TU Berlin: Nach einem Jahr sind die Auswirkungen des IT-Sicherheitsvorfalls weitgehend überwunden

Seit dem Angriff auf die Windows-Systeme der TU mit einem Verschlüsselungstrojaner im April 2021 waren – und sind es zum Teil bis heute – sämtliche TU-Angehörige von den Auswirkungen des Vorfalls in Form von ausgefallenen bzw. eingeschränkten Diensten betroffen.

Mittlerweile sind die meisten Dienste wieder verfügbar bzw. durch Alternativen ersetzt worden, für die die verbliebenen Arbeiten an den Diensten der ZECM gibt es eine Roadmap. Einige Dienste wurden außer Betrieb genommen, bspw. tubmeeting, MS Sharepoint und WebAFS.

Die TU hat aus dem Vorfall gelernt und hart daran gearbeitet, die IT-Systeme sicher neu aufzustellen.

Weitere Informationen

Digitale Souveränität: Wie sie an Hochschulen gelingen kann

Der Begriff der digitalen Souveränität geistert schon länger durch die Medien, aber was bedeutet es und gibt es bereits Erfolge? Wie tragen auch deutsche Hochschulen dazu bei, diese zu stärken?

Digitale Souveränität bedeutet, nicht abhängig zu sein von einzelnen Anbietern und deren digitalen Produkten, sondern selbst über IT-Systeme und Daten zu bestimmen.

Das Thema wird verstärkt im europäischen und nationalen Kontext angesprochen, da die Politik mittlerweile erkannt hat, dass es großer Anstrengungen bedarf um in der IT unabhängiger von den US-IT-Giganten zu werden. Die Versäumnisse der letzten Jahrzehnte werden daran deutlich, dass weder Verwaltung und  Unternehmen noch die Bürger*innen kaum mehr ohne US-amerikanische Dienste auskommen: Angefangen von Betriebssystemen wie Windows, MacOS und Android über Standardsoftware wie MS Office und Chrome hin zu Cloud-basierten Services wie Social Media oder Videokonferenztools.

Es ist zu befürchten, dass die gewachsene Marktmacht in den nächsten Jahren nicht gebrochen werden kann. Die Frage bleibt, welche Gestaltungsspielräume jetzt und in Zukunft existieren – ob man den Anbietern auf Gedeih und Verderb ausgeliefert ist, so dass diese die Bedingungen diktieren können, oder ob Alternativen bestehen.

Es gibt seit langem Initiativen, in denen eigene Wege beschritten und alternative Angebote entwickelt werden – vornehmlich handelt es sich um Open Source Projekte, die eine größere Verbreitung finden und zumeist spendenbasiert an Qualkität gewinnen und in einigen Fällen gute Substitute für kommerzielle Produkte sind. Die (technischen) Hochschulen können hier mit Ihrer Kompetenz punkten und zur  Verbesserung der Produkte beitragen, indem sie künftig Mittel umschichten und stärker in Open Source Software investieren.

Mit BigBlueButton und Nextcloud sind bereits angegangene Wege zu einer zunehmenden digitalen Souveränität an den Hochschulen sichtbar, die wir näher beschreiben.

„Digitale Souveränität: Wie sie an Hochschulen gelingen kann“ weiterlesen

Pilotbetrieb von BigBlueButton an der TU Berlin

Seit Semesterbeginn wird das Portfolio an Videokonferenzdiensten durch das Open Source Videokonferenztool BigBlueButton (BBB) ergänzt, welches von InnoCampus betrieben wird.

Damit steht ein leistungsfähiger Dienst zur Verfügung, der vollständig auf Servern der TU Berlin betrieben wird und deshalb den Anforderungen an einen datenschutzfreundlichen Betrieb in besonderem Maße genügen kann.

In Berlin wird -teilweise seit Beginn der Pandemie- BigBlueButton an den meisten Hochschulen von den Rechenzentren als Videokonferenztool betrieben, um nur einige zu nennen:

  • Alice-Salomon-Hochschule Berlin (ASH)
  • Berliner Hochschule für Technik (BHT, ehem. Beuth)
  • Hochschule für Technik und Wirtschaft Berlin (HTW)
  • Hochschule für Wirtschaft und Recht Berlin (HWR)
  • Humboldt-Universität (HUB)
  • Universität der Künste (UdK)

Weitere Informationen

 

Sicherheitslücke: 70.000 Datensätze von Nutzer*innen der Unibibliothek Leipzig waren online abrufbar

Eine Webanwendung gab zwei Wochen lang Zugriff auf den Datenbestand, der Namen, E-Mail-Adressen und Bibliothekskarten-Nummer von 70.000 Nutzer*innen enthielt.

Erstaunlicherweise war die Zahl an Datensätzen deutlich höher als die Zahl aktiver Nutzer*innen. Offenbar waren auch inaktive Nutzer*innen betroffen, so dass nunmehr sowohl an der Verbesserung der IT-Sicherheit als auch am Löschkonzept gearbeitet wird.

Weitere Informationen

Wo finde ich nützliche Hinweise zum Forschungsdatenschutz?

Neben dem Besuch vieler anderer mehr oder weniger informativen Web-Seiten lohnt sich für alle Forscher*innen und Interessierte auch ein Blick auf die Homepage  https://www.forschungsdaten-bildung.de/ des Leibniz-Institut für Bildungsforschung und Bildungsinformation.

Dort findet mensch viele Hinweise und Downloads zum Thema Forschungsdaten und Forschungsdatenschutz.

Weitere Informationen

 

Positionspapier “Datenschutzkonforme digitale Tools in der Lehre”

Ein Kommentar zum aktuellen Positionspapier der Arbeitsgruppe Digitale Medien der Deutschen Gesellschaft für Hochschuldidaktik (dghd) in Kooperation mit der Gesellschaft für Medien in der Wissenschaft (GMW).

„Positionspapier “Datenschutzkonforme digitale Tools in der Lehre”“ weiterlesen

IT-Sicherheit an brandenburgischen Hochschulen in Gefahr?

Im letzten Jahr hat der Landesrechnungshof Brandenburg (LRH BB) Untersuchungen zur IT-Sicherheit an den acht Hochschulen des Landes durchgeführt.

Unter dem Strich sind die Hochschulen dabei nicht besonders gut weggekommen, die Verbesserung der IT-Sicherheit sei in den letzten 30 Jahren trotz der bekannten Bedrohungen nicht ausreichend angegangen worden – was lt. LRH in nicht unwesentlichem Maße an den unzureichenden Mitteln und Maßnahmen durch das Wissenschaftsministerium lag.

Im Jahresbericht sind die Einschätzungen einschließlich der Stellungnahme des Ministeriums dokumentiert.

„IT-Sicherheit an brandenburgischen Hochschulen in Gefahr?“ weiterlesen

Erfolg von NOYB: Österreichs Datenschutzbehörde wird aktiv und bescheidet, dass Google Analytics gegen die DSGVO verstößt

Die erste von 101 Beschwerden von Max Schrems‘ Organisation NOYB „None of Your Business“ wurde jetzt positiv beschieden:

Der Einsatz von Google Analytics ist illegal.

Alle wussten es, jetzt müssen die Aufsichtsbehörden aktiv werden: Die Einbindung von Google Analytics und die für die Nutzung vereinbarten Standardvertragsklauseln genügen nicht den Anforderungen der DSGVO und sind mithin nicht zulässig.

„Erfolg von NOYB: Österreichs Datenschutzbehörde wird aktiv und bescheidet, dass Google Analytics gegen die DSGVO verstößt“ weiterlesen

EU-Verordnung plant Scans von Nutzerinhalten auf Endgeräten

Alle Strafverfolger wollen es, Apple hat bereits gezeigt, wie es geht.

Endgeräte scannen, bevor die Kommunikation verschlüsselt wird.

Die EU Kommission lanciert eine Verordnung, die Tech-Unternehmen und Telekommunikations-Anbieter dazu verpflichten soll, Endgeräte der Nutzer*innen und Kommunikation auf strafbare Inhalte zu scannen und diese automatisiert an die Behörden weiterzugeben.

„EU-Verordnung plant Scans von Nutzerinhalten auf Endgeräten“ weiterlesen

Sicherheitslücke bei Komponente log4j gefährdet eine Vielzahl von Systemen

Bei der weitverbreiteten Logging-Komponente log4j 2 ist am Freitag eine schwerwiegende Schwachstelle bekannt geworden, ein Zero-Day-Exploit. Das BSI hat am Wochenende die höchste Warnstufe rot dafür ausgerufen, da es vermehrt zu Angriffen kam.

Das log4j-Framework ist als Java-Bibliothek in viele Systeme integriert, insbesondere bei webbasierten Anwendungen, die dadurch angreifbar sein können.

Die Entwickler der Open Source Software haben umgehend einen Patch und Hinweise zur Abstellung der Schwachstelle veröffentlicht. Eine Anpassung der Systeme ist dringend geboten. An der TU wurden die zentralen Dienste bereits angepasst bzw. sind temporär nur eingeschränkt verfügbar.

Weitere Informationen

Nachtrag vom 15. Dezember

Es ist wohl schlimmer als gedacht: Letztlich handelt es sich um ein grundsätzliches Problem der Spezifikation der Programmiersprache, da diese zur Laufzeit ein (Nach)laden von Variablen und ihren Werten aus externen Quellen erlaubt. Daher sind solche problematische Schwachstellen auch schwer im Code zu erkennen. Überdiese Art von Schnittstellen verfügt nicht nur Java, es ist ein gängiges Konzept. Leider kein Sicherheitskonzept. Zumindest bleibt zu hoffen, dass die log4j-Schwachstelle ein Umdenken anregt.