Zukunft Anmeldung ohne Passwort: W3C macht WebAuthn zum Standard

Es ist soweit, WebAuthn ist nun ein W3C Standard und soll es zukünftig ermöglichen, dass man sich nicht mehr mit einem Benutzernamen und einem Passwort, sondern einem Authentikator anmeldet – sei es ein Dongle wie ein USB-Stick oder auch ein öffentlicher Schlüssel wie ein Zertifikat. Damit kann auf der einen Seite mehr Sicherheit existieren, weil nun das schlichte kopieren von Passwörtern nicht mehr Angriffspunkt ist – andererseits sind damit zentrale Angriffe beim Benutzer um so attraktiver wie zwingender. Erfahrungsgemäß wird es dauern, bis es in der Praxis ankommt.

Links dazu:

Das Netzwerk mit Pi-Hole schützen

Ich habe zwischenzeitlich einen Raspberry mit Pi-Hole aufgesetzt und seit einigen Wochen im Test. Dabei geht es mir in erster Linie darum, Schrott vor allem in Sinne von Schadsoftware, aus meinen Netzwerken raus zu halten. Die bisherige Testphase ist dabei durchaus bemerkenswert, insgesamt – bei zahlreichen Endgeräten und einem Google-WLAN – lässt sich ein stabiler Betrieb feststellen.

„Das Netzwerk mit Pi-Hole schützen“ weiterlesen

Was ist ein sicheres Passwort?

Aus meiner Sicht ist es sinnvoller, zu fragen, wie ein unsicheres Passwort aussieht, da ansonsten etwas utopisches avisiert wird: Absolute Sicherheit. Tatsächlich gibt es einige Faktoren, die unsichere Passwörter ausmachen bzw. Unsicherheitsfaktoren darstellen:

  • Passwortlänge: Je kürzer ein Passwort ist, umso unsicherer ist es schon alleine, weil Brute-Force-Angriffe umso leichter werden. Das BSI rät zu jedenfalls 8 Zeichen bei Internet-Passwörtern, während bei Geräten wie WLAN-Routern zu jedenfalls 20 Zeichen geraten wird.
  • Zeichen: Nutzen Sie jedenfalls Buchstaben sowohl gross- wie kleingeschrieben, wenigstens ein Sonderzeichen (Ausrufezeichen, Fragezeichen, Klammeraffe) und wenigstens eine Ziffer.
  • Keine allgemeinen Bezeichnungen: Verwenden Sie keine allgemeinen Begriffe die man in einem Duden findet, keine Zeichen- oder Zahlenketten die eingängig sind und auch keines der bekannten unsicheren Passwörter. Verwenden Sie all dies auch nicht “nur” als Bestandteil Ihres Passworts, vor allem nicht, in dem Sie dann einfach ein simples Sonderzeichen dran hängen.
  • Keine persönlichen Bezeichnungen: Vermeiden Sie persönliche Daten wie Geburtsdaten von Familienmitgliedern, Hochzeitsdatum, Vornamen, Nachnamen, Hausnummern, Postleitzahlen etc. Verwenden Sie all auch hier all dies nicht “nur” als Bestandteil Ihres Passworts, vor allem nicht, in dem Sie dann einfach ein simples Sonderzeichen dran hängen.
  • Passwort-Manager verwenden: Mit einer allgemeinen Empfehlung diesbezüglich tue ich mich schwer. Zentral in einem Passwortmanager alle Passwörter zu sichern ermöglicht hochkomplexe Passwörter, schafft aber eine zentrale Angriffsstelle. Hier kann man Kritik üben, man muss es aber nicht. Dabei sollte man auch wissen, dass die Stiftung Warentest im Jahr 2017 bei einem Test von Passwort-Managern ebenfalls teilweise Kritikpunkte gefunden hatte.
  • Kein unverschlüsseltes Speichern: Wenn Sie sich Passwörter notieren, tun Sie dies nicht unverschlüsselt. Also nicht am Schreibtisch unter der Auflage “versteckt”, nicht im Notizbuch, nicht in einer unverschlüsselten Text-Datei oder Cloud-Notiz.
  • Passwort regelmäßig ändern: Aus meiner Sicht vollkommen überholt ist der Ratschlag, das Passwort regelmäßig zwingend zu ändern. Berechtigt ist hier die Kritik dahin gehend, dass gerade der Zwang regelmässig ggfs. kurzfristig zu wechseln dazu führt, erst recht einfache Passwörter zu verwenden.

Dazu auch von mir: Vorsorge zur Vermeidung eines Hacker-Angriffs

„Was ist ein sicheres Passwort?“ weiterlesen

Bitkom zum Thema Cybersicherheit 2018

Bei Bitkom finden sich einige Pressemeldungen zum Thema Cybersicherheit – und der Tatsache, dass gerade KMU dieses hochbrisante Thema (ebenso wie die Politik) verschlafen. So weist der Bitkom in einer Pressemitteilung auf die Häufigkeit von Angriffen hin:

Deutsche Industrieunternehmen sind beliebte Ziele für Sabotage, Datendiebstahl oder Wirtschaftsspionage. Vor allem die Chemie- und Pharmabranche trifft solche Attacken hart: Drei von vier Chemie- und Pharmaunternehmen (74 Prozent) wurden in den vergangenen zwei Jahren Opfer, weitere 22 Prozent waren vermutlich betroffen. Das ist das Ergebnis einer Studie des Digitalverbands Bitkom (…) Aber auch der Maschinen- und Anlagenbau (67 Prozent) sowie die Hersteller von Kommunikations- und Elektrotechnik (63 Prozent) sahen sich in den Jahren 2016 und 2017 einer Vielzahl an Attacken ausgesetzt. (…) Insgesamt ist der Industrie durch Sabotage, Datendiebstahl oder Spionage in den vergangenen zwei Jahren ein Gesamtschaden von 43,4 Milliarden Euro entstanden. Sieben von zehn Industrieunternehmen (68 Prozent) sind in diesem Zeitraum Opfer geworden, jedes fünfte Unternehmen (19 Prozent) vermutet dies zudem.

Bitkom Pressemitteilung vom 30.11.2018

Dabei wurde im Oktober 2018 die “Wirtschaftsschutzstudie 2018” vom Bitkom veröffentlicht, die frei zum Download steht. Zwar ist es für mich so, dass diese aus meiner Sicht einerseits Fortschritte zeigt, aber insgesamt doch nahe legt, dass gerade im breiten Bereich der KMU die Thematik untergeht. Während Großunternehmen sich zunehmend um die Problematik kümmern werden kleinere Unternehmen hier – so mein Eindruck – durchaus abgehängt.

„Bitkom zum Thema Cybersicherheit 2018“ weiterlesen

LDI NRW: Technische Anforderungen an technische und organisatorische Maßnahmen beim E-Mail-Versand

Die Landesdatenschutzbeauftragte NRW hat sich zur Frage geäußert, wie aus dortiger Sicht die Datenschutz-Grundverordnung (DS-GVO) in Bezug auf den unverschlüsselten Versand von E-Mails zu interpretieren ist.

„LDI NRW: Technische Anforderungen an technische und organisatorische Maßnahmen beim E-Mail-Versand“ weiterlesen

Cyberangriff: Was kann man als Opfer von Cybercrime nach einem Hackerangriff tun?

Was tun nach einem Cyberangriff: Aus meiner Sicht gibt es einige allgemeine Hinweise zu grundsätzlichen Verhaltensweisen nach einem Hack-Angriff, die sich an der ersten Frage ob es um einen Verbraucher oder ein Unternehmen geht, orientieren – insbesondere bei der Frage gegen wen man vorgeht. Tatsächlich muss ich immer wieder beobachten, dass gerade in den ersten entscheidenden Momenten im Hinblick auf spätere Aufklärung gravierende Fehler gemacht werden. Dies ist mit der eingetretenen Schocksituation zu erklären, die aber durch saubere Vorbereitung zumindest in Unternehmen durchaus verhindert werden kann.

Dabei greifen heute für Unternehmen die von Cybercrime betroffen sind empfindliche Entwicklungen ineinander: Auf der einen Seite wurde mit der Datenschutzgrundverordnung die Rechtslage verschärft, das IT-Sicherheitsgesetz schaffte deutliche Anforderungen an die IT-Sicherheit. Auf der anderen Seite sind Unternehmen kaum und grossteils unzureichend auf die Thematik IT-Sicherheit vorbereitet – und es müssen Datenbrüche gemeldet werden wobei Betroffene Schadensersatzansprüche haben, mit der DGSVO auch hinsichtlich Schmerzensgeld, was ganz erhebliche Folgekosten verursachen kann.

Zum Thema Cyberangriff weitere Artikel von mir:

„Cyberangriff: Was kann man als Opfer von Cybercrime nach einem Hackerangriff tun?“ weiterlesen

Hackerangriff: Bin ich betroffen von einem Cyberangriff?

Sie können durchaus nachprüfen, ob Sie von einem Hackangriff betroffen sind – es gibt inzwischen eine Mehrzahl von Online-Diensten, bei denen Sie an Hand Ihrer Mailadresse einen Cyberangriff nachvollziehen können.

Nicht zwingend muss ein erfolgreicher Cyberangriff auf Fehler Ihrerseits zurückzuführen sein – regelmäßig werden Plattformen über dort vorhandene Fehler angegriffen und dann Nutzerdaten kopiert. Wenn Sie dann diese Nutzerdaten woanders im Einsatz haben können hierüber individualisierte Angriffe gestartet werden. Daher ist es sinnvoll, Nutzerdaten nicht einheitlich überall gleich zu verwenden. Sie sollten im Blick haben, welche Daten “flüchtig” geworden sind und regelmäßig reagieren, insbesondere sollten Sie Mailadressen die zur geschäftlichen Kommunikation verwendet werden, nicht für Plattformen nutzen. Sollten Daten doch abhanden gekommen sein wäre mein Schritt immer, diese betroffenen Mailadressen gar nicht mehr zu verwenden, gerade im geschäftlichen Umfeld.

Zum Thema Cyberangriff weitere Artikel von mir:

„Hackerangriff: Bin ich betroffen von einem Cyberangriff?“ weiterlesen

Was sind die verbreiteten unsicheren Passwörter?

Splashdata veröffentlicht jedes Jahr die 100 schlechtesten verbreiteten Passwörter, die TOP15 sind 2018 laut Splashdata gewesen:

  • 123456
  • password
  • 123456789
  • 12345678
  • 12345
  • 111111
  • 1234567
  • sunshine
  • qwerty
  • iloveyou
  • princess
  • admin
  • welcome
  • 666666
  • abc123

Ich sehe solche Listen immer durchaus kritisch – einmal geben sie gute Hinweise darauf, wie verbreitet einfache Aufzählungen sind. Andererseits aber kennt man die Hintergründe nicht. Etwa ob es sich um zwar real verwendete Passwörter handelt, diese aber grossteils für Fake-Accounts oder Test-Accounts in Verbindung mit Einmal-Mailadressen zum Einsatz gekommen sind.

Dazu auch von mir: Was ist ein sicheres Passwort?

Cybersicherheit: Kommission will Reaktionsfähigkeit der EU auf Cyberangriffe verbessern

Kommissionspräsident Jean-Claude Juncker hat am 13. September in seiner jährlichen Rede zur Lage der Union erklärt: „In den vergangenen drei Jahren haben wir das Internet für die Menschen in Europa sicherer gemacht. Dennoch ist Europa immer noch nicht gut gegen Cyberangriffe gerüstet. Deshalb schlägt die Kommission heute neue Instrumente zur Verbesserung des Schutzes gegen Cyberangriffe vor, unter anderen die Einrichtung einer EU-Agentur für Cybersicherheit.“

„Cybersicherheit: Kommission will Reaktionsfähigkeit der EU auf Cyberangriffe verbessern“ weiterlesen

IT-Sicherheitsgesetz

Auswirkungen des IT-Sicherheitsgesetzes: In Deutschland wurde im Jahr 2015 erstmals die IT-Sicherheit in Gesetzesform gefasst, die Geburtsstunde des “IT-Sicherheitsgesetzes”. Das IT-Sicherheitsgesetz soll Grundlagen verstärkter IT-Sicherheit schaffen, in dem erst einmal prinzipielle Rahmenbedingungen und eine Art zentrales Meldewesen – gebündelt beim BSI – geschaffen werden. Daneben gibt es eine Änderung die alle Webseitenbetreiber betrifft.

In diesem Beitrag wird ein erster kurzer Überblick über das IT-Sicherheitsgesetz geboten, das sicherlich nur der Einstieg sein wird in eine Reihe weiterer derartiger gesetzgeberischer Intentionen.
„IT-Sicherheitsgesetz“ weiterlesen