‹ Zurück

Ich musste mal wieder Zeit finden, um Informationsmaterial von Unternehmen zu prüfen, die Sicherheitslösungen anbieten. Da erscheint mir ein kleines Update zum Thema „Cybersecurity“ sinnvoll.

 

Der Hauptzweck in Angriffen auf Unternehmen besteht oft darin, an Daten zu gelangen. Wie wird das erreicht? Dazu gehören unter anderem Methoden wie Phishing, bei dem Angestellte durch manipulierte Webseiten oder gefälschte E-Mails in die Irre geführt werden, um sensible Informationen preiszugeben. Zudem werden oft manipulierte Dateien verbreitet, die Schadprogramme enthalten und so die Kontrolle über Systeme übernehmen.

 

Hat man den Zugriff auf die Daten, kann man versuchen, diese einzusehen, auf andere Server zu übertragen, die Daten zu manipulieren oder sie möglicherweise unwiederbringlich zu verschlüsseln. Das schließt auch Daten ein, die eigentlich für die Sicherung auf einem Server gespeichert sind.

 

Eine neue Herangehensweise für einen erfolgreichen Angriff zielt darauf ab, mit einem offiziellen Domänen-/Server-Zertifikat eine Webseite zu imitieren, die fast identisch mit der eines SaaS-Anbieters wie Google, Nextcloud oder Microsoft ist. Wie funktioniert das?

 

Eine wichtige Schutzmaßnahme in der Vergangenheit war das MFA-Verfahren (Multi-Faktor-Authentifizierung). Dabei werden ein Benutzername, ein Passwort sowie eine dritte wählbare Authentifikation geprüft. Diese dritte „Instanz“ kann zum Beispiel eine PIN sein, die per SMS, E-Mail gesendet oder durch ein Programm erstellt wird.

 

In der Gegenwart ist es so, dass man heute sehr einfach offizielle Zertifikate für Webserver/Domänen erwerben kann. Dadurch kann man das Opfer dazu bringen, eine beliebige manipulierte Webseite im Webbrowser aufzurufen, und der Browser blockiert sie dabei nicht.

 

Würde eine Webseite kein SSL- oder TLS-Zertifikat (Serverzertifikat) verwenden, dann würden die meisten Webbrowser die Verbindung sperren oder eine Warnung einblenden, dass die Daten nicht verschlüsselt übertragen werden. Dadurch würde man sofort erkennen, dass man ggf. auf einer manipulierten Seite gelandet ist, die zwar Google- oder ähnliche Login-Felder anbietet, aber kein gültiges Zertifikat besitzt – moderne Browser zeigen dabei eine klare Warnmeldung an.

 

Jetzt ist es sehr viel leichter geworden, an diese Zertifikate zu kommen. Dadurch steigt die Erfolgswahrscheinlichkeit eines Angriffs. Betroffene erhalten möglicherweise eine E-Mail mit einem Link oder folgen einem Link in den sozialen Medien. (Ein Link ist eine Verbindung zu einer Website, die mit dem Mauszeiger oder Finger angeklickt werden kann, um auf diese Webseite zuzugreifen). Die manipulierte Webseite ähnelt dem Anmeldefenster von Google, Nextcloud, Microsoft u. a. Durch die Nutzung des Zertifikats gibt es im Webbrowser keine Warnung.

 

Im nächsten Schritt würde das Opfer die Anmelde­daten eingeben und bestätigen. Dann folgt die Frage zum Multi-Faktor-Authentifizierungs-(MFA)-Verfahren, möglicherweise per SMS. Auch den Code aus der SMS würde das Opfer im Anmeldebildschirm eintragen und bestätigen. Bämm! Und schon ist es passiert.

 

Die Angreifer haben einen Trick genutzt: Statt einen offiziellen „Login“ zu zeigen, manipulieren sie die Webseite so, dass die eingetragenen Daten an die Angreifer weitergeleitet werden – und von dort an die Anmeldedienste von Google und Co.. Dies erfolgt im Hintergrund, sodass das Opfer nichts bemerkt. Die Angreifer fangen die Antworten des SaaS-Anbieters ab und gewinnen damit Zugriff auf eigentlich geheime Informationen. Verschlüsselte Anmeldetoken helfen daher nichts, da die Angreifer alle Daten abhören können. Die manipulierte Webseite fungiert also als „Proxy“.

 

Hinweis: Google verwendet Geräteverknüpfungen– beim Anmelden eines unbekannten Geräts wird z. B. eine Nachricht an ein zuvor festgelegtes Ziel gesendet. Ein solches Gerät wäre in einem solchen Fall der Computer der Angreifer. Es ist kein 100% Schutz in diesem Fall, aber sehr nützlich.

 

Was kann man gegen solche Angriffe tun? Prüfe zunächst die URL. Die URL kann die Angreifer immer noch verraten. Sie erscheint oben im Webbrowser in der Adresszeile. Wenn man zum Beispiel eine Anmeldung bei Microsoft aufruft, steht dort am Anfang meistens etwas wie „microsoft.com“ mit einem Punkt davor. Vor dem „microsoft“ steht häufig etwas wie „auth.“ oder ähnliches. Wenn beispielsweise in der Adresszeile „auth.micros0ft.com/“ angezeigt wird, handelt es sich um einen Angriff.

 

Das ist natürlich nicht unbedingt einfach zu erkennen. Was haben wir noch im Angebot? Die Passwortmanager – kleine Programme, die entweder als Browser-Erweiterung installiert werden oder bereits integriert vorhanden sind. Sie speichern die Anmeldedaten von Webseiten automatisch und prüfen vorab, ob die aufgerufene URL zu den hinterlegten Passwörtern passt.

 

Wer noch keinen Passwortmanager verwendet, hier eine kurze Erklärung: Wenn ihr bei einer Shopping-Seite im Browser die Anmeldedaten hinterlegen möchtet, zum Beispiel auf otto.de, erledigt der Passwortmanager dies automatisch. Er erkennt, dass neue Daten eingeben werden sollen, schlägt ein Passwort vor und speichert es. Bestätigt ihr das, wird der Manager beim nächsten Seitenaufruf die Daten automatisch im Anmeldefenster ausfüllen.

 

Und woran erkennt der Passwortmanager, dass die richtige Seite geladen wurde? Der Passwortmanager speichert die Anmeldedaten und verknüpft diese mit der URL der Webseite, für die diese Anmeldedaten erstellt wurden. Würde man eine manipulierte Seite aufrufen, dann würde der Passwortmanager keine Anmeldedaten bereitstellen! Man müsste diese manuell eintragen. 

 

Hinweis: Es gibt Ausnahmen, in denen der Passwortmanager tatsächlich eine falsche URL speichert, s.h., man ruft die echte Seite auf, aber der Passwortmanager erkennt es nicht. Deswegen direkt nach dem Erstellen der Anmeldedaten, die Sache gleich ausprobieren. Kommt es zu diesem Fehler, dann die Anmeldung manuell durchführen und der Passwortmanager sollte sich dann bereits automatisch zu Wort melden und die Anpassung anbieten. Ansonsten die Einstellungen selber ändern.

 

Ist der Passwortmanager im Browser integriert, dann kann dieser ebenfalls das Ziel eines Angriffes werden. Dessen sollte man sich bewusst sein. Gut ist bereits, wenn der Passwortmanager nach einem Passwort fragt, bevor er alle hinterlegten Daten anzeigt. Auf mobilen Geräten wird es sehr oft über einen hinterlegten Fingerabdruck realisiert. Steht dann irgendwo in der Beschreibung, dass die Daten verschlüsselt gespeichert werden und wird nach einem Passwort gefragt, dann ist das sehr gut, aber ein Restrisiko bleibt immer.  

 

Was haben wir noch im Angebot? Virenschutzanbieter bieten oft Erweiterungen für Webbrowser an, die solche „Phishing“-Angriffe eventuell erkennen können. Solche Erweiterungen gibt es auch bei vielen Produkten für Unternehmen. Manche bieten sogar einen Passwortmanager.

 

Ein anderer Schutz könnte ein Mechanismus direkt im Webbrowser sein. In den Einstellungen des „Google Chrome“ gibt es zum Beispiel die Option „Safe Browsing“ – diese prüft auf schädliche Webseiten, wenn sie bekannt sind. Mittlerweile kommt auch bei Google eine KI zum Einsatz, die natürlich etwas mehr „Kreativität“ zeigen kann als ein einfaches Programm. Für die Datenanalyse müssen allerdings die Daten an die Google-Server gesendet werden. Die „KI“-Option ist freiwillig.

 

Das war eigentlich schon alles. Unternehmen könnten sich noch Firewalls leisten, die Filter mit einer ähnlichen Funktion wie „Safe Browsing“ bieten. Doch das war es dann.

 

Was wäre, wenn das Albtraum-Szenario eintritt: Die Angreifer haben Zugriff auf das Netzwerk und können die Datensicherungen einsehen. Zu sehen, heißt nicht gleich zu ändern. Auch das nur Erkennen kann nicht bedeuten, dass man den wahren Inhalt erfassen kann. Nicht besonders beruhigend, aber besser als nichts.

 

Das „Ändern“ lässt sich tatsächlich verhindern. Es gibt die Möglichkeit, gespeicherte Daten automatisch nach einem festgelegten Zeitraum zu versiegeln. Ist die Datenversiegelung aktiv, können diese zwar noch gelesen, aber nicht mehr verändert werden (keinerlei Schreibrechte für die Dateien vorhanden). Bei „Synology“ heißt das „WORM“. Ich habe dies in einem kleinen YouTube-Video demonstriert – falls ihr euch nichts darunter vorstellen könnt. Der <Link>....natürlich ohne Viren und auf Youtube.

 

Eine weitere Möglichkeit ist die Verschlüsselung: Wenn Daten verschlüsselt sind, braucht man zusätzlich einen Schlüssel, um sie lesen zu können. Der Nachteil liegt darin, dass bei einem gekaperten Anwenderkontos oft automatisch auch dieser Schlüssel an die Angreifer gelangt. Dadurch können die Daten nun unverschlüsselt eingelesen und übertragen werden. Dennoch bleibt Verschlüsselung eine wichtige Barriere, die man erst überwinden muss.

 

Jetzt wollen die Angreifer die Daten mit ihrem eigenen Schlüssel verschlüsseln. Dagegen hilft nur eine Logik für die Datensicherung.

 

Werden die Daten auf ein Gerät „A“ gesichert, dann bestehen zusätzliche Sicherungen auf Geräten „X“ und „Y“. Die Daten auf Gerät „A“ müssen nicht so lange aufbewahrt werden wie auf Gerät „X“, und die Daten auf Gerät „X“ nicht länger als auf Gerät „Y“. Das spart Speicherplatz, und man kann schon neue Daten sichern. Wichtig bleibt jedoch, dass man die Daten am Ende von Gerät „Y“ wiederherstellen kann, falls sie noch benötigt werden. In Unternehmen gibt es oft weitere Logiken, aber dieser Ansatz hilft bereits. Datensicherungen bei einem SaaS- Anbieter sind möglich, aber nur verschlüsselt! Selbst dann bleibt ein Restrisiko.

 

Ein typisches Beispiel für Privatanwender, das etwas von der Logik abweicht: Ein höherklassiges Smartphone (neu/gebraucht), das in dieser Klasse keine Speicherkarten mehr unterstützt. Der Grund für die Anschaffung waren Telefonie, Foto, Video und Spiele. Der Speicher des Telefons ist das Gerät “A”. Reicht für die Sicherung nicht aus, z.B, wenn das Gerät einen Defekt erleidet, verschlissen ist oder der Speicher voll ist. Das Ausdrucken der Bilder kann teuer werden- also muss noch unbedingt ein zweiter Speicherplatz her. Die Cloud im Internet wäre eine Option, aber sie kostet mit steigender Speichermenge viel Geld im Abo und erfordert eine gute Internetverbindung. Genauso kann der Dienst eingestellt oder gehackt werden. Alternativ wäre dann ein externes Laufwerk eine Option, das man über den  USB Anschluss synchronisiert (manche Router unterstützen externe USB-Laufwerke, um dann eine Synchronisation per WLAN zu ermöglichen). Reicht leider nicht aus! Ihr benötigt mindestens noch ein zweites Laufwerk, falls das erste Laufwerk ausfällt. Schließlich sollen die Fotos und Videos im Idealfall bis zum Lebensende einsehbar sein. Zudem sollten die Laufwerke in bestimmten Abständen durch neue Geräte ersetzt werden. Und ihr würdet die Daten auf den Laufwerken wahrscheinlich nicht löschen,s.h., der Speicherbedarf würde sich mit der Zeit erhöhen. Das wäre ein preiswerter Ansatz, der aber teuer werden kann, wenn ihr ständig neue Laufwerke kaufen müsst. Die nächsthöhere Kostenstufe, die letztlich günstiger und praktikabler werden kann, wäre die Anschaffung einer NAS-Technik.

 

Hinweis: Man sollte darauf achten, dass die von Angreifern verschlüsselten oder infizierten Daten nicht die offiziellen Datensicherungen überschreiben. Das kann zum Beispiel passieren, wenn eure Sicherungsaufgaben eingerichtet sind und das Sicherungsprogramm zu einfach konstruiert ist. Es muss immer möglich sein, die gesicherten Daten bis zu einem festgelegten Zeitraum rückzusetzen.

 

Das war‘s erstmal! Ich hoffe, dass ich euch einige nützliche Informationen geben konnte. Wir haben erst Mitte des Jahres, von daher wird bestimmt noch vieles folgen. Die USA beginnen bereits, die Verschlüsselungsmethoden entsprechend der Widerstandsfähigkeit gegenüber einem Quantencomputerangriff einzustufen. In Zukunft werden Quantencomputer möglicherweise verschiedene Verschlüsselungsverfahren knacken können, die heute noch als sicher gelten (vielleicht bereits in den 2030/40igern). Natürlich ist es heute noch schwer abschätzbar, was ein Quantencomputer in Zukunft tatsächlich leisten kann – aber die Diskussion darüber läuft.

 

###www.xcomweb.de, Juli'26###