Newsletter SICHER • INFORMIERT vom 25.04.2024

Ausgabe 09/2024

D-Link-Speichersysteme sind nicht (mehr) sicher, Cyberkriminelle verbreiten Malware per YouTube und vom 7. bis zum 8. Mai findet der 20. Deutsche IT-Sicherheitskongress 2024 in digitaler Form statt – zu dem wir euch herzlich einladen!

In den Schlagzeilen

1. Mehrjährige Cyberattacke auf VW aufgedeckt

Zwischen 2010 und 2015 sollen im Rahmen eines „groß angelegten, bislang unbekannten Cyberangriffs auf Volkswagen“ bis zu 19.000 Dateien erbeutet worden sein. Ziel der Hacker waren Medienberichten zufolge unter anderem die Bereiche Ottomotoren- und Getriebeentwicklung. Auch Konzepte für Elektro- oder Brennstoffzellenantriebe seien im Rahmen des aufgedeckten digitalen Industriespionageangriffs erbeutet worden. Die gestohlenen Dateien werden im Hinblick auf den internationalen Wettbewerb als weiterhin sehr relevant eingestuft.

Es berichtet u.a. Tagesschau.de.

2. Malware via Youtube

Cyberkriminelle nutzen vermehrt YouTube-Kanäle, um Schadsoftware zu verbreiten – erstmalig hatten wir darauf in unserer letzten Ausgabe hingewiesen. Proofpoint-Analysten haben sogar auf verifizierten Kanälen Malware wie Vidar, StealC und Lumma Stealer ausgemacht. Sie infizieren Rechner über die Links in den Videobeschreibungen, um so persönliche Daten von Nutzenden zu stehlen. Die Videos, mit denen Userinnen und User angelockt werden, zeigen zum Beispiel wie man Software herunterlädt oder Videospiele kostenlos aktualisiert. Viele der mit infizierten Links bestückten Inhalte scheinen dabei insbesondere auf Kinder und Jugendliche abzuzielen.

Es berichtet u.a. Security-Insider.

Was kann Schadsoftware anrichten, wie lässt sie sich erkennen und wie kann man sich schützen? Hier erhalten Sie alle Informationen rund um Trojaner, Viren, Würmer und Co.

3. Kurz notiert

Cyberangriff auf Heinrich-Heine-Universität: Über gestohlene Zugänge einiger Studierender konnten Hacker auf rund 60.000 sensible Daten von 15.000 Server-Nutzenden der Hochschule zugreifen. Unter anderem flossen Informationen wie Namen, E-Mail-Adressen, Matrikelnummern und Studienfächer ab. Zur Erklärung der Universität.
Neue X-Kontos sollen gebührenpflichtig werden: Um die Zahl und Aktivität von Bot-Accounts auf X einzuschränken, könnten für neu eingerichtete Konten künftig Kosten für Grundfunktionen wie das Posten von Beiträgen anfallen. Die Bezahlschranke als Gegenmaßnahme gegen Spam und Falschmeldungen ist umstritten, wurde in Neuseeland und den Philippinen von der Plattform X jedoch bereits getestet. Das Handelsblatt berichtete neben anderen.

Up-to-date

4. Google und Samsung patchen Android-Sicherheitslücken

Cyberkriminelle, die das eigene Smartphone übernehmen? Ein Szenario, das für Nutzende von Android 12/13/14 nicht unmöglich ist. Im Sicherheitsbulletin des Betriebssystems wurden verschiedene Lücken veröffentlicht, die die Smartphones von Nutzenden gefährden. Die gute Nachricht: Google und Samsung haben bereits Sicherheitsupdates veröffentlicht, die die riskanten Schwachstellen in Android patchen. Es empfiehlt sich eine schnelle Aktualisierung.

Unter anderem berichtet Security-Insider sowie Google.

5. D-Link-Speichersysteme sind nicht (mehr) sicher

Die vor allem für den privaten Gebrauch und den Einsatz in kleinen Unternehmen entwickelten Cloudspeicher-Geräte (sogenannte Network Attached Storage, kurz NAS) des Herstellers D-Link sollten schnellstmöglich vom Netz abgekoppelt und nicht mehr eingesetzt werden. Gravierende Sicherheitslücken in rund 20 Gerätemodellen ermöglichen Hackern etwa die Anmeldung ohne Passwort durch ein Hintertür-Konto. Es werden bereits aktive Angriffe auf verwundbare Geräte beobachtet, daher ist auch hier schnelles Handeln gefragt.

Es berichtet unter anderem heise.de sowie der Hersteller selbst.

6. Aktuelle Warnmeldungen des BSI

Das BSI informiert auf seiner Webseite regelmäßig über aktuelle Schwachstellen in Hard- und Software und gibt Informationen sowie Tipps zum Umgang damit.

Hier finden Sie alle Hinweise dazu, wo derzeit Lücken bei der IT-Sicherheit auftauchen.

Gut zu wissen

7. Phishing-Masche trifft DKB-Kundschaft

Eine vermeintlich im Auftrag der Deutschen Kreditbank (DKB) versendete Mail informiert Nutzende darüber, dass ihr Onlinebanking-Profil aus Sicherheitsgründen deaktiviert wurde. Um vor „unbefugter Kontonutzung“ geschützt zu sein und alle Dienste weiterhin nutzen zu können, soll der in der E-Mail platzierte Button mit der Aufschrift „Konto aktualisieren“ angeklickt werden. Andernfalls, so die Drohung, würden die Funktionen des DKB-Bankings eingeschränkt. Nutzende sollten diese Phishing-Aufforderung unbedingt ignorieren und die Nachricht in den Spamordner verschieben.

Alle Details zur aktuellen Warnung der Verbraucherzentrale.

Sie möchten mehr darüber erfahren, wie Sie Phishing-Mails von seriösen Nachrichten unterscheiden können? Dann lesen Sie hier weiter.

8. Meta-Konzern führt Nacktbilderschutz bei Instagram ein

Via Instagram-Direktnachricht verschickte Nacktbilder werden beim Öffnen des Chats künftig mit einem Unschärfefilter überblendet. Dieser lässt sich mit einer weiteren Aktion ausschalten, sofern Nutzende den Inhalt ansehen möchten. Die neue Funktion greift bei Minderjährigen automatisch, um sie besser vor Belästigungen und Erpressungsversuchen zu schützen. Der Nacktbilderschutz kann aber von allen Nutzenden in den Einstellungen aktiviert werden. Er funktioniert auch in Chats mit Ende-zu-Ende-Verschlüsselung, da die für die Erkennung der Nacktheit nötige Analyse auf den Geräten selbst vorgenommen wird.

Neben anderen berichtet heise.de.

In diesem Wegweiser des BSI erfahren Sie mehr darüber, wie der digitale Alltag für Kinder und Jugendliche sicher gestaltet werden kann.

Sie möchten erfahren, wie Sie konkret Jugendschutzeinstellungen in Apps vornehmen? Hier geht’s zur Schritt-für-Schritt-Anleitung.

9. Suchen Sie noch oder tracken Sie schon?

Gut ein Drittel der Verbraucherinnen und Verbraucher in Deutschland ist mit der Nutzung digitaler Hilfsmittel zur Ortung vertraut. Das hat eine telefonische Befragung von 1.005 Personen ab 16 Jahren im Auftrag des Digitalverbandes Bitkom ergeben. Am häufigsten tracken Nutzende ihr Smartphone (23 %). Doch auch Schlüssel (6 %), Haustiere (4 %) oder Gepäckstücke auf Reisen (3 %) werden mittels Ortungsanwendung lokalisiert. Das Smartphone wird dabei nicht nur am häufigsten gesucht – es ist auch das beliebteste Hilfsmittel zur Ortung. Alternative Methoden, etwa GPS-Tracker, die mit einer SIM-Karte ausgestattet sind und damit ihren Standort über das Mobilfunknetz übermitteln, sind weniger verbreitet.

Mehr über Sicherheitseinstellungen, Zugriffsrechte, Passwörter und PINs für mobile Systeme wird am Beispiel Wearables hier erläutert.

Praktisch sicher

10. Mobile Payment

Mit dem iPhone bezahlen? Das ging bisher nur via Apple Pay. Nun wurde bekannt, dass Apple schon im kommenden Monat auch andere Bezahldienste für die sogenannte Near Field Communication (NFC) zulassen könnte, um damit eine EU-Strafe wegen Behinderung konkurrierender Anbieter zu umgehen. Nutzende von Android können schon jetzt zum Bezahlen beispielsweise Google Pay oder die Apps von Kreditinstituten und Handelsunternehmen nutzen. Sie möchten mehr über das bargeld- und kontaktlose Bezahlen mit mobilen Endgeräten erfahren?

Wir geben Hinweise zu Funktion und Sicherheit.

11. Messenger-Dienste sicher nutzen

Kürzlich hat der Messenger-Dienst Signal eine Funktion eingeführt, die die persönliche Telefonnummer besser schützen soll. Sie ist künftig nur noch für Nutzende sichtbar, die sie ohnehin in den eigenen Telefonkontakten gespeichert haben. Wer seine Nummer öffentlich machen möchte, kann das in den Einstellungen ändern. Sie nutzen Messenger-Dienste wie Signal, WhatsApp, Threema und Co. und möchten wissen, worauf zu achten ist?

Hier werden Sie fündig.

Was wichtig wird

12. Jetzt zum IT-Sicherheitskongress anmelden!

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veranstaltet vom 7. bis 8. Mai 2024 in digitaler Form den 20. Deutschen IT-Sicherheitskongress. Unter dem Motto „Cybernation Deutschland: Kooperation gewinnt.“ werden Trends und Entwicklungen im Bereich der IT-Sicherheit als Voraussetzung für eine gelungene Digitalisierung beleuchtet. Melden Sie sich jetzt zum 20. Deutschen IT-Sicherheitskongress an! Die Teilnahme am Kongress ist kostenlos.

Mehr Informationen auf der Seite des IT-Sicherheitskongresses.

Übrigens

13. Edge Computing? Mit Sicherheit!

Moderne Anwendungen für intelligente Verkehrssysteme oder den Bereich Virtual Reality benötigen eine nahezu verzögerungsfreie Übertragung von Daten, um die echte Welt mit der digitalen Welt verschmelzen zu lassen. Weit entfernte Rechenzentren, in denen die Daten verarbeitet und interpretiert werden, bedeuten in vielen Fällen eine zu große Verzögerung – selbst, wenn sie nur im Millisekundenbereich liegt. Edge Computing ist eine Form des Cloud Computings, das die Datenverarbeitung näher an den Ort des Geschehens bzw. den Rand („Edge“) des Netzwerks heranrückt. Edge Computing wird immer relevanter – stellt aber auch eine große Herausforderung für die Absicherung dar.

Das BSI hat nun eine Empfehlung dazu veröffentlicht, wie Edge Computing in Zukunft sicher gestaltet werden kann.