[datensicherheit.de, 25.03.2024] Zu Abwehrmaßnahmen gegen sogenannte Hacktivisten nimmt Thomas Boele, „Regional Director Sales Engineering, CER / DACH“ bei Check Point Software Technologies, Stellung: „Aktuell lässt sich eine Zunahme des Hacktivismus, d.h. von Hacking-Angriffen im Namen von Ideologien und politischen Zielen feststellen.“ Diese wollen demnach Aufmerksamkeit erregen und Symbole, Personen und Institutionen stören. Boele warnt: „Die Websites und verbundenen bürgernahen Services staatlicher Einrichtungen bieten eine großzügige Angriffsfläche.“ Die meisten dieser Aktivitäten gehen aktuell demnach von den Gruppen „NoName057(16)“ und „Anonymous Sudan“ aus, denen Zehntausende auf „Telegram“ folgten. Mit jedem angeblich erfolgreichen Angriff nehme die Zahl weiter zu. Er berichtet: „In den letzten Wochen und Monaten kam es häufig zu Angriffen mit dem Ziel, das Vertrauen in die jeweiligen Regierungen zu untergraben. Neben staatlichen Organisationen werden jedoch auch Unternehmen ins Visier genommen, darunter Banken oder populäre Services wie ,ChatGPT’. Ähnliche Angriffe erleben wir fast jeden Tag auf der ganzen Welt.“

Hacktivisten zeigen ihre Macht – sie stiften Chaos, schüchtern ein und richten Schaden an

„Hacktivistische“ Gruppen wollten Chaos stiften, einschüchtern und ihre Macht demonstrieren – und auch Schaden anrichten. „Wenn eine Website nicht funktioniert, ist das ein Problem, die Anwender können nicht auf Informationen und Dienste zugreifen, die Kosten steigen und die Auswirkungen auf den Ruf der Organisation sind ebenfalls schwerwiegend. Aber in erster Linie geht es den Angreifern einfach um die Aufmerksamkeit der Medien. Ein DDoS-Angriff ist oft erfolgreich, sei es für Minuten oder Stunden, wenn er ausreichend unterstützt wird und das ist genau das, worauf diese Hacker-Gruppen aus sind“, so Boele.

Letztlich gebe es gefährlichere Angriffsformen, welche aber viel Zeit und Vorbereitung erforderten und auch teurer seien. Der DDoS-Angriff selbst diene nicht dem Datendiebstahl oder anderen Spionagetätigkeiten, sondern überlaste nur ausgewählte Dienste oder Websites. Gleichzeitig könne er aber auch ein Täuschungsmanöver sein, um von anderen, weitaus schwerwiegenderen Angriffen abzulenken.

Hacktivisten greifen über das Darknet auf Botnetze zurück

Hacktivisten-Gruppen griffen über einschlägig bekannte Dienste im Darknet auf – aus Millionen von Computern und anderen Geräten bestehenden – Botnetze zurück. Darüber hinaus hätten Gruppen wie „NoName057(16)“ auf ihren „Telegram“-Konten über bevorstehende Angriffe gepostet und Fans ermutigt, sich den Angriffen anzuschließen und sich ebenfalls an den Operationen zu beteiligen. „NoName057(16)“ habe sogar ein DDoS-Angriffs-Baukasten namens „DDoSia“ initiiert, welcher die an Angriffen Interessierten zusammenbringe und die aktivsten Mitwirkenden mit lukrativen finanziellen Prämien belohne.

Die Zunahme der Angriffe hänge auch mit dem Phänomen der Cyber-Kriminalität als Dienstleistung zusammen. Die größten Hacktivisten-Gruppen vermieteten ihre Botnetze. „,Anonymous Sudan’ beispielsweise rühmt sich, dass das ,InfraShutdown’-Botnetz in der Lage ist, die Dienste großer multinationaler Unternehmen lahm zu legen“, erläutert Boele. Außerdem gebe es traditionelle Marketingaktionen, Rabatte und VIP-Dienste: „Kürzlich gab es beispielsweise eine Sonderaktion für 500 US-Dollar pro Stunde und die Möglichkeit, das ,InfraShutdown’-Botnet für Angriffe auf Internetanbieter zu nutzen. Ein anderes Botnet, ,Godzilla’, kann wiederum für eine Woche für 500 US-Dollar oder einen Monat für 2.500 US-Dollar gemietet werden.“

Ähnliche Angriffe mit der Macht großer Gruppen könnten mithin leider auch von Amateuren ohne technische Kenntnisse durchgeführt werden. Boele unterstreicht die Bedrohungslage: „In ähnlicher Weise kann praktisch jede andere Bedrohung und Art von Angriff gekauft werden. Und Cyber-Kriminelle können dann ihre anderen Aktivitäten finanzieren, einschließlich Hacktivisten-Angriffe.“ Es gebe defacto keine Möglichkeit, eine Hacktivisten-Gruppe daran zu hindern, mit Hilfe eines Botnetzes und einer Schar von Anhängern ihre ganze Kraft auf ein bestimmtes Ziel zu richten.

Unternehmen und Behörden müssen sich der Hacktivisten-Bedrohung bewusst sein und präventiv handeln

Boele betont abschließend: „Ganz gleich ob Unternehmen oder Behörde, es ist wichtig, dass sich die zuständigen IT-Sicherheitsverantwortlichen auf die Prävention und den Schutz vor jeder Art von Bedrohung im Bereich der Cyber-Sicherheit konzentrieren.“

Diese sollten verschiedene Szenarien entwickeln und klare Reaktionspläne für den Fall eines Angriffs vorhalten. Veraltete und nicht aktualisierte IT sei immer ein Problem. Dies gelte insbesondere für Kritische Infrastrukturen (KRITIS), aber auch für ausgefeilte Angriffe auf Webservices.

Auch veraltete Sicherheitstechnologien könnten ein Problem darstellen. „Zentralisierung und Konsolidierung können Abhilfe schaffen, ebenso wie die Notwendigkeit, Systeme zu segmentieren und zu differenzieren“, rät Boele.

Weitere Informationen zum Thema:

datensicherheit.de, 29.06.2022
Khuzestan Steel Company: Iranischer Stahlkonzern von Hackern lahmgelegt / Vorfall reiht sich in eine Flut von Attacken durch Hacker-Gruppen ein

datensicherheit.de, 05.08.2021
Cyber-Attacke auf KRITIS im Landkreis Anhalt-Bitterfeld zeigt: Kommunen sollten sich besser schützen / Kommunale Verwaltungen gehören zur Kritis – sie sichern die Versorgung der Bevölkerung mit essenziellen Gütern und somit gesellschaftliches Wohlergehen

[datensicherheit.de, 29.09.2022] Das US-Verteidigungsministerium (Department of Defense / DoD) hat am 29. September 2022 die Ergebnisse seiner am 4. Juli 2022 gestarteten „Hack U.S. Challenge“ bekanntgegeben. Das „Chief Digital and Artificial Intelligence Office“ (CDAO) / „Directorate for Digital Services“ (DDS), und das „Department of Defense Cyber Crime Center“ (DC3) hatten „Hack U.S.“ demnach zusammen mit dem Webmagazin „HackerOne“ ins Leben gerufen. Dabei sollten Erfahrungen mit „Bug Bounty“-Programmen für sogenannte Ethische Hacker gesammelt werden, damit diese Schwachstellen gemäß bestimmter Kriterien (DoD VDP) melden.

Abbildung: HackerOne

Hack U.S. Challenge: Vulnerabilty Stats

267 Ethische Hacker als Teilnehmer 2022

„Hack U.S.“ soll dem US-Verteidigungsministerium wichtige Einblicke in die Art und Weise gewähren, wie die Hacker-Community um Prämien konkurriert und dabei den Schutz von sicherheitsrelevanten Einrichtungen verbessert.

Insgesamt hätten 267 Ethische Hacker daran teilgenommen, darunter 139 zum ersten Mal. Diese hätten in diesem Rahmen 349 Schwachstellenberichte („Actionable Reports“) geliefert und im Gegenzug insgesamt 75.000 US-Dollar an „Bug Bounties“ und 35.000 US-Dollar an Boni/Belohnungen erhielten. Alex Rice, Mitbegründer und „CTO“ von „HackerOne“, kommentiert die Ergebnisse von „Hack U.S.“:

Hacker bestens gerüstet, um Schwachstellen zu finden

„Das Verteidigungsministerium hat schon vor langer Zeit die Vorteile der Zusammenarbeit mit Hackern als zusätzliche Schutzmaßnahme für seine digitalen Aktiva erkannt“, so Rice.

Hacker seien bestens gerüstet, um Schwachstellen zu finden, die automatisierte Scanning- und KI-Tools nicht aufspüren könnten. „Auch die Vielfalt, die in der globalen Hacker-Community vorzufinden ist, erlaubt neue Perspektiven, die ein einzelnes Sicherheitsteam nicht bieten kann.“

Von Hackern entdeckte Schwachstellen zur Aufrechterhaltung der nationalen Sicherheit

Die von der Hacker-Community im Zuge des „Hack U.S.“ entdeckten Schwachstellen würden nun für einen besseren Überblick über alle Aktiva sorgen, welche zur Aufrechterhaltung der nationalen Sicherheit der USA beitrügen.

Darüber hinaus würden die Erkenntnisse aus den Berichten einen wertvollen Beitrag zur Art und Weise leisten, „wie das Verteidigungsministerium bei der Identifizierung künftiger Bedrohungen vorgehen wird“, erläutert Rice abschließend.

Weitere Informationen zum Thema:

hackerone, 29.09.2022
Announcing the Results of Hack U.S.

hackerone
hackerone-announcing-results-hack-us-2022

[datensicherheit.de, 22.01.2021] Den Ermittlungsergebnissen von NSA und FBI zufolge lässt sich der gezielte Angriff auf den texanischen IT-Dienstleister Solarwinds auf russische Urheber zurückverfolgen. Diese haben ein Update einer Netzwerk-Management-Software von SolarWinds manipuliert, welches weltweit von vielen staatlichen Behörden und Betreibern kritischer Infrastruktur genutzt wird. Auch deutsche Behörden, darunter 16 Ministerien und Bundesämter, sind einer Untersuchung zufolge davon betroffen. Der Digitalexperte der FDP Manuel Höferlin, der die Anfrage an die Bundesregierung stellte, die zur erwähnten Untersuchung geführt hatte, spricht daher auch vom „massivsten Angriff auf die westliche Welt seit Jahrzehnten“.

Lessons learned für Unternehmen und Behörden aus dem Solarwinds-Hack

Die Ermittlungen sind derzeit noch in vollem Gange. Es ist jedoch davon auszugehen, dass es sich bei dem Hack um eine Spionageaktion handelt, die nicht auf Manipulation oder Vernichtung von Daten abzielte. Vielmehr sollte ein Zugang zu Geheiminformationen erlangt werden, möglichst unentdeckt und lange beständig. Bei einer solchen Vorgehensweise ist es besonders schwierig, die Eindringlinge zu entdecken, da sie sich äußerst vorsichtig und unauffällig im System bewegen und darauf bedacht sind, keinen Alarm auszulösen. Auf diese Weise kann die Hintertür einer Schwachstelle lange Zeit verschleiert werden, was einen längeren Zugriff auf interne Daten der Opfer verspricht. Ist die Sicherheitslücke nämlich erst einmal entdeckt worden, kann sich der Softwarehersteller umgehend um die Behebung kümmern und einen Hotfix an alle Kunden ausspielen, um somit die Datenspione wieder vor die Tür zu setzen.

Christoph Volkmer, VP DACH bei Tanium, © Tanium

Für Firmen ist es von existenzieller Bedeutung, alle im Unternehmen genutzten Applikationen und digitalen Dienstleistungen im Blick zu behalten und stets zu wissen, auf welchen Endgeräten möglicherweise veraltete Versionen oder Sicherheitsupdates installiert sind. Veraltete Endgeräte sind das Haupteinfallstor für Cyberkriminelle, um sich einen nachhaltigen Zugang zur IT-Infrastruktur zu sichern.

Ist das Ziel der Hacker, wie im Fall von Solarwinds, sich unbemerkt und langfristig im Netzwerk von Behörden und Unternehmen einzunisten, so ist es ohne lückenlose Sichtbarkeit aller IT-Assets nahezu unmöglich den Eindringling zu entdecken.

Denn es reicht schon ein einzelner Firmenlaptop mit veralteten Softwareversionen, um die Integrität der IT-Sicherheit in der gesamten Organisation zu kompromittieren.

Lückenloses Update-Management ist die beste Waffe im Kampf gegen Schwachstellen

Um Lückenlosigkeit in der firmeninternen IT-Sicherheitsstrategie zu gewährleisten, ist es von äußerster Wichtigkeit, alle Endpunkte und deren Update-Status jederzeit überblicken zu können. Eine agentenbasierte Lösung ist hierbei die beste Wahl, da sie zum einen jeden Endpunkt in Echtzeit kontrollieren kann und zum anderen eine signifikante Steigerung der Reaktionsgeschwindigkeit und Agilität im Vergleich zu zentralisierten Update-Strategien bietet. Nur ein Rechner, der sichtbar ist, kann auch auf veraltete Software hin kontrolliert werden. Nur ein Laptop, der wenige Minuten nach Launch eines Sicherheitsupdates gepatcht wird, verhindert eine unbemerkt klaffende Sicherheitslücke, die im schlimmsten Fall existenzbedrohende Ausmaße annehmen kann – für die eigene Organisation sowie auch deren Kunden und Partner gleichermaßen.

Besonders wenn öffentliche Einrichtungen und Unternehmen der kritischen Infrastruktur eines Landes betroffen sind, dürfen bei der IT-Sicherheit keine Kompromisse eingegangen und keine notwendigen Kosten gescheut werden. Bei der Reaktion auf solche Cyberangriffe ist Entschlossenheit und Geschwindigkeit oberstes Gebot. Man spielt kein Russisch Roulette, wenn es möglicherweise um die Sicherheit eines ganzen Landes und die Gesundheit seiner Bevölkerung geht.

Weitere Informationen zum Thema:

datensicherheit.de, 10.12.2020
EMA: Europäische Arzneimittelagentur gehackt

[datensicherheit.de, 16.07.2020] „Wie am Donnerstag bekannt wurde, konnten sich bisher unbekannte Angreifer Zugriff auf eine Reihe von Twitter-Profilen zahlreicher Personen des öffentlichen Lebens verschaffen, um von diesen Accounts aus Werbung für Bitcoin-Betrugsdeals zu posten“, berichtet in seiner aktuellen Stellungnahme Tim Berghoff, „Security Evangelist“ bei G Data. Zu den bekannten Opfern zählten etwa Politiker wie Barack Obama und Joe Biden, aber auch die Unternehmer Jeff Bezos und Elon Musk.

Foto: G Data

Tim Berghoff: Maximum an Sicherheit mittels Hardware-basierter Absicherung zusammen mit einem komplizierten Passwort

Bitcoin-Spam-Versand: Twitter musste Promi-Konten zeitweise blocken

Die Betreiber des Kurznachrichtendienstes selbst sprachen demnach von einem „Sicherheitsvorfall“ – als Reaktion seien über eine Stunde nach der Kompromittierung die Konten zahlreicher Prominenter, Regierungschefs und anderer bedeutenden Persönlichkeiten zeitweise von Twitter geblockt worden – dies sollte der Verbreitung des Bitcoin-Spams ein Ende setzen.
Wenige Stunden später seien die Konten wieder freigeschaltet worden. Der „CEO“ der „Social Media“-Plattform, Jack Dorsey, habe sein Bedauern über den Angriff ausgesprochen und versprochen, sich um Aufklärung zu kümmern. Mittlerweile habe die Twitter bekanntgegeben, dass ein sehr raffinierter Social-Engineering-Angriff Ursache der koordinierten Attacke gewesen sei.

Nicht nur Twitter: Sicherheitsfragen zum allgemeinen Umgang mit Sozialen Netzwerken aufgeworfen

Der Vorfall sei deshalb „besonders erschreckend“, da Angreifer dieses Mal eine Vielzahl reichweitenstarker Accounts gleichzeitig hätten in Beschlag nehmen können. Berghoff: „Er wirft Sicherheitsfragen zum allgemeinen Umgang mit Sozialen Netzwerken auf – denn auch abseits dieses sehr spektakulären Angriffs werden immer wieder Konten von Privatpersonen und Unternehmen übernommen.“ Um seine Konten maximal abzusichern, sei es essenziell, „dass Nutzer zunächst über die vielen Risiken informiert sind, die etwa beim Öffnen unbekannter Links drohen“. Auch mit den wichtigsten Arten von Phishing-Versuchen sollten User vertraut sein – denn nur wenn man die Gefahren kennt, könne man sich vor ihnen schützen.
Weiterhin sollten Anwender bei der Wahl von Passwörtern höchste Ansprüche an die Sicherheit stellen. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfehle Usern, möglichst lange Kennwörter mit mindestens acht Zeichen zu verwenden – grundsätzlich aber gelte: „Je länger, desto besser; auch 20-25 Zeichen sind erlaubt.“ Außerdem von Vorteil sei die Verwendung von Groß- und Kleinschreibung, Zahlen und Sonderzeichen. Grundsätzlich sei es wichtig, „dass das Passwort komplex und gleichzeitig möglichst leicht zu merken ist“. User könnten zum Beispiel einen ganzen Satz als sogenannte Eselsbrücke nutzen und von jedem Wort nur den ersten Buchstaben verwenden, ergänzt durch Zahlen und Sonderzeichen. „Auch möglich ist die Nutzung eines kompletten Satzes als Passwort selbst. Komplizierte Kennwörter sind für Angreifer deutlich schwieriger zu erraten als einfache“, erläutert Berghoff.

Für Twitter und auch andere Anwendungen: Nutzung der Zwei-Faktor-Authentifizierung empfohlen

Einen weiteren Sicherheitslevel stellten Passwortmanager dar, denn durch sie müssten User sich die komplexen Log-In-Daten nicht selbst merken – lediglich ein Passwort müssten Nutzer behalten, nämlich das, welches den Zugang zum Dienst selbst ermöglicht. „Passwortmanager verwalten Anmeldedaten in verschlüsselter Form, was dem Nutzer zusätzliche Sicherheit bietet. Ein weiterer Vorteil ist, dass diese Dienste auch vor Phishing-Versuchen und dubiosen Websites warnen“, führt Berghoff aus: Nämlich durch den zusätzlichen Abgleich der URL mit der tatsächlich aufgerufenen Webseite, welche der Nutzer im Manager gespeichert hat. „Stimmt hier etwas nicht überein, wird der jeweilige User gewarnt.“
Zuletzt sei die Nutzung der Zwei-Faktor-Authentifizierung zum effektiven Schutz von Konten unbedingt zu empfehlen. Zahlreiche Webseiten und Apps böten die Möglichkeit der Anmeldung mit einem Passwort in Verbindung mit etwa einem Hardware-Key oder einem SMSbis-Code. Weiterhin stellten einige Dienste die Nutzung eines zusätzlichen TAN-Generators bereit. „Um ein Maximum an Sicherheit zu gewährleisten, bieten sich Hardware-basierte Möglichkeiten der Absicherung an. Ergänzend zu einem komplizierten und dennoch einfach zu merkenden Kennwort, beziehungsweise der Nutzung eines Passwortmanagers, sind Nutzer somit effektiv vor der Kompromittierung ihres Accounts geschützt.“

Weitere Informationen zum Thema:

datensicherheit.de, 11.10.2019
twitter: Datenmissbrauch zur Personalisierung von Werbung

datensicherheit.de, 04.01.2019
twitter-Vorfall: Umfang veröffentlichter Daten immens

[datensicherheit.de, 20.05.2020] Seit Anfang dieser Woche ist bekannt, dass bei der britischen Fluggesellschaft EasyJet E-Mail-Adressen und Reisedaten von circa neun Millionen Kunden entwendet wurden. Darüber hinaus gelangten die Angreifer an mehr als 2000 Kreditkartendaten.

Schadensersatzforderungen und Klagen erwartet

Für betroffene Kunden ist der Vorfall mindestens besorgniserregend und sollte zur Folge haben, dass sie ihre Kreditkartenabrechnungen in nächster Zeit genauer unter die Lupe nehmen. Die Fluggesellschaft sieht sich aufgrund dieses Datenlecks nicht nur einem großen reputativen Schaden ausgesetzt, auch dürfte es Schadensersatzforderungen und Klagen mit sich ziehen. Verstöße gegen Datenschutzverordnungen werden mit Strafen belegt, deren Höhe mitunter geschäftsgefährdend sein kann. Besonders im Zuge der aktuellen Krise und dem mit ihr einhergehenden Rückgang an Reisenden, dürften Strafzahlungen die schwächelnde Branche noch stärker treffen.

Nicht nur Fluggesellschaften, auch andere Unternehmen sollten diesen Vorfall deshalb zum Anlass nehmen, um ihre Datensicherheit auf eventuelle Schwachstellen hin zu überprüfen.

Eine mögliche Lösung zur Datenklassifizierung kann helfen

Organisationen, die nicht definieren können, über welche Daten sie verfügen, wo sie sich befinden, wer Zugang zu den Daten hat und was sie damit tun, erhöhen ihr Risikoniveau und gefährden ihre Rückkehr zu den Geschäftsplänen nach COVID-19. Kriminelle werden auch in Zukunft versuchen an wertvolle (Kunden-)Daten zu gelangen. Eine Lösung zur Datenklassifizierung etwa kann helfen, besonders wertvolle Daten im Netzwerk aufzuspüren, um sie dann im zweiten Schritt besser abzusichern. Die Frage, wo welche Daten gespeichert sind und wer auf sie zugreifen darf, muss für Organisationen von zentraler Bedeutung sein.

Jürgen Venhorst, Country Manager DACH bei Netwrix, Bild: Netwrix

Jürgen Venhorst, Country Manager DACH bei Netwrix zum Thema: „Obwohl es unmöglich ist, hundertprozentige Sicherheit zu haben, scheint es klar, dass EasyJet keine angemessene Kontrolle über die Daten von Kunden hatte und dadurch das Vertrauen jener verlieren könnte. Da die Reisebranche der COVID-19-Krise standhält, müssen die Fluggesellschaften unbedingt das Vertrauen treuer Kunden und neuer potenzieller Reisender aufrechterhalten, zumal die Kommunikation mit Kunden nach wie vor ausschließlich virtuell erfolgt. Obwohl die Fluggesellschaften derzeit deutlich unter ihrer Flugkapazität liegen und die meisten Flugzeuge am Boden bleiben, muss die Sicherheit für die Reisebranche weiterhin an erster Stelle stehen.“

Weitere Informationen zum Thema:

cnn.com
EasyJet hackers stole data on 9 million customers and thousands of credit card numbers

datensicherheit.de, 19.05.2020
Hacker-Angriff auf Easyjet

[datensicherheit.de, 21.09.2017] Venafi® veröffentlicht die Ergebnisse einer Umfrage unter 296 IT-Sicherheitsfachkräften zu Cyberangriffen auf elektronische Wahlprozesse. Die Untersuchung wurde unter Besuchern der Black Hat-Konferenz durchgeführt, die vom 22. – 27. Juli 2017 in Las Vegas stattfand.

Laut ihren Antworten glauben IT-Sicherheitsfachkräfte, dass die Auswirkungen von Cyberangriffen auf Wahlen darüber hinaus das Vertrauen in demokratische Prozesse schwächen. 78 Prozent der Befragten gaben an, dass sie es als einen Cyberkriegsakt betrachten würden, wenn ein Staat die Wahl eines anderen Staats hackt oder versuchen würde, diese zu hacken.

Nachrichtendienste haben herausgefunden, dass Nationalstaaten bereits weltweit Wahlprozesse im Visier haben, unter anderem in den USA. Ein Bericht der National Security Agency (NSA) zeigte kürzlich, dass Russland bereits vor den Präsidentschaftswahlen 2016 VR Systems angegriffen hat, einem Anbieter für Wahlmaschinen in der USA.

Bild: Venafi

Jeff Hudson, CEO von Venafi

„Eine Kriegshandlung ist als eine Handlung eines Landes gegen ein anderes Land definiert, die den Frieden unmittelbar gefährdet“, sagt Jeff Hudson, CEO von Venafi. „Der Versuch, eine Wahl zu hacken, kann daher leicht als Cyber-Kriegshandlung verstanden werden. Die Absicht dahinter ist es, die Grundlage der Regierung zu destabilisieren, die für den Schutz des Landes verantwortlich ist. Wahlen sind bereits das Ziel von Cyberangriffen und die potentiellen Auswirkungen eines Wahlhacks dürfen nicht unterschätzt werden. Böswillige Akteure haben die notwendigen Fähigkeiten, um Wahldatenbanken zu verändern, Stimmauszählungen zu verzögern und das Vertrauen in den Wahlprozess zu untergraben.“

Weitere Ergebnisse der Umfrage von Venafi sind:

88 Prozent sagen, dass die Regierung nicht genug unternimmt, um Hacker vor Eingriffen in zukünftige Wahlen abzuschrecken.
60 Prozent sind besorgt, dass Cyberangriffe die Wahlergebnisse verändern können.
Über ein Viertel (27 %) glaubt, dass über solche Angriffe bereits Wahlergebnisse manipuliert wurden.
Wahlmaschinen sind lukrative Ziele für Cyberkriminelle und staatliche Angreifer. Unglücklicherweise haben viele von ihnen Schwachstellen, die leicht ausgenutzt werden können. So konnten zum Beispiel die Teilnehmer der DEF CON 2017 innerhalb von 24 Stunden Schwachstellen in fünf unterschiedlichen Wahlmaschinen-Typen finden und ausnutzen.

Weitere Informationen zum Thema:

Venafi Blog, 08.08.2017
Voting Machine Hacks: Attacks on SSL and Certificate Trust May Break Elections

[datensicherheit.de, 23.05.2014] Steve Durbin, Managing Director des Information Security Forums (ISF) in einer Stellungnahme zum aktuellen Datendiebstahl bei eBay, bei dem Hacker in den Besitz von ca. 145 Millionen Kundendaten des Online-Händlers gelangt sind:

„Selbst bei einem Top-IT-Unternehmen wie eBay konnten sich Hacker Zugangsdaten von Mitarbeitern verschaffen. Das zeigt einmal mehr, dass Informationssicherheit im gesamten Unternehmen permanente Aufmerksamkeit benötigt. Damit das Thema abseits aktueller Vorfälle nicht in Vergessenheit gerät, ist kontinuierliche Überzeugungsarbeit notwendig. Die IT-Abteilung, Sicherheits- bzw. Datenschutzbeauftragte oder andere müssen deswegen sowohl die Geschäftsführung als auch vor allem aber die Mitarbeiter immer wieder von der existenziellen Bedeutung des Themas überzeugen.

Bild: ISF

Steve Durbin, Global Vice President des herstellerunabhängigen Information Security Forums (ISF) zum Datendiebstahl bei eBay

Dabei sind einerseits Hinweise auf aktuelle Zwischenfälle bei anderen Unternehmen und Szenarien, wie die Folgen im Falle eines Angriffs aussehen könnten, wichtig. Andererseits helfen konkrete Best-Practices, wie man sich vor welchen Gefahren schützen kann. Die Mitarbeiter müssen außerdem sensibilisiert werden, wie leicht beispielsweise Spionagesoftware in Netzwerke gerät. Sogar komplexe Schadprogramme wie Flame oder Stuxnet wurden über simple Übertragungswege kombiniert mit Fahrlässigkeit in Netzwerke eingeschleust.
Den Mitarbeitern ihre Verantwortung für Informationssicherheit bewusst zu machen, reicht allein aber nicht aus. Stattdessen geht es darum, dass die gesamte Belegschaft entsprechende Verhaltensmuster verinnerlicht und den Umgang mit sensiblen Daten in diesem Sinne verändert. Unternehmen sind bereits auf einem guten Weg, wenn ihre Mitarbeiter in kritischen Momenten innehalten und Sicherheitsaspekte bedenken.“

Weitere Informationen zum Thema:

Information Security Forum
the world’s leading independent authority on information security

datensicherheit.de, 03.05.2013
Kommentar des ISF zu den Sicherheitslücken in Industrieanlagen

[datensicherheit.de, 17.02.2014] Kickstarter ist eine US-amerikanische Internetplattform zur Projektfinanzierung über Crowdfunding. Nach dem bekannt geworden Hack der beliebten Gruppenfinanzierungsseite und dem damit verbundenen Diebstahl von E-Mail-Adressen und Daten einer unbekannten Anzahl von Nutzern sagte Dietmar Schnabel, Regional Director Central Europe von Check Point:

„Kickstarter hat nach dem Verstoß das Richtige getan und die Nutzer informiert und angewiesen, Passwörter über ihre Webseite zurückzusetzen. Es ist sinnvoll, dies zu tun, auch wenn Kickstarter seine Passwörter in verschlüsselter Form gespeichert hat.“

„Nutzer sollten aber beim Anklicken von Links in Follow-Up-E-Mails, die sie bekommen und die scheinbar von Kickstarter oder dazugehörigen Organisationen stammen, sehr vorsichtig sein. Unternehmen sollten sich wiederum mit technischen Vorrichtungen gegen Phishing-Attacken schützen. Es besteht die Gefahr, dass die im Hack gestohlenen Informationen für Phishing-Angriffe verwendet werden, um damit noch mehr persönliche Daten zu sammeln.“

Weitere Informationen zum Thema:

heise.de, 16.02.2014
Crowdfunding-Plattform Kickstarter gehackt