INFORMATIONSSICHERHEIT
Eine Firewall ist ein unverzichtbares Instrument für die Netzwerksicherheit eines Unternehmens. Traditionelle Firewalls können jedoch nicht immer ausreichenden Schutz bieten. Hier kommt die Next Generation Firewall (NGFW) ins Spiel. In diesem Artikel werden wir Ihnen einen Überblick über die wichtigsten Funktionen und Vorteile einer NGFW geben und erklären, warum es sich lohnt, in diese modernere Form der Netzwerksicherheit zu investieren.
INFORMATIONSSICHERHEIT
Die Bedrohungslage verschärft sich kontinuierlich, während zeitgleich der Fachkräftemangel Organisationen zu schaffen macht. Managed Detection and Response (MDR) setzt genau an dieser Herausforderung an. Bei MDR Services werden Aufgaben einer IT (Security) Abteilung an externe Experten ausgelagert. Weshalb immer mehr Organisationen MDR in Anspruch nehmen und wie es Ihnen hilft sich besser vor Cyberangriffen zu schützen, haben wir für Sie zusammengefasst.
Mitte März 2023 veröffentlichte das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) eine Pressemitteilung zur Ankündigung einer Prüfaktion. Zum zweiten Mal nach Bestehen der DSGVO wird eine gemeinsame Aktion unter der Koordinierung des Europäischen Datenschutzausschusses durchgeführt. Ziel ist es die Ergebnisse zu analysieren, die Handlungsbedingungen in der betrieblichen Praxis sichtbar zu machen und darauf basierend Verbesserungen oder Abhilfemaßnahmen für die mehr als 36000 Datenschutzbeauftragten in Bayern bzw. europaweit zu schaffen. Sollten Sie sich bisher noch nicht mit den Bestellanforderungen eines Datenschutzbeauftragten (DSB) für Ihre Organisation auseinandergesetzt haben, unterstützen wir Sie gerne. Aber auch ohne Bestellpflicht kann die Stelle eines DSB sinnvoll sein, denn umgesetzt müssen geltende Datenschutzanforderungen in jeden Fall werden.
INFORMATIONSSICHERHEIT
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat den Betrieb der Facebook-Fanpage des Bundespresseamts (BPA) in einem Bescheid vom 17.2.2023 untersagt. Grundsätzlich geht es im Kern der Anforderung darum, ob Betreiber einer Facebook-Seite für die durch Facebook vorgenommene Datenverarbeitung datenschutzrechtlich verantwortlich gemacht werden können.” Die Bundesregierung vertritt die Auffassung, dass alleine Facebook datenschutzrechtlich verantwortlich sei, der BfDI sieht eine gemeinsame Verantwortlichkeit. Diese kann aber durch das BPA nicht wahrgenommen werden, da die genauen Datenverarbeitungen von Facebook weitestgehend unbekannt sind. Vor Ablauf der Vierwochen Frist hat das BPA am 16.03.2023 Klage beim Verwaltungsgericht Köln eingelegt. Dieses Musterverfahren kann Rechtsklarheit schaffen und wirkt sich damit auf alle Organisationen aus. Der Diözesandatenschutzbeauftragte München/Freising lehnt sich an der Auslegung des BfDI an und setzt per Anordnung für die Dienststellen der katholischen Kirche in Bayern das Verbot zum Betrieb einer Facebookseite in Kraft. Die Umsetzungsfrist endet am 31.03.2023.
DATENSCHUTZ
Die bayerischen (Erz-) Bischöfe haben den bisherigen betrieblichen Datenschutzbeauftragten des erzbischöflichen Ordinariats München mit Wirkung zum 01.04.2023 zum Nachfolger des gegenwärtigen Amtsinhabers berufen, wie auf der Webseite berichtet wird. Dominikus Weise tritt die Nachfolge von Jupp Joachimski an, der mit 80 Jahren in den wohlverdienten Ruhestand wechselt.
INFORMATIONSSICHERHEIT
Aktuell befinden wir uns in einer Bedrohungslage auf Grund von Cyberangriffen wie nie zuvor. Durch den immer höher werdenden Grad an Digitalisierung, wird die Abhängigkeit funktionierender IT-Systeme höher und höher. Werden Standards zur Steigerung des IT-Sicherheitsniveaus eingeführt, ist allen Varianten eines gleich. Sie beginnen bei der obersten Leitung. Nur wenn die Managementebne ganzheitlich hinter dem Projekt steht und die notwendigen Ressourcen zur Verfügung stellt, ist ein Erfolg möglich. Das Handbuch “Management von Cyber-Risiken” adressiert dieses Prinzip und wurde in einer Neuauflage veröffentlicht. Neben den bisherigen fünf Prinzipien wurde ein sechstes Prinzip hinzugefügt. Es beschreibt eine Unternehmenskultur, die die IT-Sicherheit durchgehend berücksichtigt und somit die Widerstandsfähigkeit der Organisation steigert.
INFORMATIONSSICHERHEIT
Eins der größten Krankenhäuser in Barcelona wurde Opfer eines Ransomware-Angriffs. Folge dessen mussten Hunderte Operationen sowie Tausende Untersuchungen abgesagt werden. Der Normalbetrieb sei bisher noch nicht absehbar. In erster Linie ging es dem Angreifer darum die Systeme lahm zu legen. Sensible Patientendaten sind ebenfalls verschlüsselt worden.
Ebenso gab es einen Cyberangriff auf die Stadtverwaltungen von Rastatt und Rodgau. Bei beiden waren die Servicesysteme ausgefallen und der Kontakt über E-Mail stark eingeschränkt.
Ähnlich wurde der Baustoffhersteller Steico und der Feuerwehraufrüster Rosenbauer getroffen. Bei beiden sind Teile der Produktion und IT-Infrastruktur betroffen. Das genaue Ausmaß und ob es sich hierbei um einen Ransomware-Angriff handelt, ist nicht bekannt.
Allerdings konnte ein Cyberangriff auf die Stadtwerke Karlsruhe als „erfolgreich abgewehrt“ deklariert werden. Hackern ist es gelungen, ins Netz der Stadtwerke einzudringen und Passwörter eines höherrangigen Angestellten auszulesen und damit Daten auszuspähen. Es wird vermutet, dass es sich hierbei um die Vorbereitung eines Ransomware-Angriffs handelte. Die Schadsoftware, die dabei installiert wurde, konnte allerdings eingedämmt werden und hat sich nicht weiter ausgebreitet.
INFORMATIONSSICHERHEIT
Zudem ist es erwähnenswert, dass eine Ransomware-Gruppe eine neue Erpressungstaktik verfolgt. Bei dieser verlangt der Angreifer die Versicherungsdaten des Opfers, um sich zu informieren, wie gut dieser versichert ist. Am Ende wird dann – je nachdem wie gut die Versicherung ist – ein entsprechendes Lösegeld gefordert, das davon gedeckt ist.
Ziel der Angreifer ist hierbei natürlich weiterhin das Geld. Es ist davon abzuraten die Versicherungsdaten preiszugeben, da die Offenlegung immer vertraglich abgeregelt ist (meist untersagt) und zu weiteren Dilemmas führen könnte.
Sollte ein Auskunftsersuchen oder eine Abmahnung vorliegen, ziehen Sie Ihren Datenschutzbeauftragten bzw. rechtlichen Beistand hinzu.
IT-SICHERHEIT
Ein häufig genutztes Einfallstor für Cyberkriminelle sind E-Mails mit schadhaften Anhängen. Diese Anlagen lösen bei einem “Klick” Code aus, der über das Internet Schadsoftware auf den Rechnern der Opfer installiert. In der Vergangenheit wurden oft Office Dokumente wie Word- oder Exceldateien verwendet und die beinhalteten Makros als “Schadcodeträger” eingesetzt.
Sind bestimmte Angriffswege nicht mehr lukrativ, suchen Cyberkriminelle neue Wege, um Schadsoftware an die Endanwender auszuliefern. Aktuell warnen Sicherheitsforscher vor der Zustellung manipulierter OneNote-Anhänge.
In unserem Artikel haben wir für Sie die wichtigsten Informationen zusammengefasst.
DATENSCHUTZ
Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) hat eine neue Kurzinformation zum Thema “Datenpannen mit Microsoft Excel verursachen und vermeiden” veröffentlicht. Darin werden 5 Programmfeatures beschrieben, die bei unachtsamer Nutzung Datenpannen in Bezug auf die Vertraulichkeit auslösen können. Für jedes Beispiel wird aber anschaulich dargestellt, wie diese Fehler vermieden werden können. Die “Kurzinformation 46” bietet sich sehr gut für die interne Weitergabe zu Schulungszwecken an.
INFORMATIONSSICHERHEIT
Am 01. Februar eines jeden Jahres findet der traditionelle “Ändere-dein-Passwort-Tag” statt. Bislang stand man diesem Tag eher kritisch gegenüber: werden Nutzer nämlich “gezwungen” regelmäßig ihre Passwörter zu ändern, so führt dies häufig zu unsicheren Passwörtern, da meist einfache, leicht zu merkende Muster verwendet werden. Aufgrund von zahlreichen erfolgreichen Cyberangriffen, bei denen Zugangsdaten gestohlen wurden, und Passwort-Lecks im vergangenen Jahr, empfiehlt es sich jedoch, in diesem Jahr die Passwörter tatsächlich zu ändern und im Optimalfall einen Passwort-Manager zu verwenden. Passwort-Manager speichern Passwörter verschlüsselt und ermöglichen die automatische Generierung sicherer, zufälliger Passwörter. Achten Sie bei der Auswahl eines Anbieters darauf, dass die Datenbanken vor der Synchronisation verschlüsselt sind, um das Risiko eines Passwort-Manager-Hacks zu minimieren.
DATENSCHUTZ
Über die Webseite www.bitkom.org/tia erhalten Mitglieder des bitkom Zugang auf ein neu entwickeltes Tool zur Erstellung von sogenannten Transfer Impact Assesments (TIA). Immer dann, wenn personenbezogene Daten in ein Drittland übermittelt werden, erfordert dies eine dokumentierte Analyse der Umstände der Übermittlung, der relevanten Rechtsvorschriften und Gepflogenheiten des Bestimmungsdrittlandes.
Über BiTAT wird bitkom-Mitgliedern ein Tool angeboten, welches diese anspruchsvolle Aufgabe strukturiert abbildet. Weitere Informationen hierzu finden sich auf der Kampagnen-Webseite des bitkom.
INFORMATIONSSICHERHEIT
Die Kapellmann und Partner Rechtsanwälte mbB ist Opfer eines Ransomware Angriffes geworden. Die IT-Systeme aller Standorte wurden blockiert und Unternehmensdaten verschlüsselt, die Täter fordern Lösegeld. Website und Telefonanlage sind nicht vom Angriff betroffen, lediglich die Kommunikation mittels E-Mail ist derzeit nicht möglich.
Ein ähnliches Schicksal trifft die Häfele SE & Co KG, ein international operierendes Unternehmen für Beschlagtechnik und elektronische Schließsysteme. Auch hier haben Hacker in Form eines Ransomware Angriffes die IT-Systeme des Unternehmens lahmgelegt. Aktuell ist die Website nur mit Einschränkungen nutzbar: Nutzer können weder auf den Online-Shop noch auf das persönliche Kundenkonto zugreifen. Die Annahme von Bestellungen ist daher aktuell nur telefonisch oder per E-Mail möglich.
Ebenso ist die EU|FH – Europäische Fachhochschule Rhein/Erft Ziel eines Hackerangriffs geworden. Aktuell sind noch keine Informationen zum Ausmaß und den Hintergründen des Angriffes bekannt. Der Studienbetrieb selbst ist wenig betroffen, jedoch wurden aus Sicherheitsgründen große Teile der internen internetbasierten Dienste vorübergehend eingestellt. Eine Erreichbarkeit über Mail und Telefon ist weiterhin möglich. In Zusammenarbeit mit der Polizei und der zuständigen Datenschutzbehörde wird derzeit mit Hochdruck an der Wiederbereitstellung der Dienste gearbeitet.
INFORMATIONSSICHERHEIT
Im vergangenen Jahr kam es immer häufiger zu Sicherheitsvorfällen an deutschen Universitäten. Für viele Menschen stellt sich hier die Frage nach dem “Warum?”. Jürgen Schmidt, Leiter von heise Security, hat fünf Thesen aufgestellt, mit denen er versucht, diese Frage zu erklären.
DATENSCHUTZ
Die Technische Universität München (TUM) hat einen kostenlosen Leitfaden für die Nutzung von sozialen Medien für den öffentlichen Bereich publiziert. Darüber sollen Interessierte Antworten darauf erhalten, wie Social-Media-Plattformen z.B. Facebook, Instagram, TikTok oder Twitter, rechtskonform genutzt werden können.
Der Leitfaden kann als Grundlage für Schulungen verstanden werden und damit als ein Baustein, dem gesetzlichen Sensibilisierungsauftrag nachzukommen.
DATENSCHUTZ
Aktuell mehren sich Meldungen über Abmahnungen des Rechtsanwalts Philipp Brandt (brandt.legal) im Auftrag der Mandantschaft Maximilian G. aus Wien, in Bezug auf die US Newsletter Tools Klaviyo und Mailchimp. Die Masche erfolgt nach dem gleichen Muster. Maximilian G. meldet sich für die genannten Newsletter an und macht im Anschluss sein Auskunftsrecht nach Art. 15 DSGVO geltend. Wird eine Auskunft erteilt, folgt im nächsten Schritt die Abmahnung der Kanzlei “brandt.legal”.
Was präventiv getan werden kann: Prüfen Sie, ob eine Einwilligung für das Newsletter Tool mit Bezug auf die Drittlands Übermittlung eingeholt wird. Zudem, ob die Datenschutzhinweise auf der Webseite das Newsletter Abonnement ausreichend und aktuell beschreiben.
Sollte ein Auskunftsersuchen oder eine Abmahnung vorliegen, ziehen Sie Ihren Datenschutzbeauftragten bzw. rechtlichen Beistand hinzu.
Ein beliebtes Einfallstor für Cyberkriminelle sind E-Mails mit schadhaften Anhängen. Diese Anlagen lösen bei “Klick” Code aus, der über das Internet Schadsoftware auf den Opferrechnern installiert. Hierzu wurden in der Vergangenheit oft Office Dokumente wie Word- oder Exceldateien verwendet und die beinhalteten Makros als “Schadcodeträger” eingesetzt.
Durch das standardmäßige Deaktivieren von Makros in Microsoft Office-Dokumenten im Juli 2022 schien dieser Weg nicht mehr praktikabel. Zudem stellten sich Unternehmen darauf ein und blockierten eingehende Office-Dokumente vor Zustellung an den Endanwender.
Sind Angriffswege nicht mehr lukrativ, suchen Cyberkriminelle neue Wege, Schadsoftware an die Endanwender auszuliefern. Aktuell warnen Sicherheitsforscher vor der Zustellung manipulierter OneNote-Anhänge. OneNote ist ein kostenloses Notizbuch Tool, dass standardmäßig in Office 2019 und Microsoft 365 enthalten ist. Damit kann dieses Dateiformat von jedem Anwender genutzt werden, unabhängig davon, ob dieser OneNote in der täglichen Arbeit verwendet. OneNote-Dateien beinhalten keine Makros, können aber in die sogenannten Notizbücher Programme einbinden.
Diese Möglichkeit nutzen Angreifer und legen Schad-Emails OneNote-Dateien mit eingebetteten VBS-Scripts als Anlage bei. Dieses Anlagenformat wird meist durch die Sicherheitsmechanismen am Unternehmenseingang noch nicht blockiert. Da die VBS-Scripts in den Notizbüchern “ungewöhnlich” wirken und der Klick des Endanwenders damit ausbleiben könnte, legen Cyberkriminelle eine Grafik über die VBS-Icons. Diese Grafik zeigt einen großen Button mit der Aufschrift “Doppelklicken, um die Datei anzuzeigen”. Verschiebt man den Button, werden die darunter liegenden schädlichen VBS-Dateien sichtbar.
Wird die Grafik geklickt, erscheint zwar eine Warnmeldung, aber die Vergangenheit hat gezeigt, dass diese in der Regel mit OK bestätigt werden. Dies führt schließlich zum Starten der VBS-Scripts und löst damit den nächsten Schritt des Cyberangriffs aus.
Welche Schutzmaßnahmen können helfen?
Öffnen Sie keine E-Mails von Unbekannten. Sensibilisieren Sie Ihre Mitarbeiter, keine E-Mails von Unbekannten zu öffnen bzw. nur dann zu öffnen, wenn die E-Mail auf Legitimität geprüft wurde, im Zweifel mit Unterstützung der IT-Ansprechpartner.
Insgesamt kritisch bei Anhängen
E-Mails mit Anhängen oder Links sollten immer kritisch betrachtet werden. Bei Angriffen werden Absenderadressen gefälscht und können auf den ersten Blick als legitim eingeschätzt werden.
Veröffentlichen von Fehlern und ungewöhnlichem Systemverhalten
Melden Sie einen unbedachten Klick oder Ungewöhnlichkeiten unmittelbar. Kurze Meldewege sind essentiell. Hierzu kann eine Notfallkarte sinnvoll sein: ein Papierdokument, dass Ihnen Notfallnummern anzeigt, wenn die Systeme nicht mehr zur Verfügung stehen.
Anhänge blockieren
Um Mitarbeiter erst gar nicht mit einer kritischen OneNote-Datei zu konfrontieren, könnte dieses Dateiformat am Mailserver blockiert werden.
Lieber einmal mehr fragen
Fragen Sie im Zweifel lieber einmal nach. Zusätzlicher Aufwand durch eingehende Anwenderfragen im IT-Support sind unerheblich im Verhältnis zu einem tatsächlichen Vorfall.
Liebe Leserinnen und Leser,
wir hoffen, Sie hatten einen guten Start ins neue Jahr und wünschen Ihnen für die nächsten zwölf Monate alles Gute, viel Glück, Erfolg und vor allem viel Gesundheit. Auch in diesem Jahr versorgen wir Sie in unserem Security Newsletter weiterhin mit den aktuellsten Datenschutz- und IT-Sicherheitsthemen.
DATENSCHUTZ
Politikwissenschaftler, Journalist und Datenschützer Felix Neumann berichtet auf seinem Webauftritt über kirchliche Datenschutzthemen. In seinem Beitrag “Endlich Evaluierung? Jahresausblick 2023 zum kirchlichen Datenschutz” wird beschrieben, welche Themen anstehen und was von Aufsichten und Gerichten zu erwarten ist.
INFORMATIONSSICHERHEIT
Der traditionsreiche deutsche Hersteller Prophete hat kurz vor dem Jahreswechsel überraschend Insolvenz angemeldet. Grund dafür war ein Cyber-Angriff Ende November, der einen mehrwöchigen Betriebsstillstand auslöste. Für rund drei Wochen konnten keinerlei Produktion, Rechnungsstellung und Auslieferungen erfolgen, wodurch massive Verluste entstanden sind. Offenbar habe der Fahrradhersteller zuvor bereits eine schwache Geschäftsentwicklung verzeichnet. Der Hacker-Angriff hat Prophete jedoch letztendlich zur Anmeldung der Insolvenz gezwungen.
DATENSCHUTZ
Die Abmahnungen gegen Website-Betreiber, die Google Fonts dynamisch in den Webseitenauftritt eingebunden hatten, haben ein strafrechtliches Nachspiel für den Abmahnenden und dessen Anwalt. Wegen des Verdachts des versuchten Abmahnbetrugs und der Erpressung in 2418 Fällen wurden im Auftrag der Staatsanwaltschaft Berlin Durchsuchungsbeschlüsse in Berlin, Hannover, Ratzeburg und Baden-Baden sowie zwei Arrestbeschlüsse mit einer Gesamtsumme von 346.000 Euro vollstreckt.
Rund 420 Anzeigen von Abgemahnten, die nicht gezahlt haben, liegen der Staatsanwaltschaft Berlin vor. Aus den beschlagnahmten Kontounterlagen ergeben sich rund 2000 Personen, die das Vergleichsangebot angenommen hatten.
Für Webseiten-Betreiber bedeutet dies ein vorläufiges Ende der Abmahnwelle. Beachten Sie aber, dass die dynamische Einbindung von Google Fonts weiterhin Probleme auslösen kann und abmahnfähig bleibt.
INFORMATIONSSICHERHEIT
Nach dem Cyberangriff auf die Universität Duisburg-Essen Ende November hat die dafür verantwortliche Hacker-Truppe “Vice Society” nun Daten im Darknet veröffentlicht. Um welche Daten es sich dabei genau handelt, ist zum derzeitigen Zeitpunkt noch unklar. Auf Empfehlung des Bundeskriminalamts und des Bundesamts für Sicherheit in der Informationstechnik (BSI) war die Universität den Forderungen der Angreifer:innen nicht nachgekommen und hatte kein Lösegeld bezahlt. Da unmittelbar nach Entdeckung des Angriffs die gesamte IT-Infrastruktur heruntergefahren und vom Netz getrennt wurde, gelangte nur ein kleiner Teil der Daten in die Hände der kriminellen Organisation. Mitte Dezember wurde die Universität zum zweiten Mal Opfer eines Cyberangriffs. Dabei sei die nach der ersten Attacke neu aufgesetzte Behelfsseite „massiv angegriffen“ worden.
DATENSCHUTZ
Verantwortliche Stellen stehen in der Pflicht, über Datenschutzinformationen sogenannte Informationspflichten anzubieten, um Betroffene über die Verarbeitung Ihrer personenbezogenen Daten zu informieren. Nach Art. 12 Abs. 7 DSGVO können hierfür auch Bildsymbole verwendet werden. Zu einer offiziellen Veröffentlichung über die EU-Kommission ist es bisher nicht gekommen und verantwortliche Stellen können damit diese Variante der Informationsdarstellung noch nicht nutzen.
Besonders auf Geräten mit sehr kleinen oder gar keinen Displays könnten Bildsymbole einen Mehrwert bedeuten. Vor diesem Hintergrund hat Bitkom über den AK Datenschutz eigenständig einen Satz Bildsymbole entwickelt und bietet diesen zusammen mit einem Konzeptpapier zum Download an.
INFORMATIONSSICHERHEIT
Auch in den nächsten Jahren werden Anzahl und Ausmaß von Cyberangriffen weiter zunehmen, was sich für Versicherungen als große Herausforderung darstellt. Laut Mario Greco, CEO von Zurich, könnten Cyberattacken bald womöglich gar nicht mehr abgedeckt werden, da der Privatsektor die entstehenden Verluste nur bis zu einer bestimmten Grenze abfangen kann. Die Schäden eines “digitalen Blackouts” seien nach Einschätzung der Rückversicherungsgesellschaft zukünftig nur mit Staatshilfe zu bewältigen. Dabei spricht sich Greco auch positiv für gesetzliche Vorgaben zur Verhinderung von Lösegeldzahlungen bei Ransomware-Erpressungen aus.
Viele Versicherer hätten auf den starken Anstieg an Cyberangriffen in den letzten Jahren mit Sofortmaßnahmen reagiert. Neben einer Erhöhung der Versicherungsbeiträge wurden auch die Policen angepasst, sodass nicht mehr alle Schäden abgedeckt werden und Kunden mehr Verluste selbst tragen müssten.
DATENSCHUTZ
Der bayerische Landesbeauftragte für den Datenschutz und die Generaldirektion der Staatlichen Archive Bayerns haben ein gemeinsames Arbeitspapier veröffentlicht, das sich mit den Aufbewahrungs- und Löschungsregelungen auseinandersetzt.
Immer dann, wenn in endenden Verwaltungsvorgängen personenbezogen Daten verarbeitet wurden, sind im nachfolgenden Schritt die Rechte auf Löschung- oder “Vergessenwerden” zu berücksichtigen. Über das Arbeitspapier soll hier mehr Klarheit für die umsetzenden Stellen geschaffen werden. Das Dokument kann über die Webseite des Bayerischen Landesbeauftragten für Datenschutz bezogen werden.
und wieder neigt sich ein Jahr dem Ende zu. Auch heuer möchten wir uns wieder herzlich für Ihre Treue und Ihre Wertschätzung bedanken. Wir wünschen Ihnen eine besinnliche Weihnachtszeit, ein friedvolles Weihnachtsfest und einen guten und erholten Start in das neue Jahr 2023!
Zum Abschluss des Jahres haben wir für Sie nochmals das Neuste aus dem Datenschutz und der Informationssicherheit im Monat Dezember zusammengefasst.
SPENDE
Weihnachten ist die Zeit des Gebens und des Zusammenhaltens. Auch wir von INES IT möchten etwas geben und Menschen helfen, denen es nicht so gut geht wie uns. Jedes Jahr zur Weihnachtszeit ist es uns daher eine Herzensangelegenheit, nachhaltig Gutes zu tun und soziale Einrichtungen oder Projekte mit einer Spende zu unterstützen. In diesem Jahr übergibt unsere Geschäftsführung einen Scheck in Höhe von 2.000 Euro an die Stiftung WeltKinderLachen® aus Altötting.
INFORMATIONSSICHERHEIT
Die Bedrohung im Cyberraum ist aktuell so hoch wie noch nie. Angreifer nehmen jede Art von Unternehmen ins Visier – unabhängig von Größe oder Branche. Als beliebteste Angriffsmethode gelten dabei Ransomware-Attacken. Die Folgen sind verheerend: Betroffene müssen mit Betriebsstörungen gefolgt von Umsatzeinbußen, hohen Kosten für die Datenwiederherstellung sowie Reputationsschäden rechnen. Allein in diesem Jahr gibt es bereits über 65 bekannte Fälle von Cyberangriffen auf deutsche Unternehmen. Auch Kommunen und Gemeinden bleiben nicht verschont.
In der neusten Broschüre “Cybercrime – Handlungsempfehlungen für die Wirtschaft” gibt das Bundeskriminalamt Tipps zum Schutz gegen Cyberangriffe und zeigt Unternehmen und Kommunen, wie diese bei Betroffenheit einer Cybercrime-Straftat vorgehen können.
DATENSCHUTZ
Mit 31.12.2022 endet die Pilotphase der eAU. Ab Beginn des Jahres 2023 stellen Krankenkassen den Arbeitgebern die Daten nun elektronisch zur Verfügung, was wiederum Auswirkungen auf den Datenschutz hat.
Wie bisher hat der Arbeitnehmende seinen Arbeitgeber auch ab 01.01.2023 über die festgestellte Arbeitsunfähigkeit zu unterrichten. Dazu benötigt der Arbeitgeber jedoch nicht mehr die Bescheinigung in Papierform, sondern ruft die Daten nun über die Krankenkassen ab. Grundsätzlich erfolgt dies über Schnittstellen in Entgeltabrechnungsprogrammen.
Diese Änderungen haben auch Auswirkungen auf die Verarbeitungsvorgänge. Es sollte mindestens festgestellt werden, wie die Daten beim Arbeitgeber weiterverarbeitet werden, welche Maßnahmen zur Sicherheit der Daten bestehen, wo die Daten abgelegt werden und welche Löschfristen in Bezug auf die eAU existieren.
Die rechtliche Legitimation lässt sich durch die gesetzlichen Vorgaben aus dem Bürokratieentlastungsgesetz III in Verbindung mit Art.6 Abs.1 lit.c ableiten. Die Zweckmäßigkeit ergibt sich beispielsweise aus der gesetzlichen Lohnfortzahlung oder dem betrieblichen Eingliederungsmanagement.
Weiter sollten die Grundsätze für die Verarbeitung personenbezogener Daten nach Artikel 5 DSGVO mit einbezogen werden. In Bezug auf die Datenminimierung ergibt sich ein Datenschutzmehrwert, da die Facharztbezeichnung, die Schlüsse auf die Erkrankung ableiten lässt, nicht mehr vorliegt.
DATENSCHUTZ
Die Stiftung Datenschutz ist eine neutrale Diskussionsplattform zu Datenschutzthemen und stellt in diesem Kontext praktische Informationen zur Verfügung. Neu veröffentlicht wurde der Praxisratgeber zum kirchlichen Datenschutz. Er stellt grundlegende Regelungen vor und beschreibt inhaltliche Besonderheiten in kirchlichen Datenschutzgesetzen. Außerdem finden Sie im Praxisratgeber ein Video mit Felix Neumann, in dem auf die Besonderheiten im Bereich kirchliches Engagement eingegangen wird.
DATENSCHUTZ
Die Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) hat Ihre Praxishinweise für Auftragsverarbeiter nach Art. 28 DS-GVO aktualisiert.
WEBINAR
Die Bedrohung im Cyberraum ist aktuell auf einem nie dagewesenen Höchststand. Immer häufiger sind besonders kleine und mittelständische Unternehmen ein beliebtes Angriffsziel für Hacker.
In unserem kostenfreien Webinar am Donnerstag, den 01.12.22 um 10 Uhr, erfahren Sie:
MITARBEITERINTERVIEW
Nach 20 Jahren Berufserfahrung in verschiedenen Office-Jobs hat Stefanie Fath sich mit fast 40 endlich getraut, mit einer Umschulung zum Fachinformatiker einen Karriereweg einzuschlagen, der sie insgeheim schon immer gereizt hatte. Rückblickend wollten wir gerne von Steffi wissen, warum sie sich für INES IT entschieden hat und was sie in ihrem Praktikum erleben durfte.
DATENSCHUTZ
In einer Entscheidung des OLG Düsseldorf (Urteil vom 28.10.2021, Az. 16 U 275/20) wurde dargestellt, dass die Einwilligung in eine unverschlüsselte E-Mail möglich sei. Hintergrund des Urteils war, dass eine Versicherte um Zustellung ihrer Gesundheitsakte bat. Da die Zeit drängte, riet der Versicherungsmitarbeiter um Zustellung per E-Mail.
Als die Frau nach mehreren Tagen immer noch keine E-Mail erhalten hatte, meldete sie sich erneut bei der Versicherung. Dabei wurde festgestellt, dass die Gesundheitsakte an eine falsche E-Mailadresse zugestellt wurde. Über einen Anwalt wurde die Versicherung auf 15.000€ Schmerzensgeld verklagt. In der Erstinstanz wurden der Frau 4.000€ Schmerzensgeld zugesprochen. Das LG unterstrich, dass der Schaden insbesondere dadurch entstanden sei, dass technische Sicherheitsmaßnahmen (z.B. verschlüsselte Übermittlung) fehlten. Beide Parteien gingen in Berufung und die Sache wurde dem OLG vorgelegt. Hier wurde die Berufung der Frau als unbegründet dargelegt und das Schmerzensgeld auf 2.000€ reduziert.
Das Besondere in Bezug auf Art.32 und der Sicherheit der Datenverarbeitung: Es wurde nicht beanstandet, dass die E-Mail unverschlüsselt übermittelt wurde. Nach Ansicht des Gerichts hatte nämlich die Frau in den unverschlüsselten Versand der E-Mail im Sinne von Art. 6 Abs. 1 Satz 1 Buchst. a DSGVO eingewilligt. Die Anforderungen an eine Einwilligung nach Art. 4 Nr. 11 DSGVO waren damit erfüllt. Insbesondere hatte die Frau die Form der Versendung freiwillig akzeptiert; Druck wurde durch den Mitarbeiter der Versicherung nicht ausgeübt. Im Gegensatz zum LG ist das OLG der Auffassung, dass im Rahmen der Privatautonomie, sprich der persönlichen Entscheidungsfreiheit, auch ein Verzicht auf Verschlüsselung möglich ist.
INFORMATIONSSICHERHEIT
Im aktuellen Bericht zur Lage der IT-Sicherheit in Deutschland stellt das BSI fest, dass die Bedrohung im Cyber-Raum so hoch wie noch nie ist. Die Ursache dafür liegt besonders auch an den verschiedenen Bedrohungen im Zusammenhang mit dem russischen Angriffskrieg auf die Ukraine und einem allgemein hohen Risiko durch Cybercrime. Als Top-Bedrohungen für unsere Gesellschaft listet das BSI den Identitätsdiebstahl, Sextortion, also die Erpressung mit Nacktbildern oder –videos, und Fake-Shops. Mit Blick auf die Wirtschaft sind die größten Gefahren unter anderem Ransomware-Schwachstellen, viel zu große Abhängigkeiten in den Lieferketten sowie offen bzw. falsch konfigurierte Online-Server. Laut Bericht sind von den Ransomware-Schwachstellen besonders Staat und Verwaltung betroffen.
Um genauere Zahlen zu erfahren können Sie sich hier selbst informieren.
DATENSCHUTZ
Am 25. Oktober 2022 veröffentlichte das Internation Accreditation Forum (IAF) eine neue Version des wichtigsten europäischen Standards für Informationssicherheit – die ISO/IEC 27001:2022. Sie löst die bisher geltende ISO 27001:2013 ab. Der Titel der neuen Norm wurde nicht aus der Vorgängerversion übernommen, sondern neu definiert: „Informationssicherheit, Cybersicherheit und Datenschutz – Informationssicherheitsmaßnahmen“.
Die unter Anhang A aufgeführten Maßnahmen (Controls) wurden von 114 auf 93 reduziert und neu strukturiert. Die entsprechenden Controls sind nun anstatt 14 Abschnitte in 4 Abschnitte unterteilt worden.
Trotz der Reduzierung auf 93 wurden keine Maßnahmen gestrichen, sondern 24 Maßnahmen aus mehreren Maßnahmen zusammengefasst. Neu hinzugekommen sind 11 Maßnahmen:
Welche Übergangsfristen sind zu beachten?
Aktuell kann noch kein Zertifikat zur ISO27001:2022 erworben werden, da die Zertifizierungsstellen noch nicht für die neue Norm akkreditiert wurden. Bis 31.10.2023 kann noch auf dem Standard ISO27001:2013 eine (Re)Zertifizierung erfolgen. Die Übergangsfrist wurde auf 36 Monate ab Veröffentlichungsdatum festgelegt. Damit muss bis spätestens zum 31.10.2025 das Managementsystem den neuen Standard transformiert sein.
DATENSCHUTZ
Vom 10.-14. Oktober 2022 wurde unter der Leitung des Bayerischen Landesbeauftragten für Datenschutz eine Themenwoche auf dem Mastodon-Kanal der Behörde abgehalten. In diesen 5 Tagen erfolgte eine Einführung in die Thematik von Cookies, vertiefende rechtliche und technische Erläuterungen, insbesondere aber Handlungsempfehlungen gestützt auf praxisorientierten Checklisten.
Die Inhalte aus diesem Workshop wurden nun über ein Tutorial veröffentlicht.
INFORMATIONSSICHERHEIT
Der Großhändler Metro AG ist Opfer einer Cyber-Attacke geworden. Dabei wurde ein Teil der IT-Infrastruktur eingeschränkt, wodurch es zu einigen Verzögerungen und Störungen kommen könnte. Ein Totalausfall wurde anscheinend vermieden, weil die IT-Abteilung auf einen Angriff vorbereitet war.
Auch der Kupfer-Konzern Aurubis meldete einen Angriff auf ihre IT-Systeme. Daraufhin wurden gezielt zahlreiche Systeme präventiv heruntergefahren und vom Internet getrennt, um weitere Gefahren zu vermeiden. Die Produktion konnte zwar weitestgehend aufrechterhalten werden, die Auswirkungen sind dennoch in Form der sinkenden Aktie (-3%) spürbar.
Außerdem ist der IT-Dienstleister der Deutschen Presse-Agentur Ziel eines Ransomware-Angriffes geworden. Hierbei wurden die Server und Systeme des Dienstleisters verschlüsselt. Auch persönliche Daten der Angestellten wie Gehaltsabrechnungen könnten betroffen sein. Ob die Angreifer mit der Veröffentlichung der Daten drohen und Lösegeld fordern, ist derzeit noch nicht bekannt.
DATENSCHUTZ
Unter einem Hybridbrief wird eine teilweise elektronische Postdienstleistung verstanden, in der elektronische und papierförmige Kommunikation verbunden werden. Das Dokument wird dabei vom Absender elektronisch verfasst und mitsamt den notwendigen Adressdaten elektronisch an einen Postdienstleister übermittelt. Dort wird der Brief ausgedruckt, kuvertiert, frankiert und an den Empfänger analog zugestellt. In der aktuellen Kurzinformation 44 wird beschrieben, welche datenschutzrechtlichen Aspekte in der Prozesskette und zwischen den einzelnen Akteuren zu beachten sind.
INFORMATIONSSICHERHEIT
Bei dem Cyber-Angriff auf Continental im August hieß es noch, dass der Angriff erfolgreich abgewehrt wurde. Allerdings wurden nun gestohlene Daten des Automobilzulieferers im Darknet angeboten – und das sogar für 50 Millionen Dollar. Nun wurde doch offengelegt, dass ein Teilbestand an Daten entwendet werden konnte. Darunter zählen auch sensible Daten wie die von Kunden sowie Strategie- und Investitionspläne. Insgesamt sollen 40 Tb erbeutet worden sein, die Ransomware-Gruppe namens „Lockbit 3.0“ habe allerdings als „Vorgeschmack“ zunächst einmal knappe 8 Gb veröffentlicht. Der Vorfall wird momentan noch untersucht.
Auch die Kreisverwaltung des Rhein-Pfalz-Kreises wurde von einer Ransomware-Gruppe lahmgelegt und zahlreiche Daten kopiert. Diese Daten wurden nun im Darknet veröffentlicht, da die Kreisverwaltung der Lösegeldforderung nicht nachgekommen ist. Unter den gestohlenen Informationen befinden sich unter anderem Daten von 54 Zensusverweigerern sowie Namen, Anschriften und Geburtsdaten von ukrainischen Geflüchteten, die in dem Landkreis untergebracht wurden. Trotz hoher Sicherheitsmaßnahmen sei es zu einem Cyberangriff gekommen.
Die Zwei-Faktor-Authentifizierung oder auch abgekürzt „2FA“ genannt, ist mittlerweile im privaten- sowie im Arbeitsbereich nicht mehr wegzudenken. Worum es sich dabei genau handelt und warum die 2FA so maßgeblich wichtig ist, haben wir in unserem Artikel zusammengefasst.
Die 2FA ist ein Sicherheitsverfahren an IT-Systemen, durch welches die Sicherheit der Accounts und Systeme und damit letztendlich der Schutz Ihrer Daten erhöht wird. Bei der Zwei-Faktor-Authentifizierung muss neben den einfachen Zugangsdaten aus Benutzername und Passwort eine weitere zusätzliche Sicherheitskomponente eingegeben werden. Das Verfahren macht es Cyberkriminellen deutlich schwerer, sich auf andere Konten und private Daten Zugang zu verschaffen. Gelangen unbefugte Dritte nämlich in Besitz Ihres Passwortes, (etwa durch ein Datenleck beim Anbieter oder weil Nutzer es unbedacht an Fremde weitergegeben haben), bekommt dieser uneingeschränkten Zugriff auf das jeweilige Konto – und oft auch noch auf weitere Konten. Schlecht gesicherte Accounts sind eines der Haupteinfallstore für Cyberkriminelle. Immer wieder fallen Dienste oder Firmen Cyberangriffen zum Opfer, bei denen Zugangsdaten von Kunden abgegriffen werden. So kann beispielsweise Ihre E-Mail-Adresse inklusive Ihres Passwortes im Darknet zum Verkauf angeboten werden. Haben Sie jedoch einen zweiten Faktor aktiviert, so ist der reine Besitz Ihres Passworts dann nicht mehr genug, damit sich Hacker bei einem Ihrer Konten anmelden können.
Mit dem Verfahren weist zum Beispiel der Inhaber eines Online-Kontos nach, dass er der rechtmäßige Nutzer ist. Den Nachweis muss er auf zweifache Weise erbringen. Zur Verifizierung wird daher nicht nur das Passwort für den Login benötigt, sondern zusätzlich ein zweiter Faktor, der im Moment der Anmeldung genutzt wird. Es gibt verschiedene Umsetzungsmöglichkeiten für einen zweiten Faktor, die vom Anwendungsfall und den zur Verfügung stehenden Möglichkeiten abhängig sind.
Beliebte 2FA-Alternativen sind beispielsweise:
Mittlerweile bieten sämtliche große Plattformen die Möglichkeit einer Zwei-Faktor-Authentifizierung zur besseren Absicherung des eigenen Nutzerkontos. Für essentielle Dienste (Cloud-Systeme und extern erreichbare Systeme) ist die Aktivierung des zweiten Faktors ein Muss. Dennoch ist wichtig zu erwähnen, dass die Zwei-Faktor-Authentifizierung trotzdem keinen vollständigen Schutz bietet. Das Social Engineering und damit die Mitarbeiter selbst stellen immer noch den größten Risikofaktor dar. Hat ein Angreifer einen User schon mal dazu gebracht, durch Phishing Mails sensible Daten wie Log-in und Passwort einzugeben, dann ist es auch kein Problem, die Nutzer zur Eingabe des Einmal-Codes zu überreden. Wie Sie Phishing-Mails erkennen und wie Sie mit Phishing Awareness Trainings nachhaltig die Awareness Ihrer Mitarbeiter erhöhen, erfahren Sie hier.
EVENTS
Die Einführung eines Informationssicherheits-Managementsystems (ISMS) ist vor dem Hintergrund der ständigen Bedrohung aus dem Cyberraum ein “must-have” für Unternehmen und Verwaltungen.
In Zusammenarbeit mit Heinz Krippel (IT-Sicherheitscluster) bieten wir Ihnen in unserem 3-tägigen Seminar “ISMS-Kompakt” vom 14.11.22 bis 16.11.22 eine umfängliche Einführung in das Thema Informationssicherheit und praktische Hinweise.
In unserem Training lernen Sie:
COMPLIANCE
Die oberste Leitung einer Organisation hat entsprechend geltender Gesetze Zuverlässigkeitspflichten in Bezug auf Compliance Anforderungen einzuhalten. Dies bedeutet, dass technische und organisatorische Regeln verabschiedet werden und die Einhaltung dieser Regeln kontrolliert werden muss. In unserem Artikel haben wir für Sie die wichtigsten Informationen zusammengefasst.
INFORMATIONSSICHERHEIT
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt aktuell vor einer Phishing Welle im Zusammenhang mit den stark gestiegenen Energiepreisen aufgrund des Ukraine-Kriegs.
Angreifer nutzen besonders gerne Krisen und die sich daraus ergebenden Herausforderungen, um die Wahrscheinlichkeit zu erhöhen, dass auf Links in Betrugsmails geklickt wird.
Seien Sie besonders vorsichtig bei E-Mails mit Betreffzeilen wie: „Jetzt Energiepauschale sichern!“, „Wir überweisen die Energiepauschale!“, „Bereit für Ihren Energiebonus?“, oder vergleichbare Texte. In der Regel werden hierfür seriöse Absender wie beispielsweise Banken verwendet.
Prüfen Sie den Wahrheitsgehalt dieser E-Mails genau und geben Sie keinesfalls persönliche Daten auf Webseiten ein, die in den Phishing Mails verlinkt wurden.
INFORMATIONSSICHERHEIT
Der Caritasverband der Erzdiözese München und Freising ist einem Cyberangriff zum Opfer gefallen. Dabei wurden zahlreiche Störungen im IT-System verzeichnet. Trotz diverser Sicherheitsvorkehrungen ist es den Angreifern gelungen, Daten aus den Systemen abzugreifen und im Nachgang interne Daten zu verschlüsseln. Das konkrete Ausmaß des Angriffes ist aktuell noch nicht bekannt. Da durch die Lahmlegung des digitalen Systems die Prozesse analog durchgeführt werden müssen, kann es zu Einschränkungen in der Erreichbarkeit kommen. Caritas hat bereits Anzeige erstattet und ein eigens eingerichteter Krisenstab arbeitet an der Behebung des Problems.
Erst kürzlich hat sich eine internationale Gruppe von Cyberkriminellen zu dem Angriff bekannt. Für die Freigabe der verschlüsselten Daten haben die Angreifer Lösegeld in einer Kryptowährung gefordert. Die Caritas hat sich allerdings gegen eine Zahlung entschieden und möchte stattdessen eine alternative IT-Infrastruktur aufbauen.
DATENSCHUTZ
Microsoft haben eine neue Version ihres Auftragsverarbeitungsvertrags – Microsoft Products and Services Data Protection Addendum (DPA) – veröffentlicht. (Die deutsche Version des DPA wird in der Regel 5-10 Tage nach der englischen Version eingestellt.) Dieser richtet sich vor allem auch an Anwendungen in Microsoft 365. Die wichtigsten Aktualisierungen beziehen sich auf:
Ein datenschutzkonformer Einsatz von M365 ist unter den Voraussetzungen der DSGVO und dem Maßstab der Datenschutzaufsichtsbehörden eine Herausforderung. Neben einer Datenschutzfolgenabschätzung und risikominimierenden technischen und organisatorischen Maßnahmen, stellt das neue Vertragswerk einen weiteren Baustein für eine datenschutzfreundliche Verwendung dar.
INFORMATIONSSICHERHEIT
Sowohl die deutsche als auch die österreichische Niederlassung der ISTA-Gruppe ist von einem Cyberangriff betroffen. Der Anbieter ist vielerorts für Wasserabrechnungen und Wasserzähler zuständig. Um Schäden an der IT-Infrastruktur zu vermeiden, wurden alle potenziell betroffenen IT-Systeme des Unternehmens vom Netz genommen. Daher sind einige Funktionen und Serviceangebote nur eingeschränkt nutzbar.
Bisher ist unklar, auf welche Daten die Angreifer zugegriffen haben und ob es sich dabei um Kundendaten handelt. Zum eigenen Schutz sollten Kunden jedoch alle Kennwörter ändern, die in Verbindung mit Ista und anderen Online-Diensten genutzt werden.
Aufgrund der Häufung von Cyberangriffen auf Unternehmen und Organisationen schreiben Cyberversicherer nun erstmals rote Zahlen. Im Jahr 2021 mussten die Versicherer knapp 3700 Cyberangriffe regulieren – ein Plus von 56 Prozent gegenüber dem Vorjahr. Dafür leisteten sie etwa 137 Millionen Euro – fast dreimal so viel (+187,6 Prozent) wie 2020. Da die Aufwendungen die Einnahmen übersteigen, rutschen die Unternehmen damit erstmals in die Verlustzone.
INFORMATIONSSICHERHEIT
Wegen einer dynamischen Einbindung von Google Fonts im Webauftritt werden aktuell massenhaft Abmahnungen versendet. Prüfen Sie deshalb Ihre Webseite auf konforme Umsetzung. Hierzu können Sie ein Testtool verwenden wie z.B. den Google-Fonts-Checker.
Um das Risiko einer Abmahnung auszuschließen, ist der geeignetste Weg, die Schriften lokal zu implementieren. Damit erfolgt keine Datenübermittlung von IP-Adressen der Webseitenbesucher an Google ohne deren Einwilligung.
Wenn wir Sie hierzu oder allgemein zur konformen Umsetzung Ihres Webauftritts unterstützen dürfen, kommen Sie gerne jeder Zeit auf uns zu.
Die oberste Leitung einer Organisation hat entsprechend geltender Gesetze Zuverlässigkeitspflichten in Bezug auf Compliance Anforderungen einzuhalten. §43 Abs.1 GmbHG spricht von der „Sorgfalt des ordentlichen Geschäftsmannes“.
Dies bedeutet, dass die oberste Leitung zur Einhaltung entsprechender Gesetze technische und organisatorische Regeln verabschieden und die Einhaltung dieser Regeln auch kontrollieren muss.
Werden diese Maßnahmen nicht umgesetzt oder können diese nicht nachgewiesen werden, so haftet die oberste Leitung persönlich gegenüber der GmbH. Untermauert wird die Aussage durch das Siemens/Neuburger Urteil aus 2013. Bereits hier wurde abgeleitet, dass die Pflicht zur Einführung eines Compliance Systems auch auf andere Geschäftsformen angesetzt werden kann. Bestätigt wurde diese Aussage durch das Urteil des OLG Nürnberg vom März 2022.
In der Entscheidung sprach das Gericht der obersten Leitung einen weitreichenden Beurteilungsspielraum zu, der auch riskante und nachteilige Entscheidungen enthalten kann. Dieser endet aber immer dann, wenn ein hohes Risiko eines Schadens unabweisbar ist und keine vernünftigen Gründe vorliegen, dieses Risiko einzugehen. Im Sinne der Sorgfalt eines ordentlichen Geschäftsmannes, hat die oberste Leitung eine interne Organisationsstruktur zu schaffen, die die Rechtmäßigkeit und Effizienz ihres Handelns gewährleistet. Gegebenenfalls erfordert dies die Einführung eines Überwachungssystems, mit dem Risiken für den Unternehmensfortbestand erfasst und kontrolliert werden können.
Das Gericht formulierte weiter aus, dass sich aus der Legalitätspflicht die Verpflichtung der obersten Leitung zur Einrichtung eines Compliance Management Systems ergibt, dass die Begehung von Rechtsverstößen durch die Organisation oder deren Mitarbeiter verhindert.
Diese Auslegungen adressieren sich damit direkt auch an das Informationssicherheitsmanagement in einer verantwortlichen Stelle. Fehlende technische und organisatorische Maßnahmen können damit zu einer direkten Haftung der Leitung führen.
Unabhängig von der Größe einer Organisation ist die Einführung eines Managementsystems für Informationssicherheit immer ein Mehrwert. Es kann so spezifiziert werden, dass ein geeigneter und verhältnismäßiger Aufwand gewahrt bleibt. Es sorgt dafür, dass Anforderungen aus unterschiedlichen Bereichen wie Datenschutz, IT Sicherheit oder dem Schutz von Geschäftsgeheimnissen entsprechend Rechnung getragen wird.
Zusätzlich bedeutet ein Managementsystem weiteren Anforderungen gerecht zu werden, die sich beispielsweise aus dem Abschluss einer Cyberversicherung ergeben. Um Risiken an einen Versicherer auslagern zu können, müssen vor Vertragsschluss Nachweise erbracht werden, die die Voraussetzungen für einen Versicherungsabschluss erst möglich machen. Dies fällt wesentlich leichter, wenn die Umsetzung eines Managementsystems dargelegt werden kann. Zudem schrieben die Versicherer aufgrund der hohen Anzahl an Schadensfällen im Kontext von Cyberangriffen rote Zahlen. Es kann vermutet werden, dass die Anforderungen einen Versicherungsabschluss möglich zu machen, zukünftig noch steigen werden.
Aber am wichtigsten: ein Managementsystem für Informationssicherheit sorgt dafür, sich effektiv vor Cyberangriffen zu schützen bzw. die Auswirkungen wesentlich einzudämmen. Hintergrund dafür ist, dass ein Managementsystem dabei hilft, den Schutzbedarf von Unternehmensprozessen zu erkennen, die darauf wirkenden Risiken zu identifizieren und geeignete Maßnahmen zur Risikominimierung abzuleiten. Darüber hinaus werden bestehende Abläufe fortlaufend überprüft und wenn notwendig verbessert. Die Auswirkungen eines Cyberangriffs sind fatal und lösen extremen Stress bei allen Beteiligten aus. Dieses Szenario muss unbedingt verhindert werden.
Als IT-Dienstleister ist es unser Ziel, Managementsysteme bei Kunden einzuführen und Organisationen zu befähigen, das Managementsystem eigenständig weiter zu betreiben. Dieses Ziel vor Augen bieten wir Ihnen vom 14.-16.11.2022 eine Basisschulung zur Einführung eines Informationssicherheits-Managementsystems an. Nutzen Sie die Chance, um direkt entscheiden zu können, wie die beschriebenen Compliance Anforderungen für Ihre Organisation geschaffen und eingehalten werden können.
EVENTS
Die Einführung eines Informationssicherheits-Managementsystem (ISMS) ist vor dem Hintergrund der ständigen Bedrohung aus dem Cyberraum ein “must-have” für Unternehmen und Verwaltungen.
In Zusammenarbeit mit Heinz Krippel (IT-Sicherheitscluster) bieten wir Ihnen in unserem 3-tägigen Seminar “ISMS-Kompakt” vom 14.11.22 bis 16.11.22 eine umfängliche Einführung in das Thema Informationssicherheit und praktische Hinweise.
In unserem Training lernen Sie:
MITARBEITERINTERVIEW
Josef Axthammer hat im Jahr 2011 als IT-Consultant bei INES IT gestartet. Bei mittlerweile 11 Jahren Betriebszugehörigkeit hat sich auch der Tätigkeitsbereich erweitert. So hat Josef sich im Laufe der Jahre auf den Bereich Informationssicherheit spezialisiert und vor kurzem die Prüfung zum zertifizierten CISIS12 Berater erfolgreich abgeschlossen – was wir gerne zum Anlass für ein kleines Interview nehmen.
INFORMATIONSSICHERHEIT
Die Industrie- und Handelskammern (IHK) sind einem massiven Cyberangriff zum Opfer gefallen. 63 von insgesamt 79 Industrie- und Handelskammern in Deutschland sind mutmaßlich betroffen. Aus Sicherheitsgründen wurden daher vorsorglich die IT-Systeme aller Stellen in Deutschland heruntergefahren. Sowohl die Websites als auch die Telefonsysteme der einzelnen Kammern waren vorübergehend nicht erreichbar – im Moment ist nur noch die Kontaktaufnahme per E-Mail nicht möglich. Zugang schufen sich die Angreifer wohl über einen IT-Dienstleister der Industrie- und Handelskammern. Derzeit ist noch unklar, ob die Angreifer erfolgreich gewesen sind und Daten abgreifen konnten. Einen Erpressungsversuch mit einer Ransomware gebe es bisher aber nicht. Die IHK arbeitet derzeit daran, die Systeme nach intensiven Prüfungen kontrolliert und sicher wieder hochzufahren.
DATENSCHUTZ
Seit Juni 2022 stellt der Bayerische Landesdatenschutzbeauftragte Prof. Dr. Thomas Petri einen Newsletter „Privacy in Bavaria“ bereit. Dieser beinhaltet Informationen zu gerichtlichen Entscheidungen, Veröffentlichungen von Aufsichtsbehörden und weiteren Quellen, die für bayerische öffentliche Stellen relevant sind.
Die Beiträge können über die Webseite direkt eingesehen, oder als RSS-Feed abonniert werden. Eine personalisierte Zustellung als E-Mail ist aus Gründen der Datenminimierung nicht vorgesehen.
DATENSCHUTZ
Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat gegen ein Kreditinstitut eine Geldbuße in Höhe von 900.000 Euro festgesetzt.
Hintergrund war eine massenhafte Auswertung von Daten aktiver sowie ehemaliger Kunden des Unternehmens, ohne dass hierfür eine Einwilligung vorlag. Mit Unterstützung eines Dienstleisters wurde dabei das digitale Nutzungsverhalten zu Einkäufen in App-Stores, die Häufigkeit der Nutzung von Kontoauszugsdruckern, sowie die Gesamthöhe von Überweisungen im Online-Banking im Gegensatz zum Filialangebot analysiert. Die Ergebnisse der Analyse wurden zudem mit Daten einer Wirtschaftsauskunftei abgeglichen und angereichert. Ziel war es, Kunden mit einer erhöhten Nutzung von digitalen Medien zu identifizieren und verstärkt über elektronische Kommunikationswege anzusprechen.
Dem Unternehmen wird vorgeworfen, eine Auswertung von personenbezogenen Daten alleine auf Grundlage einer Interessenabwägung (Art.6 Abs.1 lit.f) durchgeführt zu haben, ohne dabei die Interessen der betroffenen Kunden ausreichend mit einzubeziehen. Der Bußgeldbescheid ist noch nicht rechtskräftig.
INFORMATIONSSICHERHEIT
Bei über 200 Benutzerkonten des Anbieters MailChimp wurden E-Mail-Adressen abgegriffen, die zum Versand von Marketing-Mailings in der Anwendung hinterlegt sind. Wie viele E-Mail-Adressen betroffen sind, ist nicht bekannt. Der Angriff richtete sich wohl gezielt auf Unternehmen aus der Krypto- und Cloud-Branche. Angriffe auf Krypto-Wallets sind ein lukratives Ziel für Angreifer. Um täuschend echte Phishing-Mails zu versenden, benötigen sie jedoch die E-Mail-Adresse von Besitzern bei der anvisierten Börse. Bereits im April dieses Jahres gab es zahlreiche Versuche, per Phishing-Mails Zugriff auf Krypto-Wallets von Kunden zu erhalten, nachdem Cyberkriminelle sich vorab Zugriff auf die Kundendaten über MailChimp verschafft haben. Mit einer offiziellen Stellungnahme und Screenshots zu den täuschend echten Phishing Mails warnte der Hardware Wallet Anbieter Trezor seine Kunden.
Der Angriff auf MailChimp verdeutlicht das Risiko von Cloud-Anwendungen, die keine Sicherheitsstandards wie Single-Sign-On (SSO) oder 2-Faktor-Authentifizierung unterstützen. Die IT konzentriert sich (verständlicherweise) meist auf die wichtigsten geschäftskritischen Anwendungen wie z. B. ERP- oder CRM-Systeme. Doch Cyberkriminelle wissen, dass es ein leichteres Spiel ist, durch die Hintertür in Unternehmen einzudringen. Wir empfehlen Ihnen, auch solche Cloud-Anwendungen im Blick zu haben und stets die Multifaktor-Authentifizierung zu aktivieren.
INFORMATIONSSICHERHEIT
Im September letzten Jahres hat der Hersteller Hikvision eine Sicherheitslücke in seinen Überwachungskameras mit einer aktualisierten Firmware geschlossen. Die Sicherheitsfirma Cyfirma hat nach Recherchen herausgefunden, dass weiterhin über 80.000 Überwachungskamera verwundbar im Netz sind. Es handelt sich dabei um eine kritische Sicherheitslücke, bei der Angreifer beliebige Befehle auf den Geräten ausführen können. Mindestens zwei Exploits sind öffentlich zugänglich. Die Rechercheergebnisse verdeutlichen, dass Überwachungskameras nicht immer in der regelmäßigen Wartung der IT-Systeme mitaufgenommen werden. Darüber hinaus empfehlen wir Ihnen regelmäßige Security Scans, die solche kritische Sicherheitslücken in Ihrer IT-Umgebung aufdecken
ALLGEMEINES RECHT
Am 10.08.2021 wurde das Gesetz für faire Verbraucherverträge verabschiedet. Das Gesetz bringt einige Gesetzesänderungen für Dauerschuldverhältnisse mit sich, an denen Verbraucher beteiligt sind. Mit 1. Juli 2022 ist eine weitere Anforderung aus dem Gesetz in Kraft getreten. In unserem Artikel haben wir für Sie die wichtigsten Informationen zusammengefasst.
DATENSCHUTZ
Im Rahmen einer koordinierten Prüfaktion der Datenschutz Aufsichtsbehörden Berlin, Niedersachsen, Rheinland-Pfalz, Sachsen, Sachsen-Anhalt und Bayern wurde eine Checkliste zur Prüfung von Auftragsverarbeitungsverträgen in Zusammenhang mit Webhostern veröffentlicht.
In einer Pressemitteilung der Berliner Aufsichtsbehörde wird dargestellt, dass die Checkliste nicht nur für die Prüfung von Webhoster-Vereinbarungen verwendet werden kann, sondern selbstverständlich für alle Auftraggeber- Auftragnehmerbeziehungen.
Über die veröffentlichten Informationen ergibt sich das Anforderungsniveau und es kann davon ausgegangen werden, dass Aufsichtsbehörden diesen strikten Maßstab bei der Prüfung ansetzen werden.
INFORMATIONSSICHERHEIT
Kundendaten des Darmstädter Energieversorgers Entega wurden im Rahmen eines Cyberangriffs entwendet und schließlich im Darknet veröffentlicht. Der Angriff auf die Webseiten und Kundenportale erfolgte am 2. Juniwochenende. Neben allgemeinen Personendaten von Kunden, Mitarbeitern und Geschäftspartnern wurden auch sehr sensible Informationen wie Bankverbindungsdaten abgezogen.
Über eine speziell eingerichtete Webseite bietet das Unternehmen umfassende Informationen zum Cyberangriff inklusive der zugehörigen Pressemitteilung.
INFORMATIONSSICHERHEIT
Globale Lieferketten bestimmen unseren Alltag. Hacker sehen gerade darin den Reiz. Mit Angriffen auf die Supply Chain werden die Warenströme unterbrochen und dies hat Auswirkungen auf die Weltwirtschaft. Durch die Digitalisierung in der Logistik-Branche können Containerschiffe oder Frachtflugzeuge genauso wie jedes digitale System gehackt werden. Meist werden jedoch Unternehmen angegriffen, die Zugang zu einem Flugzeug oder Schiff erhalten. Im zweiten Halbjahr 2021 gab es 27 Cyberangriff auf Unternehmen in der Logistik-Branche – 3 davon waren in Deutschland.
DATENSCHUTZ
Die Österreichische Datenschutzaufsicht (DSB) hat eine FAQ-Liste zum Thema Cookies veröffentlicht. Die zentrale Behörde aus dem Nachbarland stellt damit den Anforderungskatalog der europarechtlichen Auslegung von Cookies und anderen technischen Möglichkeiten dar.
Im Gegensatz zu internen Prozessen ist die Qualität von Datenverarbeitungen auf Webseiten von jedem Seitenbesucher zu sehen und einzustufen. Mögliche Risiken in Bezug auf Beschwerden ergeben sich damit nicht nur aus anlassbezogenen Prüfungen von Aufsichtsbehörden, sondern durch jeden Webseitenbesucher.
INFORMATIONSSICHERHEIT
Am 21. Juni fand ein Hackerangriff auf die Fachhochschule Münster statt. Der Angriff wurde frühzeitig erkannt und die Systeme vom Netz getrennt. Bei dem Angriff wurden keine Daten verschlüsselt und es gab auch keine Lösegeldforderung. Auch wenn es die Hochschule schlimmer hätte treffen können, hatte der Angriff Folgen. Die Internetseite der Fachhochschule Münster wurde offline genommen und das mitten in der aktuell laufenden Bewerbungsphase. Zwei Wochen später und somit etwas über eine Woche vor dem Bewerbungsende bei zulassungsbeschränkten NC-Studiengängen konnte die Website wieder in Betrieb genommen werden. Nach Erkennen des Cyberangriffs wurde im ersten Schritt auch jedes Programm, das mit dem Internet verbunden ist, offline genommen. Aktuell wird ein Passwort-Reset für rund 18.000 betroffene Nutzer durchgeführt. Die bisherigen Passwörter haben ihre Gültigkeit verloren und alle Betroffenen können mit einem Einmalpasswort, das an ihren Wohnort geschickt wurde, neue Zugangsdaten festlegen.
Schließt ein Verbraucher einen Vertrag zu privaten Zwecken mit einem Unternehmen ab, spricht man von einem Verbrauchervertrag. Ein Verbrauchervertrag wird damit immer nur zu privaten Zwecken abgeschlossen. In der Vergangenheit kam es regelmäßig vor, dass Verbrauchern Verträge nur telefonisch oder Verträge mit zu langen Laufzeiten untergeschoben wurden. Mit dem Gesetz für faire Verbraucherverträge soll die Position von Verbrauchern gegenüber Unternehmen verbessert werden. Am 10.08.2021 wurde das Gesetz für faire Verbraucherverträge verabschiedet. Das Gesetz bringt einige Gesetzesänderungen für Dauerschuldverhältnisse mit sich, an denen Verbraucher beteiligt sind. Mit 1. Juli 2022 ist eine weitere Anforderung aus dem Gesetz in Kraft getreten. In unserem Artikel haben wir für Sie die wichtigsten Informationen zusammengefasst.
Das Bundesministerium für Justiz und Verbraucherschutz (BMJV), dass sich für die Stärkung der Verbraucher gegenüber der Wirtschaft einsetzt, erkannte fehlende Maßnahmen in Bezug auf unerlaubte Telefonwerbung, aufgedrängte Verträge, bestimmte Vertragsklauseln und in Bezug auf Vertragslaufzeiten. Im Besonderen geht es um Verträge, die eine Ware oder Dienstleistung regelmäßig erbringen, sogenannte Dauerschuldverhältnisse. Also Leistungen die über einen längeren Zeitraum erbracht werden wie Strom-, Gas-, Handy-, Fitness- oder Streamingdienst Verträge.
Ziel war es, mehr Fairness beim Abschluss von Verträgen zwischen Verbrauchern und Unternehmen zu erreichen und einen kurzfristigen Wechsel zu einem günstigeren Anbieter zu ermöglichen.
Zum 1. Oktober 2021 trat die erste Phase des Gesetzes für faire Verbraucherverträge in Kraft. Seitdem dürfen Firmen in ihren Allgemeinen Geschäftsbedingungen (AGB) nicht mehr die Abtretung von Geldansprüchen ausschließen. Dies wird wichtig, wenn Verbraucher über Rechtsdienstleister Ansprüche z.B. bei Flugverspätungen geltend machen und Geld zurückfordern.
Energieverträge (Strom- Gaslieferverträge) können seit Oktober 2021 nicht mehr ausschließlich über das Telefon abgeschlossen werden, sondern müssen zusätzlich in Textform zum Beispiel E-Mail, SMS, Brief oder Fax vom Kunden bestätigt werden.
Bereits seit 1. März 2022 dürfen sich Verträge mit langen Laufzeiten (Dauerschuldverträge) etwa für Fitnessstudios, nach der Erstvertragslaufzeit nur dann noch automatisch verlängern, wenn sich daraus keine weitere feste Vertragslaufzeit ergibt. Die nachfolgende Kündigungsfrist darf höchstens einen Monat betragen.
Ist also die Erstvertragslaufzeit beendet, kann innerhalb eines Monats gekündigt werden.
Von dieser neuen Regelung sind aber nicht alle Verträge umfasst. Verträge über die Lieferung von zusammengehörig verkauften Sachen, Finanzdienstleistungs- und Versicherungsverträge sind davon ausgenommen. Zusätzlich muss beachtet werden, dass für Verträge die vor dem 1. März 2022 geschlossen wurden, die alten Regelungen gelten (automatische Vertragsverlängerungen bis zu einem Jahr).
Seit 1. Juli 2022 ist eine weitere Stufe des Gesetzes in Kraft getreten. Websites, auf denen Dauer-Verträge abgeschlossen werden können, müssen einen gut lesbaren Kündigungsbutton (z.B. Aufschrift „Verträge hier kündigen“) beinhalten. Dies soll es Verbrauchern vereinfachen, aus Dauer-Verträgen auszusteigen.
Findet sich auf der Website des Anbieters kein Kündigungsbutton oder ist er nicht korrekt gestaltet, haben Verbraucher ein sofortiges Kündigungsrecht.
Nach Klick des Kündigungsbuttons wird der Kunde auf eine weitere Seite geleitet. Dort muss er seine Kündigung mit einem Klick auf „Jetzt kündigen“ bestätigen. Danach gilt die Kündigung als dem Unternehmen zugestellt. Abschließend hat das Unternehmen dem Kunden die Kündigung zu bestätigen, in der Regel per E-Mail.
Die Regelungen gelten bereits für Verträge die vor diesem Datum entstanden sind.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen