Analysieren – Schützen – Zertifizieren
Human-Resources-Abteilungen nutzen zunehmend Künstliche Intelligenz – auch für Überwachungs- und Bewerbungsprozesse. Nun wollen das Bundesarbeits- und das Innenministerium mit einem Gesetz klären, in welchen Fällen Arbeitgebende mit KI die Daten ihrer Beschäftigten auswerten dürfen.
Bitte fragen Sie uns, wenn Sie den Einsatz von KI in Ihren Einstellungsprozessen planen!
Warnung vor Phishing-Welle: Der Hosting-Anbieter Host Europe und das LKA Niedersachsen informieren darüber, dass eine massive Phishing-Kampagne die Host-Europe-Kundschaft im Visier hat.
Dabei sind die Mails die der Kunde der Kölner Firma bekommt täuschend echt. Es empfiehlt sich hier z.B. die Zahlungsmethoden auf „Einzug“ zu stellen, da die Betrüger sich in Ihrer Mail auf eine fehlende Zahlung beziehen. Dies ist bei „Einzug“ schon einmal auszuschließen.
Quelle: (u.a.) Heise und das Landeskriminalamt Niedersachsen.
Passkeys sind eine sichere Login-Methode. Sie lassen sich unkompliziert einrichten, einfach anwenden und stellen damit eine empfehlenswerte Alternative zu Nutzernamen-Passwort-Kombinationen und zur ergänzenden Zwei-Faktor-Authentisierung dar. Doch eine aktuelle Befragung des BSI zur Bekanntheit und Akzeptanz von Passkeys zeigt: Obwohl das Verfahren bei 72 Prozent der Nutzenden ein hohes Vertrauen genießt und insgesamt sehr positiv gesehen wird, verwendet lediglich ein Fünftel der Befragten die Login-Methode.
Quelle: „BSI“
Das BSI informiert auf seiner Webseite regelmäßig über aktuelle Schwachstellen in Hard- und Software und gibt Tipps zum Umgang damit.
Zum Warn- und Informationsdienst von CERT-Bund
Quelle: „BSI“
Warnung vor Quishing: Die Polizei warnt aktuell vor dem sogenannten Quishing. Bei dieser Betrugsmasche kommen QR-Codes zum Einsatz, die beispielsweise per Briefpost versendet werden. Wer den QR-Code scannt, um zum Beispiel die persönlichen Daten zu aktualisieren, wird auf eine gefälschte Webseite geleitet. Die dort eingegebenen Daten fallen Cyberkriminellen in die Hände.
Quelle (u.a.) die Kölner Polizei
Das BSI und der Digitalverband Bitkom haben in einer gemeinsamen Befragung von über 300 betroffenen Unternehmen die Folgen der Crowdstrike-Panne vom 19. Juli 2024 untersucht. Die Erhebung ist nicht repräsentativ, gibt aber ein Stimmungsbild: Knapp die Hälfte der direkt oder indirekt betroffenen Unternehmen musste vorübergehend den Betrieb einstellen. Im Schnitt dauerte es zwei Tage, bis die Störungen vollständig behoben waren. Ein Fünftel der direkt betroffenen Unternehmen litt aber drei Tage oder länger unter den Folgen. Zwei Drittel wollen angesichts der Crowdstrike-Panne einen IT-Notfallplan entwickeln bzw. den bestehenden nachbessern oder haben das bereits getan. BSI-Präsidentin Claudia Plattner unterstreicht die Relevanz solcher Maßnahmen: „Die vorliegenden Umfrageergebnisse zeigen, dass eingeübte IT-Notfallkonzepte wichtiger Bestandteil jeder Krisenvorsorge sein müssen!“
Quelle: „BSI“
Nutzende konnten im April 2024 via Website und App kurzzeitig auf die Buchungsdaten fremder Fluggäste zugreifen. Auch die Airlines Air Dolomiti und Swiss waren betroffen. Die Fehlkonfiguration wurde zwar rasch behoben – doch im Fall der Air Dolomiti wurden die Daten durch Apples KI-Assistent Siri fälschlicherweise in fremde Kalender-Apps importiert. Vereinzelt tauchten unbekannte Buchungen inklusive der damit verbundenen Daten auch Wochen später noch in den Kalendern von anderen Nutzenden auf, obwohl die Lufthansa das Datenleck längst geschlossen hatte.
Quelle: BSI
Der Umfang, die Geschwindigkeit und Schlagkraft von Angriffen im digitalen Raum nehmen durch Künstliche Intelligenz (KI) zu: Mittels KI lassen sich spielend leicht hochwertige Phishing-Nachrichten erstellen. Sprachmodelle sind bereits heute in der Lage, einfache Schadprogramme zu schreiben. Und KI kann weitere Teile eines Cyberangriffs automatisieren. Doch auch die Cyberabwehr profitiert von der Technologie, etwa bei der Codegenerierung, bei der Analyse von Quellcode auf Schwachstellen, bei der Detektion von Malware oder bei der Erstellung von Lagebildern zur Abwehr von Cyberbedrohungen.
Einen Überblick über die Chancen und Risiken von KI in Sachen Cybersicherheit hat das BSI im Rahmen eines aktuellen Forschungsbeitrags untersucht.
Sie möchten mehr über den Einsatz, das Training und die Schwachstellen von KI erfahren?
Fragen Sie uns nach einem unverbindlichen Beratungstermin
Quelle: BSI
Kliniken, Arztpraxen und andere medizinische Einrichtungen geraten immer wieder ins Visier von Hackern. Aktuell sind die Universitätsmedizin Mainz, die Zentrale der Katholischen Jugendfürsorge der Diözese Augsburg (KJF Augsburg) sowie die Kassenärztliche Vereinigung Hessen (KVH) betroffen. Im Fall Mainz wurden E-Mail-Adressen von 280.000 Personen erbeutet und im Darknet veröffentlicht. In Augsburg sind nach einem illegalen Zugriff auf Teile der IT-Infrastruktur u.a. Personal-, Finanz-, Patienten- und Gesundheitsdaten von 18 zugehörigen und drei ehemals zur KJF gehörenden Einrichtungen und Kliniken abgegriffen worden.
Bei der KVH wurden Heise online zufolge im Rahmen eines Phishing-Angriffs die E-Mails eines Mitarbeitenden aus dem Beratungscenter entwendet.
Der Fall der Kassenärztlichen Vereinigung Hessen zeigt, wie Angreifende den „Faktor Mensch“ als schwächstes Glied der Sicherheitskette ausnutzen. Hier erfahrt ihr mehr zum sogenannten Social Engineering.
Quelle: BSI
Das bislang geltende NetzDG und das Telemediengesetz werden abgeschafft und ersetzt durch das Gesetz über digitale Dienste (kurz DDG). Hiermit setzt die Bundesregierung eine Vorgabe der EU um, um mit dem neuen Gesetz ein einheitliches gemeinsames Regelwerk für die gesamte Europäische Union einzuführen. Das neue DDG tritt ab dem 17. Februar 2024 in allen EU-Staaten in Kraft.
Durch ein neues Digitale-Dienste-Gesetz sollen die rechtlichen Vorgaben für Internetplattformen einheitlicher geregelt werden. Ziel ist es, Provider mehr in die Verantwortung zu nehmen, ein höheres Maß an Transparenz zu schaffen und die Rechte von Nutzern und Nutzerinnen zu stärken.
Das neue Digitale-Dienste-Gesetz (DDG) besteht aus 31 Paragrafen und gilt “für alle Anbieter digitaler Dienste“. Darunter versteht man “jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung“. Hierunter fallen beispielsweise Hosting-Dienste wie Cloud- und Webhosting, Online-Marktplätze, App-Stores oder auch Social-Media-Plattformen.
Sonderregelungen gelten für “sehr große Online-Plattformen” oder “sehr große Online-Suchmaschinen“, da diese ein besonderes Risiko für die Verbreitung illegaler Inhalte und für Schäden in der Gesellschaft darstellen.
Der Umfang der Pflichten für den jeweiligen Diensteanbieter gestaltet sich demnach abhängig von der Größe, Rolle und den Auswirkungen im Online-Umfeld. Die neuen Regelungen gelten ab Februar 2024.
Gemäß DDS wird “der Kreis der Anspruchsadressaten auf sämtliche digitale Dienste erweitert, die von einem Nutzer bereitgestellte Informationen in einem Kommunikationsnetz übermitteln oder den Zugang zu einem Kommunikationsnetz vermitteln”. Dies hat zur Folge, dass Netzsperren bei allen Access-Providern künftig möglich sein können.
Gemäß § 7 DDG kann bei Urheberrechtsverletzungen der Rechteinhaber vom Diensteanbieter “die Sperrung der Nutzung von Informationen verlangen, um die Wiederholung der Rechtsverletzung zu verhindern”.
Abmahngebühren werden nur dann fällig, wenn der Internetdienst bewusst mit den Personen zusammenarbeitet, die das Urheberrecht verletzt haben. Das soll sicherstellen, dass die Dienste nicht mit denjenigen zusammenarbeiten, die illegal Inhalte teilen.
Statt des Bundesamtes für Justiz (BfJ) übernimmt nun bei Meldungen zu Verstößen eine “Koordinierungsstelle für digitale Dienste in der Bundesnetzagentur” die Kontrolle der Einhaltung der gesetzlichen Vorgaben. Sollte es sich jedoch um Straftaten handeln, die eine Gefahr Leib oder Leben einer Person/Personen darstellen, ist die Zuständigkeit des Bundeskriminalamts (BKA) gegeben.
Anbieter eines Internetauftritts sind nun nur noch dazu verpflichtet, “zeitnah, sorgfältig, frei von Willkür und objektiv über die gemeldeten Informationen” zu entscheiden.
Mindestens 17.000 Instanzen von Microsoft-Exchange-Servern in Deutschland sind durch eine oder mehrere kritische Schwachstellen verwundbar. Hinzu kommt eine Dunkelziffer an Exchange-Servern in vergleichbarer Größe, die potenziell verwundbar sind. Das geht aus einer aktuellen Untersuchung des Bundesamts für Sicherheit in der Informationstechnik (BSI) hervor.
Das BSI ruft die Betreiber der Instanzen dazu auf, aktuelle Exchange-Versionen einzusetzen, verfügbare Sicherheitsupdates einzuspielen und die Instanzen sicher zu konfigurieren. Weitere Informationen stellt das BSI in einer heute veröffentlichen Warnung zur Verfügung.
Cyberkriminelle sowie staatliche Akteure nutzen mehrere dieser Schwachstellen bereits aktiv zur Verbreitung von Schadsoftware, zu Cyberspionage oder für Ransomware-Angriffe aus. Betroffen sind insbesondere Schulen und Hochschulen, Kliniken, Arztpraxen, Pflegedienste und andere medizinische Einrichtungen, Rechtsanwälte und Steuerberater, Kommunalverwaltungen sowie viele mittelständische Unternehmen.
Dazu sagt Claudia Plattner, Präsidentin des BSI: „Dass es in Deutschland von einer derart relevanten Software zigtausende angreifbare Installationen gibt, darf nicht passieren. Unternehmen, Organisationen und Behörden gefährden ohne Not ihre IT-Systeme und damit ihre Wertschöpfung, ihre Dienstleistungen oder eigene und fremde Daten, die womöglich hochsensibel sind. Cybersicherheit muss endlich hoch oben auf die Agenda. Es besteht dringender Handlungsbedarf!“
Rund 45.000 Microsoft-Exchange-Server in Deutschland sind derzeit ohne Beschränkungen aus dem Internet erreichbar. Nach aktuellen Erkenntnissen des BSI sind etwa zwölf Prozent davon so veraltet, dass für sie keine Sicherheitsupdates mehr angeboten werden. Rund 25 Prozent aller Server werden zwar mit aktuellen Versionen Exchange 2016 und 2019 betrieben, verfügen aber über einen veralteten Patch-Stand. In beiden Fällen sind die Server für mehrere kritische Schwachstellen anfällig. Damit sind mindestens 37 Prozent aller offen aus dem Internet erreichbaren Microsoft-Exchange-Server verwundbar.
Für weitere 48 Prozent der Exchange-Server kann keine eindeutige Aussage hinsichtlich der Verwundbarkeit für die kritische Schwachstelle CVE-2024-21410 getroffen werden. Diese Systeme sind noch verwundbar, sofern die Betreiber nicht die seit August 2022 zur Verfügung stehende Extended Protection aktiviert oder andere Schutzmaßnahmen getroffen haben. Inwieweit dies zutrifft, können nur die jeweiligen Betreiber beurteilen.
Darüber hinaus besteht eine weitere Schwachstelle in Microsoft Exchange, für die jüngst Sicherheitsupdates zur Verfügung gestellt wurden. Werden diese Updates nicht eingespielt, erhöht sich die Bedrohungslage weiter. Das CERT-Bund des BSI informiert Netzbetreiber in Deutschland bereits seit längerer Zeit tagesaktuell automatisiert per E-Mail zu IP-Adressen in ihren Netzen, unter denen sich bekannte verwundbare Exchange-Server befinden.
(C) Quelle BSI
Willkommen bei Deine-Datenschützer.de Hier finden Sie in Zukunft die neuesten Informationen zur Beachtung von DSGVO-EU Themen, sowie Zertifizierungen, Infos rund um Sicherheitsthemen und natürlich unseren DSGVO-Podcast.