Ende 2015 veröffentlichte die Firma SEC Consult eine Untersuchung über die Gefahr von Geräten mit voreingestellten privaten Schlüsseln. Genützt hat es offenbar nichts: Die Zahl derartiger Geräte ist um 40 Prozent gestiegen, knapp 50.000 nutzen dabei sogar ein gültiges Zertifikat.
Update Eine Kanzlei, die gegen unrechtmäßige Nutzung von Fotos vorgeht, nutzt offenbar Software, die nachlässig konfiguriert ist. Unberechtigte Nutzer konnten Daten zu Mandaten und Abmahnungen einsehen.
Ein offensichtlich historisch interessierter britischer Politiker teilt aus Versehen sein Passwort und andere Zugangsdaten auf Twitter mit. Dabei geht es um den Kampf der Normannen gegen die Angelsachsen. Mittlerweile hat die Kampagne den Post entfernt - und sich ein neues Passwort ausgedacht.
Nicht alle anonymen Mailanbieter sind kommerzielle Unternehmen. Das Aktivistenkollektiv Riseup bietet Nutzern weltweit kostenfreie IT-Produkte an, steht aber jetzt vor enormen Schwierigkeiten. Wenn nicht genügend Geld zusammenkommt, werden im kommenden Monat 150.000 Mailadressen abgeschaltet.
Die Pornowebseite Brazzers reiht sich ein in die lange Liste von gehackten vBulletin-Foren. Einige der Accounts sollen als Login für die Webseite genutzt worden sein. Die Passwörter sind ungeschützt.
Eine neue Bridge-Authority soll auch künftig sicherstellen, dass Tor trotz Zensur genutzt werden kann. Ein von Aktivisten angekündigter Generalstreik im Netzwerk ist weitgehend ausgefallen.
Das Denken wird zum biometrischen Merkmal: Forscher in den USA haben ein biometrisches System entwickelt, das Hirnströme erkennen und als Passwort nutzen kann. Das Lesegerät haben sie in einem Gegenstand versteckt, den die meisten ohnehin dabei haben.
Schon wieder neue Passwörter: Einige Kunden von Spotify sollen sie als Vorsichtsmaßnahme ändern, der Hintergrund bleibt vage. Auch nach welchen Kriterien die Kunden ausgewählt wurden, ist nicht bekannt.
Dropbox warnt zahlreiche Nutzer vor einem Einbruch in die eigenen Systeme aus dem Jahr 2012. Betroffene Accounts sollten mit einem neuen Passwort versehen werden.
Eine ganze Reihe von Vorfällen bringt die Zertifizierungsstelle Wosign in Erklärungsnot. Verschiedene Sicherheitslücken ermöglichten die unberechtigte Ausstellung von HTTPS-Zertifikaten. Die Zertifizierungsstelle Startcom wurde unterdessen offenbar vom Wosign-Gründer übernommen.
Moderne Router für mehr als 150 Euro bieten automatische Updates und die aktuellen Funkstandards. Doch was können Nutzer im Einsteigerbereich in puncto Sicherheit erwarten? Wir haben uns ein paar Router für unter 30 Euro pro Stück gekauft und nachgeschaut.
Die Ankündigung von Whatsapp, künftig die Telefonnummer der Nutzer mit Facebook zu teilen, hat bei vielen Nutzern für Empörung gesorgt. Andere Messenger scheinen davon zu profitieren.
Der Browser-Hersteller Opera hat seine Nutzer über einen Angriff auf seine Server informiert. Von der schnell abgewehrten Attacke sei das Sync-System betroffen, möglicherweise wurden Passwörter und Nutzernamen abgegriffen. Sicherheitshalber wurden alle Passwörter zurückgesetzt.
In iOS stecken Sicherheitslücken, die aktiv ausgenutzt werden und viel Schaden anrichten können. Angreifer erhalten weitreichenden Zugriff auf ein iPhone. Apple hat einen Patch veröffentlicht, mit dem die Sicherheitslücken geschlossen werden.
Der Fingerabdrucksensor im iPhone und iPad, deren Kameras und Mikrofone können auch dazu genutzt werden, Diebe zu überführen, die die teuren Geräte gestohlen haben. Apple hat dazu einen Patentantrag gestellt.
OpenSSL veröffentlicht die neue Version 1.1.0. Neu hinzugekommen sind die Algorithmen ChaCha20 und X25519 sowie Unterstützung für Certificate Transparency. Vor allem aber ist das Release eine große Aufräumaktion.
Die aktuelle Version 10 von Nextcloud verbessert die Überwachung des Servers und ermöglicht eine detailliertere Kontrolle über Dateizugriffe. Offizielle Desktop-Clients für Windows, Mac OS X und Linux sollen folgen.
Ein neuer Angriff auf TLS- und VPN-Verbindungen betrifft alte Verschlüsselungsalgorithmen wie Triple-DES und Blowfish, die Daten in 64-Bit-Blöcken verschlüsseln. Der Angriff erfordert das Belauschen vieler Gigabytes an Daten und dürfte damit nur selten praktikabel sein.
Update Verwirrung um die deutsch-französische Erklärung zum Kampf gegen den Terror. Während Paris Zugriff auf verschlüsselte Kommunikation fordert, will die Bundesregierung das nicht so vereinbart haben.
Biometrische Systeme sind praktisch: Der Nutzer meldet sich mit einem Körperteil an, etwa seinem Gesicht. Solche Systeme lassen sich aber relativ gut austricksen.
Die Regierungen von Deutschland und Frankreich wollen Kommunikationsdienste verpflichten, verschlüsselte Nachrichten der Nutzer zu entschlüsseln. Es bleibt unklar, wie das ohne Hintertüren gehen soll.
Keine Ümläüte mehr in Öütlöök-IMÄP-Pässwörtern: Erst machte POP-3 bei Outlook 2016 Probleme, und Microsoft riet zum Umstieg auf IMAP. Jetzt nimmt IMAP nicht mehr alle Passwörter, und Microsoft rät dreierlei.
Die Abmahnung von Urheberrechtsverletzungen ist ein Geschäft. Viele zahlen auch, wenn sie nichts getan haben. Der Abmahnbeantworter des CCC bietet kostenlose Hilfe.
Mit Krypto-Mining lässt sich viel Geld verdienen - vor allem, wenn man fremde Computer für sich schürfen lässt. Eine Malware, die das ermöglicht, hat das Projekt Internetwache.org aufgespürt und analysiert. So harmlos die Software aussieht, so gefährlich ist sie.
/39Kommentare/Eine Analyse von Tim Philipp Schäfers und Sebastian Neef
Die Foren des Spieleherstellers Epic Games wurden gehackt, wieder war eine Sicherheitslücke in vBulletin die Ursache. Bei einigen der Foren wurden auch Passwörter erbeutet. Mehr als 800.000 Accounts sollen betroffen sein.
Eine kritische Sicherheitslücke in Veracrypt und Truecrypt ermöglicht Angreifern, die Existenz eines Hidden-Volumes zu beweisen. Ein Patch ist verfügbar, Nutzer müssen jedoch aktiv werden.
Die Webseite DLH.net wurde gehackt und Millionen Nutzerdaten kopiert - schuld war offenbar eine bekannte Sicherheitslücke im vBulletin-Forum. Es ist nicht das erste Mal, dass diese Sicherheitslücke ausgenutzt wird.
Eine schwerwiegende Sicherheitslücke befindet sich offenbar seit 1998 im Code von GnuPG und der dazugehörigen Bibliothek Libgcrypt. Unter bestimmten Umständen lassen sich Zufallszahlen voraussagen, die genauen Auswirkungen sind allerdings unklar.
Die Mac-Virtualisierungsumgebung Parallels Desktop 12 soll deutlich schneller geworden sein und enthält 20 Werkzeuge für den Mac und Windows, um zum Beispiel Videos zu konvertieren, Dateien zu entpacken oder Screenshots zu machen.
Auf den PGP-Keyservern sind massenhaft Kopien von existierenden PGP-Keys mit der identischen Key-ID aufgetaucht. Die stammen von einem Experiment von vor zwei Jahren. Key-IDs dürften damit ausgedient haben, als Ersatz sollte man den gesamten Fingerprint nutzen.
Update Ein Audit soll klären, ob der Truecrypt-Nachfolger Veracrypt Sicherheitslücken hat. Die Macher der Initiative berichten, dass der Versuch sabotiert werde - E-Mails würden unauffindbar verschwinden. Einer der beteiligten kritisiert die Veröffentlichung.
Pokémon Go gibt es offiziell nicht für Windows - was Ransomware-Autoren nicht davon abhält, Trojaner-Versionen zu entwickeln. Eine Variante zielt vor allem auf arabischsprachige Nutzer ab.
Mit Hilfe einer App sollen Strafverfolgungsbehörden Inhalte von Messenger-Apps zurückholen können. Betroffen sind auch Whatsapp, Signal, Telegram sowie der Facebook-Messenger.
Facebook soll Nutzerdaten gar nicht oder nur zögerlich an deutsche Sicherheitsbehörden herausgeben. Bundesinnenminister de Maizière will hier den Druck erhöhen.
Weil sie verschlüsselte Botschaften an Attentäter nicht dekodieren konnten, haben sich deutsche Strafverfolger an den US-Geheimdienst NSA gewandt. Der hat geholfen.
Update Die Debatte über das Knacken verschlüsselter Kommunikation geht weiter. Nun will Frankreich gemeinsam mit Deutschland eine internationale Initiative gegen Verschlüsselung starten.
Bei der Entwicklung des Anniversary-Updates für Windows 10 ist Microsoft ein peinlicher Fehler unterlaufen: Die ausgelieferte Version der Software enthielt Funktionen, die Secure Boot außer Kraft setzen. Das Unternehmen versucht, den Schaden zu begrenzen.
Update Ganz egal, wie Nutzer im Netz kommunizieren: Bundesinnenminister de Maizière will alle Anbieter dazu verpflichten, die Verbindungsdaten auf Vorrat zu speichern.
Zahlreiche Plattformen verkaufen im Darknet illegale Drogen. Deren Umsatz nimmt einer Studie zufolge zwar zu. Doch der Anteil am gesamten Markt ist verschwindend gering.
Mit einem Arduino und Hardware im Wert von 40 US-Dollar lassen sich fast alle Modelle der VW-Gruppe aus den vergangenen 15 Jahren öffnen - sagen Sicherheitsforscher. Das Unternehmen hat die Lücke eingeräumt. 14 weitere Autohersteller sind betroffen.
Wer im Dota-2-Forum aktiv ist, muss kreativ werden und sich ein neues Passwort ausdenken. Ein Fehler in der Datenbanksoftware ermöglichte den Zugriff auf die Datenbank.
Kriminelle haben offenbar ein weit verbreitetes Kassensystem von Oracle kompromittiert. Bislang ist unklar, wie viele Systeme tatsächlich betroffen sind - Oracle selbst hält sich mit Statements zurück. Hinter den Angriffen wird die Carbanak-Bande vermutet.
Auf der Defcon hat ein Hacker verschiedene Angriffsszenarien gegen den Bezahldienst Samsung Pay vorgestellt, mit denen auf fremde Rechnung eingekauft werden kann. Samsung widerspricht einigen der Darstellungen, räumt aber Schwächen ein.
Einige alte Technologien sollen verschwinden: Google will Flash weitgehend aus Chrome verbannen und Microsoft entfernt die unsichere RC4-Cipher aus Edge und dem Internet Explorer.
Zwei Hacker haben drei Viertel der von ihnen untersuchten Bluetooth-Smartlocks knacken können - mit stellenweise haarsträubend einfachen Mitteln. Die Reaktion der Hersteller zeugt nicht von großem Interesse, an den Problemen etwas ändern zu wollen.
Ein Blick ins Bitcoin-Depot dürfte für Nutzer von Bitfinex unangenehm sein - denn alle Einlagen sind rund ein Drittel weniger wert als vor dem Hack. Möglicherweise gibt es zu einem späteren Zeitpunkt eine volle Entschädigung.
Möglicherweise war die Demo von Doom entscheidend daran beteiligt, dass das Kopierschutzsystem Denuvo nun offenbar umgangen werden kann. Geknackte PC-Versionen von Rise of the Tomb Raider und Inside sind im Netz verfügbar.
