Aktuelle Cyber- Sicherheitsthemen
und Informationen

1. Weltweite IT-Ausfälle

Weltweit kommt es derzeit zu IT-Ausfällen in zahlreichen Branchen. Auch in Deutschland gibt es betroffene Unternehmen, darunter Betreiber Kritischer Infrastrukturen. Eine Ursache dafür ist offenbar ein fehlerhaftes Update einer IT-Security-Lösung des Herstellers Crowdstrike (Falcon). Diese wird von zahlreichen weiteren IT-Diensten genutzt, die in der Folge ausfallen. Nach aktuellem Erkenntnisstand aus den Äußerungen der betroffenen Unternehmen gibt es keine Hinweise auf einen Cyberangriff. Die Vorfälle werden laufend weiter bewertet.

2. BSI-Präsidentin zu Cyberbedrohung: "Mach halt mal die Tür zu"

BSI-Präsidentin Claudia Plattner betont im Gespräch mit heise security die Wichtigkeit der schnellen Reaktion auf Sicherheitslücken und einer effektiven Cyberabwehr durch bessere Prävention. "Wichtig ist uns, dass wir einen koordinierten Prozess haben, der dazu führt, dass wir Schwachstellen schließen", so Plattner. "Jede Schwachstelle kann potenziell ausgenutzt werden. Vom BSI aus ist die Haltung glasklar. Wir versuchen, jede Schwachstelle sofort zu schließen. Da kann man sich auch drauf verlassen", so die BSI-Präsidentin weiter. Weitere Details zur Prävention, welche Rolle die Cloud für die IT spielt, der Zusammenarbeit des BSI mit der Branche und Probleme mit Exchange erläutert Claudia Plattner im ausführlichen Video-Interview mit heise security.

3. Geleakte Taylor-Swift-Tickets

Nachdem die international operierende Hackergruppe ShinyHunters kürzlich Daten von 560 Millionen Ticketmaster-Nutzenden abgegriffen und im Darknet für 500.000 Dollar zum Kauf angeboten hatte, wurden nun 170.000 Barcodes veröffentlicht, aus denen sich angeblich funktionierende Tickets für die "Eras"-Tour von Taylor Swift generieren lassen. Bereits im Mai wurden bei Eventim hunderte Accounts gehackt, um Karten für die restlos ausverkauften Shows der US-amerikanischen Musikerin zu erbeuten. Ticketmaster verweist zwar auf Anti-Betrugsmaßnahmen, wie zum Beispiel rotierende Barcodes, die Cyberkriminellen stellten jedoch kürzlich 39.000 von Ticketmaster geleakte Print-at-home-Tickets für insgesamt 154 anstehende Konzerte und Events online. Herausfordernde Zeiten für Musikfans, deren Vorfreude mit einem ungültigen Ticket am Einlass enden könnte.

4. Santander warnt vor Phishing

Die Santander Bank ruft Kundinnen und Kunden aktuell zu gesteigerter Wachsamkeit auf. Im Mittelpunkt steht die Warnung vor Phishing-E-Mails, die zur Installation einer vermeintlichen Sicherheits-App auffordern – hinter der sich allerdings eine Schadsoftware verbirgt. Die Bank empfiehlt den Login des Onlinebankings nur über die offizielle Seite aufzurufen und die Banking-App ausschließlich über den App-Stores oder Google Play herunterzuladen.

5. Schwachstellen bei Firefox

Nutzende, die den freien Browser zum Surfen im Netz verwenden, sollten zeitnah ein Update durchführen, um Hackern zuvorzukommen. Es wurden mehrere Sicherheitslücken geschlossen, die es Angreifenden unter anderem ermöglichen können, Schadcode auszuführen, Sicherheitsmechanismen zu umgehen und Daten zu manipulieren.

6. Apple warnt vor Spyware-Attacke

Apple wendet sich mit einer Warnung an Nutzende in 92 Ländern, die mutmaßlich aufgrund ihrer Identität oder ihres Berufs im Fokus von Cyberkriminellen stehen. Mittels eines Söldner-Spyware-Angriffs kann es den Angreifenden gelingen, das mit der persönlichen Apple-ID verknüpfte iPhone aus der Ferne zu kompromittieren. Um sich vor der Schadsoftware zu schützen, sollten Betroffene ihr Smartphone in den 2022 durch Apple eingeführten Lockdown- bzw. Blockierungsmodus versetzen und alle Apple-Geräte auf die aktuelle iOS-Version aktualisieren. Auch Messaging- und Cloud-Apps werden über den App-Store am besten auf den neuesten Stand gebracht.

7. Outlook-Nutzende sollten patchen

Fachkräfte warnen vor einer Zero-Click-Schwachstelle, die es Angreifenden auch ohne Authentifizierung ermöglichen könnte, Schadcode in fremden Outlook-Konten auszuführen. Um sich vor Datenabfluss, unbefugten Zugriffen und anderen bösartigen Aktivitäten zu schützen, ist ein Update erforderlich. Ein Patch für CVE-2024-38021 steht seit dem 9. Juli 2024, dem offiziellen MS-Patchday, bereit. Insgesamt wurden im Juli 142 Schwachstellen in verschiedenen Produkten behoben.

8. Zwei-Faktor-Authentisierung – aber richtig!

Wer zum Login bei bestimmten Accounts und Geräten auf die Zwei-Faktor-Authentisierung setzt, kann seine Sicherheit zusätzlich erhöhen. In einem aktuellen Beitrag weist der Chaos Computer Club auf Möglichkeiten hin, wie Angreifende die Zwei-Faktor-Authentisierung via SMS ausnutzen können. Das gelingt jedoch nicht nur durch das sogenannte SIM-Swapping, bei dem sich Angreifende in Besitz einer SIM-Karte bringen und dadurch per SMS versendete Authentisierungs-Codes ihrer Opfer abfangen. Da zum Versenden der SMS-Nachrichten auch die Nutzung von Dienstleistern üblich ist, hängt die Sicherheit des Authentifizierungsverfahrens zusätzlich vom IT-Schutz durch den Dienstleister ab. Laut Chaos Computer Club landeten nun alle SMS des britischen Massen-SMS-Versender IdentifyMobile, die der Dienstleister seit August 2023 im Auftrag anderer verschickt hatte, auf einem ungesicherten S3-Server des US-Unternehmens Amazon. Auf dem Server fanden sich mehr als sechs Terabyte interne Daten und unzählige SMS mit Einmalpasswörtern für Accounts bei Amazon, Airbnb, Temu, Google, Microsoft, Telegram, Tinder und vielen weiteren Diensten.

9. Der Enkeltrick zieht weiterhin

Im ersten Halbjahr 2024 sind bei der Bundesnetzagentur 35.034 Beschwerden über betrügerische SMS und Chatnachrichten eingegangen. In einem Drittel der Fälle haben sich Kriminelle als nahestehende Angehörige ausgegeben, die dringend Geld brauchen. E Dieser sogenannte Enkeltrick trifft häufig besonders vulnerable Gruppen wie Seniorinnen und Senioren. Doch Onlinebetrug kann auch Digital Natives erwischen – und lässt sich durch KI-Tool zunehmend leichter in die Tat umsetzen.

1. Erfolgreicher Schlag gegen die weltweite Cyberkriminalität

Im Rahmen der Interpol-Operation "First Light 2024" konnten in 61 Ländern 3.950 verdächtige Personen festgenommen, 6.745 Bankkonten eingefroren sowie Bargeld, Vermögenswerte und Kryptowährungen in Höhe von mehr als 250 Millionen Dollar sichergestellt werden. Die Operation zielte auf Verbrechen wie Phishing, Anlagebetrug, gefälschte Online-Shopping-Sites und Identitätsdiebstahl ab. Unter anderem wurde ein internationales Betrugsnetz in Namibia zerschlagen und 88 Jugendliche, die zum Erstellen digitaler Konten gezwungen worden waren, konnten befreit werden. An der Operation "First Light 2024" waren Polizeibehörden aus Afrika, Asien, Europa und den Golfstaaten beteiligt.

2. Diskussion um Verkehrsdaten-Austausch mit China

Im komplexen System des vernetzten Fahrens spielen zahlreiche externe Schnittstellen, Steuergeräte und vor allem ein riesiger Fluss an Daten eine Rolle. Die Diskussion über einen möglichen Verkehrsdatenaustausch zwischen Deutschland und China betrifft daher auch das Thema Cybersicherheit. Denn je mehr Autos chinesischer Hersteller auf deutschen und europäischen Straßen unterwegs sind, desto drängender stellt sich die Frage, wo Daten gespeichert werden, wer auf welche Informationen zugreifen darf, welche Sicherheitsstandards gelten und welche Sicherheitsbehörde für den Schutz der digitalen Datenströme zuständig ist.

3. EU-Kommission sieht Verstöße bei Meta gegen den Digital Markets Act

Geld oder Daten – die Nutzenden sozialer Netzwerke vor diese Wahl zu stellen, verstößt mutmaßlich gegen europäisches Verbraucherschutz- und Wettbewerbsrecht. In einer vorläufigen Stellungnahme wirft die EU-Kommission dem Meta-Konzern vor, mit seinem für Facebook und Instagram eingeführten Bezahlmodell die Preisgabe persönlicher Informationen von den Nutzenden zu erzwingen. Durch die erhobenen Datenmengen verschaffe sich Meta darüber hinaus einen unzulässigen Wettbewerbsvorteil gegenüber Konkurrenzunternehmen. Bereits im Frühjahr hatte der Europäische Datenschutzausschuss (EDSA) das Abo-Modell aus Verbraucherschutzgründen für unzulässig erklärt.

4. Zwei Sicherheitslücken bei Google Quick Share

Quick Share ermöglicht Nutzenden die drahtlose Datenübertragung zwischen Geräten, die die Software installiert haben. Eine nun aufgedeckte Sicherheitslücke erlaubt es, den Annehmen-Dialog in Quick Share für Windows zu umgehen und eine Datei ohne Nutzerbestätigung zu senden. Eine weitere Schwachstelle macht es Angreifenden möglich, sich via temporärem WLAN-Hotspot in eine Man-in-the-Middle-Position zu bringen und sich damit unrechtmäßig in die Kommunikation zwischen den Geräten bzw. Nutzenden einzuschalten. Ein Update auf die Version 1.0.1724.0 schließt beide Lücken.

5. Mehrere Sicherheitslücken bei WordPress

Das Content-Management-System WordPress wird von vielen Unternehmen, aber auch von Einzelpersonen für die Gestaltung und Befüllung eigener Websites und Onlineshops genutzt. Nun wurden gleich mehrere Schwachstellen aufgedeckt, die es Angreifenden ermöglichen, Benutzende umzuleiten, die Website zu verändern oder Phishing-Angriffe durchzuführen. Es steht bereits ein Update (Version 6.5.5) zur Verfügung. Die neue Version 6.6 ist für Mitte Juli angekündigt.

6. Was sind eigentlich White Hat Hacker?

Ein neues Gutachten des Wissenschaftlichen Dienstes des Bundestags zur Strafbarkeit von Hacking im internationalen Vergleich liefert neue Impulse zur Debatte um die Rechtsgrundlagen für ethisches Hacking bzw. die Arbeit von sogenannten White Hat Hackern. Sie arbeiten im Auftrag von Unternehmen und Institutionen, um IT-Sicherheitslücken aufzudecken, bevor sie ausgenutzt werden. Dabei liefern sie sich ein echtes Wettrennen: Denn werden Schwachstellen zuerst von Angreifenden mit kriminellen Absichten, den sogenannten Black Hat Hackern entdeckt, können die Folgen gravierend sein.

7. Abwehr ist Trumpf – nicht nur auf dem Fußballplatz

Noch bis zum 14. Juli läuft die Heim-EM. Das Großevent ruft auch Cyberkriminelle auf den Spielplan. Sie versuchen nicht nur, mit der Begeisterung der Fans Kasse zu machen, sondern könnten es auch auf Schwachstellen in der IT-Sicherheit von Fußballstadien absehen. In der brandneuen, Podcast-Folge Update verfügbar #44 informiert BSI-Expertin Maike Vossen darüber, warum Fußballgroßereignisse auch in Sachen Cybersicherheit ein spannendes Thema sind und wie sich alle Beteiligten digital sicher aufstellen.

8. IT-sicher in den Sommerurlaub

Ob Ferienhaus im Allgäu oder Strandurlaub am Mittelmeer: Damit Ihre Geräte und Daten unterwegs sicher sind und auch zuhause alles glatt läuft, lohnt sich schon vor dem Sommerurlaub ein kurzer IT-Sicherheitscheck: Sind die Sicherheits- und Verschlüsselungsfunktionen von Smartphone, Tablet und Co. auf dem neuesten Stand? Haben Sie Ihre Daten durch Back-ups gesichert? Ist das Heim-WLAN abgestellt?

9. Cyberresilienz für Demokratie und Sicherheit

Im Eröffnungspanel des Jahreskongress des Vereins Deutschland sicher im Netz (DsiN) Ende Juni 2024 erläuterte BSI-Präsidentin Claudia Plattner, warum die Erhöhung der Digitalkompetenz und die Stärkung der Cyberresilienz von Verbraucherinnen und Verbrauchern für die Cybernation Deutschland entscheidend sind: "Die Cyberbedrohungslage ist besorgniserregend. Deshalb müssen wir die Menschen im Netz aktiv schützen – etwa, indem wir sie dabei unterstützen, die richtigen Schutzmaßnahmen zu ergreifen, Gefahren rechtzeitig zu erkennen und Ernstfälle souverän zu überwinden." Wie gut fühlen Sie sich in Sachen Cybersicherheit informiert und aufgestellt?

1. Menschen zunehmend sorglos gegenüber Cyberkriminalität – Betroffenheit jedoch weiterhin hoch

Jede vierte Person in Deutschland (24 %) war schon einmal Opfer von Cyberkriminalität – und doch schätzt jede zweite (56 %) ihr Risiko, in Zukunft von Kriminalität im Internet betroffen zu sein, als gering oder ausgeschlossen ein. Das ist das Ergebnis des Cybersicherheitsmonitors 2024. Die repräsentative Dunkelfeldstudie von BSI und Polizei gibt Einblicke in das Informations- und Schutzverhalten der Bevölkerung sowie in ihre Betroffenheit von Cyberkriminalität. Besonders hoch ist der Anstieg der Sorglosen bei den 16- bis 22-Jährigen: 68 Prozent schätzen hier ihr Risiko, persönlich von Cyberkriminalität betroffen zu sein, als gering oder ausgeschlossen ein.

2. Sicherheitsvorkehrungen für die Fußball-Europameisterschaft 2024 in Deutschland

Ein internationales Großereignis wie die UEFA EURO 2024 geht mit einer Vielzahl möglicher Bedrohungen einher. Sollte es im Rahmen der EM zu einem (IT-)Sicherheitsvorfall kommen, sind die Sicherheitsbehörden gut miteinander vernetzt: Im International Police Cooperation Center 2024 (IPCC) in Neuss (Nordrhein-Westfalen) laufen alle Fäden zusammen, um die Sicherheit der Fußball-Europameisterschaft zu garantieren. Auch das BSI ist dort vertreten. Mehrere hundert Einsatzkräfte arbeiten im IPCC, etwa 230 davon kommen aus dem Ausland. Während des gesamten Turniers koordinieren die Mitarbeitenden den Informationsaustausch zwischen sämtlichen Sicherheitsbehörden – national wie international. Das IPCC ist eine gemeinsame Einrichtung von Bund und Ländern und wurde eingerichtet, um auf die erhöhte Gefahrenlage während der Fußball-EM zu reagieren. Bürgerinnen und Bürger sollten wie bei jeder Großveranstaltung auch rund um die UEFA EURO 2024 besonders wachsam gegenüber Phishingmails und weiteren Betrugsversuchen sein. Sie interessieren sich dafür, welche Risiken bei großen Sport-Events wie der EM zu bedenken sind, wie Sicherheitsbehörden damit umgehen und wie der Alltag im IPCC aussieht? Diesen und weiteren Fragen gehen wir in Folge #44 des BSI-Podcast "Update verfügbar" auf den Grund, die wie immer am Ende des Monats erscheint.

3. Check Point: Security-Lücke weit verbreitet

Die Schwachstelle in der Software des IT-Sicherheitsunternehmens Check Point, über die laut Hersteller bereits Angriffsversuche durchgeführt wurden, ist bei vielen Nutzenden noch nicht gestopft. Es sind verschiedene Angriffe gemeldet worden. Die Zahl der potenziellen Opfer der Sicherheitslücke soll bei bis zu 1.800 IT-Systemen liegen, darunter auch Kritische Infrastrukturen.

4. NRW will faireren Ticketkauf und mehr Sicherheit im Netz

Das Land Nordrhein-Westfalen (NRW) will Verbraucherinnen und Verbraucher besser beim Kauf digitaler Produkte schützen, etwa von Veranstaltungstickets. Auf der Konferenz der für Verbraucherschutz zuständigen Ministerinnen und Minister in Bund und Ländern forderte NRW, Anbieter von E-Mail-, Chat- oder Telekommunikationsdiensten auf europäischer Ebene dazu zu verpflichten, bessere Schutzmaßnahmen zu ergreifen. Dadurch sollen etwa Schadprogramme zum Ausspionieren persönlicher Daten leichter erkannt und gestoppt werden.

5. Microsoft schließt zum Patchday kritische Schwachstellen

Stets am zweiten Dienstag im Monat – am Patchday – versorgt Microsoft sein Betriebssystem Windows und weitere Programme mit Updates. Sie beheben Fehler und stopfen Sicherheitslücken, dienen also dem Schutz der PC-Nutzenden. Die jüngste Lücke wurde als gravierend bezeichnet, sie hat einen CVSS von 9.8 und betrifft u.a. Microsoft Message Queing (MSMQ) und zahlreiche Windows-Versionen. CVSS steht für "Common Vulnerability Scoring System" und ist ein Standard, der die Verwundbarkeit von Computersystemen und die Schwere von Sicherheitsschwachstellen über ein Punktesystem von 0 bis 10 einheitlich bewertet.

6. Neue Betrugsmasche verursacht Schäden in Millionenhöhe

Eine neue Form von Phishing-Attacken, sogenannte Krypto-Drainer, sorgen im Netz für Schäden in Millionenhöhe. Diese Form des Cyberangriffs zielt auf "Wallets", die digitalen Geldbörsen ab. In diesen Apps sind nicht nur Zahlungsmittel wie Debit- und Kreditkarten gespeichert, sondern auch Kryptowährungen oder andere digitale Werte, neben Bitcoin also etwa Non-fungible Token (eine Art digitale Besitzurkunde), virtuelle Kunstwerke, Rechtsansprüche oder Unternehmensanteile. Während sich die Schadenssumme durch Attacken mit Erpressungssoftware im vergangenen Jahr verdoppelte, verfünffachten sich die Schäden durch Drainer im gleichen Zeitraum, meldete die auf Cybertransaktionen spezialisierte Plattform Chainalysis.

7. Meta reagiert auf Protest und verschiebt Training von KI-Modellen

Der Tech-Konzern Meta wollte Nutzerdaten von Facebook, Instagram und Threads für das Training von Modellen Künstlicher Intelligenz (KI) verwenden. Nach Widerstand von Datenschützenden und Aktivistinnen und Aktivisten wird nun der Start einer neuen KI-Software in Europa aufgeschoben.

8. Zahl der Woche: 47

Etwas weniger als jede/r Zweite verwendet ein aktuelles Antivirenprogramm – nämlich 47 Prozent. Das sind weniger als noch im Vorjahr: Da waren es 54 Prozent. Das war eine Erkenntnis aus dem Cybersicherheitsmonitor 2024.

9. Warnung vor Fake Shops mit Fußball-EM-Fanartikeln

Fußballfans lassen sich ihre Liebe zum Ballsport etwas kosten: Das Original-Trikot kostet im DFB-Fanshop rund 100 Euro, wer es individuell beflocken lässt, greift noch tiefer in die Tasche. Die Verbraucherzentrale Nordrhein-Westfalen warnt aktuell vor Fake Shop-Angeboten. Fake Shops locken mit deutlich günstigeren Angeboten oder sehen den original Verkaufsseiten sogar täuschend ähnlich. Nach der Zahlung wird das bestellte Produkt aber nie geliefert oder ist von minderwertiger Qualität.

10. Nextcloud: Zwei-Faktor-Authentifizierung wird bei Angriff umgangen

Wer seine eigene Cloud mit Nextcloud betreibt, sollte den Server aktualisieren. Andernfalls sind Attacken möglich und Angreife können sich Zugriff verschaffen. Insgesamt hat der Anbieter der Cloudsoftware zwölf Sicherheitslücken geschlossen. Davon sind neben Nextcloud Server und Nextcloud Enterprise Server auch bestimmte Komponenten wie der Kalender bedroht.

11. Das BSI beim Jahreskongress von Deutschland sicher im Netz e.V.

Unter dem Motto "Cyberresilienz für Demokratie & Sicherheit" findet am 27. Juni 2024 der Jahreskongress von Deutschland sicher im Netz e.V. statt. Wir als Bundesamt für Sicherheit in der Informationstechnik (BSI) sind mit dabei: BSI-Präsidentin Claudia Plattner nimmt am Eröffnungspanel zum Thema "Digitalkompetenz versus Desinformation & Cybercrime" teil. Manuel Bach, Referatsleiter "Cyber-Sicherheit für KMU", gehört zu einer Gesprächsrunde über die NIS 2-Einführung, das ist die demnächst verbindliche Cybersicherheits-Richtlinie der EU. Zudem ist das BSI mit einem Infostand vor Ort.

12. BSI-Magazin betrachtet die Cybernation Deutschland

In der neuen Ausgabe unseres Magazins "Mit Sicherheit" beleuchten wir aktuelle Themen der Cybersicherheit. Im Fokus steht die Cybernation Deutschland, die wir im BSI gemeinsam mit weiteren Akteuren auf den Weg bringen möchte. Das Sicherheitsniveau der Digitalisierung muss erhöht werden – in staatlichen Institutionen, in Unternehmen und nicht zuletzt für jede und jeden Einzelnen. Das Magazin befasst sich unter anderem auch damit, was insbesondere für Kommunen getan werden muss.

1. "Endspiel" erfolgreich: Zehn internationale Haftbefehle

Das Bundeskriminalamt (BKA) und die Generalstaatsanwaltschaft Frankfurt am Main – Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) erzielten unter Beteiligung des Bundesamtes für Sicherheit in der Informationstechnik einen großen Erfolg in der Abwehr von Cyberkriminalität: Bei einer Razzia in mehreren Ländern wurden weltweit mehr als 100 Server beschlagnahmt und 1.300 Internetadressen (auch englisch "Domain") außer Betrieb gesetzt. Laut Generalstaatsanwaltschaft Frankfurt am Main und Bundeskriminalamt (BKA) sind mehrere der derzeit einflussreichsten Schadsoftware-Familien bei der internationalen Operation "Endgame" (auf Deutsch: Endspiel) vom Netz genommen worden. Dabei handelt es sich um spezielle Software, mit der Kriminelle auf fremde IT-Systeme zugreifen können. Bei der koordinierten Aktion ist international agierenden Kriminellen "der Zugriff auf Tausende Opfersysteme entzogen" worden.

2. Cyberangriff auf die CDU

Eine Woche vor der Europawahl 2024 ist die CDU Opfer einer Cyberattacke geworden. Als Vorsichtsmaßnahme musste die IT-Infrastruktur teilweise vom Netz genommen werden. Der Verfassungsschutz und das BSI unterstützen die Partei bei der Vorfallsbewältigung. Dem CDU-Vorsitzenden Friedrich Merz zufolge ist der Cyberangriff auf das Netzwerk seiner Partei "der schwerste Angriff auf eine IT-Struktur, die jemals eine politische Partei in Deutschland erlebt hat". Auch die SPD war im vergangenen Jahr Opfer einer Cyberattacke geworden. Damals wurden E-Mail-Konten der Parteizentrale gehackt.

3. Internetkriminalität erreicht Höchststand in Niedersachsen

Die Kriminalität im Internet hat im vergangenen Jahr in Niedersachsen erneut zugenommen. 2023 wurden 13.218 Fälle registriert und damit etwa 1.000 mehr als noch ein Jahr zuvor, wie das Innenministerium in Hannover mitteilte. Rechnerisch kam es im vergangenen Jahr pro Tag zu 36 Cybercrime-Fällen – ein Höchstwert. Ein Schwerpunkt der Internetkriminalität war das Onlinebanking; die Ermittlungsbehörden registrierten 2.800 Fälle mit einem Schaden in Höhe von insgesamt 14,4 Millionen Euro. Unter Cyberkriminalität fallen zum Beispiel Betrugsversuche per E-Mail oder das Aufspielen von Schadprogrammen (englisch "Malware").

4. Bahncard 25 und 50 künftig nur noch digital

Die Bahncard 25 und 50 gibt es ab dem 9. Juni nur noch in digitaler Form. Um das Abo digital zu nutzen, brauchen Kundinnen und Kunden ein Profil in der Bahn-App oder auf der Plattform bahn.de. Wer kein Smartphone hat, kann sich ein Ersatzdokument ausdrucken. Grundsätzlich ist es bei der Nutzung von Apps auf Mobilgeräten sinnvoll, verschiedene Sicherheitsvorkehrungen zu treffen. Zum Beispiel sollten Apps nur aus vertrauenswürdige Quellen heruntergeladen werden – etwa aus dem im Smartphone voreingestellten App-Store. Es ist auch wichtig zu prüfen, ob die App Zugriffrechte fordert. Idealerweise greifen Apps nur auf die Smartphone-Funktionen zu, die für den Anwendungszweck nötig und plausibel sind. So ist Skepsis angebracht, wenn etwa eine Anwendung zum Speichern von Notizen auf die SMS-Funktion zugreifen will.

5. KI-gestützte Desinformationskampagnen gestoppt

Der ChatGPT-Entwickler OpenAI hat nach eigenen Angaben in den vergangenen drei Monaten fünf Desinformationskampagnen staatlich unterstützter Akteure gestoppt. Russland, China, der Iran und die israelischen Handelsgesellschaft STOIC hatten demzufolge versucht, die Künstliche Intelligenz von ChatGPT für ihre Aktivitäten zu nutzen. Sie sollen geplant haben, die Sprachmodelle von OpenAI für Aufgaben wie die Generierung von Kommentaren, Artikeln und Profilen in Online-Netzwerken einzusetzen. Darüber hinaus seien die Modelle auch verwendet worden, um Codes für Bots und Websites auszutesten.

6. EU-Wahl: Schutz vor Desinformation

Gerüchte, Falschinformationen und Beeinflussung von Kandidatinnen und Kandidaten: Staaten wie Russland und China versuchen auf unterschiedliche Weise, Einfluss auf die EU-Wahl zu nehmen. Die Agentur der EU für Cybersicherheit (ENISA) hat für die Europawahl mehrere Strategien der Destabilisierung und Desinformation identifiziert. Das beste Mittel im Kampf gegen Desinformation ist Aufklärung der Bürgerinnen und Bürger. Sie müssen wissen, dass es Desinformation gibt, wie man sie erkennt und wie man verhindert, dass sie sich weiterverbreitet.

7. Cybersicherheit wichtig für Unternehmen

Führungskräfte in Deutschland überschätzen ihr Verständnis für Cybersicherheit. Sehr zur Verwunderung der Security-Fachkräfte, behaupten viele im Management, IT-Security-Themen zu verstehen. Gerade mal 40 Prozent attestieren ihren Vorgesetzen ein gutes Sicherheits-Know-how, so das Ergebnis einer internationalen Befragung durch das Softwareunternehmen Ivanti. Grundsätzlich sei aber das Thema IT-Security in der Führungsebene deutscher Unternehmen stark verankert, so eine Erkenntnis aus der Umfrage. Rund neun von zehn Chefinnen und Chefs stuften Cybersicherheit als Kernthema ein, diskutierten es auf Führungsebene und stellten ausreichende Budgets für die Erreichung von Sicherheitszielen bereit.

8. Starke Verbreitung der Anatsa-Schadprogramme

IT-Forschende haben eine starke Verbreitung des Schadprogramms Anatsa entdeckt. Die Malware steckt in mehr als 90 Apps auf Google Play mit 5,5 Millionen Downloads. Anatsa gilt im Kern als Banking-Trojaner, der sensible Banking-Zugangsdaten sowie Finanzinformationen aus globalen Finanz-Apps sammelt und ausschleust. Der Banking-Trojaner, der auch unter dem Namen TeaBot bekannt ist, installiert sich ungefragt auf Programme wie PDF-Reader oder QR-Code-Scanner.

9. Desinformation im Internet

Desinformationen, Fake News und Propaganda verbreiten sich über das Internet rasend schnell. Im Zusammenhang mit den bevorstehenden Wahlen 2024 rückt das Thema Desinformation wieder mehr in den Fokus. Politisch motivierte Akteure versuchen im digitalen Raum, Meinungen zu beeinflussen, das Vertrauen in die Demokratie, Politik, Medien und den Staat zu schwächen, Unruhe und Verunsicherung zu stiften und Wählerinnen und Wähler zu beeinflussen. Doch was ist eigentlich der Unterschied zwischen Desinformation und Fehlinformation?

10. Hacken im Dienst der Allgemeinheit

Die gemeinnützige Initiative "Deutschlands Bester Hacker" sucht Sicherheitshackende, die sich legal und auf Basis ethischer Grundsätze den IT-Bedrohungen durch Cyberkriminalität entgegenstellen. Beim IT Security Talk am 11. Juni zeigen Marco Di Filippo und Timo Stark, wie leicht es Angreifer haben.

11. Podcast "Update verfügbar" - #43 Desinformation und Wahlen – der Faktencheck

Auch in der aktuellen Folge des BSI-Podcasts "Update verfügbar #43" dreht sich alles um das Thema Desinformationen und Wahlen, Bots, Algorithmen, Kommunikationsapps und das eigene Urteilsvermögen. Tobias Fernholz von der Bundeszentrale für politische Bildung beleuchtet mit dem Moderatorenteam Ute Lange und Michael Münz die Rolle von Desinformationen im politischen Kontext und deckt auf, aus welchem Umfeld die Desinformationen häufig kommen.

1. BKA veröffentlicht Bundeslagebild Cybercrime 2023

Polizeiliche Maßnahmen schwächen zunehmend die globale Infrastruktur von Cyberkriminellen. Auch stieg die Aufklärungsquote (32 Prozent) leicht an im Vergleich zum Vorjahr. Das sind zwei gute Nachrichten aus dem aktuell veröffentlichen Bundeslagebild des Bundeskriminalamtes (BKA) zur Kriminalität im Internet. Das Bundeslagebild Cybercrime 2023 gibt einen Überblick über Straftaten im digitalen Raum und fasst besondere Vorfälle zusammen. Die Daten und Fakten machen leider auch deutlich, dass sich etwa der Trend zu Angriffen auf Bildungseinrichtungen 2023 fortsetzt. Im Gegensatz zu den leicht rückläufigen Straftaten in Deutschland stieg allerdings die Zahl der Attacken, die aus dem Ausland oder von einem unbekannten Ort aus auf Ziele in Deutschland verübt wurden, um 28 Prozent an.

2. Hacker greifen Website des Auktionshauses Christie‘s an

Der Mai steht für den Kunsthandel ganz im Zeichen großer Auktionen. Genau in dieser Phase hat ein schwerer Cyberangriff das traditionsreiche Londoner Auktionshaus Christie‘s getroffen. Bietenden war es nicht möglich, online Kataloge zu sondieren oder Gebote für die Frühjahrsauktion in New York abzugeben. Auch eine Auktion seltener Luxusuhren musste um einige Tage verschoben werden. Zwar konnte das Unternehmen kurzfristig eine Behelfs-Website zur Verfügung stellen, doch das Vertrauen der Kundschaft war erschüttert. Über Hintergründe des Hacks oder auch zu unter Umständen erbeuteten Daten schweigt Christie’s bislang.

3. Diskussion um KI-Kontrollinstanz nimmt Fahrt auf

Der Ausschuss für Digitales des Deutschen Bundestages diskutierte während einer Anhörung vor einigen Tagen, wie eine nationale Aufsichtsstruktur für Künstliche Intelligenz (KI) ausgestaltet werden könnte. In rund einem Jahr müssen die Zuständigkeiten auf nationaler Ebene geklärt sein, um die Kontrolle des europäischen "Artificial Intelligence Act" (AI-Act) zu gewährleisten. Der AI-Act, das europäische Gesetz zur Regulierung Künstlicher Intelligenz (KI), nimmt für sich in Anspruch, das weltweit erste umfassende KI-Gesetz zu sein. Deutschland muss entscheiden, wie die nationale Aufsichtsbehörde organisiert werden soll und wie dabei die föderalen Strukturen berücksichtigt werden können. Gleichzeitig soll das Gesetz verbraucherfreundlich umgesetzt werden.

4. Sicherheitslücke bei Windows

Eine Schwachstelle der Betriebssysteme Windows 10 und 11 sowie der Windows Server 2016, 2019 und 2022 wird im Rahmen der Verbreitung von Malware bereits aktiv ausgenutzt. Nach dem Hinweis eines Forscherteams wurde die Schwachstelle von Microsoft geschlossen.

5. Schwachstelle in Apple-Webbrowser Safari

Der Sicherheitsforscher Manfred Paul hat im Apple-Webbrowser Safari (Betriebssystem MacOS X) eine Sicherheitslücke aufgedeckt, die es Angreifenden ermöglicht, Sicherheitsvorkehrungen zu umgehen. Der Hersteller hat Sicherheitsupdates bereitgestellt, die zeitnahe Installation wird empfohlen.

6. Was ist eigentlich ein Rabbit-Hole-Effekt?

Der Rabbit-Hole-Effekt bezeichnet die derartige Vertiefung in eine Beschäftigung bzw. in die Inhalte eines Social-Media-Portals, dass es schwerfällt, wieder ins "echte" Leben zurückzufinden. Die EU hat nun ein Verfahren gegen den amerikanischen Internetkonzern Meta eröffnet. Dem Unternehmen wird vorgeworfen, seine Plattformen so zu gestalten, dass sie bei Kindern und Jugendlichen Suchtverhalten auslösen – und den Rabbit-Hole-Effekt fördern.

7. Warum sind Kritische Infrastrukturen besonders schutzbedürftig?

Der Begriff Kritische Infrastrukturen, kurz KRITIS, bezeichnet alle Einrichtungen, die die Versorgung der Verbraucherinnen und Verbraucher gewährleisten. Etwa in den Bereichen Energie, Wasser und Lebensmittelversorgung, aber auch in Bezug auf Gesundheit, Abfallentsorgung, Gütertransport und Verkehr. Cyberangriffe auf KRITIS-Betreiber und -Anlagen können gravierende Auswirkungen auf den Alltag der Bevölkerung in Deutschland haben. Deshalb hat ihr Schutz besondere Priorität.

8. Podcast CYBERSNACS #28 über Systemhärtung

Systemhärtung macht Angriffe im Internet schwerer, indem sie bestehende Sicherheitslücken in ihren IT-System schließt – also indem Sie die Systeme härtet. In der aktuellen Folge von CYBERSNACS, dem Podcast der Allianz für Cyber-Sicherheit, ist der IT-Spezialist Florian Bröder zu Gast und erklärt, warum er überzeugter Anhänger der Systemhärtung ist.

9. Schützen Sie Ihre digitale Privatsphäre

Aktuell steht der Vorwurf im Raum, dass Verbraucherinnen und Verbraucher der Online-Werbeplattform Utiq unverhältnismäßig getrackt werden. Die Plattform Utiq wurde von europäischen Netzbetreibern gegründet, um den Medien und der Anzeigenkundschaft eine EU-datenschutzkonforme Alternative zu den US-Werbenetzwerken anzubieten. Zu ihren Medienpartnern zählen etwa die FAZ, die Süddeutsche Zeitung oder das Handelsblatt.

10. Sicher informiert vor der Europawahl

2024 stehen an vielen Orten der Welt wichtige Wahlen an, so auch die Europawahl. Auch, wenn die Wahl analog stattfindet und somit aus technischer Sicht sicher ist, stellen Des- und Falschinformation im Vorfeld der Wahl ein großes Risiko dar. Politisch motivierte Akteure versuchen im digitalen Raum, Einfluss auf die Europawahl zu nehmen, das Vertrauen in die Demokratie, Politik, Medien und den Staat zu schwächen, Unruhe und Verunsicherung zu stiften und Wählerinnen und Wähler zu beeinflussen. Außerdem können mithilfe Künstlicher Intelligenz Falschinformationen ("Fake News") schnell produziert und in Sekundenschnelle über das Internet verbreitet werden.

1. Cyberangriffe auf Gesundheitseinrichtungen

Kliniken, Arztpraxen und andere medizinische Einrichtungen geraten immer wieder ins Visier von Hackern. Aktuell sind die Universitätsmedizin Mainz, die Zentrale der Katholischen Jugendfürsorge der Diözese Augsburg (KJF Augsburg) sowie die Kassenärztliche Vereinigung Hessen (KVH) betroffen. Im Fall Mainz wurden E-Mail-Adressen von 280.000 Personen erbeutet und im Darknet veröffentlicht. In Augsburg sind nach einem illegalen Zugriff auf Teile der IT-Infrastruktur u.a. Personal-, Finanz-, Patienten- und Gesundheitsdaten von 18 zugehörigen und drei ehemals zur KJF gehörenden Einrichtungen und Kliniken abgegriffen worden. Bei der KVH wurden Heise online zufolge im Rahmen eines Phishing-Angriffs die E-Mails eines Mitarbeitenden aus dem Beratungscenter entwendet.

2. KI ermöglicht Phishing in "nie dagewesener Qualität"

Der Umfang, die Geschwindigkeit und Schlagkraft von Angriffen im digitalen Raum nehmen durch Künstliche Intelligenz (KI) zu: Mittels KI lassen sich spielend leicht hochwertige Phishing-Nachrichten erstellen. Sprachmodelle sind bereits heute in der Lage, einfache Schadprogramme zu schreiben. Und KI kann weitere Teile eines Cyberangriffs automatisieren. Doch auch die Cyberabwehr profitiert von der Technologie, etwa bei der Codegenerierung, bei der Analyse von Quellcode auf Schwachstellen, bei der Detektion von Malware oder bei der Erstellung von Lagebildern zur Abwehr von Cyberbedrohungen.

3. Cyberattacke auf traditionsreiche Schuhkette

Ein Cyberangriff hat die IT-Systeme des 1905 gegründeten Schuhhändlers Salamander lahmgelegt. Die Probleme bestehen bereits seit Mitte April 2024. Mittlerweile konnten die Geschäftsprozesse in den rund 60 Filialen wieder in Gang gebracht werden; der Onlineshop ist jedoch weiterhin nicht erreichbar. Die Startseite informiert Nutzende lediglich darüber, dass "mit Hochdruck" an der Behebung der Probleme gearbeitet werde, ein konkretes Zeitfenster wird nicht benannt.

4. Keine Updates mehr für Google Fit

Die Aktivitätstracking-App von Google bekommt keine neuen Funktionen und wurde zuletzt auch nicht mehr aktualisiert. Grund ist der Umstieg Googles auf Fitbit-Apps sowie auf die Android Health Plattform. Um Sicherheitsrisiken durch fehlende Updates zu vermeiden, empfiehlt sich der Umstieg auf alternative Fitnesstracking-Angebote.

5. Schwachstelle bei CrushFTP

Eine Schwachstelle in der Datenübertragungssoftware CrushFTP ermöglicht es Angreifenden, die komplette Kontrolle über einen verwundbaren CrushFTP Server zu erlangen. Die Sicherheitslücke wird bereits aktiv ausgenutzt und stellt eine massive Bedrohung für die Datenvertraulichkeit dar. In den Versionen von CrushFTP 10.7.1 oder 11.1.0 sind diese Schwachstelle behoben; es empfiehlt sich ein rasches Update.

6. SPD im Visier von russischer Gruppe APT28?

Im Sommer vergangenen Jahres wurden die E-Mail-Konten der SPD-Parteizentrale gehackt. Microsoft-Sicherheitslücken hatten den Angriff möglich gemacht. In der vergangenen Woche wurden nun die Ermittlungen der Bundesregierung zum Fall abgeschlossen. Das Ergebnis: Hinter der Attacke steht die Gruppe APT28, die vom russischen Geheimdienst GRU gesteuert wird. Der deutsche Verfassungsschutz stuft APT28 als einen der "aktivsten und gefährlichsten Cyberakteure weltweit" ein; der Angriff auf die SPD soll Teil einer europaweiten Angriffswelle gewesen sein.

7. Digitale Gesundheitsanwendungen und ihre Datensicherheit

Im Jahr 2020 wurden die sogenannten "Digitalen Gesundheitsanwendungen" (DiGA) eingeführt, um Versicherte dabei zu unterstützen, Krankheiten zu erkennen, zu überwachen, zu behandeln oder zu lindern. Die kostenpflichtigen Apps und Browser-Angebote werden von Ärztinnen und Ärzten ebenso verschrieben wie beispielsweise Medikamente. Damit sich Patientinnen und Patienten bei der Nutzung auf den Schutz ihrer besonders sensiblen Gesundheitsdaten verlassen können, hat das BSI die „Anforderungen an die Cybersicherheit von Anwendungen im Gesundheitswesen“ überarbeitet und veröffentlicht.

8. So schützen Sie Ihren Smart-TV

Smarte Fernsehgeräte sind ans Internet angeschlossen und bieten – wie alle Komponenten im sogenannten "Internet der Dinge" – einen potenziellen Angriffspunkt für Cyberkriminelle. So wurde beispielsweise vor wenigen Tagen bekannt, dass eine Sicherheitslücke bei Android-TVs Hackern den Zugriff auf persönliche, im Google-Konto hinterlegte Daten wie E-Mails oder Bilder erlauben könnte. Um ein Gerät auszuspähen oder es mit Schadsoftware zu infizieren, ist meist mindestens eine Schwachstelle erforderlich. Mit regelmäßigen Sicherheitsupdates, der Verwendung sicherer Apps oder der Deaktivierung unnötiger Dienste und Funktionen können Sie Angreifenden zuvorkommen und Ihr smartes Heimnetzwerk aktiv schützen.

9. Höchste Zeit für Passkeys

Am 1. Mai war Welt-Passwort-Tag. Doch Grund zum Feiern gibt es nicht, denn passwortgesicherte Zugänge sind gefährdet. Gerade erst vermeldete das auf Identitäts- und Zugriffsmanagement spezialisierte Unternehmen Okta eine stark steigende Zahl von Brute-Force-Angriffen. Bei dieser Angriffsmethode probieren Cyberkriminelle so lange verschiedene Passwörter aus, bis das richtige Kennwort getroffen wird. Nicht nur im Falle von Fußballfans lassen sich also Passwörter, wie in unserer Rubrik „Kurz notiert“ angedeutet, allzu leicht knacken oder erraten. Die gute Nachricht: Es gibt längst etwas Sichereres als Passwörter. Zeit für einen Welt-Passkey-Tag!

10. Das war der 20. IT-Sicherheitskongress

Mit 10.450 Teilnehmenden richtete das BSI den 20. IT-Sicherheitskongress am 7. und 8. Mai vor einem digitalen Rekordpublikum aus. Das Motto des Kongresses "Cybernation Deutschland: Kooperation gewinnt" unterstrich deshalb, dass IT-Sicherheit nicht im Alleingang möglich ist. Das gemeinsame Ziel: Ein einheitlich hohes Schutzniveau in Deutschland und Europa. Alle Fachvorträge und Diskussionen sind noch bis zum 9. Juni 2024 online zugänglich.

1. Mehrjährige Cyberattacke auf VW aufgedeckt

Zwischen 2010 und 2015 sollen im Rahmen eines „groß angelegten, bislang unbekannten Cyberangriffs auf Volkswagen“ bis zu 19.000 Dateien erbeutet worden sein. Ziel der Hacker waren Medienberichten zufolge unter anderem die Bereiche Ottomotoren- und Getriebeentwicklung. Auch Konzepte für Elektro- oder Brennstoffzellenantriebe seien im Rahmen des aufgedeckten digitalen Industriespionageangriffs erbeutet worden. Die gestohlenen Dateien werden im Hinblick auf den internationalen Wettbewerb als weiterhin sehr relevant eingestuft.

2. Malware via Youtube

Cyberkriminelle nutzen vermehrt YouTube-Kanäle, um Schadsoftware zu verbreiten – erstmalig hatten wir darauf in unserer letzten Ausgabe hingewiesen. Proofpoint-Analysten haben sogar auf verifizierten Kanälen Malware wie Vidar, StealC und Lumma Stealer ausgemacht. Sie infizieren Rechner über die Links in den Videobeschreibungen, um so persönliche Daten von Nutzenden zu stehlen. Die Videos, mit denen Userinnen und User angelockt werden, zeigen zum Beispiel wie man Software herunterlädt oder Videospiele kostenlos aktualisiert. Viele der mit infizierten Links bestückten Inhalte scheinen dabei insbesondere auf Kinder und Jugendliche abzuzielen.

3. Google und Samsung patchen Android-Sicherheitslücken

Cyberkriminelle, die das eigene Smartphone übernehmen? Ein Szenario, das für Nutzende von Android 12/13/14 nicht unmöglich ist. Im Sicherheitsbulletin des Betriebssystems wurden verschiedene Lücken veröffentlicht, die die Smartphones von Nutzenden gefährden. Die gute Nachricht: Google und Samsung haben bereits Sicherheitsupdates veröffentlicht, die die riskanten Schwachstellen in Android patchen. Es empfiehlt sich eine schnelle Aktualisierung.

4. D-Link-Speichersysteme sind nicht (mehr) sicher

Die vor allem für den privaten Gebrauch und den Einsatz in kleinen Unternehmen entwickelten Cloudspeicher-Geräte (sogenannte Network Attached Storage, kurz NAS) des Herstellers D-Link sollten schnellstmöglich vom Netz abgekoppelt und nicht mehr eingesetzt werden. Gravierende Sicherheitslücken in rund 20 Gerätemodellen ermöglichen Hackern etwa die Anmeldung ohne Passwort durch ein Hintertür-Konto. Es werden bereits aktive Angriffe auf verwundbare Geräte beobachtet, daher ist auch hier schnelles Handeln gefragt.

5. Phishing-Masche trifft DKB-Kundschaft

Eine vermeintlich im Auftrag der Deutschen Kreditbank (DKB) versendete Mail informiert Nutzende darüber, dass ihr Onlinebanking-Profil aus Sicherheitsgründen deaktiviert wurde. Um vor „unbefugter Kontonutzung“ geschützt zu sein und alle Dienste weiterhin nutzen zu können, soll der in der E-Mail platzierte Button mit der Aufschrift „Konto aktualisieren“ angeklickt werden. Andernfalls, so die Drohung, würden die Funktionen des DKB-Bankings eingeschränkt. Nutzende sollten diese Phishing-Aufforderung unbedingt ignorieren und die Nachricht in den Spamordner verschieben.

6. Meta-Konzern führt Nacktbilderschutz bei Instagram ein

Via Instagram-Direktnachricht verschickte Nacktbilder werden beim Öffnen des Chats künftig mit einem Unschärfefilter überblendet. Dieser lässt sich mit einer weiteren Aktion ausschalten, sofern Nutzende den Inhalt ansehen möchten. Die neue Funktion greift bei Minderjährigen automatisch, um sie besser vor Belästigungen und Erpressungsversuchen zu schützen. Der Nacktbilderschutz kann aber von allen Nutzenden in den Einstellungen aktiviert werden. Er funktioniert auch in Chats mit Ende-zu-Ende-Verschlüsselung, da die für die Erkennung der Nacktheit nötige Analyse auf den Geräten selbst vorgenommen wird.

7. Suchen Sie noch oder tracken Sie schon?

Gut ein Drittel der Verbraucherinnen und Verbraucher in Deutschland ist mit der Nutzung digitaler Hilfsmittel zur Ortung vertraut. Das hat eine telefonische Befragung von 1.005 Personen ab 16 Jahren im Auftrag des Digitalverbandes Bitkom ergeben. Am häufigsten tracken Nutzende ihr Smartphone (23 %). Doch auch Schlüssel (6 %), Haustiere (4 %) oder Gepäckstücke auf Reisen (3 %) werden mittels Ortungsanwendung lokalisiert. Das Smartphone wird dabei nicht nur am häufigsten gesucht – es ist auch das beliebteste Hilfsmittel zur Ortung. Alternative Methoden, etwa GPS-Tracker, die mit einer SIM-Karte ausgestattet sind und damit ihren Standort über das Mobilfunknetz übermitteln, sind weniger verbreitet.

8. Mobile Payment

Mit dem iPhone bezahlen? Das ging bisher nur via Apple Pay. Nun wurde bekannt, dass Apple schon im kommenden Monat auch andere Bezahldienste für die sogenannte Near Field Communication (NFC) zulassen könnte, um damit eine EU-Strafe wegen Behinderung konkurrierender Anbieter zu umgehen. Nutzende von Android können schon jetzt zum Bezahlen beispielsweise Google Pay oder die Apps von Kreditinstituten und Handelsunternehmen nutzen. Sie möchten mehr über das bargeld- und kontaktlose Bezahlen mit mobilen Endgeräten erfahren?

9. Messenger-Dienste sicher nutzen

Kürzlich hat der Messenger-Dienst Signal eine Funktion eingeführt, die die persönliche Telefonnummer besser schützen soll. Sie ist künftig nur noch für Nutzende sichtbar, die sie ohnehin in den eigenen Telefonkontakten gespeichert haben. Wer seine Nummer öffentlich machen möchte, kann das in den Einstellungen ändern. Sie nutzen Messenger-Dienste wie Signal, WhatsApp, Threema und Co. und möchten wissen, worauf zu achten ist?

10. Jetzt zum IT-Sicherheitskongress anmelden!

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veranstaltet vom 7. bis 8. Mai 2024 in digitaler Form den 20. Deutschen IT-Sicherheitskongress. Unter dem Motto „Cybernation Deutschland: Kooperation gewinnt.“ werden Trends und Entwicklungen im Bereich der IT-Sicherheit als Voraussetzung für eine gelungene Digitalisierung beleuchtet. Melden Sie sich jetzt zum 20. Deutschen IT-Sicherheitskongress an! Die Teilnahme am Kongress ist kostenlos.

11. Edge Computing? Mit Sicherheit!

Moderne Anwendungen für intelligente Verkehrssysteme oder den Bereich Virtual Reality benötigen eine nahezu verzögerungsfreie Übertragung von Daten, um die echte Welt mit der digitalen Welt verschmelzen zu lassen. Weit entfernte Rechenzentren, in denen die Daten verarbeitet und interpretiert werden, bedeuten in vielen Fällen eine zu große Verzögerung – selbst, wenn sie nur im Millisekundenbereich liegt. Edge Computing ist eine Form des Cloud Computings, das die Datenverarbeitung näher an den Ort des Geschehens bzw. den Rand („Edge“) des Netzwerks heranrückt. Edge Computing wird immer relevanter – stellt aber auch eine große Herausforderung für die Absicherung dar.

1. Meta-Konzern entschärft KI-Richtlinien

Auf Facebook, Instagram und beim Kurznachrichtendienst Threads sind Nutzende künftig mit künstlich erzeugten Bildern konfrontiert. Statt KI-generierte Inhalte wie bisher zu löschen, werden Fotos, Audios und Videos, die mit Künstlicher Intelligenz erzeugt oder manipuliert wurden, ab Mai zugelassen. Die Dateien sollen mit Hinweisen wie "Made with AI" versehen werden; Beiträge, die Hassrede, Mobbing oder Falschmeldungen beinhalten, sind laut Meta von den Lockerungen ausgenommen. Dennoch ist die Sorge vor irreführenden Inhalten und ihrem Einfluss auf die sozialen Medien groß. Durch das weniger restriktive Vorgehen folgt der Meta-Konzern einer Empfehlung seines unabhängigen Aufsichtsgremiums und stellt Bedenken gegenüber KI-generierten Darstellungen zugunsten der Redefreiheit zurück.

2. Vermehrte Phishingangriffe auf Parteien

Immer häufiger sind politische Mandatstragende und Parteien das Ziel von Cyberangriffen. Mit Hilfe von infizierten und über E-Mail verbreiteten Links werden sensible Daten, Informationen und Dokumente erbeutet und – teils verfälscht – veröffentlicht. Hinter solchen sogenannten Hack-and-Leak-Angriffen werden staatlich gesteuerte Cyberakteure vermutet, die die öffentliche Meinung manipulieren und das Vertrauen in die Demokratie schwächen wollen.

3. KI-Kamera generiert Nacktbilder

Sie ist zwar nicht für die kommerzielle Nutzung, sondern als "Design- und Kunstobjekt" entwickelt worden, trotzdem zeigt der Kameraprototyp Nuca, was mittels KI schon heute möglich ist. Nuca erstellt in Sekunden ein Nacktbild von einer fotografierten Person – ohne deren Einwilligung und ganz ohne komplizierte Bildbearbeitung. Die aufgenommenen Daten werden dazu an einen Server gesendet, der die Merkmale der aufgenommenen Person anhand eines eigens entwickelten Klassifikators analysiert und daraus das Bild eines nackten Körpers erzeugt. Das Gesicht aus dem Originalfoto wird von einem Open-Source-Tools eingefügt.

4. Updates schützen Lexmark-Drucker vor Malware

Als Komponente im digitalen Heimnetzwerk können auch Drucker ein Einfallstor für Malware sein. Aktuell wurden bei Lexmark neue Schwachstellen entdeckt: Über eine mit dem Risikofaktor "hoch" eingestufte Sicherheitslücke im Internet-Printing-Protokoll (IPP) können Cyberkriminelle Schadcode einschleusen und ausführen. Auch eine Server-Side Request-Forgery-Schwachstelle (SSRF) in den Web-Services neuerer Lexmark-Drucker kann zu diesem Zweck ausgenutzt werden. Bei einer SSRF ist es für Angreifende möglich, einen Server dazu zu bringen, Anfragen an ein beliebiges Ziel zu verschicken. Je nach Schwachstelle können Angreifenden Informationen auslesen, unberechtigt auf Funktionen zugreifen oder Zugriff auf das interne Netzwerk zu erlangen. Die sicherheitsrelevanten Fehler lassen sich durch Updates beheben.

5. Amazon aktualisiert Fire-TV-Funktion

Den Smart-TV über das Smartphone steuern – ohne App, nur via QR-Code-Scan. Kling praktisch, ist aber nicht ohne Sicherheitsrisiko. IT-Spezialistinnen und -Spezialisten haben eine Sicherheitslücke aufgedeckt, über die sich der Fire-TV von Amazon möglicherweise kapern lassen könnte. Für Angreifende wäre es zwar schwierig, diese Lücke tatsächlich auszunutzen – Amazon hat die QR-Code-Funktion dennoch deaktiviert und prüft Verbesserungen.

6. Aktuelle Warnmeldungen - IT@KALAYCI

IT@KALAYCI informiert auf unserer Webseite regelmäßig über aktuelle Schwachstellen in Hard- und Software und gibt Informationen sowie Tipps zum Umgang damit.

7. So können Unternehmen digitale Verantwortung übernehmen

Der verantwortungsvolle Umgang von Unternehmen mit dem Thema Digitalisierung, die sogenannte Corporate Digital Responsibility, ist nicht nur ein Wettbewerbsvorteil, sondern liegt auch im Interesse der Verbraucherinnen und Verbraucher. Der aktuelle Podcast der Allianz für Cyber-Sicherheit "CYBERSNACS" befasst sich in Folge #27 mit dem Thema und bringt dabei Cybersicherheit, Datenschutz und ethische KI-Anwendungen ebenso zur Sprache wie die Schulung von Mitarbeitenden zum sicheren Umgang mit Daten, Hard- und Software. Die Gesprächspartner der neuen Folge: Jakob Wößner und Maike Scholz vom Bundesverband Digitale Wirtschaft.

8. Vertrauen auf den ersten Blick: Das IT-Sicherheitskennzeichen

Auf den ersten Blick erkennen, ob ein IT-Produkt sicher ist – das klingt fast zu schön, um wahr zu sein. Aber nur fast: Mit dem IT-Sicherheitskennzeichen bietet das BSI ein Tool, das Transparenz und Orientierung in Sachen IT-Sicherheit schafft. Nutzende können sich bei Produkten und Diensten, die das Kennzeichen tragen, auf ein Basis-Sicherheitsniveau verlassen, egal ob es um Router, smarte Kameras oder den E-Mail-Provider geht. Ab sofort kann von Anbietern auch das neue IT-Sicherheitskennzeichen für Videokonferenzdienste beantragt werden.

9. Was ist eigentlich Malvertising?

Auch Internet-Suchmaschinen sollte man nicht blind vertrauen. Hier können ebenfalls Links ausgespielt werden, die das Ziel haben, Nutzende auf kriminelle Websites zu locken und den PC mit Malware zu infizieren. Werden solche bösartigen Links mittels Werbeanzeigen im Suchergebnis der Userinnen und User einer Suchmaschine platziert, spricht man vom sogenannten Malvertising (eine Zusammensetzung aus Malware & Advertising). Erst vor wenigen Tagen wurde eine solche Malvertising-Kampagne auf Bing enttarnt.

10. So wichtig sind Smartphone-Updates

Kaum ein Gerät ist Nutzenden näher und hat mehr sensible Daten, Bilder und persönliche Informationen gespeichert als das Smartphone. Umso wichtiger sind Sicherheitsupdates, die dafür sorgen, dass der täglichen Begleiter sicher und einsatzfähig bleibt. Doch: "Ist das letzte Sicherheitsupdate ein Jahr her, bekommt das Handy wahrscheinlich keine Updates mehr." Mit diesem Zitat lässt Miriam Ruhenstroth von mobilsicher.de aufhorchen. In der neuen Folge des BSI-Podcasts "Update verfügbar" verrät die Expertin wichtige Fakten rund um die Sicherheitsaktualisierungen und spricht mit dem Moderatorenteam auch über unberechenbare Hersteller, verschwiegene Händler und veraltete Smartphone-Modelle, die sich als Schnäppchen tarnen.

11. Public-Cloud-Lösungen für besonders sensible Daten

Für Privatanwender und viele Unternehmen gehört das Speichern von Daten in der Cloud längst zum Alltag. Doch wie können die Möglichkeiten von Cloud-Lösungen auch für Bundesverwaltungen oder die Betreiber Kritischer Infrastrukturen sicher nutzbar werden? Die notwendigen Voraussetzungen für die Ablage und Verarbeitung hochsensibler Daten erarbeitet das BSI ab sofort im Verbund mit weiteren Projektpartnern in einem Cloud-Reallabor des GovTech Campus in Berlin. Auch Sozialversicherungsträger wie die Deutsche Rentenversicherung nehmen an dem Projekt teil.

12. Wie Social Bots zur Verbreitung von Desinformation genutzt werden und was man dagegen tun kann

Gemäß des globalen Weltrisikoberichts 2024 des Weltwirtschaftsforums stellen Des- und Falschinformation noch vor dem Klimawandel das größte globale Risiko für die Gesellschaft dar. Mit Hilfe Künstlicher Intelligenz können Falschinformationen ("Fake News") schnell produziert, in Sekundenschnelle über das Internet verbreitet werden und sind nur schwer von menschlichen Accounts und legitimer freier Meinungsäußerung zu unterscheiden. Wie Künstliche Intelligenz und Social Bots zur Verbreitung von Desinformation und zur Beeinflussung von Wahlen eingesetzt werden, wie man Fake News erkennt und was man dagegen tun kann, erklärt das BSI beim Digital-Kompass.

13. Der nächste Streaming-Krimi oder doch die neue BSI-Kampagne für IT-Sicherheit bei smarten Geräten?

Saugroboter, smarte Kühlschränke, digitale Assistenten und Co. sind praktische Alltagshelfer, die sich wachsender Beliebtheit erfreuen. Doch wenn sie nicht ausreichend abgesichert sind, können sie zum Einfallstor für Cyberkriminellen werden. Hacker können so schlimmstenfalls nicht nur persönliche Daten abgreifen, sondern die Geräte auch missbrauchen, um groß angelegte Cyberattacken durchzuführen. Doch schon mit wenigen Schritten können Nutzende sich und ihre Geräte besser absichern. Das BSI macht daher seit Ende März mit einer Kampagne auf die IT-Sicherheit bei smarten Geräten aufmerksam.

1. Cyberattacke auf deutsche Politikerinnen und Politiker

Politische Akteure und Parteien stehen häufig im Fokus von Cyberangriffen. Insbesondere vor dem Hintergrund der bevorstehenden Europawahl ist von einem erhöhten Angriffsaufkommen auszugehen. Dies können u.a. Phishing-Angriffe sein – insbesondere mit dem Ziel, erbeutete Daten oder Dokumente zu veröffentlichen (Hack & Leak). Dabei können die veröffentlichten Informationen zusätzlich manipuliert oder gefälscht sein. Dem Bundesamt für Verfassungsschutz (BfV) und BSI liegen aktuelle Informationen zu Phishing-Angriffen eines staatlichen Akteurs u. a. gegen deutsche Parteien vor. Durch den Modus Operandi ergibt sich eine erhöhte Cyberbedrohungslage für die im Fokus stehenden Ziele. Das BSI hat im politischen Raum gezielt zu möglichen und konkreten Gefahren durch Hack-&-Leak-Angriffe sensibilisiert. Zu Details aus dem genannten Fall äußert sich das BSI nicht.

2. Darknet-Plattform abgeschaltet

In der vergangenen Woche ist dem Bundeskriminalamt (BKA) und der bei der Generalstaatsanwaltschaft Frankfurt angesiedelten Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) ein Schlag gegen eine kriminelle Handelsplattform gelungen. In Zusammenarbeit mit litauischen und US-amerikanischen Strafverfolgungsbehörden konnte die digitale Plattform "Nemesis Market" vom Netz genommen werden. Dort wurden nicht nur Betäubungsmittel und gefälschte Dokumente gehandelt. Auch digital erbeutete Daten und Cybercrime-Dienstleistungen standen zum Verkauf. Bei Zugriffsmaßnahmen in Deutschland und Litauen wurden Server und Kryptowährungen in Höhe von mehr als 90.000 Euro beschlagnahmt. Mehr als 150.000 Nutzende waren laut BKA auf der erst 2021 gegründeten Plattform registriert.

3. Datenleck bei Kita-App

Mehr als 10.000 Kitas, Schulen, Hort- und Pflegeeinrichtungen nutzen die App "Stay Informed" zum kurzen Informationsaustausch mit Eltern, Angehörigen und Mitarbeitenden. Nun sind erhebliche Datenlecks bekannt geworden. So wurde etwa das veraltete Klartext-Protokoll http für den Serverzugang verwendet; auch wurde keine Transportverschlüsselung eingesetzt. Sensible Daten wie Namen und Anschriften, Informationen über Impfungen, Konfessionen, Erziehungsberechtigte oder Herkunftsländer waren laut Stay Informed GmbH "frühestens seit dem 20.10.2021 und spätestens seit dem 18.08.2023" nicht ausreichend geschützt. Die Probleme wurden inzwischen behoben, das Unternehmen stellt online Informationen zum Sicherheitsvorfall zur Verfügung.

4. Tausende Microsoft-Exchange-Server durch kritische Schwachstellen verwundbar

Mindestens 17.000 Instanzen von Microsoft-Exchange-Servern in Deutschland sind durch eine oder mehrere kritische Schwachstellen verwundbar. Cyberkriminelle sowie staatliche Akteure nutzen mehrere dieser Schwachstellen bereits aktiv zur Verbreitung von Schadsoftware, zu Cyberspionage oder für Ransomware-Angriffe aus. Betroffen sind insbesondere Schulen und Hochschulen, Kliniken, Arztpraxen, Pflegedienste und andere medizinische Einrichtungen, Rechtsanwälte und Steuerberater, Kommunalverwaltungen sowie viele mittelständische Unternehmen. Das BSI ruft die Betreiber der Instanzen dazu auf, aktuelle Exchange-Versionen einzusetzen, verfügbare Sicherheitsupdates einzuspielen und die Instanzen sicher zu konfigurieren.

5. Firefox schließt Sicherheitslücken

Wer den Browser Firefox nutzt, sollte in Sachen Updates nicht nachlassen: Nachdem erst kürzlich die Aktualisierungen auf Firefox 124.0, Firefox ESR 115.9 und Thunderbird 115.9 erfolgten und mehrere Sicherheitsrisiken der maximalen Einstufung "hoch" geschlossen wurden, ist nun eine weitere Aktualisierung ratsam, mit der Firefox zwei kritische Bugs in der neuen Version 124.0.1 behoben hat. Beide Lücken betreffen Javascript.

6. Kehrtwende: Microsoft schließt Lücke beim Xbox Gaming Service

Durch eine Schwachstelle konnten Nutzende mit niedrigen Privilegien im Dienst Xbox Gaming Service System-Rechte erlangen. Gemeldet wurde die Sicherheitslücke von einem Nutzenden – inklusive ausführlicher Proof-of-Concept-Demonstration – also das Ausnutzen der Sicherheitslücke, ohne eine Schadfunktion auszulösen. Zunächst gab Microsoft an, es sei "keine Sicherheitsgrenze überschritten" worden. Nun hat das Unternehmen das Risiko doch als solches erkannt und die Lücke geschlossen. Mit einem CVSS-Wert von 8.8 schrammt sie dabei nur ganz knapp an der Einstufung "kritisch" vorbei.

7. Spoofing-Gefahr bei MS Edge – Update hilft

Beim sogenannten Spoofing versuchen Kriminelle, eine vertrauenswürdige Identität vorzutäuschen, um sich so Zugang zu Computern und Netzwerken zu verschaffen und vertrauliche Daten abzugreifen, Malware einzuschleusen oder Ressourcen für weitere Cyberangriffe dazuzugewinnen. Im Edge-Browser wurde nun eine Sicherheitslücke geschlossen, die das sogenannte Website Spoofing ermöglicht.

8. Zahl der Woche: 18

18 Prozent der von Cyberkriminalität Betroffenen haben einen tatsächlichen finanziellen Schaden erlitten – so der Cybersicherheitsmonitor 2023. Weitere Auswirkungen von Cybercrime: der Vertrauensverlust in entsprechende Online-Dienste (33 %), zeitlicher Schaden oder emotionale Betroffenheit (26 % und 23 %) sowie der Verlust von Daten (22 %). Insbesondere ein gehackter E-Mail-Account bietet Cyberkriminellen eine Bandbreite von Möglichkeiten. Denn das Konto dient längst nicht "nur" dem Empfang und Versand von Mails: Ob in Online-Shops, sozialen Netzwerken oder bei digitalen Behördenleistungen, überall ist der E-Mail-Account hinterlegt.

9. LKA Schleswig-Holstein warnt vor aktueller Erpressungsmasche

Was, wenn Unbefugte Zugriff auf die persönlichsten, auf dem Handy gespeicherten Daten bekommen? Ein Albtraum, mit dem Cyberkriminelle zunehmend Druck aufbauen. Vor dieser Masche warnt aktuell das LKA Schleswig-Holstein. Cyberkriminelle wenden sich demnach per Mail an ihre Opfer und fordern die Zahlung von Bitcoins. Andernfalls würden sensible Daten vom angeblich gehackten Smartphone weitergegeben und an soziale Medien versendet. Da es sich hier um eine breitgestreute Phishing-Methode handelt, ist davon auszugehen, dass die Täter keine solchen kompromittierenden Informationen besitzen. Grundsätzlich ist es ratsam, bei Erpressungen per Mail zunächst skeptisch zu sein und zu überprüfen, ob die Behauptungen plausibel sind. Unabhängig davon, ob eine Zahlung getätigt wurde oder nicht, sollte der Erpressungsversuch bei der Polizei angezeigt werden.

10. Was ist "Sextortion" – und wie schützt man sich?

Laut Cybersicherheitsmonitor 2023 waren fünf Prozent der Opfer von Cyberkriminalität mit "Sextortion" – der Erpressung mit intimen oder sexuellen Inhalten – konfrontiert. Teilweise überreden die Täterinnen und Täter ihre Opfer zuvor, etwa Nacktbilder aufzunehmen und mit ihnen zu teilen. In anderen Fällen haben sich die Erpressenden digital Zugriff zu privaten Aufnahmen verschafft – oder geben vor, auf gespeicherte Bilder und Videos zugreifen zu können. Es wird mit der Veröffentlichung und Verbreitung der Inhalte gedroht. Wer sich vor "Sextortion" schützen und für den Ernstfall vorbereitet sein möchte, dem gibt unsere Notfall-Checkliste viele hilfreiche Informationen an die Hand.

11. Mit Sicherheit unbesiegbar – das ist beim Gaming zu beachten

In der Kategorie Up-to-date haben wir das Thema schon angerissen: Auch Gamerinnen und Gamer sollten in Sachen digitale Sicherheit wachsam sein. Wer sich beim Download neuer Spiele, bei der Installation von Hard- und Software oder beim Zocken gegen virtuelle Gegner stark und sicher fühlen möchte, kann auf viele hilfreiche Tipps und Tools zurückgreifen. Das Bewusstsein für die Gefahren und die Investition von wenigen Minuten zahlen sich bereits aus.

12. Neues Phishing-Tool entdeckt

Sicherheitsforschende von Sekoia.io haben ein neues Phishing-Tool entdeckt, das im Phishing-as-a-Service-Modell vertrieben wird. Das Tool mit dem Namen "Tycoon 2FA" soll eine Weiterentwicklung des bereits bekannten Tycoons sein und zielt auf Nutzende mit aktivierter Zwei-Faktor-Authentifizierung ab. Sie werden über einen eingebetteten Link oder QR-Code auf eine gefälschte Anmeldeseite geleitet.

13. So stärkt das BSI die IT-Sicherheit von Arztpraxen

Immer häufiger werden medizinische Einrichtungen zum Ziel von Cyberkriminellen. Mit zwei aktuellen Studien hat das BSI eine Datengrundlage geschaffen, um den Schutz von Arztpraxen "durch pragmatischere Vorgaben gezielt zu verbessern und so die Digitalisierung des Gesundheitswesens weiter voranzutreiben", fasst BSI-Präsidentin Claudia Plattner zusammen. Auf der Gesundheits-IT-Fachmesse DMEA, die vom 9. bis zum 11. April in Berlin stattfindet, können sich Teilnehmende über die aktuellen BSI-Aktivitäten rund um die Telematikinfrastruktur (TI) des Gesundheitswesens, vernetzte Medizinprodukte sowie die Cybersicherheit in Praxen und im Rettungsdienst informieren.

1. BSI-Präsidentin warnt vor Cyberbedrohungen

"Die Gefährdungslage ist so hoch wie nie", so brachte es BSI-Präsidentin Claudia Plattner vor wenigen Tagen auf einer Veranstaltung des Digitalverbandes Bitkom auf den Punkt. Die Frage sei nicht, ob ein Angriff erfolgreich sei, sondern nur noch wann. Ransomware, Desinformationskampagnen, aber auch Sicherheitslücken in Unternehmen und Behörden wurden in ihrem Vortrag als drängendste Probleme benannt. Allein im Jahr 2022 entstand der deutschen Wirtschaft durch Cyberattacken ein Schaden von 206 Milliarden Euro. Höchste Zeit also, aktiv zu werden. Parallel zur Arbeit des BSI, das bei der Vorbeugung vor Cyberangriffen und in der Notsituation nach einer Attacke helfen kann, kommt es auch auf das Engagement der Unternehmen selbst an. Claudia Plattner verwies in diesem Zusammenhang auf die "Allianz für Cyber-Sicherheit" des BSI, ein Netzwerk, in dem sich bereits knapp 8000 Firmen zur Stärkung der Cyberresilienz zusammengeschlossen haben.

2. EU will Infrastruktur besser vor Cyberattacken schützen

Ein neues Warnsystem soll Bedrohungen frühzeitig erkennen und Kritische Infrastrukturen (KRITIS) wie Krankenhäuser, Energieversorger oder Verkehrsknotenpunkte europaweit besser schützen, darauf hat sich die EU in der vergangenen Woche geeinigt. Das Warnsystem für Cybersicherheit ist Teil des europäischen Cybersolidaritätsgesetzes, für dessen Maßnahmen etwa 1,1 Milliarden Euro veranschlagt werden. Es soll den Informationsaustausch fördern und dazu beitragen, Bedrohungen innerhalb der EU frühzeitig zu erkennen und die richtigen Maßnahmen zu ergreifen.

3. Apple schießt rund 70 Lücken in macOS 14.4

Apple-Nutzende sollten weiter dranbleiben: Nach Updates für iOS und iPadOS steht nun macOS im Fokus. Neben kleineren Funktionserweiterungen und Bugfixes betreffen die Aktualisierungen auch zwei heikle Schwachstellen, die wohl bereits aktiv für Angriffe ausgenutzt wurden. Für macOS 14 Sonoma steht die Version 14.4 zum Download bereit, für die beiden älteren macOS-Versionen Ventura und Monterey greifen Nutzende auf die Updates 13.6.5 und 12.7.4 zurück. Außerdem gibt es für sie ein Update, das den Browser Safari (mitsamt WebKit) auf Version 17.4 aktualisiert.

4. Sicherheitsupdates für Chrome und Edge

"Ein anonymer Angreifer kann mehrere Schwachstellen in Google Chrome und Microsoft Edge ausnutzen, um einen nicht näher spezifizierten Angriff durchzuführen", warnte das BSI Anfang des Monats. Browser-Updates von Apple und Microsoft schaffen Abhilfe: Das Edge-Update bringt in der neuesten Version 122.0.2365.80 alle entsprechenden Änderungen mit, um die Schwachstellen zu beheben. Das Gleiche gilt für das Chrome-Update auf Version 122.0.6261.111/.112. Für eine Schwachstelle im Edge-Browser für Android, die den Browser anfällig macht für Spoofing, liegt noch kein Update vor.

5. Zahl der Woche: 43

m besten Fall schließen Updates Sicherheitslücken, bevor Cyberkriminelle sie ausnutzen können. Immerhin 43 Prozent der Verbraucherinnen und Verbraucher installieren laut Cybersicherheitsmonitor 2023 regelmäßig Updates. Doch es geht noch besser: 46 Prozent der Nutzenden haben die automatische Installation von Updates aktiviert. So landen mit Sicherheit die neuesten Updates auf dem jeweiligen Gerät.

6. In der EU gelten ab sofort die Regeln des Digital Markets Act

Nachrichten zwischen verschiedenen Messanger-Anbietern verschicken, frei über Browser, Suchmaschinen oder die Verknüpfung verschiedener Dienste untereinander entscheiden – all das und mehr garantiert der Digital Markets Act, das europäische Gesetz über digitale Märkte. Seit 7. März 2024 müssen sich sechs führende Tech-Unternehmen – Apple, Amazon, Microsoft, Alphabet, Meta und Bytedance (TikTok) – an die neuen Vorgaben halten. Diese zentralen Plattformen, die Gatekeeper, sollen für mehr Geräteneutralität, Interoperabilität sowie Datenportabilität und ein höheres Maß an Wettbewerb auf den digitalen Märkten sorgen.

7. Malware auf dem Smartphone oder Tablet – was nun?

Wenn das Handy oder Tablet nicht mehr das tut, was es soll, und mit Malware infiziert wurde, sorgt das für einen echten Schreckmoment. Was in einem solchen Fall zu tun ist: wurde vor dem Auftreten des verdächtigen Geräteverhaltens beispielsweise eine bestimmte App installiert, dann sollte diese deinstalliert werden. Auch ein Zurücksetzen auf die Werkseinstellungen kann helfen. Darüber hinaus unverzichtbar: ein aktuelles Antivirus-Programm.

8. Stark, stärker, Passkeys!

Nutzen Sie noch Passwörter? Es gibt längst was Besseres! Passkeys sind Passwörtern in vielerlei Hinsicht überlegen: Sie können nicht zu simpel oder zu kurz sein, sie können nicht vergessen werden, sie werden schnell und automatisiert erstellt und schützen immer genau einen Account. Außerdem ist es unwahrscheinlicher, dass Passkeys durch Phishing oder Datendiebstahl verloren gehen.

9. Adlerauge, sei wachsam: So erkennen Sie Scam-Nachrichten

Täuschend echt – und doch gefährlich. Kriminelle geben sich in gefälschten E-Mails als Paketdienstleister, Banken oder Behörden aus, um Geld oder Informationen zu erbeuten. Den Betrug zu erkennen, wird immer schwieriger. Dennoch gibt es einige Merkmale, die auf betrügerische Nachrichten wie Phishing bzw. Scam-Mails sowie gefälschte Websites hindeuten. So sollten etwa Links und Formulare zur Abfrage persönlicher Daten stutzig machen. Auch ein dringender Handlungsbedarf oder Drohungen haben in seriösen Nachrichten nichts zu suchen.

10. CYBERSNACS #26: Krisenkommunikation – Schaden begrenzen, Reputation erhalten

"Die Frage ist nicht, ob Unternehmen Opfer eines Cyberangriffs werden, sondern wann es passiert", das betont in der aktuellen Folge CYBERSNACS auch Janka Kreißl von Dunkelblau, einem Unternehmen, das sich auf Krisenkommunikation und Krisenmanagement spezialisiert hat. In der Ausnahmesituation eines Cyberangriffs müsse einkalkuliert werden, dass Dinge schieflaufen und Zeit kosten können. Janka Kreißl empfiehlt Unternehmen darum, nicht zu viel nach außen zu versprechen und keine zu hohen Erwartungen zu schüren. Präventionsarbeit sei wichtig. Neugierig, ob und wie Unternehmen für Krisenkommunikation ein Konzept in der Schublade vorhalten können?

1. Onlinezugangsgesetz 2.0

Mit der Neuauflage des Onlinezugangsgesetzes 2.0 (OZG) macht sich Deutschland auf den Weg, Bürgerinnen und Bürgern den Gang zum Amt zu ersparen und stattdessen digitale Dienste anzubieten. Das OZG 2.0 gibt den Bürgerinnen und Bürgern sowie Unternehmen und Organisationen das Recht, digitale Verwaltungsleistungen des Bundes vom Jahr 2028 an beim Verwaltungsgericht einzuklagen. Für Bundesinnenministerin Nancy Faeser ist das Gesetz „ein echter Fortschritt. So machen wir unser Leben einfacher und sicherer. Das ist ein sehr wichtiges digitales Upgrade für Deutschland.“

2. Ransomware-Bande LockBit zerschlagen

Bei einer gemeinsamen Strafverfolgungsaktion haben internationale Ermittler die Hackergruppe Lockbit zerschlagen. Das ist der Erfolg einer engen Kooperation zwischen der britischen National Crime Agency (NCA), dem amerikanischen Federal Bureau of Investigation (FBI) und Europol. "Die Software sei 2022 die ‚weltweit am häufigsten eingesetzte Ransomware-Variante‘ gewesen und auch 2023 "bislang weiterhin produktiv", zitierte die BBC die Behörde.

3. Post-Quanten-Kryptografie

Anbieter von Messengerdiensten sind schon eher dafür sensibilisiert und jetzt wechselt auch Apples iMessage auf eine Post-Quanten-Kryptografie, wie zuvor schon der Anbieter Signal. Vereinfacht gesagt, soll es eine Art Risikomanagement gegen Gefahren sein, die sich aus den technologischen Fortschritt leistungsstarker Quantentechnologie mit kriminellen Absichten ergeben.

4. Malwarekampagne nutzt Google Play Store zur Verbreitung

Fachleute der Cybersicherheitsfirma Threatfabric haben eigenen Angaben zufolge Malware-Kampagnen beobachtet, bei denen europäische Nutzerinnen und Nutzer im Visier stehen. In den vergangenen vier Monaten kam es zu mehr als 100.000 Installationen des Anatsa-Banking-Trojaners, inzwischen sind Varianten auch im Google Play Store aufgetaucht. Banking-Trojaner fangen die Kommunikation von Verbraucherinnen und Verbrauchern mit ihren Bank ab, um an PINs und TANs zu gelangen.

5. Vorsicht bei Reisebuchungen im Internet

Buchen Sie Reisen und Urlaube gerne über Online-Portale? Achten Sie dabei unbedingt auf Sicherheit, denn die Online-Reisebuchung kann risikobehaftet sein: Fake-Websites, überraschende Gebühren oder gefälschte Tickets sind nur einige Beispiele der Gefahr. Im vergangenen Jahr sind rund 20 Millionen Menschen Opfer von diversen Formen der Cyberkriminalität in Zusammenhang mit Reisebuchungen geworden, wie aus Daten der Online-Plattform Statista hervorgeht.

6. Zertifikate für Smart-Meter-Gateways

Inzwischen haben fünf Hersteller alle nötigen Nachweise für den Smart-Meter-Rollout erbracht. Mit dem Gesetz zum Neustart der Digitalisierung der Energiewende soll der Rollout von intelligenten Messsystemen deutlich beschleunigt werden. So werden die Weichen gestellt für eine sichere Integration steuerbarer Erzeugungs- und Verbrauchseinrichtungen. Das Smart-Meter-Gateway (SMGW) als sichere Kommunikationsplattform hilft dabei, das Stromnetz zu entlasten und Energie effizient und auch kostengünstig zu nutzen.

7. Zahl der Woche: 10

Unter Verbraucherinnen und Verbrauchern hat nur etwa jede und jeder Zehnte bereits von Versuchen Krimineller gehört, die eingebauten Regeln einer KI-Anwendung zu umgehen und diese zu manipulieren. Das hat der Cybersicherheitsmonitor 2023 ergeben. In der Praxis kann das zum Beispiel so aussehen: Ein Smart Speaker nutzt KI, um gesprochene Sprache zu erkennen. Deshalb können wir ihm Befehle zurufen. Kriminelle manipulieren den Smart Speaker etwa so, dass er vorgibt, die mündliche Eingabe eines Passwortes sei notwendig. Das Passwort fangen Kriminelle ab und nutzen es für ihre Zwecke.

8. Neue Podcast-Folge: Passkey statt Passwort – was steckt dahinter?

Passkeys sind eine Alternative zum Login mit Passwörtern. Bei Passkeys basiert die Autorisierung auf einem kryptografischen Verfahren. Dazu werden zwei digitale Schlüssel erzeugt: Der eine liegt bei den Nutzenden, der zweite bei den Anbietern von Webseiten und Diensten. Bei jedem Login werden Aufgaben erstellt, die nur mit dem eigenen geheimen Schlüssel zu lösen sind. Neben einer im Hintergrund ablaufenden Berechnung bestätigt man den Zugriff zusätzlich z.B. über ein biometrisches Merkmal wie Fingerabdruck oder Gesichtsscan. Die wohl größten Vorteile der Technologie für Nutzerinnen und Nutzer liegen darin, dass sie in Zukunft zum einen keine Passwörter mehr erstellen und verwalten müssen.

9. Updates ganz bequem

Regelmäßige Aktualisierungen von Programmen und Betriebssystemen sind das A und O für die Sicherheit Ihrer Geräte. Glücklicherweise können Ihre Geräte das für Sie selbstständig übernehmen – vorausgesetzt Sie aktivieren die automatischen Updates auf Computer, Smartphone und Co. Schritt für Schritt zeigen wir Ihnen, wie Sie mühelos automatische Aktualisierungen auf Ihrem Gerät einrichten.

10. Cybersnacs Folge #25: KI made in Germany

Was hat KI mit Souveränität, Technologie mit Politik zu tun? In der ersten CYBERSNACS-Folge dieses Jahres spricht Salsabil Hamadache mit BSI-Präsidentin Claudia Plattner und Aleph Alpha CEO Jonas Andrulis über KI made in Germany. Eine so wichtige Zukunftstechnologie wie KI sollte auch in Deutschland entwickelt und gefördert werden, darin sind sich unsere Gäste einig. Denn: Wir vertrauen der KI enorm wertvolle Daten an und brauchen Sicherheit und Unabhängigkeit in der KI – vor allem in kritischen Sektoren wie der Gesundheit und natürlich auch in der Cybersicherheit. Welche Zukunftspotenziale unsere Gäste auf dem Radar haben und warum KI-Modelle transparent und erklärbar sein sollten, erfahren Sie in der neuesten Folge CYBERSNACS!

1. Grenzüberschreitende Zusammenarbeit zur Abwehr russischer Cyberattacken

Mit einem gemeinsamen Warnmechanismus wollen sich laut Medienberichten Deutschland, Frankreich und Polen besser vor digitalen Desinformationskampagnen und Cyberangriffen aus Russland schützen und die Verteidigungs- und Sicherheitsarchitektur in Europa stabilisieren. Nicht nur angesichts des russischen Angriffskriegs auf die Ukraine werden weiterhin gezielte Operationen befürchtet. Die Europawahl und die Olympischen Spiele in Paris könnten die angespannte Cybersicherheitslage 2024 zusätzlich verschärfen. Das russische Vorgehen stellt eine Bedrohung für die europäische Stabilität dar, das unterstrichen Außenministerin Annalena Baerbock und ihre Amtskollegen Stéphane Séjourné und Radosław Sikorski im Rahmen einer Pressekonferenz am 12. Februar in Paris.

2. Vorsicht beim Verkauf via Kleinanzeigen

Sie sind als private Verkaufende auf dem Portal Kleinanzeigen aktiv? Dann sollten Sie aktuell besonders achtsam mit Ihren Daten umgehen: Das LKA Niedersachsen warnt vor einer Phishing-Masche, mit der Cyberkriminelle ihre Opfer dazu bringen, auf Geldwäsche-Bankkonten zu überweisen. Das Vorgehen im Überblick: Eine vermeintliche Kaufinteressentin bzw. ein Kaufinteressent lockt die Verkaufenden in den mutmaßlichen Support-Chat des Portals. Dort wird das Opfer gebeten, über einen gefälschten Link Bankdaten mittels TAN-Bestätigung einzugeben. Die TAN-Eingabe sei notwendig, um das Konto als Empfängerkonto für die Bezahlung zu verifizieren. Der Vorgang muss wegen angeblicher Probleme mehrmals wiederholt werden. Durch die TAN-Bestätigung landen die Abbuchungen direkt auf den Konten der Cyberkriminellen.

3. Canon warnt vor Schwachstellen in Multifunktions- und Laserdruckern

Canon hat sieben kritische Sicherheitslücken in bestimmten SOHO-Multifunktions- und Laserdruckern öffentlich gemacht. Sofern ein Produkt ohne Router mit dem Internet verbunden ist, können Angreifende ohne vorherige Authentifizierung bösartige Codes ins Zielsystem einzuschleusen, ohne dass der Benutzer dies bemerkt oder erlaubt. Auch das Lahmlegen mittels Denial-of-Service ist möglich. Canon stellt aktualisierte Firmware-Versionen zur Verfügung und empfiehlt u.a., dass die Drucker eine private IP-Adresse zugewiesen bekommen sollten.

4. Neues AnyDesk Codesigning-Zertifikat

Nachdem das BSI Anfang Februar 2024 einen Cybersicherheitsvorfall beim Remote-Screen-Sharing-Anbieter AnyDesk meldete, veröffentlicht das Unternehmen nun weitere Informationen und Handlungsempfehlungen. Die genauen Hintergründe zum Vorfall, der sich wohl schon im Dezember 2023 ereignete, sind weiterhin unklar. AnyDesk geht zwar offiziell nicht davon aus, dass Zugangsdaten abgeflossen sind, die Passwörter wurden dennoch präventiv zurückgesetzt. AnyDesk liefert außerdem neue Anwendungsversionen mit einem neuen Codesigning-Zertifikat aus. Die neuen Versionen 7.0.15 sowie 8.0.8 für Windows und 8.0.0 für macOS sind bereits auf aktuellem Stand. Aktualisierungen für Custom Client und On-Premise-Versionen will das Unternehmen, das Nutzenden einen plattformübergreifenden (Fern-)Zugriff auf vernetzte Geräte ermöglicht, ebenfalls bereitstellen.

5. Cybersicherheit in der Schule und zu Hause

Anlässlich des Safer Internet Days Anfang Februar konzentriert sich das BSI in diesem Monat verstärkt auf die Vermittlung von Basiswissen und Kompetenzen im Bereich Cybersicherheit an der Schule und in der Familie. Hier wie dort gehören digitale Medien inzwischen selbstverständlich dazu und werden bereits von den Jüngsten genutzt. Wer Kinder und Jugendliche begleitet, steht vor der Herausforderung, den bewussten Umgang mit digitalen Medien zu fördern und eine sichere Online-Umgebung zu schaffen. Das BSI hat ein praktisches Medienpaket mit Know-how und vielen Impulsen für Eltern sowie Lehrerinnen und Lehrer zusammengestellt.

6. Zahl der Woche: 2,9

Im Durchschnitt nur 2,9 Maßnahmen zum Schutz vor Cyberangriffen nutzen die 16-22-Jährigen. Sie sind damit die Altersgruppe, die durchschnittlich am wenigsten Maßnahmen ergreift. Im Cybersicherheitsmonitor 2023 sind alle anderen Altersgruppen mehr auf ihre Sicherheit bedacht: Internetnutzende ab 70 Jahre kommen im Schnitt sogar auf 4,2 Schutzmaßnahmen. Um ihre Sicherheit im digitalen Alltag zu erhöhen, müssen Kinder und Jugendliche früh erfahren, warum Schutzmaßnahmen wichtig sind und wie sie sich sicher im Internet bewegen können.

7. Digitale Gewalt gegen Frauen hat drastische Folgen

Cybermobbing, Cyberstalking und / oder die nicht einvernehmliche Weitergabe von intimen bzw. KI-generierten Bildern kann sich auf die psychische Gesundheit Betroffener und ihr gesamtes Leben negativ auswirken. Eine neue EU-Richtlinie soll Frauen besser vor Cyberkriminalität schützen.

8. Sieben Merkmale sicherer Onlineshops

Beim Einkauf in vermeintlich seriösen Onlineshops können Verbraucherinnen und Verbraucher böse Überraschungen erleben. Zum Beispiel, wenn die Ware per Vorkasse bezahlt wird, aber nie zu Hause eintrifft. Wenn persönliche Daten nicht ausreichend verschlüsselt werden und in die Hände von Cyberkriminellen gelangen. Oder wenn ein Fakeshop für teures Geld minderwertige Produkte versendet. Das BSI empfiehlt, sich bereits vor dem Kauf in einem Onlineshop mit dem Unternehmen, den angebotenen Zahlungsmethoden, Zertifizierungen und Nutzerrezensionen kritisch auseinanderzusetzen.

9. Basisschutz für Kinder und Jugendliche – so funktioniert’s!

In der KIM-Studie 2022 gab knapp die Hälfte aller Eltern an, dass ihr Kind alleine ins Internet darf. Um diese junge Nutzergruppe vor jugendgefährdenden Inhalten zu schützen, den Kauf bzw. die Installation von Apps zu beschränken oder das ungewollte Abschließen von Abos zu verhindern, können Eltern einiges tun. So lassen sich zum Beispiel Altersbeschränkungen vergeben, Jugendschutzeinstellungen vornehmen und Authentifizierungen für Käufe auf den in der Familie genutzten Geräten einrichten.

10. Umsetzung der neu beschlossenen Strategie für die Internationale Digitalpolitik

Am 7. Februar 2024 hat das Bundeskabinett die Strategie für Internationale Digitalpolitik verabschiedet. Sie gibt einen verbindlichen Handlungsrahmen vor und soll internationale Standards etwa für den Einsatz von Künstlicher Intelligenz, den Datenschutz oder die Bekämpfung von Cyberkriminalität vorantreiben. Neun Grundsätze stehen im Zentrum, sie betreffen unter anderem grenzüberschreitende Datenflüsse, eine sichere globale digitale Infrastruktur und den Online-Schutz der Grund- und Menschenrechte. Die neue Strategie ist laut Bundesministerium für Digitales und Verkehr "Auftakt und Grundlage für einen fortlaufenden Prozess, in dem jedes Ressort die Umsetzung der Strategie aktiv vorantreiben wird".

11. Neue Podcast-Folge "Update verfügbar" - ein Muss für alle Eltern

In ihrem Buch "Wir verlieren unsere Kinder" warnt die Schuldirektorin und Autorin Silke Müller vor einer Gewaltspirale, die Mobbing und Cybergrooming auf eine neue Stufe hebt. Das BSI-Moderatorenteam Ute Lange und Michael Münz spricht mit Silke Müller über ihre Prognose und die Möglichkeiten, dieser gefährlichen Entwicklung in der Familie entgegenzuwirken. Ein Muss für alle Eltern, die ihre Kinder im digitalen Alltag schützen möchten.

1. Amazon-Kundinnen und Kunden als Opfer von Lieferbetrug

Amazon-Kundinnen und -Kunden melden, dass sie zwar teure Produkte bestellt, aber minderwertige Ware erhalten haben, berichtet Heise Online. Mutmaßlich tauschen Betrügerinnen und Betrüger die Ware aus. Obwohl gewerbliche Versender normalerweise für das Transportrisiko haften, verweigert Amazon die Schadensregulierung und erwartet, dass Kundinnen und Kunden die ursprünglich bestellten, aber nicht erhaltenen Artikel zurücksenden, bevor eine Rückerstattung erfolgt.

2. Achtung vor Betrug: Gefälschte Temu-Zustellungsmitteilungen im Umlauf

Das Landeskriminalamt Niedersachsen warnt vor betrügerischen Zustellungsmitteilungen, die sich an Nutzerinnen und Nutzer der chinesischen Shopping-App Temu richten. Die gefälschten Phishing-Nachrichten, per E-Mail oder SMS versendet, stehen in keinem Zusammenhang mit tatsächlichen Bestellungen. Kundinnen und Kunden werden aufgefordert, Pakete über die originale Webseite/App des Shoppingportals oder Transportdienstleisters zu verfolgen. Das BSI empfiehlt außerdem, niemals auf Links in einer dubiosen Mail oder SMS zu klicken und keine persönlichen Daten wie Passwörter, Kreditkarten- oder Transaktionsnummern via E-Mail preiszugeben – egal, wie vertrauenserweckend die betreffende E-Mail erscheint.

3. Erster Berliner Cybersicherheitsgipfel

Etwa 200 Teilnehmerinnen und Teilnehmer nahmen am 28. November 2023 am ersten Berliner Cybersicherheitsgipfel teil. Organisiert wurde die Veranstaltung vom Nationalen Cyber-Sicherheitsrat der Bundesregierung. Vertreter aus Wirtschaft, Wissenschaft, Staat und Zivilgesellschaft diskutierten über Cybersicherheit und gaben Impulse für die Weiterentwicklung der Nationalen Cybersicherheitsstrategie aus dem Jahr 2021. BSI-Präsidentin Claudia Plattner betonte in ihrer Keynote, dass die gesamte Gesellschaft an der Cybernation Deutschland mitwirken solle. Das Thema Cybersicherheit sei noch nicht flächendeckend angekommen.

4. Bluetooth-Sicherheitsrisiko: Neue Angriffstechnik Bluffs gefährdet Milliarden von Geräten

Ein Sicherheitsforscher der Eurecom Universität und Forschungseinrichtung für Telekommunikation und Multimedia, Daniele Antonioli, hat kürzlich sechs neue Angriffstechniken auf Bluetooth-Verbindungen vorgestellt und diese unter der Bezeichnung Bluffs (Bluetooth Forward and Future Secrecy) zusammengefasst. Die Techniken ermöglichen sogenannte Man-in-the-Middle-Angriffe, bei denen Angreifende entweder psychisch oder logisch zwischen zwei Kommunikationspartnern steht und ihnen falsche (Geräte-)Identitäten vortäuscht, um Zugang zu Smartphones, Laptops oder Tablets zu bekommen. Um mobile Geräte anzugreifen, die über Bluetooth kommunizieren, ist lediglich die Nähe zu den Geräten notwendig. Das BSI rät dazu Drahtlosschnittstellen, wie Bluetooth oder W-LAN zu deaktivieren, wenn Sie diese nicht benötigen.

5. Cyberkriminelle nutzen gezielte Hotel-Malware für Datendiebstahl bei Booking.com

Bei einer neuen Phishing-Masche verschicken Cyberkriminelle über Booking.com täuschend echte E-Mails an die Kundinnen und Kunden der Buchungsplattform, um Daten von Zahlungsmitteln sowie Zugangsdaten abzufischen. Die Mails seien nur schwer als Betrug zu erkennen, schreibt Heise Online über die Betrugsmasche, die mindestens seit März 2023 genutzt wird. Booking.com betont, dass die eigene Infrastruktur nicht kompromittiert wurde, und weist darauf hin, dass Nutzerinnen und Nutzer besondere Vorsicht walten lassen sollten, wenn Zahlungsdaten auf unüblichen Wegen abgefragt würden, etwa per E-Mail, Chatnachricht, SMS, WhatsApp oder Telefon.

6. Gefälschte Updates bedrohen Apple-Nutzer mit Malware

Cyberkriminelle installieren derzeit gefährliche Malware auf Apple-Geräten, indem sie falsche Updates vortäuschen. Die betrügerischen Aktivitäten zielen darauf ab, Nutzerinnen und Nutzer zur Installation von schädlicher Software zu verleiten, die sich als Updates für Safari- und Chrome-Browser tarnt. Die verbreitete Schadsoftware, bekannt als Atomic Stealer, stiehlt Daten, darunter auch Passwörter.

7. Chrome macht dicht

Tatsächlich hat Google in Chrome sieben Sicherheitslücken geschlossen. Nutzerinnen und Nutzer des Browsers sollten auf die neueste Version aktualisieren, da die Sicherheitslücken bereits aktiv von Angreifenden ausgenutzt würden. Die als "hoch" eingestuften Schwachstellen könnten eine Kompromittierung von PCs verursachen.

8. Zahl der Woche: 15

Nur etwa jede/r sechste Bürgerin und Bürger (15%) informiert sich regelmäßig über aktuelle Entwicklungen in der Cybersicherheit. Das ist das Ergebnis der von BSI und der Polizeilichen Kriminalprävention der Länder und des Bundes (ProPK) gemeinsam durchgeführten Bürgerbefragung zur Cybersicherheit 2023. Die gute Nachricht: Als Abonnentin, Abonnent unseres Newsletters und regelmäßige(r) Webseiten-Besucher(in) gehören Sie dazu! IT@KALAYCI informiert

9. Podcast Cybersnacs, Folge 23: Let's talk KI – Sicherheit durch Prüfbarkeit?

Künstliche Intelligenz ist längst zum Teil der gesellschaftlichen Debatte geworden, weil sie unsere Lebenswelt stark verändert. Deswegen widmet sich das Team des Podcasts Cybersnacs in den aktuellen Folgen vertieft diesem Thema. Der Podcast wird von der vom BSI initiierten "Allianz für Cybersicherheit" produziert. Im dritten Teil der Reihe ("Let's talk KI") erklärt Patrick Gilroy vom TÜV-Verband, wieso es Regeln braucht, um KI-Innovationen im Einklang mit EU-Werten voranzutreiben. Mit dem "AI Act" soll dafür ein klarer Rechtsrahmen geschaffen werden. Um nachzuweisen, dass KI-Akteure sich an die Regeln halten, sind sie schon jetzt dazu angehalten, ihre KI prüfbar zu machen. Denn vor dem Hintergrund des Verbraucherschutzes ist diese Transparenz wichtig: Verbraucherinnen und Verbraucher sollten sich darauf verlassen können, dass die Qualität der KI-Produkte getestet wurde.

10. Neue Folge des BSI-Podcasts "Update verfügbar": Alles zur Online-Ausweisfunktion

Die Online-Ausweisfunktion im Personalausweis bietet mehr Möglichkeiten, als viele denken. Mit der im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) entwickelte AusweisApp kann man Behördengänge bequem von zu Hause aus erledigen, und das sicher und schnell. In einem Gespräch mit dem BSI-Experten Niels Räth werden die Funktionsweise und Sicherheit der Technologie erklärt.

11. So schützen Sie sich vor digitalem Identitätsdiebstahl und gehackten Accounts

Cyberkriminelle stehlen digitale Identitäten durch die Übernahme von E-Mail-Konten oder die Erstellung gefälschter Profile. Die Täterinnen und Täter nutzen dann die gestohlenen Daten für betrügerische Aktivitäten, vom illegalen Warenverkauf bis zum Missbrauch von Vertrauen.

Um sich zu schützen, sollten Sie …
ein starkes Passwort vergeben und für jeden Dienst ein eigenes Passwort verwenden.
wenn möglich, die Zwei-Faktor-Authentisierung für einen noch besseren Schutz aktivieren.
nur so viel über sich preisgeben, wie unbedingt notwendig. Verwenden Sie zum Beispiel unterschiedliche Namen in Ihren Accounts, das erschwert es Cyberkriminellen, ein Profil von Ihnen zu erstellen.
eine Displaysperre einrichten, um Ihre Geräte zu sichern.
E-Mails und Webseiten genau prüfen, bevor Sie auf Links klicken.
in öffentlichen WLAN-Netzen vorsichtig unterwegs sind. Insbesondere sollten Sie darauf verzichten, darüber finanzielle Transaktionen zu tätigen.
Ihrer elektronischen Geräte regelmäßig updaten. Verwenden Sie zudem aktuelle Virenscanner, um Angriffe möglichst frühzeitig zu erkennen.

Übrigens ...

Jede/r Vierte ist bereits von Cyberkriminalität betroffen

Der jährlich neu erhobene "CyMon – Der Cybersicherheitsmonitor" von BSI und ProPK gibt Aufschluss über das Informations- und Schutzverhalten der Bevölkerung und über ihre Betroffenheit von Cyberangriffen. Dabei zeigt sich: Mehr als jede/r Vierte (27%) ist schon einmal von Cyberkriminalität betroffen gewesen. Dabei haben 18 Prozent bereits einen direkten finanziellen Schaden erlitten. Auch künstliche Intelligenz bereitet den Menschen Sorgen; eine Mehrheit der Befragten (65 %) befürchten gefälschte oder manipulierte Dokumente und Medien.

1. Rekordzahl an Spam- und Phishing-Mails kurz vorm Black Friday

Die in Deutschland meistgenutzten E-Mail-Webdienste web.de und GMX registrieren aktuell rund 1,65 Milliarden (!) Spammails pro Woche – ein neuer Rekordwert. Aktuell besonders beliebt bei Cyberkriminellen ist das "Paketdienst-Phishing". Dabei erhalten Nutzerinnen und Nutzer E-Mails, die denen von Paketdienstleistern täuschend ähnlich sehen. Anwenderinnen und Anwender werden damit auf gefälschte Webseiten geleitet, um vermeintlich zu wenig gezahltes Porto oder Zollgebühren nachzuzahlen. Hinzu kommen Phishing-Mails, in denen auf Schnäppchen und Rabatte hingewiesen wird. In beiden Varianten geht es darum, Log-In-Daten von Bezahldiensten abzugreifen.

2. Tipps für die Schnäppchenjagd

Besonders an Aktions-Tagen wie Black Friday oder Cyber Monday sollten Sie sich nicht von angeblichen Rabatten blenden lassen. Denn auch für Kriminelle haben diese Tage einen besonderen Reiz. Neben vermeintlichen Schnäppchen stoßen Sie auch vermehrt auf gefälschte Onlineshops. Das BSI empfiehlt daher, sich bereits vor dem Kauf mit dem Unternehmen hinter dem Onlineshop und den angebotenen Zahlungsmethoden auseinanderzusetzen. Auch wenn das Angebot verlockend klingt, sollten Sie sich laut Verbraucherzentrale nicht durch Marketingtricks wie ablaufende Timer unter Druck setzen lassen und vorzugsweise per Rechnung zahlen. Sollte dies nicht möglich sein, empfiehlt das BSI, eine verschlüsselte Datenübertragung zu nutzen, um (Bank-)Daten zu schützen und zudem aufs Onlineshopping aus öffentlichen WLNA-Netzen zu verzichten. Ist das Produkt doch nicht so günstig, wie gedacht oder die Qualität unzureichend, sollten Sie laut Verbraucherzentrale Ihr Widerrufsrecht nutzen. Ein wichtiger Schritt auf dem Weg zu einem möglichst sicheren Online-Einkauf ist auch die Absicherung des eigenen Onlinekontos bzw. des eigenen Accounts.

3. Amazon warnt vor Betrug am Black Friday

Besonders beim Einkauf in neuen, unbekannten Shops sollten Sie vorsichtig sein. Amazon gibt an, dass die Zahl der Betrugsfälle rund um den Black Friday im vergangenen Jahr dreimal so hoch war, wie im Vergleichszeitraum 2021. Die aktuell häufigste Betrugsmasche ist der Einsatz von Mail-Anhängen. Die Betrügerinnen und Betrüger geben sich als Amazon aus und behaupten, dass Kontodaten aktualisiert werden müssten. Amazon empfiehlt, verdächtige Nachrichten zu melden und ihre Echtheit über die Amazon-Kanäle zu überprüfen. Weitere Betrugsmaschen versuchen es mit falschen Dringlichkeitsansprüchen und betrügerischen Kontaktaufnahmen außerhalb von Amazon. Das BSI empfiehlt, Links und E-Mail-Adressen genau zu prüfen und bei Zweifeln besondere Vorsicht walten zu lassen. Klicken Sie niemals auf Links in einer dubiosen E-Mail und öffnen Sie keine Anhänge. Kein seriöser Anbieter fordert Sie per E-Mail auf, vertrauliche Zugangsdaten preiszugeben – auch nicht um der Sicherheit willen.

4. Umfrage zu gehackten Online-Accounts: Was Betroffene erwarten

Eine repräsentative Umfrage der Verbraucherzentrale zeigt, dass bei 30 Prozent der Internetnutzerinnen und -nutzer in Deutschland bereits mindestens ein persönliches Online-Konto gehackt wurde. Social-Media- und E-Mail-Accounts wurden mit 63 Prozent am häufigsten angegriffen. Allerdings konnten auch 86 Prozent der Betroffenen die Kontrolle über ihren Account zurückgewinnen. Dennoch wünschen sich die Betroffenen mehr Hilfe zur Selbsthilfe, einschließlich der Möglichkeit, ihre Konten selbst zu sperren oder Passwortänderungen vorzunehmen. Nur 56 Prozent der Befragten verwenden unterschiedliche Passwörter für ihre Accounts, und nur die Hälfte der Befragten (49 Prozent) weiß im Falle eines Hacking-Angriffs, wie sie sich verhalten sollen.

5. Bericht über Sicherheitslücken in rheinland-pfälzischen Gesundheitsämtern

Die IT-Systeme von Gesundheitsämtern in Rheinland-Pfalz weisen massive Sicherheitslücken auf. Das ergab eine Recherche von Zeit Online. Obwohl die Probleme bekannt seien, würden diese von Verantwortlichen verdrängt. Als Grundproblem, das zu den Sicherheitslücken führt, nennt der Bericht das knappe Budget der Gesundheitsämter. Lokale Administratorinnen und Administratoren seien häufig keine ausgebildeten IT-Spezialistinnen und Spezialisten, sondern Verwaltungsangestellte. Weitere Schwachstellen lägen in der eingesetzten Software Mikropro Health. Diese Plattform wird im ganzen Bundesland verwendet und entspräche nicht dem aktuellen Stand der Technik. So habe beispielsweise jeder mit Zugriff auf den Quellcode der Software Einsicht und Zugang zu Namen und Passwörtern der Nutzerinnen und Nutzer der Einrichtungen.

6. Expertenkreis "Cyber-Sicherheit im Weltraum" gegründet

Am 10. November fand im BSI die Eröffnungsveranstaltung für den Expertenkreis Cybersicherheit im Weltraum statt. Teilnehmende waren Vertreterinnen und Vertreter aus Industrie, Forschung und Behörden mit Bezug zur Raumfahrt und Informationssicherheit. Ziel des Expertenkreises ist es, Maßnahmen zur Stärkung der Cybersicherheit und der Resilienz von Weltraumsystemen zu erarbeiten. Durch den Austausch zwischen Raumfahrt- und Cybersicherheitsexpertinnen und -experten sollen Lösungen für zukünftige Herausforderungen im Bereich Cybersicherheit im Weltraum entwickelt werden.

7. Trend Micro: Diese Daten sind bei Hackerinnen und Hackern besonders beliebt

Der Anbieter von Cybersicherheitslösungen, Trend Micro, klärt in einem kürzlich veröffentlichten Bericht darüber auf, dass Kryptowährungen, Daten aus Webbrowsern sowie Kreditkartennummern und Zugangsdaten das häufigste Ziel von Hackerinnen und Hackern sind. Zugangsdaten der Webseiten Google, Microsoft, Instagram und Facebook werden besonders häufig gestohlen. Der Bericht nennt außerdem die Länder, die besonders häufig von Datendiebstahl betroffen sind: Portugal, Brasilien und Griechenland. Deutschland liegt auf Platz 16 dieser Liste. Darum empfiehlt auch das BSI, unterschiedliche Passwörter für verschiedene Dienste und Webseiten zu vergeben sowie die Zwei-Faktor-Authentisierung zu nutzen.

8. Microsofts Authenticator mit neuem Schutz gegen Ermüdungsangriffe

Microsoft verbessert die Sicherheit seines Authenticators, der für die Mehr-Faktor-Authentisierung verwendet wird. Die App unterdrückt nun verdächtige Anfragen, um sogenannte Ermüdungsangriffe zu verhindern. In der Vergangenheit ermüdeten Angreiferinnen und Angreifer ihre Opfer so lange mit Anfragen, bis sie schließlich Zugriff erhielten. Die aktualisierte Funktion fordert Nutzerinnen und Nutzer auf, die Authenticator-App zu öffnen und eine angezeigte Zahl einzugeben, anstatt verdächtige Anfragen direkt anzuzeigen. Dies soll die Sicherheit erhöhen und die Effektivität von Cyberangriffen erschweren.

9. Google löscht ab Dezember inaktive Gmail-Konten

Von Dezember an wird Google inaktive Gmail-Konten löschen, die seit mindestens zwei Jahren nicht genutzt wurden. Die Löschung erfolge aus Sicherheitsgründen, da viele inaktive Konten nicht durch eine Zwei-Faktor-Authentifizierung geschützt seien und alte oder wiederverwendete Passwörter nutzen würden. Betroffene Nutzerinnen und Nutzer erhalten im Vorfeld mehrere Benachrichtigungen und können ihr Konto aktiv halten, indem sie bestimmte Aktivitäten durchführen, wie beispielsweise das Lesen oder Senden einer Mail. Organisationen wie Schulen oder Unternehmen sind von dieser Maßnahme nicht betroffen.

10. Sicherheitslücken in Aruba Access Points: Kritische Schwachstellen ermöglichen Ausführung von Schadcode

Aruba Access Points sind von kritischen Sicherheitslücken betroffen, die es Angreiferinnen und Angreifern ermöglichen, Schadcode auszuführen. Die drei als kritisch eingestuften Schwachstellen erlauben es entfernten Angreiferinnen und Angreifern, ohne Authentifizierung eigenen Code auf Systemebene auszuführen. Um die Access Points zu sichern, empfiehlt Aruba das Installieren von Sicherheitspatches. Bisher sind allerdings noch keine Attacken bekannt geworden.

11. WhatsApp-Backups künftig zu Lasten des Google-Speicherkontingents

Laut Digitalbarometer 2022 von BSI und Polizeilicher Kriminalprävention (ProPK) legen nur 26 Prozent der Befragten regelmäßig Sicherheitskopien ihrer Daten an, um sich vor Datenverlust zu schützen. Auf dem Gerät gespeicherte Daten können jedoch durch Verlust, Diebstahl oder Hardwarebeschädigung des Gerätes verloren gehen. Zudem werden Smartphones oft gewechselt oder durch neue ersetzt. Eine gängige Methode ist die automatische Sicherung von Daten in der Cloud des jeweiligen Herstellers - wie etwa die von WhatsApp, die in der Google-Cloud gespeichert werden. Die WhatsApp-Mutter Meta hat jetzt Änderungen ab Dezember 2023 bei der Speicherung von WhatsApp-Backups im Google-Cloudspeicher angekündigt. Zukünftig sollen Backups der WhatsApp-Chats auf das jeweilige Google-Datenspeichervolumen des Benutzers angerechnet werden. Für Verbraucherinnen und Verbraucher bedeutet dies, dass dadurch das Speichervolumen früher erschöpft ist, insbesondere bei intensiver WhatsApp-Nutzung. Die weitere Speicherung von Backups oder anderen Daten ist dann nicht mehr möglich. Abhilfe schafft dann nur die Reduktion des Backup-Volumens oder die kostenpflichtige Erweiterung des Cloudspeichers.

12. Welche Online-Bezahlmethode ist die sicherste?

Verbraucherinnen und Verbraucher sollten laut BSI bei der Wahl von Bezahlsystemen beim Onlineshopping zwischen Komfort und Sicherheit abwägen Verschiedene Bezahlverfahren, wie das Bezahlen per Kreditkarte, Sofortüberweisung, Vorkasse, Lastschrift und Bezahlfunktionen von Betriebssystemen haben alle ihre spezifischen Vor- und Nachteile, wie das BSI erläutert. Als besonders sicher gilt aber der Kauf auf Rechnung.

13. Fakeshopfinder der Verbraucherzentrale

Mit dem Fakeshopfinder der Verbraucherzentrale können Sie prüfen, wie seriös der Onlineshop ist, bei dem Sie, zum Beispiel am Black Friday, einkaufen möchten.

14. Woran Sie sichere Onlineshops erkennen

Kriminelle, die sich hinter Fakeshops verbergen, locken oft mit ungewöhnlich günstigen Angeboten, verlangen häufig das Bezahlen per Vorkasse, liefern dann jedoch entweder minderwertige, beschädigte – oder auch gar keine Waren. Um sich vor solchen Betrügereien zu schützen, empfiehlt das BSI, sich vor dem Kauf kritisch mit dem Onlineshop, den angebotenen Zahlungsmethoden und seriös wirkenden Rezensionen von Nutzerinnen und Nutzern auseinanderzusetzen. Seriöse Onlineshops erkennen Sie an dem Zusammenspiel verschiedener Merkmal, wie:
ein eindeutiger Bestellbutton
eine sichere Verbindung (Vorhängeschloss in der Browserzeile)
verschiedene Kontaktmöglichkeiten
ein vollständiges Impressum
realistische Preise
Gütesiegel
unterschiedliche Zahlungsmöglichkeiten

15. Die SOS-Karte: Schutz beim Onlineshopping

Die SOS-Karte des BSI gibt Ratschläge für das richtige Verhalten im Ernstfall, wenn Sie Waren nicht erhalten, auf Fakeshops reingefallen sind oder jemand in Ihrem Namen Bestellungen aufgibt. Dann sollten Sie umgehend Ihre Bank und die Polizei kontaktieren. Die SOS-Karte des BSI informiert Sie über weitere Maßnahmen bei unbefugten Zugriffen und gibt Ihnen Tipps für künftiges Onlineshopping.

1. BSI warnt vor steigender Ransomware-Bedrohung

Die Cybersicherheitslage in Deutschland bleibt angespannt, wie der am 2. November vorgelegte Bericht zur Lage der IT-Sicherheit in Deutschland zeigt. Ransomware-Angriffe gelten weiterhin als die größte Bedrohung, begleitet von einer wachsenden Professionalisierung der Cyberkriminellen und der Zunahme von Sicherheitslücken. "Die Cyberkriminalität, vor allem aber auch die Zeitenwende, die wir erleben, erfordert eine strategische Neuaufstellung", so Bundesinnenministerin Nancy Faeser. BSI-Präsidentin Claudia Plattner fordert dafür "die Schaffung einer bundesweiten Zentralstelle für Cybersicherheit". Der Bericht verdeutlicht die Dimension der Bedrohungen: So registriert die Cybersicherheitsbehörde im Schnitt täglich rund 250.000 neue Schadprogramm-Varianten sowie 70 neue Sicherheitslücken. Ransomware-Angriffe verursachen dem Bericht zufolge erhebliche wirtschaftliche Schäden, besonders in kleinen Unternehmen und Kommunen. Cyberspionage und politisch motivierte Angriffe, unterstützt durch künstliche Intelligenz, erhöhen das Risiko von Desinformation und Cybermobbing.

2. GenAI-Phishing erzeugt "höchst überzeugende" E-Mails

Eine Umfrage von Abnormal Security und eine Analyse von IBM X-Force zeigen, dass Generative AI (GenAI) eine wichtige Rolle bei der Erstellung von Phishing-Mails spielt. Die Studie demonstriert, wie ein generatives KI-Modell mit fünf einfachen Anweisungen eine "äußerst überzeugende" Phishing-Mail erstellt. Diese sei kaum zu unterscheiden von einem Menschen geschriebenen Text. Die Ergebnisse eines Tests, welche E-Mails häufiger angeklickt werden, zeigen aktuell einen nur geringen Vorsprung der menschgemachten Mail (14 Prozent Öffnungsquote gegen elf Prozent bei der KI-Variante). Die anhaltenden Verbesserungen bei künstlicher Intelligenz geben jedoch Anlass zur Sorge, dass es in Zukunft noch ausgefeiltere Phishing-Angriffe geben wird.

3. Sicherheitskonzept von Dall-E in ChatGPT enthüllt: Experimente zeigen strikte Grenzen für den Bildgenerator

Experimente von KI-Forschenden haben gezeigt, dass der KI-Bildgenerator DALL·E 3 von OpenAI strengen Sicherheitsbeschränkungen folgt. So verbieten die kürzlich geleakten Regeln beispielsweise die Erstellung von Bildern von Politikerinnen und Politikern oder Personen des öffentlichen Lebens, obwohl das System grundsätzlich dazu in der Lage zu sein scheint. Wie golem berichtet, sollen die Regeln stereotypische Darstellungen und Vorurteile sowie Urheberrechtsverletzungen vermeiden. Die KI darf nur Werke verwenden, die älter als 100 Jahre sind.

4. IT-Sicherheitskennzeichen kann jetzt digital beantragt werden

Das IT-Sicherheitskennzeichen des BSI kann ab sofort digital über das Onlinezugangsportal des Bundes beantragt werden. Das vereinfacht den Antragsprozess für Hersteller, da Papierausfertigungen entfallen und der gesamte Verwaltungsablauf digital erfolgt. Das IT-Sicherheitskennzeichen ermöglicht Verbraucherinnen und Verbrauchern, die Sicherheitseigenschaften vernetzter Geräte anhand aufgedruckter QR-Codes zu überprüfen. Herstellern bietet das Kennzeichen Anreize, frühzeitig Sicherheitsstandards in ihre Produkte zu integrieren.

5. Ransomware legt IT-Dienstleister von mehr als 70 Kommunen lahm

Der IT-Dienstleister Südwestfalen-IT ist vor einer Woche gehackt worden, wie der Dienstleister via Notfallseite selbst mitteilt. Die Ermittlungen bestätigten, dass Ransomware eingesetzt wurde, um Daten zu verschlüsseln und Lösegelder zu erpressen. Das Lahmlegen der Infrastruktur des Dienstleisters wirkt sich direkt auf die Rathäuser aus, die Kunden von Südwestfalen-IT sind. Viele Verwaltungen in NRW arbeiten daher derzeit nur eingeschränkt oder sind ganz geschlossen. In mehr als 70 betroffenen Kommunen im Ruhrgebiet und darüber hinaus wird an alternativen Lösungen gearbeitet, darunter Notfall-Homepages und der verstärkte Einsatz von Papierdokumenten.

6. Mehrheit der Unternehmen verschweigt IT-Sicherheitsvorfälle

82 Prozent der deutschen Unternehmen haben in den vergangenen zwölf Monaten erlittene IT-Sicherheitsvorfälle geheim gehalten. Da zeigt eine Ipsos-Studie im Auftrag des TÜV-Verbandes. Zwar glauben 83 Prozent der befragten Unternehmen, dass solche Vorfälle öffentlich gemacht werden sollten, um das Bewusstsein für Cyberangriffe zu schärfen. Allerdings befürchten fast drei Viertel, dass ihr Ruf geschädigt wird, wenn sie selbst über Sicherheitsvorfälle sprechen. Marc Fliehe vom TÜV-Verband sagt dazu: "Täter und Opfer werden in der Wahrnehmung oft vertauscht. Auch wenn ein Unternehmen ein hohes Maß an Sicherheitsvorkehrungen trifft, kann es Opfer eines Cyberangriffs werden."

7. Beliebter Lego-Marktplatz Bricklink offline

Der bei Lego-Fans beliebte Marktplatz Bricklink ist war offline. Laut Heise online wurden sowohl Käufer- als auch Verkäufer-Accounts von Hackerinnen und Hackern übernommen, woraufhin die Administratoren die Verkaufsplattform vom Netz nahmen, um Ursachenforschung zu betreiben. Wie Heise online berichtet, reaktivierten die Cyberkriminellen den Shop jedoch mit betrügerischen Angeboten und hinterließen mit gekaperten Nutzerkonten positive Bewertungen für die nicht existierenden Artikel. Um Zahlungsdienstleister zu umgehen, sollten die durch besonders günstige Preise geköderten Nutzerinnen und Nutzer den Kaufpreis direkt an ebenfalls übernommene Bankkonten zahlen. Bricklink selbst bestätigte die unautorisierte Kontenzugriffe mit einer Wartungsseite. Inzwischen ist die Seite wieder online.

8. Kurz notiert

Hackerangriff beeinträchtigt IT-Systeme der Hochschule Hannover. Messe Essen und kommunaler IT-Dienstleister ebenfalls von Ransomware-Angriff betroffen

9. Google-Chrome-Update schließt zwei Sicherheitslücken

Google hat ein Chrome-Update veröffentlicht, das zwei kritische Sicherheitslücken behebt, die bereits aktiv ausgenutzt wurden. Eine der Lücken ermöglichte es Angreifenden, Schadcode auszuführen, während die andere ein "Use-After-Free"-Problem ausnutzt, ein Fehler bei der Speicherverwaltung. Nutzerinnen und Nutzern wird dringend empfohlen, auf die neueste Chrome-Version zu aktualisieren, um sich vor potenziellen Angriffen zu schützen.

10. Sicherheitsupdates: Firefox behebt Schwachstellen

Auch Mozilla hat Sicherheitslücken in den aktuellen Firefox-Versionen behoben, darunter potenziell gefährliche Clickjacking-Schwachstellen, die unbeabsichtigte Browser-Eingabeaufforderungen ermöglichten. Deshalb rät das BSI auch hier, die Browser auf die neuesten Versionen zu aktualisieren, um sich vor möglichen Angriffen zu schützen.

11. Android-Geräte warnen vor der Google-App als Malware

Nutzerinnen und Nutzer von Huawei, Honor und Vivo berichten über Trojaner-Warnungen, die nach einem Google-App-Update auftreten. Obwohl verschiedene Antivirenprogramme die App nicht als schädlich einstufen, empfehlen einige Geräte-eigene Optimizer und iManager, die Google-App zu deinstallieren. Allerdings scheint es sich höchstwahrscheinlich um einen Fehlalarm zu handeln, da keine echte Bedrohung durch Google bekannt ist, so golem.

12. RCE-Exploit für Wyze Cam v3

Der Sicherheitsforscher Peter Geissler hat einen Proof of Concept (PoC) veröffentlicht, der zwei Schwachstellen in der Wyze-Cam-v3-Firmware nutzt und eine Reverse-Shell öffnet. Darüber wird ein Gerät für einen Angriff ferngesteuert. Die Schwachstelle erlaubt es Angreifenden, Wyze-Cam-v3-Kameras zu übernehmen, um sie in dauerhafte Hintertüren zu verwandeln. Wyze hat gegen den Missbrauch ein Firmware-Update veröffentlicht.

13. Mehr Sicherheit bei E-Mails

Das BSI hat ein neues Zertifizierungsverfahren für sichere E-Mail-Dienstanbieter vorgestellt. "Ich freue mich, dass wir Nutzerinnen und Nutzern so eine praktische Orientierungshilfe für die Suche nach einem sicheren E-Mail-Dienst an die Hand geben können", so BSI-Präsidentin Claudia Plattner. Ein Prüflabor, die OpenSource Security GmbH, wurde für die Zertifizierung von E-Mail-Providern nach diesem Verfahren anerkannt. Die anschließende Zertifizierung durch das BSI gilt für fünf Jahre ab Erteilungsdatum.

14. Das BSI startet Umfrage zur IT-Sicherheitspraxis

Das BSI initiierte im Rahmen des European Cyber Security Months (ECSM) eine Umfrage durch das Cyber-Sicherheitsnetzwerk (CSN), die bis zum 31. Oktober 2023 lief. Unternehmen und Organisationen wurden dort per Selbsteinschätzungstest zu ihrer IT-Sicherheit befragt, um individuelle Angebote zur Erhöhung der Sicherheit erstellen zu können. Die anonymisierten Antworten sollen die BSI- und CSN-Angebote weiter verbessern. Die Umfrageergebnisse werden im dritten Forum des Cyber-Sicherheitsnetzwerks präsentiert.

15. "Update verfügbar" #36: Gesichtserkennung, Fingerabdruck und Co. – Die Welt der Biometrie erklärt

In der 36. Folge des BSI-Podcasts "Update verfügbar" dreht sich alles ums Thema Biometrie. Dazu haben Ute Lange und Michael Münz mit dem BSI-Experten Ralph Breithaupt die wichtigsten Fragen aus der Welt der Biometrie geklärt und verraten, wie biometrische Daten in mobilen Endgeräten bestmöglich geschützt und eingesetzt werden können.

17. So schützen Sie sich vor Quishing

Quishing ist die Zusammensetzung aus QR und Phishing. Hierbei werden die Empfänger dazu aufgefordert, einen QR-Code zu scannen. Die Vorwände sind meist ähnlich, wie beim Phishing und hinter dem QR-Code verbirgt sich dann zum Beispiel ein Link auf eine Fake-Website, wie wir ihn vom Phishing kennen – nur eben anders verpackt. Eine weitere Behauptung ist auch oft ein Dokument oder eine Rechnung, die mithilfe des QR-Codes leicht heruntergeladen werden kann. Dahinter verbirgt sich jedoch ein mit Schadsoftware verseuchtes Dokument.
Da sich der Link erst nach dem Scannen des QR-Codes ergibt, wird der Link von automatischen Mail-Scannern evtl. nicht erkannt. In der Folge wird eine betrügerische Mail wahrscheinlich eher zugestellt und nicht in den Spam-Ordner verschoben.
Da es keinen Unterschied außer der "Verpackung" des Links als QR-Code zu Phishing gibt, gelten die entsprechenden Verhaltensweisen zum Schutz vor Phishing auch gegen Quishing - also gesundes Misstrauen, Datensparsamkeit, keine Links oder Anhänge von unbekannten Absendern öffnen bzw. die QR-Codes nicht einscannen, regelmäßig Updates machen und, wenn möglich, die Zwei-Faktor-Authentisierung einrichten.

Übrigens...

Der Bericht zur Lage der IT-Sicherheit in Deutschland listet spannende Zahlen auf, zum Beispiel diese: Zwei Drittel aller Spam-Mails sind nicht nur lästig, sondern waren echte Angriffsversuche mit Ransomware oder Betrugsmaschen. Und sogar 84 Prozent aller betrügerischen Mails waren darauf ausgelegt, Authentisierungsdaten für Banken und Sparkassen-Zugänge zu erbeuten.
Von solchen Versuchen sind nicht nur Privatleute betroffen; das BSI fängt Tag für Tag im Durchschnitt auch 750 Mails in deutschen Regierungsnetzen ab, die nicht nur materielle Schäden verursachen können, sondern auch die Sicherheit Deutschlands bedrohen.

1. BSI-Präsidentin möchte die "Cybernation Deutschland" bauen

Die Präsidentin des BSI, Claudia Plattner, hat ihre Vision einer "Cybernation Deutschland" vorgestellt, um so die Cybersicherheit im Land zu stärken. Sie betonte vor kurzem auf der Sicherheitsmesse it-sa in Nürnberg, dass Deutschland seine Cyberresilienz erhöhen müsse. Dies erfordere eine enge Zusammenarbeit aller Akteure in Bund und den Ländern sowie die effiziente Nutzung von Cybersicherheits-Know-how. Das BSI soll dazu beitragen, ein "lebendiges Cyber-Ökosystem in Deutschland aufzubauen".

2. BSI und Land Sachsen-Anhalt vertiefen Kooperation zur Stärkung der Cybersicherheit

Das BSI und das Land Sachsen-Anhalt haben eine Kooperationsvereinbarung zur Intensivierung ihrer Zusammenarbeit in neun Kooperationsfeldern unterzeichnet. Die Vereinbarung zielt darauf ab, die Informationssicherheit zu stärken, den Austausch von Cybersicherheitsinformationen zu fördern und gemeinsame Sensibilisierungsmaßnahmen sowie gegenseitige Hospitationen durchzuführen. Dieser Schritt unterstreicht die Bedeutung der länderübergreifenden Zusammenarbeit angesichts der zunehmenden Cyberbedrohungen.

3. Hackerwettbewerb der ESA fördert Cybersicherheit für Raumfahrtmissionen

Die Europäische Raumfahrtbehörde (ESA) hat einen Hackerwettbewerb veranstaltet, bei dem 40 Studentinnen und Studenten Cyberangriffe auf kleine Roboterfahrzeuge, so genannte "Rover" simulierten. Der Wettbewerb soll die Bedeutung der Cybersicherheit für Raumfahrtmissionen hervorheben und junge Talente in diesem Bereich fördern. Die Teams mussten ihre Rover vor Angriffen schützen und gleichzeitig Fahrzeuge gegnerischer Teams angreifen.

4. BSI veröffentlicht Checklisten für Kommunen

Das BSI hat Checklisten für Kommunen veröffentlicht, um ihnen den Einstieg in den IT-Grundschutz zu erleichtern. Mit diesen Checklisten können Gemeinden einfache Prüffragen und Hilfsmittel nutzen, um grundlegende Anforderungen der Informationssicherheit umzusetzen. Ziel ist es, Kommunen bei der Einführung anerkannter Informationssicherheitsstandards zu unterstützen und ein Schutzniveau aufzubauen, das später erweitert werden kann. Dies soll dazu beitragen, Cyberangriffe zu verhindern und in ihren Auswirkungen zu minimieren.

5. Passkeys nun bei Amazon verfügbar

Ein Passkey ist ein digitaler Berechtigungsnachweis, der als Authentifizierungsmethode für eine Website oder Anwendung verwendet wird. Amazon betont aber, dass die Zwei-Faktor-Authentifizierung auch dann erforderlich ist, wenn Passkeys verwendet werden, obwohl sie eigentlich als Alternative zu herkömmlichen Authentisierungsmethoden gedacht sind. Nutzerinnen und Nutzer können Passkeys nun in ihren Amazon-Konten aktivieren und auf Cloud-Service-Konten speichern.

Kurz notiert

Hackerinnen und Hacker haben Webseiten mehrerer deutscher Städte lahmgelegt, darunter Köln, Dortmund, Frankfurt und Nürnberg. Die Datenverzeichnisse der Philosophischen Fakultät der Universität Düsseldorf waren mindestens drei Jahre lang ungeschützt zugänglich; Hinweise auf Datendiebstahl liegen aber nicht vor.

6. Ransomware-Angriffe auf ungepatchte WS_FTP-Server

Der Hersteller Progress hat Sicherheitslücken in seinem WS_FTP-Server geschlossen, von denen einige als kritisch eingestuft waren. Bereits vor der Veröffentlichung der Updates haben Angreifende offenbar versucht, die Schwachstellen mit Ransomware-Angriffen auszunutzen. Das IT-Sicherheitsunternehmen Sophos jedenfalls warnt, dass Ransomware-Gruppen speziell diese Schwachstellen ins Visier nehmen. Die schon erfolgten, aber letztlich erfolglosen Angriffe ordnet Sophos der "Reichsadler Cybercrime Group" zu, einer kriminellen Vereinigung, die darüber versucht, Bitcoins zu erpressen. Heise Online berichtet über die Lücken und rät IT-Verantwortlichen, die verfügbaren Updates für den WS_FTP-Server so schnell wie möglich einzuspielen.

7. Sicherheitsupdate für WordPress verfügbar

Die neueste WordPress-Version 6.3.2 enthält Sicherheitsupdates, die sieben mittelschwere Schwachstellen beheben. Zusätzlich sollten Administratorinnen und Administratoren das tagDiv-Composer-Plug-in und das Newspaper Theme aktualisieren, um ihre Webseiten vor möglichen Attacken zu schützen.

8. CYBERSNACS # Folge 22: let's talk KI: wie moralisch ist der Algorithmus?

Das Thema KI trendet. Seit Chat GPT ist es Teil der gesellschaftlichen Debatte und verändert unsere Lebenswelt. Deswegen widmet sich das Team des Podcast der Allianz für Cyber-Sicherheit "CYBERSNACS" in den aktuellen vier Folgen vertieft dem Thema KI. In der zweiten Folge der Reihe beschäftigen sich Salsabil Hamadache und Agnieszka Pawlowska mit Entscheidungsprozessen: Künstliche Intelligenz unterstützt bei Auswahlverfahren in Top-Unis, soll Ärztinnen und Ärzte in der Diagnostik unterstützen und prognostiziert Aktienverläufe. Viele vertrauen auf die KI, da sie als objektiv und reliabel eingeschätzt wird. Zu Gast ist Prof. Matthias Uhl (Technische Hochschule Ingolstadt). Er spricht darüber, welche Gefahren lauern, wenn wir uns übermäßig auf die KI als ethischen Ratgeber verlassen. Vor allem, weil die KI genau die diskriminierenden Strukturen erlernt, die sie bei uns Menschen beobachtet.

9. Wie funktionieren Blockchains?

Vielleicht haben Sie es schon einmal gehört: Kryptowährungen basieren auf so genannten Blockchains. Diese Blockchains bestehen aus einzelnen Datensätzen, die wie auf einer Kette (engl. Chain) aufgereiht gespeichert werden. So entsteht eine chronologisch geordnete Kette aus Datensätzen, aus denen einzelne Glieder nicht entnommen werden können. Die Daten in der Kette werden nicht zentral, sondern in zahlreichen Datenkopien gespeichert. Das verhindert, dass einzelne Kettenglieder verändert werden können. Für Kryptowährungen heißt das: Die Historie der in der Blockchain dokumentierten Zahlungsvorgänge wird auf vielen Rechnern abgespeichert. Banken als unabhängige Instanz sind in dieser dezentralen Infrastruktur nicht mehr nötig. Aufgrund ihrer Struktur gelten Blockchains bislang als manipulationssicher.