Die erste von 101 Beschwerden von Max Schrems‘ Organisation NOYB „None of Your Business“ wurde jetzt positiv beschieden:
Der Einsatz von Google Analytics ist illegal.
Alle wussten es, jetzt müssen die Aufsichtsbehörden aktiv werden: Die Einbindung von Google Analytics und die für die Nutzung vereinbarten Standardvertragsklauseln genügen nicht den Anforderungen der DSGVO und sind mithin nicht zulässig.
Alle Strafverfolger wollen es, Apple hat bereits gezeigt, wie es geht.
Endgeräte scannen, bevor die Kommunikation verschlüsselt wird.
Die EU Kommission lanciert eine Verordnung, die Tech-Unternehmen und Telekommunikations-Anbieter dazu verpflichten soll, Endgeräte der Nutzer*innen und Kommunikation auf strafbare Inhalte zu scannen und diese automatisiert an die Behörden weiterzugeben.
„EU-Verordnung plant Scans von Nutzerinhalten auf Endgeräten“ weiterlesen
Bei der weitverbreiteten Logging-Komponente log4j 2 ist am Freitag eine schwerwiegende Schwachstelle bekannt geworden, ein Zero-Day-Exploit. Das BSI hat am Wochenende die höchste Warnstufe rot dafür ausgerufen, da es vermehrt zu Angriffen kam.
Das log4j-Framework ist als Java-Bibliothek in viele Systeme integriert, insbesondere bei webbasierten Anwendungen, die dadurch angreifbar sein können.
Die Entwickler der Open Source Software haben umgehend einen Patch und Hinweise zur Abstellung der Schwachstelle veröffentlicht. Eine Anpassung der Systeme ist dringend geboten. An der TU wurden die zentralen Dienste bereits angepasst bzw. sind temporär nur eingeschränkt verfügbar.
Es ist wohl schlimmer als gedacht: Letztlich handelt es sich um ein grundsätzliches Problem der Spezifikation der Programmiersprache, da diese zur Laufzeit ein (Nach)laden von Variablen und ihren Werten aus externen Quellen erlaubt. Daher sind solche problematische Schwachstellen auch schwer im Code zu erkennen. Überdiese Art von Schnittstellen verfügt nicht nur Java, es ist ein gängiges Konzept. Leider kein Sicherheitskonzept. Zumindest bleibt zu hoffen, dass die log4j-Schwachstelle ein Umdenken anregt.
Ja!
Der gestern präsentierte Koalitionsvertrag von SPD, Grünen und FDP greift viele Forderungen aus der Zivilgesellschaft auf, u.a.
„Koalitionsvertrag vereinbart Stärkung der Bürgerrechte im Digitalen“ weiterlesen
Die vom Innenministerium erarbeitete Strategie wurde vielfach kritisiert – nun wird die Aufweichung der Cybersicherheit zum Regierungsprogramm.
Statt für eine Erhöhung der Cybersicherheit durch entsprechende Gesetze mit strafbewehrten Auflagen zu sorgen, sollen Geräte und Software löchrig bleiben wie ein Schweizer Käse.
Kein Gerät ist sicher.
Jede*r ist betroffen.
Letztlich zeigt die Strategie, wohin die Reise geht: Überwachung und Kontrolle. Es wurden bereits etliche Gesetze beschlossen und weitere Gesetzesinitiativen sind auf dem Weg, sowohl in Deutschland als auch international (siehe den Blogbeitrag dazu).
Eine weitere Kritik an der Strategie: Die Weichen wurden noch vor der Bundestagswahl gestellt, statt der neuen Bundesregierung einen Gestaltungsspielraum einzuräumen.
Aus dem Inhalt der Cyber(un)sicherheitsstrategie 2021:
„Cyber(un)sicherheit: Strategie von der Bundesregierung beschlossen“ weiterlesen
Notebooks, Smartphones und viele andere Bluetooth-fähigen Geräte sind betroffen (alle Bluetooth-Versionen 3.0 – 5.2). Wenn Bluetooth aktiviert und ein Angreifer in Funkreichweite ist, kann er das Gerät zum Absturz bringen und im Einzelfall auch Schadcode ausführen.
Falls der Bluetooth-Kopfhörer oder die Smartwatch nicht mehr reagiert, könnte das der Grund dafür sein :-(.
Updates sind noch nicht verfügbar und teilweise von den Herstellern auch nicht vorgesehen.
Zudem stellt sich bei vielen Geräten des Internets der Dinge (IoT) die Frage, ob und wie diese überhaupt gepatched werden können. Über Bluetooth oder WLAN/Mobiles Internet Updates einzuspielen erscheint nicht als geeigneter Weg, aber nicht jedes Gerät es lässt sich über USB verbinden und bei der Vielzahl an Geräten auch kein gangbarer Weg.
Problematisch ist zudem, dass es sich um sogenannte Firmware-Updates handelt (auch Treiber genannt), die für die oft separate Bluetooth-Komponente eines Gerätes installiert werden müssen.
Bislang hat sich noch kein sicheres Verfahren für Updates etabliert. Es zeichnet sich aber bereits jetzt ab, dass Updates „over-the-air (OTA)“ umgesetzt werden, d.h. sie werden direkt über WLAN/Mobiles Internet auf die Geräte aufgespielt. Dabei ist es wichtig, dass keine Schadsoftware auf die Geräte kommt – letztlich handelt es sich bei solch einem Update auch um Remote Code Execution, die gegen Mißbrauch abgesichert werden sollte.
Mittlerweile bieten zwar Cloud-Anbieter wie AWS und Azure Tools für IoT Device Management an, ob diese sicher genug sind, kann hinterfragt werden und hängt nicht zuletzt von den Fähigkeiten und implementierten Schutzmechanismen der IoT Devices ab.
In der Working Group Software Updates for Internet of Things (SUIT) der IEEE wird an Empfehlungen bis hin zu Standards gearbeitet. Ziel ist die Entwicklung einer sicheren Architektur für Updateprozesse, bei der u.a. kryptographische Signaturen für authorisierte Updates eingesetzt werden. Es scheint aber noch ein weiter Weg zu sein.
Microtargeting ist spätestens seit dem Skandal um die Rolle von Cambridge Analytica bei der Trump-Wahl 2016 bekannt:
Ziel von Microtargeting ist, bestimmte Nutzergruppen anhand ihrer Interessen zu bündeln und diesen personalisierte, passende Werbung anzuzeigen.
Bei Wahlen sind das einerseits positive Äußerungen über die beworbene Partei, oft werden aber auch Fake News oder Schmutzkampagnen über politische Gegner auf diesem Weg verbreitet.
Ein aktueller Beitrag der ARD geht der Frage nach, ob und wie Wahlstrategen solche Kampagnen mithilfe britischer Agenturen umsetzen können – bei einer Undercover-Aktion.
„Wahlkampagnen mit Microtargeting in sozialen Medien: Beitrag in der ARD“ weiterlesen
Ein Länder-übergreifendes Recherchenetzwerk hat den Skandal um die Schadsoftware Pegasus der israelischen NSO Group aufgedeckt, mit der Smartphones infiziert werden können.
Der „Staatstrojaner als Service“ der NSO Group ähnelt den „Ransomware als Service“ Ansatz von Hackern, mit dem wesentlichen Unterschied, dass er legal von staatlichen Akteuren beauftragt wird.
Offiziell wird das Tool zur Terrorverfolgung lizenziert, letztlich steht es den Nutzern aber frei, ihre Ziele „Targets“ auszuwählen. Unter den gut zahlenden Kunden sind autoritäre Staaten, die damit auch Systemkritiker, Journalisten und Anwälte ausspionieren. Selbst bekannte Politiker wie Macron sollten ausgespäht werden.
Am Deutlichsten wird die Verbindung zwischen der Überwachung mit NSO’s Pegasus-Trojaner und physischer Gewalt beim ermordeten saudi-arabischen Journalisten Jamal Khashoggi, aber auch Menschenrechtsaktivisten in Mexiko und Indien sind massiv betroffen.
In diesem Beitrag geht es um die Funktionsweise der Spionagesoftware sowie das fragwürdige Geschäftsmodell der milliardenschweren NSO Group.
„Pegasus: Überwachung leicht gemacht – das Geschäft mit dem Staatstrojaner“ weiterlesen
Heute wird das vielfach diskutierte und nur punktuell angepasste Bundespolizeigesetz im Bundestag beschlossen.
Es ist nun den Polizeibehörden und Geheimdiensten möglich ohne Strafantrag die Rechner unbescholtener Bürger zu hacken und mit Staatstrojanern zu versehen. Für die Telekommunikationsüberwachung (TKÜ) musste zumindest ein Tatverdacht bestehen.
Sicherheitslücken dürfen dabei ausgenutzt und Schadsoftware installiert werden.
Die Telekommunikationsanbieter sind dabei zur Mitwirkung verpflichtet.
Der Grundrechtseingriff ist so massiv, dass bereits jetzt absehbar ist, dass das Gesetz vom Bundesverfassungsgericht gekippt werden wird. Allerdings wird bis dahin noch viel Wasser die Spree hinunter fließen.
Die Gesellschaft für Freiheitsrechte hat insgesamt 7 Klagen gegen die einschlägigen Gesetze zum Staatstrojaner eingereicht sowie zuletzt eine Beschwerde beim Bundesdateschutzbeauftragten gegen den Kauf und die Nutzung der Software Pegasus durch das BKA.
Personenbezogene Daten per Fax zu übermitteln ist nicht unproblematisch.
Einerseits konnte schon immer die Leitung abgehört oder das gedruckte Fax in falsche Hände gelangen.
Andererseits ist heutzutage ein Fax kein Fax mehr, da sowohl die Übertragungswege Internet-basiert sind, Fax-Gateways sie als unverschlüsselte E-Mail weiterleiten und auch Fax-Endgeräte keine klassischen Faxgeräte mehr sind, sondern zumeist multifunktionale Netzwerkdrucker.
Insofern ist es nicht überraschend, dass die Bremer Datenschutzbehörde davor warnt, Faxe zur Übersendung sensibler Informationen zu wenden und verschlüsselte E-Mail-Kommunikation oder den Brief als sichere Alternative vorschlägt.
Die Hessische Datenschutzbehörde erklärt, warum Fax als nicht datenschutzkonform zu betrachten ist: In erster Linie aufgrund der zumeist unverschlüsselten Übertragung der Datenpakete mittels TCP/IP über Server verschiedenster Akteure statt wie ursprünglich über Telefonleitungen. Es sollen alternative elektronische Übermittlungswege gewählt werden, bspw. verschlüsselte E-Mails.
