#datenpannen

IBAN raten und Einkaufen gehen

Verbraucherschützer kritisieren PayPals unsicheren Gastzahlungprozess

Der WDR berichtet von einer Warnung der Verbraucherzentrale Nordrhein-Westfalen vor unberechtigten Abbuchungen vom eigenen Konto durch PayPal. Genutzt wird dabei der sogenannte Gastzahlungsprozess bei PayPal.

WDR.de beschreibt den Vorgang so: "Diese Funktion erlaubt es Nutzern, ohne ein eigenes PayPal-Konto (und ohne die damit verbundene Verifizierung) Zahlungen auszuführen. Stattdessen geben sie lediglich eine IBAN an, und der Betrag wird per Lastschrift vom Bankkonto abgebucht."

Dabei wird weder eine TAN-Nummer wie früher üblich, noch wird die aktuell übliche Zwei-Faktor-Authentifizierung benötigt. Warum diese eigentlich mindestens notwendige Sicherheitsfeatures nicht eingesetzt werden, muss man sich ernsthaft fragen. Dies wäre umso mehr notwendig, wenn es sich um einen praktisch "anonymen Gastzugang" handelt.

Die Geschädigten merken die unberechtigten Abbuchungen nur, wenn sie ihre Kontoauszüge regelmäßig kontrollieren. Es ist also wichtig, dass man Überweisungsbelege mit der eigenen IBAN nicht irgendwo wegwirft, wo Fremde darauf Zugriff bekommen können. Genauso wenig sollte man die eigene IBAN nicht auf irgendwelchen Webseiten hinterlassen und nicht Pishings-Mails damit beantworten.

Verbraucherschützern machen für solche Betrugsvorgänge die unzureichenden Sicherheitsvorkehrungen bei PayPal verantwortlich. Was sollte man machen, wenn es passiert ist?

Sofort die eigenen Bank informieren und den Berag zurückbuchen lassen,

PayPal über den Vorgang informieren (mehr oder wenig freundlich!),

bei der Polizei Anzeige gegen Unbekannt erstatten,

nicht vergessen, regelmäßig die eigenen Kontoauszüge nach unberechtigten Abbuchen kontrollieren.

Abschließend bleibt natürlich die Forderung an PayPal Zahlungsvorgänge durch eine Sicherheitsprüfung (SMS, TAN, Zwei-Faktor-Authentifizierung) abzusichern.

Mehr dazu bei https://www1.wdr.de/nachrichten/paypal-betrug-gastzugang-iban-100.html

20230i701 ePerso ohne Fingerabdruck!

Urteil des EuGH wird erwartet

Digitalcourage und andere Bürgerrechtsorganisationen haben gegen die Speicherpflicht für Fingerabdrücke in Personalausweisen vor dem EuGH geklagt. Heute wurden nun die Schlussanträge zu dieser Klage veröffentlicht. Leider sieht die Entscheidungsempfehlung der Generalanwältin nicht so aus, wie wir es erwarten.  Zwar haben die Richterinnen und Richter die Freiheit auch noch ganz anders zu entscheiden. Es ist aber zu befürchten, dass das Gericht die Argumente der Kläger nicht ausreichend würdigen will.

Digitalcourage schreibt: Ein zentrales Thema in der mündlichen Verhandlung vor Gericht war eine Lücke in der EU-Verordnung, die der Speicherpflicht zugrunde liegt. Die Fingerabdrücke werden nämlich nicht sofort gelöscht, sobald der Personalausweis hergestellt ist. Sie können bis zu 90 Tagen lang weiter bei den Ämtern gespeichert werden. Und es kommt noch schlimmer: Gibt es ein anderes nationales Gesetz, das hier reingräscht, dann darf sogar auf diese zwischengelagerten Fingerabdrücke zugegriffen werden. Das könnte zum Beispiel im Rahmen von Durchsuchungsparagrafen bei den Polizeigesetzen oder der Strafprozessordnung brisant werden.

Auf diese weit offen stehende Hintertür zur Zweckentfremdung der sensiblen biometrischen Daten geht die Generalanwältin nur unzureichend ein. Ein weiteres heißes Thema bei der mündlichen Verhandlung war die Frage, ob die Fingerabdrucks-Daten gestohlen werden könnten, während sie noch bei den Bürgerämtern liegen. In der Verhandlung gab es dazu keine beruhigende Antwort.

Das Urteil wird demnächst verkündet und wir können momentan nur hoffen ... Digitalcourage schreibt: Wir geben die Hoffnung nicht auf, denn in der mündlichen Anhörung haben sich die Richter.innen sehr viel kritischer mit den Problemen der Fingerabdruckpflicht auseinandergesetzt, als sich das jetzt in den Schlussanträgen der Generalanwältin wiederfindet.

Mehr dazu bei https://digitalcourage.de/newsletter/2023/schlussantraege-generalanwaeltin-perso-ohne-finger

Schwachstellen in Threema werden behoben

Jammern auf hohem Niveau

Eine Gruppe Schweizer Forscher um den ETH-Professor Kenneth Paterson hat sich die Sicherheitsfeatures von Threema  einmal genauer angesehen und festgestellt, dass sich das Unternehmen sehr wohl um die Datensicherheit kümmert, aber die Anwendung doch in die Jahre gekommen ist.

Weiterhin wird die Ende-zu-Ende Verschlüsselung, die Threema damals 2012 als einer der ersten Messenger einführte, als wegweisend anerkannt. Für bestimmte Angriffszenarien können die Forscher jedoch zeigen, dass für die Sicherheit bei Threema "noch Luft nach oben besteht".

So könnten Angreifer auf die Metadaten der Kommunikation zugreifen.

Bei Zugriff auf die Chat-Server von Threema könnten sie Nachrichten löschen oder deren Reihenfolge ändern.

Grenzbeamte oder Lebenspartner, die Zugriff auf das Smartphone und die Threema-App haben, könnten unbemerkt die Threema-ID exportieren und damit den Account klonen. (Grenzbeamte nur wenn man so blöd ist, den Ausweis auf dem Handy zu nutzen!)

Bei allen 6 von den Forschern benannten Schwachpunkten ist es jedoch nicht möglich, die Inhalte der Kommunikation zu lesen. Dies kann nur passieren, wenn der Nutzer seinen privaten Schlüssel gegenüber einem Angreifer offenbart. Für solche Fälle empfehlen die Forscher eine inzwischen gängige Methode der Absicherung der einzelnen Nachricht mit einem für jede Nachricht oder zumindest in regelmässigen Abständen erneuerten Private Key. Fällt in so einem Fall der Private Key in die Hände eines Angreifers, so können damit keine älteren Nachrichten entschlüsselt werden (Perfect Forward Secrecy).

Bei Threema läuft nun seit einige Monaten eine Überprüfung  der eigenen Sicherheit und einige Beanstandungen wurde auch bereits behoben. Das ging in jedem Fall viel schneller als Verbesserungen in die Verschlüsselung von normaler E-Mail einzuführen. So hat da die Einbeziehung der Verschlüsselung der Betreffzeile Jahre gedauert und ist immer noch "optional". Das ist der Nachteil, wenn kein Unternehmen um seinen Geschäftserfolg bangt, sondern die Open Source Gemeinde sich auf Erweiterungen in einen 40 Jahre alten Standard einigen will.

Roboterhund im Polizeieinsatz

Wenn der Robot 3-mal bellt

📷US-Polizeibehörden setzen erstmals Roboter als eine Art Polizeihund ein.

Die Firma Boston Dynamics hat die Polizei im US-Bundesstaat Massachusetts dazu gebracht, den von ihr entwickelten "Roboter-Hund" mit auf Streife zu nehmen. Der Radiosender WBUR und die Bürgerrechtsvereinigung ACLU haben herausgefunden, dass die Massachusets State Police in der Zeit von August bis November 2019 den "Spot" genannten Roboter des Herstellers Boston Dynamics geleast und bei realen Einsätzen genutzt hat.

Durch welche besonderen Fähigkeiten sich "Spot" hervorgetan hat, ist nicht bekannt. Er konnte angeblich "verdächtige Gegenstände und gefährliche Situationen überwachen". Durch seinen Einsatz seien jedoch keine Personen geschädigt oder verängstigt worden.

Die ACLU wies jedoch darauf hin, dass die Stadtverwaltung vor dem Einsatz die Öffentlichkeit darüber hätte informieren müssen. Sie möchten auch geklärt haben, ob auch der Einsatz bewaffneter Roboter im Ermessen der Polizei gelegen hätte.

Nun, nachdem seit dem Einsatz fast 2 Jahre vergangen sind, bleibt die Frage ob die Nachfolgemodelle von "Spot" nicht inzwischen menschlichere Formen angenommen haben - was ihre Akzeptanz vielleicht erhöhen würde, aber die ethischen Fragen solcher Einsätze nicht löst.

Freigiebige Bankautomaten

Wenn der Geldautomat das Rechnen verlernt

Die Freude vieler, vor allem junger ÄthiopierInnen war groß als sie vor einigen Tagen mehr Geld von ihrem Konto abheben konnten, als ihr Kontostand aufwies. Nach einem Systemupdate hatten falsche Einstellungen ermöglicht, dass Geldabhebungen in Millionenhöhe durchgeführt werden konnten für die es eigentlich keine Berechtigung gab.

Diese Tatsache hat sich in den (a-) sozialen Medien schnell herumgesprochen. So musste die angesehene CBE Bank mit mehr als 38 Millionen KontoinhaberInnen und einer 82-jährigen Geschichte einen Verlust von umgerechnet 36 Millionen Euro verbuchen. Die Bank appellierte an die Ehrlichkeit der KundInnen und forderte die Rückgabe des Geldes gegen die Zusicherung von Straffreiheit.

Inzwischen ist sicher, dass kein Hack vorlag, sondern "nur" falsche Einstellungen beim Update die Schuld trugen. Das Sicherheitssystem der deutschen Banken soll gegen einen solchen Fehler gewappnet sein. Zumindest gibt es hierzulande den "Not-Aus-Schalter", der die Bankautomaten im "Krisenfall" sperrt. Das musste in Äthiopien die Polizei machen. Wer entscheidet denn, was ein "Krisenfall" ist? Tritt der auch schon ein, wenn keiner mehr die unendlichen Schulden unserer "Sondervermögen" in Form von Bundesschatzbriefen kaufen will?

Mehr dazu bei https://t3n.de/news/36-millionen-euro-schaden-1615137/

Autoklau übers Internet

Der einfache Job eines Autohackers

Nur ein wenig Ahnung von JavaScripts reicht(e) aus, um über das Internet die Kontrolle über Subaru-Fahrzeuge zu übernehmen. Das erinnert uns an unsere beiden Berichte

Digitaler Autoklau mit sauberen Händen

Keyless Cars erfreuen die Autoschieber

Scheinbar sind die Hersteller erst zu Verbesserungen bereit, wenn der Skandal in der Öffentlichkeit angekommen ist. Hier sind es nun gleich 2 Skandale. Zum einen reichte es aus in dem JavaScript mit dem Subaru Mitarbeiter ihren Zugriff auf Autos in den Werkstätten organisieren, die beiden Zeilen für eine ordentliche 2-Wege-Authentifizierung auszukommentieren, um auch ohne Berechtigung Zugriff auf das Fahrzeug zu erlangen. Damit läßt sich dann das Fahrzeug starten, stoppen, auf- und zuschließen sowie lokalisieren.

Zum anderen zeigt sich beim Zugriff, dass man dann so gut wie alles über die Besitzer weiß. Man erhält Zugriff auf Adressdaten der Nutzer und Nutzerinnen, Notfallkontakte und sogar Informationen zur Kauf- beziehungsweise Verkaufsgeschichte. Außerdem kann man sehen wo überall der Motor des jeweiligen Fahrzeugs im Jahr gestartet wurde, und zwar jeweils auf fünf Meter genau, wie Heise.de schreibt.

Die Lücke hat Subaru nach Bekanntwerden geschlossen, warum man speichert(e) wo und wann der Wagen gestartet wurde bleibt ein Geheimnis ...

Mehr dazu bei https://www.heise.de/news/Dank-Javascript-Autos-von-Subaru-liessen-sich-aus-der-Ferne-uebernehmen-10254605.html

Viele Apps nicht DSGVO-konform

Falscher Alarm auf Zyklus App kann unangenehm werden

Damit ist nicht nur gemeint, dass man ja gern wissen möchte ob nun schwanger oder nicht, sondern das kann besonders in den USA gefährlich werden. Ihre Daten können "Vermutungen" über Schwangerschaftsabbrüche geben. Das kann gerade in Bundesstaaten mit restriktiver Gesetzgebung kompromittierend sein, wenn Strafverfolgungsbehörden sich Zugriff auf das Smartphone oder die Server der Anbieter verschaffen, schreibt die taz.

Aber auch in der EU gibt es keinen Grund sich mit diesen Apps anzufreunden. Die Daten, die Zyklus-Apps erheben, zählen zu den Gesundheitsdaten, die laut der Datenschutzgrundverordnung der EU besonders sensibel und auch besonders schützenswert sind. Zu den "normalen" persönlichen Daten, wie Name, (Mail-) Adresse und ähnliches kann man auch körperliche oder psychische Beschwerden eingeben und eventuell verwendete Verhütungsmittel.

Das sind Daten für die Firmen viel Geld zahlen und deshalb war es gut, dass die Stiftung Warentest 12 Apps für Android-Telefone und 9 in ihrer Version für Apples iOS untersucht hat. Solche Apps sind auch nicht kostenlos und können schon mal bis zu 80 Euro pro Jahr verlangen. Zuerst wurde die Funktionalität geprüft: wie gut werden fruchtbare und unfruchtbare Tage erkannt?

Als weiteres Kriterium wurde der Schutz persönlicher Daten untersucht. 3 Apps erreichten beim Punkt Datenschutz nur die Note „Mangelhaft“. Die Defizite waren:

Die Apps erlaubten zu einfach erratbare Passwörter,

man konnte sich beliebig oft anmelden,

es wurden Informationen abgefragt, die die App nicht benötigt.

Zusammen mit der Verbraucherzentrale Bundesverband (vzbv) untersuchte die Stiftung Warentest auch, ob die App-Anbieter ihren Auskunftspflichten nachkommen. In dieser Untersuchung waren 10 Schwangerschafts- und Perioden-Apps und 5 Fitness-Tracker beteiligt, die ebenfalls Zyklusdaten erheben. Das Ergebnis, laut der taz: Nur 7 der 25 Angebote gingen korrekt mit den erhobenen Daten um. Die taz ergänzt dieses Fazit noch mit einem früheren Fall: So geriet etwa 2019 die Zyklus-App Flo in die Kritik, als das Wall Street Journal enthüllte, dass der Anbieter Gesundheitsdaten an Facebook weitergab.

Mehr dazu bei https://taz.de/Zyklus-Apps-im-Test/!5959348/

Ein "False Positive" und die Folgen

Danach ist alles anders ...

Man muss überhaupt nicht geheimnisvoll oder "mafiös" aussehen, manchmal reicht es, dass man jemanden ähnlich sehen könnte, um in große Schwierigkeiten zu kommen. Oder man ist einfach zur falschen Zeit am falschen Ort. Wir kennen solche Fälle u.a. aus dem Buch oder Film "Die verlorene Ehre der Katharina Blum".

Die Folgen für die Betroffenen solcher "False Positives" bewegen sich von "ein paar blauen Flecken", vielen "Scherereien" bis zur Vernichtung der persönlichen Existenz (Flugreisedatenauswertung liefert 99,7% Fehler , Gesichtserkennung kann auch zu 98% falsch sein ).

In dem verlinkten Artikel der ZEIT wird beschrieben, wie ein Berliner Musiker in den letzten Wochen mit dem gesuchten Burkhard Garweg verwechselt und wie sein BVG Bus von Polizeiwagen verfolgt wurde. Danach wurde er "zu Boden gebracht" und "erkennungsdienstlich behandelt" und kam mit einer Beule davon.

Danach ist manches anders als zuvor, man fragt sich, wie lange man schon beobachtet wurde, wie man gerade auf ihn gekommen ist, ob vielleicht doch sein Germanistik-Studium an der FU damals damit zusammenhängt ...

Mehr dazu bei https://www.zeit.de/2024/14/raf-verhaftung-andreas-weiser-verwechslung