DER gezielter Hackerangriff gg. Politiker, Prominente &.

[Roland von Gilead]

... soll jetzt ein 20 jähriger Einzeltäter gezielt gg. ca. 1000 Personen auf verschiedene Plattformen durchgeführt haben um Daten abzuziehen - der Täter ist ein "sehr computeraffiner" Mensch, der aber über keine entsprechende Ausbildung verfüge und nicht vorbestraft sei. Der Mann habe viel Zeit damit verbracht, sich am PC bestimmte Kenntnisse anzueignen.

a) Entweder ist er der Hackergott himself
b) die Sicherheitsmaßnahmen der gehackten Plattformen bzw. Personen waren schlicht nicht vorhanden
c) bei der Anzahl & Sensibilität der "abgezogenen" Daten wurde extrem übertrieben
d) ich glaube das nicht!

was meint ihr - ich pers. empfinde die Ermittlungsergebnis aufgrund des angeblichen Umfangs des Datendiebstahl ziemlich fragwürdig.

Schon alleine an entsprechende Einstiegspunkt verschiedener Plattformen für 1000 Politiker, Prominente und Journalisten zu kommen finde ich schon extrem schwierig. Irgendwas passt da nicht ....

[Lord_Vader]

b) c) und absolut sorgloser Umgang mit den eigenen Daten (Ich hab doch nix zu verbergen) und er war es nicht.

Aber man sieht an diesem "Skandälchen" schön das Janusgesicht der Politik. Daten sind das neue Öl.
Alles muss in eine Datenbank, alles gerastert, alles "Wertgeschöpft" werden, aber bitte nicht die Amtsträger die das verzapft haben.
Dazu kommt noch IT Unverständnis (Voodoo und Magie) wie die virtuelle Welt überhaupt funktioniert.

Kurz gesagt, die haben ihre eigene Medizin zu schmecken bekommen. Nur zur Einsicht kommen die eh nicht. Die schmeissen noch mehr Geld auf die "Caibasekkuritiee" und machen dann ein Plus dahinter.
Frei nach dem Motto, wenn etwas nicht wirkt, dann noch mehr Geld draufwerfen. Dann sieht man das Problem wenigstens nicht mehr.

Die einzig wirksame Lösung der Datensparsamkeit ist halt nicht populär.

[[FtN|GT] Die Happy]

zu den "Hackingskills", mit Social engineering kommt man schon extreme weit. Gerade wenn man mit Support mitarbeitern an Hotline reden kann die einem Accounts freischalten weil man sein Passwort vergessen hat und ähnliches.
Wenn dann zur "Sicherheitsfrage" der Suppormitarbeiter dann Daten wie Geburtsdatum und Anschrift nachgefragt werden, Daten bei den "Gehackten" Personen auf Wikipedia und anderen Plattformen frei verfügbar sind, kann man dann schon extreme weit kommen.
Die Computer Kompetenz ist bei den meisten Personen in der Berufsgruppe Politiker eher gering. 2 Faktor Authentifizierung ? Was ist das ?
Und auch diese lässt sich wie neulich bei Twitter auch per Social engineering wieder deaktivieren.

Dazu braucht es keine Hacking skills und geschriebene Zeile Code sondern Verständnis wie solche Systeme Funktionieren und die entsprechenden Social Skills sie auszunutzen.

Mal die Alukopbedeckung aufgesetzte würde ich sagen das der Mann ggf. Sündenbock ist.

Was daraus folgen wird ist mehr Überwachung aller, ein kurzes Strohfeuer der Entrüstung über solche Taten. Schnell verabschiedete neue Gesetze und Beschlüsse die nichts helfen werden aber Populistisch gut aussehen.
Denn solang diese nicht Datensparsamkeit enthalten wird sich nichts ändern.
Alles was im Netzt steht kann an ungewünschter stelle wieder auftauchen. Wenn da eine Privat person hinter steht und Politiker davon betroffen sind ist das Geschrei groß.
Von den Facebook / cambridge Analytica kräht heute kein Hahn mehr nach.
Equifax hat Daten von 140 Millionen Amerikaner geleaked, schon wieder komplett vergessen worden.

Ich hör lieber auf mit tippen ...

[Roland von Gilead]

Ich weiss sehr gut das man nicht nur hackingsskills braucht - aber einen Einstieg mit social engineering oder fishing benötigt ziemlich viel Zeit & Aufwand - wir reden hier von 1000 Personen (lt.den Medien), dazu muss man auch erst mal den Kontakt in irgendeiner Form herstellen - glaube nicht das Böhmermann & co. im Telefonbuch mit Handynummer & Email stehen ....

Der Kerl ist Zwanzig - wie lange soll er da dran gearbeitet sein. Ich kann das irgendwie nicht so recht glauben, oder man hat hier wirklich extrem übertrieben und er hat nur Sachen gesammelt die sowieso irgendwo öffentlich stehen. Leider gibt es keine Übersicht der Qualität der Daten, woher und wieviel.

In dem Zusammenhang kommt mir Zwangsweise der "Cybercrime" Vorfall mit der Agrarministerin Schulze-Föcking in Erinnerung - da haben sie auch direkt Hacker Attacke geschrien von offizieller Seite und was war es eine Fehlbedienung der Schwiegermutter oder so ...

Und wenn so ein einziger zwanziger Jähriger Hacker-Autodidakt alleine in so kurzer Zeit soviel in Erfahrung bringen kann, dann wird jeder Prominente/Politiker gerade schwitzen was dann erst die Geheimdienste alles wissen. Aber die brauchen das eh nicht umständlich rausfischen, die Sitzen direkt beim Betriebssystem/Router/was-auch-immer -> Hersteller im Boot und kriegen alles aus erster Hand auf das Tablett serviert

EDIt:

Das liest sich schon irgendwie anders:

Betroffen sind rund 1000 in der Öffentlichkeit stehende Personen wie Politiker, Journalisten, Künstler und Mandatsträger. Weit überwiegend handelt es sich dem Innenministerium zufolge bei dem gestohlenen Material um reine Kontaktdaten wie Telefonnummern, Anschriften oder E-Mail-Adressen. In etwa 50 bis 60 Fällen seien hingegen deutlich mehr persönliche Daten veröffentlicht worden. Laut Staatsanwalt Ungefuk seien dies neben Telefonnummern und Anschriften auch Kreditkartendaten, Bildaufnahmen und Kommunikation.

„Rein quantitativ handelt es sich um einen eher kleinen Vorfall“

https://www.wiwo.de/politik/deutschland ... 39736.html


Also wieder nur in den Medien das ganze hochgepusht ......

[Herr Rossi]

b) die Sicherheitsmaßnahmen der gehackten Plattformen bzw. Personen waren schlicht nicht vorhanden

Also aus meinen nun fast 20 Jahren Berufserfahrung in der IT Administration würde ich ganz ganz klar dazu tendieren. Gerade Geschäftsführer oder ganz algemein Führungspersonen haben extrem wenig Verständnis für Sicherheitsmaßnahmen. Die werden überhaupt oft nur dann akzeptiert, wenn sie mit keinerlei Komforteinbußen verbunden sind. Nun dürfte unter Politikern wohl das Alphatier (oder Möchtegern) nicht gerade selten vorkommen. Daraus ergibt sich dann das übrige.

[Toska]

b) die Sicherheitsmaßnahmen der gehackten Plattformen bzw. Personen waren schlicht nicht vorhanden

Ich stimme Rossi da auch voll zu und greife da aus beruflicher Erfahrung seit 1996 zurück. Es ist halt vielfach so, dass die IT in Organisationen (besonders dann, wenn IT nicht deren Kernkompetenz ausmacht - doch selbst dort kommt das vor!) im Laufe der Zeit einfach Kraut und Rüben ist. Gewachsene Strukturen, bestehend aus zugekaufter antiker Technik, Dingen, die ein Mitarbeiter oder Praktikant (der lange nicht mehr da ist) irgendwann mal gebastelt hat, etwas antikes Open Source und einem Zausel, der dafür verantwortlich ist, dass der Mist irgendwie läuft. Es ist wichtiger, dass jeder Drucken und Dateien tauschen kann und ins Internet kommt und Email hat, als dass man sich wirklich mal hinsetzt und die Sicherheit auf den neuesten Stand bringt oder darauf achtet, dass wirklich alle Patches drin sind und gute Sicherheitskonzepte eingeführt und eingehalten werden.

Ich sehe das z.B. immer wieder bei Kunden. Wir haben vor anderthalb Jahren alles unterhalb von TLS v1.2 abgedreht. Einfach weil SSL mit weniger als TLS v1.2 keinen Sinn macht und mittlerweile alle Anwendungen sowieso TLS v1.2 können. SOLLTEN. Wir erzwingen auch die Nutzung guter Chiffren und starker Crypto. Und natürlich ging dann das Gemecker los, weil irgend welche Schlafnasen nach wie vor Outlook 2003 einsetzen oder gar Lotus Notes. Damals in 2018! Oder halt einen Internet Exploder auf Windows 2000. Die kennen weder TLS v1.2, noch können sie die schwacheste Crypto und Chiffren, die wir noch unterstützen.

Passwort-Sicherheit oder dass normale Nutzer halt keine erhöhten Privilegien brauchen (oder gar Admin-Zugang für ihre Workstation) bekommst du nachträglich nur noch dann implementiert, wenn denen mal alles abgeraucht ist (am besten mehrmals!) und es bereits richtig weh getan hat. Ansonsten sieht der "normale Nutzer" das halt als Schikane. Der VP oder der Fuzzi aus der Buchhaltung sowieso.

Wir hatten früher mit unserem Hosting-OS auch ständig gehackte Accounts bei ISPs, die das einsetzten. Eben weil da irgend ein Hansel meinte, "Penis" oder "123456" wäre ein tolles Passwort. Als wir vor 10 Jahren dann zwangsweise bei Passwort-Vergabe oder Änderung zwingend "gute" Passwörter verlangten (geprüft mit Cracklib, Wörterbuch, ordentliche Mindestlänge und ungleich des Benutzernamens) ging das endlich spürbar auf nahezu (aber nicht ganz) Null zurück. Doch auch zehn Jahre später kommen noch immer regelmäßig Anfragen, ob man diesen Check nicht abschalten könne.

Nein, lieber User. Dein "Penis" ist zu kurz und wenn du per Google nach Schwanzverlängerung suchst und dir dann Mist runterlädst, bist du selbst schuld.

Unterm Strich habe ich NULL Mittleid mit denen, die da gehackt wurden. Egal, ob das ein pickliger Jüngling daheim in Muttis Keller war, oder Putin höchstpersönlich. Da sind die selben Arschlöcher gehackt worden, die zu doof sind, einen Eimer warme Pisse umzutreten, ohne sich nass zu machen und für die Internet NEULAND ist. Die im Gegenzug aber alles - und wirklich ALLES - in Sachen Internet bis ins letzte Byte regulieren wollen. Das sind jene, die Hintertüren in Krypto wollen, den Bundestrojaner eingeführt haben und selbst bei virtuellen Bananen in Alaska noch den Krümmungswinkel vorschreiben möchten. Hätten sie SELBST nach ihrer eigenen verkackten DSGVO gehandelt, hätte es nicht so einen Datenreichtum gegeben.

Sorry, selbst schuld und BUUUUUURRRRRNNNN!

FWIW: Die AfD ist ja diesmal nicht gehackt worden (also offensichtlich schuld, nicht wahr?). Dabei wird vergessen, dass die AfD auf ihrem letzten Bundesparteitag die Interna von rund 1000 Mitgliedern geleakt bekam. Deren GAU ist also noch nicht so lange her und schon alleine deswegen wundert es mich nicht, dass die besser auf ihren Kram aufpassen. Zum anderen haben die bei ihrer IT sicher noch nicht den Wildwuchs und solche antiken Schätzchen im Einsatz wie die Altparteien.

[Herr Rossi]

Unterm Strich habe ich NULL Mittleid mit denen, die da gehackt wurden. Egal, ob das ein pickliger Jüngling daheim in Muttis Keller war, oder Putin höchstpersönlich. Da sind die selben Arschlöcher gehackt worden, die zu doof sind, einen Eimer warme Pisse umzutreten, ohne sich nass zu machen und für die Internet NEULAND ist. Die im Gegenzug aber alles - und wirklich ALLES - in Sachen Internet bis ins letzte Byte regulieren wollen. Das sind jene, die Hintertüren in Krypto wollen, den Bundestrojaner eingeführt haben und selbst bei virtuellen Bananen in Alaska noch den Krümmungswinkel vorschreiben möchten. Hätten sie SELBST nach ihrer eigenen verkackten DSGVO gehandelt, hätte es nicht so einen Datenreichtum gegeben.

Also erstmal zu all dem, was du davor gesagt hast: Ich stimme dir da absolut zu. Schon so triviale Sachen wie lokale Admin-Rechte entziehen kommen nicht gut an, Stattdessen diskutierst du endlos rum, wenn du irgendeinen Antivirus Müll vom Rechner haben willst, weil der x fach mehr Probleme macht als dass er irgendwas nützt. Und besonders schön sind dann die Diskussionen, wenn auf so einer Kiste ein Crypto Trojaner einschlägt und die Leute dir erklären, dass sowas doch gar nicht sein könne, weil die doch einen so tollen Virenscanner auf dem Rechner haben. Eigentlich hasse ich meinen Job mittlerweile, nicht wegen der Technik, sondern weil ich die Menschen immer weniger aushalte. :/

Zu deinem Unterm Strich: Absolute Zustimming! Da hat es genau die richtigen erwischt. Die Idioten sind selbst für vieles was falsch läuft verantwortlich und wenn die jetzt rumheulen, dann kann man eigentlich nichts anderes außer Schadenfreude empfinden. Ich erinnere mich auch an Äußerungen von Seiten des CCC, die oft zu IT Sachthemen hinzugezogen werden, wonach die mit hochnäsigen Reaktionen auf ihre Einwände abgespeißt wurden, wenn mal wieder irgendein technischer Irsinn verabschiedet wurde.

[Roland von Gilead]

Ich stimme euch in allem zu, und dieser Vorfall spielt mir persönlich sehr in die Karten da ich am Freitag einen internen IT Sicherheitszirkel habe und div. Investitionen durchgedrückt haben will.

Als ITSec bin ich da eigentlich gut auf dem laufenden und habe vor 2 Jahren geschafft das unsere Mitarbeiter mit EDV Zugriff eine Awareness Schulung erhalten - kann ich wirklich nur empfehlen, hilft leider nicht viel denn die Leute verdrängen/vergessen gerade in diesem Bereich sehrsehr schnell. Gefühlt kann ich alle 3 Monaten per Rundmail drauf hinweisen was eine phishing Mail ist.

Sichere Passwörter bei unseren oberen Leute - richtig, Fehlanzeige bei den meisten. IT Sicherheit wird als störend & als bremse wahrgenommen.

Gottsei Dank hat unser oberste Boss da ein etwas anderes Bewusstsein und ist da recht offen.

Zu dem aktuellen Vorfall konnte ich halt nicht glauben das er 1000 Leute gehackt haben sollte - selbst wenn die 250CDU/CSU Mitarbeiter überall das Passwort "Horst123" verwendet haben - nach der Richtigstellung das von 1000 veröffentlichen Personen Informationen es sich bei 940-950 nur um Adressen & Telefonnummern handelt relativiert diesen Megahack doch recht schnell - wenn er jetzt nur von 50-60 Personen tiefer gehende Informationen gesammelt hat ist das ganze dann doch wahrscheinlich .... Wurde in den Medien halt ziemlich hoch gepusht - waren ja direkt die Russen oder China schuld

Wenn ihr in der EDV seit prügelt den Mitarbeitern ein, es gibt keine 100% Sicherheit und die EDV & selbst alle technischen Gegenmassnahmen können diese nicht Garantieren - die Gefahr sitzt meisst vorm Rechner. Ich könnte da 1000 Beispiele nennen, wie z.B. verdächtige Private Emails werden in der Firma geöffnet - man ist ja neugierig und wir haben ja soooo gute Email Scanner. Der nächste der das macht bekommt eine Abmahnung ... das schwöre ich!

[Herr Rossi]

Und was jetzt wahrscheinlich passieren wird: Die werden, wer auch immer es schlussendlich war, wohl das Maximum an Justiz auffahren, um demjenigen die komplette Zukunft zu plätten, anstatt auch nur irgendwie darüber nachzudenken, was sie selbst falsch gemacht haben könnten.

Gestern erst wieder eine schöne Nummer gehabt: Der Kunde ist für viele 10k EUR zertifiziert, war ein riesen Akt, inkl. Verträge und Ablaufvorgänge. U.A. sind "Datenvorfälle" dem Datenschutzbeauftragen zu melden. Gestern hatten wir so einen. Reaktion der Mitarbeiterin an uns: "Sie müssen das nicht melden. Das übernehme ich." Ja ne, ist klar umd genau so läuft das überall. Der ganze Bums ist komplett für die Tonne, weil das alles immer ohne den Menschen rechnet. Aber ich glaube auch nicht, dass es was anderes sein soll, denn am Ende gehts nur darum wieviel Kohle man für den Scheiße rübergeschoben bekommt und mit Datenschutz kannst du zur Zeit wirklich reich werden.

Edit: Ach so, weil es so schön passt zu der Schieflage in diesem Land: Was meint ihr wohl, was gerade mit denen passiert, die die fake cum ex Geschäfte mit aufgedeckt haben? Richtig, es wird ermittelt!
https://www.zeit.de/gesellschaft/zeitge ... mittlungen

[Lord_Vader]

Klar ist das so Rossi. Kürzlich würde ja die Journalistin Pelin Ünker wegen ihrer Artikel über die Paradise Papers zu einer Haft- und Geldstrafe verurteilt.
https://www.sueddeutsche.de/medien/tuer ... -1.4280001

Bei uns im RZ (das ich das mal sage) sind die Richtlinienprobleme dank der BSI Zertifizierung recht überschaubar geworden.
Sichere Passwörter? Tja, die Zertifizierung.. da können wir nichts machen. Das muss so.
Kein Admin auf dem lokalen Rechner mehr? Zertifizierung, wissen schon...
Software Sonderwünsche? Stellen sie eine Hasu. Wegen der Zertifizierung gibt es da nichts mehr auf Zuruf.
Anmeldung nur noch über die AD? Zertifizierung, da haben wir keine Wahl.

Ich finde man kann mit dem BSI Zertifikat den Hintern abwischen, aber als Totschlagargument ist das unschlagbar. Und weil es vom BSI kommt, gibt es da höchstens nur noch ein kleines Genörgel.

[Herr Rossi]

Klar, sowas geht wenn die IT im eigenen Haus ist, aber wir sind Dienstleister und somit extern. Da kannst du dich vielleicht 1-2 Mal zum Bürokraten machen und auf sowas bestehen. Wenn du das zu oft machst, dann hast du einen Exkunden.

[Lord_Vader]

Wir sind auch nur Dienstleister für die Städte und Kommunen. Aber da die auch unsere Eigentümer sind und Zertifizierung toll sind, fügen sich alle. Auch mit Gegrummel.


Es ist von Vorteil wenn man den Spieß mal umdrehen kann. Für dich als Externen ist das halt unweit schwieriger. Da muss man gut Argumentieren können.
Blöd nur wenn das IT Wissen der Kunden von Star Trek kommt... "Hallo Computer... Hallo...?"

[[FtN|GT] Gebirgsjäger]

Als ITSec bin ich da eigentlich gut auf dem laufenden und habe vor 2 Jahren geschafft das unsere Mitarbeiter mit EDV Zugriff eine Awareness Schulung erhalten - kann ich wirklich nur empfehlen, hilft leider nicht viel denn die Leute verdrängen/vergessen gerade in diesem Bereich sehrsehr schnell. Gefühlt kann ich alle 3 Monaten per Rundmail drauf hinweisen was eine phishing Mail ist.

Wir hatten da letzten eine nette Aktion unserer IT: ein Phishing mail wurde an alle Mitarbeiter versendet - Gewinnspiel, man muss sich allerdings mit seinem Firmenlogin und PW verifizieren, es kam von einer externen Email Adresse - und dann wurde beim nächsten Meeting gezeigt, wie viele so doof waren, sich da anzumelden und warum man hätte merken müssen das es ein Phishing mail ist.

Der Lerneffekt war groß.

[Roland von Gilead]

hehe - das wird ein Punkt auf meinem Sicherheitszirkel.

Penetrationstest von Mitarbeitern - nein, werde ich aber erwähnen das so etwas geht und mittlerweile auch üblich ist.
Was ich aber gut finde ist eine online awareness Schulung mit Wissensabfrage nach jedem Kapitel.

So etwas haben wir auch anstelle einer DSGVO Schulung durch geführt.
Fand ich im großen und ganzen nicht schlecht, konnte sich so jeder einteilen wann er die Online Schulung plus Kapitel Abschlussfragen durchführt.

Bei richtigen Schulungen huschen Termin, Urlaub & Krankheitsbedingt immer ein Großteil durchs Raster.

[Roland von Gilead]

Doxing: Das steckt wirklich hinter dem „Hackerangriff“ auf die Bundesregierung

Ein „Hackerangriff“ scheucht Politik, Medien und das halbe Land auf. Zeit, mal durchzuatmen und sich genauer anzusehen, was da eigentlich passiert ist.

Was da unter dem Hashtag #Hackerangriff durch die News rauscht, klingt, als hätten sinistre Meisterhacker einen gezielten Angriff durchgezogen. Angaben wie „Hunderte Politiker und Prominente betroffen“ und „Millionen Datensätze“ scheuchen Politik und Öffentlichkeit auf. Deren Reaktion klingt, als habe ein Daten-Super-GAU stattgefunden oder als sei das Land geradezu unter digitalem Beschuss. Aber das ist so nicht der Fall.

Was ist geschehen? Eine nicht näher bekannte Person hat persönliche Daten Prominenter über eine anonyme Plattform geleaked und im Dezember die Links täglich als eine Art Adventskalender auf Twitter verbreitet. Dies passierte von der Öffentlichkeit unbemerkt, bis der Youtuber Simon Unge darauf aufmerksam wurde, der selber gehackt worden war. Am gleichen Tag wurde bekannt, dass der ebenfalls betroffene SPD-Politiker Martin Schulz Anrufe, SMS und Whatsapp-Nachrichten an seine geheime Telefonnummer bekommen hat.

https://t3n.de/news/hackerangriff-bunde ... R8wdCecTlw