WeTalkSecurity - der ESET Podcast

By ESET DACHBusiness News Technology Tech News

WeTalkSecurity - der ESET Podcast episodes

February 21, 2023Digitalisierung in der Schule: Ist jetzt alles besser? | Folge 13
Was sind die Herausforderungen bei der Schule 2.0? Gibt es Lösungsansätze?
Wie steht es um die digitale Ausstattung der Schulen? Was hat der Digitalpakt Schule bislang erreicht? Was können Lehrer, Eltern und Schüler tun? In einer neuen Folge von WeTalkSecurity spricht Christian Lueg noch einmal mit Ildiko Bruhns, Projektverantwortliche des Portals SaferKidsOnline und selber Mutter.
Ildiko Bruhns betreut das Projekt Saferkidsonline für die DACH-Region. Das Portal richtet sich an Eltern, Kinder und Lehrende. Hier gibt es zu vielen Themen rund um den Nachwuchs und die digitale Welt hilfreiche Artikel, Ratgeber und Anleitungen. Zum Beispiel, wie man ein Smartphone kindersicher machen kann oder was man in den sozialen Medien beachten sollte.
Wie sieht es mit der Digitalisierung in der Schule aus?
Nach den Corona-Jahren hat sich in den Schulen leider nicht viel getan. Der Digitalpakt von Bund und Ländern soll für eine bessere Austattung in Schulen sorgen.Laut Ildiko Bruhns ist dieser Pakt ein Bürokratiemonster und eine harte Nuss, denn die Antragsverfahren sind aufwendig. Manche Schule bekommen nichtmals etwas aus dem Topf wenn die Struktur veraltet und bspw. kein Breitbandnetz technisch realisierbar ist. Zudem muss ein Medienentwicklungsplan vorliegen.
Der Pakt umfasst ein Volumen von 7 Milliarden Euro. Nicht einmal 10 Prozent wurden bisher aufgerufen. Bei 32.000 Schulen ist dieser Betrag nicht hoch, der pro Schule verfügbar.
Zudem sind Schulen je nach Region bzw. Bundesland unterschiedlich aufgestellt und unterliegen einem anderen rechtlichen Rahmen.
"Mit der Anschaffung beginnt zwar Internetsicherheit, aber sie ist nicht abgeschlossen", sagt Ildiko. Denn nur der Besitz befähigt die Besitzer noch nicht damit richtig umzugehen. Schüler sind häufig bei der Medienkompetenz den Lehrern bei weitem überlegen. Hier besteht weiterhin Nachholbedarf auch bei der Schulung der Lehrer.
Das gilt auch bei der Vermittlung von Wissen, hier wird der Input bzw. das Know-how von externen Experten dankbar angenommen. Ildiko ist hier bereits in Schulen gegangen und hat hier ihr Wissen vermittelt. Auch bei Elternabenden sind solche Workshops möglich und Ildiko sieht hier einen großen Vorteil. Bei Interesse können sich Schulen oder auch Eltern gerne an uns wenden ([email protected]). Wir stellen gerne den Kontakt her.
Wo geht die Reise bei der Digitalisierung hin?
Die Politik hat das Problem mit den Antragsverfahren erkannt und soll vereinfacht werden. Es geht nämlich auch anders. "Internet" und Internet gehört in den Lehrplan und spielt in alle Fächer hinein. Genauso findet Ildiko es sinnvoll einen "Mobile Work" Tag zu machen, wo Lehrer und Schüler den Digitalunterricht gezielt üben.
Wie sieht es bei der Internetkompetenz der Eltern aus?
ESET bzw. Saferkidsonline hat hierzu eine Umfrage durchgeführt. 40 Prozent der 2.000 Befragten Eltern haben ihre Kompetenz als gut, ein Drittel sogar als sehr gut betitelt. Auffällig war, dass Männer ihr Wissen deutlich höher einschätzen als Frauen.
Drei Tipps der Expertin
Digitales Schützen steht oben auf Agenda, ob Smaprthone, Computer oder Schul-Tablet Daten gehören abgesichert und ein Virenschutz installiert. Diese erkennt Phishing-Seiten und andere Bedrohungen. Updates für Apps und das Betriebssystem sollten immer bei Verfügbarkeit installiert werden.
Datensparsamkeit sollte oberstes Gebot sein. Eltern sollten ihre Kinder darüber aufklären, was es bedeutet persönliche Daten im Internet zu veröffentlichen. Hier können am Ende ganze Identitäten gestohlen werden.
Starke Passwöter bzw. Zwei-Faktor-Authentifizierung sind wichtig. So können diese nicht erraten werden und 2FA schafft eine zusätzliche Schutzebene.
23 min
January 11, 2023 Digitale Zeitenwende: Ein Schritt zu mehr IT-Sicherheit? | Folge 12
Ist Deutschland hier gut aufgestellt? Was sind die Herausforderungen für Unternehmen und Anwender?
Digital soll eine Zeitenwende in Deutschland anbrechen. Zunehmende Angriffe im Cyberraum beschäftigen deutsche Unternehmen und Behörden. Was bedeutet das für den Wirtschaftsstandort und ist man für die Herausforderungen gut aufgestellt? Wie sehen die Standards aus und besteht dort Nachholbedarf? Darüber spricht Thorsten Urbanski in der heutigen Folge mit Stefan Becker vom Bundesamt für Sicherheit in der Informationstechnik (BSI) und Leiter der Allianz für Cybersicherheit sowie Markus Bartsch von der TÜV Informationstechnik GmbH (TÜViT).
Die Allianz für Cybersicherheit (https://www.allianz-fuer-cybersicherheit.de/) ist ein Public Private Partnership mit 6.500 Mitgliedern und bereits seit über einem Jahrzehnt aktiv. Teilnehmer der Allianz sind Kommunen, Behörden, Unternehmen und Organisationen. Alle wollen das Thema Cybersicherheit voranbringen. Ziel ist es Awareness und Resilienz zu schaffen.
Stefan Becker sieht weiterhin ein großes Feld, was bestellt werden muss. Viele Unternehmen sind beim Thema IT-Sicherheit noch immer zu unbekümmert. Dennoch sieht er gerade seit Beginn des Ukrainekriegs starke Rückfragen zum Thema, um die eigene Sicherheit zu verbessern. Ein schönes Zitat von Stefan: "Es muss nicht übermorgen alles perfekt sein, aber man sollte morgen damit beginnen."
IT-Sicherheit muss in Unternehmen als Prozess verstanden werden, gerade hier setzt die Allianz für Cybersicherheit an und gibt Hilfestellungen. Die Digitalisierung schafft immer wieder neue Herausforderungen, hier muss dann auch die IT-Sicherheit angepasst werden.
Die Zeitenwende umfasst aber auch Standards. TÜViT ist unter anderem bei den Common Criteria aktiv (https://www.tuvit.de/de/leistungen/hardware-software-evaluierung/common-criteria/). Diese Zertifikate sind international und dienen zur Prüfung von IT-Security Komponenten. Common Criteria ist allgegenwärtig, beispielsweise sindn viele Karten in der Brieftasche nach diesen Standards geprüft. Markus Bartsch schätzt, dass jeder Bürger in seiner Brieftasche bereits acht bis zehn Common Criteria zertifizierte Lösungen vorhanden sind. Das gesamte digitale Leben ist mit dem Standard durchsetzt.
Insgesamt gibt es sieben Level der Common Criteria. Je höher das Level desto vertrauenswürdiger und genauer geprüft ist die Lösung. Darüber hinaus gibt es noch weitere Prüfverfahren zur Zertifizierung für bestimmte Anwendungsverfahren. Common Criteria wird auch von der ENISA (https://www.enisa.europa.eu/) europaweit gelauncht, da es universell einsetzbar ist.
Wie sieht das BSI Lagebild aus? Stefan Becker sagt, dass die Gefahrenlage bereits vor dem Ukrainekrieg sehr hoch war. Es ist eine neue Komponente hinzugekommen. Zum einen gab es einen Satelittennetzbetreiber deren Betrieb gestört wurde, vermutlich um die Kommunikation der ukrainischen Armee zu stören. Gestört wurden dabei aber auch die Kommunikation von Teilen der Feuerwehren in Frankreich und auch von Windparks in Deutschland. Hierbei wurde der Fernzugriff gestört. Ein weiteres Beispiel war ein mittelbarer Effekt als der Krieg im Februar begann haben sich Hackergruppen positioniert. Hierbei wurden russische Firmen attackiert. Zu diesen Betrieben gehören Rosneft sowie auch Rosneft Deutschland. Das Unternehmen betreibt Raffinerien und versorgt deutsche Firmen mit Öl und Treibstoff. Durch die Cyberangriffe gab es große Probleme, die mit enormen Aufwand bewältigt wurden. Die Beispiele zeigen, dass ein Krieg solche Effekte auch in Deutschland erzielen können.
Ist Deutschland im Bereich Digitalisierung gut aufgestellt? Markus stellt klar, dass in Deutschland viele Basistechnologien genutzt werden, die nicht von hier stammen. Hier besteht Nachholbedarf. Die IT-Sicherheits-Branche ist aber in Deutschland und Europa sehr gut aufgestellt. Markus vermisst vielmehr grundsätzliche europäische Basislösungen.
Stefan Becker sieht ebenfalls, dass Unternehmen bei der Suche nach Sicherheitsanbietern sehr wohl anschauen wo diese herkommen. Das Thema Souveränität hat an Bedeutung gewonnen. Über 20.000 Sicherheitslücken wurden dem BSI im vergangenen Jahr gemeldet. Bei Log4j hat das BSI sehr schnell und umfassend reagiert. Zukünftig will das BSI hier noch mehr Sichtbarkeit schaffen mit der Software Bill of Materials, eine Art Produktübersicht. Zudem kommt das Common Security Advisory Framework (https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Industrielle-Steuerungs-und-Automatisierungssysteme/CSAF/CSAF_node.html) mit dem möglichst automatisiert Sicherheitslücken geschlossen werden sollen.
Mit einem Satz: Was sollten Unternehmen für mehr IT-Sicherheit tun? Markus rät, dass sich jedes Unternehmen genau seinen Sicherheitsbedarf anschaut und prüft, ob das auch bei den digitalen Prozessen der Fall ist. Auch Stefan Becker wünscht sich, dass IT-Sicherheit bereits in den Köpfen der Führenden einer Firma verankert ist, ebenso sollt jeder Mitartbeiter Cybersicherheit mitdenken. Eine Fehlerkultur sollte in jedem Unternehmen zum Standard gehören, um hier das Desaster frühzeitig vermeiden zu können.
25 min
December 13, 2022 Smartes Spielzeug, Gadgets, Smartphones – so schützen Eltern ihre Kinder | Folge 11
Digitalisierung im Kinderzimmer: Security-Gefahren und Hilfestellungen für Eltern
Spielzeug, Smartphones, Spielekonsolen und andere Gadgets: Die Digitalisierung ist längst auch in den Kinderzimmern angekommen. Christian Lueg spricht mit Ildiko Bruhns, Projektverantwortliche von Saferkidsonline.de, seit 10 Jahren bei ESET tätig und selber Mama, über die neuesten Trends bei Kindern, die größten Gefahren und wie Eltern bei den smarten Geräten den Überblick behalten.
Weihnachten steht vor der Tür und Eltern shoppen Geschenke für ihren Nachwuchs. Eine Umfrage zeigt, dass Spielzeug bei jedem dritten Kind unter dem Baum liegt. Auf dem 2. Platz folgt Geld, elektronische Gadgets sind für 11 Prozent das Geschenk der Wahl. (Quelle: https://praxistipps.focus.de/das-sind-die-beliebtesten-weihnachtsgeschenke-fuer-kinder_153358).
Bei Ildiko schrillen direkt die Alarmglocken, wenn sie vernetztes Spielzeug hört. Auf der anderen Seite können solche Dinge auch einen Mehrwert haben, was die Bildung angeht. In der Vergangenheit gab es einen Hersteller von Lerncomputern, der zahlreiche Daten von seinen Nutzern gespeichert hat und Opfer eines Hackerangriffs wurde. So sind Millionen Daten und damit verbundene Profile von Kindern in die falschen Hände geraten.
Auch bei Hörspielboxen von Kindern werden zahlreiche persönliche Informationen gesammelt. Es müssen zur Einrichtung persönliche Daten angegeben werden, ein Konto erstellt und eine Internetverbindung vorliegen.
Beispiele gab es auch in der Vergangenheit beispielsweise bei einer Puppe, die gezielt dem Kind Fragen gestellt hat, wer die Eltern sind, was sie beruflich machen usw.
Eltern sollten genau hinschauen, was die Vorteile des Spielzeugs sind. Ebenso sollte ich mich vorher informieren, was das Gerät alles hat bspw. Internetzugang, Bluetooth-Schnittstelle, Mikrofon, Kamera usw. Ebenso sollte man die Datenschutzerklärung genau lesen und schauen, wer Zugriff auf die Daten hat und wo diese gespieichert werden.
Ildiko Bruhns empfiehlt im Zweifel sich an den Vebraucherschutz zu wenden, die Experten dort sind meist sehr gut informiert bei diesen Themen.
Neben Spielzeug werden sicherlich auch zahlreiche Smartphones an Kinder geschenkt. Gerade beim ersten Gerät sollten Eltern sich genau Gedanken machen. Wann der Zeitpunkt für ein Handy der richtige ist, ist heute kaum zu beantworten. In der Schule werden Smartphone und Tablet benötigt, daher ist ein pauschaler Rat nicht leicht. Es ist keine Seltenheit mehr, dass Kinder früh ein Gerät erhalten. Eltern können so ihren Nachwuchs immer erreichen, das ist ein entscheidender Vorteil. Zuerst sollten laut der Expertin zunächst herausfinden, ob ein Kind ein Smartphone überhaupt benötigt. Einige Eltern gehen daher auch zuerst zur Smartwatch. Jedoch lässt sich ein Smartphone sehr gut absichern. Ersteinmal sollten Bluetooth und alle Ortungsdienste deaktiviert werden.
Ein Zugangscode sollte zudem eingerichtet werden, ebenso sind InApp-Käufe zu deaktivieren. Sollten da Zahlungsdaten hinterlegt sein, kann das ein böses Erwachen geben. Auch eine Drittanbietersperre ist sinnvoll und sollte aktiviert werden. Zudem empfiehlt die Expertin die Privatsphäre- und Sicherheitseinstellungen zu checken, dabei sollte auch eine Security-App installiert werden.
WhatsApp ist hier auch ein gutes Stichwort. Eigentlich ist die App ab 16, wird aber in Schulen massenhaft eingesetzt. Lässt sich so eine App überhaupt kindersicher machen?
Die App ist für Kinder sehr gefährlich und die Expertin findet es bedenklich, dass diese in Schulen eingesetzt wird, auch im Hinblick auf den Datenschutz.
Es wird eine Vielzahl an Daten an den Hersteller der App geschickt, selbst von Nutzern, die diesen Dienst nicht nutzen. Ildiko rät Eltern in die Einstellungen zu schauen und Funktionen wie "Zuletzt Online" zu deaktivieren. Das brauchen Kinder nicht und muss nicht jeder wissen. Ebenso sind Bilder im Status nicht nötig. Wenn beispielsweise Kontakte die Rufnummer wechseln ist nicht bekannt, wer diese Nummer dann erhält und kann unter Umständen auf Daten zugreifen. Genauso sollten Gruppenchats, Einladungen und der automatische Download von Videos und Bildern deaktiviert werden.
Auch bei Spielekonsolen sollten Eltern sehr genau in die Einstellungen schauen, damit nicht einfach Käufe über die Stores getätigt werden können und die Privatsphäreeinstellungen genau checken. Ebenso ein sicheres Passwort ist natürlich Pflicht, sowas wie "fifa22" als Kennwort wäre fatal.
Was sind 2023 die größten Gefahren in der digitalen Welt für Kinder? Ildiko schätzt, dass der Medienkonsum weiter steigt. Je länger sie online sind, desto wahrscheinlicher kommen sie in Kontakt mit unangemessenen Inhalten. Das wird auch 2023 weiter steigen. Auch bei Portalen wie Youtube sollten Eltern genau hinsehen und hier zum Beispiel YoutubeKids einsetzen. Dann wird Cybermobbing und sexuelle Belästung nach Ansicht der Expertin auch 2023 ein großes Thema sein. Im letzten Jahr waren 15 Prozent der Jugendlichen von Cybermobbing betroffen. Hatespeech und Hasskommentare werden auch weiter eine Gefahr sein. Auch dass Kinder zu viel von sich preisgeben wird ein Thema bleiben.
Was zugenommen hat sind Phishingversuche per SMS mit angeblichen Versandbestätigungen und Nachrichten von Freunden.
Abschließend noch einige Worte zu Saferkidsonline und den Aktivitäten rund um das Portal. Ildiko Bruhns betreut dieses Projekt für die DACH-Region. Das Portal richtet sich an Eltern, Kinder und Lehrende. Hier gibt es zu vielen Themen rund um den Nachwuchs und die digitale Welt hilfreiche Artikel und Ratgeber. Hier gibt es Anleitungen wie man beispielsweise ein Smartphone kindersicher machen kann oder was man in den sozialen Medien beachten sollte. Genauso besucht Ildiko Schulen oder Elternabende und bietet hier Vorträge an, um beim Vermitteln der Medienkompetenz zu helfen. Bei Interesse einfach an [email protected] schreiben.
27 min
November 15, 2022 Was ist eigentlich ein Security Operations Center (SOC)? | Folge 10
WeTalkSecurity im Gespräch mit Northwave über aktuelle Bedrohungen, staatliche Akteure und Abwehrstrategien.
WeTalkSecurity war natürlich auch auf der it-sa in Nürnberg, der größten IT-Sicherheitsmesse im deutschsprachigen Raum. Thorsten Urbanski hatte die Gelegenheit mit Eileen Walther, Country Managerin bei Northwave, über aktuelle Bedrohungen, wie Ransomware, staatliche Akteure und sinnvolle Abwehrstrategien zu sprechen und zu erklären, was eigentlich ein SOC (Security Operations Center) ist.
Cyberangriffe sind ein großes Thema, aber gerade die Abwehr und innovative Lösungansätze sind immer wichtiger. Ein Thema sind sogenannte Security Operations Center (SOC). Der ESET Partner Northwave ist Spezialist auf dem Gebiet von SOC und verfolgt einen risikobasierten Ansatz. Gemeinsam mit seinen Kunden aus dem B2B-Bereich macht das Unternehmen eine Risikobewertung und erarbeitet einen Lösungansatz, der organisatorische, menschliche und technische Maßnahmen umfasst. Hierbei kann es sich um den Schutz sensibler Daten drehen oder auch um Business Continuity. Bei dieser Analyse ist es wichtige pragmatische Lösungen zu erarbeiten.
Große Konzerne haben meist die finanziellen Möglichkeit ein SOC selber zu betreiben, jedoch können das viele Mittelständler nicht. Diese Zielgruppe adressiert Northwave mit seinem Angebot.
Viele Kriminelle, insbesondere Ransomware-Akteure, haben sich stark professionalisiert und agieren flexibel sowie arbeitsteilig. Das liegt auch an begrenzten Ressourcen. Für Eileen Walther müssen Unternehmen genauso reagieren, um die IT-Sicherheit ihrer Infrastruktur zu gewährleisten. Es ist heute kaum noch möglich die gesamte IT inhouse zu beschäftigen, auch durch den Fachkräftemangel. Es ist immer wichtiger auf externes Know-How zurückzugreifen.
Ransomware-Attacken steigen im vergangenen Jahr um 105 Prozent. Zahlreiche russische Akteure sind in diesem Feld auch unterwegs. Doch nicht nur Ransomware ist ein Thema, auch Advanced Persistent Threats sind eine große Gefahr für Unternehmen. Diese bleiben meist sehr lange unentdeckt und führen meist zu einem massiven Datenabfluss. Insbesondere seit dem Ukraine-Krieg spielt dieser Angriffsvektor eine stärkere Rolle. Hierbei spielen Technologien wie Endpoint Detection und Response (EDR) eine wichtige Rollen. Sie ermöglichen Unternehmen frühzeitig solche Angriffe zu erkennen und zu verhindern.
Ransomware-Gruppen arbeiten branchenübergreifend, APT-Gruppen sind gezielter unterwegs und suchen nach Patenten, Konstruktionsdaten oder anderen wichtigen Informationen.
Auch der Bereich Forensik ist bei Northwave ein wichtiger Bereich. Hier suchen Experten ganz genau nach den Ursachen des Cyberangriffs und helfen dem betroffenen Unternehmen.
Doch was sind mögliche Tipps für Unternehmen? Für Eileen Walther ist es ganz klar "Think like a Hacker". Was sind kostbare Bereiche meines Unternehmens? Hier sollte der Schutz optimiert werden. Ebenso müssen die Maßnahmen regelmäßig überprüft und neu bewertet werden.
Gerade bei der ersten Bestandsaufnahme eines Kunden fällt dann oft auf, dass beispielsweise das Backup unbrauchbar ist, weil wichtige Sicherheitsrichtlinien bei der Erstellung der Sicherheitskopie nicht eingehalten wurden.
Nicht nur für Unternehmen ist ein Cyberangriff häufig schmerzhaft und mit finanziellen Schäden verbunden. Auch die Auswirkung auf Mitarbeiter darf nicht unterschätzt werden und führt bei ihnen zu seelischen Auswirkungen, die immer stärker ein Thema werden. Gerade die Suche nach dem Schuldigen muss hier sehr sensibel angegangen werden, da eine Art Hexenjagd extrem negative Auswirkungen haben kann.
Sollen Unternehmen Lösegelder für ihre Daten bezahlen? Eileen Walther will diese Frage nicht pauschal beantworten, rät persönlich jedoch davon ab. Jedes bezahlte Lösegeld stärkt die Cybercrime-Ökonomie. Jedoch ist das als Außenstehender immer leicht zu sagen, da es keine andere Alternative gibt, um das Überleben des Unternehmens zu gewährleisten.
Die Lösegelder richten sich dabei nach dem Umsatz des Zielunternehmens. Laut Eileen Walther sind es meist zwischen 0,5 bis 2 Prozent des Jahresumsatzes eines Unternehmens.
23 min
August 26, 2022 Gaming im Wandel: Wie wichtig ist die IT-Sicherheit und ist Hate Speech ein Problem? | Folge 9
WeTalkSecurity ist auf der Gamescom in Köln
Die Gamescom ist wieder da und wir sind mit WeTalkSecurity nach Köln gefahren. Christian Lueg und Thorsten Urbanski sprechen mit Mike Hillen, ehemaliger professioneller Gamer; Berater und Geschäftsführer der Esport Arcade GmbH. Zum Auftakt der Messe schauen wir wie sich die Branche und das Gaming verändert hat. Wie wichtig ist das Thema IT-Sicherheit geworden, was sind Trends der Messe und wie geht es in Zukunft weiter?
In dieser gemischten Runde treffen passionierte Casual Gamer auf ehemalige Profispieler, wo auch immer ein bisschen Nostalgie mitschwingt. Thorsten Urbanskis erstes Computerspiel war "Attack of the Mutant Camels" auf dem C64. Auch Mike Hillen ist ein großer Retro-Fan. Aber auch aktuelle Games haben immer wieder ihren Charme.
Die Gaming Community wächst, denn mittlerweile zocken ein Drittel der Deutschen regelmäßig, so Mike. Und die Gemeinschaft wächst.
Wie hat sich die Branche verändert?
Gaming fristete über viele Jahre ein Nischendasein. Christian Lueg weist auf seine Vergangenheit mit Counter-Strike hin. Hier waren bereits Anfang der 2000er erste Profi-Teams unterwegs wie TAMM, mTw oder Schroet Kommando (heute: SK Gaming). Seitdem hat sich laut Mike viel getan. Gaming ist in der Breite der Gesellschaft angekommen. Es werden so viele Ebenen bedient von Fifa, League of Legenda, DoTa. Zudem gibt es viele Spiele, die für die kurzfristige Unterhaltung dienen wie Among Us. Der Gaming-Markt hat sich in den letzten 15 Jahren so verbreitert, dass er für jeden was bereithält.
Thorsten ist eher ein Fan toller Grafiken und des Spielens miteinander. Das Internet war dabei für ihn ein Meilenstein. Mike weist darauf hin, dass das Internet zu Beginn noch nicht allgegenwärtig war und man die Leitung einfach trennen konnte. Heute ist dies so nicht mehr möglich. Auch Christian hat Online-Zeit beispielsweise durch Gartenarbeit erhöhen können.
Account-Diebstahl
Im Vorfeld der Gamescom hat ESET eine Umfrage zum Thema Gaming gemacht (https://www.eset.com/de/about/presse/pressemitteilungen/pressemitteilungen/unfaires-spiel-jeder-fuenfte-gamer-war-bereits-opfer-von-hasskommentaren-mobbing-oder-fake-profilen/). Account-Diebstähle sind keine Seltenheit. In allen Altersklassen sind rund 14 Prozent aller Gamer davon betroffen gewesen. Jeder vierte in der Altersgruppe zwischen 18 und 29 Jahren und jeder fünfte zwischen 30 und 39 Jahren war bereits vom Diebstahl ihres Gamingkontos betroffen. Auch Mike sieht, dass das Bewusstsein für IT-Sicherheit wächst. Von einfachen Passwörtern, bis wertvollen Gaming-Accounts ist ein hohes Wertempfinden aufgekommen. Und da wo wertvolle Dinge im Umlauf sind, sind auch Kriminelle nicht weit. Das wird auch zunehmend ein Problem. Mike hat selber bereits schon einen kompromittierten Account bei World of Warcraft gehabt. Auch Thorsten hat schon gut gemachte Phishing-Mails bekommen, die auf den Steam- oder einen anderen Gaming-Account abgezielt haben. Doch für Thorsten sind auch Raubkopien bzw. schadhafte Apps ein großes Thema.
Hasskommentare und Mobbing im Netz
Hier hat sich in der Online-Welt gerade im Gaming-Bereich viel geändert. Christian berichtet von seinen ersten Schritten beim Online-Rollenspiel Dark Age of Camelot. Hier gab es richtige Gemeinschaften und einen starken Zusammenhalt der Community. Leider ist dies mit Spielen wie World of Warcraft nie wieder so geworden aus seiner Sicht. Bei der ESET Umfrage kam heraus, dass jeder Vierte von Hasskommentaren und Mobbing bereits betroffen war.
Aus Mikes Blick enthemmt das Internet und das ist auch ein großer Downsize. Jedem wird über das Netz ein Forum geboten. Die Anonymität bietet einen Kanal zur Frustbewältigung. Das trifft nicht jeden, aber er sorgt sich hier gerade um Kinder und Jugendliche. Hier treibt er auch spezielle Programme voran, um diese Gruppe auf sowas vorzubereiten. Gerade beim Online-Gaming wie Fortnite trifft der 12-jährige auf den 55-jährigen, der gerade von einer stressigen Schicht kommt. Im echten Leben würde sowas niemals passieren und Eltern würden da hellhörig, aber in der Gaming-Welt ist das nicht so unüblich. Deswegen gilt es Eltern und Kinder zu sensibilisieren. Das ist ein großes Thema für die Zukunft.
Hasskommentare lassen sich nicht vermeiden, aber der Umgang damit muss adressiert werden. Anders als die ältere Generation haben junge Leute damit viel mehr zu kämpfen. Was früher das Pöbeln auf dem Schulhof war, findet heute in den sozialen Medien statt. Diese Tätigkeit liegt Mike sehr am Herzen.
Konkret entwickelt Mike Programme, die auch in Kooperation mit ESET stattfinden.
Alles was Eltern und jungen Leuten hilft das Internet zu Verstehen und Awareness zu schaffen, hilft. Hier sollen Kurse entstehen, die für Schulklassen, Eltern und Gruppen passen und ihnen einen Mehrwert bilden.
In der Schule finden diese Themen nicht statt laut Thorsten. Hier sind sie schlicht überfordert. Auch für Mike ist Deutschland digital auf vielen Ebenen rückständig und es besteht massiver Nachholbedarf. Hier muss einfach mehr getan werden. Christian schlägt zu diesem Themenbereich mit Hasskommentaren und die Sensibilisierung eine weitere Folge für WeTalkSecurity vor.
Was sind die Trends der Gamescom 2022?
Für Mike ist die Gamescom anders als sonst. Die Pandemie hat die Branche verändert. Es gibt sehr viel Bewegung in die verschiedenen Nischen. Gaming und das klassische Entertainment wachsen immer stärker zusammen. Viele Menschen wollen sich nicht mehr nur berieseln lassen, sondern aktiv teilnehmen. Das ist mit Videospielen möglich. Zudem sind für Mike wohl die Gaming-Stühle ein großer Trend, da es hiervon eine Vielzahl von Ständen gibt. :-) Nicht alle großen Publisher sind diesmal vertreten, aber Mike glaubt das sich das nächstes Jahr ändern wird. Die Gamescom 2022 ist aus seiner Sicht auf einem guten Weg.
Für Thorsten sind bei vielen Gamern IT-Sicherheit noch nicht angekommen und unterschätzen den Wert ihrer Accounts. Zudem besitzen Zocker leistungsstarke Hardware, die sich für das Schürfen von Kryptowährungen perfekt einsetzen lässt.
Auch für Mike ist der eigene Schutz mit einer Virenschutzsoftware elementar. Viele sensible Daten werden in den Gaming-Accounts hinterlegt. Das sind sehr schützenswerte Informationen.
Thorsten ergänzt, dass es immer das erste Mal gibt. Er berichtet vom Mobile World Congress vor einigen Jahren, wo die ersten Schädlinge für Smart-TVs ein Thema waren. Leistungsstarke Gaming-PCs sind ein viel lukrativeres Ziel für Kriminelle. Auch Christian weist darauf hin, dass es gar nicht schwer sein muss seinen Account zu schützen. Viele Accounts können mit der Zwei-Faktor-Authentifizierung einfach und mit wenigen Handgriffen effektiv geschützt werden.
Zum Abschluss empfiehlt Mike Hillen nochmal, dass die Sicherheit der Accounts und was einem digital lieb ist wichtig sein muss. Mikes Geheimtipp auf der Messe: Der Stand von Infinite und Monkey Island. Auch bei den Hardware-Herstellern Samsung und Steelseries gibt es einiges cooles zu sehen.
29 min
July 26, 2022 Herausforderungen der Digitalisierung und der IT-Sicherheit in der Schweiz | Folge 8
WeTalkSecurity auf Tour: Was hat sich in den letzten zwei Jahren in der IT-Landschaft verändert? Wie sehen aktuelle Lösungsansätze aus?
- Hinweis: Wer Schweizerdeutsch nicht versteht, könnte beim Hören dieser Folge vor große Herausforderungen gestellt werden -
Auch in der Schweiz hat ESET während der ESET Security Tour 2022 einen Stopp gemacht. Mit WeTalkSecurity haben wir unseren Partner Creanet in Geuensee besucht und eine besondere Folge in "Schwiizertüütsch" (Schweizerdeutsch) aufgenommen. Mit Damian Troxler und Sandro Kocher von Creanet sowie Rainer Schwegler von ESET spricht Christian Lueg über die neuesten Entwicklungen im Bereich IT-Sicherheit und welche Herausforderungen durch die Digitalisierung es für Unternehmen zu lösen gilt.
Wer ist die Creanet?
Creanet ist ein IT-Dienstleister und bietet massgeschneiderte Lösungen für Unternehmen im Bereich IT-Service, Web-Service und Digital-Signage. Die Firma wurde 1998 gegründet und befindet sich in Geuensee.
Weitere Informationen gibt es auf der Webseite von Creanet: https://www.creanet.ch/home
Die Situation nach Corona
Durch die Corona-Pandemie ist das Thema Home-Office für Damian bei vielen Unternehmen viel präsenter geworden. Zum einen besteht eine quantitative Herausforderung dies zu realisieren, zum anderen müssen diese Arbeitsplätze auch umfassend qualitativ abgesichert werden.
Bring-Your-Own-Device ist in diesem Kontext eine große Herausforderung für Unternehmen. Welche Geräte haben Mitarbeiter und ihre Familie in ihrem Heimnetzwerk?
Rainer ergänzt noch, dass viele Unternehmen keine adäquate Hardware für ihre Mitarbeiter bereitstellen konnten und die Versorgung mit neuen Geräten bis heute angespannt ist.
Angriffsszenarien durch Corona
RDP Angriffe haben seit Corona Hochkonjunktur. Es gab zum Ende der Pandemie durchschnittlich 206 Milliarden Angriffe auf das Protokoll weltweit pro Tag.
Für Sandro hat sich das Sicherheitsbewusstsein verbessert. In den Köpfen ist angekommen, dass VPN und andere Dinge wichtig sind. Dennoch werden viele Sicherheitsvorkehrungen durch Unwissen umgangen, weil USB-Sticks, private Kopien und anders für wichtige Geschäftsdaten genutzt werden.
Rainer ergänzt, dass IT-Dienstleister wie die Creanet hier ein wichtiger Partner für Unternehmen sind.
Hat die Pandemie das IT-Sicherheitsbewusstsein gestärkt?
Sandro bejaht diese Frage. Viele Unternehmen haben eine klare Zugriffsregelungen auf sensible Daten. Für Rainer ist Flexibilität ein wichtiger Punkt. Shared-Desks sind ein wichtiger Punkt in vielen Unternehmen. Für Damian ist aber klar, dass das die richtige Infrastruktur benötigt. Gerade Access Management ist bei vielen Unternehmen nicht in den Köpfen. Hier muss häufig Aufklärungsarbeit geleistet werden, denn so sind bei Verlust von Zugangsdaten die Infrastruktur offen wie ein Scheunentor. Sandro ergänzt, dass das Beispiel RDP nicht erst seit Corona ein Thema war, aber durch die Pandemie und die zahlreichen Medienberichte in die Köpfe als Gefahr gelangt ist.
Warum setzt Creanet auf ESET?
Damian sagt, dass ESET ein umfassendes Sicherheitsprodukt bietet und ein hervorragendes Preis-/Leistungsverhältnis bietet. Der Schutz ist sehr gut mit perfekter Performance. Wichtig für die Kunden der Creanet ist das Monitoring, wo ESET sehr gut aufgestellt ist.
Office 365: Wie ist die Entwicklung gerade bei der IT-Sicherheit?
Für Damian ist das Bedarfsbewusstsein im Wandel und nimmt zu. Viele Unternehmen haben die Wichtigkeit auch hier eine Sicherheitslösungen einzusetzen aber noch nicht erkannt. Rainer Schwegler empfiehlt, dass nicht der Hersteller gleichzeitig auch die Schutzlösung anbieten sollte. Diversität ist hier wichtig. Ein Mehr-Augen-System bringt hier viele Vorteile. Damian unterstreicht diese Aussagen. Er sieht den Bereich Cloud und Microsoft Office 365 als wichtigen Wachstumsbereich.
Neue Datenschutzgesetze, wie sollten Schweizer Unternehmen reagieren?
Damian weist darauf hin, dass der Umgang mit Daten noch wichtiger wird. Der Aufbewahrung, Verwaltung und Zugriff kommt eine noch größere Bedeutung zu. Die Verschlüsselung wird ein sehr wichtiges Thema werden. Auch Awareness muss hier geschaffen werden, denn Phishing, insbesondere Spear-Phishing, ist bei gezielten Attacken ein beliebter Angriffsvektor. Rainer ergänzt, dass auch dem Schutz der Mobilgeräte mehr Bedeutung beigemessen werden muss. Hier besteht noch Nachholbedarf. Abschließend sagt Damian, dass dem Thema Cybersicherheit spannende Zeiten bevorstehen.
25 min
June 24, 2022 Digitalisierung im Sport - zu Besuch bei Borussia Dortmund: Warum IT-Sicherheit so wichtig ist | Folge 7
Was sind die Herausforderung für einen der beliebtesten Fußballclubs
Im Rahmen der ESET Security Tour 2022 macht auch der Podcast WeTalkSecurity einen Stopp in Dortmund. Was bedeutet Digitalisierung im Profifußball und wie sichert man sie ab? Vor dem schönsten Stadion der Welt spricht Thorsten Urbanski mit Stephan Horst, Abteilungsleiter IT bei Borussia Dortmund, über die Veränderungen in den letzten Jahren und kommende Herausforderungen.
Borussia Dortmund ist nicht nur ein Fußballverein, sondern auch ein global agierendes mittelständisches Unternehmen. Insgesamt arbeiten laut Stephan Horst rund 500 festangestellte Mitarbeiter beim BVB. Bei einem Spieltag sind es sogar mehr als 3.000.
LED-Banden, Fernseher im Stadion oder digitale Kassensysteme: Was heisst aber Digitalisierung bei einem Profiverein? Beim BVB gibt es mehrere Schwerpunkte: Digitalisierung im Vertrieb, Digitalisierung aus IT-Sicht, Digitalisierung im Sport. Bei der Digitalisierung im Sport geht es um Datenerfassung bei Spielern und ihren Leistungswerten.
Wie hat sich aber die Situation für einen Administrator geändert? Auch hier gibt es für Stephan Horst verschiedene Themenfelder. Hier nennt er die Arbeitsplatz-IT, die mit der wachsenden Mobilität sich wandelt und unterschätzt wird. Die Anforderungen an die IT-Infrastruktur wachsen und die Absicherung wird ein immer gewichtigeres Thema. Hier spielt auch On-Premise (die lokale Nutzung von Servern) oder die Cloud spielen hier ebenfalls eine immer zentralere Rolle.
Wie viele Server hat dann der BVB? Insgesamt hat der BVB mehrere hundert Endgeräte, die es abzusichern gilt, dazu kommen hunderte von Servern für verschiedene Bereiche. Dabei setzt der BVB auch auf Managed Services und nutzt die Expertise von IT-Partnern.
IT-Sicherheit ist bei einem Fußballverein ein großes Thema. Der BVB hat täglich mit Cyberangriffen zu tun. In den letzten zwei Jahren sind die Angriffszahlen sogar gestiegen. Für Hacker ist Borussia Dortmund ein lukratives Ziel. Lediglich eine Handvoll Angriffe kann überhaupt die ersten Hürden der IT-Sicherheitsarchitektur überwinden. Mehr Bauchschmerzen bereitet dem IT-Leiter des BVB Phishing-Mails. Hierfür werden die Mitarbeiter auch gezielt geschult und ein Bewusstsein geschaffen.
Mobiles Arbeiten ist beim BVB kein großes Problem. Frühzeitig wurde hier reagiert und mit Hilfe von Partnern wie ESET ein gute Sicherheitsarchitektur etabliert.
Im Stadion ist diese Herausforderung noch größer. Mit 3000 Mitarbeitern im Stadion ist eine Netzwerksegmentierung unerlässlich.
Das Sensibilisieren für das Thema Sicherheit ist oft schwer, gerade wenn es um "gelebte Prozesse" geht. Das ist eine der größten Herausforderungen hier neue Wege zu etablieren.
Gerade beim Stichwort On-Prem oder Cloud ist der BVB hybrid aufgestellt.
Viele Services werden auf lokalen Servern bedient, um hier auch eine gewisse Ausfallsicherheit, insbesondere im Stadion, zu gewährleisten.
Im Bereich Merchandising greift der BVB beispielsweise auf die Cloud zurück. Hier gibt es gerade an Spieltagen hohe Zugriffszahlen, die mit lokalen Servern kaum abzufangen sind. Hier kann es zu hohen sechsstelligen Anfragen in kürzester Zeit kommen.
Spieltag ist Ausnahmezustand: Hier ist es wichtig, dass Gefahren bereits frühzeitig erkannt werden. Bereiche wie Spieltagsübertragungen oder Netzwerkverbindungen müssen zu jeder Zeit gewährleistet sein.
Stephan Horst sieht als IT-Trends der nächsten Zeit u.a. das Thema Digitalisierung der Erlösmodelle. eFootball und digitale Erlebnisse im Stadion sind hier zentrale Elemente. Auch die Internationalisierung ist hier ein großes Thema. Auch Datenerhebung ist hier elementar.
Gewinnspiel
Übrigens, wenn Ihr unseren ESET Bulli in der nächsten Zeit auf der Straße seht, dann postet oder schickt uns ein Beweisfoto mit dem Hashtag #SecurityTour22 und erhaltet eine kleine Überraschung als Belohnung. Unsere Mailadresse: [email protected]
Serviceteil
Ticketkauf
Gerade begehrte Fußball- und Konzertkarten locken Betrüger an. Besonders beliebt ist derzeit diese Masche: Mit Fake-Profilen bieten Gauner Tickets an. Sobald die Käufer das Geld per PayPal überweisen, würden die Ticket dann verschickt. Wer hier überweist, bekommt aber keine Tickets. Grundsätzlich ist das Erwerben von Tickets über die Veranstalter oder bekannte Portale am sichersten.
WLAN Stadion
Ob in Fußballstadien, im Hotel oder Restaurant: Öffentliche WLAN-Netzwerke werden Gästen und Besuchern häufig zur Verfügung gestellt. Das ist sehr komfortabel. Doch die Nutzung birgt auch Risiken, vor allem dann, wenn es sich um ein fremdes WLAN-Netz handelt, dessen Betreiber und Hintergründe Sie nicht kennen. Daten können abgegriffen, Schadsoftware auf Ihr Gerät eingeschleust werden. Verzichten Sie daher generell auf Banking, Shopping und andere vertrauliche Vorgänge.
Streaming
Wenn es mit dem Stadionbesuch nicht klappt, möchte man als Fan natürlich das Spiel von zu Hause am Fernseher verfolgen. Streaming ist hier eine komfortable Möglichkeit. Gerade Sportübertragungen werden neben den offiziellen Anbietern, gern auch auf illegalen Seiten angeboten. Hier sollten Nutzer aufpassen. Solche Plattformen bieten den perfekten Spielplatz für Hacker, die sie missbrauchen, um die Computer der Besucher zu infizieren. Allgemein wird geschätzt, dass Internetnutzer beim Besuch einer illegalen Streaming-Seite 28 Mal häufiger mit Malware infiziert werden, als es beim Zugriff auf legale Plattformen der Fall ist. Von daher Finger weg und lieber zu legalen Angeboten greifen.
24 min
May 30, 2022ESET Security Tour 2022 - Wir fahren los | Folge 6
#SecurityTour22: Mobiles Podcast Studio besucht Partner
WeTalkSecurity ist mit unterwegs auf der ESET SecurityTour 2022. Freut euch auf spannende Folgen. Bei diesen Sonderfolgen sind unter anderem Borussia Dortmund und unser Schweizer Partner Creanet als Gäste mit dabei.
Übrigens, wenn Ihr unseren ESET Bulli in der nächsten Zeit auf der Straße seht, dann postet oder schickt uns ein Beweisfoto mit dem Hashtag #SecurityTour22 und erhaltet eine kleine Überraschung als Belohnung.
Teaser
Thorsten Urbanski und Michael Schröder von ESET geben einen Vorgeschmack auf die kommenden Folgen on the Road. ESET ist mit einem Surfermobil, genauer gesagt einem VW Bus in Deutschland, Österreich und der Schweiz unterwegs. "Sicherheit muss vor die Tür" ist also das Motto der nächsten Wochen.
Der persönliche Dialog mit Kunden und Partnern soll damit gestärkt werden. IT-Sicherheit ist natürlich das Hauptthema. Was wird hier in den nächsten Jahren wichtig? Was hat die Pandemie in der IT-Security verändert? Das sind einige Fragen auf die während der Tour eingegangen wird.
Ein Trend derzeit ist Zero-Trust. (WeTalkSecurity hat dem Thema bereits eine Folge gewidmet (https://www.eset.com/de/about/presse/pressemitteilungen/pressemitteilungen/zero-trust-und-digitale-souveraenitaet-warum-die-ritterburg-keine-loesung-ist/). Hierbei ist insbesondere Remote und Mobile Working ist ein elementares Thema. Zero Trust bietet Unternehmen viele Vorteile und einen enormen Nutzwert.
Gewinnspiel
Übrigens, wenn Ihr unseren ESET Bulli in der nächsten Zeit auf der Straße seht, dann postet oder schickt uns ein Beweisfoto mit dem Hashtag #SecurityTour22 und erhaltet eine kleine Überraschung als Belohnung. Unsere Mailadresse: [email protected]
Sicherheitstipps für die Reise
Nutzt WiFi-Hotspots nur mit einer VPN-Verbindung. Hotels, Bars und andere Locations locken Reisende mit kostenlosem WiFi-Zugang. Gerade bei Fernreisen ist das praktisch, weil Urlauber häufig keine zusätzliche SIM-Karten besitzen und das eigene Datenvolumen begrenzt ist. Über ein solches Netzwerk besteht aber die Gefahr, dass Kriminelle sensible Daten oder wichtige Daten wie Login- oder Kreditkartendaten ausspähen. Einkäufe oder Finanzgeschäfte sollten in solchen Netzwerken aber generell tabu sein.
Postet keine Urlaubsbilder in sozialen Medien. So vereinfacht ihr virtuellen und realen Dieben nicht die Vorbereitung für einen Einbruch.
Aktualisiert Software und Sicherheitslösungen. Das Betriebssystem, die installierten Apps und die verwendeten Sicherheitslösungen sollten auf dem neuesten Stand sein. Das verhindert das Ausnutzen bekannter Sicherheitslücken.
14 min
April 11, 2022 Smart Home - So klappt es mit der Sicherheit Zuhause | Folge 5
Wie ist der Stand beim Internet der Dinge? Wie sieht es beim Thema Sicherheit aus?
In der aktuellen Folge geht es um das Thema Smart Home. Wie sieht es 2022 beim Thema Sicherheit aus? Hat der Digitalisierungsschub in den vergangenen Jahren zu einem Umdenken führt? Christian Lueg spricht in dieser Folge mit Markus Bartsch von TÜViT und Thomas Uhlemann von ESET.
Die Gäste
Markus Bartsch studierte Informatik und arbeitet seit 1995 bei der TÜV Informationstechnik GmbH (TÜViT) –Unternehmensgruppe TÜV NORD. Nach jahrelanger Projektleitertätigkeit, in deren Rahmen IT-Sicherheitsprodukte und –systeme konzeptioniert, bewertet oder zertifiziert wurden, ist Herr Bartsch nun verantwortlich für Querschnitts-Themen innerhalb des TÜV NORD Konzerns, die sich aus dem immer größer werdenden Potential des Einsatzes von verteilter IT und den daraus resultierenden Sicherheitsrisiken insbesondere in folgenden Bereichen ergeben.
Thomas Uhlemann ist bei der ESET Deutschland GmbH als Security Specialist für die Präsentation aktueller Malware-Themen, Trends und Awareness zuständig.
Dafür wurde er unter anderem bereits mehrfach mit dem "Best Speaker" Award der Vogel IT-Akademie ausgezeichnet. Zudem dient er als Schnittstelle zwischen den ESET Malware- & Research Labors und den Sales & Marketing Abteilungen des Unternehmens.
Wie sieht es im Bereich Smart Home aktuell aus?
Wie sieht es aus im Bereich Smart Home? Hat sich hier in den letzten Jahren etwas getan? Ist "Security by Design" endlich fester Bestandteil des Entwicklungsprozesses? Wie sieht es im Unternehmensbereich aus?
Der Bitkom Verband hat kürzlich eine Umfrage veröffentlicht, die besagt, dass vier von zehn Anwendern Smart Home Geräte in ihrem Haushalt verwenden (Quelle: https://www.bitkom.org/Bitkom/Publikationen/Das-intelligente-Zuhause-Smart-Home-2021).
Der Trend geht in den letzten Jahren steil nach oben. Smarte Geräte halten Einzug in die Haushalte, auch in dem des Moderators dieser Folge Rauchmelder, Fensterkontakte, Heizkörperthermostate, Lichtsteuerung aber auch Sprachassistenten haben bei ihm nun einen festen Platz. Gerade beim Thema heizen ergeben sich hier sichtbare Vorteile, beispielsweise durch einen niedrigeren Gasverbrauch.
Markus Bartsch gibt zunächst einen kurzen Überblick, wie der TÜV die Sicherheit betrachtet. Bei elementaren Aspekten der Sicherheit, wie der Sicherheit des Anwenders bei der Nutzung der Geräte, ist man "safe". Bei der Sicherheit der Geräte vor Datendieben oder Spionen gibt es aber Nachholbedarf.
Es gibt auf dem Markt einen Wildwuchs unterschiedlicher Lösungsanbieter, die eine Spannbreite im Bereich IT-Security haben. Viele Anbieter haben das Thema auf dem Schirm, aber es gibt auch negative Beispiele.
Smart Home Geräte sind in den vergangenen Jahren deutlich beliebter bei Kriminellen geworden, so die Einschätzung von Thomas Uhlemann beim Blick in die Telemetrie-Daten von ESET. Cyberkriminelle sind wirtschaftlich orientiert und versuchen mit wenig Aufwand einen hohen finanziellen Ertrag zu erzielen. Je stärker sich das Internet der Dinge durchsetzt, desto attraktiver wird es für Hacker. Diese Angriffe konzentrieren sich bisher stark auf Schnittstellen wie Router (Z.B.: https://www.welivesecurity.com/deutsch/2018/10/09/wlan-router-durch-sicherheitsluecken-gefaehrdet/) oder gezielt auf Schwachstellen (Z.B.: https://www.welivesecurity.com/deutsch/2020/04/22/kritische-sicherheitsluecken-in-3-smart-home-hubs/). Hier gibt es viele Meldungen zu geschlossenen Lücken, schließen Anwender oder Hersteller diese aber nicht zeitnah, besteht die Gefahr, dass diese von Kriminellen ausgenutzt werden.
"Security by Design": Weiterhin frommer Wunsch oder Realität?
Für Markus Bartsch verfolgen die Hersteller in erster Linie das Thema "Design". "Security" ist eher weniger wichtig. Dabei ist aber auch wichtig zu schauen, was mit dem Begriff gemeint ist. Eine verschlüsselte Kommunikation, damit Dritte nicht mithören können, ist das eine. Aber auch der Schutz, dass jemand von Außen Zugriff erhält. Das Umzusetzen ist nicht leicht. Hersteller müssen genau bedenken, was mögliche Angriffsvektoren sein könnten. Dabei ist dann nicht nur das jeweilige Geräte oder das Gateway relevant, sondern auch das Benutzer-Frontend auf dem Mobilgerät oder Desktop-PC. Zudem betreiben viele Hersteller noch ein Backend-System wo dann alle Informationen von verschiedenen Kunden zusammenlaufen. Hier muss aus Sicht des Experten noch viel gemacht werden.
Thomas Uhlemann sieht, dass es besser geworden ist beim Thema "Security by Design". Entwicklungsprozesse haben sich deutlich verbessert. Die Kommunikation findet mittlerweile fast immer verschlüsselt statt. Auch die Integration von Geräten und die Sicherheit von Zugängen sind in den letzten Jahren sicherer geworden. Dennoch sieht auch Thomas noch ein Nachholbedarf bei der Absicherung von Frontend-Zugängen. Nicht nur der Besitzer kann jederzeit und von überall auf sein Smart Home zugreifen, Dritte könnten das dann auch. Hier muss bei der Entwicklung und auch beim Betrieb weiterhin ein gesundes Maß an Paranoia bestehen. Ähnlich wie Markus sieht auch Thomas es als elementar an, dass Hersteller sehr genau hinschauen, wo Angriffsvektoren bestehen.
Markus beobachtet in den letzten 10 Jahren, dass viele Hersteller mit ihrem Smart Home Geräten viel Wind gemacht haben und mittlerweile verschwunden sind, andere sind dazugekommen. Und je länger auch Anwender IoT-Geräte im Einsatz haben, desto heterogener ist der Aufbau. Geräte verschiedener Hersteller sind miteinander verknüpft und das Ganze soll dann mit einem Sprachassistenten verknüpft werden. Dadurch werden die Herausforderungen aus Security-Sicht nicht einfacher. Es ergeben sich offene Schnittstellen, die es dann abzusichern gilt.
Hier muss ein genauer Design- und Netzwerkplan gemacht werden. Was für Anwender natürlich eine Herausforderung darstellt.
Was gibt es für den Privatanwender beim Kauf zu beachten?
Markus Bartsch empfiehlt genau hinzusehen und die Produktportfolios der Hersteller zu prüfen. Gibt es neben funktionellen auch sicherheitsspezifische Aussagen? Zudem sollten Interessierte einen Anbieter wählen, wo gerade zu Beginn erstmal ein homogenes System aufgesetzt werden kann. Das erleichtert den Einstieg enorm. Darüber hinaus müssen Anwender sich selber fragen, was ihr eigenes Sicherheitsbedürfnis ist. Ein gehackter Lichtschalter ist vielleicht nicht ganz so schlimm wie ein Zutrittskontrollsystem. Hier sollte genau hingeschaut werden.
Thomas Uhlemann ergänzt, dass Interessierte vor dem Kauf genau hinschauen. Eine Möglichkeit sind Bewertungen anderer Käufer. Was sagen diese über das Produkt? Was steht vielleicht auch zwischen den Zeilen? Wenn sich sehr gute und sehr schlechte gleichverteilt gegenüberstehen, sollte man einen kritischen Blick werfen und misstrauisch sein. Gleichzeitig empfiehlt der Experte die Anbindung des Smart Homes zu checken. Muss zwingend über die Cloud des Herstellers kommuniziert werden? Gibt der Hersteller Angaben darüber, wie lange diese verfügbar bleibt und wie die Kommunikation gesichert ist? Besteht die Möglichkeit der Steuerung im eigenen Netzwerk? Diese Fragen sollten sich Anwender vor dem Kauf stellen.
Einbruch ins Smart Home: Wie klappt es mit der Versicherung?
Wie sieht es aus, wenn das smarte Zutrittssystem vom Einbrecher missbraucht wird? Klassische Spuren gibt es dann natürlich nicht. Laut Markus Bartsch sind glücklicherweise die meisten Einbrecher noch keine Hacker. Es ist aber möglich, dass sich das mit zunehmender Verbreitung ändert. Tritt ein solcher Fall ein wird es für das Opfer schwer dies der Versicherung zu erklären. Derzeit gibt es keine generelle Regel, wie Versicherungen damit umgehen. Markus Bartsch empfiehlt Nutzern, die sich ein solches Zutrittssystem anschaffen wollen, vorher mit ihrer Versicherung zu sprechen und nachzufragen, was bei einem Versicherungsfall zu tun ist.
Thomas Uhlemann berichtet von einem ähnlichen Fall. Der Server eines Schließsystems ist ausgefallen, durch diesen Notfall haben alle Schlösser einen Öffnungs-Befehl erhalten. Ebenso ist die Frage was passiert, wenn die Stromversorgung ausfällt oder schlicht die Batterie leer ist.
Ausblick: IoT im Unternehmenssektor
IoT im Unternehmensbereich, bspw. im smarten Bürogebäude oder im Fertigungsbereich, hat laut Markus Bartsch gerade bei der IT-Sicherheit enormen Nachholbedarf. Für Thomas Uhlemann sind hier Schadcode-Angriffe und Überlast-Attacken sehr beliebt. Beispielsweise wurden Energieversorger mit DDoS-Attacken lahmgelegt. Botnetze sind hier ein beliebtes Mittel. Mit Phishing wird versucht sich Zutritt zu verschaffen.
Wo geht die Reise im Smart Home hin?
Markus Bartsch von TÜViT geht davon aus, dass das Sicherheitsbewusstsein steigen wird. Cyberattacken sind stärker im öffentlichen Fokus. Es wird mehr Prüfungen geben und das Security-Niveau wird steigen.
Thomas Uhlemann geht von einem Aufrüsten der Kriminellen aus. Zunehmende Vernetzung setzt sich durch und Angreifer wollen hier ansetzen. Es ist wichtig, dass hier auch die Sicherheit gestärkt wird. Ein bisschen Paranoia sollte immer mit dabei sein.
Serviceteil
Prüfen Sie vor dem Kauf, welche Funktionen Ihnen im Smart Home wichtig sind, zum Beispiel Sicherheit, Klima oder Beleuchtung. Klären Sie auch, ob der Hersteller seine Geräte regelmäßig mit Updates versorgt und nehmen Sie die Datenschutzerklärung genauestens unter die Lupe. Hier muss der Hersteller angeben, welche Daten er sammelt, speichert und verarbeitet.
Die Firmware eines Geräts sollte vom Hersteller automatisch aktualisiert werden. Zumindest sollten Sie über eine Anwendung oder eine E-Mail regelmäßig informiert werden, welche Updates zur Verfügung stehen, um sie zeitnah einspielen zu können.
Sichern Sie Ihr Heimnetzwerk ausreichend ab. Nutzen Sie dafür aktuelle Verschlüsselungsmethoden und verwenden Sie sichere individuelle Passwörter. So machen Sie es Hackern schwer, Ihr Netzwerk anzugreifen.
Auch mit einem Heimrouter kann ein Netzwerk in verschiedene Segmente unterteilt werden. Viele Heimrouter bieten die Möglichkeit, ein separates WLAN einzurichten, in dem nur IoT-Geräte eingebunden werden. Dabei besteht keine Verbindung zu sensiblen Daten oder Geräten wie Computern. Einige Router bieten zwar keine Netzwerksegmentierung an, aber ein Gäste-WLAN, das Sie für smarte Geräte verwenden können. In dem Fall sollte das Gäste-WLAN ausschließlich für IoT- Geräte genutzt und die Zugangsdaten nicht an Dritte weitergegeben werden.
27 min
February 23, 2022 Zero Trust und Digitale Souveränität - Warum die Ritterburg keine Lösung ist | Folge 4
Wie lässt sich eine digitale Souveränität herstellen? Wie kann das Zero Trust Modell für mehr Sicherheit in Organisationen sorgen?nfängen des Internets stammt: Zero Trust.
Wie schlimm steht es um die Digitalisierung in Deutschland? Die letzten zwei Corona-Jahre haben Defizite schonungslos aufgedeckt. Mit der neuen Bundesregierung besteht die Hoffnung, dass insbesondere IT-Sicherheit stärker auf die politische Agenda gelangt. Die Pandemie hat aber auch die Arbeitswelt für viele Unternehmen und deren Mitarbeiter verändert. Homeoffice ist kein futuristisches Konzept mehr, sondern Realität. Für den Schutz von Organisationen wird von vielen Experten aus diesem Grund ein Modell ins Spiel gebracht, dass aus den Anfängen des Internets stammt: Zero Trust. Wie lässt sich das Umsetzen? Kriegen wir so die Digitalisierung auf staatlicher und unternehmerischer Ebene in den Griff? Christian Lueg spricht hierzu mit Thorsten Urbanski, Leiter der TeleTrust-Arbeitsgruppe "IT-Security made in EU", und Michael Schröder, Security Business Strategy Manager DACH bei ESET.
Die Gäste
Michael Schröder ist als Technologieexperte und Datenschutzbeauftragter für die strategische Ausrichtung von ESET Produkten und Services in Deutschland, Österreich und der Schweiz zuständig. Michael ist seit mehr als 25 in der IT-Welt unterwegs und kennt die Branche aus verschiedenen Blickwinkeln. Neben seiner umfassenden Expertise im Bereich Datenschutz und -sicherheit verfügt er über ein vertieftes Wissen rund um Authentifizierungslösungen, Verschlüsselung, Cloud-Sandboxing, Endpoint Detection and Response und Threat-Intelligence Services.
Thorsten Urbanski verfügt über mehr als 20 Jahre Berufserfahrung in der IT-Industrie und speziell in der IT-Sicherheit. Er leitet er unter anderem die TeleTrusT-Arbeitsgruppe „IT-Security made in EU “ und war langjähriges Mitglied des Experten-Panels „Strategische Plattform IKT/ Horizon 2020“ des Bundesministeriums für Bildung und Forschung.
Was ist digitale Souveränität und das Problem bei dem Thema?
Home-Schooling, kontaktloses Bezahlen, auch die Digitalisierung in Unternehmen wird immer wichtiger. Die digitale Souveränität hat durch die Corona-Pandemie enorm an Bedeutung gewonnen.
Digitale Souveränität gerade in Deutschland und Europa ist eine enorme Herausforderung. Aber was steckt hinter diesem sperrigen Wort? Souveränität bedeutet zunächst die Selbstbestimmung über etwas zu behalten und somit auch die Spielregeln bestimmen zu können. Hierbei gibt es unterschiedliche Dimensionen, wie zum Beispiel die staatliche, die unternehmerische und die private.
Bei der staatlichen Dimension sind damit Organisationen gemeint wie der Bundestag oder die Kommunen und diese selbständig funktionieren können. Bei Unternehmen sieht es ähnlich aus, hier geht es auch um Selbstbestimmung und Dinge durchsetzen können wie Patente.
Bei der digitalen Souveränität spielen natürlich Daten eine zentrale Rolle. Was passiert mit diesen? Bürgerinnen und Bürger sollen Online-Dienste sicher nutzen können. Das ist eine Herausforderung für die Zukunft und es müssen hierbei Spielregeln existieren die im Sinne des Nutzers sind.
Es geht aber auch darum die Möglichkeiten des digitalen Fortschritts nicht zu verlangsamen. Gerade Chips, die später in Autos, Computern oder Industrieanlagen verbaut werden, müssen von außerhalb der EU importiert werden. Auch das ist bei der digitalen Souveränität von enormer Bedeutung und muss sichergestellt werden.
Vertrauenswürdige IT-Sicherheit ist hier ein wichtiger Punkt. In der TeleTrust-Arbeitgruppe "IT Security made in EU" ist das ein zentrales Thema. Das Ziel ist es einen Rahmen zu schaffen, um personenbezogene und unternehmerische Daten zu schützen.
Mehr Infos zu Digitaler Souveränität gibt es im ESET Corporate Blog.
IT-Sicherheit und Zero Trust
IT-Sicherheit ist, wie schon gehört, ein wichtiges Element, um digitale Souveränität zu gewährleisten. Hierzu zählt auch die Arbeitswelt. Durch die Corona-Pandemie hat sich hier einiges verändert. Home-Office und mobiles Arbeiten sind keine Zukunftsvisionen mehr, sondern gelebte Realität.
Unternehmen können hier das Rad auch kaum noch zurückdrehen und müssen ihre IT-Sicherheit diesen neuen Gegebenheiten anpassen. Hier gibt es das "Zero Trust"-Modell, das in den letzten Jahren enorm an Popularität gewonnen hat. Dabei ist dieses Konzept gar nicht so neu, aber war seiner Zeit voraus.
Zero Trust folgt dem Grundsatz: "Vertraue keiner Entität, weder innerhalb noch außerhalb deines Perimeters." Entität kann beispielsweise eine Server, eine Verbindung, eine Applikation, eine Person oder ein Endgerät sein. Man könnte auch sagen "Traue Niemandem!". Perimeter ist ein Begriff aus der IT-Security oder dem militärischen Bereich. Der Begriff beschreibt einen geschützten Bereich, dieser war früher zum Beispiel das Büro. Alle Server, Zugänge oder Rechner standen in einem geschützten Umfeld.
Die Arbeitswelt hat sich komplett verändert. Server stehen in der Cloud, Endgeräte sind mobil und außerhalb des Büros, in Bahnhöfen, an Flughäfen oder im Home Office. Zahlreiche externe Dienstleister werden benötigt. Hier muss mehr Sicherheit erreicht werden vor dem Hintergrund der aktuellen Situation.
Zero Trust = Dem Mitarbeiter wird nicht mehr vertraut?
Diese Frage kommt häufig beim Thema Zero Trust auf. Soll der Geschäftsführer oder der IT-Verantwortliche dann seinen Mitarbeitern misstrauen? Laut Michael Schröder ist das gar kein Bestandteil dieses Modells. Gerade im Bereich Zero Trust Security ist es wichtig einen gewissen Grundschutz sicherzustellen. Home Office ist hier ein gutes Beispiel. Greift dieser Mitarbeiter von zu Hause auf Dienste, Dateien, Programme oder Server zu, kann ich zwar sehen, dass es sein Endgerät ist, aber nicht, ob es auch der Mitarbeiter ist. Daher ist es wichtig hier einen Schritt der Authentifizierung zu implementieren. Ist das der richtige Mitarbeiter oder wurde schlimmstenfalls das Gerät gestohlen? Wichtig ist es natürlich auch, dass Geräte so weit gehärtet werden, dass sie sicherheitstechnisch überall gleichwertig funktionieren. Die Sicherheit muss immer die gleichen Normen erfüllen.
**Was erwarten die Experten von der neuen Bundesregierung?
**
Die neue Bundesregierung geht einige Dinge, gerade im Bereich Digitalisierung, anders an und versucht frischen Wind in das Thema zu bringen. IT-Sicherheit und "Security by Design" spielen hier eine wichtige Rolle. Ein Schwachstellenmanagement soll implementiert werden.
Laut Thorsten Urbanski war es bereits mit der alten Bundesregierung unter der EU Ratspräsidentschaft 2020 schon auf der Agenda. Das Thema ist natürlich eine Herausforderung. Im Koalitionsvertrag steht die Digitalisierung ganz weit oben. Deutschland will eine digitale Gesellschaft werden - hier besteht in vielen Bereichen noch Nachholbedarf. Erstmal muss eine Infrastruktur geschaffen werden, die jedem eine Teilnahme ermöglicht.
Dabei ist dann die Frage immanent: Wie mache ich das sicher? Im Bereich Hardware ist "Security by Design" natürlich schwierig, wenn ich gar keinen Einfluss auf die Produktion der Komponenten habe. Hier muss man tunlichst aufpassen, dass IT-Sicherheit nicht wirklich zu ein bisschen "Feenstaub" wird, dass ich verstreue und alles ist sicher.
Wenn ich über Digitalisierung rede, muss ich mir bewusst sein, dass Deutschland alleine viel zu klein ist. Zumindest auf EU-Ebene muss es hier eine gemeinsame Anstrengung und Strategie geben. Da ist Deutschland eine der Lokomotiven und das muss die neue Bundesregierung nach vorne bringen.
Thorsten Urbanski schiebt hier noch den Punkt ein, dass es in den vergangenen zehn Jahren in Deutschland und der EU einen immensen Ausverkauf an Technologie und Know-How im Bereich IT-Sicherheit an nicht aus der EU-stammende Unternehmen gab. Hier müssen politische Akteure sehr aufpassen, dass dieser Trend nicht fortgesetzt wird.
Wie hilft mir Zero Trust bei Schwachstellen in der IT?
Sicherheitslücken wie Kaseya, Log4j oder bei Exchange sind eine enorme Gefahr für Unternehmen. Wie kann Zero Trust hier das Sicherheitsprofil eines Unternehmens schärfen? Für Michael Schröder ist das ein sehr breites Feld und darüber könnte man über Stunden referieren. Zero Trust bietet Lösungskonzepte für den Handwerker, aber auch für Großkonzerne. Dieses Konzept verfolgt auch ESET und hat hier einen roten Faden in Form eines Reifegradmodells etabliert. Je nach Schutzbedarf und Komplexität der Infrastruktur gibt es hier verschiedene Stufen. Ein Handwerker mit zwei Auszubildenden und zwei Festangestellten benötigt natürlich keine komplexe Sicherheitslösung für seinen Betrieb, weil er es zum einen kaum betreiben kann und er auch keinen nutzen daraus ziehen kann. Im Gegensatz dazu hat natürlich einen Finanz- oder Versicherungsunternehmen ein ganz anderes Schutzbedürfnis. Zero Trust ist, zumindest in den einfachen Stufen, für jeden umsetzbar, egal ob Verein oder Handwerksbetrieb. Je größer der Betrieb und je umfangreicher die Anforderungen, so umfassendere Schutztechnologien gibt es.
Wo bekommt ein interessiertes Unternehmen Unterstützung oder Hilfe bei dem Thema? Wie diese Stufen des Reifegradmodells aussehen und wie ESET dies umgesetzt hat, erläutert Artikel "Warum IT-Security ohne Voraussicht nicht funktioniert" im Corporate Blog. Michael Schröder hat zu diesem Thema auch ein Webinar gehalten, dass auf Youtube verfügbar ist.
Was muss bei digitaler Souveränität auf deutscher und EU-Ebene getan werden?
Transparenz ist für Thorsten Urbanski ein zentrale Forderungen bei der digitalen Souveränität. Zero Trust ist hier ein Beispiel für. Wenn ich dieses Modell in einem Unternehmen einführen möchte, muss ich wissen, was ich da überhaupt kaufe. Gerade im IT-Sicherheitsbereich ist das enorm wichtig. Habe ich einen Komponentenhersteller, der Technologien aus aller Welt einkauft und dann als sein Produkt zusammenstellt, oder habe ich einen echten Hersteller, der auch die Technologien im Produkt selber entwickelt. Das muss dann auch in einem bestimmten Rechtssystem geschehen. Die EU und ihre Mitgliedsstaaten sind hier absolut in der Lage auf eigene Technologien im Bereich IT-Sicherheit zurückzugreifen. Im Hardware-Bereich ist die Situation viel schwieriger, da hier echte Hersteller Mangelware sind.
Bei der IT-Sicherheit ist die Situation günstiger. Daher ist hier Transparenz und eine wertebasierte IT-Security essentiell. So kann digitale Souveränität in der EU gewährleistet werden. Nicht nur die Bandbreite sollte hier das bestimmende Thema sein.
Digitale Souveränität auf der privaten Ebene
In der Folge wurde viel von staatlichen Akteuren und Unternehmen gesprochen. Aber wie sieht die digitale Souveränität konkret für eine Privatperson aus? Smartphone, smarte Geräte, Tablets und Computer sind in fast jedem Haushalt zu finden. Für Thorsten Urbanski bedeutet digitale Souveränität Selbstbestimmung. Anwender kaufen ein Gerät und setzen dies ein. Große Player schreiben einem bis zu einem gewissen Grad die Spielregeln bereits vor. Grundsätzlich ist Thorsten Urbanski kein Freund von regulatorischen Maßnahmen durch den Gesetzgeber. Aus seiner Sicht ist es aber wichtig zu einem "digital Mindset" zu kommen. Es setzt voraus, dass die Schule hier bereits ansetzt. Digitale Kompetenz wird den heutigen Schülerinnen und Schülern in vielen Fällen nur am Rande vermittelt. Selbst in MINT-Schulen (MINT steht für Mathematik, Informatik, Naturwissenschaften, Technik) gibt es oft keinen Informatikunterricht. Häufig beschränkt sich die Wissensvermittlung auf PowerPoint und Word.
Zudem müssen Anwender, wenn sie wissen, was mit ihren Daten passiert, mündig werden. Hier muss dann aber der Staat schützend eingreifen und klare Spielregeln definieren. Unternehmen aus der EU sind da auch verpflichtet diese Regeln einzuhalten.
Ein Beispiel nennt der Experte auch. Vor einigen Jahren wollte er sich eine neue Kaffeemaschine kaufen. Diese hatte einen Netzwerkanschluss. Den Händler fragte er, was es mit diesem Anschluss auf sich hat. Dieser sagte, dass der Hersteller dadurch Updates und neue Services einspielen. Im Umkehrschluss erhält er aber auch Zugriff auf das Netzwerk des Kunden und wie sind da die Schutzmechanismen. Der Händler konnte dies dann nicht beantworten. Thorsten Urbanski rät jedem Konsumenten gerade solche Dinge zu hinterfragen. Hier setzt er Hoffnung in die neue Regierung, dass hier Grundlagen geschaffen werden, und das Thema nicht verschlafen wird.
Zero-Trust und digitale Souveränität: Transparenz als Lösung?
Bei Michael Schröder schlagen, da er auch Datenschutzbeauftragter ist, verschiedene Herzen. Privat als auch betrieblich herrscht oft noch eine digitale Sorglosigkeit vor. Weiterhin beobachtet er in vielen Unternehmen, dass bestimmte Grundfeste gar nicht überprüft werden. Gerade durch die Pandemie wurden Geräte und Technologien bestellt, ohne sich darüber Gedanken zu machen, ob diese ins Konzept passen. Hier macht Zero Trust als Basis durchaus Sinn, um wieder auf den Boden der Tatsachen zu kommen.
Tipps am Ende
Statt eines Serviceteils gibt es in dieser Sendung einen Tipp der Experten.
Thorsten Urbanski rät Nutzern den Kopf einzuschalten und nicht im Standby durch die digitale Welt zu schreiten. Beim Kauf eines Gerätes oder Technologie sollten Fragen gestellt werden. Beispielsweise wie viele Updates es für ein Gerät gibt.
Michael Schröders Top-Tipp ist es aus der eigenen Komfortzone rauszukommen. Denn er sieht oft Situation: "Bequemlichkeit frisst Security". Das gilt sowohl für Privatanwender als auch Unternehmen. Identitätsdiebstahl und andere Gefahren sind die Folgen, wenn diese Bequemlichkeit zu lange anhält.
31 min

About WeTalkSecurity - der ESET Podcast

From the publisher's feed

WeTalkSecurity ist der deutschsprachige ESET Security Podcast zu den Bereichen Digitalisierung und IT-Sicherheit. Unsere Themen reichen vom Online-Shopping, Cyber-Spionage bis zur Absicherung des Unternehmensnetzwerks. Jeden Monat sprechen wir mit interessanten Gästen über aktuelle Themen aus der IT-Security.