Störenfriede

 

 

1. Emotet: Vorsicht vor gefälschten E-Mails im Namen von Bekannten

 

Das Schadprogramm Emotet gilt aktuell als eine der größten Bedrohungen durch Schadsoftware weltweit. Gehäuft treten Meldungen über kompromittierte Systeme auch in Deutschland auf. Die Schadsoftware befällt IT-Systeme in zwei Schritten. Erst schleust sie über Links zu infizierten Websites Schadcode auf den Rechner ein, der seinerseits in einem zweiten Schritt E-Mail-Kontaktbeziehungen ausliest und daraufhin im Namen von Betroffenen die Schadsoftware weiter verteilt.

 

Detaillierte Informationen zu Emotet, wie Sie sich schützen können und Hilfe für Betroffene finden Sie auf BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/emotet.html

 

 

2. Datendiebstahl: Sensible Kundeninformationen von Marriott-Gästen entwendet

 

Der Hotelkonzern Marriott wurde Opfer eines großangelegten Datendiebstahls. Laut Heise Online wurden unter anderem Pass- und Bezahldaten von bis zu 500 Millionen Kundinnen und Kunden entwendet. Wer vor dem 10. September 2018 in einem der Hotels des Konzerns reserviert hat, könnte betroffen sein. Ab 30. November hat Marriott Betroffene per Mail informiert. Mittlerweile ist die Schwachstelle behoben.

 

Mehr zum ID-Diebstahl unter BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/ID-Diebstahl/Schutzmassnahmen/id-dieb_schutz_node.html

 

Sollten Sie bereits Opfer von Identitätsdiebstahl geworden sein, bieten die Hilfe- und Schutzmaßnahmen von BSI für Bürger eine erste Orientierung im Notfall: https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/ID-Diebstahl/Hilfe/Hilfe_Betroffene_node.html

 

Zur Meldung von Heise Online: Marriott: Daten von 500 Millionen Hotelgästen abgegriffen: https://www.heise.de/security/meldung/Marriott-Daten-von-500-Millionen-Hotelgaesten-abgegriffen-4236576.html

 

 

3. E-Mail-Drohung: Dubiose Inkasso-Mahnungen

 

Mit gefälschten Inkasso-Mahnungen versuchen Kriminelle Verbraucher unter Druck zu setzen: Per E-Mail fordern sie, angeblich offene Zahlungen für ein Streaming-Portal oder Urheberrechtsverletzungen zu begleichen. So können Sie prüfen, ob ein Inkassounternehmen echt ist: Sie dürfen nur in Deutschland agieren, wenn sie registriert sind und legitime Firmen sind im Unternehmensregister sowie der Bekanntmachungsplattform für außergerichtliche Rechtsdienstleistungen gelistet.

 

BSI für Bürger rät, sich nicht einschüchtern zu lassen: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/Menschenverstand/E-Mail/E-Mail_node.html

 

Zur Meldung von Onlinewarnungen.de: Inkasso-Mails: https://www.onlinewarnungen.de/warnungsticker/ot-inkasso-e-mail-droht-mit-pfaendungstermin-nicht-zahlen/

 

 

4. Online-Betrug: Kleinanzeigen werden zur Abzocke missbraucht

 

Derzeit häufen sich Betrugsversuche auf Online-Plattformen für Kleinanzeigen, meldet Deutschland sicher im Netz: Die Betrüger eröffnen mit gefälschten Personalausweisen legitime deutsche Bankkonten. Dorthin sollen die Opfer die jeweiligen Kaufbeträge überweisen, ohne je die bezahlte Ware zu erhalten. Überprüfen Sie vor Überweisung den Verkäufer sorgfältig: Hat er positive Bewertungen erhalten? Wie lange verkauft er schon auf der Plattform?

 

Online-Shopping ist praktisch, birgt aber auch Gefahren. Welche Vorsichtsmaßnahmen vor allem auf Auktionsplattformen vor Betrug schützen, hat BSI für Bürger zusammengefasst: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/EinkaufenImInternet/OnlineShoppingbeachten/shopping_was_beachten.html#Guetesiegel

 

Zur Meldung von Deutschland sicher im Netz: Vermehrte Betrugsversuche bei Kleinanzeigen: https://www.sicher-im-netz.de/vermehrte-betrugsversuche-bei-kleinanzeigen

 

 

 

—————————————————-

Schutzmaßnahmen

 

 

5. Android: Aktualisierung des Betriebssystems empfohlen

 

Wer ein Google Android-basiertes Smartphone oder Tablet ab Version 7.0 oder höher nutzt, sollte so bald wie möglich das ab sofort verfügbare Sicherheitsupdate vornehmen, um sein Gerät vor unberechtigtem Zugriff über eine Schwachstelle zu schützen.

 

Informationen zum Download gibt das Bürger-CERT im Sicherheitshinweis: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/12/warnmeldung_tw-t18-0179.html

 

 

6. Windows: Sicherheitsupdate empfohlen

 

Nutzerinnen und Nutzer des Microsoft Windows Betriebssystems in Version 7, 8.1., RT 8.1. sowie 10 sollten verfügbare Downloads umgehend installieren. Schwachstellen lassen zu, dass Betrüger Anwenderinnen und Anwender täuschen oder Sicherheitsmechanismen umgehen.

 

Zur Bürger-CERT Warnmeldung: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0178.html

 

 

7. VMWare: Schwachstelle ausnutzbar

 

Bei der Virtualisierungssoftware VMWare können Angreifer über eine Schwachstelle beliebigen Programmcode mit den Rechten des Dienstes ausführen. Betroffen sind die Systeme VMware Player und VMWare Workstation vor Version 14.1.5 und 15.0.2. Wer diese nutzt, sollte sobald wie möglich die neusten Updates aufspielen.

 

Zur Meldung von Bürger-CERT: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0177.html

 

 

—————————————————-

Prisma

 

 

8. Berechtigungen: Fragwürdige Apps sammeln Daten

 

Die Apps von Cheetah Mobile (CM) sammeln offenbar im großen Stil Nutzerdaten und bringen Entwickler um Werbeeinnahmen. Das schreibt SZ.de. Dabei handelt es sich um legitime, gut bewertete Apps. Im Google Play Store wurden sie milliardenfach heruntergeladen, darunter der beliebte „Clean Master“. Angeblich übermittelt die App Informationen an Dritte und führt zu infizierten Download-Seiten. Außerdem überwachten installierte Apps von CM andere Downloads auf dem Gerät, um unberechtigt Entwicklerprovisionen einzustreichen.

 

Ein ungesichertes Smartphone kann für Betrüger bares Geld wert sein: Je mehr Apps Sie ungesichert nutzen, desto mehr Daten setzen Sie einem Risiko aus. Wie Sie Apps sicher einrichten und Ihre Daten schützen, erfahren Sie auf BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/EinrichtungSoftware/EinrichtungMobileApps/MobileApps_node.html

 

Zur Meldung von SZ.de: Finger weg von diesen Apps! https://www.sueddeutsche.de/digital/android-apps-cheetah-mobile-clean-master-1.4232820

 

 

9. Phishing: Wenn das Schloss-Symbol zur Falle wird

 

Wie winFuture.de warnt, sind viele Phishing-Websites mit dem Schloss-Symbol versehen und laufen über HTTPS. Trotzdem entwenden die Betreiber Daten. Das Schloss in der Adresszeile des Browsers stellt zwar ein Siegel für die Sicherheit einer Website dar. Es besagt aber nur, dass der Datenaustausch zwischen Browser und Server über HTTPS abgewickelt und mit TLS verschlüsselt ist, sodass Unbefugte nicht auf die Daten zugreifen können. Browser-Anbieter wie Google oder Mozilla planen deshalb, das Symbol abzuschaffen und stattdessen Websites, die Verbindungen unverschlüsselt über HTTP ermöglichen, automatisch als unsicher zu markieren.

 

Was es mit verschlüsselten Browserverbindungen auf sich hat und wie hoch deren Sicherheitsniveau tatsächlich ist, veranschaulicht BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/EinrichtungSoftware/EinrichtungBrowser/Sicherheitsmassnahmen/Verschluesselung/verschluesselung.html

 

Zur Meldung von winFuture.de: Schloss-Symbol steht nicht automatisch für Sicherheit: https://winfuture.de/news,106345.html

 

 

10. Blockchain: Kryptowährungen sicher nutzen

 

Kryptowährungen wie Bitcoin, Ether oder Monero werden in der Regel über QR-Codes mittels einer digitalen Geldbörse bezahlt, die auf dem Smartphone hinterlegt ist. Wer mit dem digitalen Geld einkauft, hat es mit anderen Sicherheitsregeln zu tun als üblich. Zwar basieren die Währungen auf der Blockchain-Technologie, die als besonders manipulations- und fälschungssicher gilt. Trotzdem gibt es auch beim Bezahlen mit Kryptowährungen Sicherheitsmaßnahmen zu beachten.

 

BSI für Bürger hat nun die wichtigsten Sicherheitsregeln zusammengestellt. An gleicher Stelle zeigt eine BSI-Expertin in der Videoreihe „Sicherheit – verständlich erklärt“ auf, was Kryptowährungen mit Blockchain-Technologien zu tun haben: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/kryptowaehrung_blockchain.html

 

 

11. Smart Toys: Was gilt es beim Kauf zu beachten?

 

Intelligentes und vernetzes Spielzeug mit vielfältigen Funktionen sind beliebte Geschenke zu Weihnachten. Die Möglichkeiten von Interaktion und Vernetzung des sogenannten Smart Toys sind gerade für Kinder und Jugendliche faszinierend. Wie bei allen Geräten, die mit weiteren Geräten beispielsweise über Bluetooth oder dem Internet verbunden sind, sollte die IT-Sicherheit nicht zu kurz kommen und nicht nur der Preis das entscheidende Kaufargument sein.

 

Worauf Sie beim Kauf und der Verwendung von Smart Toys achten sollten, erklärt Ihnen BSI für Bürger unter anderem in einem Video mit einem BSI-Experten sowie 5 Tipps zur Absicherung von Smart Toys: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/IoT/SmartToys/SmartToys_node.html

 

 

12. JIM-Studie 2018: Wie Jugendliche Medien nutzen

 

Die „JIM Studie 2018 – Jugend, Information und Medien“ hat das Mediennutzungsverhalten Jugendlicher in Deutschland untersucht. Streaming-Portale wie Netflix oder Amazon Prime stehen bei jungen Leuten hoch im Kurs, wenn es um Unterhaltungsformate geht. Was die Vertrauenswürdigkeit von Nachrichten anbelangt, zeichnen sie nach wie vor in erster Linie Angebote der öffentlich-rechtlichen Medien mit den besten Noten aus.

 

Diese sowie weitere Ergebnisse der Studie können Sie auf der Webpräsenz des Medienpädagogischen Forschungsverbundes Südwest nachlesen und dort die Studie herunterladen: https://www.mpfs.de/studien/jim-studie/2018/

 

Tipps für Eltern und Lehrende zur Nutzung neuer Medien von Kindern und Jugendliche auf den Seiten von BSI für Bürger gibt es hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/Kinderschutz/kinderschutz_node.html

____________________________________________________________________________________________________

Über den folgenden Link können Sie den Newsletter wieder abbestellen.

https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html

Besuchen Sie uns auch auf:

https://www.bsi-fuer-buerger.de

https://www.facebook.com/bsi.fuer.buerger

https://www.twitter.com/BSI_Presse

 

 

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn

SICHER • INFORMIERT vom 22.11.2018

Ausgabe: 24/2018

Inhalt

 

Störenfriede—————–

1. Leak: Nutzerpasswörter bei Instagram im Klartext einsehbar 2. Phishing: Neue Methoden setzen auf Betrug per Telefon 3. Banking-Trojaner: Weiterentwickelte Variante von Trickbot im Umlauf

 

 

Schutzmaßnahmen—————–

4. Adobe: Sicherheitslücken in Photoshop und Flash Player 5. Microsoft: Patches für mehrere Programme stehen bereit 6. Google Chrome: Browser angreifbar 7. VMWare: Schwachstellen entdeckt

 

 

Prisma—————–

8. BSI-Studie „SiSyPHuS“: Analyse der sicherheitskritischen Funktionen in Windows 10 9. Log-in: Mehr Sicherheit durch Zwei-Faktor-Authentisierung 10. Smart Home: Richtlinie für mehr Router-Sicherheit 11. Digitale Seite: BSI stellt sich auf Jobmesse „bonding“ vor

 

Liebe Leserinnen, liebe Leser,

 

die Vorweihnachtszeit ist die Zeit der Besinnlichkeit und Einkaufslust. Im Internet locken Händler mit Rabatten, wie der Cyber-Monday-Woche, die aktuell und noch bis zum kommenden Montag, den 26. November stattfindet. Die Zahlmethode per hinterlegter Konto- oder Kreditkartendaten bietet Cyber-Kriminellen potenzielle Einfallstore. Zusätzlichen Schutz bietet Bürgerinnen und Bürger beispielsweise die Zwei-Faktor-Authentisierung beim Log-In oder Bezahlvorgang, die viele Online-Shops – meist versteckt – zusätzlich anbieten. Um online trotzdem beruhigt einkaufen zu können, zeigen wir in diesem Newsletter, worauf Sie gerade im Bereich Online-Shopping achten und wie Sie sich gegen Cyber-Kriminelle wappnen sollten.

 

Wir wünschen Ihnen eine spannende Lektüre.

 

Ihr Bürger-CERT-Team

 

 

—————————————————-

Störenfriede

 

 

1. Leak: Nutzerpasswörter bei Instagram im Klartext einsehbar

 

Auf Instagram ist es zu einer Datenpanne gekommen, wie Heise Online berichtet. Die Social-Media-Plattform ermöglicht es seinen Mitgliedern zwar, ihre Daten auf DSGVO-Konformität hin zu prüfen, doch während der Anmeldung beim betreffenden Tool „Download your data“ sei das Nutzerpasswort im Klartext in der Browser-URL zu sehen gewesen und ist demnach in dieser Form auch auf den Unternehmensservern gespeichert worden. Für Fremde war das Passwort offenbar nicht einsehbar; die Sicherheitslücke ist mittlerweile geschlossen. Betroffen waren laut Instagram nur wenige Nutzerinnen und Nutzer, die auch umgehend informiert worden seien. Um jedes Risiko auszuschließen, wird Instagram-Nutzern dazu geraten, ein neues Passwort zu vergeben.

 

Ein gut gewähltes, regelmäßig aktualisiertes Passwort ist grundlegend für die sichere Nutzung jeglicher Login-basierter Anwendungen im Netz. Was Bürgerinnen und Bürger bei der Wahl des Passwortes beachten sollten, hat BSI für Bürger hier zusammengestellt: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/Passwoerter/passwoerter_node.html

 

Zur Meldung von Heise Online: Instagram: DSGVO-Tool verrät Nutzerpasswörter im Klartext: https://www.heise.de/security/meldung/Instagram-DSGVO-Tool-verraet-Nutzerpasswoerter-im-Klartext-4224308.html

 

 

2. Phishing: Neue Methoden setzen auf Betrug per Telefon

 

Zwischen Juli und September dieses Jahres machte Phishing die Hälfte aller registrierten Angriffsversuche aus. Das sind 70 Prozent mehr als noch im zweiten Quartal 2017. Das meldet ZDNet und beruft sich dabei auf einen aktuellen Bericht der Sicherheitsfirma RSA. Vermutlich handelt es sich dabei um eine Art Vorarbeit der Betrüger, um mit den so erbeuteten Daten insbesondere an den Shopping-Tagen Black Friday und Cyber Monday unter falschem Namen einzukaufen. Zusätzlich feilen die Kriminellen bereits an neuen Phishing-Methoden. Mit sogenanntem Vishing oder Voice Phishing versuchen sie per Telefon, zum Teil auch über automatisierte Sprachansagen, Informationen und Daten zu erbeuten. Zudem verleiten die Betrüger ihre Opfer mit „SEO-Poisoning“ und irreführenden Informationen dazu, selbst zum Hörer zu greifen. Beispielsweise verteilen sie auf tadellosen Webseiten, Online-Supportforen und Social Media falsche Telefonnummern.

 

Wie die Betrüger bei Phishing vorgehen und wie Sie sich schützen können, lesen Sie bei BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/SpamPhishingCo/Phishing/phishing_node.html#doc6596368bodyText3

 

Zur Meldung von ZDNet: RSA: Black Friday und Cyber Monday lösen Phishing-Welle aus: https://www.zdnet.de/88347311/rsa-black-friday-und-cyber-monday-loesen-phishing-welle-aus/

 

 

3. Banking-Trojaner: Weiterentwickelte Variante von Trickbot im Umlauf

 

Der seit einigen Jahren bekannte Malware Trickbot wurde offenbar weiterentwickelt. Ursprünglich war er ein reiner Banking-Trojaner. Nun greift die Schadsoftware neben Bankdaten auch Passwörter, Cookies, Browser-Historien und sogar Autofill-Informationen ab, berichtet com!professional. Die Kriminellen verbreiten Trickbot in der Regel per E-Mail. Will das Opfer die Excel-Datei im Anhang öffnen, erhält es eine Benachrichtigung, dass vor dem Download entsprechende Berechtigungen erteilt werden müssten. Im nächsten Schritt installiert die Malware ein weiteres Modul, mit dem die Kriminellen Passwörter, Anmeldedaten und weitere Informationen aus den Programmen Microsoft Outlook, Filezilla, WinSCP, Google Chrome, Mozilla Firefox, Internet Explorer und Microsoft Edge stehlen und ihre Malware stetig aktualisieren können.

 

Wie Schadprogramme funktionieren und warum man als Nutzerin oder Nutzer gerade Download-Dateien stets kritisch prüfen sollte, beschreibt BSI für Bürger hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/Schadprogramme/schadprogramme.html

 

Zur Meldung von com!professional: Banking-Trojaner Trickbot ist noch gefährlicher geworden: https://www.com-magazin.de/news/trojaner/banking-trojaner-trickbot-gefaehrlicher-1621050.html

 

 

—————————————————-

Schutzmaßnahmen

 

 

4. Adobe: Sicherheitslücken in Photoshop und Flash Player

 

Bei Adobe Flash Player wurde eine Schwachstelle geschlossen, die es ermöglicht, Informationen offenzulegen. Betroffen sind folgende Systeme: Adobe Flash Player, Adobe Flash Player for Chrome Users sowie Adobe Flash Player for Linux, die älter als Version 31.0.0.148 sind.

 

Auch bei Adobes Bildbearbeitungsprogramm Photoshop sollten Nutzerinnen und Nutzer Sicherheitsupdates umgehend durchführen. Andernfalls könnten Informationen offengelegt werden. Betroffen sind die Versionen Adobe Photoshop kleiner 19.1.7 sowie Adobe Photoshop kleiner 20.0.

 

Eine weitere Schwachstelle erlaubt das Ausführen von beliebigem Programmcode mit Benutzerrechten. Aufgrund der Kritikalität der Schwachstelle bietet Adobe hierfür außerplanmäßige Updates an. Bürger-CERT empfiehlt die zeitnahe Installation der vom Hersteller bereitgestellten Sicherheitsupdates, um die Schwachstellen zu schließen.

 

Lesen Sie die Warnmeldungen hier:

 

Adobe Flash Player: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0172.html

 

Adobe Photoshop: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0174.html

 

Adobe Flash Player: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0176.html

 

 

5. Microsoft: Patches für mehrere Programme stehen bereit

 

Microsoft hat zu seinem monatlichen Patch-Tuesday Sicherheitslücken in verschiedenen Systemen geschlossen. So stellt Microsoft für sein Betriebssystem Windows verschiedene Sicherheitsupdates bereit. Sie verhindern unter anderem, dass Kriminelle Cross-Site-Scripting-Angriffe durchführen, vertrauliche Daten einsehen oder ihre Privilegien erweitern können. Betroffen sind folgende Versionen: Microsoft Windows 10, Microsoft Windows 7 SP1, Microsoft Windows 8.1, Microsoft Windows RT 8.1, Microsoft Windows Server 2008 R2 for Itanium-based Systems Service Pack 1 SP2 sowie Microsoft Windows Server 2008 R2 Service Pack 1 SP2.

 

Zudem weisen Microsofts Office-Produkte Excel, Outlook sowie Word Sicherheitslücken auf. Verzichten Nutzerinnen und Nutzer auf die verfügbaren Updates, ermöglichen sie Angreifern beispielsweise, vertrauliche Daten einzusehen oder Schadcode zur Ausführung zu bringen. Der Internet Explorer ist wieder sicherer mit den Updates für die Versionen 9, 10 und 11, die größere Sicherheitslecks schließen. Für Microsoft Edge und ChakraCore liegen ebenfalls aktuelle Updates vor.

 

Alle Microsoft-Warnmeldungen finden Bürgerinnen und Bürger auf diesen Seiten:

 

Windows: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0171.html

 

Office: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0168.html

 

Internet Explorer: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0169.html

 

Edge/ChakraCore: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0170.html

 

 

6. Google Chrome: Browser angreifbar

 

Nutzerinnen und Nutzer, die mit Google Chrome vor Version 70.0.3538.110 surfen, sollten die jetzt verfügbaren Updates aufspielen. Andernfalls lassen sie Internet-Betrügern die Chance, nicht näher spezifizierte Angriffe auszuführen.

 

Die gesamte Meldung ist auf der Webpräsenz von Bürger-CERT nachzulesen: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0175.html

 

 

7. VMWare: Schwachstellen entdeckt

 

Bei der Virtualisierungssoftware VMWare gilt es, mehrere Lücken zu schließen. Betroffen sind die Versionen VMware ESXi 6.0, 6.5 und 6.7 sowie VMware Workstation 14.x und VMware Workstation 15.x. Wer nicht patcht, riskiert, dass Angreifer beliebigen Programmcode ausführen oder Informationen offenlegen.

 

Zur Meldung geht es hier: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0166.html

 

 

—————————————————-

Prisma

 

 

8. BSI-Studie „SiSyPHuS“: Analyse der sicherheitskritischen Funktionen in Windows 10

 

Windows ist eines der meist genutzten Betriebssysteme – im geschäftlichen wie privaten Umfeld. Ein aktuelles Projekt des BSI widmet sich daher umfassenden Sicherheitsanalysen der sicherheitskritischen Funktionen in Windows 10. Der nun veröffentlichte erste Teil der Untersuchung analysiert die umfangreiche Sammlung von Nutzerdaten. Darauf aufbauend werden Empfehlungen entwickelt, wie das System von technisch affinen Nutzern möglichst sicher und die Privatsphäre der privaten wie geschäftlichen Nutzer schützend eingesetzt werden kann, bzw. welche Rahmenbedingungen hierfür erfüllt sein müssen.

 

Weitere Informationen zum Projekt SiSyPHuS Win 10 (Studie zu Systemintegrität, Protokollierung, Härtung und Sicherheitsfunktionen in Windows 10) des BSI können Interessierte auf der Webseite des BSI einsehen: https://www.bsi.bund.de/DE/Themen/Cyber-Sicherheit/Empfehlungen/SiSyPHuS_Win10/SiSyPHuS_node.html

 

 

9. Log-in: Mehr Sicherheit durch Zwei-Faktor-Authentisierung

 

Ende November locken viele Online-Händler mit Rabattaktionen, wie am „Cyber Monday“. Bezahlt wird meist mit wenigen Klicks über bereits hinterlegte Konto- oder Kreditkartendaten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine aktuelle Spam-Welle mit Bezug zu den Aktionstagen registriert und weist daher auf die Bedeutung der Zwei-Faktor-Authentisierung hin, die zusätzlichen Schutz bieten kann. Hier geben Nutzerinnen und Nutzer nicht nur ein Passwort ein, sondern authentisieren sich noch über einen zweiten Faktor, beispielsweise mit einem Fingerabdruck oder die Eingabe einer über ein zweites Endgerät übertragenen PIN.

 

Was genau hinter diesem Login-Verfahren steckt und wie Bürgerinnen und Bürger sie für das Online-Banking nutzen können, hat BSI für Bürger zusammengefasst: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/OnlineBanking/Zwei_Faktor_Authentisierung/Zwei-Faktor-Authentisierung_node.html

 

Weitere Infos zum Thema Zwei-Faktor-Authentisierung in der Podcast-Reihe „Ins Internet – mit Sicherheit“ https://www.bsi.bund.de/SharedDocs/Audio/DE/BSIfB/2FA-zwei-faktor-authentisierung.html und der Video-Reihe „IT-Sicherheit verständlich erklärt“: https://www.bsi.bund.de/SharedDocs/Videos/DE/BSIFB/2FA-zwei-faktor-authentisierung.html

 

 

10. Smart Home: Richtlinie für mehr Router-Sicherheit

 

Das vernetzte Zuhause, auch Smart Home genannt, verschafft seinen Bewohnern zahlreiche Vorteile. Von automatischen Lichtanlagen über Alarmsysteme bis hin zu aus der Ferne steuerbaren Elektrogeräten gestalten sie den Alltag bequemer. Das Herzstück des smarten Zuhauses ist der Router. Hier laufen alle Informationen und Daten zusammen, die im Netzwerk oder über das Internet ausgetauscht werden. Wer Zugriff auf den Router hat, der hat oftmals auch Zugriff auf die privaten Daten. Um Unberechtigten den Zutritt zu verwehren, muss er gesichert werden. Nun hat das BSI die Technische Richtlinie „Secure Broadband Router“ (TR-03148) veröffentlicht. Sie richtet sich vor allem an die Hersteller von Breitband-Routern und definiert ein Mindestmaß an IT-Sicherheitsmaßnahmen, die für Router im Endkundenbereich umgesetzt sein sollten. Die Richtlinie stellt auch einen Schritt in Richtung eines IT-Sicherheitskennzeichens dar. Verbraucherinnen und Verbraucher sollen mit ihr die Möglichkeit erhalten, sich ein besseres Bild der Sicherheitseigenschaften der Geräte zu verschaffen.

 

Die gesamte Pressemitteilung können Sie hier nachlesen: https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2018/TR-Router_16112018.html

 

An einigen Stellen wurde Kritik an dieser Technischen Richtlinie geäußert, wozu das BSI Stellung bezogen hat. Die Stellungnahme finden Sie hier: https://www.bsi.bund.de/DE/Presse/Kurzmeldungen/Meldungen/Reaktion_Router_21112018.html

 

 

11. Digitale Seite: BSI stellt sich auf Jobmesse „bonding“ vor

 

Besucherinnen und Besucher der Firmenkontaktmesse „bonding“ können sich vor Ort über das BSI als Arbeitgeber informieren. Die Messe findet vom 3. bis 5. Dezember 2018 in Aachen statt. Ein Team des BSI ist am Montag, den 3. Dezember am Stand D14 vertreten. Insgesamt 402 Firmen stellen auf der studentischen Firmenkontaktmesse aus. Abgesehen von dem Messeauftritt engagiert sich das BSI auf vielfältige Weise in der studentischen Nachwuchsförderung, etwa um IT-Nachwuchs im gehobenen Dienst zu fördern. So unterstützt es mit einem speziellen Förderprogramm für IT-Talente Bachelor-Studierende mit einer Beihilfe und garantiert ihnen im Anschluss an ihr Studium eine Festanstellung. Die Bewerbungsfrist für dieses Programm endet am 3. Dezember 2018.

 

Weitere Informationen zur bonding und dem Messestand des BSI vor Ort gibt es hier: https://aachen.firmenkontaktmesse.de/aussteller/

 

Details zur Studienförderungen für IT-Talente bieten die Karriereseiten des BSI: https://www.bsi.bund.de/DE/DasBSI/Jobs/Studierende/Studienfoerderung/studienfoerderung_node.html

____________________________________________________________________________________________________

Über den folgenden Link können Sie den Newsletter wieder abbestellen.

https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html

Besuchen Sie uns auch auf:

https://www.bsi-fuer-buerger.de

https://www.facebook.com/bsi.fuer.buerger

https://www.twitter.com/BSI_Presse

 

 

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn