Großbritannien will EU-weite heimliche Online-Einbrüche legalisieren

Britische Regierung drängt auf EU-weite heimliche Online-Durchsuchungen (Heise.de)

Ausschnitt:

Selbst Polizeikräfte aus anderen EU-Ländern sollen demzufolge verdeckt Zugriff auf Festplatten der Bürger eines Mitgliedsstaates erhalten, soweit es dort gesetzliche Regelungen für Online-Razzien gibt. [...]

Andererseits könnten BKA-Beamte den "Bundestrojaner" etwa gegen Verdächtige in Großbritannien einsetzen – in diesem Fall dann auch ohne Richtererlaubnis. (Quelle: Heise.de)

Ein kleiner Wink an die Computerhersteller: Computer, die für den Nutzer wirklich
anwenderfreundlich eingeteilt sind in einen sicheren Bereich (wo die persönlichen Daten auf dem Rechner liegen) und einen unsicheren Bereich (von Außen ohne Passwort zugänglich und zum Surfen im Internet etc.) könnten in der EU bald großen Anklang finden. Je mehr Staaten heimliche Wohnungseinbrüche bei ihren Bürgern machen oder je mehr heimliche Schadsoftware der Staat unter seinen Bürgern ausbreitet, desto sicherheitsbewusster werden die Bürger und Konsumenten werden. Ein großer Markt.

Ein solch sicherer Computer müsste einerseits vor physischem, handgreiflichem Zugriff durch Unbefugte geschützt sein und andererseits vertrauliche Daten auch vor einem Online-Zugriff Unbefugter schützen. Das ist natürlich heute schon realisierbar durch jeden Computernutzer, der sich etwas auskennt und etwas Mühe auf sich nimmt. Die Herausforderung bestünde jedoch darin, solch einen sicheren Computer möglichst anwenderfreundlich zu gestalten, so dass auch unbedarfte Computernutzer geschützt werden können. Wenn also der Großvater nur beispielsweise einen Kippschalter umlegen muss, um sicher im Internet surfen zu können (und auch nicht eher ins Internet käme, bis er den absichernden Kippschalter betätigt hat) und wenn sein Computer automatisch gegen Zugriff von Unbefugten gesichert ist, wenn er den Computer runterfährt - und wenn solch ein Sicherheitskonzept "ab Werk" fertig (und vertrauenswürdig) im Computer installiert wäre, dann wäre dies ein großer Fortschritt.

Eine Idee wäre beispielsweise, dass der Bereich, wo das Betriebssystem und die Programme installiert sind, bei jedem Neustart des Rechners automatisch von einer nicht kompromitierbaren Sicherheitskopie neu aufgespielt wird. Und dass der Zugriff auf persönliche Daten nur per Passwort möglich ist. Und dass die Kommunikation zwischen dem "Arbeitsbereich" des Computers (Betriebssystem und Programme) und dem "Datenbankbereich" (persönliche Daten) intern nur verschlüsselt möglich ist. Außerdem müsste das Keyboard hardwareseitig so gestaltet sein und die Hardware insgesamt so integriert sein, dass das Anbringen beispielsweise von externen, hardwareseitigen Keyloggern dem Nutzer sofort auffallen würde. Und so weiter. Viele Ideen wären hier noch nötig und damit viele Innovationen. Was nichts anderes bedeutet als eine Chance, ein Produkt, das mit steigender Nachfrage rechnen kann, auf den Markt zu bringen.

Honeypot-Betreiber fischen hunderttausende von Passwörtern und PINs aus dem Internet

Keylogger unter die Lupe genommen (Heise.de)

Ausschnitt:

Ein Team um den Honeynet-Spezialisten Thorsten Holz von der Universität Mannheim hat eine Fallstudie zu Bank-Trojanern, Keyloggern und deren Datensammelstellen (Dropzones) veröffentlicht. Die Forscher haben mehrere der Schädlinge und deren Aktivitäten über einen längeren Zeitraum beobachtet und dabei mehr als 33 GByte an Logdaten von mehr als 70 unterschiedlichen datenstehlenden Schädlingen in den Dropzones gefunden.

Die Logdaten enthielten persönliche Informationen von mehr als 170.000 Opfern wie Passwörter, PINs, Benutzernamen und ähnliche Daten. Darunter fanden sich auch mehr als 10.000 Bankkontodaten inklusive PINs, mehr als 140.000 E-Mail-Passwörter und fast 80.000 Zugangsdaten zu Social-Networking-Seiten wie Facebook und Hi5. (Quelle: Heise.de)

Audit-Verfahren als Teil der Datenschutz-Strategie

Audit (Schneier.com)

Bruce Schneier erklärt die Wichtigkeit von Audit-Verfahren für den Datenschutz, also Verfahren zum Überprüfen, wer, was, wann, wie, wo, in welchem Umfang an Daten bei einem System abgerufen, bearbeitet, weitergeleitet und gespeichert hat.

Ausschnitt:

The police have enormous power, including the ability to intrude into very intimate aspects of our life in order to solve crimes and keep the peace. This is generally a good thing, but to ensure that the police don't abuse this power, we put in place systems of audit like the warrant process. (Quelle: Schneier.com)

Der sogenannte "Richtervorbehalt" wäre - wenn er funktionieren würde - auch so ein Teil eines Audit-Systems. Leider ist dieses System offensichtlich überfordert und tut seine Arbeit nicht, was man fast täglich an beispielsweise nicht gerechtfertigten Hausdurchsuchungen in Deutschland beobachten kann.

An Audit-Verfahren mangelt es offenbar in Deutschland vielerorts. Sei es beispielsweise bei der Polizei oder bei der Deutschen Telekom. Fehlende Audit-Verfahren sind Zeichen übelster Unprofessionalität und/oder fehlender gesetzlicher Vorgaben und behördlicher Kontrollen. Deutsche Firmen und Behörden sind leider allem Anschein nach ein schleimiger Ort übelster Unprofessionalität. Hängt wohl letztlich auch mit der Obrigkeitshörigkeit und dem fehlenden Selbstvertrauen der Deutschen als Bürger und Konsument zusammen und mit der fehlenden, kritischen Öffentlichkeit wegen nicht vorhandener guter Medien in Deutschland.

Feldtest zeigt: Gesundheitskarte funktioniert nicht, was deren Einführung natürlich nicht verhindern wird

Elektronische Gesundheitskarte: Schleswig-Holsteiner zu doof? (Zeit.de)

Ausschnitt:

Beim Testlauf der umstrittenen elektronischen Gesundheitskarte konnten sich im Norden drei Viertel der Patienten ihre PIN nicht merken. [...]

Schleswig Holstein als Testregion für die elektronische Gesundheitskarte (eGK) war eine Pleite. Dort haben 75 Prozent der beteiligten Patienten ihre eGK durch Eingabe einer falschen Persönlichen Identifikationsnummer (PIN) gesperrt. (Quelle: Zeit.de)

Vielleicht sollten die Schleswig-Holsteiner wegen ihrer Vergesslichkeit mal zum Artz gehen? Ach, nee, geht ja nicht. (Und ja: Zeit.de verlinkt zur tieferen Erläuterung von eigenen Meldungen auf Artikel bei Heise.de. Enorm. Das würde ich mir ja viel öfter wünschen, dass Medien untereinander verlinken. Könnte natürlich sein, dass Zeit.de das nicht einfach so macht, sondern dass da irgendwelche komplizierten Absprachen zwischen Holtzbrinck und Heise stattgefunden haben müssen zuvor...)

Dass der ganze Ansatz hinter der Gesundheitskarte mit PIN falsch sein könnte, darauf scheinen die Verantwortlichen nicht zu kommen, beziehungsweise nicht kommen zu wollen. Es seien halt spezifisch die Schleswig-Holsteiner und man solle halt PINs wie die Ziffernfolge "123456" nehmen.

Wir haben vielleicht Pfeifen! Und damit meine ich nicht die armen Schleswig-Holsteiner.

Lehrerin wegen Pornobildern auf Computer verurteilt: ein Beispiel, wie ein mit Malware infizierter Rechner zur Verurteilung von Unschuldigen führt

Proof: Porn Pop-Up Teacher is Innocent, Despite Misdemeanor Plea (Wired.com, "Threat Level")

Eine Lehrerin wurde in den USA verurteilt, weil auf einem von ihr genutzten Schulcomputer Porno-Bilder zu sehen waren. Experten lasen von dem Urteil und untersuchten den Computer nachträglich. Es stellte sich heraus, dass auf dem Computer keine funktionierende Antiviren-Software oder Firewall oder Pop-Up-Blocker installiert waren. Stattdessen fand sich Spyware und Adware auf dem Computer. Die Porno-Bilder wurden vermutlich automatisch ohne Mitwirkung der technisch anscheinend überforderten Lehrerin aus dem Internet geladen.

Social Network Sites als Daten-Fundgrube für personalisierte Phishing-Mails

Cyber thieves target social sites (BBC News)

Ausschnitt:

The quasi-intimate nature of the sites makes people share information readily leaving them open to all kinds of other attacks, warn security firms.

Detailed information gathered via the sites will also help tune spam runs or make phishing e-mail more convincing. [...]

Alongside technical vulnerabilities in the networks go other problems with the amount of information that people share on social networking sites.

This data can give criminals knowledge about the names of employees at a company, insight in its managerial make-up or information about its processes to lend credibility to other attacks. [...]

"It is remarkable that people use social networking websites to publish details about their lives, loves, jobs and hobbies to the entire world that they would not dream of sharing with a stranger in a bar," he said. (Quelle: News.BBC.co.uk)

Alternativen zu Google

Google-Alternativen (c't)

Was können die Google-Konkurrenten? Von den Funktionen her können sie teilweise mehr. Aber häufig bieten sie nicht die Integration und/oder gleich gute Gebrauchstauglichkeit wie die Google-Produkte. Und ob die Google-Konkurrenten vertrauenswürdiger mit Daten umgehen als Google, darf wohl leider auch bezweifelt werden.