In den Schlagzeilen

1. Cyberattacke gegen Internationales Rotes Kreuz

Das Internationale Komitee vom Roten Kreuz (IKRK), die Dachorganisation von Rotes Kreuz und Roter Halbmond, ist Ziel einer Cyberattacke geworden. Dabei haben Cyberkriminelle die Daten von mehr als 515.000 Menschen erbeutet. Wie Der Spiegel berichtet, sind darunter auch Daten von "höchst Schutzbedürftigen", beispielsweise von Menschen, die durch Katastrophen oder Migration von ihren Familien getrennt wurden. Hinweise auf Hackerinnen und Hacker sowie die Hintergründe der Cyberattacke gibt es bisher nicht, teilte die Organisation mit. Das IKRK appellierte an die Täterinnen und Täter, die Daten nicht zu veröffentlichen.

Zur Meldung von Der Spiegel

2. Kein Sicherheitsrisiko mehr: Xiaomi-Smartphones

Das BSI hat Smartphones des chinesischen Herstellers Xiaomi untersucht und keine Hinweise auf Sicherheitslücken oder Zensurfunktionen gefunden, meldet unter anderem Heise Online. Die Tests dauerten mehrere Monate und ergaben keine Auffälligkeiten. Im September des vergangenen Jahres hatte unter anderem die IT-Sicherheitsbehörde Litauens vor den Geräten gewarnt. Zu betonen ist, dass sich die Untersuchungsergebnisse des BSI sich nur auf Deutschland beziehen.

Cyber-Sicherheit², eine BSI-Videoserie über Smartphone-Sicherheit

Heise Online über Xiaomi-Smartphones

3. Von Rot auf Gelb: BSI stuft Cyber-Sicherheitswarnung zu Log4j herab

Das BSI hat seine Sicherheitswarnung zur Java-Bibliothek Log4j von Rot auf Gelb herabgestuft. Grund dafür sind zahlreiche Patches und Workarounds von Produkten, die diese Bibliothek einsetzen. Nach Ansicht des BSI hat sich auch deshalb die IT-Bedrohungslage der Schwachstelle seit dem letzten Update deutlich entspannt. Eine Entwarnung ist das aber nicht, denn es bestehen Hinweise darauf, dass die Schwachstelle international ausgenutzt wird. Wir raten daher dazu, trotz bereits eingespielter Patches weiterhin unbedingt zu prüfen, ob die Schwachstelle im Verwundbarkeitszeitfenster ausgenutzt wurde.

Aktualisierte BSI-Pressemitteilung zum Sicherheitsproblem bei Log4

4. Sensible Daten ungeschützt im Netz

Die ARD-Tagesschau berichtet von einem Datenleck: "Sensible Daten mehrerer Onlineshops lagen jahrelang ungeschützt im Netz", darunter Mail- und Postadressen, Bestellinformationen, Telefonnummern und teilweise sogar Bankverbindungen. Insgesamt seien mehr als eine Million Datensätze von schätzungsweise über 700.000 Nutzerinnen und Nutzern in ganz Deutschland bei folgenden Onlineshops betroffen: Otto, Kaufland (früher real), MediaMarkt, Check24, Tyre24, idealo, Hood und Crowdfox. Zwar wurde das Datenleck inzwischen geschlossen, eine Information der Kundinnen und Kunden durch die Plattformbetreiber gab es aber nicht.

BSI-Tipps für sicheres Onlineshopping

Zum Tagesschau-Bericht über den Datenleck auf Online-Marktplätzen

5. Cyberkriminelle nehmen Bank- und PayPal-Kunden ins Visier

"Kundinnen und Kunden von Volks- und Raiffeisenbank sowie PayPal-Nutzerinnen und -Nutzer sollten jetzt vorsichtig sein", warnt das Computermagazin PC-WELT: "Cybergangster greifen sie an." Das Magazin bezieht sich auf eine Mitteilung der Verbraucherzentralen, die vor einer Welle neuer Phishing-Attacken warnen. Die E-Mails trügen die Betreffzeile "Wichtige Information zu Ihrem Konto" und drehten sich um die Zahlungsdienstrichtlinie PSD2. Der in der Nachricht hinterlegte Link führe auf eine gefälschte Webseite, auf der die Zugangsdaten der Nutzerinnen und Nutzer gestohlen würden. Unsere eindringliche Empfehlung: Löschen Sie solche E-Mails und klicken Sie auf keine Links oder Anhänge in der Nachricht!

BSI-Infos über gefälschte und schadhafter E-Mails

Bericht von PC-WELT über aktuelle Phishing-Versuche

6. Kurz notiert

• 19-Jähriger aus Bayern will sich in 25 Tesla-Modelle gehackt haben.
• Heise Online warnt vor betrügerischen Kurznachrichten mithilfe einer neuen Smishing-Masche.
• Russischen Ermittlerinnen und Ermittlern ist es nach eigenen Angaben gelungen, die Infrastruktur der Hackergruppe REvil zu zerstören, die für Tausende Ransomware-Attacken verantwortlich sein soll.
• Die Europäische Weltraumorganisation ESA lässt zu Testzwecken Satelliten im All hacken.
• Kriminelle verschicken angebliche Vorladungen von Europol, dem Europäischen Polizeiamt oder Interpol. Es gilt: Anhänge nicht öffnen und keine persönlichen Daten an den Absender oder die Absenderin schicken.

Up-to-date

7. Aktuelle Warnmeldungen des Bürger-CERT

Das „Computer Emergency Response Team“ des BSI informiert regelmäßig über Schwachstellen in Hard- und Software. Aktuell gibt es Meldungen zu Adobe Acrobat (< 17.011.30207 und < 20.004.30020), Adobe Acrobat Reader (< 17.011.30207 und < 20.004.30020), Adobe Acrobat Reader DC (< 21.011.20039), Adobe Creative Cloud Bridge < 11.1.3 und < 12.0.1), Adobe Creative Cloud Illustrator (< 25.4.3 und < 26.0.2), Adobe Creative Cloud Incopy (< 16.4.1) sowie Adobe Creative Cloud InDesign (< 16.4.1); Google Android (9, 10, 11, 12); Microsoft Edge (< 97.0.1072.55), Microsoft .NET Framework, Microsoft Office und Microsoft Windows; Mozilla Firefox (< 96), Mozilla Firefox ESR (< 91.5) sowie Mozilla Thunderbird (< 91.5); Open Source ClamAV (< 0.103, < 0.103.5, < 104.2) und Open Source WordPress (>= 3.7, < 5.8.3) sowie zu Synology DiskStation Manager (< 6.2.4-25556-3 und < 7.0.1-42218-1).

Informationen und Tipps zum Umgang mit diesen Schwachstellen sowie weitere aktuelle Warnmeldungen des Bürger-CERT

8. Neuentdeckte Schadsoftware greift Windows, macOS und Linux an

Gleich auf alle großen Desktop-Betriebssysteme zielt die neu entdeckte Schadsoftware "Sysjoker" ab. Sie tarnt sich als Systemupdate und ruft eine auf Google Drive gespeicherte Datei auf, über die Angreiferinnen und Angreifer Zugriff zu einem infizierten System aufbauten, so t3n unter Verweis auf einen Blogbeitrag des Sicherheitsunternehmens Intezer. Der englischsprachige Beitrag enthält auch Tipps zur Bekämpfung der Schadsoftware.

t3n-Bericht über neue Schadsoftware

Blogpost von Intezer mit Tipps zur Bekämpfung der Software (englisch)

9. Microsoft: Rekordmenge an Sicherheitslücken geschlossen

Beim ersten Patchday des Jahres hat Microsoft im Januar insgesamt über 120 Sicherheitslücken in seinen Produkten geschlossen, davon knapp 100 kritische oder wichtige. Üblicherweise, so das Online-Portal Security-Insider, seien es lediglich knapp die Hälfte. Die Updates für alle Schwachstellen sollten Sie zeitnah installieren.

Bericht und Hinweise über aktuelle Microsoft-Patches

10. iPhone: Neustart verhindert

Manche Schadsoftware für das iPhone von Apple lässt sich durch einen Neustart unschädlich machen. Mit Tricks wären Hackerinnen und Hacker aber in der Lage, solche "Reboots" zu verhindern, wie eine Forschergruppe nun herausfand. Das System würde in einem solchen Fall einen Neustart nur simulieren, so dass Schadsoftware weiter aktiv bleiben kann. Abhilfe gegen diese Praktiken gebe es nicht, nur einen allgemeinen Hinweis gibt das Forscherteam: "Niemand sollte einem iOS- oder iPad-Gerät trauen, das abgeschaltet ist."

Bericht bei Heise Online

Gut zu wissen

11. Was Cyberkriminelle im Jahr 2022 planen

"Fake-Videos vom Chef, kriminelle QR-Codes, Hacker-Roboter": Die Wirtschaftswoche hat aufgeschrieben, welchen Bedrohungen Verbraucherinnen und Verbraucher in diesem Jahr ausgesetzt sein werden. Kurz zusammengefasst: Die Gefahren werden wohl ähnlich weitreichende Folgen haben wie im Vorjahr. Allerdings träten immer häufiger sogenannte Hack-Roboter an, um IT-Systeme automatisch anzugreifen. Diese Roboter seien effizienter und schneller als menschliche Hackerinnen und Hacker.

BSI-Tipps zum Schutz vor Cyber-Angriffen

Wirtschaftswoche über aktuelle Trends in der Cyberkriminalität

Praktisch sicher

12. Tipps für sicheres Arbeiten im Home-Office

In der Pandemie ist für viele das Home-Office von der seltenen Ausnahme zur Regel geworden. Aus Sicht der IT-Sicherheit ist das ein Thema, weil Computer beim Arbeiten von Zuhause aus sehr oft sehr viel weniger geschützt sind als die Rechner im Büro. Mit diesen drei Maßnahmen können Sie diese Sicherheit aber leicht erhöhen:

(1) Halten Sie Ihren Rechner auf dem neusten Stand. Spielen Sie Updates und Security-Patches ein, sobald sie verfügbar sind. Schützen Sie Ihren PC zudem mit einem (ebenfalls regelmäßig aktualisierten) Antivirenprogramm gegen fremde Zugriffe.

(2) Widmen Sie diese Aufmerksamkeit auch Ihrem Router und anderen Geräten, etwa Ihrem Smartphone. Beginnen Sie damit, das Standardpasswort Ihres Routers zu ändern. Das macht Ihre Geräte weniger angreifbar.

(3) Setzen Sie für alle Geräte eine Multifaktor-Authentisierung ein; neben Nutzername und Passwort wird bei einer Anmeldung ein weiteres Merkmal abgefragt, etwa ein Fingerabdruck, ein Irisscan oder ein Code. Bei der Einrichtung hilft Ihnen Ihre Unternehmens-IT sicher gerne weiter.

Weitere Tipps zum sicheren Arbeiten im Home-Office finden Sie in der BSI-Checkliste

...und im Informationsblatt der Transferstelle IT-Sicherheit im Mittelstand

Was wichtig wird

#BSIKongress2022: Jetzt anmelden!
Am 1. und 2. Februar 2022 findet unter dem Motto "Cyber-Sicherheit ist Chefinnen- und Chefsache!" der 18. Deutsche IT-Sicherheitskongress des BSI statt. Ein vielseitiges Programm mit Themen wie Faktor Mensch, 5G oder Kritische Infrastrukturen (KRITIS) erwartet Sie. Um möglichst vielen Teilnehmerinnen und Teilnehmern eine Plattform für den Austausch zu aktuellen Themen der Cyber-Sicherheit zu bieten, wird der Kongress digital stattfinden: Die Moderation und Vorträge erfolgen live vor Ort, die Besucherinnen und Besucher sind virtuell dabei. Die Teilnahme am Kongress ist kostenlos.

Informationen, Programmhinweise und Anmeldung zum 18. Deutschen IT-Sicherheitskongress

Übrigens

In Deutschland sind immer noch rund drei Millionen Computer in Betrieb, die mit alten Betriebssystemen laufen, darunter allein rund 2,7 Millionen Geräte mit Windows 7. Dabei hat Microsoft den Support für dieses Betriebssystem bereits vor zwei Jahren eingestellt. Expertinnen und Experten bewerten den Einsatz solcher alten Systeme als "grob fahrlässig". Abhilfe schafft nur die Aktualisierung der Software

Sie wünschen weitere Sicherheitstipps und Informationen für Ihren digitalen Alltag.

10 Basistipps für mehr Sicherheit in Ihren digitalen Alltag

Sie haben allgemeine Fragen oder Verbesserungsvorschläge für diesen Newsletter? Unsere Kontaktmöglichkeiten

Ihnen gefällt dieser Newsletter? Empfehlen Sie ihn weiter