Security

Es gilt als das nächste große Ding im Internet: ChatGPT der US-Firma OpenAI versteht natürliche Sprache erstaunlich gut und erstellt auf Anweisung Texte. Die Künstliche Intelligenz mit ihrem sehr detaillierten Sprachmodell macht es möglich. Die Texte sind meist so gut, dass man denken könnte, eine clevere Person hätte sie geschrieben und keine Maschine. Mit personalisierten und wohl formulierten Phishing-Mails von ChatGPT sparen sich einschlägige Cyber-Erpresser viel Arbeit.

Es muss nicht gleich so schlimm kommen wie beim Küchenhersteller Rational aus Melle in der Nähe von Osnabrück: Rational meldete Ende September 2022 Insolvenz an, weil ein Stromausfall die laufenden Serversysteme irreparabel beschädigt hatte und der Betrieb nicht mehr weitergeführt werden konnte. Ganz offensichtlich gab es auch keine funktionierenden Backups. Hätte es ein 2nd-Level-Backup außerhalb des Betriebs gegeben, wäre das Unternehmen wohl mit einem blauen Auge davongekommen.

Die IT ist heute zentraler Bestandteil jedes Unternehmens und bildet die Basis für nahezu alle Geschäftsprozesse. IT-Störungen können im schlimmsten Fall den gesamten Betrieb zum Stillstand bringen. Das verursacht große wirtschaftliche Einbußen und schadet der Reputation. Für Unternehmen ist es daher unverzichtbar, ihre IT-Systeme vor Cyber-Angriffen zu schützen. Gleichzeitig wachsen mit der zunehmenden Vernetzung auch die Angriffsfläche und damit das Risiko: Jedes vernetzte Gerät ist ein potenzielles Einfallstor.

Am 15.03.2022 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Warnung vor Sicherheits-Software von Kaspersky ausgesprochen und verweist darin auf den Krieg in der Ukraine und die Drohungen Russlands.

Nur kurz angesteckt und schon gehackt: Egal ob iPhone, Android oder PC, das O.MG Cable knackt sie alle. Es sieht aus wie ein normales USB-Daten- oder -Ladekabel, kann aber mehr als nur das Handy aufladen oder Daten zum PC übertragen. Ein kleiner Mikrochip ist unsichtbar im Kabel integriert und dient als Keylogger und WLAN-Hotspot, außerdem synthetisiert er Tastenanschläge am Computer oder Handy. Somit können Angreifer eigene Skripte starten und sich Vollzugriff auf alle angeschlossenen Geräte verschaffen, in vielen Fällen erhalten sie damit direkten Zugriff auf das Firmennetzwerk.

Viele Administratoren nutzen zur Wartung von Clients und Servern gerne Remote-Logins über das Terminal. Eine sehr sichere und beliebte Methode dafür ist SSH (Secure Shell). Das Tool eignet sich auch für den Zugriff über unsichere Netze, da es auf starke Verschlüsselung und Authentifizierung setzt. Das Gespann aus SSH-Server und -Client ist seit langem ein gängiges Tool unter Linux. Für Windows waren bislang vor allem Clients im Einsatz, um von einem Windows-Desktop aus Linux-Server über deren CLI (Command Line Interface) zu steuern. Inzwischen bietet Microsoft aber sogar einen SSH-Server für Windows 10 an, der den umgekehrten Weg von Linux auf Windows öffnet.

Apple AirDrop bietet die Möglichkeit, Dateien, Fotos, Videos sowie andere Medien über eine drahtlose Peer-to-Peer-Verbindung mit anderen Apple-Geräten zu teilen. In den AirDrop-Einstellungen lässt sich entscheiden, ob das eigene Gerät für jeden, nur für gespeicherte Kontakte oder für keinen sichtbar sein soll. Die Seite PrivateDrop hat nun Schwachstellen dieses Mechanismus offengelegt.

Die Strafverfolgungsbehörden dürfen seit 2017 mit eigens entwickelten Trojanern Smartphones und Rechner überwachen. Die Bundesregierung hat nun eine Ausweitung der nach wie vor umstrittenen Praxis beschlossen, welche selbst in der Führung der Regierungspartei SPD zu Gegenstimmen führt. Nach dem Beschluss soll die Quellen-Telekommunikationsüberwachung, kurz Quellen-TKÜ, nun noch weitreichender erlaubt werden als bisher. So soll die Überwachung nun auch in Messengern erfolgen können. Dadurch dürfen neben den Strafverfolgungsbehörden auch die Geheimdienste und Verfassungsschützer gespeicherte Chats auslesen. Das war bisher nicht erlaubt.

„Man kann es auch übertreiben!“ Diese Aussage hören wir manchmal, wenn wir mittelständische Unternehmen auf die Notwendigkeit von Disaster-Recovery-Plänen hinweisen. Das Konzept Datensicherung ist bekannt und akzeptiert, darüber hinausgehende Überlegungen und Vorkehrungen werden aber zum Teil mit der Bemerkung abgetan, dass in den letzten 20 Jahren ja auch nichts passiert wäre.