Schlecker-Kundendaten frei im Internet zugänglich

Eine interne Kundendatenbank der Drogerie-Kette Schlecker ist nach einem Bericht der «Bild»-Zeitung wegen einer Sicherheitslücke bis Donnerstag öffentlich übers Internet zugängig gewesen.

Wie die Zeitung berichtete, waren 150 000 Datensätze von Schlecker-Online-Kunden mit Vor- und Nachnamen, Adresse, Geschlecht, E-Mail-Adresse und Kunden-Profil, außerdem 7,1 Millionen E-Mail-Adressen von Newsletter-Kunden der Drogerie-Firma abrufbar.

Der Zugang sei von jedem gewöhnlichen PC möglich gewesen. Zu den Kunden des Online-Dienstleisters, bei dem die Schlecker-Daten ungesichert lagen, gehören nach «Bild»-Angaben unter anderem auch das Finanzministerium, die Allianz Versicherung, das Bundesverwaltungsgericht und der SPD-Parteivorstand.

Schlecker teilte der Zeitung mit: «Die Sicherheitslücke wurde umgehend von unserem Dienstleister geschlossen.» Das Unternehmen kündigte an, die betroffenen Kunden «baldmöglichst umfassend zu informieren».

Quelle: Welt.de

Jetzt können MAC und PC nutzer der Verwendung von tragbaren Datenspeichern an PCs und MACs noch besser überwachen.

Hier gibt’s die App bei iTunes.
http://ax.itunes.apple.com/us/app/my-endpoint-protector/id379244830

Stuxnet konnte sich durch Ausnutzung der LNK-Schwachstelle in der Windows Shell und durch Verbreitung über infizierte USB-Sticks auch Zugang zu Rechnern verschaffen, die nicht mit dem Internet verbunden waren. Ziel des Schädlings war offensichtlich Industriespionage. Martin Dombrowski, Ethical Hacker und System Engineer beim Security-Distributor entrada, beschäftigt sich seit dem ersten Erscheinen des Rootkits Stuxnet mit dem neuen Windows-Link-Exploit. Im Interview verrät er, was die neue Sicherheitslücke so gefährlich macht und wie sich Unternehmen davor schützen können.

Wie können sich Unternehmen denn vor dem Link-Exploit schützen?

Ein wichtiger erster Schritt ist natürlich ein aktueller Virenscanner. Immer mehr AV-Produkte schlagen inzwischen auf die Stuxnet-Treiber an. Aber nachdem immer wieder neue Varianten des Exploits auftauchen, wird der Malware mit patternbasierten Filtern allein nicht beizukommen sein. Die Security-Abteilungen sollten daher mehr denn je darauf achten, den Einsatz von USB-Sticks streng zu reglementieren. Am besten wäre es, den Einsatz unternehmensfremder Sticks für den Moment komplett zu untersagen.

Unternehmen, die auf USB-Sticks nicht verzichten können, sollten sich mittelfristig überlegen, eine dedizierte USB-Port-Security-Lösung zu implementieren, die bei virenverseuchten Sticks automatisch Alarm schlägt. Auch beim Surfen im Internet sollten die User im Moment besonders vorsichtig sein. Der Link-Exploit kann ja über die Dateifreigabe auch über das Web ausgenutzt werden. Am besten also nur auf hundertprozentig vertrauenswürdige Seiten gehen – und selbst da bleibt bis zum Patch ein Restrisiko.

Das gesamte Interview mit Martin Dombrowski finden Sie hier.

Quelle: SearchNetworking.de

Hier gibt es den wichtigen Sicherheits-Patch von Microsoft.

Und für mehr Sicherheit an der USB Schnittstelle empfehlen wir gleich noch Endpoint Protector.

Ein USB-Stick genügte: Durch eine Windows-Schwachstelle konnten Angreifer hochspezialisierte Siemens-Prozessleitsysteme attackieren, die zum Beispiel in der Nahrungsmittel- und Chemieindustrie genutzt werden. Nun hat Microsoft ein Gegenmittel entwickelt, das am Montag verteilt werden soll.

Berlin – Es war ein Spionage-Trojaner der besonderen Art: Das kleine Schadprogramm suchte sich seine Ziele genau aus und konzentrierte sich auf sogenannte SCADA-Prozessleitsysteme (”Supervisory Control and Data Acquisition”) von Siemens. Diese kommen beide der Steuerung technischer Abläufe zum Einsatz, zum Beispiel bei der Trinkwasserversorgung, der Telekommunikation oder in der Nahrungsmittel- und Chemieindustrie.

Ein eingesteckter USB-Stick genügte, um den Eindringling ins System zu lotsen. Das Windows-Betriebssystem versucht dann automatisch, die Icons der Link-Dateien auf dem Datenträger zu lesen – und ließ sich während dieser Zeit wegen einer Sicherheitslücke austricksen. Betroffen waren alle Versionen des Betriebssystems, von XP bis Windows 7: Sobald das kleine Symbol angezeigt wurde, ließ sich Schadcode ausführen. Dieser installierte ein sogenanntes Rootkit tief im System, das für klassische Virenscanner unsichtbar war.

Rund zwei Wochen lang schien gegen den Schädling kein Kraut gewachsen, doch nun hat Microsoft einen Patch gegen den Eindringling entwickelt. Er soll nach Angaben von Microsoft-Manager Christopher Budd am Montagabend deutscher Zeit mit einem außerplanmäßigen Update verteilt werden.

Die Trojanerattacke auf die SCADA-Systeme betraf im Prinzip bisher nur eine geringe Anzahl von Rechnern. Und doch hatte sie Experten alarmiert. Das liegt an der potentiell großen Wirkung, sollte tatsächlich ein Computersystem lahmgelegt werden. Attacken auf sogenannte kritische Infrastrukturen, also zum Beispiel in der Wasser- und Energieversorgung, werden seit Jahren diskutiert und gehören zum Szenario von Cyber-Konflikten.

Der aktuell aufgetauchte Trojaner legt nahe, dass es sich nicht um akademische Debatten handelt, sondern dass hoch spezialisierte Angreifer, wo auch immer sie sitzen mögen, sich durchaus für Ziele der kritischen Infrastruktur interessieren. Die aktuelle Attacke mag also erst der Anfang sein. Außerdem kann der USB-Trick von anderen Angreifern natürlich auch zum Einbruch in private Rechner genutzt werden. Im Internet sind außerdem bereits Varianten des Schädlings aufgetaucht, bei denen zur Weiterverbreitung noch nicht einmal mehr ein USB-Speicher nötig ist. Ein präpariertes Office-Dokument genügt.

Quelle: Spiegel Online

Auf iPhone-Inhalte, die mit Passwortschutz gespeichert wurden, kann ungehindert zugegriffen werden – einfach indem das Apple-Handy an einen PC oder Mac-Rechner angeschlossen wird.

Das berichtet die US-Webseite ReadWriteWeb.com unter Berufung auf den Sicherheitsexperten Bernd Marienfeldt. Er beschreibt in seinem Blog, wie er mit einem Rechner, auf dem das Linux-Betriebssystem Ubuntu 10.04 läuft, auf den kompletten Inhalt seines eigentlich gesperrten iPhone zugreifen konnte.

Eigentlich zeigt das iPhone, wenn es an einen Windows-, OSX- oder Ubuntu-Rechner vor Version 10.04 angeschlossen wird, nur den DCIM-Ordner an. Marienfeldt verband sein abgeschaltetes iPhone mit dem Ubuntu-10.04-Rechner und schaltete es dann ein. Auf diese Weise konnte er kompletten Zugriff auf alle Inhalte erlangen – ohne eine PIN eingeben zu müssen.

Quelle: Chip.de und InfoSecurity

Wirtschaftskriminelle Handlungen wie Zweckentfremdung von Firmeneigentum oder Veruntreuungen kommen in Unternehmen häufiger vor als gemeinhin angenommen.

Fast 90 Prozent der Diebstähle, Veruntreuungen, Geldwäsche und Bilanzfälschungen gehen auf das Konto eines Mitarbeiters aus dem eigenen Unternehmen. Zu dieser Feststellung gelangten am vergangene Woche die KPMG-Forensik-Experten bei der Veranstaltung »Chef, mir ist da etwas aufgefallen« des Young Leaders Forum (YLF) in Wien.

»Ich traue mich zu behaupten, dass es in jedem Unternehmen in irgendeiner Form kriminelle Aktivitäten gibt. Der Unterschied ist lediglich das Ausmaß und die Dimension«, machte Peter Ertl, Geschäftsführer der KPMG und Leiter des Bereiches Risk Advisory Services, den jungen Führungskräften klar.

Aufgrund der Erfahrungen der KPMG bei wirtschaftskriminellen Untersuchungen weltweit lässt sich folgendes Täterprofil aufzeigen: »Der typische Wirtschaftskriminelle ist 35 bis 45 Jahre alt. Die Täter sind zu 85 Prozent Männer, die meistens Einzeltäter sind. Nur 20 Prozent kooperieren mit externen Komplizen«, so Ertl.

Forensische Technologien zum Aufspüren der Täter spielen bei internen Untersuchungen eine wichtige Rolle. Diese kommen als Software für die Visualisierung geschäftlicher Zusammenhänge oder bei der Beweissicherung zum Einsatz, erläuterte Dieter Stangl-Krieger von der Forensik-Services Abteilung der KPMG in seinem Vortrag. Zur Überprüfung der gesamten Unternehmenssoftware eines durchschnittlichen Unternehmens, etwa zehn Terabyte, ist aufgrund modernster Technologien maximal eine Woche nötig. Um die Aufenthalte von Personen zu eruieren, greifen die Forensiker aber auch manchmal auf einfachere Mittel wie etwa Xing oder Facebook zurück.

Diskutiert wurden bei der Veranstaltung neben der Etablierung ausreichender interner Kontroll-Systeme zur Prävention auch das aktive Anbieten von Hinweisgebersystemen im Unternehmen wie etwa »Whistleblowing«. Darunter versteht man die Möglichkeit zur anonymen Meldung eines auffälligen Vorgangs im Unternehmen an eine unabhängige Stelle in- oder außerhalb des Unternehmens. Die Bedeutung des Whistleblowings als Element des internen Kontrollsystems liegt laut einer KPMG-Studie auf der Hand: 25 Prozent der 360 untersuchten wirtschaftskriminellen Fälle wurden aufgrund der Informationen von Hinweisgebern erkannt.

Der Beratungsbedarf im Bereich Forensik ist in den letzten Jahren enorm gestiegen – nicht zuletzt aufgrund der allgemeinen wirtschaftlichen Situation. Ein Umdenken ist vor allem bei der Aufklärungswilligkeit der Unternehmen zu sehen, so die KPMG-Experten. In sehr vielen Fällen erfolgt die Beauftragung durch Aufsichtsräte. Die Ergebnisse der Untersuchungen externer Experten bleiben nicht ohne Konsequenzen: »In 50 Prozent der Fälle führt unsere Tätigkeit sogar zu einem Wechsel in der Geschäftsführung oder im Vorstand«, erklärte Peter Ertl.

Das Forensik Services Team der KPMG besteht österreichweit aus 25 Experten.

Quelle: Computerwelt.at

Schützen sie heute ihre Unternehmensdaten gegen kriminelle Mitarbeiter.

Unbekannte sollen aus der Konzernzentrale des Flugzeugbauers Airbus tragbare Computer gestohlen haben. Die Diebe seien nachts in Räumlichkeiten der EADS -Tochter im südfranzösischen Toulouse eingedrungen und hätten zwei Laptops entwendet, meldete die Pariser Zeitung “Le Parisien”.

Dies geht aus einem Bericht der Financial Times hervor.

Ein Airbus-Sprecher bestätigte am Sonntagabend, dass zwei tragbare Computer aus dem Produktionsbereich in Toulouse entwendet wurden. “Darauf haben sich aber keine sensiblen Daten befunden”, sagte der Sprecher. Wie bei Diebstahlsfällen üblich, sei die Polizei eingeschaltet worden. Wirklich sensible Daten wären hochgeschützt, sagte der Airbus-Sprecher weiter.
Nach Informationen des “Parisien” ist der französische Inlandsgeheimdienst DCRI eingeschaltet. Industriespionage könne nicht ausgeschlossen werden, berichtet das Blatt unter Berufung auf einen ungenannten Kenner des Falls.

Auch der US-Konkurrent Boeing stand bereits mehrfach im Zentrum von Industriespionagefällen – sowohl als Opfer, als auch als Täter. So wurde Anfang 2008 der US-Staatsbürger Dongfan “Greg” Chung, ein ehemaliger Mitarbeiter des US-Triebwerkeherstellers Rockwell und Boeings verhaftet. Chung wurde in mehreren Fällen der Industriespionage für China bezichtigt.
Laut FBI sollen Mitarbeiter der chinesischen Flugzeugindustrie seit 1979 Informationsbeschaffungsaufträge an Chung erteilt haben. Er soll die Chinesen dann mit Betriebsgeheimnissen von Boeing-Flugzeugprogrammen und der Raumfähre Space Shuttle beliefert haben. Zudem sind zwei Fälle bekannt geworden, bei denen tragbare Computer mit den Personaldaten Tausender Boeing-Beschäftigter entwendet wurden.

Nach einem Bericht des britischen “Register” nach, sind insgesamt 176.000 Shell Angestellendaten an Umweltschützer weitergegeben worden.

Der “Register” bezieht sich bei seinen Informationen unter anderem auf den Aktivisten John Donovan, der angeblich eine Kopie der Datenbank erhalten, inzwischen aber wieder zerstört haben will. Donovan warnte vor weiteren Kopien, die sich im Umlauf befänden. Die Datenbank ist offenbar sechs Monate alt, gibt also nur bedingt den aktuellen Stand wieder.

Richard Wiseman, Chef der Ethikkommission bei Shell, machte die Belegschaft auf den Datendiebstahl bereits vergangenen Woche aufmerksam. Der “Register” zitierte aus einer E-Mail, die den Vorgang bestätigt. Bislang ist unklar, wer für den Hack verantwortlich ist.

Artikel zum Thema in deutsch.

Externe Festplatten sind eigentlich viel schneller, als die Geschwindigkeit die ein USB 2.0 Anschluss übertragen kann. Der neuer USB SuperSpeed 3.0 Standard soll jetzt Datentransfers schneller machen.

Das bringt aber auch weitere Risiken denn noch mehr Daten können noch schneller gestohlen werden.

Erste Geräte von WD und Buffalo sind bereits auf dem Markt.

Mehr zum USB 3.0 Standard sind hier nachzulesen oder bei Wikipedia.

Eine Neue Studie von Emnid und KPMG zur Wirtschaftskriminalität bestätigt und warnt Unternehmen davor Opfer von Wirtschaftskriminalität zu werden. Unternehmen schützen sich nicht ausreichend gegen Datendiebstahl was die erschreckende Zahl von 37 Prozent betroffener Unternehmen über einen drei Jahreszeitraum belegt.

Vertrauen ist gut, Kontrolle ist besser: Jedes dritte Unternehmen ist in jüngster Vergangenheit Opfer von Wirtschaftskriminalität geworden – Tendenz wohl steigend. Nie war Datenklau so einfach wie heute.

Es ist eine gewaltige Zahl: 37 Prozent der Unternehmen in Deutschland waren einer neuen Studie zufolge in den vergangenen drei Jahren Opfer von Wirtschaftskriminalität.

Und mehr als zwei Drittel der Befragten (67 Prozent) gehen davon aus, dass das Ausmaß wirtschaftskrimineller Handlungen weiter zunehmen wird. Das zeigt eine Umfrage unter 300 Unternehmen (davon knapp die Hälfte aus dem Mittelstand), die das Emnid-Institut im Auftrag der Wirtschaftsprüfungs- und Beratungsgesellschaft KPMG durchgeführt hat.

“Trotz dieser alarmierenden Ergebnisse unterschätzen vor allem mittelständische Unternehmen noch immer die Gefahr, Opfer von Wirtschaftskriminalität zu werden”, sagte dazu Frank Hülsberg, Leiter des Bereichs Forensic bei KPMG.

Jedes zweite wiege sich in trügerischer Sicherheit: 56 Prozent seien der Meinung, ihr Betrieb sei weniger anfällig für Wirtschaftskriminalität als ein Großunternehmen. Drei von vier mittelständischen Unternehmen (76 Prozent) glaubten, ihre Präventionsmaßnahmen seien ausreichend. Nur ein gutes Drittel der mittelständischen Betriebe gab der Studie zufolge an, über Schutzkonzepte für vertrauliche Unterlagen zu verfügen. Die Aufdeckung von Wirtschaftskriminalität sei in fast jedem zweiten Fall “Kommissar Zufall” zu verdanken.

“Inhaber- oder familiengeführte Unternehmen setzen bei ihren Mitarbeitern auf das Vertrauensprinzip. Doch damit machen sie sich auch angreifbar, denn die Erfahrung zeigt, dass grundlegende Kontrollmechanismen wie die Funktionstrennung und das Vieraugenprinzip oft vernachlässigt werden”, sagte Hülsberg.

Der Umfrage zufolge ist für 69 Prozent der mittelständischen Unternehmen die Gelegenheit zum Vertrauensmissbrauch die wichtigste Ursache für wirtschaftskriminelle Taten.

Den gesamten Artikel finden Sie hier in der Süddeutschen Zeitung.

Auch Industriespezifische Nachrichten berichten zum Thema da auch z.B. im deutschen Maschinenbau viele Unternehmen sich in falscher Sicherheit fühlen. Weite Hintergründe zur Studie gibt es auch hier in MaschinenMarkt nachzulesen.