Helau, Alaaf und Rumskedi!
Ob Karneval, Fasching oder Fassenacht: Spätestens morgen erreicht mit Weiberfastnacht im Rheinland
und anderen deutschen Karnevalshochburgen die fünfte Jahreszeit ihren verdienten Höhepunkt. In
dieser Zeit bevölkern auffällig viele PiratInnen, Tiere und Märchenfiguren Deutschlands Straßen –
das waren laut Statista 2019 die beliebtesten Verkleidungen. Wir sind für mehr Vielfalt – auch im
Karneval. Falls Sie also noch nicht wissen, welches Kostüm es dieses Jahr werden soll: Wie wäre es
zur Abwechslung mit Computervirus, Firewall oder Phishing-Mail?
Wo immer Sie ab morgen unterwegs sind: Passen Sie auf sich und Ihre Geräte auf, denn nicht alle
Jecken führen hinter ihren lustigen Masken ausschließlich Gutes im Schilde. Insbesondere
Taschendiebe nutzen die ausgelassene Stimmung nur allzu gern aus. Als erfahrene(r) LeserIn unseres
Newsletters wissen Sie bereits, was Sie tun sollten: Machen Sie es Dieben so schwer wie möglich,
auf Ihre Geräte und Daten zuzugreifen – durch eine gesunde Portion Skepsis, aktivierte
Sicherheitsfunktionen an Ihrem Smartphone und gute Passwörter für Ihre Online-Konten. Das schützt
Sie zwar nicht vor einem Diebstahl, begrenzt aber den Schaden im Fall der Fälle. Weitere nützliche
Sicherheitstipps hält – wie gewohnt – dieser Newsletter für Sie parat.
Viel Spaß beim Lesen und eine narrensichere Woche wünscht Ihnen
Jan Lammertz / Team BSI-für-Bürger
P.S.: Rumskedi, wer kennt es nicht, rufen sich übrigens die Närrinnen und Narren in Beckum zu,
einer Karnevalshochburg in Westfalen!
Inhalt
In den Schlagzeilen-----------------
1. Wenn Hacker sich bei Twitter als Facebook verkleiden
2. Schnelle Eingreiftruppe für Cyberangriffe?
3. Klarna = Klarname?
Bleiben Sie up-to-date-----------------
4. Sicherheitslücken in Adobe-Programmen, Mozilla Firefox und Thunderbird
5. WhatsApp macht Probleme
6. Dell warnt vor Dell
7. Post von der Telekom
8. Bei Bluetooth wird Android schwach
Gut zu wissen-----------------
9. S1E2: Cyber-Sicherheit2
10. Emotet hat Deutschland im Griff
11. Chrome blockiert demnächst unsichere Downloads
Kurz erklärt-----------------
12. Neue Optionen für den E-Perso
Zahl der Woche-----------------
13. 700
----------------------------------------------------
In den Schlagzeilen
1. Wenn Hacker sich bei Twitter als Facebook verkleiden
Die Hacker der OurMine Security Group haben jüngst diverse Social-Media-Auftritte von Clubs der National Football League (NFL) bei Facebook, Instagram und Twitter gekapert. Betroffen waren unter anderem die Chicago Bears, Denver Broncos, New York Giants und Green Bay Packers. Zuletzt haben die Hacker sogar den Twitter-Zugang von Facebook gehackt. Von Schäden wird nichts berichtet; allerdings hinterließen OurMine Nachrichten wie „Wir sind hier, um den Leuten zu zeigen, dass alles gehackt werden kann.“ auf den betroffenen Accounts – wohl als Werbung für die eigene Arbeit. Unbekannt ist zudem, wie die Gruppe Zugriff auf die Konten erlangen konnten.
10 Tipps des BSI für Bürger zum sicheren Umgang mit Social Media: (Hyperlink aufrufen)
ZDNet über den Hackerangriff von OurMine: (Hyperlink aufrufen)
2. Schnelle Eingreiftruppe für Cyberangriffe?
An dieser Stelle berichten wir regelmäßig über Angriffe auf öffentliche Institutionen – Stadtverwaltungen, Behörden oder Hochschulen zum Beispiel. Was hier am Ende vor allem ärgerlich ist, könnte bei den sogenannten Kritischen Infrastrukturen (KRITIS) gefährliche Folgen haben, etwa bei Unternehmen, die uns mit Strom, Trinkwasser, Lebensmitteln oder Medikamenten versorgen. Die AG KRITIS, ein Zusammenschluss unabhängiger IT-SicherheitsexpertInnen, fordert nun die Gründung eines „Cyber-Hilfswerks“ (CHW). Es soll so ähnlich wie das Technische Hilfswerk (THW) als schnelle Einsatztruppe ausrücken bzw. eingreifen, um die Situation bei Cyber-Angriffen unter Kontrolle zu bringen. Nach Vorstellung der ExpertInnen soll das CHW eine „staatliche Truppe“ sein, die ausschließlich im behördlichen Auftrag arbeitet.
Für Bundesbehörden gibt es im BSI das CERT-Bund, das Computer Emergency Response Team (CERT), das präventiv aktiv wird, aber auch gemeinsam mit dem IT-Lage- und Analysezentrum einen 24-Stunden-Bereitschaftsdienst anbietet und bei IT-Sicherheitsvorfällen unterstützt. Für Privatpersonen stellt das Bürger-CERT umfangreiche Informationen über einen eigenen Warn- und Informationsdienst bereit, den Sie vor allem aus unserer Rubrik „Bleiben Sie up-to-date“ kennen.
Informationen des BSI über Kritische Infrastrukturen (KRITIS): (Hyperlink aufrufen)
Informationen zum CERT-Bund: (Hyperlink aufrufen)
Heise Online über den Vorschlag für ein CHW: (Hyperlink aufrufen)
3. Klarna = Klarname?
Der schwedische Zahlungsanbieter Klarna will das Bezahlen im Internet einfacher machen. Offenbar gilt das aber auch für Hacker: Wie Der Spiegel meldet, konnten Dritte über das Autovervollständigen von Bestellformularen auf Telefonnummern von KundInnen zugreifen. Auf vielen Seiten, so das Nachrichtenmagazin, reiche schon die Eingabe von Postleitzahl und E-Mail-Adresse, damit sich das Bestellformular von allein mit weiteren Daten füllt, darunter die Anschrift, oder – allerdings in verschleierter Form – auch Geburtsdatum und Telefonnummer. Eigenen Angaben zufolge hat Klarna diese Funktion bei betroffenen Webseiten inzwischen deaktiviert.
BSI für Bürger über sicheres Einkaufen im Internet: (Hyperlink aufrufen)
Der Spiegel über die Klarnamen bei Klarna: (Hyperlink aufrufen)
----------------------------------------------------
Bleiben Sie up-to-date
4. Sicherheitslücken in Adobe-Programmen, Mozilla Firefox und Thunderbird
Unser Bürger-CERT informiert regelmäßig über Schwachstellen in Hard- und Software. Aktuell sind unter anderem diese Vorfälle bekannt: Schwachstellen im Adobe Flash Player ( 32.0.0.330), Adobe Acrobat ( 2015.006.30510; 2017.011.30158) und Reader ( 2015.006.30510; 2017.011.30158; DC 2020.006.2003) sowie Adobe Digital Editions ( 4.5.11) ermöglichen das Ausführen von Schadcode. Zudem gibt es auch Schwachstellen bei den Webbrowsern Mozilla Firefox ( 73; ESR 68.5) und Thunderbird ( 68.5).
Weitere aktuelle Warnmeldungen des Bürger-CERT: (Hyperlink aufrufen)
5. WhatsApp macht Probleme
Eine schwerwiegende Sicherheitslücke hat ein Sicherheitsforscher in der Desktop-App von WhatsApp gefunden, meldet t3n. AngreiferInnen können mithilfe einer manipulierten Nachricht auf das Dateisystem des Opfers zugreifen. Betroffen sind NutzerInnen, die den Desktop-Client von WhatsApp für Mac und Windows in der Version 0.3.9309 oder niedriger einsetzen. Die Lücke lässt sich über ein Update schließen
Link zum WhatsApp-Update: (Hyperlink aufrufen)
t3n über die WhatsApp-Lücke: (Hyperlink aufrufen).
6. Dell warnt vor Dell
Der Computerhersteller warnt vor einem eigenen Programm, dem Dell Support Assist, das eigentlich notwendige und passende Treiber installieren und aktuell halten soll. Allerdings wurde in der Software eine Schwachstelle entdeckt, die AngreiferInnen aus der Ferne ausnutzen können, um etwa Schadcode auf dem Rechner auszuführen, meldet t3n. Dell rät betroffenen KundInnen, so schnell wie möglich auf eine sichere Software-Version zu aktualisieren.
t3n-Meldung zu Dell: (Hyperlink aufrufen)
7. Post von der Telekom
Oft tarnen sich Cyberkriminelle als Anbieter populärer Online-Dienste, um über Phishing-Mails Schadsoftware oder Trojaner auf fremde Rechner zu bringen. Wenn Sie in diesen Tagen Post von der Telekom bekommen, sollten Sie diese E-Mail gründlich lesen: „Ihre Daten wurden gestohlen und sind im Internet einsehbar“, lautet der Betreff dieser E-Mail. Darin werden KundInnen aufgefordert, ihr Passwort im Kundencenter zu ändern, heißt es in einem Bericht von t-online. Die Telekom rät dazu, keinen Link in dieser E-Mail anzuklicken, sondern stattdessen direkt über den Browser das Kundencenter aufzurufen und dort ein neues Passwort zu hinterlegen. Eine Passwortänderung wird auch für alle Plattformen empfohlen, auf denen die KundInnen mit einer Telekom-Adresse angemeldet sind.
Meldung bei t-online: (Hyperlink aufrufen)
8. Bei Bluetooth wird Android schwach
NutzerInnen von Smartphones mit den Android-Versionen 8 bis 9 könnten via Bluetooth Opfer von Cyberangriffen werden. AngreiferInnen können theoretisch drahtlos und ohne Wissen der Opfer Code auf dem Smartphone ausführen, meldet t3n und beruft sich auf das Heidelberger IT-Sicherheitsunternehmen ERNW. Bei Geräten mit Android 10 ist ein solcher Angriff zwar nicht möglich, allerdings könnte die Sicherheitslücke die Bluetooth-Software zum Absturz bringen. Inzwischen hat Google die Schwachstelle gepatcht. NutzerInnen wird dringend empfohlen, den neuesten verfügbaren Sicherheitspatch zu installieren, rät ERNW.
In einer Broschüre informiert das BSI über drahtlose Kommunikationssysteme und ihre Sicherheitsaspekte: (Hyperlink aufrufen)
t3n über die Sicherheitslücke bei Bluetooth auf Android: (Hyperlink aufrufen)
----------------------------------------------------
Gut zu wissen
9. S1E2: Cyber-Sicherheit2
Wir haben die zweite Episode der ersten Staffel („S1E2“) unserer Videoreihe veröffentlicht: „Wie schütze ich mein Smartphone richtig?“. Darin besprechen Peter Drescher vom BSI und Oliver Müller von der Verbraucherzentrale NRW, wie ein Smartphone sicher verwendet werden kann. In der ersten Episode der Reihe geben die beiden Experten Tipps für den Fall des Verlusts eines Smartphones.
Zum zweiten Teil der Reihe Cyber-Sicherheit² geht es hier entlang: (Hyperlink aufrufen)
10. Emotet hat Deutschland im Griff
Nicht nur die Maßnahmen und Angebote des BSI zum Schutz der BürgerInnen werden immer besser; auch Cyberkriminelle sind nicht untätig und arbeiten offenbar intensiv daran, ihre Schadprogramme weiterzuentwickeln. Zuletzt wurden unter anderem das Kammergericht Berlin, die Universität Gießen, das Klinikum Fürth sowie die Städte Frankfurt und Bad Homburg Opfer von Emotet, einem der gefährlichsten Schadprogramme überhaupt. Emotet tarne sich immer besser und lade zudem immer neuere und gefährlichere Software auf infizierte Rechner, zitiert Security Insider das Unternehmen Bromium, ein Anbieter für Endpoint-Security-Lösungen. Um Infektionen zu vermeiden, sei bei allen E-Mails mit Links oder Anhängen Vorsicht geboten. So sollten NutzerInnen keine Makros oder andere aktive Inhalte innerhalb eines Dokuments aktivieren – zumindest solange, bis sie sich beim Absender rückversichert haben, dass es sich um harmlose Inhalte handelt.
Aktuelle Informationen zu Emotet finden Sie bei BSI für Bürger: (Hyperlink aufrufen)
Security Insider über Emotet: (Hyperlink aufrufen)
11. Chrome blockiert demnächst unsichere Downloads
Der Google-Webbrowser Chrome blockiert künftig unsichere Downloads, meldet Heise Online. Das gelte aber erst mit der Version 86, die im Herbst erscheinen soll. Downloads von einer HTTPS-Seite („Hypertext Transfer Protocol Secure)“ werden von allen neuen Versionen an nur noch dann zugelassen, wenn sie verschlüsselt sind. Google will dadurch vor Hackern und Phishing-Attacken schützen. Auf nicht speziell geschützten HTTP-Seiten ändert sich erst einmal nichts, so dass NutzerInnen auf Downloads von solchen Seiten ganz verzichten sollten.
BSI für Bürger rät zur Vorsicht beim Download von Software aus dem Internet: (Hyperlink aufrufen)
Heise Online über sichere Downloads bei Chrome: (Hyperlink aufrufen)
----------------------------------------------------
Kurz erklärt
12. Neue Optionen für den E-Perso
Bereits seit 2010 gibt es den elektronischen Personalausweis. Allerdings ließen sinnvolle Nutzungsszenarien für die sogenannte eID lange auf sich warten – auch weil nur wenige Menschen sich für 30 Euro einen zusätzlich nötigen Kartenleser anschaffen wollten. Da man aber statt des Lesegeräts inzwischen auch sein Smartphone einsetzen kann, sei der elektronische Personalausweis „endlich bequem nutzbar“, schreibt das Computermagazin ct. Über die für den Bund entwickelte „AusweisApp2“ können zum Beispiel komfortabel und einfach Adressdaten an Webseiten übermittelt werden. Zudem findet sich in der App eine Liste von Behörden und Unternehmen, bei denen man sich online mit dem Ausweis identifizieren kann, darunter zum Beispiel die Rentenversicherung oder das Finanzamt („Elster Online“).
Das BSI über die eID-Infrastruktur: (Hyperlink aufrufen)
Website von AusweisApp2: (Hyperlink aufrufen)
c‘t über neue Möglichkeiten des e-Persos: (Hyperlink aufrufen)
----------------------------------------------------
Zahl der Woche
13. 700
Von den 2.800 Stellen für IT-SicherheitsexpertInnen in Bundesministerien ist nach ZDF-Informationen jede vierte unbesetzt – insgesamt 700 Stück. Davon ist auch das BSI betroffen, das formal dem Bundesministerium des Innern, für Bau und Heimat unterstellt ist. „Hier ist sogar jede dritte Stelle offen“, meldet das ZDF. In diesem Sinne: Wir suchen neue KollegInnen! Mehr Informationen zum Arbeiten beim BSI und die offenen Stellen finden Sie hier: (Hyperlink aufrufen).
ZDF über unbesetzte Stellen für IT-Sicherheit: (Hyperlink aufrufen)
SERVICE-LINE: 02429 909-904 (Mobilfunk: 0151 56657347)
Stichworte (Tags): IT-Nachrichten GD-System.de, Windows Updates, Sicherheitslücken, Patches, IT-Service Hürtgenwald GD-System.de, PC-Hilfe Düren GD-System.de, Computernotdienst RurEifel GD-System.de
