IT-Sicherheit

Jetzt auch mit den vollständigen Kreditkartennummern: Diese sollen sich in einer weiteren Datenbank mit rund 80.000 Einträgen befinden. Das bestätigt auch Mastercard in einer E-Mail an die betroffenen Kunden. Ein externer Dienstleister soll für das Datenleck verantwortlich sein.

Nicht erst mit der Einführung von Cortana hat Microsoft damit begonnen, Mitschnitte des eigenen Sprachassistenten durch Mitarbeiter anzuhören. Diese Praxis gibt es bereits seit sechs Jahren, angefangen hat es mit der Sprachsteuerung Kinect in der Spielekonsole Xbox One.

In der Systemkonfigurationssoftware Webmin waren offenbar für über ein Jahr Hintertüren, mit denen sich übers Netz Code ausführen lässt. Den Angreifern gelang es dabei offenbar, die Release-Dateien des Projekts zu manipulieren.

Das Entwicklerteam von Facebook hat ein eigenes Werkzeug zur statischen Code-Analyse erstellt und stellt nun erstmals Details dazu vor. Das Projekt habe Tausende Sicherheitslücken verhindert.

Der Ladenetzbetreiber Allego hat die Abrechnung der öffentlichen Ladestationen in Berlin umgestellt. Statt eines Pauschalpreises für den Ladevorgang zahlen Elektroautomobilisten in Zukunft nach geladener Strommenge.

Das US-Unternehmen Corellium bietet nahezu perfekte Virtualisierungen von Apples iOS an - vornehmlich für Entwickler, die Schwachstellen im Betriebssystem aufdecken wollen. Apple geht das zu weit, weshalb es nun eine Urheberrechtsklage eingereicht hat.

Die Verschlüsselung des Bluetooth-Protokolls lässt sich einfach aushebeln, ein Angreifer kann die Schlüssellänge kontrollieren und auf eine triviale Größe reduzieren. Abhilfe ist nicht in Sicht, die Bluetooth-Standardisierungsgruppe will die Schlüssellänge nur minimal erhöhen.

Die Kaspersky-Antivirensoftware bindet in jede Webseite eigenen Javascript-Code ein. Bis vor kurzem war dieser noch mit einer eindeutigen ID versehen, den man zum Tracking nutzen konnte.

Microsoft hat seine Datenschutzerklärung überarbeitet. Darin erfährt der Kunde erstmals offiziell, dass Sprachaufnahmen von Menschen angehört werden, wenn Cortana oder Skype-Übersetzungen verwendet werden.

Amazon hat das Gesichtserkennungssystem Rekognition überarbeitet. Die Erkennung soll verbessert worden sein. Außerdem kann das System eine weitere Emotion erfassen. Bei einem Test der ACLU offenbarte das System hingegen wieder Schwächen.

Ein Systemdienst für Texteingabemethoden, das es seit Windows XP gibt, wurde offenbar mit wenig Sicherheitsbewusstsein entwickelt. Tavis Ormandy von Google gelang es damit, als Nutzer Systemrechte zu erlangen. Es gibt ein Update von Microsoft, doch das behebt wohl nicht alle Probleme.

Adobe muss am August-Patchday eine hohe Anzahl von Sicherheitslücken beseitigen, die aber meist keine unmittelbare Gefahr darstellen. In einem Fall hat jedoch Hyatt einen unangenehmen Fehler im CMS Experience Manager entdeckt.

Nun hat es auch Facebook erwischt: Das soziale Netzwerk ließ offenbar Hunderte externe Mitarbeiter die Sprachnachrichten von Nutzern transkripieren, um die KI zu trainieren.

Microsoft warnt vor zwei Remote-Code-Execution-Bugs im Remote Desktop Service. Damit lassen sich Windows-Rechner übers Netz kapern, wenn sie die Remoteadministration aktiviert haben. Alle aktuellen Windows-Versionen sind betroffen.

Die DSGVO verpflichtet Anbieter zur Herausgabe aller gespeicherten Daten mit Personenbezug. Die Vorschrift lässt sich auch zum Identitätsdiebstahl einsetzen.

Der Umgang mit Passwörtern ist für viele Nutzer zu kompliziert. Google führt stattdessen nun die Möglichkeit ein, sich auf einem Android-Smartphone bei einigen seiner Dienste mit Hilfe biometrischer Entsperrmöglichkeiten einzuloggen. Dabei werden FIDO2, W3C Webauthn und FIDO CTAP genutzt.

Sogenannte Extended-Validation-Zertifikate führten bisher dazu, dass in Browsern der Firmenname vor der Adresszeile angezeigt wurde. Chrome und Firefox schaffen das jetzt ab, da kaum etwas darauf hindeutet, dass damit die Sicherheit erhöht wird.

Auf Windows-Systemen, auf denen der Spiele-Launcher Steam installiert ist, können einfache Nutzer Programme mit Systemrechten ausführen. Der Entdecker der Lücke meldete diese über die Plattform Hackerone, dort erklärte man den Bug für ungültig und wollte eine Veröffentlichung verhindern.

Spionage auf der einen, finanzielles Eigeninteresse auf der anderen: Die Gruppe APT 41 soll nicht nur für den chinesischen Staat hacken . Das behauptet das IT-Sicherheitsunternehmen Fireeye in einem neuen Bericht.

Apple öffnet sich der Sicherheitszene und lobt ein umfangreiches Programm für das Entdecken von Sicherheitslücken bei seinen Betriebssystemen aus. Dazu wird auch eine Spezialversion des iPhones angeboten.

Ein Sicherheits-Audit der Container-Orchestrierung Kubernetes hat wie zu erwarten einige Lücken gefunden. Darüber hinaus bekommt die Software kein besonders gutes Zeugnis der Prüfer.

Instagram Stories sollten nur einen Tag sichtbar sein. Das Marketing-Unternehmen Hyp3r umging diese Einschränkung und sammelte massenhaft Informationen über Instagram-Nutzer. Vor allem hatte es das Startup auf Standortdaten abgesehen.

Microsoft lässt Sprachbefehle für seinen digitalen Assistenten Cortana von Menschen auswerten. Auch Skype-Telefonate werden von Menschen analysiert - dabei können diese sogar Telefonsex lauschen.

Eine besondere ZIP-Datei kann bei vielen Antiviren-Programmen zu extrem hoher CPU-Last führen und sie praktisch außer Gefecht setzen. Mit Tricks gelang es einem Sicherheitsforscher, extrem hohe Datenkompressionsraten zu erreichen.

Kasachstan hat Nutzer angewiesen, ein Root-Zertifikat zur Überwachung ihrer verschlüsselten TLS-Verbindungen zu installieren. Jetzt dürfen diese das Zertifikat wieder löschen - zumindest vorläufig.

Mit der Spectre-ähnlichen SWAPGSAttack kann auf eigentlich geschützte Speicherbereiche zugegriffen werden, indem die spekulative Ausführung des Befehls ausgenutzt wird. Betroffen sind alle Intel-CPUs seit Ivy Bridge von 2012, von Microsoft gibt es bereits Patches für Windows 10.

Das Android-Security-Team von Google hat angekündigt, das kommende Memory-Tagging von ARM-CPUs zu unterstützen. Das soll das Ausnutzen typischer Speicherfehler erschweren.

Mit dem August-Sicherheitsupdate von Android patcht Google vergleichsweise wenige Fehler. Einig paar haben es allerdings in sich und betreffen insbesondere Qualcomm-basierte Hardware.

Standardpasswörter und fehlende Sicherheitsupdates: So hat sich eine mutmaßlich russische Hackergruppe in Netzwerke von Microsoft-Kunden einschleusen wollen. Sicherheitsforscher des Unternehmens warnen nicht zum ersten Mal vor der Gruppe.

Der ADAC und der ÖAMTC haben Keyless-Go-Systeme zahlreicher Autohersteller getestet und sind zu einem ernüchternden Ergebnis gekommen. Nur vier Modelle haben sich nicht knacken lassen.

Wie lange ein kryptografisches Verfahren braucht, kann ungewollt Informationen verraten. Mit einer solchen Schwachstelle konnten Forscher Passwörter bei der WLAN-Verschlüsselung WPA3 knacken.

Mail rechtzeitig verschickt, Frist aber trotzdem versäumt: Das BeA kommt mit Umlauten nicht klar, der Absender einer Nachricht erfährt davon aber nichts.

Es gibt neue brisante Details dazu, wie Amazon-Mitarbeiter Mitschnitte von Alexa anhören und auswerten sollen: Diese würden teils von zu Hause ausgewertet, heißt es in einem Zeitungsbericht.

Update: Dieser Artikel beruhte auf einem Irrtum, wir haben ihn deshalb entfernt.

Hacker sind Männer in Hoodies, die im Keller vorm Computer sitzen: Mit diesem Klischee will Openideo aufräumen. Daher schreibt die Organisation einen Wettbewerb aus, um alternative Symbolbilder für Hacks, Sicherheitslücken und IT-Sicherheit zu finden. Die ersten fünf Plätze erhalten 7.000 US-Dollar.

Google-Mitarbeiter werten keine Sprachaufnahmen des Google Assistant mehr aus der EU aus. Dies erklärte das Unternehmen dem Hamburger Datenschutzbeauftragten im Rahmen eines Verwaltungsverfahrens. Das gilt allerdings nur vorübergehend.

Nachdem 7-Eleven sein 7pay-System wegen eklatanter Sicherheitslücken mit geschädigten Nutzern binnen einer Woche stoppen musste, wird die japanische Konbini-Kette das gesamte System einstellen. Die über 800 um Geld betrogenen Nutzer wurden entschädigt.

Cisco soll wissentlich unsichere Software an die US-Streitkräfte, die US-Regierung und einige US-Bundesstaaten verkauft haben. Das Unternehmen zahlt mehrere Millionen Schadenersatz. Die Kläger behaupten, Cisco habe von den Problemen gewusst.

Die Open-Source-Initiative für einen Datenaustausch zwischen Portalen macht Fortschritte. In wenigen Monaten soll es erste Funktionen für Benutzer geben.

Sicherheitsforschern ist es gelungen, Steuerungsbefehle an Überwachungskameras und Philips-Hue-Lampen zu schicken. Die Geräte übertragen Daten und Befehle standardmäßig auf eine unsichere Weise.

Nuki hat ein Update für das Smart Lock 2.0 veröffentlicht. Damit erhalten Nutzer bei Bedarf Push-Benachrichtigungen vom smarten Aufsatzschloss. Bezüglich der Zigbee-Nutzung gibt es keine positiven Neuigkeiten.