Autor-Archiv:Datenschutz

Betrugsserie per SMS: BSI warnt vor „Smishing“-Welle zur Paketverfolgung

Betrugsserie per SMS: BSI warnt vor „Smishing“-Welle zur Paketverfolgung

Auf immer mehr Mobiltelefonen gehen SMS etwa zur Sendungsnachverfolgung ein, über die der Banking-Trojaner FluBot installiert wird. Das BSI mahnt zur Vorsicht.

Seit Tagen erhalten Nutzer von Smartphones und anderen Handys verstärkt Kurznachrichten, die zum Klicken eines Links auffordern. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dahinter eine „Smishing“-Welle ausgemacht (SMS-Phishing), über die per gefälschten Mitteilungen Zugangsdaten ergaunert werden. Aktuell befinde sich in den Handy-Mitteilungen ein Link, hinter dem sich in den meisten aktuell beobachteten Fällen das Android-Schadprogramm FluBot verberge.

Malware-App für Android, Phishing-Websites für iOS

Dieser Banking-Trojaner, der vertrauliche Daten auszuspähen und Apps für die Online-Kontenführung oder zur Depotverwaltung anzuzapfen versucht. Die Täter geben etwa vor, dass die Empfänger der SMS bald ein Paket erhalten oder eine Sendung zurück an den Absender gehen soll. Android-Nutzer bekommen über den Link die schädliche FluBot-App zum Download angeboten, die dann zahlreiche Berechtigungen einfordert. Dabei tarnen die Kriminellen die Malware als eine für die Paketverfolgung angeblich notwendige Anwendung von bekannten Logistikunternehmen wie DHL, Deutsche Post oder FedEx.

Auf iPhones oder iPads funktioniert der Download nicht. Nutzer von Geräten mit iOS-Systemen landen in der Regel auf Werbe- oder Phishing-Seiten. Dort lauern Abofallen, Angebote für dubiose Geldanlagen oder andere Schadsoftware.

Nicht auf den Link klicken!

Beim Erhalt einer verdächtigen SMS sei es wichtig, nicht auf den Link zu klicken und die Nachricht umgehend nach Erhalt zu löschen, rät das BSI. „Sollte Ihnen der Absender oder die Absenderin bekannt sein, rufen Sie ihn oder sie zum Beispiel an und fragen Sie nach der Richtigkeit.“ Zugleich sei es empfehlenswert, den Absender über das Betriebssystem zu sperren. Generell sollte unter Android die Installation von Apps aus unbekannten Quellen deaktiviert werden. Über den Mobilfunkanbieter lasse sich zudem eine Drittanbietersperre aktivieren, um unerwünschte Abbuchungen zu vermeiden.

Nutzer, die auf einen einschlägigen Link geklickt oder sogar bereits den Trojaner installiert haben, sollten der Behörde zufolge das Gerät in den Flugmodus schalten und so vom Mobilfunknetz trennen. Im Anschluss sei der Provider über den Fall zu informieren. Parallel sollten Betroffene ihr Bankkonto und Ihren Zahlungsdienstleister auf nicht selbst veranlasste Abbuchungen überprüfen.

Empfehlung: Strafanzeige erstatten

„Erstatten Sie Strafanzeige bei der örtlichen Polizeidienststelle“, empfiehlt das BSI weiter. Dabei sollte das Smartphone für „Beweissicherungen“ mitgenommen werden. Im Anschluss sollte das Gerät auf die Werkseinstellungen zurückgesetzt werden. Alle gespeicherten und installierten Daten gingen dabei zwar verloren. Der Schritt sei aber nötig, „um die über die aktuellen SMS-Spam-Nachrichten verteilten Android-Schadprogramme vollständig zu entfernen“.

„Seit den Ostertagen ist in manchen Fällen sogar eine persönliche Anrede zu beobachten“, verweist das Amt auf neue Tricks der Betrüger. Das Smishing-Phänomen an sich sei nicht neu. Damals sei Betroffenen auf diesem Weg das Android Schadprogramm MoqHao untergejubelt worden.

SMS-Flut losgetreten

Auch Strafverfolgungsbehörden wie das Polizeipräsidium Nordhessen, die Kollegen in Neubrandenburg und das Landeskriminalamt Niedersachsen warnten bereits vor der perfiden Betrugswelle. Die hessischen Ordnungshüter mahnten dabei zur besonderen Vorsicht: Aufgrund der hohen Nachfrage im Online-Handel während der Corona-Pandemie „erwarten viele Menschen tatsächlich ein Paket und klicken auf den folgenschweren Link in der SMS.“ Der Trojaner verbreite sich dann „wie ein Schneeballsystem unter den gespeicherten Kontaktdaten des Betroffenen“. Dies löse eine regelrechte SMS-Flut aus.

Veröffentlichung von Nutzerdaten / SMS Hacker

Facebook will nach Veröffentlichung von Nutzerdaten nichts unternehmen.

Tage nachdem eine neue riesige Datenbank mit Facebook-Nutzerdaten online gelandet ist, geht jetzt eine Spamwelle los. Facebook will aber nichts unternehmen.

Offenbar in Zusammenhang mit dem jüngsten Datenleck mit mehr als 500 Millionen betroffenen Facebook-Nutzern und Nutzerinnen gibt es nun eine Welle von gefährlichem SMS-Spam. Darauf weisen Betroffene in sozialen Netzwerken hin, auch bei Kunden von unserem Datenschutzbüro gibt es Fälle.

Facebook, wo die Daten des jüngsten großen Lecks abgegriffen wurden, hat derweil mitgeteilt, die Betroffenen nicht selbst informieren. Zusammengefasst heißt das, dass man selbst gar nicht genau wisse, wer alles betroffen ist und dass die Opfer sowieso nichts unternehmen könnten, da die Daten nun einmal öffentlich seien. Die Möglichkeit zum Abgreifen der Daten sei längst geschlossen.

Facebook will nichts unternehmen

Hintergrund ist eine Datenbank mit Einträgen von mehr als 500 Millionen Facebook-Nutzernamen inklusive der vollständigen Namen, Telefonnummern, Geburtsdaten, Orten, biografischen Angaben und E-Mail-Adressen, die am Wochenende online entdeckt wurde. Betroffen waren Facebook Nutzer und Nutzerinnen in aller Welt, sogar Unternehmensgründer Mark Zuckerberg. Die für Europa zuständige irische Datenschutzbehörde hatte eine Untersuchung angekündigt und zugesichert, Betroffene gegebenenfalls zu informieren. Facebook selbst hatte darauf bestanden, dass die Daten nicht durch einen Hack entwendet wurden und schon älter seien. Damit versucht der Konzern wohl, Verpflichtungen aus der DSGVO und einer Einigung mit der US-amerikanischen FTC zu entgehen. Gleichzeitig gibt es Zweifel an der vorgelegten Chronologie.

Wer herausfinden möchte, ob die eigenen Daten in dem Leak enthalten sind, kann dies auf verschiedenen Onlineangeboten überprüfen. Inzwischen hat auch der renommierte Onlinedienst Have I Been Pwned die Möglichkeit ergänzt, die eigene Telefonnummer zu überprüfen.

Vorsicht bei SMS

Wer betroffen ist, dürfte das aber bereits an den SMS gemerkt haben, die seit Tagen massenhaft ankommen, was den Zusammenhang nahelegt. Die Masche erinnert an ältere, vor denen beispielsweise das Landeskriminalamt Niedersachsen schon seit geraumer Zeit warnt. Die SMS kommen demnach von einer unbekannten Telefonnummer und enthalten einen Link, über den nach einem Klick Schadsoftware geladen wird. Wem das passiert ist, der sollte Anzeige bei der örtlichen Polizeidienststelle erstatten und das Beauftragte Datenschutzbüro informieren. Andernfalls solle man einen Screenshot machen und die Nachricht löschen.

Besondere Vorsicht ist bei SMS geboten, bei denen es vorgeblich um Paketzustellungen geht. Wenn nicht bereits geschehen, sollte außerdem eine Drittanbietersperre eingerichtet werden.

[Update 08.04.2021 – 19:00 Uhr] Webseiten, die in SMS verlinkt sind, sollte man sowieso mit erhöhter Vorsicht begegnen. Auf ihnen sollten keine Passwörter eingegeben werden und keine persönlichen Daten. Auch dort angebotene Apps sollte man nicht installieren.

Der BfIS warnt*** Phishing SMS „Ihr Paket kommt an

Sehr geehrte Damen und Herren,

seitens des SAX.CERT wurden wir über massenhaft eingehende SMS-Benachrichtigungen informiert, die den Erhalt eines Paketes ankündigen. Die SMS werden von verschiedenen Handynummern versendet und enthalten einen Link, über den man angeblich das Paket verfolgen kann.

Augenscheinlich führt der Link entweder ins Leere, zu Fake-Shops oder einer gefälschten DHL-Seite, die angibt, dass das Paket zu schwer und ein Betrag von 2€ nachzuzahlen ist.

Wenn der Link ins scheinbar Leere läuft, wird im Hintergrund Schadsoftware heruntergeladen und installiert. Diese liest das Telefonbuch aus, um weitere SMS zu versenden. Bei Fake-Shops wird mit verlockenden Angeboten geworben um Bank- oder Kreditkartendaten zu erlangen. Auch bei der gefälschten DHL-Seite werden Kreditkartendaten abgefragt.

Beispiel:

Öffnen Sie deshalb keinesfalls den Link!

Fingerabdrücken in Ausweis ist rechtswidrig

Die europäischen und deutschen Vorgaben zum Einsatz biometrischer Identifizierungsdaten missachten laut einer Studie elementare Datenschutzgrundsätze.

Vom 2. August an müssen Bundesbürger mit dem Antrag eines neuen Personalausweises Abdrücke des linken und rechten Zeigefingers abgeben, die auf dem Funkchip des Dokuments gespeichert werden. Das Netzwerk Datenschutzexpertise hat die entsprechende Gesetzesnovelle zum Anlass genommen, den staatlichen Einsatz biometrischer Identifizierungsverfahren zu hinterfragen. Es kommt zu dem Ergebnis, dass einschlägige europäische und deutsche Regeln gegen das nationale Verfassungsrecht und das Europarecht verstoßen.

Das hiesige Gesetz zur „Stärkung der Sicherheit im Pass-, Ausweis- und ausländerrechtlichen Dokumentenwesen“ missachtet laut der am Montag veröffentlichten Analyse genauso wie die ihm entsprechende EU-Vorschrift und andere europäische Biometrie Bestimmungen grundlegende Datenschutzgrundsätze: Datenminimierung, Zweckbindung, Transparenz und andere Vorkehrungen zum Absichern der Grundrechte kämen zu kurz.

Datensparsamkeit angemahnt

„Für die eindeutige Identifizierung mithilfe von Fingerabdruckdaten genügt der Abdruck eines Fingers“, führt der Gutachter Thilo Weichert aus. Der Nachweis der Erforderlichkeit weiterer biometrischer Merkmale sei nicht erbracht. Aus Gründen der Pflicht zur Datensparsamkeit sei daher grundsätzlich „nur die Speicherung der Minutien eines Ringfingers oder kleinen Fingers zulässig“. Dies wäre „weniger missbrauchsanfällig, für Identifizierungszwecke aber ebenso geeignet“. Wegen des Fehlens europarechtlicher Vorgaben hätte der nationale Gesetzgeber auch den Spielraum gehabt, in diesem Sinne „eine weniger eingreifende Maßnahme vorzusehen“.

Die Eingriffsintensität erhöhe sich bei Ausländern aus Drittstaaten und insbesondere Flüchtlingen, bei denen zur eindeutigen Identifizierung nicht nur zwei Fingerabdrücke, sondern zehn erhoben würden, heißt es. Diese würden zudem unter anderem in deutschen und europäischen Datenbanken wie Eurodac, der Fingerabdruckdatei AFIS, dem dem Visa-Informationssystem (VIS) und im Ausländerzentralregister gespeichert.

Bei der Wahl des genutzten biometrischen Merkmals und des Verfahrens ist laut dem früheren schleswig-holsteinischen Datenschutzbeauftragten generell darauf zu achten, dass diesem eine möglichst geringe invasive Wirkung zukomme. Die Iris-Identifikation sei wegen der geringeren Missbrauchsgefahr als milderes Mittel einer Erkennung über das Gesichtsbild oder Fingerabdrücke grundsätzlich vorzuziehen. Genüge ein Lichtbild, sei bereits auf ein weiteres biometrisches Merkmal zu verzichten. Reiche eine lokale Verarbeitung auf einem Ausweis, sei die Speicherung in einem Hintergrundsystem unzulässig: „eine dezentrale Speicherung ist weniger eingriffsintensiv als eine zentrale“.

Zugriff von Sicherheitsbehörden

Die hiesigen Vorgaben für Ausweise und Pässe enthielten für Sicherheitsbehörden eine generelle automatisierte Abruf- und Speicherbefugnis „im Rahmen ihrer Aufgaben und Befugnisse“, gibt der Autor zu bedenken. Dies könnte Fahndungsabgleiche einschließen und verstoße gegen den Zweckbindungsgrundsatz sowie höherrangiges europäisches Recht. Eine Identitätsprüfung sei hier allenfalls für Grenzkontrollen als angemessen anzusehen. Das in der Praxis bestehende „unbegrenzte Zugriffsrecht für Geheimdienste auf Lichtbilder von Deutschen im Pass- und Personalausweisregister“ sei unverhältnismäßig.

Die breite Erlaubnis zur Datennutzung für Sicherheitszwecke bei Flüchtlingen lässt laut der Studie zusätzlich das Diskriminierungsverbot wegen Staatsangehörigkeit außer Acht. Insgesamt sei es „irritierend, mit welcher Nonchalance die Zweckbindungsanforderungen bei der Verarbeitung biometrischer Identifizierungsdaten im Ausländer- und insbesondere im Flüchtlingsrecht ignoriert werden“.

Eine besondere Gefahr biometrischer Hoheitsdokumente liegt laut Weichert darin, dass anlässlich von Ausweiskontrollen in außereuropäischen Drittstaaten dortige Behörden die Biometrie Daten abspeicherten und dann zur behördlichen oder gar geheimdienstlichen Zwecken gebrauchten beziehungsweise missbrauchten. Vorkehrungen dagegen seien nicht vorgesehen.

Unverhältnismäßig

Angesichts hoher Fehlerrisiken der biometrischen Gesichtserkennung, der Streubreite der Technik und dem damit verknüpften massiven Grundrechtseingriff könne deren Einsatz im öffentlichen Raum derzeit nicht als verhältnismäßig angesehen werden, ist dem Gutachten zu entnehmen. Welche Risiken hier auch für einen automatisierten Abgleich von Lichtbilddaten mit externen Fahndungsdateien lägen, hätten die polizeilichen Ermittlungen im Rahmen des G20-Gipfels gezeigt.

Weichert fordert, die Transparenz der Nutzung biometrischer Identifizierungsdaten zu verbessern und den demokratische Diskussionsprozess dringend zu intensivieren. Fingerabdrücke und Gesichtsbilder sind ihm zufolge „die Vorreiter biometrischer Identifizierungsmerkmale, mit denen die analoge Welt mit der digitalen Welt verknüpfbar wird und Menschen aus dem Schutz der Anonymität in der Menge herausgezogen werden“.

Auch Angriffe auf Internet Explorer

Microsoft hat wichtige Sicherheitsupdates für Azure, Office, Windows & Co. veröffentlicht. Derzeit stehen mehrere Lücken im Fokus von Angreifern.

Ab sofort sind über Windows Update Sicherheitspatches verfügbar, die insgesamt 89 Sicherheitslücken schließen. Davon sind unter anderem Azure, Edge, Exchange Server, Internet Explorer, Office, SharePoint Server, Visual Studio und Windows Hyper-V betroffen.

14 Schwachstellen sind mit dem Bedrohungsgrad „kritisch“ eingestuft. Als besonders gefährlich gelten die Lücken in Exchange Server, für die Microsoft bereits außer der Reihe Anfang März Notfall-Patches zum Download bereitgestellt hat. Admins sollten die Updates unmittelbar installieren. Bis dato dauern die Attacken an und weltweit haben Angreifer bereits hunderttausende Exchange Server kompromittiert. In Deutschland sind zehntausende Server betroffen und das BSI hat die „IT-Bedrohungslage rot“ ausgerufen.

Doch nicht nur Exchange Server befinden sich im Visier von Angreifern und es gibt Attacken auf Edge und Internet Explorer. Für erfolgreiche Attacken müssen Angreifer Opfer auf eine präparierte Website locken. Der Schadcode kann sich Microsoft zufolge auf einer Website direkt oder in einer darauf geschalteten Werbung befinden. Klappen Attacken, könnten Angreifer Schadcode ausführen.

Exchange-Lücken: BSI ruft „IT-Bedrohungslage rot“ aus „Windows ist gefährdet

Weitere kritische Schwachstellen betreffen verschiedene Windows-Komponenten wie die HEVC-Video-Erweiterung, Hyper-V und OpenType Font. In allen Fällen sollen Angreifer aus der Ferne Schadcode ausführen können. Bei mit Hyper-V erzeugten virtuellen Maschinen ist das aber nur möglich, wenn das Dateisystem Plan 9 zum Einsatz kommt. Außerdem muss ein Angreifer authentifiziert sein. Ist das gegeben, könnte er aus der VM ausbrechen und Schadcode auf dem Hyper-V-Server ausführen.

Exchange-Lücken: BSI sieht hierzulande zehntausende Server betroffen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) mahnt anhand mehrerer als kritisch eingestufter Schwachstellen in verschiedene Versionen von Microsofts Exchange-Server vor einem IT-Security-Fiasko. Zehntausende Rechner mit der Groupware-Software seien allein in Deutschland auf Basis der Lücken über das Internet angreifbar und „mit hoher Wahrscheinlichkeit bereits mit Schadsoftware infiziert“, erklärt die Behörde auf Basis von Zahlen der aufs Internet der Dinge spezialisierten Suchmaschine Shodan.

Weiterführende Angriffe mit geringem Aufwand

„Betroffen sind Organisationen jeder Größe“, schreibt das BSI. Das Amt hat dazu bereits eine Sicherheitswarnung herausgegeben. Angesichts der erhöhten Gefahr hat es zudem nach eigenen Angaben begonnen, potenziell Betroffene direkt zu informieren. So habe es am Freitag die Geschäftsführungen von mehr als 9000 mittelständischen Unternehmen postalisch angeschrieben und Gegenmaßnahmen empfohlen. Die tatsächliche Anzahl verwundbarer Systeme in Deutschland schätzt die Behörde deutlich höher ein.

Allen Betreibern von betroffenen Exchange-Servern rät das BSI, sofort die von Microsoft in der Nacht zum Mittwoch bereitgestellten Sicherheitsupdates einzuspielen. Die damit geschlossenen Schwachstellen würden derzeit „aktiv von einer Angreifer Gruppe“ per Fernzugriff ausgenutzt. „Zusätzlich besitzen Exchange-Server standardmäßig in vielen Infrastrukturen hohe Rechte im Active Directory“, warnt das Amt. Es sei daher denkbar, dass weitergehende Angriffe mit den Rechten eines übernommenen Systems potenziell „mit geringem Aufwand auch die gesamte Domäne kompromittieren können“.

Kleine und mittlere Unternehmen oft mit Sicherheitslücken

Bei Servern, die bis dato nicht gepatched wurden, geht das BSI davon aus, dass diese bereits von den kriminellen Hackern übernommen worden sind und von diesen kontrolliert werden. Aufgrund der öffentlichen Verfügbarkeit von Exploit-Codes zum einfachen Ausnutzen der Schwachstellen sowie „starken weltweiten Scan-Aktivitäten“ bestehe momentan ein sehr hohes Angriffsrisiko. Anfällige Exchange-Systeme sollten daher dringend auch auf Auffälligkeiten geprüft werden. Das BSI-Lagezentrum stelle rund um die Uhr aktuelle Informationen dazu zur Verfügung.

Erschwerend kommt der Behörde zufolge hinzu, dass tausende Systeme noch Lücken aufweisen, die seit über einem Jahr bekannt sind und noch nicht geflickt wurden. Oft sei dies bei kleinen und mittleren Unternehmen der Fall. Neben dem Zugriff auf die E-Mail-Kommunikation der betroffenen Firmen lasse sich von Angreifern über solche verwundbaren Server oft auch der Zugriff auf das komplette Unternehmensnetzwerk erlangen.

Hackergruppe arbeitet vermutlich für chinesische Regierung

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hatte bereits am Mittwoch mit einer Notfallrichtlinie alle Bundesbehörden angewiesen, die aktuellen Patches für Exchange einzuspielen. Sie begründet den Einsatz dieses selten ausgeübten Instruments mit einem nicht akzeptablen Risiko, nicht aktiv zu werden, da die Schwachstellen im großen Stil ausgenutzt würden und die Angreifer sich damit „andauernden Systemzugang“ verschafften.

Microsoft sieht hinter der Angriffswelle die Hackergruppe Hafnium, die nach Einschätzung des Konzern „mit hoher Wahrscheinlichkeit“ für die chinesische Regierung arbeitet. Die Angreifer hätten es etwa bereits auf Forscher im Gesundheitswesen, Anwaltskanzleien, zivilgesellschaftliche Organisationen, Bildungseinrichtungen und Rüstungsunternehmen abgesehen, aber auch zivile Unternehmen wie Sozialverbände, Logistikunternehmen werden Opfer sein.

Fokus auf E-Mail-Verkehr

Laut dem Portal „Krebs On Security“ sind mindestens 30.000 Organisationen in den vergangenen Tagen von der besonders aggressiv vorgehenden Cyberspionage-Truppe gehackt worden. Darunter befänden sich viele mittelständische Firmen, aber auch Städte- und Gemeindeverwaltungen. Die Angreifer seien vor allem auf den E-Mail-Verkehr der Einrichtungen scharf.

Bei jedem Vorfall haben die Eindringlinge dem Bericht nach eine „Web-Shell“ hinterlassen, ein einfach zu bedienendes, passwortgeschütztes Hacking-Werkzeug, auf das über das Internet von jedem Browser aus mit Administrator-Rechten zugegriffen werden könne. Weltweit habe die Gruppe nach Angaben von Cybersicherheits-Experten schon die Kontrolle über hunderttausende Exchange-Servern übernommen.

Spione ausländischer Regierungen

Der erste Hinweis auf die Exchange-Schwachstellen kam laut Microsoft von der IT-Sicherheitsfirma Volexity aus Virginia. Dessen Chef Stevan Adair erklärte, das Unternehmen arbeite an Dutzenden von Fällen, bei denen bereits am 28. Februar und so vor der Herausgabe der Updates durch Microsoft Web-Shells auf Zielsysteme aufgespielt worden seien. Selbst wenn die Lücken noch am Mittwoch gepatcht worden seien, bestehe eine hohe Wahrscheinlichkeit, dass sich die Hackersoftware bereits auf einem anfälligen Server befinde. Die neue Angriffswelle markiert nach dem sogenannten Solarwinds-Hack den zweiten Fall einer groß angelegten Cyber-Kampagne, hinter der die USA Spione ausländischer Regierungen am Werk sehen.

WhatsApp startet eine Kampagne, um das Vertrauen der Nutzer zurückzugewinnen

WhatsApp startet eine Kampagne, um das Vertrauen der Nutzer zurückzugewinnen.

Unklar bleibt trotzdem wieder einiges.

Nachdem die Einführung der neuen Nutzungsbedingungen aufgeschoben wurde, wagt WhatsApp einen neuen Versuch, die Änderungen zu kommunizieren und die Zustimmung einzuholen.

Der 15. Mai ist nun Stichtag. Eine Kampagne soll dafür sorgen, dass es keine Missverständnisse und Falschinformationen gibt. Denn diese waren laut des Messengers Grund für die Verschiebung. WhatsApp betont, dass alle privaten Nachrichten Ende-zu-Ende-verschlüsselt sind, weder sie selbst noch Facebook kann sie lesen.

Soweit hat es eigentlich nie Zweifel gegeben. Das Problem bei der Datenschutzrichtlinie war und ist die Unklarheit über das Teilen von Daten mit dem Mutterkonzern Facebook.

Keine Auskunft über Daten

„Wir glauben, dass die Menschen Apps möchten, die sowohl zuverlässig als auch sicher sind. WhatsApp benötigt dafür lediglich eine eingeschränkte Menge an Daten“, heißt es auf einer neu eingerichteten Landingpage, auf der alle Informationen stehen sollen. Welche Daten das konkret sind, ist nicht erklärt. Die betreuende Agentur schreibt immerhin, WhatsApp teile keine Kontaktlisten mit Facebook. Es wird laut FAQ ausschließlich auf die Telefonnummern zugegriffen. Dabei lautete der Vorwurf nach Veröffentlichung der neuen Datenschutzrichtlinien, dass WhatsApp an einer Stelle schreibt, Daten zu Marketingzwecken mit Facebook zu teilen. An anderer Stelle jedoch die Einschränkung steht, diese nicht für eigene Zwecke zu nutzen. Bei Facebook selbst heißt es wiederum, dass alle Daten der Facebook-Familie zusammengeführt und zu Werbezwecken genutzt würden.

WhatsApp lässt es sich auch nicht nehmen, gegen andere Messenger zu stänkern: „Wir haben mitbekommen, wie einige unserer Mitbewerber fälschlicherweise behauptet haben, sie könnten die Nachrichten von Benutzern nicht sehen.“ Und: „Andere Apps behaupten, besser zu sein, da sie sogar noch weniger Informationen hätten als WhatsApp.“ Zumindest weiß man bei anderen Messengern, welche Informationen sie haben. Ansonsten bezieht sich die neue Nutzungsbedingung auf die Kommunikation mit Unternehmen, die ihre Dienste sowie etwa den Kundenservice über WhatsApp anbieten. Dazu heißt es: „Bei einigen Shopping-Funktionen ist Facebook beteiligt, damit Unternehmen ihren Bestand App-übergreifend verwalten können.“

last but not least, was jeder wissen sollte: „Nachrichten und Medien, die in Google Drive gesichert sind, werden nicht durch die Whatsapp Ende-zu-Ende-Verschlüsselung geschützt.“!!!!

Warnung vor dem gläsernen Autofahrer

Warnung vor dem gläsernen Autofahrer

Die Bundesregierung drängt bei der Übermittlung des Kraftstoff- oder Stromverbrauchs von Kraftfahrzeugen an die EU-Kommission auf einen bestmöglichen Schutz der Privatsphäre der Fahrzeugführer. Berlin schätzt die Konsequenzen für die Persönlichkeitsrechte der Halter und Fahrer zwar als gering sein, meint aber: „Gleichwohl wäre eine Lösung, die die Ziele der Regulierung auch ohne Erfassung der Fahrgestellnummer erreicht, aus Datenschutzsicht vorzugswürdig.“

Überwachung von Verbrauchsdaten

Laut den EU-Vorgaben müssen in den Mitgliedsstaaten neu zugelassene Fahrzeugtypen schon seit Anfang 2020 mit einem Verbrauchsmessgerät in Form eines „On-Board Fuel Consumption Meter“ (OBFCM) ausgestattet sein. Dabei werden etwa der Kraftstoffverbrauch, die zurückgelegte Strecke, der Kraftstoffdurchsatz des Wagens und des Motors und die Fahrgeschwindigkeit gespeichert.

Die Auflage gilt seit 1. Januar 2021 auch für alle Neuwagen. Der nach Hause telefonierende Apparat erfasst Fahrzeug-, Motor-, Kraftstoff- oder Stromangaben und sendet diese Daten über eine standardisierte Schnittstelle zunächst an die jeweiligen Hersteller. Bei Plug-in-Hybriden soll zusätzlich die Nutzung der jeweiligen Antriebstechnik erfasst werden.

Im Rahmen eines zunächst bis 2026 angesetzten Pilotprojekts müssen die Verbrauchsdaten des Antriebs vom kommenden Jahr an gebündelt regelmäßig über die Fahrzeugbauer an die Kommission gesendet werden. Um Manipulationen zu verhindern, ist vorgesehen, dass auch technische Prüfstellen wie der TÜV die Messwerte parallel erfassen. Sie sollen dann von der Europäischen Umweltagentur (EUA) ausgewertet werden. Die Details legen die EU-Länder gerade in noch laufenden Verhandlungen mit der Kommission in einem eigenen Durchführungsrechtsakt fest.

Mit dem Heranziehen der Fahrgestellnummer sollen daher die erhobenen offiziellen CO2-Angaben und weitere technische Daten zu den OBFCM-Messwerten auch im zeitlichen Verlauf eindeutig zugeordnet werden können.

Die Bundesregierung sieht hier aber keinen Grund zur Aufregung. „Eine Anonymisierung der OBFCM-Daten wird durch die alleinige Übertragung der Fahrzeug-Identifizierungsnummern an die Kommission versucht“, meint sie. „Eine zusätzliche Pseudonymisierung ermöglicht jedoch den Verzicht auf die Übertragung“ der Fahrgestellnummer, spricht sich das federführende Bundesumweltministerium (BMU) für weitere Schutzmaßnahmen aus. Die Bundesregierung unterstütze „die zeitnahe Einführung eines derartigen Verfahrens“.

Verbesserungspotenzial beim Datenschutz

Eine vollständige Anonymisierung der Verbrauchsinformationen von vornherein würde eine weitere Pseudonymisierung – also das Ersetzen eines Identifikationsmerkmals wie der Fahrzeug-ID etwa durch einen Code – zwar erübrigen. Im Kern wird aber deutlich, dass das BMU im Bereich Datenschutz noch Verbesserungspotenzial bei dem angedachten Verfahren sieht. Das Ministerium erwartet auch, dass der einschlägige, noch zu verabschiedende Durchführungsrechtsakt mit der Datenschutz-Grundverordnung (DSGVO) vereinbar sein wird. Wir warten mal ab ………..

Covid 19

Datenschutz in Zeiten des Coronavirus

Bei Fragen zu diesem brisanten Thema geben wir Ihnen telefonisch oder per Mail einen kurzen Überblick zu Problemen des Datenschutzes und Hinweise zur Vertiefung – wohlwissend, dass eine Organisation des Themas in all seinen Facetten im Hinblick auf die Kurzfristigkeit der zu ergreifenden Maßnahmen momentan persönlich nicht möglich ist.

Der Schutz vor Erkrankungen durch den „Coronavirus“ erfordert kurzfristige Maßnahmen. So versuchen z. B. Arbeitgeber auf unterschiedliche Weise mögliche Krankheitsfälle frühzeitig zu entdecken, um ihre Mitarbeiter zu schützen. Hierzu sollen in vielen Fällen personenbezogene Daten, ggf. auch Gesundheitsdaten, erhoben werden. Aber auch in diesen Zeiten sind hierbei datenschutzrechtliche Vorgaben zu beachten. Dies gilt auch dann, wenn Arbeitsplätze ins Home-Office verlagert werden.

Folgende wichtige Punkte sollten Beachtung finden:
– Maßnahmen gegenüber Mitarbeitern
– Maßnahmen gegenüber Betriebsfremden (Lieferanten etc.)
– Hinweise für die Arbeit im Home-Office

Schadprogramm-Welle im Herbst und Winter

Neue Schadprogramm-Welle im Herbst und Winter

Emotet dominiert die Lage

Dominiert wurde die Lage durch das Schadprogramm Emotet, das sich schon im vergangenen Berichtszeitraum als besonders gefährlich erwiesen hatte. Es ermöglicht eine Kaskade weiterer Schadsoftware-Angriffe bis hin zu gezielten Ransomware.

DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020

Sehr hohe Anzahl von Angriffen auf ausgewählte, zahlungskräftige Opfer. Insgesamt war das Aufkommen neuer Schadprogramm-Varianten im Herbst und Winter überdurchschnittlich hoch (der Tageszuwachs lag zeitweise bei knapp 470.000 Varianten).

Cyber-Kriminelle kommunizieren verschlüsselt

Das Hypertext Transfer Protocol Secure (HTTPS) steht für sichere, verschlüsselte Datenübertragung im Internet. Im Berichtszeitraum hat sich jedoch der Trend zur Nutzung von HTTPS-Seiten durch Cyber-Kriminelle verstärkt. In Zusammenarbeit mit der Verbraucherzentrale wurde herausgefunden, dass inzwischen mehr als jeder zweite Link in einer Phishing-E-Mail auf eine HTTPS-Webseite (60 %), die im Gegensatz zu einfachen HTTP-Webseiten besonders seriös und sicher erscheinen, tatsächlich aber betrügerischen Zwecken dienen.

Zitat: „Mit einfachen Faustregeln und Checklisten navigiert es sich oft besser durch eine digitale Welt voller Unsicherheiten.“

Bitte seien Sie mit jeder unbekannten und ungewöhnlich aufgebauten digitalen Nachrichten skeptisch.