Egal in welcher Position oder Abteilung: Budgets und zeitliche Ressourcen sind heiß umkämpft. Nicht den leichtesten Stand haben in diesem Zusammenhang präventive Maßnahmen wie Security-Awareness oder Mitarbeiter-Trainings.

Um das Thema dennoch als Business Case in der Führungsebene zu platzieren, können CISOs und IT-Sicherheits-Verantwortliche auf Anleihen des Change-Management zurückgreifen. Cyberangriffe gehören mittlerweile zu den größten Betriebsrisiken. Zehntausende deutsche Unternehmen waren etwa von den Hackerangriffen auf Microsoft betroffen, ebenso wurden Abgeordnete des Bundestages erst kürzlich von Cyberkriminellen attackiert. Mit Blick auf den aktuellen Stand der IT-Sicherheit in Organisationen ist es allerdings nicht überraschend, dass Cyberkriminelle immer wieder Einfallstore finden. Im besonderen Fokus steht der Faktor Mensch, denn hier starten 90 Prozent aller Cyberangriffe.

 https://www.security-insider.de/

Diesmal blättern wir uns im Security-Insider Podcast durch Sun Tzus Klassiker „Die Kunst des Krieges“ – und übertragen einige Strategien des chinesischen Philosophen auf die heutige IT-Welt.

Hören Sie selbst, wo das bestens gelingt und welche Taktiken für die Digitalisierung vielleicht nur bedingt taugen. Keine Angst: Auch wenn sie zu einem philosophischen Büchlein greifen, bleiben Peter Schmitz und Dirk Srocke beim Thema IT-Security. Neben zweieinhalbtausend Jahre alten, chinesischen Weisheiten erwarten Sie daher topaktuelle Einblicke zur praktischen Gefahrenabwehr mit MITRE ATT&CK und sicherheitsrelevanten Anwendungen der Blockchain.

 https://www.security-insider.de/

Es gibt wichtige Sicherheitsupdates für verschiedene Produkte der AutoCAD-Familie.

Angreifer könnten Systeme mit installierter AutoCAD-Software attackieren und im schlimmsten Fall Schadcode ausführen. Insgesamt gilt der von vier Sicherheitslücken ausgehende Bedrohungsgrad als „hoch“.  Aus einer Warnmeldung der Entwickler geht nicht hervor, welche Betriebssysteme von den Lücken betroffen sind. Konkret verwundbar sind die folgenden Anwendungen für technische Zeichnungen und 3D-Modelle. Abgesichert sind jeweils die Versionen 2022.0.1, 2021.1.1, 2020.1.4 und 2019.1.3. Wer nicht mehr im Support befindliche Versionen einsetzt, sollte spätestens jetzt umsteigen.

 https://www.heise.de/

Brauchen wir eine Plattform für Digital Trust, die Standards für digitale Technologien transparent macht?

Unbedingt sagt Peter Hamm. Der Partner bei PwC Deutschland erklärt, was hinter der Initiative steckt. Und warum die deutsche Wirtschaft von einem Ökosystem rund um die Plattform profitieren würde. Bei der digitalen Transformation geht es immer auch um Vertrauen. Für den Erfolg digitaler Innovationen sind Transparenz und Sicherheit unerlässlich.

 https://www.security-insider.de/

Die Opfer der SMS-Betrugsmasche mit falschen Paketnachrichten bleiben teilweise auf hohen Kosten sitzen.

Vermutlich durch einen Facebook-Leak ausgelöst, rollte im April eine neue Abzock-Welle durch Deutschland . Zahlreiche Smartphone-Besitzer bekamen SMS über ein angeblich in der Auslieferung befindliches Paket. Klickten die Nutzer auf den in der SMS enthaltenen Link, konnten Betrüger Schadsoftware auf deren Handy installieren, die massenhaft SMS verschickte. Wer bei seinem Mobilfunkprovider keine SMS-Flatrate gebucht hat und auf den Betrugsversuch hereingefallen ist, für den sind nun möglicherweise mehrere hundert Euro für den Versand der unerwünschten SMS in der Handyrechnung aufgelaufen.

 https://www.pcwelt.de/

Die Chrome-Entwickler haben mehrere Sicherheitslücken in einer aktuellen Version des Webbrowsers geschlossen.

Google warnt vor Attacken auf Chrome. In welchem Umfang die Angriffe laufen, ist derzeit unbekannt. Eine dagegen abgesicherte Version ist erschienen. Wie man einer Sicherheitswarnung entnehmen kann, ist Chrome 91.0.4472.114 für Linux, macOS und Windows erschienen. Wie gewohnt, gibt Google aus Sicherheitsgründen nicht viele Details zu den geschlossenen Lücken bekannt. Darüber hinaus haben die Entwickler noch drei weitere Schwachstellen (CVE-2021-30555), CVE-2021-30556, CVE-2021-30557) mit gleicher Einstufung geschlossen. Auch hier könnte es zu Schadcode-Attacken kommen.

 https://www.heise.de/

Die Umsetzung der Datenschutz-Grundverordnung (DSGVO) bereitet immer noch Schwierigkeiten. Gerade die Einhaltung der Meldepflichten nach DSGVO wirft weiterhin Fragen auf. Welche Cyberattacken müssen gemeldet werden, welche nicht, fragen sich die Unternehmen.

Der Europäische Datenschutzausschuss (EDSA) gibt dazu Hinweise, zum Beispiel für den Fall einer Ransomware-Attacke. Kommt es zu einem Angriff mit Ransomware, können personenbezogene Daten mehrfach in Gefahr sein. Zum einen kann die erzwungene Verschlüsselung die Verfügbarkeit der Daten gefährden, wenn es keine geschützten Backups gibt. Zum anderen gehen die Angreifer dazu über, die ausgespähten und kriminell verschlüsselten Daten an Dritte zu verkaufen oder sie drohen damit. Damit wäre dann auch die Vertraulichkeit der personenbezogenen Daten nicht mehr gewährleistet.

 https://www.security-insider.de/

Betriebssystem-Updates für Qnaps Netzwerkspeicher (NAS) schließen zwei mit „Medium“ bewertete Schwachstellen, von denen eine übers Internet attackierbar ist.

Für Netzwerkspeicher (Network Attached Storage, NAS) von Qnap stehen neue Versionen der Betriebssysteme QTS und QuTS hero bereit; auch das Cloud-optimierte QuTScloud wurde aktualisiert. NAS-Besitzer sollten vorsichtshalber ein Update durchführen: Es beseitigt zwei Schwachstellen, die Angreifer unter bestimmten Voraussetzungen für den Zugriff auf sensible Daten missbrauchen könnten. Zwar schätzt Qnap das Risiko jeweils nur als mittel („Medium“) ein; allerdings ist zumindest eine der Schwachstellen wohl auch aus der Ferne ausnutzbar.

 https://www.heise.de/

Zero Trust ist ein beliebtes Thema in IT-Security-Kreisen, wenn es um die unternehmensinterne Sicherheitsstrategie geht. Doch welche Rolle spielt Zero Trust in Zeiten von Remote Work?

Das Zero-Trust-Prinzip fordert Unternehmen dazu auf, ihre Security-Lösungen so auszuwählen und einzustellen, dass diese gewohnheitsmäßig hinterfragen, wer jemand ist und was er tun will. Der Ansatz eliminiert somit das blinde Vertrauen in jegliche Benutzer, die sich beispielsweise von einem bestimmten Gerät aus einloggen. Im Idealfall vergewissern sich Betriebe bei der Anwendung von Zero Trust kontinuierlich, dass ihre Benutzer die sind, für die sie sich ausgeben, und dass ihr Zugriff auf bestimmte Anwendungen und Systeme immer einwandfrei ist. Einfacher ausgedrückt ist die Idee hinter dem Konzept: „Trust no one“.

 https://www.security-insider.de/

Angriffe mit Ransomware sind auf einem neuen Langzeithoch. So verursachten entsprechende Attacken im Jahr 2020 geschätzte Schäden in Höhe von rund 20 Milliarden US-Dollar.

Hauptgrund dafür war, dass Millionen Arbeitnehmer sich – in den meisten Fällen aufgrund von Lockdowns und anderen Maßnahmen zur Eindämmung der Corona-Pandemie – aus schlecht gesicherten Heimnetzwerken bei Unternehmens- und Regierungsnetzen anmeldeten und so Cyberkriminellen Tür und Tor öffneten. Dabei wird es immer schwieriger, Schadsoftware wirklich von wichtigen Ressourcen fern zu halten. Angesichts der wachsenden Bedrohung durch Ransomware müssen die Verantwortlichen in den Unternehmen aktuell oftmals auf die harte Tour lernen, wie durchtrieben Hacker mittlerweile sind. 

 https://www.security-insider.de/