Autor: Online Redaktion

• dass das Internet in ihrer Wahrnehmung immer gefährlicher würde (65 %).
• dass die eigene Internetnutzung sich aufgrund von Datenschutz-Bedenken verändert hat (63 %).
• dass neue, smarte Geräte (Wearables, vernetzte Haushaltsgeräte) die eigene Privatsphäre verletzen könnten (71 %).
• dass die Nutzung öffentlicher WiFi-Netze zunehmendes Unwohlsein in Bezug auf Sicherheit mit sich bringe (70 %).

Durch viel Homeoffice haben Menschen jetzt auch mehr Zeit, um sich auf andere Dinge zu konzentrieren. So liegt der Schluss nahe, dass durch mehr Selbstreflexion oder einfach nur erhöhter Internet-Konsum auch die Wahrnehmung des Internets als Bedrohung steigt.

Um digitale Ängste abzubauen, rät der Sicherheitsberater von F-Secure, Tom Gaffney:

• die eigenen Geräte und Software immer aktuell zu halten.
• Sicherheitssoftware auf allen Geräten zu installieren.
• die klare Trennung zwischen beruflichen und privaten Online-Aktivitäten auf den verschiedenen Geräten.

Weitere Informationen finden Sie hier:
https://www.secupedia.info/aktuelles/home-office-baut-digitale-aengste-auf-18303

Tools und Programme, die auf einem Rechner installiert werden, ohne genutzt zu werden, stellen im Falle eines Hacking-Angriffs ein unnötiges Sicherheitsrisiko dar.
Im Folgenden beschreibt die Firma Sophos den Ablauf eines realen Hackerangriffs mit der (vergleichsweise unbekannten) Ransomware Midas, der sich von Oktober bis Dezember 2021 in einem Unternehmen abspielte.

Die betroffene Firma nutzte eine typische IT- und Sicherheitsinfrastruktur mit Windows-Servern, auf denen virtuelle Maschinen liefen. Es existierte eine flache Topologie und alles war via VPN zugänglich, also kaum Kontrolle darüber, wer auf die Rechner zugreift.
Es war kein Zero-Trust-Modell vorhanden, welches die Zugriffe kontrolliert und eingeschränkt hätte. Das System war nach außen abgeschirmt, aber nicht nach innen.

Am 13. Oktober, zwei Monate vor dem eigentlichen Angriff, infiltrierten Hacker das System und wurden auf mehreren Computern des internen Netzwerkes aktiv.
Dabei erstellten sie u. a. Skripte, verschoben Dateien und starteten Remote-Verbindungen, um alles auf den Angriff vorzubereiten. Sie nutzen dabei Tools wie AnyDesk und Teamviewer, die auf allen Computern installiert waren, obwohl sie nie genutzt wurden.
Die tatsächliche Verteilung der Ransomware auf die Netzwerkcomputer fand aber erst am 7. Dezember statt.

Tools wie AnyDesk und Teamviewer wurden vorher vom IT-Team auf den Rechnern getestet, jedoch nie entfernt.

Weitere Informationen finden Sie hier:
https://www.secupedia.info/aktuelles/das-problem-ungenutzter-und-vergessener-tools-18299

Wir möchten Sie heute über Neuerungen im myGINDAT Portal informieren.

Wir haben eine neue Kachel auf myGINDAT zu den Schulungsinstanzen.

Wenn Sie diese anklicken werden Ihnen unter dem Text der Erreichbarkeit  5 Fragen angezeigt, und wir möchten Sie bitten diese Fragen zu beantworten.

Durch die Beantwortung der Fragen, haben wir die Möglichkeit Ihre Online-Schulung noch besser auf Sie und Ihr Unternehmen abstimmen zu können.

Heutzutage wird es immer wahrscheinlicher, dass ein Unternehmen früher oder später ins Visier eines Cyberangriffs gerät.
Die Firma Sophos entwickelte einen Incident-Response-Plan in 10 Schritten, um im Falle einer Cyberattacke die Kontrolle zu behalten, den Schaden zu minimieren und Folgekosten zu verhindern.

1. Alle Beteiligten und Betroffenen festlegen
   Alle entscheidenden Personen müssen in die Incident-Planung einbezogen werden. Es sollten außerdem alternative Kommunikationswege geschaffen werden, die im Falle eines Angriffs nicht in Mitleidenschaft gezogen werden.
2. Kritische Ressourcen identifizieren
   Das Schadensausmaß im Ernstfall muss ermittelt werden. Dabei sind Prioritäten zu vergeben, welche Ressourcen und Systeme in welchem Umfang geschützt werden müssen.
3. Ernstfall-Szenarien üben und durchspielen
   Anstatt nach Handlungsanleitungen zu suchen oder nach der Intuition zu handeln, sollten Übungsszenarien (mit unterschiedlichen Arten von Angriffen) vorbereitet und erprobt werden.
4. Security-Tools bereitstellen
   Es sollte in Präventive Maßnahmen investiert werden, wie etwa Security-Lösungen für Netzwerk, Server, Cloud und E-Mails, KI-gestützte Automation, sowie eine Verwaltungs- und Alarmkonsole, um Angriffe möglichst frühzeitig zu erkennen.
5. Maximale Transparenz sicherstellen
   IT- und Sicherheitsteams müssen einen Überblick über alle Vorgänge haben, um alle angreifbaren Punkte in Systemen zu kennen und angemessen auf Angriffe reagieren zu können.
6. Zugriffskontrolle implementieren
   Nicht alle Mitarbeiter benötigen dieselben Zugriffsrechte. Mehrstufige Authentifizierung und selektive Vergabe von Administrator-Rechten schränken die potenziellen Schäden eines Angriffs ein. Zusätzlich sollte darüber nachgedacht werden, ein Zero-Trust-Konzept zu erstellen und umzusetzten.
7. In Analyse-Tools nutzen
   Es sollten Tools wie EDR (Endpoint Detection and Response) oder XDR (Extended Detection and Response) eingerichtet werden, die Systeme nach Indikatoren für einen im Gange befindlichen Angriff absuchen.
8. Reaktionsmaßnahmen festlegen
   Wird ein Angriff erstmal entdeckt, muss die IT wissen, welche Maßnahmen gegen welche Angriffsform eingesetzt werden müssen.
9. Awareness-Trainings durchführen
   Mitarbeiter sollten im Training ein simuliertes Angriffs-Szenario durchgehen, um  sie für die korrekte Handhabung einer Notsituation und die Risiken ihrer eigenen Handlungen zu sensibilisieren.
10. Managed Security Services
    Idealerweise hat man einen Incident-Response-Plan zusammen mit einem geschulten Team. Dies ist nicht für jedes Unternehmen umsetzbar – man kann dennoch in Erwägung ziehen, einen externen Dienstleister wie einen Provider von MDR (Managed Detection and Response) zu verpflichten.

Weitere Informationen finden Sie hier:
https://www.secupedia.info/aktuelles/gut-vorbereitet-fuer-den-cyber-ernstfall-18279

Seit der Einführung unseres Kundenportals myGINDAT (https://www.gindat.de/anmeldung.html) arbeiten wir permanent an dem Ausbau und Erweiterung der Website.

Im Vergleich zum Vorjahr können wir Ihnen noch mehr Funktionen anbieten, die Sie beim Aufbau und Überwachen Ihres Datenschutzmanagementsystems unterstützen.
Neben der Erstellung Ihrer Verarbeitungsverzeichnisse, können Sie zwischenzeitlich auch Ihre Dienstleisterliste online pflegen sowie Ihre technischen und organisatorischen Maßnahmen dokumentieren.

Auch der Upload von Dokumenten, wie z.B. die verabschiedete Datenschutzrichtlinie (Richtlinie Betriebliche Datenschutzorganisation_DSGVO), ist bereits seit einigen Monaten möglich.

Ab sofort bietet Ihnen das Kundenportal aber auch die Möglichkeit, alle notwendigen Audits, die Ihr Datenschutzbeauftragter in seiner Funktion durchführen muss, zu überwachen.
Sehen Sie jederzeit, wann der nächste Datenschutz-Jahresbericht fällig ist, oder wann wieder ein Website-Security-Audit durchgeführt wird.

Auch die Fälligkeit einer neuen Gebäudebegehung zur Prüfung der physikalischen Sicherheit Ihrer Organisation oder die Notwenigkeit eines neuen Netzwerkscans zur Überprüfung der internen Infrastruktur, können Sie ab sofort einsehen.
Falls ein geplanter Termin unserseits mal nicht passt, können Sie diesen auch bequem im Portal direkt neu terminieren. Bitte beachten Sie jedoch, dass der Termin eine Frist von 3 Monaten nicht übersteigen kann.

Derzeit arbeiten wir an einem Hinweisgebersystem, damit Sie die Whistleblower-Richtlinie in Ihrem Unternehmen rechtskonform umsetzen können.

Sollte ein Termin dennoch einmal nicht passen, können Sie uns weiterhin auch telefonisch erreichen.
Bei Fragen zum Kundenportal stehen wir Ihnen wie gewohnt montags bis freitags von 08:00 Uhr bis 17:00 Uhr unter der 02191 909 430 oder per Mail unter info@gindat.de zur Verfügung.

Dass die Daten der Luca-App auch für die Strafverfolgung interessant sind, dürfte wenig überraschen. Da die Privatsphäre der App nicht auf technischer Ebene gesichert ist, war es auch nur eine Frage der Zeit, bis Behörden Zugang auf die Daten anfordern. Noch fehlt dazu eine klare Rechtsgrundlage um die Daten zur Ermittlung von Zeugen zu nutzen, was der Staatsanwaltschaft aber erst im Nachhinein aufgefallen sein will.

So geschehen, als es in einer Kneipe zu einem Sturz kam. Die betroffene Person verstarb mehrere Tage später an den Folgen, woraufhin die Polizei ermittelte und zwecks Zeugenbefragung die Luca-Daten der Kneipe erfragte. Als sie die Daten zunächst nicht erhielten, wandte sich die Polizei an das Gesundheitsamt, welches ebenfalls bei der Kneipe eine Herausgabe anforderte, die daraufhin auch erfolgte.

Diese Nutzung der Daten außerhalb der ursprünglich gedachten Kontaktverfolgung ist mittlerweile nur ein weiterer Kritikpunkt. Denn angesichts der zurückgegangenen Nutzung (in Bayern wurden 2 Wochen lang keine Daten abgefragt) dürfte sie mittlerweile zur tatsächlichen Bekämpfung der Pandemie kaum noch nützen. Dazu kommt, dass Luca scheinbar auch in Erwägung zieht, die Nutzerdaten in Zukunft nicht mehr für die Pandemie-Nachverfolgung, sondern auch gewinnbringend zu nutzen, indem die Luca-App für Events oder die Gastronomie eingesetzt wird.

Weitere Informationen finden Sie hier:
https://netzpolitik.org/2022/mainz-polizei-nutzte-luca-daten-von-kneipenbesuchern-ohne-rechtsgrundlage/

Digitale-Dienste-Gesetz und Digitale-Märkte-Gesetz:

Mit diesen beiden Verordnungen sollen Grundregeln für die digitale Welt geschaffen werden, u. a. um große Plattformen wie Google, Amazon und Apple in deren Macht einzuschränken.

Die EU-Staaten verhandeln aktuell noch mit dem EU-Parlament über einzelne Bestimmen der zwei Gesetze, wie etwa eine Verpflichtung für Netzwerke und Messenger-Dienste, den Austausch von Nachrichten interoperabel (mit anderen Diensten) zuzulassen, stärkeren Schutz vor Online-Tracking und die Forderung, auf Pornoplattformen Handynummer und E-Mail-Adresse zu hinterlegen, bevor man Videos hochladen kann.

Kennzeichnungspflicht für politische Werbung: 

Die Kennzeichnungspflicht soll sowohl online für Facebook, Youtube, etc. als auch offline gelten.

Verhaltenskodex gegen Desinformation:

Mit dem Ziel, Fake News und Wahlbeeinflussung besser bekämpfen zu können, soll der (bereits existierende) Verhaltenskodex zur Bekämpfung von Desinformation der EU überarbeitet werden.

Verordnung zur Regulierung von künstlicher Intelligenz:

KI soll reguliert werden, indem hochriskante Anwendungen genehmigungspflichtig gemacht werden bzw. teilweise ganz verboten werden sollen. Biometrische Videoüberwachungsmaßnahme sollen allerdings weiterhin in „wenigen, eng definierten Ausnahmefällen“ zugelassen sein.

ePrivacy-Verordnung:

Hier existieren noch große Differenzen zwischen dem Gesetzesentwurf des EU-Staaten-Rats (welche den Schutz der Privatsphäre schwächen würde) und der des EU-Parlaments (welche Privatsphäre stärken soll). Die Verhandlungen laufen.

Übrigens existiert eine Ausnahme von der aktuell existierenden ePrivacy-Richtlinie, für die die EU-Kommission einen neuen Vorschlag vorlegen will. Zuvor erlaubt die Ausnahme Netzwerkdiensten wie Facebook, private Nachrichten auf Inhalte bezüglich Kindesmissbrauchs zu untersuchen. Im neuen Vorschlag soll diese Untersuchung sogar verpflichtend vorgeschrieben werden.

Zugriff auf verschlüsselte Inhalte:

Laut geleakten  EU-Dokumenten soll 2022 ein Gesetzesentwurf kommen, der den Strafverfolgungsbehörden Zugriff auf verschlüsselte Inhalte ermöglichen soll.

Ebenso gibt es neue Überlegungen vonseiten der EU-Kommission, Telekommunikationsdienstleister zu einer Vorratsdatenspeicherung zu verpflichten, obwohl solche Ansätze in der Vergangenheit vom Europäischen Gerichtshof gekippt wurden.

Digitaler Identitätsnachweis

Aus einer ganzen Reihe elektronischer IDs, die auf nationaler Ebene existieren, soll nun eine einheitliche, europaweite Lösung entstehen.

European Cyber Resilience Act

Es soll ein gemeinsamer Standard zum Schutz internetfähiger Geräte entstehen, ausgelöst durch die zunehmenden Ransomware-Attacken in Zeiten von Covid-19.

Einheitliche Ladegeräte und Recht auf Reparatur:

Mit einheitlichen Ladegeräten und Ladeanschlüssen sollen zukünftig elektrische Geräte europaweit nachhaltiger werden. Ebenso soll ein Vorschlag zum Recht auf Reparatur für elektronische Geräte kommen.

Weitere Informationen finden Sie hier:
https://netzpolitik.org/2021/jahresvorschau-was-die-eu-netzpolitisch-fuer-2022-plant/

Seit diesem Monat gilt das neue TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz), welches von Webseitenbetreibern eine explizite Nutzereinwilligung für das Speichern und Auslesen von Cookies und ähnlichen Technologien verlangt. Die einzige Ausnahme hiervon sind Cookies, die unbedingt erforderlich sind, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann.

Nach mehreren Jahren sind den Anforderungen der E-Privacy-Richtlinie der EU damit endlich genüge getan. Da die meisten Webseitenbetreiber bereits 2020 DSGVO-konforme Cookiebanner eingerichtet haben dürften, sollte sich in der Praxis mit dem neuen Gesetz wenig ändern.

Was bisher allerdings noch nicht umgesetzt wird, sind die Regelungen von Cookie-Managern, PIMS (Personal Information Managementservices) oder Single-Sign-Ons – also Dienste zur Einwilligungsverwaltung. Diese sollen noch per Rechtsverordnung reguliert werden.
Anforderungen an solche Dienste wurden auch schon von der Verbraucherzentrale Bundesverband ausgesprochen: demnach solle der Verbraucher generelle Spezifikationen und Widersprüche festlegen können, sodass diese für jede besuchte Seite einfach übernommen werden können. Für solche Dienste kämen auch Browser-Erweiterungen infrage. Die VZBV betont, dass Einwilligungen so einfach abgelehnt und widerrufen werden müssten, wie sie erteilt werden können. Wichtig ist dabei, dass Bereitsteller eines solchen Einwilligungsdienstes „kein wirtschaftliches Eigeninteresse an der Erteilung der Einwilligung und an den verwalteten Daten haben und unabhängig von Unternehmen sind, die ein solches Interesse haben können“.

Weitere Informationen finden Sie hier:
https://www.golem.de/news/ttdsg-neue-cookie-regelung-in-kraft-getreten-2112-161473.html

Ulrich Kelber, seines Zeichens Bundesdatenschutzbeauftragter, bemängelt die Umsetzung der 3G-Regeln am Arbeitsplatz als „fehlerhaft“, obwohl er die Regelung als solche grundsätzlich befürwortet.

Anstatt Kontrolle einfach nur zu ermöglichen werden Unternehmen unter Bußgelddrohungen zu selbiger gezwungen. Dabei gibt es innerhalb des Gesetzes auch keine konkreten Schutzmaßnahmen für die Daten der Beschäftigten.

Datenschutzrechtliche Fehler bei der Umsetzung des Gesetzes führen letztlich zu Klagen vor Gericht und ein Herauszögern vor Gerichten würde auch der Pandemiebekämpfung schaden.

Weitere Informationen finden Sie hier:
https://www.bfdi.bund.de/SharedDocs/Pressemitteilungen/DE/2021/16_3G-am-Arbeitsplatz.html

Die Kosten für die Entwicklung des digitalen Impfnachweises, auch bekannt als Covpass-App, wurde ursprünglich auf 2,7 Millionen Euro angesetzt. Zuständig waren die Firmen IBM, Bechtle und Ubrich. Mittlerweile beträgt die von der Regierung ausgegebene Summe rund 15,4 Millionen.

Nicht zuletzt die verzögerte Herausgabe der europäischen Vorgaben trieben die Kosten in die Höhe, aber auch die zusätzlichen Entwicklungsleistungen „im Sinne einer agilen Softwareentwicklung und aufgrund der Ergebnisse der Abstimmung mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit sowie dem Bundesamt für die Sicherheit in der Informationstechnik“. Die Anforderungen beinhalteten, dass die App sich mit Programmen von Arztpraxen und einem Callcenter für Bürgeranfragen verknüpft, sowie ein Genesenenzertifikat integriert werden kann.

Zusätzlich wurden 50 Cent an die IBM für jedes ausgestellte Impfzertifikat gezahlt – eine stolze Summe, in Anbetracht von 23,5 Millionen Downloads und 114 Millionen verabreichten Impfungen.

Weitere Informationen finden Sie hier:
https://www.secupedia.info/aktuelles/schluessel-zur-generierung-von-impfzertifikaten-wurden-gestohlen-18190