IT-Sicherheit

Eine neu entdeckte Malware für iOS soll die Nutzerdaten von mehr als 225.000 Apple-Accounts abgegriffen haben und iPhones für die Benutzer sperren. Es sind nur Nutzer betroffen, die selbst einen Jailbreak aus chinesischen Cydia-Repositories installiert haben.

Die Schnüffelsoftware Regin bringt nicht nur Keylogger oder Passwort-Sniffer mit: Mit zahlreichen weiteren Modulen lässt sich nicht nur spionieren, sondern auch eine komplexe Infrastruktur innerhalb eines angegriffenen IT-Systems aufbauen.

Hacker können nun auch mit der Sicherheitsprüfung von Owncloud Geld verdienen. Die Prämien können sich allerdings noch nicht mit denen von großen Unternehmen wie Google oder Microsoft messen.

Tauschgeschäft unter Geheimdiensten: Der deutsche Verfassungsschutz darf die Software Xkeyscore der NSA benutzen und liefert im Gegenzug möglichst viele Daten an den US-Geheimdienst.

Eine Strandwebcam ist nach einer Anzeige eines Urlaubers abgeschaltet worden. Der Mann wollte sich am Strand nicht einzoomen lassen.

In Googles Play Store wurde eine Applikation entdeckt, die die sogenannte Certifi-Gate-Schwachstelle ausnutzt, um unerlaubt erhöhte Zugriffsrechte unter Android zu erlangen. Die Entdecker der Schwachstelle haben eine erste Erhebung zur Verbreitung von Certifi-Gate veröffentlicht.

Einige Wochen vor dem Angriff des Impact Teams warnten interne Sicherheitsexperten vor gravierenden Mängeln in der Infrastruktur der Webseite.

Nutzer haben gegenwärtig wenig Kontrolle darüber, über welche Regionen in der Welt ihre Daten geleitet werden. Das will das Alibi-Projekt ändern. Es soll ein Peer-to-Peer-Netzwerk entstehen, durch das Daten um zensurgefährdete Regionen herumgeleitet werden.

Der E-Mail-Anbieter Posteo hat seinen jährlichen Transparenzbericht veröffentlicht und übt dabei massive Kritik an den Behörden, die teils formal unzulässige Anfragen gestellt haben.

Nicht absehbare Sicherheitsrisiken im Internet der Dinge: Googles IT-Sicherheitschef Gerhard Eschelbeck warnt vor zunehmenden Hacker-Angriffen. Gleichzeitig wirbt er in einem Interview für einheitliche Sicherheitsstandards in der IT-Branche.

Spotify hat für seine neuen Datenschutzbestimmungen viel Kritik bekommen. Nun versucht Spotify, anhand von Beispielen diese weitergehenden Rechte zu begründen. Außerdem betont das Unternehmen, dass diese Rechte optional sind und die Bestimmungen noch einmal überarbeitet werden sollen.

Obwohl die Daten des Seitensprungportals Ashley Madison nicht verifiziert sind, bieten sie die Möglichkeit des Aussetzens der Unschuldsvermutung zur Anprangerung der vermeintlichen Sünder und mittlerweile sogar Erpressung. Erste Erpresssungsfälle hat Brian Krebs entdeckt.

Personalisierung gilt als der Schlüssel für den Erfolg von Musikdiensten. Dafür müssen die Anbieter viel über ihre Nutzer wissen, wie die neuen Datenschutzregeln bei Spotify zeigen.

Das Computersystem im Bundestag ist abgeschaltet. Anlass dafür war ein groß angelegter Hackerangriff auf den Bundestag vor einigen Monaten. Die Systeme werden jetzt überarbeitet.

Mehr Sicherheit bei den E-Mail-Diensten GMX und Web.de: Ab sofort können Anwender ihre E-Mails per PGP verschlüsseln. Zusätzlich wollen die beiden Dienste den E-Mail-Verkehr zwischen Servern mit dem offenen Standard DANE absichern.

Ohne viel Aufwand hat ein Sicherheitsforscher auf die Backend-Infrastruktur von Pocket zugreifen können. Die Fehler sind zwar inzwischen behoben, dem Streit um die Aufnahme der App zum späteren Lesen in den Firefox-Browser könnte dies aber neuen Anschub geben.

Update Offenbar haben sich Unbekannte, die für die jüngste Spamwelle verantwortlich sind, auch Zugangsdaten zu E-Mail-Konten bei der Telekom verschafft. Mit gekaperten E-Mail-Adressen der T-Online-Konten werden Spammails mit Links zu verseuchten Webseiten versendet.

Microsoft hat einen Sicherheits-Patch für den Internet Explorer veröffentlicht. Der Besuch einer entsprechend modifizierten Webseite erlaubt es Angreifern, beliebigen Code auf dem fremden System auszuführen. Das Sicherheitsloch wird bereits aktiv ausgenutzt.

Mehrere Millionen Kundendaten des Seitensprungportals Ashley Madison sollen im Internet veröffentlicht worden sein. Unklar ist, ob die Datensätze echt sind. Die Täter wollten zuvor die Abschaltung des Portals erzwingen.

Eine Sicherheitslücke bei den E-Mail-Anbietern von United Internet, darunter Web.de, GMX und 1und1 hätten Angreifer ausnutzen können, um sich Zugriff auf Kundenkonten zu verschaffen. Die Lücke ist inzwischen geschlossen.

Vor ein paar Monaten hat ein Hacker den 3DS von Nintendo über das plötzlich heißbegehrte Spiel Cubic Ninja gehackt. Nun hat er das Gleiche mit der offiziellen Youtube-App geschafft - und demonstriert im Video unter anderem, wie er ein Spiel mit Regionalsperre ausführt.

Mit Hintergrundgeräuschen wollen Forscher aus der Schweiz ein sicheres Authentifizierungssystem entwickeln, das den klassischen Login mit Username und Passwort ablösen soll, ohne dass der Nutzer SMS von seinem Smartphone eintippen muss. Das neue Verfahren nennt sich Sound-Proof.

DDoS per P2P: Eine Schwachstelle in Bittorrent kann für schwere DDoS-Attacken ausgenutzt werden. Das Risiko für den Angreifer ist gering.

CC-Camp Wie gefährlich sind Sicherheitslücken in aktuellen Fahrzeugen? Dieser Frage ging der IT-Sicherheitsexperte Thilo Schumann nach. Fahrzeuge würden zwar immer sicherer, Entwarnung gebe es aber nicht.

Encryptor RaaS nennt sich ein neuer digitaler Erpressungsdienst, der im Tor-Netzwerk aufgetaucht ist. Sein Erschaffer hat offenbar bei Reddit dafür geworben. Angeblich soll es bereits erste Kunden geben.

CC-Camp Die Electronic Frontier Foundation setzt ihre Do-Not-Track-Kampagne mit der Freigabe ihres Browser-Addons Privacy Badger als Beta-Version fort. Die Erweiterung soll vor Tracking warnen und es gegebenenfalls blockieren.

Kaspersky soll seinen Konkurrenten mit falscher Malware geschadet haben. Das werfen ehemalige Mitarbeiter dem russischen IT-Sicherheitsunternehmen vor.

Nutzer des Cloud-Speichers Dropbox können eine neue Möglichkeit der Zwei-Faktor-Authentifizierung nutzen: Neben dem Passwort sorgt jetzt ein USB-Stick mit U2F-Standard für zusätzliche Sicherheit beim Einloggen.

Google muss einen der Stagefright-Patches überarbeiten. Der Patch schließt die Sicherheitslücke nicht, und Android-Geräte sind weiterhin angreifbar. Ein korrigierter Patch für die Nexus-Modelle wird diesen Monat aber nicht mehr erscheinen.

Apple hat mit OS X 10.10.5 kurz vor der Veröffentlichung von OS X 10.11 alias El Capitan ein Update für sein Betriebssystem vorgestellt, das vor allem Stabilitätsverbesserungen und Sicherheitsupdates enthält.

Die Debatte um die Datenschutzeinstellungen in Windows 10 geht weiter. In einer Untersuchung ist herausgekommen, dass Microsoft auch dann Daten eines Windows-10-Systems sammelt, wenn dies eigentlich nicht passieren sollte.

Nymi entwickelt ein Armband, das den Herzrhythmus des Trägers erkennt, der ähnlich wie ein Fingerabdruck individuell ist. Eine Mastercard-Kreditkartenzahlung ist bereits mit einem Prototypen erfolgt. In Zukunft könnten die Sensoren auch in Uhren und anderen Wearables stecken.

Update Die Bundesregierung wollte Kleinverbrauchern eigentlich den Einbau intelligenter Strommesssysteme ersparen. Nun ermöglicht ein Gesetzentwurf aber Betreibern und Vermietern, auch kleinste Verbraucher daran anzuschließen. Den Verbraucherschützern geht das "viel zu weit".

Keine Versionssprünge mehr für Kali Linux: Ab Version 2.0 sollen einzelne Updates die Linux-Distribution für IT-Sicherheitsexperten stets auf dem aktuellen Stand halten. Die Pro-Variante von Metasploit mussten die Kali-Entwickler aber entfernen.

Vor einigen Jahren haben Forscher entdeckt, dass sich Motorolas Megamos-Transponder, der in den Autoschlüsseln unter anderem von Volkswagen verwendet wird, angreifen lässt. VW ließ damals gerichtlich untersagen, Detailinformationen über die Lücke zu veröffentlichen. Jetzt ist dies gelungen.

US-Sicherheitsexperten haben ein vernetztes Auto per SMS gehackt und gesteuert. Über einen Stick zur Nutzerabrechnung drangen sie in die Steuerung einer Corvette ein. Möglicherweise funktionierte der spektakuläre frühere Hack eines Cherokee Jeep ähnlich.

Nach einer kompletten Neuinstallation von Windows auf einem Lenovo-Laptop wurde zur Überraschung eines Anwenders plötzlich auch ein Lenovo-Dienst gestartet. Er vermutete eine Art Bios-Rootkit und lag damit offenbar gar nicht so falsch.

Update Whispeer soll ein sicheres soziales Netzwerk sein. Daher haben dessen Entwickler eine Ende-zu-Ende-Verschlüsselung eingebaut - und es damit in die Endrunde der Security Startup Challenge geschafft.

Am gestrigen Patch-Tuesday hat Microsoft eine gravierende Schwachstelle geschlossen, die das Einschleusen von Schadcode über USB-Sticks ermöglicht und bereits aktiv ausgenutzt wird. Außerdem wurden zahlreiche Speicherlücken im Browser Edge geschlossen.

Pressemitteilungen beinhalten gelegentlich Informationen, die an der Börse viel Geld wert sind - vor allem, wenn sie vor ihrer Veröffentlichung in die Hände von Tätern gelangen, die damit Insidergeschäfte machen. In den USA wurde ein Verbrecherring zerschlagen, der über 100 Millionen US-Dollar damit verdient haben soll.

Ein komplexer Angriff nutzt eine trickreiche Kombination aus Clientzertifikaten und einem statischen Diffie-Hellman-Schlüsselaustausch. Der Angriff ist nur in sehr speziellen Situationen relevant, doch es zeigt sich wieder einmal, dass das TLS-Protokoll selbst Sicherheitslücken hat.