{"id":13996,"date":"2019-02-26T11:34:38","date_gmt":"2019-02-26T10:34:38","guid":{"rendered":"https:\/\/www.sysbus.eu\/?p=13996"},"modified":"2019-02-25T08:37:40","modified_gmt":"2019-02-25T07:37:40","slug":"gefahr-offensichtlich-unterschaetzt-illegaler-onlinehandel-mit-gehackten-daten-boomt","status":"publish","type":"post","link":"https:\/\/www.sysbus.eu\/?p=13996","title":{"rendered":"Gefahr offensichtlich untersch\u00e4tzt: Illegaler Onlinehandel mit gehackten Daten boomt"},"content":{"rendered":"\n

Autor\/Redakteur: Thorsten Kr\u00fcger, Director Regional Sales IDP DACH & CEE bei Gemalto<\/a>\/gg<\/p>\n\n\n\n

Aktuell macht ein Bericht \u00fcber 620 Millionen angebotene Zugangsdaten die Runde, welche im Darknet f\u00fcr weniger als 20.000 US-Dollar angeboten werden. Trotz neuer Vorgaben wie der Datenschutz-Grundverordnung (DSGVO) scheint die Lage nicht besser zu werden. Besonders kritisch ist, dass gerade beim Thema von pers\u00f6nlichen Informationen bekannte Best Practices nicht umgesetzt werden.<\/p>\n\n\n\n

\"\"
Foto: Gemalto<\/figcaption><\/figure>\n\n\n\n\n\n\n\n

Drei\nSchl\u00fcsse sind in diesem Zusammenhang besonders wichtig:<\/p>\n\n\n\n

Punkt 1: Schutz von Accounts nur\ndurch Passw\u00f6rter ist nicht mehr zeitgem\u00e4\u00df<\/strong><\/p>\n\n\n\n

In\nvielen Organisationen werden Zug\u00e4nge nur durch Kennw\u00f6rter gesch\u00fctzt. Zudem wird\nden Nutzern die Wahl des Passwortes \u00fcberlassen. Diesen Faktor planen die\nKriminellen mit ein. Die Hinterm\u00e4nner bewerben im Beispiel\nCredential-Stuffing-Attacken. Hierbei werden E-Mail-Passwort-P\u00e4rchen bei\nunterschiedlichen Online-Plattformen ausprobiert, obwohl der Bezug zum Anbieter\nerstmal nicht besteht. Durch die Automatisierung der Angriffe und die\nFahrl\u00e4ssigkeit der Nutzer lassen sich so weitere Accounts \u00fcbernehmen.<\/p>\n\n\n\n

Das\nBundesamt f\u00fcr Sicherheit in der Informationstechnik spricht sich in seinem aktuellen\nLagebericht f\u00fcr den Einsatz von Authentifizierung mit mehreren Faktoren aus:\n\u201eEine sichere Zwei-Faktor-Authentisierung schafft hier Abhilfe. Dabei werden\nstatt einem Faktor zwei f\u00fcr die Authentisierung verwendet.\u201c Ein zweiter Faktor\nist traditionell eine Smart Card, kann aber auch \u00fcber ein PushTAN \u00fcber das\nMobiltelefon erfolgen. Entsprechende Angebote gibt es f\u00fcr Organisationen\njeglicher Gr\u00f6\u00dfe, aber auch f\u00fcr den privaten Gebrauch. Trotz des\nSicherheitsvorteils setzen immer noch zu wenige Unternehmen auf diese Technologie.\n<\/p>\n\n\n\n

Punkt 2: Unzureichende Anwendung von\nstarker Verschl\u00fcsselung<\/strong><\/p>\n\n\n\n

Beim\ngenannten Vorfall waren die Passw\u00f6rter teilweise im Klartext gespeichert.\nEinige Informationen waren mit dem schon seit Jahren als unsicher gelten\nAlgorithmus MD5 verschl\u00fcsselt. Sicherheitsexperten sowie das BSI sind von den\nVorteilen von Kryptographie \u00fcberzeugt, warnen aber auch vor dem Versagen der\nSchutzwirkung, falls diese unsauber implementiert wird. Grunds\u00e4tzlich sollten\nalle Informationen nur verschl\u00fcsselt gespeichert werden. Die Mechanismen\nsollten dem Stand der Technik entsprechen. Besonders das Schl\u00fcsselmaterial muss\nverwaltet und gesch\u00fctzt werden, denn Verschl\u00fcsselung steht und f\u00e4llt mit dem\nrichtigen Umgang der Keys.<\/p>\n\n\n\n

Punkt 3: Unternehmen fokussieren\nsich zu einseitig auf Perimetersicherheit <\/strong><\/p>\n\n\n\n

Einige\nder Opfer konnten nicht durch die betroffenen Portale vorgewarnt werden. Die\nmangelhafte F\u00e4higkeit zur Entdeckung von Datenschutzvorf\u00e4llen ist kein Zufall.\nViele Firmen sind immer noch zu sehr auf die Endpunkte und die Au\u00dfenbereiche ihrer\nNetzwerke fixiert. Dabei warnt das BSI bereits seit 2016 und spricht von\n\u201eAssume the Breach\u201c. Genau weil sich durch IoT, Cloud Computing und BYOD immer\nneue Angriffsvektoren auftun, m\u00fcssen IT-Teams damit rechnen, dass es\nKriminellen gelingt, in ihre Netzwerke einzudringen. Deshalb m\u00fcssen\nIT-Entscheider Prozessen und Mechanismen implementieren, die auch im Fall der\nF\u00e4lle Informationen sch\u00fctzen.<\/p>\n\n\n\n

Fazit<\/strong><\/p>\n\n\n\n

Es fehlt nicht an Awarness und Wissen um m\u00f6gliche Gefahrenherde. Schlagzeilen \u00fcber immer gr\u00f6\u00dfere Datenschutzverletzungen gibt es immer wieder und sp\u00e4testens seit der Anwendbarkeit der DSGVO stehen Organisationen unter Zugzwang. Es ist daher umso \u00fcberraschender, dass bei den grundlegenden Mechanismen so nachl\u00e4ssig gehandelt wird. Das Beispiel verdeutlicht, dass bei elementaren Standardvorkehrungen wie durchgehend starker Kryptografie mit passendem Schl\u00fcsselmanagement und Multi-Faktor-Authentifizierung noch viel Handlungsbedarf besteht. <\/p>\n","protected":false},"excerpt":{"rendered":"

Autor\/Redakteur: Thorsten Kr\u00fcger, Director Regional Sales IDP DACH & CEE bei Gemalto\/gg Aktuell macht ein Bericht \u00fcber 620 Millionen angebotene<\/p>\n","protected":false},"author":1,"featured_media":13997,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"colormag_page_container_layout":"default_layout","colormag_page_sidebar_layout":"default_layout","footnotes":""},"categories":[1881,37],"tags":[7302,490,6258,6257,9408,2321,3764,6181,12098,3753,7011,12099,36,2061,4256,11992],"class_list":["post-13996","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-glosse","category-security","tag-2fa","tag-bsi","tag-byod","tag-cloud","tag-dsgvo","tag-gemalto","tag-iot","tag-md5","tag-onlinehandel","tag-passwort","tag-pushtan","tag-schluesselmanagement","tag-sicherheit","tag-smartcard","tag-sms","tag-zugangsdaten"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/13996","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=13996"}],"version-history":[{"count":1,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/13996\/revisions"}],"predecessor-version":[{"id":13998,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/13996\/revisions\/13998"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/media\/13997"}],"wp:attachment":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=13996"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=13996"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=13996"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}