Protektionismus? Die USA verbieten den Einsatz von Kaspersky-Produkten auf allen Computern von Bundesbehörden. Aus Gründen der "nationalen Sicherheit", wie Trumps Heimatschutzministerin Elaine Duke sagt.
Microsoft erweitert die Datenschutzfunktionen in Windows 10. Mit dem Fall Creators Update erhalten Anwender mehr Möglichkeiten, die Datenschutzoptionen des Betriebssystems zu beeinflussen.
Ein verseuchtes Word-Dokument oder eine Spam-E-Mail zu öffnen reicht, um einen aktuellen Exploit in .Net zu triggern. Die Sicherheitslücke soll bereits genutzt worden sein, um Finfisher-Staatstrojaner zu verteilen.
Der Chef der neuen Behörde Zitis betrachtet IT-Sicherheit vor allem als ein Managementproblem. Seine Codeknacker sollen Verschlüsselung zwar brechen, aber Kommunikation nicht unsicher machen. Bevor er bei Zitis anfing, arbeitete er 25 Jahre lang für den Bundesnachrichtendienst.
Etwa fünf Milliarden Geräte weltweit sollen von kritischen Bluetooth-Sicherheitslücken betroffen sein. Die Fehler liegen jedoch nicht im Protokoll, sondern in den entsprechenden Stacks von Windows, Linux und Android. Bei Apple sind nur ältere Geräte von Blueborne betroffen.
Ausgerechnet der Chef des Bundesamtes für Sicherheit in der Informationstechnik möchte in der kommenden Legislaturperiode eine digitale Stimmabgabe bei Wahlen - weil er die "Digitalisierung ernst nehmen" will. Das Bundesverfassungsgericht und Angela Merkel sind anderer Meinung.
Wer ein von Symantec ausgestelltes Zertifikat hat, sollte überprüfen, wie lange es noch funktioniert. Zahlreiche Altfälle werden bis April 2018 entsorgt, spätestens im Oktober nächsten Jahres ist dann bei Chrome-Nutzern Schluss für alle Symantec-Zertifikate.
Die US-Behörden verstehen offenbar keinen Spaß, wenn ihre eigenen Mitarbeiter bedroht und belästigt werden. Ein Mitglied von Crackas With Attitude ist verurteilt worden, weil er an der Operation gegen führende Geheimdienstkreise beteiligt war.
Die aktuelle Version von iOS bringt Verbesserungen, die Nutzer vor dem unerwünschten Auslesen des iPhone-Speichers schützen sollen. Gerade Polizeibehörden könnten sich über die Funktion ärgern.
Mittels eines Standards namens Certificate Authority Authorization können Domaininhaber via DNS definieren, wer für sie TLS-Zertifikate ausstellen darf. Ab sofort müssen diese Records geprüft werden. Bei einem Test schlampte Comodo und stellte fälschlicherweise ein Zertifikat aus.
Mit dem Fall Creators Update wird auch Windows Defender ATP besser - zugunsten des Sicherheitsadmins. Alerts werden in einer zentralen Ansicht dargestellt und Security-Stack-Werte können in einem Dashboard angezeigt werden.
Windparks machen einen professionellen Eindruck, doch bei der IT-Sicherheit hapert es leider. Recherchen von Internetwache.org und Golem.de zeigen eine Menge Schwachstellen und ein Chaos bei der Zuständigkeit.
/58Kommentare/Von Sebastian Neef und Tim Philipp Schäfers
Mit dem Tink Labs T1 sollen Hotelgäste weltweit ein Smartphone mit Internetzugang und Appnutzung erhalten. Wir haben uns das Gerät angeschaut und finden es deutlich besser als den Vorgänger, der gravierende Sicherheitsprobleme aufweist.
Auch nach der Bekanntgabe des Hacks läuft es nicht gut für den Finanzdienstleister Equifax: Ein Formular zur Prüfung gibt zufällige Ergebnisse aus, außerdem sorgen AGB-Klauseln für Aufregung. Mehrere Experten qualifizierten die Krisenreaktion daher als "nutzlos" und als "Dumpster Fire".
Die Vorwürfe gegen den russischen Antivirusproduzenten Kaspersky in den USA nehmen groteske Züge an: Die Handelskette Best Buy stoppt den Verkauf der Produkte, eine Senatorin will Kaspersky sogar von allen Rechnern der Bundesverwaltung entfernen lassen.
Beim US-Finanz- und Bonitätsdiensleister Equifax konnten Kriminelle offenbar rund 143 Millionen Kundendaten kopieren - über eine Sicherheitslücke in einer Webapplikation. Einige Manager verkauften kurz nach dem Hack Teile ihrer Aktienpakete.
In einer Diskussionsrunde in Stuttgart hat sich Kanzlerin Angela Merkel ausführlich zur Digitalisierung geäußert. Dabei ging es neben der Überwachung auch wieder um die Programmierausbildung in der Schule. Aber sie will "kein Horrorland aufbauen".
Die Software für die Übermittlung von Wahlergebnissen ist nicht sicher. In einem Gutachten weisen Mitglieder des CCC auf zahlreiche Missstände hin. Einige wurden immerhin behoben.
Update Ein Startup möchte Hotelkunden weltweit zu einem praktischen Begleiter verhelfen, der den Urlaub mit organisiert sowie kostenfreien Internetzugang und Telefonate ermöglicht. Viele Modelle sind leider unsicher. In Deutschland soll bald eine neue Version der Geräte erscheinen.
Vernetzte Haushaltsgeräte brauchen nach Ansicht der Verbraucherschützer höhere Standards bei IT-Sicherheit, Datenschutz und Produkthaftung. Seiner Digital-Analog-Schwäche bleibt der Verband dabei treu.
Weil das Unternehmen Adware auf den Rechnern der Nutzer installiert hat, muss Lenovo eine Strafe zahlen und 20 Jahre lang ein umfangreiches Sicherheitsprogramm für vorinstallierte Software nachweisen.
Forscher warnen vor einer Sicherheitslücke in der estnischen eID-Karte. Es sei möglich, die Karte ohne PIN einzusetzen. Details sollen im Herbst veröffentlicht werden, die Regierung sieht derzeit noch keinen Grund für einen Rückruf.
Weil er am Arbeitsplatz den Yahoo-Messenger für private Gespräche genutzt hat, ist ein Mann in Rumänien entlassen worden. Der Europäische Gerichtshof für Menschenrechte (EGMR) gab der Klage gegen die Entlassung statt, weil der Arbeitnehmer nicht über die Überwachung informiert worden war.
Update SHA-1-Hashes zu knacken, geht mit Erfahrung auch im großen Stil: Die Hackergrupe Cyno Sure Prime hat 320 Millionen Hashes geknackt, nur bei 116 scheiterten sie. Die Untersuchung zeigt, dass Hunt neben Passwörtern auch einige Benutzernamen veröffentlicht hat.
Ein Bug in der IP-Telefonielösung Asterisk ermöglicht Angreifern, Telefonate mitzuhören. Das Problem liegt in der zugrundeliegenden RTP-Implementierung. Ein erster Patch ist da, aber noch fehlerhaft.
Bei der US-Kommunikationsbehörde FCC können Nutzer über eine API Stellungnahmen hochladen. Das Problem: Mit dem richtigen API-Schlüssel konnten dort beliebige Dokumente hochgeladen werden, so dass Angreifer den Regierungsserver für Malware- und Phishing-Kampagnen nutzen können.
Ein 29-jähriger Brite ist in sein Heimatland überstellt worden. Zuvor war der Mann in Deutschland wegen des Angriffs auf Router der Telekom verurteilt worden, in seiner Heimat drohen ihm vermutlich härtere Strafen als in Deutschland.
Instagram hat eine Sicherheitslücke in der eigenen API bestätigt, mit der private Daten wie E-Mail-Adresse und Telefonnummer von Accounts ausgelesen wurden. Betroffen sind die Accounts mehrerer prominenter Personen.
Eine Einbruchsserie in Hotels in den USA im Jahr 2012 war offenbar umfangreicher als bislang angenommen. Der inzwischen in Haft sitzende Mann hat offenbar Zimmer in über 100 Hotels mit einem selbst gebauten Gerät auf Arduino-Basis geöffnet.
Rund eine halbe Million Patienten in den USA müssen ins Krankenhaus - und sich ein Firmware-Update für ihren Herzschrittmacher aufspielen lassen. Dieser hatte zuvor Befehle per Funk ohne Authentifizierung akzeptiert.
Peinlicher Fehler bei Essential: Eine falsch konfigurierte Mailingliste führte dazu, dass zahlreiche private Daten von Kunden mit anderen Kunden geteilt wurden. Das Unternehmen hat sich entschuldigt. Nach wie vor warten viele Kunden auf vorbestellte Smartphones.
Bei der IT-Sicherheit setzen die Unionsparteien auf eine verstärkte Überwachung des Darknets - durch "Internetpolizisten". Die SPD will die Rolle des BSI reformieren und Haftung für Sicherheitslücken. Nach dem Willen der Linkspartei gehört das BND-Gesetz abgeschafft, die Grünen wollen mehr Prävention.
Forscher haben gezeigt, wie sich digitale Assistenten von Unbefugten missbräuchlich nutzen lassen. Das gelingt mit Sprachbefehlen, die für das menschliche Ohr nicht wahrnehmbar sind. Das Risiko bei Smartphones ist dabei höher als bei smarten Lautsprechern.
Ein internes Gremium soll sich künftig um die Sicherheit des OpenJDK kümmern. Der Vorschlag kommt von Oracles Java-Chefentwickler Mark Reinhold. Die geplante Gruppe soll eng mit Oracles Entwicklungsabteilung zusammenarbeiten.
Mit Appdefense will VMware eine eigenständige Sicherheitslösung anbieten. VMwares ESX-Hypervisor soll künftig die darauf laufenden virtuellen Maschinen überwachen. Werden Anomalien entdeckt, wird der Systemadministrator alarmiert oder die betroffene VM einfach automatisch ausgeschaltet.
Wer ein IoT-Botnetz aufbauen will, muss künftig nicht mal mehr das Internet abscannen. Unbekannte haben im Netz 30.000 unsichere Telnet-Zugänge gesammelt - von denen viele nach wie vor funktionieren.
Die US-Behörden haben einen Mann festgenommen, der durch den Verkauf von Malware den Hack der US-Personalbehörde OPM ermöglicht haben soll. Außerdem soll er mehrere US-Unternehmen gehackt haben.
Update Wer für den Datenschutz kämpft, fühlt sich in Deutschland gelegentlich wie ein einsamer Rufer in der Wüste. Die aktuelle Kampagne des Vereins Digitalcourage dürfte dafür sorgen, dass Politiker Datenschutzaktivisten zukünftig noch weniger ernst nehmen.
/145Kommentare/Eine Analyse von Alexander Merz und Friedhelm Greis
Die staatliche Nachfrage nach Sicherheitslücken für die Quellen-TKÜ zeigt offenbar Wirkung. Schwachstellen in Whatsapp, Signal und anderen Messengern werden besser honoriert als Codeausführung in Windows.
Für lokale Unternehmen: Google will seine Cloud jetzt in zwei Stufen anbieten. Premium-Nutzer haben Zugriff auf das globale Google-Netz, während Standard-Kunden auf regionale Knoten beschränkt sind. Dafür zahlen sie weniger pro Gigabyte.
Heute schon einen Amazon-Gutschein bekommen? Oder eine Paypal-Zahlungsaufforderung? Oder eine Paketbenachrichtigung der Post? Die kann echt sein, ist es aber meistens nicht. Gegen Phishing helfen komplexe, nicht einfach erratbare E-Mail-Adressen. Wir geben ein paar bewährte Tipps.
Das Werbeframework Igexin hat in rund 500 Apps aus dem Play Store Code nachgeladen, der private Daten der Nutzer ausliest und versendet. Die meisten App-Hersteller wissen wohl nicht genau, was das Software-Development-Kit tut, Google hat die betroffenen Apps entfernt.
Verdächtig, nur weil man eine Website besucht hat, auf der Proteste gegen Trumps Amtseinführung geplant wurden? Nein, nein, doch nicht, versichert das US-Justizministerium und macht einen Rückzieher.
Hacker haben mit einer Betrugsmasche mindestens eine halbe Million US-Dollar von Kryptowährungsinteressierten erbeutet. Nachdem die Hacker die Server des Enigma-Projektes übernommen hatten, wurden ihnen das Geld offenbar regelrecht hinterhergeworfen.
Noch immer haben viele Nutzer schlechte Passwörter und benutzen diese gleich für mehrere Accounts. Das geht aus Microsofts eigener Sicherheitsanalyse hervor, die Trends aus dem Enterprise- und Privatkundengeschäft präsentiert.
Mit Hilfe eines Geräts soll es möglich sein, aktuelle iPhones ohne Wissen der Nutzer zu entsperren. Dazu wird eine Sicherheitslücke ausgenutzt, die nur wenige Nutzer betrifft. Apple will den Bug in iOS 11 schließen.
US-Unternehmen sollen nach der Meinung des FBI keine Produkte von Kaspersky mehr einsetzen, besonders wenn sie im Infrastruktur-Bereich aktiv sind. Kaspersky widerspricht Behauptungen, man arbeite mit dem russischen Geheimdienst zusammen.
Ursprünglich wollte Foxit Software zwei von der Zero Day Initiative entdeckte Sicherheitslücken in seiner PDF-Software nicht schließen, schließlich hat die Software einen Safe Mode, der das Ausführen von Javascript unterbindet. Nach einem Blogeintrag der Initiative hat es sich Foxit anders überlegt.
