Nicht alle Anwender werden aus Schaden klug

Internet-Kriminalität ist nicht nur eine Phantomgefahr, wie es vielen Usern erscheinen mag, die bis jetzt noch nie geschädigt wurden. Eine Umfrage in Deutschland zeigt, dass ein Viertel der Deutschen bereits Opfer von Kriminalität im Internet geworden sind. Trotzdem geben viele der Betroffenen an, dass sie sich nach einer derartigen negativen Erfahrung nicht besser schützen, als vorher.

Cybercrime ist zu einem gesellschaftlichen Problem geworden, das immense
Schäden anrichtet.                                                                        Bild Pixabay
 

Die Zahlen kommen vom Digitalbarometer 2020 des Bundesamts für Sicherheit in der Informationstechnik (BSI) und der Polizeilichen Kriminalprävention der Länder und des Bundes. Sie zeigen, dass rund zwei Drittel der Betroffenen User durch Internetkriminalität einen Schaden erlitten haben, ein Drittel davon einen finanziellen Schaden. Die höchste angegebene Schadenssumme lag bei 50‘000 Euro. Aber auch emotionale Schäden, zum Beispiel durch Cybermobbing, einen Verlust von Daten oder einen zeitlichen Schaden durch das aufwendige Wiederherstellen von Daten wurden genannt. Vier Prozent der Befragte User sind wiederholt Opfer von Cyber-Kriminalität geworden.Positiv sei immerhin, dass sich 35 Prozent der Betroffenen nach einer Straftat an die Polizei gewandt haben, heisst es in der Studie.

“Jeder Zehnte gibt an, sich ohne Schutzmassnahmen im Internet zu bewegen. Das ist wie Autofahren ohne Anschnallen oder Bahn fahren ohne Maske. Andere sichern sich bereits ab, vernachlässigen aber effiziente Massnahmen wie automatische Updates. Laut Umfrage nutzt diese Option bewusst nur jeder Vierte, obwohl diese Massnahme am besten und am schnellsten Sicherheitslücken schliessen kann." (BSI-Präsident Arne Schönbohm)

 Wer Sicherheitsempfehlungen direkt umsetzt, wird seltener Opfer von Kriminalität im Internet. So geben Befragte, die bisher gar nicht oder nur einmalig Opfer wurden, häufiger an, dass sie solche Empfehlungen direkt umzusetzen. Hingegen setzen ein Drittel der Menschen, die schon mehrfach Opfer waren, Sicherheitsempfehlungen erst im Problemfall um – auch wenn sie diese gekannt hätten.
Die Sicherheitsumfrage des BSI koinzidiert mit der Veröffentlichung des Bundelagebildes Cybercrime des deutschen Bundeskriminalamtes. Dort wird die Schlussfolgerung gezogen, dass Ransomware die grösste Bedrohung für Unternehmen und Staat darstelle. Die Professionalität von Cyberkriminellen nehme laufend zu:

“ Sie arbeiten inzwischen mit Spezialgebieten und bieten Outsourcing von Angriffen, "Cybercrime-as-a-Service". Dies bedinge "eine hohe Arbeitsteilung zwischen den Tatbeteiligten und eine Spezialisierung Einzelner auf ausgewählte relevante Tatteilbeiträge". Foren und Jabber-Server dienen dabei als "Branchenbücher" zwischen Anbietern und Interessenten, die sich in einem hochlukrativen Markt bewegen. Und die kriminellen IT-Fachkräfte entwickeln ihre Tools auch weiter. Über 1 Milliarde Malware-Familien habe man gezählt.Nach aktuellem Stand gelten als am häufigsten vorkommende Malware-Familien: Emotet, Dridex, Ryuk, Trickbot und Maze…“ (inside-it.ch)

Der grosse Datenraub?

Die Schlagzeilen überschlagen sich: 16 Millionen E-Mail-Adressen und Passwörter seien von Hackern gestohlen worden, meldeten alle grossen Deutschen Zeitungen, nachdem das Deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) Alarm geschlagen hat. Betroffen sind nicht nur Deutsche Anwender. Nun hat das BSI eine Website eingerichtet wo jeder Anwender herausfinden könnte, ob er betroffen ist - wenn der Ansturm nicht so gross wäre, dass die Site immer wieder zusammenbricht.

Betroffene können ihre E-Mail-Adresse beim BSI testen lassen.

Ironie im digitalen Zeitalter: Die in den dunkleren Korridoren der Macht angesiedelten Abhöroperationen staatlicher Behörden gehören wohl zu den allergrössten Verwertern von Daten, deren Herkunft zweifelhaft ist - der NSA lässt grüssen. Trotzdem ist es der Staat, der uns aus der Patsche helfen soll, wenn unsere privaten Daten von irgendwelchen Bösewichten kompromittiert worden sind - obwohl wir uns eigentlich in den meisten Fällen ganz gut selber helfen könnten, indem wir uns wenigstens an die grundlegendsten Sicherheitsvorkehrungen halten. Denn was bis jetzt vom BSI veröffentlicht wurde, weißt darauf hin, dass vor allem PCs betroffen wurden, die nicht ausreichend geschützt waren. Zitat aus der Welt:

“Die gestohlenen Datensätze enthielten laut BSI meist eine E-Mail-Adresse und ein Passwort. Forscher und Strafverfolger seien auf die Daten gestoßen und hätten sie an das Bundesamt übergeben.
Nicht alle betroffenen Mail-Adressen würden noch benutzt […]. Viele der gekaperten Adressen stammten nicht aus Deutschland, sondern aus anderen EU-Staaten. Es sei deshalb davon auszugehen, dass hinter dem Datenklau ein international agierendes Netz stecke. Identitätsdiebstahl sei als Kriminalitätsform bekannt. Die Dimension des aktuellen Falls sei aber spektakulär. Die Zugangsdaten tauchten bei der Analyse von Botnetzen auf. Das sind Netzwerke gekaperter Computer, die oft ohne das Wissen der Nutzer mit Schadsoftware infiziert wurden. Kriminelle benutzen solche Zombie-Rechner beispielsweise, um massenhaft E-Mails mit Werbung oder Schadprogrammen zu versenden.“

Unter dem Titel: “Was kann ich machen, wenn ich betroffen bin“, schreibt der Stern:

“Das BSI empfiehlt, mit einem Virenschutzprogramm nach Schadsoftware zu suchen und diese zu entfernen. Ein solches Programm sollte ohnehin auf jedem Rechner installiert sein. Zusätzlich empfiehlt das Bundesamt sicherheitshalber nicht nur das E-Mail-Passwort, sondern alle Passwörter bei Online-Shops, Sozialen Netzwerken und anderen Internet-Diensten zu ändern, wenn der Computer infiziert war…“

Wer testen will, ob seine Daten kompromittiert worden sind, kann dies hier tun - wenn die BSI-Seite nicht gerade überlastet ist.  Nach der Eingabe der eigenen E-Mail-Adresse, wird diese mit der Datenbank der kompromittierten Adressen abgeglichen. Nur wenn die Adresse zu jenen gehört, die bei der Botnet-Analyse gefunden wurden, erhält der User eine E-Mail - und Tipps, was jetzt zu tun ist.

Es wird übrigens interessant sein, herauszufinden, wer diese Daten geklaut hat. Auch dazu gibt es seltsamerweise noch gar keine Informationen - man darf davon ausgehen, dass diese bald folgen werden.

Die Java-Gefahr - oder ein Leben ohne Java

Wahrscheinlich haben Sie es auch gelesen: Im Cyberspace herrscht wieder mal die grosse Panik. Diesmal sind es Adobe und Oracle, die ein Problem haben und Probleme verursachen.

Leben ohne Kaffee kann ich mir nicht gut vorstellen
 - leben ohne Java hingegen schon!

Am Donnerstag waren es verschiedene Medien, die Alarm schlugen, unter anderen auch heise.de und spiegel.de, weil vom deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) eine offizielle Warnung geäussert wurde. Fast alle Internetnutzer sind angesprochen, weil Adobes Flash-Player und Java, eine Software von Oracle, scheinbar grosse Sicherheitslücken aufweisen.  Zitat aus dem Spiegel:

“Die auf vielen Rechnern installierten Programme Java und Flash haben teils schwere Sicherheitslücken. Für die Java-Schwachstelle gibt es aktuell noch keine Lösung, Internetnutzer sollten das dazugehörige Plug-in im Browser daher vorübergehend deaktivieren. Betroffen ist die aktuelle Version 7, berichtet "Heise Security". Angreifer können durch die Lücke und über eine manipulierte Webseite Trojaner und andere Schädlinge auf fremde Rechner schmuggeln.
Es gilt also Abschalten statt Abwarten…“

Bei heise.de erfährt der geneigte User noch mehr Details  - und die tönen tatsächlich unschön:

“Die Schwachstelle wird bereits aktiv von Cyber-Kriminellen zur Verbreitung von Malware ausgenutzt. Laut dem Security-Blogger Brian Krebs gibt es passende Angriffsmodule für die Exploit-Kits Black Hole und Nuclear Pack. Laut Krebs hat der Black-Hole-Entwickler mit dem Pseudonym Paunch am gestrigen Mittwoch in Untergrundforen verkündet, dass der Zero-Day-Exploit eine Neujahrsgabe für seine zahlende Kundschaft sei. Da die Lücke mit Hilfe der Exploit-Kits mit geringem Aufwand auszunutzen ist, muss man damit rechnen, dass die Zahl der Seiten, auf denen der Java-Exploit lauert, im Laufe der nächsten Tage explodiert. Es genügt bereits, eine verseuchte Webseite aufzurufen, um Opfer einer Malware-Infektion zu werden. Der Angriffscode kann dabei auch auf seriösen Webseiten lauern.”

Heute, also zwei Tage später, wurden die Alarmsirenen noch schriller: Das amerikanische Homeland Security Departement warnte ebenfalls vor Java und empfahl, die Software sofort abzuschalten oder zu deinstallieren.

Da es für uns nicht möglich ist, den Ernst der Lage zu beurteilen, und weil ja Vorsicht bekanntlich besser ist als Nachsicht, haben wir uns also den Samstag mit den folgenden Massnahmen um die Ohren geschlagen. Flash-Player von Adobe muss gemäss den veröffentlichten Warnungen auf die neuste Version aktualisiert werden – das ist einfach, automatisch, und kann hier gemacht werden. Damit ist das Problem (vorläufig) gelöst.

Für das Java-Problem gibt es zwei Alternativen. Entweder, Sie deinstallieren alle Java-Software auf ihrem PC. Stellen Sie sicher, dass alle Versionen entfernt sind. Die allermeisten User werden es nicht mal merken, wenn Java (nicht zu verwechseln mit Java-Script) auf ihrem PC nicht mehr installiert ist. Es gibt nur wenige Websites, wo die Software wirklich gebraucht wird. 
Oder, wenn Sie nicht deinstallieren wollen, können Sie Java auch (für alle Browser) deaktivieren. Und zwar über die Systemsteuerung: Systemsteuerung/Java/Sicherheit/ oben links den Haken entfernen. Das gilt allerdings nur für die neuste Version der Software. Auch hier gilt: Vermissen werden Sie die Software wahrscheinlich nicht.

Noch ein Wort dazu, wie Oracle das neuste Java-Problem angeht –  es ist ja nicht das erste Mal, dass die Software mit Sicherheitslücken auf sich aufmerksam macht.

Oracle liess sich nicht aus der Ruhe bringen – und zwar im wahrsten Sinne des Wortes. Bis am Samstagnachmittag war ausser einem kleinen Twittereintrag absolut nichts zu diesem Thema von diesem riesigen Unternehmen  zu hören...
Diese Art von PR-Management spricht klar dafür, die digitale Existenz ohne Java fortzusetzen - wenn immer das möglich ist. Ich werde es jedenfalls versuchen.