#schwachstellen

Schwachstellen in Threema werden behoben

Jammern auf hohem Niveau

Eine Gruppe Schweizer Forscher um den ETH-Professor Kenneth Paterson hat sich die Sicherheitsfeatures von Threema  einmal genauer angesehen und festgestellt, dass sich das Unternehmen sehr wohl um die Datensicherheit kümmert, aber die Anwendung doch in die Jahre gekommen ist.

Weiterhin wird die Ende-zu-Ende Verschlüsselung, die Threema damals 2012 als einer der ersten Messenger einführte, als wegweisend anerkannt. Für bestimmte Angriffszenarien können die Forscher jedoch zeigen, dass für die Sicherheit bei Threema "noch Luft nach oben besteht".

So könnten Angreifer auf die Metadaten der Kommunikation zugreifen.

Bei Zugriff auf die Chat-Server von Threema könnten sie Nachrichten löschen oder deren Reihenfolge ändern.

Grenzbeamte oder Lebenspartner, die Zugriff auf das Smartphone und die Threema-App haben, könnten unbemerkt die Threema-ID exportieren und damit den Account klonen. (Grenzbeamte nur wenn man so blöd ist, den Ausweis auf dem Handy zu nutzen!)

Bei allen 6 von den Forschern benannten Schwachpunkten ist es jedoch nicht möglich, die Inhalte der Kommunikation zu lesen. Dies kann nur passieren, wenn der Nutzer seinen privaten Schlüssel gegenüber einem Angreifer offenbart. Für solche Fälle empfehlen die Forscher eine inzwischen gängige Methode der Absicherung der einzelnen Nachricht mit einem für jede Nachricht oder zumindest in regelmässigen Abständen erneuerten Private Key. Fällt in so einem Fall der Private Key in die Hände eines Angreifers, so können damit keine älteren Nachrichten entschlüsselt werden (Perfect Forward Secrecy).

Bei Threema läuft nun seit einige Monaten eine Überprüfung  der eigenen Sicherheit und einige Beanstandungen wurde auch bereits behoben. Das ging in jedem Fall viel schneller als Verbesserungen in die Verschlüsselung von normaler E-Mail einzuführen. So hat da die Einbeziehung der Verschlüsselung der Betreffzeile Jahre gedauert und ist immer noch "optional". Das ist der Nachteil, wenn kein Unternehmen um seinen Geschäftserfolg bangt, sondern die Open Source Gemeinde sich auf Erweiterungen in einen 40 Jahre alten Standard einigen will.

Wir von Thoka Network Webdesign wissen, wie wichtig es ist, WordPress-Websites vor Cyber-Bedrohungen zu schützen. Als das am weitesten verbreitete Content Management System ist WordPress ein Hauptziel für Angriffe. Veraltete Plugins, schwache Passwörter und unzureichende Sicherheitsmaßnahmen machen viele Websites angreifbar. Eine Sicherheitsverletzung kann Benutzerdaten gefährden, den Ruf schädigen und zu finanziellen Verlusten führen. Um dies zu verhindern, hilft ThoKa Network Webdesign seinen Kunden dabei, spezifische Schwachstellen zu identifizieren und zu beheben und wirksame Gegenmaßnahmen zum Schutz ihrer Online-Präsenz zu ergreifen.

WordPress Sicherheitsrisiken verstehen

Als Webdesigner habe ich aus erster Hand erfahren, wie die Popularität von WordPress es zu einem bevorzugten Ziel für Cyberangriffe macht. Nahezu 43 % aller Websites weltweit nutzen die Plattform, deren große Nutzerbasis und Open-Source-Charakter ein lukratives Betätigungsfeld für böswillige Akteure darstellen. Veraltete Plugins und Themes tragen wesentlich zur Anfälligkeit von WordPress bei. Werden sie nicht regelmäßig aktualisiert, können sie zu Malware-Infektionen, Datenbankschwachstellen und Session-Hijacking führen. Dies ist häufig auf mangelnde Wartung zurückzuführen, wodurch etwa 60 % der Websites ungeschützt bleiben. Um diese Risiken zu verringern, können Sicherheits-Plugins eingesetzt werden, um bösartige Aktivitäten zu erkennen und zu verhindern. Es ist jedoch wichtig, daran zu denken, dass diese Maßnahmen nur in Verbindung mit regelmäßigen Updates und einem proaktiven Sicherheitsansatz wirksam sind. Tatsächlich sind 94 % der ausgenutzten Schwachstellen auf bekannte Probleme zurückzuführen, was die Bedeutung kontinuierlicher Aktualisierungen unterstreicht. Indem sie der Wartung Priorität einräumen und einen proaktiven Sicherheitsansatz verfolgen, können WordPress Website-Betreiber das Risiko von Cyberangriffen erheblich reduzieren. Dazu gehören die regelmäßige Aktualisierung von Plugins und Themes, die Verwendung von Sicherheits-Plugins und die Information über potenzielle Sicherheitslücken. Als Webdesigner weise ich meine Kunden immer wieder auf die Bedeutung dieser Maßnahmen hin und habe selbst erfahren, welchen Unterschied sie für die Sicherheit einer Website machen können.

Sichere Passwörter und Benutzerzugänge

Die Stärkung von Passwörtern ist entscheidend für den Schutz von WordPress-Websites vor Cyber-Bedrohungen. Ich habe aus erster Hand erfahren, wie schwache Passwörter eine Website angreifbar machen können - 80% aller Hackerangriffe betreffen leicht zu erratende Passwörter. Um dem entgegenzuwirken, empfehle ich die Implementierung solider Passwortrichtlinien. Dazu gehören die Verwendung automatisch generierter sicherer Passwörter, die regelmäßige Aktualisierung von Passwörtern und die Verwendung von Zwei-Faktor-Authentifizierungsmethoden. Auf diese Weise lässt sich das Risiko eines unberechtigten Zugriffs erheblich reduzieren. Wenn es um Benutzerrollen geht, ist eine sorgfältige Schlüsselverwaltung wichtig. Die Beschränkung des Zugriffs auf sensible Bereiche der Website stellt sicher, dass nur autorisiertes Personal Änderungen vornehmen kann. Dies ist besonders wichtig bei Websites mit mehreren Benutzern. Zugangskontrollen wie Anmeldebeschränkungen und IP-Sperren bieten eine zusätzliche Sicherheitsebene. Durch die Begrenzung der Anmeldeversuche und die Sperrung verdächtiger IP-Adressen können Brute-Force-Angriffe und andere böswillige Aktivitäten verhindert werden. Bei der Passwortsicherheit ist es wichtig, ein Gleichgewicht zwischen Komfort und Schutz zu finden. Die Zwei-Faktor-Authentifizierung beispielsweise erfordert sowohl ein Passwort als auch einen Verifizierungscode, der an das Telefon oder die E-Mail-Adresse des Benutzers gesendet wird. Dies bietet eine zusätzliche Sicherheitsebene, ohne die Benutzerfreundlichkeit zu beeinträchtigen. Eine effektive Verwaltung des Benutzerzugriffs ist entscheidend für den Schutz von WordPress-Websites. Durch die Implementierung dieser Maßnahmen können Sie Ihre Online-Präsenz schützen und Cyberangriffe verhindern. Die IP-Sperre beispielsweise schränkt den Zugriff auf Ihre Website auf der Grundlage der IP-Adresse eines Benutzers ein. Dies kann nützlich sein, um bekannte Angreifer auszusperren oder den Zugriff auf bestimmte Regionen zu beschränken.

Die Gefahren veralteter Software

Veraltete Software setzt Websites zahlreichen Sicherheitsrisiken aus, die von böswilligen Akteuren ausgenutzt werden können, um sich unberechtigten Zugang zu verschaffen, Malware einzuschleusen oder sensible Daten zu stehlen. Sicherheitslücken in veralteter Software bleiben oft ungepatcht und können von Angreifern leicht ausgenutzt werden. Regelmäßige Plugin-Updates und Patches für Sicherheitslücken in Themes sind wichtig, um solche Angriffe zu verhindern. Ich empfehle, die automatische Wartung zu aktivieren, um zeitnahe Updates zu gewährleisten und so das Risiko von Sicherheitslücken zu verringern. Durch die Nutzung von Schwachstellendatenbanken wie der National Vulnerability Database (NVD), um sich über bekannte Schwachstellen in Plugins und Themes zu informieren, können Website-Betreiber proaktive Maßnahmen ergreifen. Die NVD ist eine umfassende Datenbank öffentlich bekannter Schwachstellen, die detaillierte Informationen über die Schwachstelle, ihren Schweregrad und ihre möglichen Auswirkungen enthält. Durch die Priorisierung von Software-Updates und die Nutzung automatischer Wartungsmaßnahmen können Website-Betreiber die Sicherheit ihrer Website erheblich verbessern und ihre digitalen Ressourcen vor der sich ständig weiterentwickelnden Bedrohungslandschaft schützen. Eine gut gewartete Website ist weniger anfällig für Angriffe, was das Risiko von Datenschutzverletzungen und die damit verbundenen Kosten verringert. Wie wichtig rechtzeitige Aktualisierungen sind, zeigt das folgende Beispiel: Im Jahr 2020 wurde eine kritische Sicherheitslücke im WordPress-Plugin „Dateimanager“ entdeckt, die es Angreifern ermöglichte, schädliche Dateien hochzuladen. Websites mit veralteten Versionen des Plugins waren anfällig für Angriffe. Regelmäßige Updates hätten diese Sicherheitslücke verhindert, was zeigt, wie wichtig es ist, immer auf dem neuesten Stand zu sein.

Sicherheitsgrundlagen beim Webhosting

Bei der Auswahl eines Webhosting-Anbieters sollten Sie unbedingt auf Sicherheitsfunktionen achten, um Ihre WordPress-Website zu schützen. Viele billige Hosting-Angebote gehen Kompromisse bei der Sicherheit ein und machen Websites anfällig für Cyber-Bedrohungen. Ich empfehle, die Hosting-Funktionen, einschließlich Backup-Strategien, Sicherheitsprotokollen und Zugangskontrollen, genau zu prüfen. Ein zuverlässiger Hosting-Anbieter sollte automatische Updates, Brute-Force-Schutz und Malware-Scans anbieten. Diese Funktionen verringern das Risiko von Hackerangriffen erheblich. Achten Sie auf Hosting-Anbieter, die regelmäßige Backups anbieten, damit Ihre Website-Daten im Falle eines Angriffs oder eines technischen Problems sicher sind. Eine weitere wichtige Funktion ist die Multi-Faktor-Authentifizierung, die eine zusätzliche Sicherheitsebene bietet, um unbefugten Zugriff zu verhindern. Robuste Zugangskontrollen sind ebenfalls unerlässlich. Diese schränken den Zugriff auf das Backend Ihrer Website ein und verringern das Risiko böswilliger Aktivitäten. Achten Sie bei der Bewertung von Hosting-Providern auf deren Sicherheitshistorie, Kundensupport und Transparenz ihrer Sicherheitsmaßnahmen. Wenn Sie diese Sicherheitsgrundsätze beim Webhosting beachten, können Sie das Risiko von Cyberangriffen minimieren und die Sicherheit Ihrer Website gewährleisten. So können Sie sich auf die Erstellung und den Austausch von Inhalten konzentrieren, ohne sich um Sicherheitsverletzungen sorgen zu müssen. Denken Sie daran, dass ein sicherer Hosting-Anbieter eine Investition in die Integrität und den Ruf Ihrer Website ist. Managed WordPress Hosting-Provider bieten oft diese wichtigen Sicherheitsfunktionen und sind daher eine gute Option für Website-Betreiber, die Wert auf Sicherheit legen. Wenn Sie sich für einen Hosting-Anbieter entscheiden, sollten Sie dessen Sicherheitsfunktionen und Erfolgsbilanz sorgfältig prüfen, um sicherzustellen, dass Ihre Website in guten Händen ist.

Fazit

Haben Sie schon von den kürzlich entdeckten Sicherheitslücken im WordPress AI ChatBot Plugin gehört? Diese Schwachstellen sind sehr beunruhigend für Website-Betreiber und Nutzer, die dieses Plugin integriert haben. Sie setzen Websites erheblichen Risiken aus, wie unautorisierte SQL-Injektionen und willkürliche Dateilöschungen, die zu einer vollständigen Übernahme der Website führen können. Darüber hinaus können nicht autorisierte Benutzer Schwachstellen ausnutzen, die sensible Informationen preisgeben und wertvolle Daten gefährden. WordPress-Benutzer sollten umgehend handeln und ihr Plugin aktualisieren, um die Sicherheit ihrer Websites zu gewährleisten.

AI Chatbot Plugin Übersicht

In dieser Übersicht über das AI Chatbot Plugin werden die wichtigsten Merkmale und Funktionen dieses leistungsstarken Tools für WordPress-Websites vorgestellt. Das AI Chatbot Plugin bietet umfangreiche Anpassungsmöglichkeiten, mit denen Benutzer die FAQs und Textantworten ihres Chatbots an ihre spezifischen Bedürfnisse anpassen können. Diese Anpassungsmöglichkeiten verbessern die Benutzererfahrung, indem sie eine personalisierte und nahtlose Interaktion mit den Besuchern der Website ermöglichen. Das Plugin kann auch mit verschiedenen KI-Plattformen wie ChatGPT von OpenAI oder DialogFlow von Google integriert werden, um den Nutzern die Flexibilität zu geben, fortschrittliche KI-Technologien in ihren Chatbot zu integrieren. Diese Integration wird die Fähigkeiten des Plugins weiter verbessern. Mit seinen Anpassungsoptionen, dem Fokus auf Benutzerfreundlichkeit und der Integration mit führenden KI-Plattformen bietet das AI Chatbot-Plugin den Betreibern von WordPress-Websites ein vielseitiges Tool zur Verbesserung der Besucherbindung und der gesamten Website-Funktionalität.

Unauthentifizierte SQL-Injection-Schwachstelle

Bei der weiteren Untersuchung der Schwachstellen, die im WordPress AI ChatBot Plugin entdeckt wurden, haben wir eine schwerwiegende Sicherheitslücke im Zusammenhang mit nicht authentifizierter SQL-Injection entdeckt. Diese Schwachstelle ermöglicht es nicht autorisierten Benutzern, die AJAX-Aktion wp_ajax_nopriv_wpbo_search_response auszunutzen, obwohl die Funktion sanitize_text_field zur Bereinigung verwendet wird. Die anfällige Funktion get_results bereitet Eingaben nicht korrekt auf, wodurch die Website anfällig für SQL-Injection-Angriffe ist. Obwohl das Fehlen einer UNION-Operation das Ausnutzen der Schwachstelle erschwert, können Angreifer dennoch zeitbasierte Blind-Injection-Techniken verwenden, um sensible Informationen aus der Datenbank zu extrahieren. Um diese Schwachstelle wirksam zu beheben, ist es wichtig, eine angemessene Eingabevalidierung zu implementieren und parametrisierte Abfragen bei der Interaktion mit der Datenbank zu verwenden. Darüber hinaus ist es wichtig, das WordPress AI ChatBot-Plugin auf dem neuesten Stand zu halten, da es Patches enthält, die speziell zur Behebung dieser Sicherheitslücke entwickelt wurden. Die Auswirkungen einer nicht authentifizierten SQL-Injection auf WordPress-Websites können schwerwiegend sein. Angreifer können die Datenbank manipulieren, vertrauliche Informationen stehlen, Daten ändern oder löschen oder sogar unautorisierten Zugriff auf den zugrundeliegenden Server erlangen. Dies kann zur Kompromittierung von Benutzerkonten, zur Verunstaltung der Website oder zum vollständigen Datenverlust führen. Daher ist es wichtig, diese Schwachstelle umgehend zu beheben und die empfohlenen Abhilfemaßnahmen zu ergreifen, um die Sicherheit und Integrität von WordPress-Websites zu gewährleisten.

Anfälligkeit für willkürliches Löschen von Dateien

Im weiteren Verlauf unserer Untersuchung werden wir uns mit der nächsten kritischen Schwachstelle befassen, die im WordPress AI ChatBot Plugin gefunden wurde, nämlich der Schwachstelle "Arbitrary File Deletion". Diese Schwachstelle ermöglicht es authentifizierten Benutzern mit Zugriff auf Abonnentenebene, die Funktion qcld_openai_delete_training_file auszunutzen, was zu einer nicht autorisierten Löschung von Dateien führt. Die anfällige Funktion enthält keine Überprüfung von Berechtigungen und Nonces, wodurch Angreifer beliebige Dateien löschen können, einschließlich der Datei wp-config.php. Dies kann zu einer vollständigen Übernahme der Website führen. Es ist wichtig zu beachten, dass es keine Validierung gibt, um sicherzustellen, dass die zu löschende Datei eine OpenAI-Trainingsdatei ist oder sich im erwarteten Verzeichnis befindet. Außerdem kann der im Parameter $_POST übergebene Dateipfad auf Dateien außerhalb der betroffenen Website verweisen. Zur Eindämmung von Insider-Bedrohungen und zum Schutz der Dateiintegrität ist es wichtig, strenge Zugriffskontrollen zu implementieren, anfällige Plugins regelmäßig zu aktualisieren und zu patchen sowie gründliche Sicherheitsbewertungen durchzuführen.

Schwachstelle "Directory Traversal" zum Schreiben in eine beliebige Datei

Wir haben eine kritische Sicherheitslücke im WordPress AI ChatBot Plugin entdeckt. Diese Schwachstelle ermöglicht es Benutzern mit Zugriff auf Abonnentenebene, die Funktion qcld_openai_upload_pagetraining_file auszunutzen, was zu Directory Traversal und der Möglichkeit, beliebige Dateien zu schreiben, führt. Dies stellt ein erhebliches Risiko für die Manipulation von Dateien dar und beeinträchtigt die Sicherheit der Website erheblich. Angreifer können diese Schwachstelle ausnutzen, um bösartige Dateien auf den Server hochzuladen und so möglicherweise die gesamte Website zu kompromittieren. Der anfälligen Funktion fehlt eine angemessene Validierung, da nicht überprüft wird, ob die hochgeladene Datei eine OpenAI-Trainingsdatei ist oder sich im erwarteten Verzeichnis befindet. Infolgedessen werden unautorisierte Zugriffe und Datenverletzungen wahrscheinlicher. Um sich vor dieser Sicherheitslücke zu schützen, sollten Nutzer des WordPress AI ChatBot Plugins umgehend auf Version 4.9.3 oder höher aktualisieren.

Unauthentifizierte Offenlegung sensibler Informationen Sicherheitslücke

Das WordPress AI ChatBot Plugin weist eine schwerwiegende Sicherheitslücke auf, die als "unauthenticated sensitive information exposure vulnerability" bekannt ist. Diese Schwachstelle ermöglicht es nicht autorisierten Benutzern, die AJAX-Aktion qcld_wb_chatbot_check_user auszunutzen, was zur Offenlegung sensibler Informationen führt. Die Auswirkungsanalyse stuft diese Sicherheitslücke mit einem CVSS-Wert von 5.3 ein, was einem mittleren Schweregrad entspricht. Um diese Sicherheitslücke zu schließen, sollten Anwender auf Version 4.9.3 oder höher aktualisieren, da diese Version das Problem vollständig behebt. Ein sofortiges Update auf die neueste Version gewährleistet die Sicherheit und Vertraulichkeit sensibler Daten. Regelmäßige Updates und Wachsamkeit in Bezug auf potenzielle Sicherheitslücken sind für die Aufrechterhaltung einer sicheren WordPress-Umgebung unerlässlich.

Fehlende Autorisierung bei AJAX-Aktionen Sicherheitslücke

Als Fortsetzung des vorherigen Abschnitts weist auch das WordPress AI ChatBot Plugin eine schwerwiegende Sicherheitslücke auf, die als fehlende Autorisierung für AJAX-Aktionen bezeichnet wird. Diese Schwachstelle ermöglicht es nicht authentifizierten Benutzern, die AJAX-Aktion qcld_wb_chatbot_check_user auszunutzen und so möglicherweise sensible Informationen preiszugeben. Dies kann erhebliche Auswirkungen auf die Privatsphäre der Benutzer haben, da Angreifer unautorisierten Zugriff auf Benutzerdaten erhalten und diese möglicherweise für böswillige Zwecke missbrauchen können. Um diese Schwachstelle zu beheben und die Privatsphäre der Benutzer zu schützen, ist es wichtig, eine angemessene Berechtigungsprüfung für alle AJAX-Aktionen zu implementieren. Dies kann durch die Validierung von Benutzerrechten erreicht werden, um sicherzustellen, dass nur autorisierte Benutzer auf sensible Funktionen zugreifen können. Es wird auch empfohlen, das Plugin regelmäßig auf die neueste gepatchte Version zu aktualisieren, z.B. auf Version 4.9.3 oder höher. Dies trägt dazu bei, die Schwachstelle zu entschärfen und die Privatsphäre der Benutzer zu schützen.

Weitere entdeckte Sicherheitslücken

Zum besseren Verständnis der Sicherheitsbedenken im Zusammenhang mit dem WordPress AI ChatBot-Plugin sollten Sie sich die zusätzlich gefundenen Sicherheitslücken ansehen. Diese Schwachstellen bergen erhebliche Risiken und potenzielle Auswirkungen für die Nutzer des Plugins. Erstens gibt es eine nicht authentifizierte SQL-Injection-Schwachstelle, die es einem Angreifer ermöglicht, die AJAX-Aktion wp_ajax_nopriv_wpbo_search_response auszunutzen und so möglicherweise Zugriff auf sensible Informationen zu erhalten, die in der Datenbank gespeichert sind. Zweitens gibt es eine Schwachstelle beim Löschen beliebiger Dateien, die es authentifizierten Benutzern mit Zugriff auf Abonnentenebene ermöglicht, Dateien zu löschen, einschließlich der kritischen Datei wp-config.php, was zu einer vollständigen Übernahme der Website führen könnte. Außerdem kann ein Angreifer über eine Schwachstelle beim Durchsuchen von Verzeichnissen beliebige Dateien auf den Server schreiben und so möglicherweise schädliche Inhalte hochladen. Schließlich gibt es Schwachstellen in Bezug auf die Offenlegung sensibler Informationen ohne Authentifizierung und fehlende Autorisierung in AJAX-Aktionen, die sensible Informationen für nicht authentifizierte Benutzer offenlegen. Diese Schwachstellen müssen umgehend behoben werden, um das Missbrauchsrisiko zu minimieren und die Benutzerdaten zu schützen. Vergleicht man das AI ChatBot Plugin mit anderen ähnlichen Chat-Lösungen, wird deutlich, dass erstere keine ausreichenden Sicherheitsmaßnahmen aufweisen. Andere Chat-Lösungen enthalten oft strengere Berechtigungsprüfungen, Eingabevalidierungen und Dateizugriffsbeschränkungen. Aufgrund der möglichen Auswirkungen dieser Schwachstellen wird Benutzern dringend empfohlen, auf die neueste Version des Plugins zu aktualisieren oder alternative Chat-Lösungen in Betracht zu ziehen, bei denen die Sicherheit an erster Stelle steht.

Wichtigkeit der Aktualisierung auf Version 4.9.3 oder höher

Sicherheitslücken sind zu schließen, nicht auszunutzen!

BVerfG drückt sich um Entscheidung

📷Der Chaos Computer Club Stuttgart  hatte Beschwerde gegen das Polizei-Gesetz in Baden-Württemberg eingelegt, um mit dieser Verfassungsbeschwerde die Quellen-Telekommunikationsüberwachung zu kippen. Nach Meinung des CCCs kann es nicht sein, dass staatliche Stellen Schwachstellen in Software ausnutzen, um Überwachungsmaßnahmen durchzuführen.

Doch die Karlsruher Richter wiesen die Klage im Juni zurück, da "sie nicht hinreichend begründet sei". In ihrer Begründung machten sie jedoch deutlich, dass sie vom Staat erwarteten, dass er nicht einfach "Weiter so" beim Ausnutzen von IT-Schwachstellen handeln würde.

Im Beschluss des Gerichts mit dem Aktenzeichen 1 BvR 2771/18 steht dazu: "Die grundrechtliche Schutzpflicht" verlange eine Regelung, wie der "Zielkonflikt zwischen dem Schutz informationstechnischer Informationssysteme vor Angriffen Dritter mittels unbekannter IT-Sicherheitslücken einerseits und der Offenhaltung solcher Lücken zur Ermöglichung einer der Gefahrenabwehr dienenden Quellen-TKÜ andererseits grundrechtskonform aufzulösen" sei.

Diese Forderung wird bei den anstehenden Koalitionsverhandlungen nach der Bundestagswahl von der jetzigen Oppositionsparteien auf die Agenda gesetzt werden. In den letzten Jahren hatte sich die Regierung immer wieder um eine Festlegung zum Verfahren bei Sicherheitslücken in Computersystemen gedrückt. Dabei ist die Rechtslage eigentlich klar. Das BSI ist in Deutschland dafür zuständig Lücken zu registrieren und für ihre Schließung zu sorgen. Dafür wurden die Unternehmen verpflichtet sicherheitsrelevante Vorfälle ans BSI zu melden.

Eine Weitergabe solcher Informationen an Geheimdienste oder Polizei, um damit das "Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme" (das ist ein Grundrecht für alle Menschen in Deutschland) zu gefährden, muss eine Straftat sein. Es darf nicht sein, dass Geheimdienste darüber entscheiden, welche IT-Schwachstellen "verantwortungsvoll" für Überwachungsmaßnahmen ausgenutzt werden dürfen und welche sollen schnellstmöglich geschlossen werden. Alle Sicherheitslücken stellen eine Gefahr für die Allgemeinheit dar!

Die Fallen des Teufels

6. Februar 2021

Alles, was falsch gebraucht wird, führt in die Selbstzerstörung. Der Teufel kennt deine Schwachstellen.

Stichworte: ein günstiges Sonderangebot mit Rabatt – wie der Teufel arbeitet – was sind Medikamente – Müßiggang ist aller Laster Anfang – schnell, schnell, schnell – was man aus dem Ärmel schüttelt, ist ärmlich – Übertreibungen – Angst und Einschüchterung – unser Schuldbrief ist zerrissen, doch der Teufel hat noch eine Kopie – Langeweile und Neugierde – führe uns nicht in Versuchung, sondern erlöse uns von dem Bösen – über die Sünde herrschen – wie der Teufel die Sintflut überlebt hat – halte, was du hast – Depression, die größte Seuche unserer Zeit – Neid und Eifersucht – immer der Sache auf den Grund gehen – die Kette reißt beim schwächsten Glied – „du hasst den Zug verpasst“ – wenn der Teufel anklopft … – die Bibel als Fallstrick – das Zeugnis des Heiligen Geistes

Wer uns unterstützen möchte, kann dies hier tun: ♥ Spenden ♥

Predigt herunterladen: 2021-02-06 Die Fallen des Teufels

BSI hat Truecrypt untersucht

BSI hält Bericht über Verschlüsselungssoftware verschlossen

In unseren Artikeln unter dem Kapitel Privatsphäre schützen haben wir an mehreren Stellen auf Truecrypt verwiesen. Mit Truecrypt und seinem aktuellen Nachfolger Veracrypt kann man sich sogenannte verschlüsselte Container anlegen. Das sind entweder große Dateien oder versteckte Partitionen auf der Festplatte, in denen man seine privaten Daten geschützt ablegen kann.

Golem hat nun erfahren, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) Truecrypt auf Fehler und Schwächen in der Software untersucht hat. Die Ergebnisse dieses Audits blieben jedoch Verschlußsache. Auch wenn inzwischen einige Dokumente veröffentlicht wurden, so fehl weiterhin ein wichtiges Kapitel. Golem zitiert aus einem Dokument, dass "mangels einer vollständigen Codeanalyse nur Beispiele aufgezählt werden". Doch selbst die versprochenen Beispiele fehlen im Dokument - das nachfolgende Kapitel besteht nur aus einer Überschrift ohne Inhalt.

Die erkennbaren Schwächen und Lücken bestehen wohl darin, dass die Speicherverwaltung und das sichere Löschen von Speicherbereichen nicht optimal funktionieren. Bei kryptographischer Software ist es üblich, dass man Speicherbereiche, in denen Schlüssel, Passwörter oder andere kritische Daten gespeichert waren, nach ihrer Verwendung überschreibt. Das Problem besteht, auch nach Ansicht des CCCs darin, dass Compiler ein derartiges Überschreiben von Speicherbereichen oft wegoptimieren - auch künstliche Intelligenz kann sich dumm verhalten.

In der Geschichte um Truecrypt gab es vor einigen Jahren eine unerwartete Wendung - die Entwickler von Truecrypt stellten plötzlich die Entwicklung ein und veröffentlichten auf ihrer Webseite die Warnung: Truecrypt sei unsicher, es gebe möglicherweise ungefixte Sicherheitsprobleme. Seitdem wird als Nachfolger Veracrypt empfohlen. Dieser Empfehlung können wir uns anschließen, die letzte Version von Truecrypt vor dieser Warnung ist noch bei Heise herunterladbar.

Fazit der Untersuchung: Keine der im Bericht erwähnten Schwachstellen ist extrem kritisch. Unklar bleibt, warum sich das BSI bei der Nichtveröffentlichung hinter dem Urheberrecht und dem Begriff von Geschäftsgeheimnissen versteckt.

Mehr dazu bei https://www.golem.de/news/verschluesselungssoftware-bsi-verschweigt-truecrypt-sicherheitsprobleme-1912-145486.html

Energieversorger werden immer häufiger zum Ziel von Hackerangriffen. Sind diese erfolgreich, können große Bereiche des gesellschaftlichen Lebens zusammenbrechen. Als kritische Infrastruktur (KRITIS) ist der Energiesektor daher gesetzlich dazu verpflichtet, sich besonders gut zu schützen. Diese Herausforderung lässt sich sukzessive mit Sustainable Cyber Resilience meistern.   Dirk Schrader, CISSP, CISM, ISO/IEC 27001 Practitioner bei Greenbone Networks erklärt im Folgenden wie Energieunternehmen in fünf Schritten widerstandsfähiger gegen Cyberangriffe werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) informierte im Sommer 2018 über eine weltweite Cyber-Angriffskampagne auf deutsche Energieunternehmen. Hacker waren über eine Router-Schwachstelle in das Netz einer EnBW-Tochterfirma eingedrungen, leiteten Daten über Malware aus und schnitten beim Internetverkehr mit. Zum Zugriff auf Produktions- oder Steuerungsnetzwerke kam es glücklicherweise nicht. Theoretisch wäre dies jedoch möglich, da IT und OT-Systeme (Operational Technology) immer stärker miteinander verschmelzen – Industrieanlagen sind heute damit genauso angreifbar wie ein Bürocomputer. Aufgrund ihrer Bedeutung für das gesellschaftliche Leben und des steigenden Schadpotenzials von Hackerangriffen müssen KRITIS-Betreiber daher laut IT-Sicherheitsgesetz (IT-SIG) ein anspruchsvolles Mindestmaß an IT-Sicherheit gewährleisten, das dem »Stand der Technik« entspricht. Reaktive IT-Security-Maßnahmen werden dieser Anforderung längst nicht mehr gerecht. Vielmehr müssen Verantwortliche auf neue präventive Sicherheitskonzepte wie Sustainable Cyber Resilience setzen. Dieses verbindet unter anderem die folgenden technischen und organisatorischen Security-Maßnahmen.   Überblick über heterogene IT-Landschaft gewinnen Zunächst sollten Verantwortliche in Energieunternehmen mit einer Bestandsaufnahme klären, welche Geräte, Systeme und Applikationen im Unternehmensnetzwerk zusammenlaufen. Dies sind sowohl IT-Systeme zur Unternehmensadministration als auch Steuerungssysteme in Kraftwerken. Hinzu kommen auf Kundenseite beispielsweise Smart Meter, intelligente Stromzähler, die an das Internet angeschlossen sind und Verbrauchsdaten digital an den Energieversorger übertragen. Der Ist-Stand wird eine historisch gewachsene Kombination aus Legacy-Systemen und brandneuen Geräten zeigen, die Sicherheitslücken und Unzulänglichkeiten aufweisen. Doch nur wer seine Schwachstellen kennt, kann sich schützen. Schwachstellen-Management implementieren Haben sich Verantwortliche einen Überblick verschafft, gilt es, die Schwachstellen im Unternehmensnetzwerk zu schließen. Dies gelingt mithilfe einer Schwachstellen-Management-Lösung (engl. Vulnerability Management). Dazu müssen Energieversorger sich in einem ersten Schritt über ihre IT-Sicherheitsziele klar werden und kritische Assets identifizieren. Ein Schwachstellen-Management-Tool scannt dann kontinuierlich alle im Netzwerk angeschlossenen Geräte auf Sicherheitslücken und priorisiert sie gemäß ihrem potenziellen Risiko. IT-Sicherheitsverantwortliche können diese dann schließen, etwa durch Updates oder Patches, die das Tool vorschlägt. Eins sollten Verantwortliche sich hier jedoch klar machen: Ziel kann und sollte nicht lauten, alle vorhandenen Sicherheitslücken auf einmal zu schließen. Das ist weder praktikabel noch wirtschaftlich sinnvoll. Vielmehr gilt es vor allem, die besonders risikoreichen Schwachstellen zuerst zu eliminieren. Systeme physisch absichern Auch die physische Sicherheit von IT und OT-Systemen ist entscheidend, weshalb Einwirkungen wie Wasser, Feuer oder Einbruch nicht außer Acht gelassen werden dürfen. Zwingend notwendig sind Zugangskontrollsysteme, die unbefugte Zugriffe auf Server und Netzwerkkomponenten verhindern. Dies kann über elektronische Zutrittscodes, Magnetkarten oder biometrische Daten geschehen. Feuer-, Gas-, Rauch und Feuchtigkeitsmelder oder CO2-Löschanlagen sind weitere wichtige Schutzvorkehrungen. Klimaanlagen verhindern das Überhitzen der Systeme im Serverraum. Security-Prozesse und Verantwortlichkeiten festlegen Energieunternehmen sollten zudem ein Information Security Management System (ISMS) etablieren. Systemkomponenten und Nutzer erhalten so nur die Rechte zugewiesen, die sie benötigen. Zudem dient ein ISMS dazu, Sicherheitsvorfälle durchzuspielen und klar festzulegen, wer wann wie zu informieren ist und welche weiteren Schritte konkret von wem einzuleiten sind. Energieversorger haben zudem die Pflicht, das BSI bei einem Sicherheitsvorfall zu informieren. Mitarbeiter für Gefahren sensibilisieren Wichtige Präventionsmaßnahmen sind nach wie vor auch Schulungen zur Sensibilisierung für IT-Risiken. Denn viele Mitarbeiter sind sich nicht bewusst, wie gefährlich es für ihr Unternehmen wird, wenn sie auf eine Phishing-E-Mail hereinfallen. Die Gefahr steigt, wenn ein Betrugsversuch wie mit der Schadsoftware Emotet glaubwürdig formuliert ist und von einem Kontakt aus dem eigenen Adressbuch kommt. Fazit: Sicherheit und Risiko gesund abwägen »Wenn Unternehmen in der Lage sind, Schwachstellen in ihren IT-Systemen zeitnah aufzufinden, zu priorisieren und zu beseitigen, können sie ihre IT-Systeme kontinuierlich sicherer machen und die Angriffsfläche reduzieren. Das ist ein laufender Prozess, der nie abgeschlossen sein darf«, erklärt Dirk Schrader, CISSP, CISM, ISO/IEC 27001 Practitioner bei Greenbone Networks. Für KRITIS-Betreiber wie Energieversorger ist Vulnerability Management Pflicht. Im Zusammenspiel mit physischer Sicherheit, vordefinierten Security-Prozessen und Mitarbeitersensibilisierung sind Unternehmen aus dem Energiesektor in der Lage, Risiken zu managen, weil sie das richtige Maß an Sicherheit und Risikobereitschaft abwägen können. Erst dann versetzen sie ihre Infrastrukturen in einen Zustand der Sustainable Cyber Resilience. Mehr Informationen zum Thema Cyber Resilience im Energiesektor finden Sie im kostenlosen Whitepaper von Greenbone: https://www.greenbone.net/whitepaper/energie/ Foto: Pixabay

619 search results for "Energie Sicherheit"

NEWS | BUSINESS | BUSINESS PROCESS MANAGEMENT | DIGITALISIERUNG | DIGITALE TRANSFORMATION | EFFIZIENZ | GESCHÄFTSPROZESSE | INFRASTRUKTUR | IT-SECURITY | SERVICES | STRATEGIEN

Resilienz statt Robustheit: Neues Sicherheitskonzept für die Energieversorgung

1. Juni 2018

Digitalisierung ermöglicht Energiewende – und erfordert neues Denken. Um eine stabile und ausfallsichere Energieversorgung in Zukunft gewährleisten zu können, sollte aus Sicht des Digitalverbands Bitkom die Sicherheit des deutschen Energiesystems grundsätzlich neu geregelt werden. Dabei kommt digitalen Technologien eine Schlüsselrolle zu. Entsprechende Vorschläge hat Bitkom in einem aktuellen Positionspapier »Digitalisierung des Energieversorgungssystems – Von der… Weiterlesen → NEWS | DIGITALISIERUNG | INFRASTRUKTUR | INTERNET DER DINGE | IT-SECURITY | SERVICES | TIPPS

10 Tipps für mehr Cybersicherheit (nicht nur) bei Energieversorgern

6. Juni 2016

Würden Sie mir glauben, wenn ich Ihnen sage, dass Stromversorger jeden Tag gehackt werden? Es stimmt, die meisten dieser Hacks sind nicht erfolgreich, da eine große Zahl wichtiger Stromversorgungsnetze entweder offline ist oder nur über private Netzwerke zugänglich (d.h. nicht über das Internet betrieben wird). Das ändert sich allerdings gerade. Die Situation verschiebt sich hin… Weiterlesen → NEWS | TRENDS INFRASTRUKTUR | CLOUD COMPUTING | DIGITALE TRANSFORMATION | EFFIZIENZ | INFOGRAFIKEN | IT-SECURITY | LÖSUNGEN | SERVICES

Intelligent vernetzte Energielösungen: Mehr Effizienz und Sicherheit, geringere Betriebskosten

13. März 2016

Brennstoffzelle und Blockheizkraftwerke für effiziente Energieerzeugung. Lösungen für intelligentes Energiemonitoring und -management. Stromspeicher für Industrie, Gewerbe und Energieversorger. Umfassende Sicherheitssysteme für Anlagen und Gebäude.   Bosch zeigt intelligent vernetzte Lösungen, um Energie effizient zu erzeugen, messen, steuern und zu speichern, zudem präsentiert Bosch Sicherheitslösungen. Kunden sparen damit Energie und Kosten und erhöhen die Sicherheit ihrer… Weiterlesen → NEWS | IT-SECURITY | LÖSUNGEN | TIPPS

Praxisleitfaden unterstützt Energienetzbetreiber bei Erhöhung der IT-Sicherheit

21. Oktober 2015

Umfangreiche Vorgaben zur IT-Sicherheit bei Energienetzbetreibern. Digitalverband Bitkom und der Verband der kommunalen Unternehmen VKU veröffentlichen gemeinsamen Praxisleitfaden zum IT-Sicherheitskatalog der Bundesnetzagentur. Der Digitalverband Bitkom und der Verband kommunaler Unternehmen (VKU) haben heute einen gemeinsamen Praxisleitfaden für IT-Experten von Energienetzbetreibern veröffentlicht. Hintergrund sind die neuen IT-Sicherheitsstandards, die die Bundesnetzagentur für die 900 Betreiber von Stromnetzen… Weiterlesen → NEWS | BUSINESS PROCESS MANAGEMENT | INFRASTRUKTUR | IT-SECURITY | ONLINE-ARTIKEL | SERVICES

IT-Sicherheitskatalog für Energienetzbetreiber veröffentlicht

25. August 2015

Die Bundesnetzagentur (BNetzA) hat den Katalog für IT-Sicherheit-Mindeststandards im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) erstellt. Er enthält Sicherheitsanforderungen, die dem Schutz gegen Bedrohungen der für einen sicheren Energienetzbetrieb notwendigen Telekommunikations- und elektronischen Datenverarbeitungssysteme dienen. Der in Kurzform IT-Sicherheitskatalog genannte Anforderungskatalog ist für Energienetzbetreiber gemäß EnWG §11 Absatz 1a verbindlich und… Weiterlesen → TRENDS SECURITY | TRENDS INFRASTRUKTUR | INFRASTRUKTUR | IT-SECURITY

Energieunternehmen wiegen sich in falscher Sicherheit

12. Juli 2015

Wie vermeintlich sicher sich die Verantwortlichen von Energieunternehmen in Sachen Cybersicherheit fühlen, zeigt eine aktuelle Untersuchung von Dimensional Research. In der Studie wurden in den USA über 400 Führungskräften und IT-Fachkräften in der Energiewirtschaft hinsichtlich Internet- und Datensicherheit befragt. 86 Prozent gaben an, dass sie einen sicherheitskritischen Vorfall in weniger als einer Woche erkennen können.… Weiterlesen → NEWS | BUSINESS | GESCHÄFTSPROZESSE | INFRASTRUKTUR | IT-SECURITY | STRATEGIEN

Stadtwerke und Energieversorger benötigen sofortigen Einstieg in das Management von Informationssicherheit

26. Juni 2015

Energieversorger stehen vor großen Herausforderungen. Im Zuge des § 11 Abs. 1a des Energiewirtschaftsgesetzes (EnWG) und des IT-Sicherheitskatalogs der Bundesnetzagentur gewinnt für sie der Schutz ihrer IT-Infrastrukturen deutlich an Brisanz. »Die BNetzA plant die Einführung sowie Zertifizierung eines Informationssicherheits-Managementsystems – kurz ISMS – nach ISO 27001 als verpflichtende Anforderung an die Strom- und Gasnetzbetreiber in… Weiterlesen → NEWS | INFRASTRUKTUR | INTERNET DER DINGE | IT-SECURITY | PRODUKTMELDUNG | SERVICES

Intelligente Sicherheit für intelligente Städte

26. März 2019

Die Vereinten Nationen prognostizieren, dass bis 2050 68 % der Weltbevölkerung in städtischen Gebieten leben werden. Dies ist ein enormer Anstieg gegenüber den 55 %, die heute bereits in den Städten der Welt leben. Diese Migration in die Metropolen setzt Stadtplaner, Manager und politische Entscheidungsträger gleichermaßen unter Druck. Es gilt, die Stadtverwaltung zu optimieren und… Weiterlesen → NEWS | CLOUD COMPUTING | DIGITALISIERUNG | IT-SECURITY | SERVICES

Neue Verfahren für die IT-Sicherheit: Mit Simulationen so agil werden wie die Cyberangreifer selbst

21. März 2019

Cyberangriffe, Ransomware, Malware oder Phishing-Attacken: die Liste potenzieller Bedrohungen für die IT-Sicherheit eines Unternehmens ist lang und schier unerschöpflich. Obwohl die Angriffsmethoden immer komplexer werden und sich stetig weiterentwickeln, nutzen die meisten Unternehmen weiterhin reaktive, technologiebasierte Lösungen zum Schutz ihrer IT-Infrastruktur. Doch Endpoint-Security und Firewalls allein reichen als Schutz längst nicht mehr aus. Kontinuierliche Simulationen… Weiterlesen → NEWS | PRODUKTMELDUNG

FIPS 140-2-Validierung: Sicherheitszertifikat für RDX-Verschlüsselung

8. März 2019

Overland-Tandberg, Spezialist für Datenmanagement-, Backup- und Archivierungslösungen, hat die Hardwareverschlüsselung PowerEncrypt für RDX-Wechselplatten erfolgreich nach dem bedeutenden US-Sicherheitsstandard FIPS 140-2 validieren lassen. Produkte mit der begehrten FIPS 140-2-Validierung gelten als »vertrauliche« Produkte und stehen weltweit als Ausdruck von Datensicherheit und -integrität. In Europa gewährleistet FIPS 140-2 Verschlüsselungsstandards nach EU-DSGVO.   Die FIPS 140-2-validierte Verschlüsselung ist… Weiterlesen → NEWS | TRENDS 2019 | TRENDS SECURITY | IT-SECURITY | SERVICES

Drei unterschätzte Sicherheitsrisiken

4. März 2019

Sicherheitsteams werden immer mehr zu einem integralen Bestandteil von Unternehmen und sind für den Erfolg wichtiger als je zuvor. Sie haben sich weiterentwickelt und werden zunehmend als legitimer Geschäftspartner und treibende Kraft für das Wachstum angesehen. In ihrer Rolle als Geschäftspartner gehört das Ermitteln von Unternehmensrisiken zu einer der wichtigsten Kompetenzen, die Sicherheitsteams bieten. Hierbei… Weiterlesen → NEWS | TRENDS 2019 | BUSINESS | TRENDS SECURITY | TRENDS SERVICES | IT-SECURITY | SERVICES

IT-Sicherheit: Unternehmen suchen händeringend Spezialisten

3. März 2019

Jedes zweite Unternehmen findet in Deutschland keine passenden IT-Sicherheitsspezialisten. Jedes dritte Unternehmen hat zudem Probleme bei der Suche geeigneter externer Dienstleister. Die Folge: Vorhandene und neu formulierte IT-Sicherheitsstrategien zum Aufdecken und Abwehren von Hackerangriffen sowie zum Schutz von Daten können nicht wie geplant umgesetzt werden. Das ergibt die Studie »Potenzialanalyse Unternehmen schützen, Risiken minimieren« von… Weiterlesen → NEWS | TRENDS 2019 | TRENDS WIRTSCHAFT | BLOCKCHAIN | EFFIZIENZ | TRENDS GESCHÄFTSPROZESSE| TRENDS SERVICES | GESCHÄFTSPROZESSE | STRATEGIEN

Einsatz von Blockchain im Energiesystem ist schon heute sinnvoll

27. Februar 2019