WEBINAR
In 12 Schritten zu mehr Informationssicherheit mit CISIS12
Am Mittwoch, den 14. Juli 2021 um 10 Uhr, findet das zweite Webinar unserer Webinarreihe zu Informationssicherheits-Management-Systemen (ISMS) statt. CISIS12 ist ein kompaktes ISMS, mit dem Sie in 12 Schritten Ihre Informationssicherheit unabhängig zertifizieren. In unserem Webinar erfahren Sie: warum sich CISIS12 besonders für kleine und mittelständische Unternehmen sowie Kommunen eignet, welche Anforderungen sich hinter dem Standard CISIS12 verbergen, Best Practices zur Einführung von CISIS12 und die Vorgehensweise zur Einführung von CISIS12.
Sie haben am Mittwoch, den 14. Juni von 10:00 – 11:00 Uhr keine Zeit? Melden Sie sich einfach an und Sie erhalten im Nachhinein die Aufzeichnung des Webinars per E-Mail.
INFORMATIONSSICHERHEIT
Informationssicherheit mit System – Mehr Sicherheit und Erfolg mit ISMS
Am Mittwoch, den 23. Juni 2021 um 10 Uhr, findet das erste Webinar zum Thema Informationssicherheits-Management-System (ISMS) statt. In unserem Webinar … erhalten Sie eine Grundlage, um eine fundierte Entscheidung über Einführung eines ISMS treffen zu können. erfahren Sie welche Herausforderungen in der Umsetzung zu erwarten sind, und warum die Anlehnung an einen Informationssicherheitsstandard einen erkennbaren Mehrwert für Ihre Organisation bedeutet. Falls Sie am Webinar-Termin keine Zeit haben, melden Sie sich einfach trotzdem an. Sie erhalten im Nachhinein die Aufzeichnung des Webinars per E-Mail.
INFORMATIONSSICHERHEIT
FragAttacks – WLAN-Schwachstellen
Sicherheitsforscher haben herausgefunden, dass zahlreiche WLAN-Schwachstellen vorliegen. Diese wurden am 11. Mai unter der Bezeichnung „FragAttacks“ (fragmentation and aggregation attacks) veröffentlicht. Laut dem Entdecker der Lücke ist so gut wie jedes WLAN-Gerät von zumindest einer der Lücken betroffen. Die Lücken betreffen wohl alle WLAN-Standards und können unabhängig von einer eingesetzten Verschlüsselung ausgenutzt werden. Ein entsprechender Angreifer muss sich aber in Funkreichweite des Netzes befinden. Dadurch dürften sich die Auswirkungen in der Realität in Grenzen halten. Der HardwareHersteller AVM (Hersteller der Fritz!Box) spricht in einer Stellungnahme sogar davon, dass praktische Auswirkungen „nach aktuellem Kenntnisstand unwahrscheinlich“ sein dürften. Dennoch stehen für sehr viele AVM-Geräte bereits Updates zur Verfügung. Auch für zahlreiche Geräte von anderen Herstellern stehen bereits Patches zur Verfügung. Wie bei anderen Sicherheitslücken ist es empfehlenswert die Herstellerseiten auf aktuelle Updates zu prüfen und diese umgehend einzuspielen.
DATENSCHUTZ
Aufsichtsbehörde untersagt Nutzung von Fax
Die Bremer Landesbeauftragte für Datenschutz hat in einer aktualisierten Orientierungshilfe erklärt, dass der Einsatz von Fax-Geräten zur Übermittlung von personenbezogenen Daten derzeit nicht datenschutzkonform möglich ist. Der Hintergrund zu dieser Aussage lässt sich technisch erklären. Ursprünglich lief die Kommunikation zwischen Fax-Geräten über die klassischen Telefonleitungen. Hierbei werden Leitungen durch Zusammenschalten verbunden und es entsteht eine sichere Ende-zu-Ende-Verbindung. Diese analogen Verbindungen werden immer mehr durch digitale ersetzt. Hierbei erfolgt die Übermittlung der Daten nicht auf direktem Weg, sondern über das Internet. Dieser Vorgang ist vergleichbar mit dem Versand einer unverschlüsselten E-Mail. Somit kann festgehalten werden, dass die Ansicht aus Bremen durchaus berechtigt ist. Insbesondere beim Versand von sensiblen personenbezogenen Daten, wie zum Beispiel Gesundheitsdaten, dürfte die Verwendung eines Fax-Geräts einen Verstoß gegen die DSGVO darstellen. Sichere Alternativen sollten eine Ende-zu-Ende-Verschlüsselung ermöglichen. Als analoge Option bietet sich ein Versand per Post an. Dieser Weg gilt datenschutzrechtlich als sicher, da er durch Gesetze besonders geschützt ist.
INFORMATIONSSICHERHEIT
Hacker-Angriff auf Pipeline in den USA
Anfang Mai gab der Betreiber einer der größten Benzin-Pipelines in den USA bekannt, dass der Betrieb aufgrund eines Angriffs mit Ransomware vorübergehend eingestellt werden musste. Als Angreifer offenbarte sich die Gruppe Darkside. Die Pipeline verbindet Raffinerien am Golf von Mexiko mit dem Süden und Osten der USA und transportiert in etwa 45% des gesamten an der Ostküste verbrauchten Kraftstoffes. Der Angriff hat dazu geführt, dass vielen Tankstellen in der Region der Kraftstoff ausging. Der Betreiber hat den Angreifern annähernd fünf Millionen Dollar Lösegeld gezahlt. Laut Medienberichten erfolgte die Zahlung allerdings nicht um den Schlüssel zu erhalten, sondern um die Veröffentlichung von mehr als 100 GByte an Unternehmensdaten zu verhindern. Die Wiederherstellung der Systeme erfolgte demnach mit eigenen BackUps. Der erfolgreiche Angriff zeigt einmal mehr wie wichtig ausreichende Schutzmaßnahmen sind und zeigt zeitgleich die mögliche Verwundbarkeit kritischer Infrastrukturen.
INFORMATIONSSICHERHEIT
Ransomware: Auch Versicherungskonzern Axa betroffen
Der Versicherungskonzern Axa hat bestätigt, dass der Geschäftsbetrieb in Thailand, Malaysia, Honkong und auf den Philippinen durch einen gezielten Ransomware-Angriff beeinträchtigt worden ist. Die Gruppe Avaddon hat dabei drei TByte an Daten erbeutet. Diese umfassen neben persönlichen Daten von Kunden auch Krankenakten und Versicherungsansprüche sowie Daten von Krankenhäusern und Ärzten. Sowohl der Angriff auf die Pipeline in den USA als auch der Angriff auf Axa zeigen, dass der Abzug von Daten als derzeit größtes Risiko betrachtet werden kann.
DATENSCHUTZ
Aufsichtsbehörde: Verarbeitung von WhatsAppDaten durch Facebook verboten
Facebook hat erneut Probleme in Bezug auf die Änderung der Nutzungsbedingungen, die eigentlich zum 15. Mai in Kraft treten sollten. Der Hamburgische Beauftragte für den Datenschutz und die Informationsfreiheit (HmbBfDI) hat der Facebook Ireland Ltd. untersagt personenbezogene Daten von WhatsApp zu verarbeiten, wenn dies zu eigenen Zwecken erfolgt. Diese Rechte wollte sich Facebook durch die geänderten Nutzungsbedingungen einräumen lassen. Nach Ansicht des HmbBfDI fehlt für eine solche Verarbeitung die rechtliche Grundlage. Auch eine Verarbeitung auf Basis einer Interessenabwägung scheidet in diesem Fall wohl aus. Die Entscheidung des HmbBfDI fiel im Rahmen des sogenannten Dringlichkeitsverfahrens. Dieses hat nur eine beschränkte Wirksamkeit von drei Monaten und wird aber sofort vollzogen. Aufgrund der beschränkten Wirkungsdauer soll sich der Europäische Datenschutzausschuss mit diesem Thema befassen, um eine Entscheidung auf europäischer Ebene herbei zu führen. Facebook hat diesbezüglich seine Frist vom 15. Mai aufgeweicht und spricht nunmehr von „wenigen Wochen“ bis zur Einführung der neuen Nutzungsbedingungen. Facebook selbst sieht in der Entscheidung des HmbBfDI ein „grundlegendes Missverständnis des Zwecks und der Wirkung des WhatsApp-Updates“ und betont, dass die Entscheidung „keine legitime Grundlage“ habe.
DATENSCHUTZ
Ratgeber zu Cookies
Jeder, der sich im Internet bewegt wird über kurz oder lang gefragt werden, ob er der Nutzung von sogenannten Cookies zustimmt. Die Cookie-Banner sind eine „Ausgeburt“ von rechtlicher Unsicherheit, die sich in den zurückliegenden Monaten verschärft hat. Rechtsanwalt Dr. Schwenke hat auf seiner Webseite einen Ratgeber zur datenschutzkonformen Verwendung von Cookies veröffentlicht. Entscheidend in diesem Fall ist, dass nicht nur die DSGVO zur Anwendung kommt. Die Prüfung erfolgt nach Vorgaben zur ePrivacy – also einfach gesprochen dem Schutz von Endgeräten vor Fremdzugriff – die noch strenger sind. Die Ausführlichkeit des Artikels macht deutlich, dass es sich bei Cookies um ein sehr komplexes und in Teilen auch kontroverses Thema handelt. Der Artikel kann dabei helfen Cookies rechtskonform auf der eigenen Webseite einzubinden.
INFORMATIONSSICHERHEIT
Dell: Lücke in Windows-Treibern
Auf zahllosen Dell-Systemen befindet sich offenbar eine Sicherheitslücke die bis ins Jahr 2009 zurückreicht. Die Schwachstelle befindet sich auf Systemen mit Windows 7, 8.1 und 10. Durch einen erfolgreichen Angriff könnte man sich Kernel-Rechte aneignen und anschließend die Kontrolle des Systems übernehmen. Bei der Lücke handelt es sich um den Treiber dbutil_2_3.sys als Teil einer Software, die dabei helfen soll, Dell-Systeme auf dem aktuellen Stand zu halten. Die Lücke wird als kritisch eingestuft. Auch Dell hat eine Meldung zur Lücke sowie entsprechende FAQs veröffentlicht. Zudem hat Dell mittlerweile Updates zur Verfügung gestellt, die die Schwachstelle schließen. Für einen bestmöglichen Schutz empfiehlt Dell zudem den entsprechenden Treiber zu entfernen.