Cloud Security

Nach Refirm Labs soll nun RiskIQ an Microsoft übergehen, für voraussichtlich 500 Millionen US-Dollar. Kunden sind etwa BMW und Facebook.

Angreifer könnten Root-Rechte in fremden VMs der Google-Cloud erhalten. Praktische Angriffe sind unwahrscheinlich, Updates gibt es nicht.

"Wir haben da viel Geld verloren. Es ist gefloppt. Komplett gefloppt", schimpft ein Telekom-Manager über De-Mail.

Durch die Pandemie habe sich vieles ins Internet verlagert - was zu weiteren Sicherheitsproblemen führe, meint Amazons Technikchef.

Der Passwortmanager Lastpass schränkt seinen kostenlosen Dienst massiv ein. Wir zeigen Alternativen, die obendrein sicherer sind.
Von Moritz Tremmel

Das europäische Cloud-Projekt Gaia-X ist offen für jeden, der sich an die Vorgaben hält. Die Dienste werden zertifiziert.

Eine Software, die Hotels an Booking.com oder Expedia anbindet, ließ die Buchungsdaten offen im Netz - inklusive Kreditkarte und Prüfziffer.

Mit den Lücken war ein Zugriff auf das interne Netzwerk von Apple möglich, es konnten aber auch Daten aus der iCloud kopiert werden - per E-Mail.

Kein Mensch kann sich stapelweise Passwörter merken, aufschreiben ist keine Alternative. Ein Passwortmanager muss her - aber welcher?
Ein Test von Moritz Tremmel

Sicherheitsforscher haben Hunderte Youtube-Tutorials ausgewertet und immer wieder Zugangsdaten entdeckt - mit diesen konnten sie sich auf AWS einloggen.
Von Moritz Tremmel

Das französische Unternehmen Nextmotion hat wichtige Daten seiner Kunden in einer komplett offenen Datenbank abgelegt. Angreifer konnten darauf per IP-Adresse zugreifen. Dazu gehörten Hunderttausende Bilder von Gesichtern und Körperregionen von Patienten, die sich einer Schönheitsoperation unterzogen hatten.

Die Ransomware Nextcry verschlüsselt die Daten im Cloudspeicher von Nextcloud-Installationen. Auf den Server gelangt sie nicht über die Nextcloud, sondern über eine bereits gepatchte Sicherheitslücke in PHP.

Die US-Bank Capital One wurde durch einen "Konfigurationsfehler" bei einem Cloud-Anbieter gehackt. Sensible Daten von Millionen Bankkunden sind betroffen. Durch den Tipp eines Github-Nutzers konnte eine Verdächtige festgenommen werden.

Wer die aktuellen Betaversionen von iOS 13, iPad OS oder MacOS Catalina installiert hat, kann sich auf der Beta-Webseite von iCloud mit Gesichtsscan oder Fingerabdruck einloggen. Dabei kommt wohl kein Webauthn zum Einsatz.

Microsoft hat wie viele Unternehmen eine Liste aufgestellt, die vor dem firmeninternen Nutzen bestimmter Programme warnt. Produkte wie Slack erfüllen demnach nicht die Bedingungen, um relevante Daten ausreichend zu schützen. Microsoft rät sogar vom eigenen Portal Github in der Cloud-Version ab.

Gleich zwei neue Security-Produkte stellt Microsoft vor: Azure Sentinel ist ein cloudbasiertes Analysetool, während Threat Experts in Windows Defender ATP etabliert werden soll. Damit stellt sich Microsoft stärker als Security-Anbieter auf.

Um Nutzer vor eventuellen Angriffen zu schützen, führt Google einen Prüfalgorithmus ein, der vor der Anmeldung mit dem Konto ausgeführt wird. Das erfordert jedoch, dass Kunden dazu Javascript einschalten.

Mit Pacbot legt T-Mobile seine Policy-as-Code-Plattform offen. Diese bemerkt und behebt zum Teil Verstöße gegen Compliance- und Security-Richtlinien auf Cloudplattformen. Zunächst läuft Pacbot in AWS.

Ignite 2018 Neue virtuelle Maschinen, mietbare SSDs und WAN-Verbindungen über das Microsoft-Backbone: Azure bekommt eine ganze Reihe an neuen Funktionen in den Bereichen Storage, Netzwerken und Security. Vieles davon befindet sich allerdings noch in der Preview-Phase.

Das Startup Digital Asset hat mit der Google Cloud eine Plattform für sein Blockchain-SDK DAML gefunden. Gleichzeitig ist das für Google eine Gelegenheit, ein momentan besonderes Produkt im Vergleich zur Konkurrenz zu bieten. Mögliche Anwendungsgebiete liegen in der Medizin und als Bezahldienst.

Die auf Amazons Web Services spezialisierte Sicherheitsfirma Lacework hat im Netz mehr als 22.000 Managementoberflächen zur Containerverwaltung gefunden, die hauptsächlich zu Kubernetes gehören. Als wäre das nicht schon schlimm genug, waren einige auch völlig ungeschützt im Netz.

Um Ether zu stehlen, haben Kriminelle die BGP-Routen eines Amazon-AWS-Servers manipuliert. Anfragen zu einer Ethereum-Wallet wurden dann zu den Kriminellen umgeleitet.

Durch den hohen lauten Ton einer Löschanlage wurden in einem schwedischen Rechenzentrum mehrere Festplatten beschädigt oder zerstört. Dadurch konnte der Börsendienst Nasdaq nicht arbeiten. Das Problem: In ganz Schweden gebe es nicht genug Server, um den Schaden direkt zu beheben.

Ein Problem in der Browser-Extension des eigenen Passwortmanagers ist für den Hersteller Keeper nur eine "potentielle" Sicherheitslücke - ein Begriff, der so nicht existiert. Sicherheitsforscher haben außerdem ein neues Problem bei Keeper Security entdeckt.

Tesla hat einen Kubernetes-Pod ohne Kennwortschutz laufen lassen - und sich damit Kryptomining-Malware eingefangen. Derzeit wird außerdem eine Sicherheitslücke in Jenkins-Servern für eine weitere Kampagne ausgenutzt.

Kunden von GMX und Web.de sollen künftig "ohne Expertenwissen" auf verschlüsselte Online-Speicher zugreifen können. Dafür nutzt 1&1 eine Version der Cryptomator-Software. Sie gibt es jedoch noch nicht für alle Betriebssysteme.

Mit "signifikanten Ressourcen" wollen Accenture und Pivotal Unternehmen dabei helfen, Legacy-Software in die Cloud zu migrieren. Auch die ersten Standorte des neuen Unternehmens stehen bereits fest, erste Kunden sollen aus dem Finanz- und Bankensektor kommen.

Private Schlüssel in freier Wildbahn sind ein verbreitetes Problem. Zuletzt traf es das Sicherheitsunternehmen DXC, das den AWS-Schlüssel versehentlich bei Github hochlud - und dann die Rechnung dafür bekam.

Wieder einmal schlecht konfigurierte AWS-Server - mit brisantem Inhalt: Vier Instanzen des Beratungsunternehmens Accenture enthielten ungeschützt vertrauliche Daten wie Passwörter und geheime Schlüssel. Mittlerweile soll das Problem behoben sein.

Noch im vierten Quartal sollen die 300 Mitarbeiter von Gigya zu SAP wechseln. Das Unternehmen entwickelt eine Business-to-Consumer-Plattform. In der Vergangenheit wurde die damals unsichere Software von Hackern ausgenutzt.

Eine Software soll in Verbindung mit Maschinenlernen dafür sorgen, dass Unternehmenskunden eine bessere Übersicht über die Nutzung vertraulicher und privater Daten in Clouddiensten bekommen. Macie sucht nach Informationen wie E-Mails, Namen und Kreditkartennummern.

Dropbox bietet ein Backup an, wenn der Login per Zwei-Faktor-Authentifizierung nicht funktioniert. Nutzer sollen dann die App des Unternehmens nutzen können, um die Anmeldung sicher abzuschließen.

Mit einem Zukauf will der TÜV-Süd weitere digitale Dienste anbieten: Die Firma Uniscom bietet sicheres Cloud-Hosting für Unternehmen an.

In Schweden gibt es Kritik an der Entscheidung, zahlreiche Informationen über schwedische Bürger in einen Clouddienst auszulagern - ohne dessen Mitarbeiter einer Sicherheitskontrolle zu unterziehen. Die Entscheidung ist im Jahr 2015 getroffen worden, auf die Prüfung wurde aus Zeitgründen verzichtet.

Ein hypothetischer Hackerangriff könnte laut Versicherungsdienstleister Lloyd's of London viel Schaden anrichten. Er wird sogar mit dem Hurrikan Sandy verglichen. Wannacry und Notpetya seien dagegen fast harmlos. Ein Schaden durch Hacks lasse sich aber nur schwer einschätzen.

Komplexe Aufgaben fallen bisher an menschliche IT-Administratoren. IBM will das ändern: Die IBM Services Platform nutzt die eigene künstliche Intelligenz Watson, um automatisierte Prozesse zu optimieren. Das spart Geld - und Arbeitsplätze.

Das Unix-Betriebssystem OpenBSD gilt als besonders sicher und stabil. Microsoft erkennt dessen Potential und macht es für Azure verfügbar. Dazu kooperiert das Unternehmen mit dem deutschen Firewall-Hersteller Esdenera.

Ein Passwortmanager soll Nutzern helfen, sichere Passwörter zu generieren und sicher zu speichern. Bei dem Betreiber Onelogin wurden jedoch zahlreiche Informationen von Nutzern durch Angreifer kompromittiert, wie das Unternehmen selbst mitteilt.

Die Situation erinnert an den iCloud-Hack zahlreicher Prominenter: Erneut wurden angebliche Nacktfotos von Emma Watson und Amanda Seyfried veröffentlicht. Woher die Bilder stammen, ist derzeit völlig unklar.

Ein Sicherheitschip, eine Videoanalysesoftware und mehr Leistung für virtuelle Maschinen sind unter den vielen Ankündigungen auf Googles Konferenz Cloud Next. Preissenkungen und eine verlängerte Demozeit sollen noch mehr Kunden anziehen.

Western Digital hat in der Hackerszene nicht den Ruf, Schwachstellen schnell zu beseitigen. Sicherheitslücken, die den Login-Vorgang und die Ausführung von Code betreffen, wurden daher ohne Responsible Disclosure veröffentlicht - damit die Nutzer handeln können.

Nach Amazons AWS S3 schwächelt die nächste Netzinfrastruktur: Go Daddy hat derzeit Probleme mit seinem DNS - offenbar vor allem in Europa. Ein Statement des Unternehmens gibt es bislang nicht.

Ein Unbekannter ist offenbar in Tausende unsichere MongoDB-Server eingedrungen und hat die dort vorgefundenen Datenbanken kopiert. Anschließend überschrieb er die Daten mit einer Lösegeldforderung. Die ersten Nachahmer sind bereits aktiv.

Angreifer haben zahlreiche Daten ehemaliger Nutzer von Mitfahrgelegenheit.de und Mitfahrzentrale.de illegal heruntergeladen. Der neue Eigentümer hatte die Daten der ehemaligen Kunden bei Dropbox archiviert, statt diese zu löschen.

Ernsthaftes Arbeitswerkzeug für Autoren oder ultimatives Hipster-Gadget? Wir haben uns eine Schreibmaschine mit E-Ink-Display und Cloud-Anschluss angeschaut und fragen uns, wer das Produkt kaufen will.
Ein Test von Hauke Gierow

Übernahme im Cloud-Geschäft: Oracle sichert sich für rund 600 Millionen US-Dollar den Zugriff auf die DNS-Dienste von Dyn. Das Unternehmen war im Oktober Ziel eines großen DDoS-Angriffs, der auch Amazon, Twitter und Github betraf.

Spam kommt nicht mehr nur per E-Mail, sondern neurdings auch direkt in den Kalender - jedenfalls bei iCloud-Nutzern. Bislang gibt es nur inoffizielle Workarounds für das Problem.

Wer eine große Domain per DNS-Hijacking übernehmen will, sollte sich vorher Gedanken um die nötigen Hosting-Kapazitäten machen - wie eine Attacke auf Blockchain.info zeigt.

12345678, Passwort, Password oder doch St@art123? All diese Passwörter könnten bald nicht mehr funktionieren - jedenfalls bei einigen Cloud-Diensten von Microsoft und beim Microsoft-Account selbst.