Seiten

Mittwoch, 25. September 2019

Drucker-Sicherheit: Wenn der Drucker zum Datenleck wird

Nicht nur wenn Sie einen vertraulichen Ausdruck am Drucker liegen lassen, ist der Datenschutz bedroht. Auch über das Internet erfolgen Attacken auf Drucker in Unternehmen und Privathaushalten. Drucker brauchen daher Aufmerksamkeit.


Drucker als Einfallstor


Drucker stehen schon so lange in Unternehmen und Home Offices, dass kaum jemand auf die Idee käme, sie als Teil des Internet of Things (IoT) zu sehen. Tatsächlich aber sind vernetzte Drucker nichts anderes als IoT-Geräte. Allein dieser Hinweis sollte aufschrecken lassen: Aktuell wird häufig über Schwachstellen in IoT-Systemen berichtet. Das Internet der Dinge zählt zu den besonders beliebten Angriffszielen. Also sollte man auch damit rechnen, dass Drucker mit Netzwerkanschluss angegriffen werden.

Drucker-Sicherheit: Wenn der Drucker zum Datenleck wird
Drucker-Sicherheit: Wenn der Drucker zum Datenleck wird

Tatsächlich geschieht genau das: Forscher von Microsoft haben kürzlich festgestellt, dass die russische Hackergruppe „Fancy Bear“ gezielt IoT-Systeme angreift, darunter zahlreiche Netzwerkdrucker. Doch das ist nur ein Beispiel von vielen.

Freitag, 14. Juni 2019

EU-DSGVO - Das sollten Unternehmen bei der Nutzung von Public-Cloud-Diensten aus den USA beachten

Die führenden Cloud-Anbieter AWS, Google und Microsoft stammen aus den USA. Es stellt sich daher die Frage, wie sich der Datenschutz in diesen Clouds gewährleisten lässt. Aufsichtsbehörden haben Hinweise dazu gegeben.


Das Trio der Public-Cloud-Anbieter


Geht es um den Einsatz von öffentlichen, gemeinsam genutzten Cloud-Diensten (Public Cloud), fällt die Wahl meist auf einen der drei großen US-Anbieter. Laut der aktuellen RightScale-Studie „State of the Cloud Report“ setzen 61 Prozent der weltweit befragten Firmen auf Amazon Web Services (AWS), 52 Prozent auf Microsoft Azure und 19 Prozent auf die Google Cloud. Offensichtlich nutzen Unternehmen sogar mehr als einen Cloud-Dienst aus den USA. Von den Cloud-Diensten versprechen sich Unternehmen eine flexible Nutzung von IT-Diensten, Kostenvorteile im Vergleich zur internen IT und weniger Aufwand für das eigene IT-Personal.

EU-DSGVO - Das sollten Unternehmen bei der Nutzung von Public-Cloud-Diensten aus den USA beachten
EU-DSGVO - Das sollten Unternehmen bei der Nutzung von Public-Cloud-Diensten aus den USA beachten

Doch Flexibilität, Kostenreduktion und ein geringerer Aufwand in der IT-Abteilung sind nicht alles, um was es gehen sollte. Denn bei Cloud-Diensten aus den USA können Unternehmen nicht einfach davon ausgehen, dass die Forderungen aus der EU-Datenschutzgrundverordnung (EU-DSGVO) der EU erfüllt sind.

Aufsichtsbehörden fordern ein angemessenes Datenschutzniveau


Bevor ein deutsches Unternehmen einen Cloud-Dienst aus den USA nutzt, muss es sicherstellen, dass der Anbieter die EU-DSGVO-Anforderungen erfüllt. Da nicht nur die IT-Abteilung, sondern vielfach auch die Fachbereiche und einzelne Nutzer zu Cloud-Services greifen, sollte jeder potenzielle Cloud-Nutzer daran denken, das Datenschutzniveau zu hinterfragen.

Beispiel: Vorgaben für Microsoft Azure


Eine Aufsichtsbehörde für den Datenschutz hat kürzlich Hinweise dazu veröffentlicht, worauf im Fall von Microsoft Azure zu achten ist. Das lässt sich auch als Beispiel für andere Cloud-Dienste aus den USA nutzen.

Als Voraussetzungen für einen datenschutzgerechten Einsatz nennt die Aufsicht:
  • eine wirksame Zusatzvereinbarung, die die Vorgaben für eine Auftragsverarbeitung (Artikel 28 EU-DSGVO) enthält,
  • eine Verschlüsselung der Daten unabhängig vom Cloud-Anbieter (HYOK, Hold Your Own Key, Hoheit über den Schlüssel beim Nutzer selbst) und
  • eine Möglichkeit, den Versand von Nutzungsdaten (Telemetriedaten) an den Cloud-Anbieter zu unterbinden.
Vor dem Einsatz eines Cloud-Dienstes aus den USA ist zudem eine Risikoanalyse (Datenschutz-Folgenabschätzung (kurz DS-FA) gemäß Artikel 35 EU-DSGVO) nötig. Ist es dem Unternehmen oder Nutzer nicht möglich, diese Voraussetzungen zu gewährleisten, empfiehlt es sich aus Sicht des Datenschutzes, auf entsprechende Cloud-Dienste aus den USA zu verzichten.

Wichtig ist es nun, auf weitere Hinweise der Aufsichtsbehörden zu achten und in Zu-kunft solche Cloud-Dienste zu verwenden, die ein Datenschutzzertifikat vorweisen können, das der EU-DSGVO entspricht. Hier wird es in naher Zukunft zahlreiche Cloud-Angebote geben.

Was können wir für Sie tun?


Unser yourIT-Datenschutz-Team unterstützt Sie gerne bei der Anforderung bzw. der Erarbeitung der erforderlichen Datenschutzvereinbarungen (Verarbeitung zur Auftragsverarbeitung (AVV), Verarbeitungs-Dokumentation, DS-FA).

Angebote DSGVO-konformer Private-Cloud-Anbieter sowie Unterstützung bei der technischen Auswahl des zu Ihrem Unternehmen und Ihren Anforderungen passenden Anbieters erhalten Sie von unserem yourIT-Technik-Team.

Ist Ihr Unternehmen fit für die EU-DSGVO? Jetzt Fördermittel nutzen!


Die Umsetzung der EU-DSGVO stellt viele Unternehmen vor große Herausforderungen. Nach einer Umfrage des Digitalverbands Bitkom haben drei von vier Unternehmen in Deutschland die Frist zum 25. Mai 2018 verfehlt. Auch jetzt noch sind bei Weitem nicht alle Unternehmen mit der Umsetzung fertig, wie der Digitalverband erklärt. Durch die vielfältigen formalen Vorgaben müssen bestehende Prozesse umgestellt und neue Prozesse eingeführt werden.

Als Berater in Sachen Datenschutz & Informationssicherheit und mit der Erfahrung als ISO-27001-zertifiziertes Systemhaus analysieren wir gemeinsam mit Ihnen den Reifegrad Ihres Datenschutzkonzeptes im Hinblick auf die EU-DSGVO.

Das erfolgreiche yourIT Beratungskonzept Datenschutz in 4 Phasen

Als Ergebnis erhalten Sie einen ausführlichen Beratungsbericht, in dem wir alle gefundenen Schwachstellen in Ihrem Unternehmen in Bezug auf Datenschutz & Informationssicherheit aufführen, diese bewerten, Belegen, weshalb es sich um eine Schwachstelle handelt, wo wir diese entdeckt haben. Wir nennen diesen Datenschutz-Beratungsbericht auch das "Datenschutz-Pflichtenheft", weil wir Ihnen zu jeder Schwachstelle zudem Handlungsempfehlungen geben, wie Sie diese beheben.

Und jetzt das Beste: Für mittelständische Unternehmen wurde unsere Beratungsleistung in Sachen Datenschutz & Informationssicherheit als förderungswürdig eingestuft. Wenn Ihr Unternehmen die Förderbedingungen einhält, haben Sie Anspruch auf 1.500 EUR Fördermittel.

Gerne prüfen wir mit Ihnen, ob auch Ihrem Unternehmen Fördermittel zustehen. Das dauert nur wenige Minuten.

Ich freue mich auf Ihre Anfragen.

Ihr Thomas Ströbele

Thomas Ströbele

Fragen / Anregungen

Haben Sie Fragen oder Anregungen zu diesem Beitrag? Hätten Sie gerne unser Meldeformular für Datenpannen? Dann senden Sie uns diese hier und jetzt:

Name

E-Mail (Pflichtangabe)

Nachricht (Pflichtangabe)


Mit dem Absenden der Nachricht bestätigen Sie, die Datenschutzerklärung der yourIT zur Kenntnis genommen zu haben.



Verantwortlich für diesen Beitrag: yourIT GmbH, Balingen, Zollernalbkreis


Das könnte Sie auch interessieren:


Datenschutz-Dienstag, 13. Juli 2021
In der Cloud ist alles besser? Eine Geschichte über E-Mail-Server nach dem HAFNIUM-Angriff

Datenschutz-Dienstag, 06. Juli 2021
Internationale Datentransfers - Das How-To

Datenschutz-Dienstag, 29. Juni 2021
Internationale Datentransfers - Dokumentieren statt abschaffen! Am Beispiel Mailchimp

Datenschutz-Dienstag, 22. Juni 2021
Microsoft 365 rechtskonform einsetzen - auf die Konfiguration kommt es an!

Datenschutz-Dienstag, 15. Juni 2021
Datentransfer in die USA – eine Dauerbaustelle? Oder ein akuter Flächenbrand?!

Freitag, 4. Juni 2021
Achtung Kontrolle - Landesdatenschutzbeauftragte verschicken Fragebögen zu internationalen Datentransfers

Donnerstag, 8. April 2021
Office 365: Was sagt der Datenschutz?

Montag, 3. August 2020
Was sagen die Aufsichtsbehörden zum Aus für das Privacy Shield? Ein erster Überblick...

Samstag, 18. Juli 2020
Unternehmer-Tipps nach dem Aus für das "Privacy Shield" zwischen der EU und den USA

Freitag, 14. Juni 2019
EU-DSGVO - Das sollten Unternehmen bei der Nutzung von Public-Cloud-Diensten aus den USA beachten

Donnerstag, 9. Februar 2017
Was ist der Privacy Shield?

Donnerstag, 28. März 2019

Navigieren per Smartphone - Praktisch oder riskant?

Das Smartphone hat die bisherigen Navigationsgeräte nahezu verdrängt. Egal ob man beruflich oder privat unterwegs ist – das Smartphone zeigt den Weg. Die Frage ist allerdings, wer alles diesen Weg nachverfolgen kann.


Smartphones als Multifunktionsgeräte


„Das Smartphone ist zu dem Gerät für alle Lebenslagen geworden. Andere Geräte, wie etwa Navigationsgeräte und digitale Kompaktkameras, sind dadurch für viele Nutzer überflüssig geworden“, so Dr. Bernhard Rohleder, Hauptgeschäftsführer des Digitalverbands Bitkom.

Navigieren per Smartphone - Praktisch oder riskant
Navigieren per Smartphone - Praktisch oder riskant?


Möglich geworden ist dies zum einen durch die leistungsstarke Hardware der Smartphones, die in aller Regel auch über GPS-Sensoren verfügen, die früher Navigationsgeräten vorbehalten waren.


Freitag, 15. März 2019

Einmal-Passwörter per SMS: Sind sie wirklich sicher?

Ein Passwort allein reicht als Schutz vor unberechtigtem Zugang zu IT-Systemen oftmals nicht aus. Deshalb nutzen viele Online-Dienste zusätzlich Einmal- oder auch One-Time-Passwörter (OTP), die sie per SMS an den Nutzer schicken und die als zweiter Sicherheitsfaktor dienen. Doch wie sicher ist das?


Zugangsdaten werden gestohlen oder geknackt


Stellen Sie sich vor, ein Freund teilt Ihnen mit, dass er eine Spam-Mail von Ihnen bekommen hat. Entweder jemand benutzt Ihren Namen für Spam, oder Ihr Web-Mail-Konto wurde missbraucht. Sie versuchen, sich bei Ihrem Web-Mail-Zugang anzumelden, doch Ihr Passwort wird nicht mehr akzeptiert. Der Grund: Ihr Mail-Provider hat den Spam-Versand von Ihrem Web-Mail-Konto festgestellt und Ihr Konto deshalb sicherheitshalber deaktiviert.

Wie konnte das geschehen?


Einmal-Passwörter per SMS: Sind sie wirklich sicher?

Montag, 11. März 2019

Datenschutz & Informationssicherheit bei Geschäftspartnern: Worauf kommt es an?

Fehler bei einem Zulieferer können schwerwiegende Auswirkungen auf die eigenen Produkte haben. Das gilt nicht nur für das Qualitätsmanagement, sondern auch in Bezug auf Datenschutz & Informationssicherheit. Nicht nur der Einkauf sollte daran denken, sondern jeder einzelne Mitarbeiter im Unternehmen.


Teile und Schwachstellen zukaufen


Stellen Sie sich vor, ein Bauteil, das von einem Zulieferer stammt, ist fehlerhaft, und es wird trotzdem in das neue Fahrzeug eingefügt. Die Folge ist, dass das Fahrzeug nun einen Fehler aufweist, der je nach Art des Bauteils dramatische Auswirkungen haben kann. Denken Sie nur einmal an ein Bauteil wie einen Bremsklotz. Der zugekaufte Fehler kann Menschenleben bedrohen.

Datenschutz & Informationssicherheit in der Lieferkette

Die Gefahr, über eingekaufte Leistungen und Produkte den eigenen Produkten und Services Schwachstellen und Fehler zuzuführen, besteht in jeder Branche. Deshalb fordern Richtlinien für ein Qualitätsmanagement immer, dass auch die Qualität bei den Zulieferern geprüft und überwacht werden muss. Das Gleiche muss für Datenschutz & Informationssicherheit gelten.

Mängel bei Datenschutz & Informationssicherheit in der Lieferkette


Stellt ein Dienstleister oder Lieferant Ihres Unternehmens Datenschutz & Informationssicherheit nicht angemessen sicher, wirkt sich dies auch auf den Datenschutz in Ihrem Unternehmen aus. Hat der Lieferant Zugang zu den Kundendaten Ihres Unternehmens und sorgt selbst nicht für Datenschutz & Informationssicherheit, kann es passieren, dass ein Datendieb über die Schwachstellen Ihres Lieferanten an die Daten in Ihrem Unternehmen kommt.

Oder ein Softwaremodul, das Ihr Unternehmen nutzt, hat eine kritische Schwachstelle. Wenn Sie das Modul nutzen oder in andere Programme Ihres Unternehmens einfügen, dann lässt sich diese Schwachstelle bei Ihnen selbst ausnutzen. Eigentlich ist dies kein Geheimnis, und trotzdem achten zu wenige Unternehmen darauf, Datenschutz & Informationssicherheit bei ihren Geschäftspartnern zu hinterfragen, um selbst Datenschutz & Informationssicherheit angemessen gewährleisten zu können.

Datenschutz-Aufsichtsbehörden sehen Klärungsbedarf


Datenschutz-Aufsichtsbehörden wie das Landesamt für Datenschutzaufsicht in Bayern (BayLDA) haben festgestellt, dass Meldungen von Datenschutzverletzungen fast immer das jeweilige Unternehmen selbst als verantwortlich bezeichnen, kaum jedoch einen Geschäftspartner oder Dienstleister.

Da nach der EU-Datenschutzgrundverordnung (EU-DSGVO) auch Verletzungen der Sicherheit bei Dienstleistern (sogar bei weiterer Unterauftragsvergabe) eine Meldeverpflichtung auslöst, stellte sich dem BayLDA die Frage, wieso es kaum Meldungen gibt, die von (internationalen) Dienstleistern ausgelöst werden. Offensichtlich fehlt das Bewusstsein dafür, dass Datenschutzmängel bei Geschäftspartnern den eigenen Datenschutz betreffen.

Ursachen für Verletzungen im Bereich Datenschutz & Informationssicherheit werden fast immer nur intern gesehen. Das entspricht aber absolut nicht den Tatsachen! Deshalb sollte nicht nur der Einkauf, sondern jeder, der mit Dienstleistern und anderen Geschäftspartnern zu tun hat, daran denken, dass Datenschutz & Informationssicherheit auch dort stimmen müssen, damit Datenschutz & Informationssicherheit im eigenen Unternehmen gewährleistet sind.

Kein Generalverdacht, sondern mehr Aufmerksamkeit


Es geht dabei nicht darum, jeden Geschäftspartner als Ursache von Mängeln im Bereich Datenschutz & Informationssicherheit zu betrachten und bei Problemen die Schuld immer bei anderen zu suchen. Vielmehr geht es darum, Datenschutz & Informationssicherheit genau wie bei der Qualität immer die ganze Lieferkette im Auge zu behalten. Beziehungen zu Dienstleistern und Geschäftspartnern verdienen viel Aufmerksamkeit – auch im Sinne von Datenschutz & Informationssicherheit.

Ein kurzes Quiz zum Thema gefällig?


Frage 1: Probleme im Bereich Datenschutz & Informationssicherheit sind anders als Qualitätsmängel. Fehler im Bereich Datenschutz & Informationssicherheit pflanzen sich nicht fort. Stimmt das?

  1. Nein, Schwachstellen bei Datenschutz & Informationssicherheit eines Partnerunternehmens können den eigenen Datenschutz und die eigene Informationssicherheit bedrohen.
  2. Ja, wer selbst im Bereich Datenschutz & Informationssicherheit gut aufgestellt ist, muss die Fehler der Lieferanten nicht fürchten.
Lösung: Die Antwort 1. ist richtig. Doch obwohl es selbstverständlich sein sollte, dass sich Probleme im Bereich Datenschutz & Informationssicherheit über die Lieferkette hinweg ausbreiten können, achten viele Unternehmen zu wenig auf das Datenschutzniveau der Geschäftspartner.

Frage 2: Jeder ist für seinen Datenschutz und seine Informationssicherheit selbst verantwortlich. Stimmt das?

  1. Ja, das stimmt, deshalb gibt es z.B. eine verantwortliche Stelle für den Datenschutz in jedem Unternehmen.
  2. Nein, zusätzlich ist man auch verantwortlich dafür, nur mit solchen Dienstleistern zusammenzuarbeiten, die ein angemessenes Niveau in den Bereichen Datenschutz und Informationssicherheit haben (Auftragsverarbeitung).
Lösung: Die Antworten 1. und 2. sind gemeinsam richtig, die Antwort 1 ist falsch, wenn man sie allein stehen lässt. Die EU-DSGVO kennt neben der Verantwortung auch die gemeinsame Verantwortung und die Beschränkung auf solche Dienstleister für eine Auftragsverarbeitung, die einen angemessenen Datenschutz nachweisen können. Unter einer gemeinsamen Verantwortlichkeit versteht man: Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung personenbezogener Daten fest, so sind sie gemeinsam Verantwortliche. Dies kann in einer Kooperation entlang der Lieferkette schnell der Fall sein.

Fragen / Anregungen


Haben Sie Fragen oder Anregungen zu diesem Beitrag? Dann senden Sie uns diese hier und jetzt:

Name

E-Mail (Pflichtangabe)

Nachricht (Pflichtangabe)


Mit dem Absenden der Nachricht bestätigen Sie, die Datenschutzerklärung der yourIT zur Kenntnis genommen zu haben.




Mittwoch, 13. Februar 2019

Wie Sie Datenschutzfallen bei Word- und PDF-Dokumenten richtig umgehen

Sie müssen ein Word-Dokument weiterleiten? Sie wollen dabei Ärger mit dem Datenschutz vermeiden? Sie wandeln das Word-Dokument deshalb in ein PDF-Dokument um? An sich eine gute Idee. Gerade deshalb sollten Sie wissen, was dabei an Details zu beachten ist. Leider kosten manche wichtigen Hilfsmittel etwas.


PDF: ein guter Ansatz!


Word-Dokumente gehören zum Alltag im Büro. Oft ist es nötig, sie weiterzuleiten, etwa als Anhang einer E-Mail. Nachteil dabei: Der Empfänger kann alle möglichen Veränderungen sichtbar machen, die das Dokument erfahren hat. Dabei kann er meist auch erkennen, von wem die Veränderung stammt. Der Name oder zumindest ein Kürzel stehen dabei.

Wie Sie Datenschutzfallen bei Word- und PDF-Dokumenten richtig umgehen
Wie Sie Datenschutzfallen bei Word- und PDF-Dokumenten richtig umgehen

Tückisch: Die Zusatzdaten bei Word


Solange das Dokument intern zwischen Kollegen ausgetauscht wird, die daran arbeiten – kein Problem! Denn dann soll ja gerade jeder wissen, wer was verändert hat. Anders sieht es aus, wenn das Dokument nach außen geht. Dann ist das nicht akzeptabel. Für solche Fälle gilt der Tipp: Wandeln Sie Word in PDF um!

Vorteile einer Umwandlung in PDF


Dieser Ratschlag ist ebenso häufig wie richtig. Die Umwandlung hat durchaus einige Vorteile. Ein PDF-Dokument kann nur noch mit relativ aufwendigen Mitteln verändert werden. Damit ist das, was Sie verschickt haben, gewissermaßen fixiert. Außerdem ist nicht mehr festzustellen, wer wann etwas am Word-Dokument verändert hat. Die Nachweise hierfür gehen bei der Umwandlung in ein PDF-Dokument verloren.

Einige typische Fallen


So weit, so gut. Dennoch bleiben einige Tücken, die man kennen sollte:

  • Folgende Daten übernimmt ein PDF-Dokument vom Word-Dokument: Name der Word-Datei, Angaben zum Bearbeiter (falls sein Name drin steht, also auch der!) und verwendete Software. Wenn es sinnvoll ist, sollte man daher den Dateinamen und die Angaben zum Bearbeiter ändern.
  • Manchmal sollen Teile eines PDF-Textes geschwärzt werden. Keine gute Idee ist es dagegen, den Text lediglich mit einem schwarzen Feld zu überlagern. Ein solches Feld kann der Empfänger problemlos wieder entfernen. Dafür bietet Adobe Acrobat das Werkzeug „Inhalt schwärzen und entfernen“. Es ist kostenpflichtig. Das Tool beseitigt den Text, der geschwärzt wird.
  • Wenn Teile eines PDF-Dokuments nachträglich „weggeschnitten“ werden, sind sie in Wirklichkeit nur ausgeblendet. Der Empfänger des Dokuments kann diese Teile problemlos wiederherstellen.


Selbst Pentagon-Mitarbeiter schwärzen manchmal nicht richtig!


Selbst Mitarbeiter des Pentagon haben im Mai 2005 gezeigt, wie man es nicht machen sollte. In einem veröffentlichten PDF-Dokument fanden sich geschwärzte Stellen. Durch einfaches Kopieren und Einfügen über die Zwischenablage ließen sich die geschwärzten Daten wieder sichtbar machen. Im ursprünglichen Word-Dokument hatte das Pentagon die Passagen nur mit einem schwarzen Hintergrund versehen. Beim PDF-Export bleibt der darunterliegende Text jedoch i.d.R. erhalten.

Eine besonders wichtige – aber kostenpflichtige – Funktion


Am zuverlässigsten ist es, das PDF-Dokument mit der (kostenpflichtigen) Funktion „vertrauliche Dokumente veröffentlichen“ zu bearbeiten, bevor man es weitergibt. Diese Funktion erzeugt das Dokument komplett neu. Alle unerwünschten Inhalte sind danach beseitigt.

Freitag, 25. Januar 2019

2019 - Neues Jahr - Neue Datenrisiken

Auch für 2019 haben IT-Sicherheitsexperten wieder ihre Prognosen veröffentlicht über neue Risiken, die sowohl personenbezogene Daten als auch Betriebs- und Geschäftsgeheimnisse bedrohen. Es wäre aber falsch, sich nun ausschließlich auf diese Risiken zu konzentrieren.


Die Zeichen stehen auf Sturm - Gefährdungslage auf neuem Niveau


Gleich, ob Sie sich die Vorhersagen der Sicherheitsbehörden oder der Sicherheitsanbieter für 2019 ansehen: Kaum ein Security-Experte ist der Meinung, dass die Risiken für personenbezogene und andere zu schützende Daten geringer werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) spricht von einer "Gefährdungslage auf neuen Niveau". Cyber-Angriffe werden 2019 noch intelligenter und ausgereifter, erklären auch die Forscher von Fortinet. Zieht man Parallelen zu den Wetterprognosen, lässt sich sagen, die Sicherheitsspezialisten erwarten eine Zunahme von schweren Unwettern.

Die Zeichen stehen auf Sturm - Gefährdungslage auf neuem Niveau
Datenrisiken 2019 - Die Zeichen stehen auf Sturm

Nicht an die steigenden Risiken gewöhnen


Die Berichte der Security-Experten rund um den Jahreswechsel bekommen in den Medien immer viel Aufmerksamkeit. Doch besteht die Gefahr, dass wir Menschen uns daran gewöhnen, dass die Gefahren aus dem Internet und für unsere Daten immer größer werden. Tatsächlich nehmen die Risiken für personenbezogene Daten stetig zu. Die Prognosen der McAfee Labs für 2019 besagen zum Beispiel: Neue mobile Malware wird Smartphones, Tablets und Router austesten, um Zugang zu den digitalen Assistenten, die sie kontrollieren, und zu heimischen IoT-Geräten (IoT = Internet of Things) zu erhalten. Smart Homes werden verstärkt zum Angriffsziel. Was bedeutet das nun konkret für den Datenschutz im neuen Jahr?

Die Risiken folgen der Digitalisierung


Nutzen Unternehmen und Privatpersonen vermehrt Dienste aus der Cloud, werden Smartphones und Tablets für immer mehr Menschen zum stetigen Begleiter und die Wohnungen immer vernetzter, dann zieht das Angriffswellen auf sich. Überall, wo neue Bereiche digitalisiert werden, ist mit Angriffen von Hackern zu rechnen.

Doch auch abseits der digitalen Technik lauern Gefahren


Man darf aber nicht vergessen, dass Staat, Wirtschaft und Gesellschaft bei Weitem noch nicht angekommen sind an dem Ziel der digitalen Transformation. Viele Verfahren und Prozesse sind seit Jahren unverändert im Einsatz. Dadurch sind sie aber nicht aus dem Fokus der Angreifer. Die Sicherheitsexperten stellen vermehrt fest, dass Internetkriminelle mit den klassischen Kriminellen zusammenarbeiten. Jede der kriminellen Seiten lernt und profitiert von der anderen. Deshalb muss weiterhin damit gerechnet werden, dass klassische Einbrüche stattfinden, um an vertrauliche Informationen zu kommen, und nicht nur Hacker-Attacken.

Nur weil die Sicherheitsprognosen die neuen Technologien und ihre Risiken betonen, nehmen die Gefahren in den klassischen Bereichen nicht ab. Im Jahr 2019 muss mit allen bisherigen Bedrohungen gerechnet werden, die wir schon seit vielen Jahren kennen – die neuen Bedrohungen kommen hinzu. Sehen Sie deshalb jede Sicherheitsprognose wie eine Fortsetzungsgeschichte: Es werden neue Kapitel geschrieben, ohne dass man die alten einfach zuschlagen dürfte.


Sicherheitsrisiken und Schwachstellen identifizieren, bevor es zum Schaden kommt


Die für eine Situations-Verbesserung erforderlichen "Coolen Tools" sind bei mittelständischen Unternehmen meist nicht im Einsatz und noch nicht einmal bekannt. Intelligente Sicherheitsinformations- und Ereignis-Management (SIEM) Lösungen könnten hier Abhilfe schaffen.

yourIT Beratungspaket Sicherheitsaudit IT-Infrastruktur
yourIT Beratungspaket Sicherheitsaudit IT-Infrastruktur


Moderne IT-Systemhäuser wie yourIT können hier aushelfen, indem diese erstmal ein IT-Sicherheitsaudit durchführen. Ein entsprechendes Beratungspaket "Sicherheitsaudit IT-Infrastruktur" für den Mittelstand steht bereit. Hierbei werden sogar die mittelständischen Unternehmen zustehenden Fördermittel ausgenutzt. So kann sich das jedes Unternehmen leisten.

Wenn Unternehmen feststellen, dass interne Sicherheitslücken bestehen, sollten diese unverzüglich geschlossen werden. Gegebenenfalls muss überprüft werden, ob und was bereits passiert ist. Hier sind Forensiker und Vergleichsdaten gefragt. Ein Spezialist muss die Daten der vergangenen Tage und Wochen mit dem aktuellen Stand abgleichen und analysieren

  • wo der Angreifer überall war;
  • welchen Schaden er angerichtet hat;
  • ob es ein Außen- oder ein Innentäter war.
Evtl. hat ein Mitarbeiter versehentlich eine Schadsoftware verwendet und wurde so zum Innentäter. Durch die Nutzung des Beratungspakets "Sicherheitsaudit IT-Infrastruktur" lässt sich in diesem Fall der Client identifizieren, über den der Schaden zustande kam. Jetzt muss die Sicherheit wieder hergestellt werden. Manuell ist das eine mühsame Arbeit. Mit den "Coolen Tools" der yourIT lassen sich Sicherheitsrisiken und Anomalien schon im Vorfeld aufspüren.

Werden Sie jetzt aktiv: Das Investment in Datenschutz- & Informationssicherheits-Projekte zahlt sich für mittelständische Unternehmen schnell aus - meist schon beim ersten verhinderten Schaden. Testen Sie jetzt unser Beratungspaket "Sicherheitsaudit IT-Infrastruktur". Sie werden begeistert sein!

Mittwoch, 7. November 2018

Warnung vor EU-DSGVO-Phishing - gefälschte DENIC-E-Mails im Umlauf

Seit Montag 05.11.2018 Uhr sind gefährliche Phishing-E-Mails im Umlauf, die im Namen von DENIC zur umgehenden Verifizierung von Domains gemäß Art. 82 EU-DSGVO auffordern. Diese E-Mails stammen nicht von DENIC. Der in der E-Mail angegebene Link führt auf eine gefälschte DENIC-Webseite. Die Datenschutz- & Informationssicherheits-Experten von yourIT weisen hiermit ausdrücklich darauf hin, dass gemäß EU-DSGVO keine Verifizierung von ".de-Domains" erforderlich ist.


Nach der Welle von EU-DSGVO-Fake-Faxen Anfang Oktober (Wir berichteten darüber auf unserem Datenschutz-Blog...) sind nun einige unserer Kunden von einer Phishing-Mail mit EU-DSGVO Thematik belästigt worden. Der Betreff der E-Mail lautet: „Umgehende Verifizierung erfoderlich | DENIC eG“.

yourIT warnt vor gefährlichen EU-DSGVO-Phishing-E-Mails

Die eigentliche E-Mail versucht den Empfänger zu verleiten, einen Link in der E-Mail anzuklicken mit der Begründung, Art. 82 Abs. 1 der EU-DSGVO verlange eine Verifizierung von in der EU registrierten Internet-Domains bei der DENIC. Dem ist nicht so und Sie und Ihre Kollegen sollten die Mail ignorieren. Der Link führt zu einer gefälschten DENIC-Webseite, welche vermutlich mit Schadcode infiziert ist. Wir haben das natürlich nicht ausprobiert - und Ihre Kollegen hoffentlich auch nicht...

DENIC - Wer oder was ist das?


Die DENIC eG (kurz für Deutsches Network Information Center) ist laut Wikipedia eine eingetragene Genossenschaft mit Sitz in Frankfurt am Main. Ihre Aufgaben sind der Betrieb und die Verwaltung der Top-Level-Domain .de sowie alle damit einhergehenden Aktivitäten.

Welche E-Mail-Adressen sind von der Phishing-Aktion besonders betroffen?


Betroffen von dieser Phishing Mail scheinen insbesonders öffentlich exponierte E-Mail Adressen zu sein - also z.B. info@..., service@..., vertrieb@... oder auch bewerbung@... Informieren Sie also bitte unverzüglich alle Kollegen, die solche Accounts im Auge haben.

Art. 82 EU-DSGVO - Nie gehört!?


Falls Sie sich interessieren, was Art. 82 EU-DSGVO wirklich enthält: Hier werden Haftungsfragen und Schadenersatzforderungen geregelt. Artikel 82 sind sozusagen die Zähne der EU-DSGVO (genauer: Art 82 stellt eine eigene deliktische Haftungsnorm dar). Die berühmt-berüchtigten „10 Millionen oder (…) bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes“ tauchen übrigens erst in Art 83. auf.

So schützen Sie sich und Ihr Unternehmen vor Phishing-Mails


Weisen Sie Ihre Mitarbeiter auf die Gefahr von Phishing-E-Mails hin. Generell sollen diese nicht auf in E-Mails enthaltene Buttons oder Links klicken. Im Zweifelsfall sollen diese vor dem Klick bei der zuständigen IT-Administration nachfragen. Falls der Link bereits geklickt wurde, sollten der betroffene Rechner bzw. das Netzwerk unverzüglich gründlich nach Schadcode durchsucht werden. Hierbei können unsere Datenschutz- & Informationssicherheits-Experten von yourIT Sie gerne unterstützen.

Was steht denn nun konkret in der Phishing-E-Mail?


Damit die Neugierde nicht zu groß wird, hier die Spam/Phishing Mail in Gänze (aber natürlich ohne dem gefährlichen Link): 

"Betreff: Umgehende Verifizierung erfoderlich | DENIC eG

Sehr geehrte Damen und Herren,

Gemäß Art. 82 Abs. 1 der neuen Datenschutzverordnung müssen alle in der EU registrierten Domains reverifiziert werden.

Die Verifizierung kann ganz einfach von Ihnen Online vorgenommen werden. Bitte folgen Sie dem untenstehenden Link und geben Sie Ihren Domainnamen ein um die Verifizierung durchzuführen.

[LINK]

Bitte beachten Sie, dass die Verifizierung innerhalb der nächsten 14 Tage durchgeführt werden muss.

Die DENIC ist eine eingetragene Genossenschaft mit Sitz in Frankfurt am Main (daher sagt man auch "die DENIC" und nicht etwa "das DENIC"). Bevor die Internet-Registrierungsstelle für .de im Jahr 1996 gegründet wurde, hat zuerst die Universität Dortmund, später die Universität Karlsruhe die .de-Endung verwaltet. Anders als viele andere Vergabestellen von Top-Level-Domains (.com, .org und viele mehr) ist die DENIC ein Non-Profit-Unternehmen, das als gemeinnützige Organisation anerkannt ist.

united-domains AG 
Gautinger Straße 10 
82319 Starnberg 
Deutschland"

Das yourIT-Team wünscht erfolgreiches Ignorieren und Nicht-Klicken!

Sonntag, 16. September 2018

Hyper converged Infrastruktur - HCI

Hyper converged - ist dieServer/Storage -Technologie für die nächsten Jahre. Was ist jedoch so besonders an dieser Technologie , was das Herz so viel höher schlagen lässt? Darauf möchte ich heute eingehen.

Der Unterschied zwischen der vorherrschenden traditionellen Virtualisierung und hyper converged liegt in der Zusammenführung der Hardware und Software in einer Appliance. 
Während traditionelle Virtualisierungen aus mehreren Schichten bestehen ( Server, SAN-Struktur, Storage, Servervirtualisierung und ggf. einer weiteren Software ) sind bei hyper converged Servern diese Schichten in einer aufeinander abgestimmten Appliance zusammengefügt. Das Management findet über ein zentrales Tool statt und bietet in Punkto Flexibilität und Erweiterungsmöglichkeiten praktisch kaum Grenzen. 



Abb.1 Herkömmliche Virtualisierung vs. Hyper Converged System

Drei offensichtliche Vorteile können Sie bereits aus der Abb.1 erkennen.

1.Durch die Zusammenführung von Virtualisierung, Server und Storage entfällt die Administration einer teilweise aufwändigen SAN-Struktur
2.Durch den Wegfall von Switchen und externen Storages ergibt sich ein enormes Energieeinsparungspotential. Die durch uns eingesetzte Hardware benötigt gerade mal 170 Watt je Knoten bei einer Last von 80 % 
3.Mit der Reduzierung der Geräteanzahl ist die Fehleranfälligkeit deutlich kleiner gegenüber herkömmlicher Virtualisierung.
Technologisch gesehen steckt jedoch einiges mehr dahinter. Wenn wir etwas tiefer in den Bereich der Performance gehen, ergibt sich immer wieder das gleiche Problem. Latenzen sind der natürliche Feind einer schnellen Hardware.

In einer klassischen virtualisierten Umgebung beträgt die Zeit zwischen dem Ankommen eines Datenpaketes am Server und dem Abschluss des Schreibvorganges auf der Storage etwas über 10 ms. Diesen Zeitraum bezeichnet man als Latenz. Um es vorweg zu nehmen: Bei einer HCI (Hyper converged Infrastruktur) verkürzenwir diese Latenzauf0,1 ms. 

Was bedeutet das?

 

Latenzen bei herkömmlicher Server - Storagearchitektur
Als ich diesen Beitrag geschrieben habe, kam bei mir die Frage auf, wie viel sind denn nun 100 ns und wie mache ich diesen Wert für einen Leser greifbar? 
Rechnen wir mal die 100 ns auf 1 Sekunde (Linke Seite vom Bild) hoch, wird es deutlicher, worüber wir reden. Dann wäre ein Schreibvorgang nach 27 Stunden abeschlossen.


Latenzen hyper Converges Infrastructure
Stellen wir in der HCI-Umgebung die selbe Berechnung an, reduziert sich der Wert auf 16,2 Minuten. Ich glaube, dass verdeutlicht den Unterschied am deutlichsten. Mit dem IO-Meter konnten wir teilweise bis zu 100.000 IOPS (Input/Output Operations Per Second) messen (pro Knoten).

Skalierbarkeit & Kosten

Immer wieder stehen wir vor der Problematik unsere Storage für die nächsten 5 Jahre hochzurechnen (5 Jahre ist der normale Lebenszyklus, nachdem heute Server geplant werden). Wir planen den Platz den wir bisher brauchen plus das Datenwachstum der letzten 5 Jahre auf die nächsten 5 Jahre, plus Projekte die geplant sind, plus Bauchfaktor, plus 20 %. 
Wenn wir die Kalkulation realistisch betrachten ist die Wahrscheinlichkeit, dass wir entweder den RAM, die CPU oder den Festplattenplatz nicht richtig berechnen sehr hoch. Gerade während der Digitalisierungsphase in der wir uns alle bewegen sind die Anforderungen für einen so langen Zeitraum kaum zu definieren. Oft passiert es, dass Storages und Server viel zu groß gekauft werden, weil sich die Datenmengen schlecht vorhersagen lassen.
Flexibilität ist gefordert!Die Erweiterbarkeit einer HCI ist nahezu unbegrenzt. Pro Cluster können bis zu 256 Appliances zusammengeführt werden und haben somit den Vorteil, dass wir uns danndie Ressourcen anschaffen, wenn sie gebrauchtwerden. Ein Kauf von eventuell benötigter Hardware (und nicht 100 % kalkulierbarer Hardware)entfällt somit und macht die IT sehr flexibel. 

Für ein optimiertes Sizing Ihrer neuen Virtualisierungs-Umgebung stehen wir Ihnen als yourIT gerne partnerschaftlich zur Verfügung. Vermeiden Sie Fehlinvestitionen und rufen Sie unseren Spezialisten Alexander Kamer unter der Nummer 0747193010114 an oder kontaktieren Sie ihn per Mail unter alexander.kramer@yourit.de!

Donnerstag, 12. Juli 2018

EU-Parlament stuft Kaspersky Lab als "böswillig" ein

In einer Empfehlung für die EU-Organe vom 25.05.2018 nennt das EU-Parlament explizit das Antiviren-Programm Kaspersky Lab als Beispiel für “böswillig” eingestufte Software. Ein Verbot der Verwendung von Kaspersky Lab in der Verwaltung ist geplant.


Der “Entwurf einer Entschließung des Europäischen Parlaments zur Cyberabwehr“ wurde am 13.06.2018 vom EU-Parlament mit großer Mehrheit verabschiedet.

EU-Parlament stuft Kaspersky Lab als "böswillig" ein
EU-Parlament stuft Kaspersky Lab als "böswillig" ein

Kaspersky Lab nicht nur in der EU unter Druck


Für Kaspersky Labs ist eine solche Situation im Übrigen nichts Neues:

  • Erst im Dezember 2017 hatte Donald Trump bzw. das US-Heimatschutzministerium den Hersteller auf eine schwarze Liste gesetzt und damit den US-Behörden die Nutzung der Produkte verboten. Der Versuch von Kaspersky,  gegen ein gesetzliches Verbot seiner Produkte auf dem Rechtsweg vorzugehen, blieb aber bisher erfolglos.
  • Ebenfalls im Dezember 2017 hat die britische Behörden die Nutzung der Programme der russischen IT-Firma "Kaspersky Lab" in den Ressorts untersagt, die für die nationale Sicherheit zuständig sind.
  • Im Mai 2018 hat die niederländische Regierung beschlossen, auf den Einsatz von Kaspersky-Software zu verzichten. Grundlage dafür sind bisher unbelegte Befürchtungen, Kaspersky Lab würde mit dem russischen Geheimdienst zusammenarbeiten.

Tipp von yourIT: Auch Unternehmen sollten den Einsatz von Kaspersky Lab überdenken


Laut Computerbild zählt Kaspersky Lab seit über 20 Jahren zu den beliebtesten Antivirus-Programmen der Welt und ist einer der bekanntesten Software-Exporte Russlands. Neben Privatleuten setzen noch viele Unternehmen aus Deutschland auf Kaspersky Lab.

Wir von yourIT empfehlen unseren Unternehmens-Kunden hingegen seit Langem, im Hinblick auf Informationssicherheit und Datenschutz wo möglich auf Deutsche und Europäische Softwareanbieter zu vertrauen.

Unsere Empfehlung: Unternehmen sollten den Einsatz von Kaspersky Labs jetzt überdenken und schnellstmöglich zur Antiviren-Software von ESET wechseln.

ESET ist ein europäischer Hersteller für Sicherheitssoftware mit Hauptsitz in Bratislava (Slowakei). Es befindet sich in Privatbesitz und hat Niederlassungen in mehreren Ländern. Die exklusive Distribution von ESET-Produkten in Deutschland wird von der ESET Deutschland GmbH in Jena wahrgenommen.

Fragen / Anregungen


Gerne liefern wir Ihnen weitere Informationen und begleiten Sie bei Ihrem Umstellungsprozess. Fordern Sie uns!


Name

E-Mail (Pflichtangabe)

Nachricht (Pflichtangabe)


Mit dem Absenden der Nachricht bestätigen Sie, die Datenschutzerklärung der yourIT zur Kenntnis genommen zu haben.