Das NIST hat seine 14 Jahre alten (und leider falschen) Empfehlungen zur Passwort-Sicherheit überarbeitet. Der damalige Verfasser bekennt gegenüber der Washington Post: "Die Wahrheit ist: Ich war auf dem falschen Dampfer." Seine Empfehlungen finden sich noch heute in den verschiedensten Sicherheitsstandards. Täglich kosten Sie Zeit und Nerven der Endanwender. Passwörter müssen Sonderzeichen enthalten und alle 90 Tage gewechselt werden, hieß es bisher. Obwohl sich diese Annahme schon lange als fehlerhaft erwiesen hat (siehe auch unsere Blogbeiträge dazu), wurde und wird seitens der Verantwortlichen an diesen starren Passwort-Regelungen festgehalten. Sicherheit wurde hierdurch jedoch keine geschaffen. Daher hat das NIST seine Passwort-Empfehlungen endlich überarbeitet und an die wirkliche Bedrohungslage angepasst. Und welch Freude: Sogar das BSI lenkt in 2020 endlich ein plant eine Anpassung des Bausteins ORP.4 .Wie nutzerfreundliche und sichere Passwort-Richtlinien aussehen können, lesen Sie in unserem Blogbeitrag. Gerne dürfen Sie diesen teilen :-)
Neue Angriffe über Bewerbungen per Email: Ransomware GermanWiper löscht alle Daten statt sie zu verschlüsseln. Das BSI warnt in seinen CERT-Meldungen. Weitere Infos zur Funktionsweise sowie möglichen Schutzmaßnahmen im Blogbeitrag.
Forscher haben eine Angriffstechnik über Microsofts Power Query entdeckt (externer Link), die sogar ohne Zutun des Anwenders nach dem Öffnen eines präparierten Excel-Sheets Schadcode nachlädt und ausführt. Betroffen sind Excel 2016, Excel 2019 und alle älteren Versionen, in denen Power Query als Add-In nachträglich installiert wurde. Aktuell soll dieses Angriffszenario noch nicht ausgenutzt werden, Angriffe sind noch keine bekannt. Zeit genug, sich dagegen zu wappnen. Eine Möglichkeit besteht darin, Power Query komplett zu deaktivieren (Registry). Weitere Schutzmaßnahmen beschreibt Microsoft im Security Advisory 4053440. Weitere Details und Link zum Microsoft Security Advisory 4053440 finden Sie im Blogbeitrag.
Microsoft meldet eine aktuelle Bedrohung mit Schwerpunkt Europa über eine ältere Schwachstelle CVE-2017-1182 in Microsoft Office. Ein präpariertes RTF Dokument infiziert das System mit einem Backdoor-Trojaner.
Datenleck bei Krankenkassen. Patientendaten nach wie unsicher. Name, Geburtsdatum und Versichertennummer reichen, um vollständigen Zugriff auf die Daten des Versicherten zu erhalten. Die Bundesdatenschutzbeauftragte ist alarmiert.
Verwunderlich, wie wenig in den Nachrichten zu dem Thema in den letzten Tagen zu hören ist. Nach Teslacrypt treibt ein weiterer Krypto-Trojaner sein Unwesen. Und das sogar ziemlich erfolgreich. Vor einigen Tagen gab es noch 5.000 Infektionen pro Stunde in Deutschland. Heute sind es über den Tag immerhin noch 17.000 (auch wieder nur alleine in Deutschland).
Warnung: BKA Warnung vor Locky enthält Removal Tool und einen Trojaner
Krankenhaus in NRW von Krypto-Trojaner befallen. Alle Dateien sind verschlüsselt, die Systeme heruntergefahren. Operationen wurden verschoben.
Sind Ihre Mitarbeiter ausreichend für die Gefahren aus Spam und Phishing Emails sensibilisiert? Mit über 34% sind Email und Instant Messaging nach wie vor das größte Einfallstor.
Community Health Systems, amerikanischer Betreiber von 206 Krankenhäusern in 29 Bundesstaaten, wurde Opfer einer Hacker-Attacke. 4,5 Millionen US Patienten betroffen. Der Ursprung wird in China vermutet.
Die Medien berichten vom wohl größten Datenklau in der Geschichte des Internets.
Eine russische Hackergruppe hat sich Zugriff auf über 1,2 Milliarden Datensätze verschafft, mit Benutzernamen, Passwörtern und Email-Adressen
Erneut wurden 18 Millionen Emailadressen samt Passwörtern gehackt, darunter drei Millionen deutsche Nutzer. Das BSI hat einen Online Sicherheitscheck ins Web gestellt.
Schadsoftware bedroht Websurfer alleine durch den Besuch von Webseiten mit infizierten Werbebannern. Einfallstore sind dabei ungepatchte Versionen von Adobe Reader / Flash und des MS Internet Explorers. Das BSI rät zu zeitnahen Updates.
Eine DELL Studie belegt: ein großer Bereich an IT Abteilungen kann oder will mit BYOD nicht umgehen. Die daraus entstehenden Sicherheitslücken sind nicht zu unterschätzen. Fragen Sie Ihren Datenschutzbeauftragten.
Üblicherweise ist die Code-Sperre zum Reaktivieren des Smartphones ein probates Mittel, um unberechtige Zugriffe auf Daten und Mißbrauch zu verhindern. Der Redaktion von Golem.de ist es nun mit einiger Fingerfertigkeit gelungen, diese Sicherheitsschranke im Betriebssystem iOS 6.1 zu umgehen.
Da die Sicherheitslücken in der aktuellen Java Version 7.11 zu groß waren, hat Oracle nun reagiert. Ab sofort steht Version 13 zwei Wochen früher als geplant zum Download bereit. Wir empfehlen allen Nutzern, das Update zeitnah einzuspielen. 26 der 50 Korrekturen sind in der höchsten Gefahrenstufe 10 deklariert.
2009 hat das amerikanische Satire Magazin The Onion einen Videoclip produziert, aufgemacht wie einen offiziellen Nachrichtenbeitrag im US Fernsehen. Darin wird berichtet, das nun nicht mehr nur Unternehmen selbst Outsourcing betreiben, sondern auch Mitarbeiter selbst. Um Arbeitszeit zu sparen und mehr Zeitressourcen z.B. zum Kaffee trinken, Ebay-Auktionen verfolgen oder einfach nur relaxen, heuern amerikanische Mitarbeiter (im Video noch Fakes) preiswerte externe Hilfskräfte an. Diese erledigen dann die Aufgaben des Angestellten, der seine freie Zeit nun deutlich sinnvoller nutzen kann. Was 2009 als Satire begann, wurde mit einer Meldung am gestrigen Tage Realität
Sicherheitsleck in den Routern der Telekom. Mittels einer trivialen PIN erhält man per WPS WLAN Zugriff auf den Router. Betroffen sind die Modelle Speedport W 504V, W723V (Typ B) und W921V.
Trotz einiger Nachbesserungen und Versuche seitens Google mit dem Webtracking-Tool Analytics den deutschen Datenschutzanforderungen gerecht zu werden (siehe auch den Beitrag "Google Analytics: Datenschutzprobleme gelöst?"), hat jetzt erneut der Hamburger Datenschutzbeauftragte Johannes Casper die rote Karte gezückt. Webseitenbetreibern drohen nun wieder Bußgelder.
Meistgelesen
Checkliste TOM Auftragsverarbeitung nach Art. 28 + 32 DSGVO — technische und organisatorische Maßnahmen 
Informationspflichten bei Erhebung personenbezogener Daten im Zuge der Corona-Pandemie – ein kostenloses Muster 
Rechnung per Email versenden und der Datenschutz 
Tipp: Microsoft Analytics “MyAnalytics” in Office 365 deaktivieren 
Checkliste Prüfung Technische und Organisatorische Maßnahmen (TOM) aktualisiert
Partner / Kooperationen
Anwaltskanzlei Diercks, Hamburg
Spirit Legal Rechtsanwälte, Leipzig
RA Stephan Hansen-Oest, Flensburg
Anstalt für Kommunale Datenverarbeitung in Bayern (AKDB), München
Gesellschaft für kommunalen Datenschutz (GKDS), München
Datenschutz Schmidt (Datenschutz Assistent), Lauf a.d. Pegnitz
Hahn IT Services, Schwaig
Mitgliedschaften
