Wenn sensible Daten in Geiselhaft geraten

Ransomware ist nach wie vor ein beliebtes Mittel der Cyberkriminalität. Wem drohen rechtliche Konsequenzen aus dem entstandenen Schaden? Sophos klärt auf.

Verschlüsselung von Daten ist für die Sicherheit von sensiblen und personenbezogenen Informationen die beste Lösung zum Schutz. Im Falle eines zunehmend beliebten und ganz perfiden Cyberkriminellen-Szenarios ist sie dagegen die Bedrohung: Ransomware. Von Cyberkriminellen perfide ins Unternehmen geschleust, entfaltet Ransomware seine schädliche Wirkung. Sofort beginnt die Ransomware Dateien auf dem Rechner oder Server inklusive der vorhandenen Backups zu verschlüsseln. Die Unternehmensdaten werden quasi in Geiselhaft genommen. Gegen die Zahlung eines Lösegelds versprechen die Kriminellen, die Daten wieder zu entschlüsseln. Der Schaden für den Zeitraum, in dem die Daten nicht zugänglich sind, kann je nachdem, um welche Branche und Art der Daten es sich handelt, verheerend sein: Prozesse könnten eingefroren werden, Termine und Lieferungen platzen, Löhne nicht ausgezahlt, lebenswichtige Behandlungen nicht fortgeführt werden. Die Liste ließe sich endlos weiterführen.

Aus technischer Sicht sind die nächsten Schritte in einem solchen Fall klar: Aufgrund der eingeschleusten Ransomware müssen die betroffenen Systeme isoliert und im nächsten Schritt gesäubert werden. Im folgenden Schritt gilt es, die Daten wieder verfügbar zu machen. Rechtlich mag es komplizierter aussehen. Ein Kunde kann grundsätzlich etwa wegen nicht eingehaltener Liefertermine vom Vertrag zurücktreten und im Voraus gezahlte Beträge zurückfordern. Zudem kann er Schadensersatz wegen Nichterfüllung der vereinbarten Leistung verlangen. Dies gilt insbesondere dann, wenn der Kunde durch die späte Lieferung selbst einen Schaden nachweisen kann.

Und nicht nur das Unternehmen, durch das der Schaden ausgelöst wird, sondern auch der Unglücksrabe aus der Belegschaft, der beispielsweise eine schadhafte E-Mail geöffnet hat, kann unter Umständen mit Haftungsansprüchen konfrontiert werden.

Die Rechtslage: Konsequenzen für den Arbeitgeber und den Mitarbeiter

Schäden durch Ransomware (Verzögerungen in der Lieferung etc.) können sowohl für das verursachende Unternehmen als auch für den einzelnen Mitarbeiter, der etwa fahrlässig (was der Arbeitgeber im Bestreitensfall nachweisen muss) eine E-Mail geöffnet und damit den Schaden für seinen Arbeitgeber verursacht hat, erhebliche rechtliche Folgen haben. Können geschädigte Kunden den Eintritt des Schadens beweisen und dessen Höhe beziffern und wurde vertraglich nicht etwas Abweichendes vereinbart, dann sind sie in der Lage, vom schädigenden Unternehmen Schadensersatz zu fordern. Auch dem verursachenden Mitarbeiter drohen dann erhebliche Haftungsrisiken.

War der betreffende Mitarbeiter zuvor durch seinen Arbeitgeber nachweislich und hinreichend über die Gefahren sowie den Umgang mit den Daten belehrt worden, könnte ihm folgende Situation drohen: Im Rahmen des sogenannten innerbetrieblichen Schadensausgleichs kann sich der Arbeitgeber den Betrag des Schadensersatzes, den er an einen geschädigten Kunden zu zahlen hatte, von seinem Mitarbeiter zurückfordern. Dies gilt aber nach gefestigter Rechtsprechung des Bundesarbeitsgerichts uneingeschränkt dann, wenn der Mitarbeiter vorsätzlich oder grob fahrlässig gehandelt hat. Im Falle der sogenannten mittleren Fahrlässigkeit setzt das Gericht im Streitfall eine sogenannte Haftungsquote nach billigem Ermessen fest, nach der bestimmt wird, zu welchen Anteilen der Arbeitnehmer und der Arbeitgeber den Schaden tragen müssen. Hierbei werden sämtliche Umstände des Einzelfalles, wie etwa das Maß des Verschuldens, als auch das Einkommen aufseiten des Arbeitnehmers, berücksichtigt.

Damit trägt der Arbeitgeber letztlich dennoch das Hauptrisiko, denn selbst, wenn das Gericht den Mitarbeiter wegen vorsätzlicher oder grob fahrlässiger Schädigung verurteilt, seinem Arbeitgeber den Schadensbetrag zurückzuzahlen, ist kaum davon auszugehen, dass dieser die volle Summe erhalten wird.

„Ein Schadenfall in Millionenhöhe wird von einem Arbeitnehmer mit durchschnittlichem Verdienst kaum realisierbar sein. Da hilft auch ein gerichtlich erwirkter Titel nicht weiter,“ so Rechtsanwalt Sebastian Müller aus Magdeburg. Dennoch wird ein Fehlverhalten sicher nicht ohne weitere Konsequenzen für den Mitarbeiter bleiben, da neben finanziellen Haftungsrisiken auch arbeitsrechtliche Konsequenzen, wie Abmahnung und Kündigung drohen.“

Sensibilisierung und Eigenverantwortung auch von Mitarbeitern

Unternehmen stehen in der Pflicht, ihre eigenen Daten wie auch die Daten von Dritten zu schützen. Dies gilt seit der Datenschutz-Grundverordnung (EU-DSGVO) umso mehr. Unternehmen müssen in jedem Fall sogenannte technische und organisatorische Maßnahmen (TOMs) zur Gewährleistung des Schutzes personenbezogener Daten durchführen. Entsprechende technische Lösungen für die Datensicherheit sind daher obligatorisch. Zu den organisatorischen Maßnahmen gehört hingegen das Schulen von Mitarbeitern und Implementieren von Sicherheitsrichtlinien innerhalb des Unternehmens.

Viele Unternehmer sind sich auch nach Inkrafttreten der EU-DSGVO ihrer Rolle als verantwortliche Stelle für die Datenverarbeitung nicht bewusst. Ein Schadensfall, bei dem Daten unrechtmäßig verarbeitet werden, indem sie insbesondere in Hände von Kriminellen kommen, stellt eine Verletzung des Grundsatzes der Datenintegrität dar und kann mit empfindlichen Bußgeldern in Höhe von bis zu 20 Millionen Euro oder 4 Prozent des weltweit erzielten Umsatzes im vorangegangenen Geschäftsjahr sanktioniert werden. Hierbei ist auch zu beachten, dass der Unternehmer auch für das Verschulden seiner eigenen Arbeitnehmer haftet, da er insoweit die verantwortliche Stelle im Sinne der EU-DSGVO darstellt.

Es ist daher unerlässlich, auch an die Mitarbeiter zu appellieren: Lieber einmal mehr nachfragen, Schulungen einfordern und wahrnehmen und sich vielleicht auch zusätzlich zu informieren kann jedem Einzelnen dabei helfen, die Gefahr eines Fehlers und die Haftbarkeit aller Beteiligten auf ein vertretbares Minimum zu reduzieren.

Originalmeldung direkt auf PresseBox lesen
Mehr von Firma PresseBox

Tagung: Die Bedeutung von Elektrofahrrädern für den Straßenverkehr in Stadt und auf dem Land

Elektrofahrräder wie Pedelecs können einen Beitrag zur umweltfreundlichen Mobilität liefern. Doch gilt das nur für den urbanen Raum? Was ist mit ländlichen Gegenden? Über diese Fragen geht es bei der Tagung „Pedelecs – Elektrisierende Wiederentdeckung des Fahrrads“. Sie findet am Mittwoch, den 14. November, von 8:30 bis 17:00 Uhr im Fritz-Walter-Stadion in Kaiserslautern statt. Organisiert wird sie vom Team um Professor Dr. Wilko Manz vom Institut für Mobilität und Verkehr (Imove) an der Technischen Universität Kaiserslautern (TUK) gemeinsam mit den rheinland-pfälzischen Ministerien für Umwelt und Wirtschaft.

Immer mehr Elektrofahrräder sind auf deutschen Straßen unterwegs, darunter auch viele Pedelecs. Diese dürfen ohne Fahrradhelm gefahren werden und erreichen mühelos Geschwindigkeiten von bis zu 25 Kilometern pro Stunde. Für dieses Jahr rechnet der Zweirad-Industrie-Verband mit rund 850.000 verkauften E-Bikes. Im Vergleich zum Vorjahr entspricht dies einer Steigerung von 18 Prozent.

Über die Rolle dieser neuen Räder-Generation im Straßenverkehr in der Stadt und auf dem Land geht es bei der Tagung in Kaiserslautern: Mathias Kassel von der Stadt Offenburg zeigt unter anderem auf, wie Kommunen den Radverkehr künftig fördern können. Welche Rolle Falträder im Linienbusverkehr spielen können, erläutert Dr. Jürgen Brunsing von der Bergischen Universität Wuppertal. Zudem geht es um neue Planer für Radrouten sowie darum, die Verkehrsinfrastruktur in Städten und Kommunen an Elektroräder anzupassen.

Darüber hinaus stellt Nicolas Mellinger von Imove das Projekt „Assistenzsysteme für Pedelecs“ vor. Ziel ist es, das Fahren mit den E-Rädern sicherer zu machen. Bei Unfällen mit diesen Rädern sind verstärkt Senioren betroffen. Sie können oft auf plötzlich auftretende Gefahren nicht mehr so schnell reagieren wie jüngere Verkehrsteilnehmer. Das Team um Mellinger arbeitet an einer Technologie, die Radfahrer frühzeitig vor möglichen Gefahren warnen und in kritischen Situationen helfen soll – etwa mithilfe optischer Signale und unterstützenden Funktionen.

Auch Dr. Johannes Roos stellt ein Forschungsvorhaben der TUK vor. Bei „e-Velo“ steht die Rolle von Elektro-Fahrräder im ländlichen Raum in Rheinland-Pfalz im Fokus. Der Ingenieur hat untersucht, welche möglichen Potenziale E-Räder für eine Verlagerung von Verkehrsnachfrage vom Pkw auf das elektrische Zweirad erkennbar sind. Dabei geht es vor allem um kurze Wege, wie etwa einer Fahrt zum Supermarkt, zum nahegelegenen Arbeitsplatz oder dem nächsten Bahnhof. Die vielversprechenden Ergebnisse machen Mut, an dieser Stelle weiter zu forschen. Das Nachfolgeprojekt wird an diesem Tag vorgestellt.

Organisiert wird die Tagung von Imove gemeinsam mit dem Ministerium für Umwelt, Energie, Ernährung und Forsten Rheinland-Pfalz sowie dem Ministerium für Wirtschaft, Verkehr, Landwirtschaft und Weinbau Rheinland-Pfalz.

Die Veranstaltung findet von 8:30 bis 17:00 Uhr im FCK Tagungszentrum des 1. FC Kaiserslautern in der Nordtribüne des Fritz-Walter-Stadion (Fritz-Walter-Straße 1, 67663 Kaiserslautern) statt.

Wer Interesse hat, kann sich bis zum 9. November anmelden: www.bauing.uni-kl.de/imove/tagung/ 

Die Plätze sind begrenzt, die Teilnahme ist kostenfrei.

Das Programm im Überblick: www.bauing.uni-kl.de/fileadmin/imove/dateien/Tagungen/2018_e-Velo/einladung_tagung.pdf

Originalmeldung direkt auf PresseBox lesen
Mehr von Firma PresseBox

Wenn die Ampel in der Firma auf Rot steht

Chefs von klein- und mittelständischen Unternehmen müssen wissen, wo in ihren Firmen „die Säge klemmt“. Dazu brauchen sie verdichtete exakte Informationen, die ihnen auf einen Blick zeigen, an welcher Stelle es hakt. Nur so vermögen sie zu reagieren und gegenzusteuern. Die Dresdner Software-Technologie G2 kann diese wichtigen Daten liefern. Sie ist in der Lage, komprimierte Informationen aus dem Wust an Firmendaten zu gewinnen.

Eines ist jedem Chef eines klein- und mittelständischen Unternehmens klar: Er benötigt hieb- und stichfeste Informationen darüber, wo seine Firma im grünen Bereich arbeitet und an welcher Stelle die Ampel auf Rot steht. Er weiß, dass verdichtete, exakte und schnelle Informationen darüber wichtig sind, um rechtzeitig reagieren zu können. Viele Geschäftsführer stehen allerdings vor immer dem gleichen Problem. Oft ist die Software in ihrer Firma nicht geeignet, um aus dem Wust an Firmendaten die so dringend benötigten Informationen für die Geschäftsleitung aufzubereiten.

Softwaretechnologie G2 liefert Geschäftsführung verdichtete Informationen

Doch warum reicht die Software dem Chef nicht aus? Ganz einfach. Weil sie nicht für ihn entwickelt wurde. Schauen wir uns die IT-Lösungen in vielen klein- und mittelständischen Firmen an: Da gibt es beispielsweise Software, die speziell für Vertriebsmitarbeiter gemacht worden ist, damit sie ihre Kontakte zu potentiellen Kunden gut verwalten können. Daneben existieren verschiedenste IT-Lösungen mit firmeninternen Daten aus der Planung, der Forschung und Entwicklung, aus der Konstruktion, der Technologie, aus dem Wareneinkauf, der Produktion und der Logistik des Unternehmens.

Dem Firmenchef nützen all diese Angaben einzeln wenig. Um auf einen Blick erkennen zu können, an welcher Stelle es in seiner Firma hakt, benötigt er beispielsweise Planungs-, Produktions- und Vertriebsangaben sowie weitere wichtige Zahlen auf einen Klick – und zwar für jeden Kunden einzeln. Er muss auf einer Zeile zu sehen bekommen: Wie hat sich der Umsatz mit dem jeweiligen Kunden entwickelt? Sind Lieferfristen eingehalten worden, gab es Engpässe? Wann hat der Vertriebsmitarbeiter den Kunden zuletzt kontaktiert, hatte er vielleicht Sonderwünsche? Lagen Störungsmeldungen vor, sind sie bearbeitet worden und wie lange hat das gedauert? Nur so ist der Geschäftsführer in der Lage, Fehlentwicklungen in seinem Unternehmen ausfindig zu machen und zu korrigieren.

Um mit G2 arbeiten zu können, braucht es keine Programmierkenntnisse

Genau an dieser Schwachstelle vieler IT-Programme setzt die Software-Technologie G2 an, die die Dresdner Firma Stella Systemhaus anbietet. G2 ist wie kaum eine andere Technologie dafür gemacht, Betriebsleitern verdichtete Informationen zu liefern. Das Besondere dabei ist: Man muss nicht programmieren können, um an die benötigten Daten heranzukommen. G2 funktioniert ähnlich wie das allseits bekannte Tabellenkalkulationsprogramm Excel. Wer Excel beherrscht, kann auch mit G2 umgehen. G2 arbeitet mit Formlaren, nicht mit Tabellen. Und die Daten liegen wohlgeordnet auf dem eigenen Firmenserver. Das hat den Vorteil, dass sich die Originaldaten in G2 umwandeln und mit beliebig vielen neuen Befehlen verknüpfen lassen. Die Geschäftsführung der Firma könnte also den G2-Automaten beispielsweise auch anweisen: Zeige mir, in welchen Abständen meine Vertriebsmitarbeiter die Kunden X, Y und Z in diesem Jahr kontaktiert haben und vergleiche mir diese Zahlen mit den Angaben von 2015, 2016 und 2017. Der daraus entstandene Bericht könnte nun wertvolle Informationen liefern, ob vielleicht einer der Kunden vernachlässigt wurde und deshalb gerade im Begriff ist, zum Konkurrenten zu wechseln.

Unternehmen können Software selbstständig an neue Erfordernisse anpassen

In vielen Unternehmen ist es gang und gäbe, dass sich der Geschäftsführer die benötigten verdichteten Informationen von einem seiner Mitarbeiter zuarbeiten lässt. Diese Berichte beruhen jedoch immer auf der subjektiven Wahrnehmung des Kollegen. Er könnte letztlich entscheiden, welche Angaben er seinem Chef zukommen lässt. Das wiederum kann zu einem falschen Bild führen. Deshalb sollten die Berichte original und ganzheitlich vom Firmenserver kommen und die realen Zahlen der verschiedenen Abteilungen wiedergeben. Verwaltet die Firma ihre Daten nur mit Excel, besteht zudem die Gefahr, dass einzelne Daten übersehen werden, wenn die Informationen in verschiedenen Datenblättern abgelegt worden sind. Der Bericht wird damit ungenau.

Fazit: Stella Systemhaus liefert mit G2 eine stabile Software, die – und auch das ist eine Besonderheit – die Unternehmen später selbst beliebig an neue Erfordernisse anpassen und auch erweitern können. Damit machen sie sich unabhängig von externen Programmierern, die bei herkömmlichen Lösungen immer wieder kommen müssten, wenn die Software an neue Aufgaben angepasst werden muss.

Originalmeldung direkt auf PresseBox lesen
Mehr von Firma PresseBox

befine Solutions auf der it-sa 2018: Warum der Schutz geistigen Eigentums eine Herausforderung bleibt

Anders als in den vergangenen Jahren beherrschten Cyber-Angriffe 2018 nicht die Schlagzeilen – bis vor wenigen Tagen bekannt wurde, dass Unbekannte vollen Zugriff auf fast 50 Millionen Facebook-Profile erlangt hatten. Grund zur Entwarnung gab es auch in diesem Jahr ohnehin nicht: Forscher haben – Stichwort Efail – nachgewiesen, dass sich bei den beiden Verschlüsselungsverfahren S/MIME und PGP E-Mails unter bestimmten Bedingungen entschlüsseln lassen, auch nachträglich. Kurz nachdem bekannt wurde, dass das Treuhändermodell der „Deutschen Cloud“ wegen mangelnder Nachfrage eingestellt wird, forderten die „Five Eyes“, Technikanbieter sollen Hintertüren in ihre Lösungen einbauen. Die Folgerung daraus kann nur lauten, dass der Schutz der Daten unsere Aufgabe bleibt. Die Herausforderung dabei: Persönliche Daten müssen besonders geschützt werden – gerade in dem Jahr, in dem die Europäische Datenschutz-Grundverordnung endgültig in Kraft getreten ist. Wie Unternehmen, Einrichtungen und Behörden dies umsetzen und Informationen einfach sowie sicher austauschen können, zeigt befine Solutions auf der it-sa. Im Mittelpunkt steht die QUICK-Technologie, die die Kommunikationsvorgänge zwischen regelmäßig miteinander kommunizierenden Anwendern deutlich vereinfacht. Der deutsche Software-Anbieter ist in Nürnberg erneut Mitaussteller am Gemeinschaftsstand von TeleTrusT, dem Bundesverband IT-Sicherheit e.V. (Halle 10, Stand 10.0-312).

 Im Fokus des Messeauftritts steht der Prototyp der QUICK-Technologie: Die zum Patent angemeldete Funktion wird Anfang 2019 verfügbar sein. Der klassische Ansatz bei der Verschlüsselung von E-Mails und gemeinsam genutzten Dateien besteht darin, ein Paar mathematisch verknüpfter Schlüssel zu verwenden. Einer der Schlüssel wird öffentlich, der zweite privat gehalten. Zwar ist es mit dieser Methode möglich, ein hohes Maß an Sicherheit zu erreichen, sie ist aber mit Komplexität und hohen Verwaltungskosten verbunden.

Kommunikationsvorgänge zwischen regelmäßig miteinander kommunizierenden Anwendern vereinfachen

Die QUICK-Technologie hingegen verwendet einen individuellen Schlüssel für Sender und Empfänger, der mit einem gemeinsamen, dynamischen Schlüssel kombiniert wird. Nach der ersten Nutzung durch Absender und Empfänger ist jeder zukünftige Austausch durch eine permanente sichere Verbindung geschützt. Das macht den Austausch von Einmalpasswörtern oder die Verwendung von statischen Schlüsselpaaren, die oft zum Sicherheitsproblem werden, überflüssig. Im Gegensatz zu weit verbreiteten Public-Key-Infrastruktur-Lösungen muss der Absender keine Infrastruktur für die Verwaltung oder Wartung von Entschlüsselungscodes einrichten oder pflegen – so werden die Kosten für Absender und Empfänger drastisch gesenkt, die Implementierung gelingt schnell und einfach und die Benutzerfreundlichkeit ist durch nahtlose Integration gewährleistet.

 Weitere Neuerungen im Überblick

  • Cryptshare for Healthcare: In der Gesundheitsbranche sind die Anforderungen an die
    Datensicherheit besonders hoch: Mediziner müssen mit hochsensiblen Daten umgehen
    und diese mit wechselnden Ansprechpartnern austauschen. befine Solutions, Mitglied im
    KH-IT-Bundesverband, hat seine Lösung daher immer wieder an die speziellen
    Anforderungen angepasst.
  • Cryptshare.express: Während Cryptshare kleine und mittlere Unternehmen, Konzerne,
    Behörden und Einrichtungen adressiert, wendet sich diese gegen Jahresende
    verfügbare Cryptshare-Version an solche unter 25 Mitarbeitern.
  • Neues aus dem Channel: befine Solutions hat sein Partnerprogramm grundlegend neu
    gestaltet, das IT-Systemhäusern, IT-Beratern und Hosting-Anbietern attraktive Vorteile
    bietet.

Präsenz am TeleTrusT-Gemeinschaftsstand

Als deutscher Anbieter ist befine Solutions dem weltweit strengsten Datenschutz verpflichtet:
dem deutschen. Nicht zuletzt deshalb sind in Cryptshare keine Schnittstellen eingebaut, mit
denen Geheimdienste unbefugt mitlesen könnten. In diesem Zusammenhang ist auch das
Engagement in verschiedenen Initiativen zu sehen, die sich der IT-Sicherheit und dem
Datenschutz verschrieben haben: befine Solutions ist beispielsweise Mitglied der Initiative „IT
Security made in Germany“ von TeleTrusT, dem Bundesverband IT-Sicherheit e.V., und in
Nürnberg an dessen Gemeinschaftsstand vertreten.

 

Originalmeldung direkt auf PresseBox lesen
Mehr von Firma PresseBox

Maximaler Ertrag mit gezielten Ransomware-Angriffen

Cyber-Kriminelle entwickeln ihre Angriffe immer raffinierter. Hat man früher nach dem Gießkannen-Prinzip einfach mal breit zugeschlagen, trifft es heute ausgewählte Ziele. Dabei gibt es typische Vorgehensweisen – Sophos zeigt auf, wie diese aussehen, woran man sie typischerweise erkennt und was sinnvolle Maßnahmen zum Schutz sein können.

Im Jahr nach WannaCry und NotPetya – seinerzeit hielten weltweite Ausbrüche innerhalb von nur Stunden Unternehmen und Medien in Atem – hat Ransomware sich leise weiter entwickelt und kommt heute als zunehmend raffiniertes Angriffszenario auf Unternehmen zu. Die „herangewachsenen“ Ransomware-Attacken zeichnen sich dadurch aus, dass sie individuell, lukrativer und diffiziler zu stoppen sind. Zudem zeigen sie verheerendere Wirkung auf ihre Opfer, als jene Attacken, die auf Email oder Exploits zur Verbreitung setzen. Und die Angriffe sind derart gestaltet, dass sie leicht zu reproduzieren sind.

Der Vorteil gezielter Attacken? Geld. Viel mehr Geld.

WannaCrys Vertrauen auf ein Exploit – gestohlen von der NSA – machte seinen Erfolg schwer zu replizieren. Zugleich hinterließ WannaCry zahllose Kopien seiner Schadsoftware – bereit zur Analyse von Forschung und Sicherheitsfirmen. Das ist Schnee von gestern: Die Kriminellen hinter den neuen gezielten Ransomware-Attacken verlassen sich auf Taktiken, die erfolgreich wiederholt werden können, verwenden Werkzeuge, die sich einfach ersetzen lassen und nutzen Ransomware, die schwer zu untersuchen ist und die eigenen Spuren verwischen kann. Während der Fußabdruck einer solchen gezielten Attacke dabei zwar winzig ist im Vergleich zu einer Spam-Kampagne oder einem Massenangriff, lässt sich hiermit mehr Geld vom Opfer erpressen, als alle WannaCry-Angriffe  zusammen.

Die Anatomie eines gezielten Ransomware-Angriffs

Die Spezifikationen einer zielgerichteten Ransomware-Attacke entwickeln sich mit der Zeit, variieren von Hacker-Gruppe zu Hacker-Gruppe und lassen sich an jedes individuelle Ziel anpassen. Nichtsdestotrotz zeigen alle auffallend ähnliche Strukturen.

In einem typisch gezielten Angriff wird ein krimineller Hacker:

  1. sich mithilfe eines schwach gesetzten RDP (Remote Desktop Protocol) Passwortes Zugang zum System verschaffen.
  2. Seinen Zugang mit vollen Rechten nutzen, um die Sicherheitssoftware zu umgehen.
  3. Ransomware zum Laufen bringen und verbreiten, um die Dateien des Opfers zu verschlüsseln.
  4. Eine Notiz mit Zahlungsaufforderung gegen Befreiung der Daten hinterlassen.
  5. Auf Antwort des Opfers warten – via Email oder Dark Web-Webseite.

Die Gemeinsamkeit zwischen den Angriffen und den Angreifern selbst ist nicht das Ergebnis von Koordination, sondern von Fokussierung auf die Methode, die verlässlich funktioniert, und den Kriminellen gigantisch hohe Auszahlungen einbringt. Bei SamSam beispielsweise sind 50.000 US-Dollar in Bitcoins eine übliche Summe. Die Analyse von BitPaymer (einer der mysteriösesten und am höchsten entwickelten Ransomware) enthüllt alleine im letzten Monat ein „Einkommen“ von mindestens 1 Million US-Dollar.

Die Übereinstimmung erstreckt sich hierbei sogar bis in Details wie „Heute Spezialangebot“: während die Lösegeldzahlungen signifikant variieren, eröffnen die Angreifer von Dharma (auch bekannt als Crysis), SamSam und BitPaymer ihren Opfern die Möglichkeit, ein oder zwei Dateien kostenlos zu dechiffrieren. Ein Beleg der Hacker ähnlich dem „Lebendbeweis“ tatsächlicher Kidnapper.

Was ist zum eigenen Schutz zu tun?

„Auch wenn die Angreifer immer skrupelloser und die Attacken immer diffiziler werden, gilt heute genau wie gestern und in Zukunft: bevor man mit Sondertools um die Ecke kommt und wild alles durcheinander installiert: Schaffen Sie sich eine solide Grundlage, achten Sie auf regelmäßige Aktualisierungen und dann stocken Sie auf, wo es für Ihre Bedürfnisse nötig ist“, empfiehlt Michael Veit, Security Evangelist Sophos.

Im Einzelnen bedeutet das:

  1. RDP verschließen und einem strikten Patching-Protocol für das eigene Betriebssystem und die laufenden Programme folgen.
  2. Ein Mehrschichtiges Sicherheitssystem verwenden, das es dem Angreifer schwierig macht, alle Hürden zu überwinden.
  3. Ein gut segmentiertes Netzwerk mit nach Notwendigkeit eingerichteten Rechten (Gäste, die das W-Lan zu Besuch nutzen, benötigen keine Admin-Rechte, es reicht ein einfacher Gast-Account) aufbauen
  4. Regelmäßige Back-ups auf externen Systemen durchführen.

Weitere Tipps enthält der Guide „How to defend yourself against SamSam ransomware“. Die hier gegebenen Anregungen lassen sich für alle Arten von gezielten Attacken verwenden. 

Originalmeldung direkt auf PresseBox lesen
Mehr von Firma PresseBox

MBG Mittelständische Beteiligungsgesellschaft begleitet befine Solutions auf Wachstumskurs mit frischem Kapital

Die MBG Mittelständische Beteiligungsgesellschaft begleitet die befine Solutions AG auf ihrem weiteren Wachstumskurs mit frischem Kapital. Herzstück des Unternehmens ist Cryptshare, eine Kommunikationslösung für den sicheren Austausch von Informationen.

Eine Postkarte kann jeder lesen. Eine „normale“ E-Mail im Prinzip auch. Dies ist nicht nur in Zeiten der neuen Datenschutzgrundverordnung ein Problem, denn heutzutage werden umfassende Verträge, Patientenakten und vertrauliche Dokumente häufig auch digital versandt. Die Gefahr, dass Dritte davon Kenntnis erlangen, ist konkret. Diese Anhänge belasten durch ihre hohe Anzahl und ihren Umfang aber auch die IT-Systeme. Die Freiburger befine Solutions AG hat dafür nun eine Lösung parat: Cryptshare. Mit ihr lassen sich E-Mails und Dateien jeder Größe und Art ad-hoc austauschen – einfach und sicher, nachvollziehbar und kostengünstig. Die Software ist leicht zu installieren und sofort einsetzbar, intuitiv bedienbar und direkt in bestehende Anwendungen integrierbar.

Und so funktioniert‘s: Der Empfänger wird per E-Mail über die Bereitstellung der Daten informiert und erhält vom Absender separat ein einmaliges Passwort. Damit kann er die Daten direkt und verschlüsselt von einem sicheren Server herunterladen, der im Unternehmen des Absenders steht. Weil das System ohne Benutzerkonten auskommt, erspart sich der Anwender eine lästige Registrierung. Cryptshare bietet eine vollständige Protokollierung über alle Versand- und Empfangsvorgänge.

Bildlich gesprochen: Die E-Mail entspricht einer Postkarte, jeder kann mitlesen und der Informationsumfang ist begrenzt, Cryptshare heißt sicherer Versand eines beliebig großen Info-Pakets, das von einem Kurier persönlich überbracht wird – inklusive echter Empfangsbestätigung.

Das 2000 gegründete Unternehmen mit über 60 Mitarbeitern zählt heute rund drei Millionen lizenzierte User in über 30 Ländern weltweit – und die Erfolgsgeschichte geht weiter. Geplant ist der Ausbau der Marktpräsenz in Deutschland und die Fortsetzung der Aktivitäten in den USA. Dafür hat sich die befine Solutions AG die MBG Baden-Württemberg als Partner mit ins Boot geholt, die sie mit frischem Kapital, einem großen Netzwerk und Knowhow unterstützt: „Für uns war es wichtig, durch die Zusammenarbeit mit der MBG nicht nur eine Finanzierungspartnerschaft zu begründen, sondern vielmehr ein wertvolles Signal nach außerhalb des Unternehmens geben zu können. Ein Signal, dass ein strategischer Partner mit uns gemeinsam an den Erfolg unserer Lösung glaubt und unserem Unternehmen Vertrauen schenkt“, sagt Oliver Kenk, CFO der befine Solutions AG.

Und Geschäftsführer Dirk Buddensiek ergänzt die Sicht der MBG: „befine Solutions hat eine intelligente Software geschaffen, die die heutigen hohen Anforderungen an eine sichere und effiziente Kommunikationslösung erfüllt. Mit unserem Investment erhält das Unternehmen die finanziellen Ressourcen, um seine Marktpräsenz noch einmal zu erhöhen.“

Über die MBG Mittelständische Beteiligungsgesellschaft Baden-Württemberg GmbH

Die MBG Mittelständische Beteiligungsgesellschaft Baden-Württemberg GmbH gehört zu den großen Beteiligungskapitalgebern in Deutschland. Sie investiert im öffentlichen Interesse und ist Partner des Mittelstands. Aktuell stellt sie ca. 900 kleinen und mittleren Unternehmen in Baden-Württemberg rund 250 Millionen Euro Beteiligungskapital zur Verfügung. Die MBG unterstützt Wachstums- und Innovationsvorhaben, Unternehmensnachfolgen und Existenzgründungen überwiegend mit Mezzaninkapital in Form von stillen Beteiligungen. Venture Capital orientierte Startups begleitet die MBG auch mit offenen Beteiligungen. Gesellschafter der MBG sind Kammern, Verbände und die Kreditwirtschaft.

Weitere Informationen finden sich unter www.mbg.de

Originalmeldung direkt auf PresseBox lesen
Mehr von Firma PresseBox

Centric – EU-Datenschutzgrundverordnung (EU-DSGVO)

Das IT-Unternehmen Centric IT Solutions hat eine innovative Lösung für JD Edwards EnterpriseOne  zur EU-Datenschutzverordnung (EU-DSVGO) entwickelt.

Die EU-Datenschutz-Grundverordnung oder auch kurz EU-DSGVO beziehungsweise GDPR (General Data Protection Regulation) ist eine Modernisierung und Anpassung der bestehenden Datenschutzregelungen in den EU-Mitgliedsstaaten. Die EU-DSGVO wurde im Mai 2016 verabschiedet und muss bis zum Mai 2018 umgesetzt werden. Die Datenschutz-Grundverordnung tritt unmittelbar in Kraft, eine Umsetzung in nationales Recht ist nicht erforderlich. Die EU-DSGVO betrifft keineswegs nur Unternehmen innerhalb der EU, sondern auch diejenigen die Geschäftsbeziehungen zur EU unterhalten, beziehungsweise entsprechende Daten von EU-Bürgern und Firmen verarbeiten.

Centric hat zur technischen Umsetzung der wesentlichen Anforderungen eine schnell zu installierende und einfach zu bedienende ‚AddOn-Lösung für JD Edwards EnterpriseOne entwickelt, die ab sofort zur Verfügung steht.

Die von der EU-DSGVO betroffenen personenbezogenen Daten werden durch das ‚AddOn-Programm anonymisiert. Dateien, die einem Audit-Trail unterliegen und bei denen ebenfalls personenbezogene Daten in Verwendung sind, werden zusätzlich analysiert und gelesen sowie anonymisiert. Sie stehen nach wie vor einem Audit-Trail mit der notwendigen Nachvollziehbarkeit sowie dem Erhalt der Datenkonsistenz zur Verfügung.

Originalmeldung direkt auf PresseBox lesen
Mehr von Firma PresseBox

Drei Use Cases: Datensicherheit und vertrauliche Daten

Klassifizieren Sie vertrauliche Daten nach dem Grad ihrer Vertraulichkeit? Schützen Sie Ihre kritischen Ressourcen anhaltend? Ermöglichen Sie den sicheren Austausch vertraulicher Daten innerhalb und ausserhalb Ihrer Organisation? Behalten Sie Transparenz und Kontrolle freigegebener Daten?

Azure Information Protection (AIP) deckt viele solche Anforderungen moderner Datensicherheit ab. Wir zeigen Ihnen typische Herausforderungen in drei besonders praxisrelevanten Use Cases:

Use Case 1: Human Resources (HR)

Sensible Daten von Mitarbeitern liegen aktuell auf dem zentralen Fileserver. Nur das RBAC-Modell von Windows schützt gegen unbefugten Zugriff (role-based access control). Mithin haben nur Fileserver-Administratoren und die HR-Usergruppe Zugriff auf die entsprechenden Dateien.

In dieser Situation irritiert, dass Administratoren zugreifen können. Ein entsprechender Zugriffsversuch soll an einem geschützten Ordner, «Confidential», scheitern.

Als Ziel verschlüsseln sich automatisch alle in Confidential befindlichen Daten – mit entsprechendem Label «HR» und RMS-Schutz (Rights Management Service): Zugriff auf «HR» haben nur HR-Mitarbeiter. Weiter erfährt die lokale AD-Gruppe der HR-User ein Monitoring, das das Anfügen beziehungsweise Entfernen eines Mitglieds meldet.

Use Case 2: IT

Die IT-Abteilung soll alle unternehmensrelevanten Dokumentationen, etwa System-Netzwerk-Pläne, mittels RMS schützen. Dafür sollen ebenfalls alle Dokumente im IT-Staff-Ordner automatischen Schutz und das Label «Confidential/IT» erhalten. IT-Mitarbeitern muss es zudem möglich sein, selbst erstellten Dokumenten das Label «Confidential/IT» zu geben.

Sobald IT-Mitarbeiter ausserhalb des Unternehmensnetzwerks auf ein AIP-geschütztes Dokument zugreifen wollen, erfolgt eine Vorauthentifizierung per SMS und/oder Anruf.

Use Case 3: Finance

Die Finanzdaten des Unternehmens enthalten verschiedene Stichwörter, etwa Kreditkartennummern oder IBAN beziehungsweise Swift-Codes. Diese Daten ruhen aktuell ungesichert in einem Datentopf mit Zugriff der Finanz-Gruppe.

Die Gruppe möchte automatisch sämtliche Files mit enthaltenen Kreditkartendaten sowie IBAN und Swift-Nummern per Label «Confidential/Finance» schützen. Weiter sollen diese Dokumente ein Wasserzeichen, «Confidential», erhalten. Zudem soll Drucken und Weiterleiten jener Dokumente unmöglich werden.

Autor: Sandro Bachmann, Senior System Engineer

-> Download Whitepaper Azure Information Protection <-

Originalmeldung direkt auf PresseBox lesen
Mehr von Firma PresseBox

apollon auf der dmexco 2018 – Halle 7.1, E-015

In Halle 7.1, Stand E-015 präsentiert apollon neue Produktfeatures in Online Media Net (OMN), u.a. die Funktion „Automatische Bilderkennung“ für das Media Asset Management-System „OMN MAM“. Außerdem können Besucher live erleben, wie Bildbearbeitung automatisiert mit Hilfe von OMN erfolgen kann. Eine weitere Neuheit bildet die neue Lösung „News²Personal“, um Social Networks in einer Anwendung zu vereinen. Zu weiteren Highlights gehören das neue Instrument DHS (Digital Holistic Store), dass Unternehmen dabei hilft, ihren Digitalisierungsgrad zu ermitteln sowie eine neuartige Digitalagentur, die in Kürze ins Leben gerufen wird.

Media Asset Management (MAM) mit künstlicher Intelligenz
Die ansteigende Anzahl an Bildern und Videos, erfordert ein optimales Handling dieser Marketing-Daten. Um diese Assets schneller aufzubereiten und bereitzustellen, wurde die MAM-Lösung aus der OMN-Suite um die Funktion „Automatische Bilderkennung“ angereichert. Mit Hilfe dieser Funktion, erfolgt die Verschlagwortung der Assets automatisiert. Dafür wurden alle führenden Anbieter von Image Taggern an die MAM-Lösung angebunden, um anhand von Regeln Informationen aus Dateien herauszunehmen und darauf Prozesse aufzusetzen. Zusammen mit künstlicher Intelligenz (KI), ist es ab sofort möglich Assets automatisiert zu erkennen und zu verschlagworten. Nutzern der MAM-Lösung entfällt durch die neue Funktion eine manuelle, zeitintensive Zuordnung der Assets.

News²Personal vereint Social Networks in einer App
Unzählige Post in den Sozialen Netzwerken erschweren den Überblick und eine zielgruppenspezifische Bereitstellung relevanter Daten ist zu zeitintensiv. Aus diesem Grund hat die apollon eine neue App entwickelt, die es ermöglicht alle eingehenden Nachrichten aus den Social Networks zusammenzuführen und dies individuell auf den jeweiligen Nutzer zugeschnitten bereitzustellen. Hierzu recherchiert die App über 1.000 Quellen, basierend auf neuester Technologie mit der Hilfe von KI. Das Besondere an News²Personal ist, dass Unternehmen, als Anbieter dieser App, die volle Kontrolle über den Nachrichtenstrom ihrer Leser behalten. Hierzu können Unternehmen ihre vertrauenswürdigen Quellen selbst bestimmen und ungewünschte Themen einfach ausblenden. Damit lösen sich Anbieter aus der Abhängigkeit der Algorithmen diverser Plattformen.

Grad der Digitalisierung schnell erkannt mit DHS
Von der Digitalisierung bleibt kein Feld unberührt. Damit Unternehmen schneller erkennen können, wie der Digitalisierungsstatus im eigenen Unternehmen ist oder wo noch Handlungsbedarf an digitaler Transformation besteht, hat die apollon ein neues Instrument
namens DHS (Digital Holistic Score) entwickelt. Mithilfe des DHS können Unternehmen relativ schnell den Grad der Digitalisierung selbst ermitteln. Das Instrument verfolgt einen ganzheitlichen Ansatz und beleuchtet daher das gesamte Unternehmen. Das Ergebnis ist ein ermittelter Digitalisierungs-Score. Dieser Score gibt Aufschluss über den tatsächlichen Grad der Digitalisierung und ist die ideale Basis für Transformationen oder Optimierungen. Norbert Weckerle, Geschäftsführer der apollon GmbH+Co.KG: „Die Digitalisierung betrifft das ganze Unternehmen. Daher war es uns besonders wichtig, ein Instrument zu implementieren, welches nicht nur den Marketingbereich unter die Lupe nimmt. Dies ist uns mit DHS sehr gut gelungen. Was viele Unternehmen jedoch unterschätzen ist der Sparring-Partner, der Unternehmen in Richtung digitale Zukunft begleitet. Genau hierzu ist es wichtig, einen erfahrenden Partner wie die apollon zu nutzen, die sich mit dem Vorantreiben und den Wirkungen von Innovationen bestens auskennt.“

Neue Digitalagentur
Innovationen weiter voranzutreiben ist charakteristisch für die apollon. Aus diesem Grund ist die apollon eine Kooperation mit führenden Unternehmen im Bereich der Digitalisierung eingegangen.
Erklärtes Ziel ist es, eines der kreativsten und innovativsten Unternehmen für digitale Transformation aufzubauen. Die Bekanntgabe der neuen Digitalagentur folgt pünktlich zur dmexco.
Interessierte können dann am Stand der apollon die Köpfe hinter der neuen Agentur exklusiv und persönlich kennenlernen.
Besucher sind herzlich eingeladen sich selbst von den Omnichannel-Marketing-Lösungen der apollon zu überzeugen. Termine können direkt unter http://dmexco.apollon.de/ vereinbart werden, inklusive der Anforderung von Tickets (Kontingent an Tickets ist begrenzt).

Originalmeldung direkt auf PresseBox lesen
Mehr von Firma PresseBox

Smartphones: Zuhören? Wahrscheinlich nicht. Zusehen? Aber klar!

Hören Apps wie Facebook oder Amazon uns stets zu? Nehmen sie unsere privaten Gespräche auf und werten diese aus, um uns optimal zugeschnittene Werbung zu zeigen? Diese Fragen stellen sich in Zeiten von smarten Sprachassistenten immer mehr Menschen. Ein Team von Computerwissenschaftlern der Northeastern University wollte genau wissen, was an den immer wieder aufflackernden Gerüchten über lauschende Apps dran ist und hat ein Experiment gestartet. Über ein Jahr lang haben sie mit zehn Android-Telefonen 17.260 populäre Apps getestet, um festzustellen, ob Sprachaufnahmen erstellt und verschickt werden. Über 9.000 dieser Apps könnten das zumindest in der Theorie, denn sie haben sich bei der Installation das Recht einräumen lassen, auf das Mikrofon und/oder die Kamera zuzugreifen.

Um herauszufinden, ob Aufnahmen an die Herausgeber der Apps gelangen wurde der Datenverkehr der Versuchshandys über ein Jahr lang streng überwacht und ausgewertet. Besonders gesendete Dateien mit Media-Inhalt standen dabei im Vordergrund der Untersuchungen. Die gute Nachricht: In keinem Fall konnten die Wissenschaftler ein Soundfile finden, das die Smartphones heimlich aufgezeichnet oder verschickt hatten. Die Wissenschaftler wollen nicht vollständig ausschließen, dass es in einigen Fällen doch geschieht. Dennoch ist nach dem Test davon auszugehen, dass die Praxis des lauschenden Smartphones nicht allzu weit verbreitet ist, wenn sie denn überhaupt vorkommt.

Die schlechte Nachricht: Die Forscher haben Screenshots und Videomitschnitte des Bildschirms entdeckt, die an Drittanbieter gesendet wurden. Ein Beispiel: Die App eines Fast-Food-Lieferdienstes zeichnete auch Eingaben von persönlichen Daten auf und gab diese dann an eine Domain von Appsee weiter. Dabei handelt es sich um eine Marktforschungsfirma, die auf mobile Anwendungen spezialisiert ist und auf ihrer Homepage unumwunden zugibt, dass sie in der Lage sei, die Aktivitäten der Nutzer in Apps aufzuzeichnen und auszuwerten. Das Unternehmen betont allerdings, dass Apps, die diese Technik einsetzten, ihre Kunden darauf hinweisen müssten, dass Daten erhoben und an Dritte weitergereicht würden. Im Fall des Fast-Food-Lieferanten war das nicht der Fall, bis die Wissenschaftler auf diesen Umstand hinwiesen. Darüber hinaus sind die App-Entwickler laut Appsee dazu angehalten, bestimmte Bereiche in ihren Apps zu blacklisten, etwa Eingabemasken für persönliche Daten. Dann würden diese nämlich von der Überwachung durch die Appsee-Software ausgenommen.

Damit hatten die Entwickler übrigens nicht nur Appsees Geschäftsbedingungen verletzt, sondern auch die von Google Play. Auch hier ist klar nachzulesen, dass Kunden darüber informiert werden müssen, wie Daten erhoben und gesammelt werden. Den Nutzern hilft das freilich wenig, denn sie haben kaum eine Möglichkeit, en Detail zu überprüfen, welche Daten eine App an welche Empfänger weiterleitet. Eine Funktion, bei der das Android-Gerät selbst seinen Besitzer warnt, wenn solch ein Verhalten einer App auftritt, oder die Möglichkeit besitzt, Aufnahmen des Displays zu unterbinden, existiert (noch) nicht. Besonders bedenklich ist das, wenn man an kompromittierte Apps denkt, die persönliche Daten wie Kennwörter aufzeichnen und an Kriminelle schicken könnten. Daher sollte man vorsichtig sein, welche Rechte Apps einräumt werden und bei der Installation nur die Berechtigungen gewähren, die die App tatsächlich zum Betrieb benötigt.

Originalmeldung direkt auf PresseBox lesen
Mehr von Firma PresseBox