Ein Facebook User kippt Privacy Shield – und jetzt?

Privacy Shield bezeichnet die (Selbst-)Verpflichtung zur Einhaltung von Datenschutzstandards in den USA, die dem europäischen Datenschutzrecht genügen (Stichwort DSGVO). Unter diesem Schutzschirm konnten europäische Unternehmen DSGVO-konform Daten an Auftragsverarbeiter mit Sitz in den USA weitergeben, die sich nach EU-US Privacy Shield zertifiziert hatten.

Schutzschild zerschlagen

Kürzlich ist diese Praxis vom EuGH für ungültig erklärt worden (“Schrems II”-Urteil vom 16. Juli 2020). Max Schrems, österreichischer Jurist und Datenschutzaktivist hatte mit seiner Klage vor dem EuGH schon für das Kippen des Privacy Shield Vorgängers, dem Safe-Harbor-Abkommen, gesorgt. Hintergrund ist die Praxis von Facebook, auch die Daten europäischer Nutzer nicht an seinem Standort in Irland oder andernorts auf europäischem Boden zu verarbeiten, sondern allesamt auch ungefragt in die USA zu transferieren. Diese Praxis für seine personenbezogenen Daten nahm Schrems zum Anlass seiner Klage. Spätestens seit den Enthüllungen von Edward Snowden ist bekannt, dass US-Unternehmen sich nicht an die Zusicherungen von Privacy Shield halten oder halten können, wenn US-Geheimdienste (und ihre Partner) etwas wissen wollen. Es gibt sogar konkrete US-Gesetze, die eine Massenüberwachung vorschreiben (z.B. FISA 702 und EO 12.333). Dies steht in vollkommenem Gegensatz zur europäischen Datenschutzgrundverordnung DSGVO.

Was nun?

Wer IT-Dienste in seinem Unternehmen nutzt, hat mit hoher Wahrscheinlichkeit Berührungspunkte zu dieser Problemstellung. Es fängt schon bei der öffentlichen Website an: welche Dienste werden genutzt, welche Fonts, welche Cookies von welchen Anbietern übertragen Informationen der Besucher in die USA? Haben Sie sich mal die Liste von Diensten und Cookies angeschaut, die Sie beim Besuch einer Website akzeptieren sollen?

Ihre eigene oder auch andere Websites können Sie mit Blacklight scannen, um einen Eindruck zu bekommen. Als kommerzieller Dienst bietet Cookiebot noch Mehrwerte. Dieser Artikel von Cookiebot diente auch als eine der Quellen für diesen Beitrag.

Für den Geschäftsbetrieb noch kritischer sind aber SaaS Dienste wie Office 365, Salesforce und viele andere, die heute omnipräsent auch in europäischen Unternehmen sind. Was gilt es hier nun zu beachten?

SaaS weiter nutzen

Stellen Sie vor allem sicher, dass Sie die von den Anbietern fast immer bereitgestellten “Standardvertragsklauseln” abgeschlossen haben. Damit gehen Kunden eine direkte Vertragsbeziehung mit dem Anbieter ein, in der der Anbieter den Datenschutz zusichert. Diese Praxis wurde vom EuGH ebenfalls geprüft und für weiterhin geeignet befunden, ein adäquates Datenschutzniveau zu gewährleisten. Wohlgemerkt: der Mechanismus ist in Ordnung – die Standardvertragsklauseln einiger Anbieter müssen und werden inhaltlich voraussichtlich kurzfristig nachgebessert werden.

Bei Office 365 sollten Sie in jedem Fall darauf achten, dass der Datenspeicherort für Ihre Organisation auf Europa oder sogar Deutschland festgelegt ist:

Risiken bewerten

Datenschutzbeauftragte neigen dazu, auf “Nummer sicher” zu gehen und lieber von der Nutzung abzuraten. Diese Haltung sollte differenziert hinterfragt und diskutiert werden. Neben den nicht ganz klar greifbaren Risiken, Dienste weiter zu nutzen auch unter vorübergehend nicht vollkommen belastbaren Standardvertragsklauseln, sind die Risiken, sich ganz akut in Teilen handlungsunfähig zu machen, wahrscheinlich größer.

Haftung

Wir können keine rechtliche Beratung zu diesem Thema anbieten, sondern stellen diese Informationen als Hinweise und Tipps zur Verfügung. Eine juristisch fundiertere Analyse – und natürlich auch Angebote zur Beratung – finden Sie zum Beispiel bei der audatis in Herford und Potsdam.

“Windows 10 sicher im Unternehmen”: Material zum heise-Webinar

Am 29. April 2020 hat unser Consulting-Leiter Nils Kaczenski für den heise-Verlag ein sehr erfolgreiches Webinar gehalten: “Windows 10 sicher im Unternehmen” war der Titel, der über 120 Teilnehmer anzog. Das Feedback des Publikums war hervorragend, viele interessierte Fragen der Zuhörer konnten noch im Webinar beantwortet werden.

image

In dem Webinar hat Nils Kaczenski zahlreiche Themen und Techniken vorgestellt. Die Teilnehmer äußerten großes Interesse, sich näher damit zu beschäftigen. Sie finden daher hier eine umfangreiche Materialliste zu allen besprochenen Themen sowie einige weiterführende Links.

Download “Materialliste Windows 10 sicher im Unternehmen” mw-Materialliste-Windows-10-sicher-im-Unternehmen.pdf – 556-mal heruntergeladen – 135 kB

Gern beraten wir Sie zur Sicherheit in Windows-Umgebungen – nutzen Sie dafür unser Kontaktformular.

SecIT – aber online: “Windows 10 sicher im Unternehmen” als Webinar

Der heise-Verlag bietet seinem Publikum eine hochwertige Alternative zu der Fachmesse “SecIT 2020”, die Ende März hätte stattfinden sollen. In Kooperation mit den Referent*innen führt der Veranstalter die redaktionellen Seminare aus dem Messe-Programm jetzt online durch. In den nächsten Wochen werden alle Interessierten Gelegenheit haben, die Sessions als Webinare zu nutzen.

image

Auch das stark nachgefragte Seminar “Windows 10 sicher im Unternehmen” mit unserem Consulting-Leiter Nils Kaczenski findet auf diesem Wege statt. Am 29. April 2020 ab 10:00 Uhr stellen wir dort die modernen Sicherheitstechniken vor, die das aktuelle Client-Windows mitbringt. Aus der Seminarbeschreibung:

Windows 10 ist modern, leistungsfähig – und umstritten. Wie setzt man es im Unternehmens-Netzwerk sicher ein? Welche Security-Funktionen bringt es mit? Reichen die Bordmittel aus oder benötigt man auf jeden Fall noch Werkzeuge von Drittanbietern?

Das Webinar beleuchtet den aktuellen “State of Windows 10” mit besonderem Fokus auf mittelständischen Unternehmen. Neben wichtigen Sicherheitsfunktionen spielen auch der Datenschutz und Empfehlungen des BSI eine Rolle. Abschließend weiten wir den Blick auf das Netzwerk: Welche administrativen Konstrukte versprechen in Zeiten von Emotet und Advanced Persistent Threats ein angemessenes Schutzniveau?

Details und Anmeldung:

[Windows 10 sicher im Unternehmen]
https://www.heise-events.de/webinare/windows_10

secIT 2020: IT-Sicherheitskonferenz mit mw-Know-how

imageDie secIT findet im März 2020 zum dritten Mal statt. Dem hannoverschen heise-Verlag ist es damit gelungen, die IT-Sicherheitskonferenz in der Branche zu etablieren. In diesem Jahr wird unser Haus sein Expertenwissen zum redaktionellen Programm der Messe beitragen.

Am 25. und 26. März 2020 öffnet die secIT des renommierten heise-Verlags ihre Pforten in der Eilenriedehalle des Hannover Congress Centrum. Mehr als 50 Aussteller und ein hochkarätig besetztes Rahmenprogramm machen die Veranstaltung zu einem wertvollen Forum der IT-Branche. Vor den beiden Messetagen bieten die Veranstalter einen optionalen Workshop-Tag am 24. März 2020 an, zu dem man ganztägige kostenpflichtige Seminare besuchen kann.

Doch auch das “reguläre” Vortrags- und Workshop-Programm der secIT richtet sich an Besucher mit hohen Ansprüchen. Neben zahlreichen Ausstellervorträgen und einem Special-Event mit “Crypto-Guru” Bruce Schneier aus den USA haben die Redaktionen des heise-Verlags eine eigene Reihe von halbtägigen Seminaren zusammengestellt, die von bekannten Fachexperten der IT-Community präsentiert werden. Dabei greifen die secIT-Macher auch auf Know-how unseres Hauses zurück: am 26. März 2020, dem zweiten Messetag, wird unser Consulting-Leiter Nils Kaczenski beleuchten, welche Security-Funktionen den Einsatz von Windows 10 im Unternehmen absichern. Interessenten sollten sich beeilen, denn der erste von zwei Terminen ist bereits ausverkauft.

Details zur secIT, das Programm und die Tickets finden Sie hier:

[secIT by Heise, die IT-Security Messe in Hannover]
https://sec-it.heise.de/

Apple prescht vor: Webserver-Zertifikate sollen schon nach einem Jahr ablaufen

Besonders die Betreiber kommerzieller Webseiten werden sich zügig umstellen müssen: Apple hat vor zwei Tagen (am 19. Februar 2020) eine Initiative angekündigt, die sie zwingt, ihre TLS-Verschlüsselungszertifikate künftig jährlich auszutauschen – statt wie bisher alle zwei Jahre. Das berichtet der Zertifikatsanbieter Digicert unter Berufung auf das „CA/Browser Forum“, das in dieser Woche in Bratislava getagt hat.

imageDer Digicert-Artikel dazu:

[DigiCert‘s Position on 1-Year TLS SSL Certificates]
https://www.digicert.com/position-on-1-year-certificates/

TLS-Zertifikate sorgen dafür, dass Webseiten verschlüsselt übertragen werden, sie sind auch unter dem veralteten Namen „SSL-Zertifikate“ bekannt. War es früher so, dass ein Unternehmen solch ein Zertifikat praktisch beliebig lang gültig lassen konnte, hatten sich die Browser-Hersteller in den letzten Jahren zunächst auf eine maximal dreijährige Laufzeit und zuletzt eine Begrenzung auf zwei Jahre geeinigt. Alle üblichen Browser akzeptieren TLS-Zertifikate seither nur, wenn deren Laufzeit zwischen Ausstellung und Ablauf höchstens zwei Jahre beträgt. Für den Betreiber einer Webseite bedeutet dies, dass er im selben Turnus die Zertifikate erneuern und austauschen muss. Das kann bei großen Webseiten durchaus einigen Aufwand bedeuten.

Alle Experten der IT-Industrie sind sich einig, dass kürzere Laufzeiten mehr Sicherheit bedeuten: Je länger ein Zertifikat im Einsatz ist, desto größer ist die Aussicht für einen Angreifer, dieses auf verschiedenen Wegen kompromittieren zu können. Dabei geht es weniger darum, die Verschlüsselung selbst zu knacken, das ist weitgehend aussichtslos. Eine lange Nutzungsdauer macht aber Patzer des Betreibers im Umgang mit den Zertifikaten wahrscheinlicher. So haben Hacker mehr Möglichkeiten, die zugehörigen privaten Schlüssel zu kapern und so Webseiten unter ihre Kontrolle zu bringen. Das ist nicht unwahrscheinlich: Hersteller Citrix etwa hatte vor wenigen Wochen in seinem Sicherheitsprodukt Netscaler eine Lücke, die den Zugriff auf diese privaten Schlüssel erlaubte.

Wie Digicert berichtet, hatte Google schon vor einiger Zeit gefordert, die maximale Laufzeit von TLS-Zertifikaten auf ein Jahr zu begrenzen. Die meisten anderen Browser-Hersteller lehnten ab, es blieb bei zwei Jahren. Vorgestern nun preschte Apple vor: Ab dem 1. September 2020 soll Apples Browser Zertifikate nur noch dann akzeptieren, wenn diese höchstens ein Jahr gültig sind. Webseiten, die das nicht erfüllen, wird Safari dann nicht mehr anzeigen. Zwar hat Safari auf PCs nur eine geringe Verbreitung, auf iPhones ist er aber der dominierende Browser. Die Änderung wird also große Auswirkungen haben – auch auf kleinere Firmen, deren Mitarbeiter über das iPhone etwa auf den Firmen-Mailserver zugreifen.

Aus diesem Grund ist davon auszugehen, dass für Firmen sehr bald kein Weg daran vorbeigeht, ihr Zertifikats-Management umzustellen. Der bisher meist manuelle Vorgang, ein TLS-Zertifikat auszutauschen, muss in vielen Fällen wohl automatisiert werden. Die Technik dafür existiert im Prinzip: Der Zertifikatsanbieter „Let’s Encrypt“ stellt seine kostenlosen TLS-Zertifikate nur für jeweils 90 Tage aus und setzt auf vollständige Automatisierung. Große Webseiten nutzen üblicherweise aber Zertifikate anderer Anbieter, weil diese erweiterte Eigenschaften bieten, die für Kunden ein höheres Vertrauensniveau erzeugen.

Analyse und Incident Response CVE-2019-19781 (#citrixmash #shitrix)

Sowas passiert nur alle paar Jahre mal – eine Sicherheitslücke von solch drastischer Kritikalität. Das BSI hat denn auch die potenziellen Auswirkungen zunächst erheblich unterschätzt und den Fall als weit weniger kritisch bewertet als das US-amerikanische NIST. Inzwischen ist aber klar, dass der Fall es nicht umsonst bis in die Tagesschau geschafft hat.

Was wir wissen

  • Lücke ist seit Mitte Dezember bekannt, Citrix hat offiziell darüber informiert und Workarounds zum Schutz bereitgestellt
  • Für einen bestimmten Build (50.28) von Citrix ADC/Gateway (the artist formerly known as NetScaler) wirken die Workarounds aufgrund eines weiteren Bugs nicht – zusätzliche Maßnahmen oder ein Update auf einen halbwegs aktuellen Build von 12.1 sind erforderlich (siehe Citrix Artikel)
  • Citrix hat Updates zur Fehlerbehebung angekündigt, für die Versionen 11.1 und 12.0 sind diese Stand heute verfügbar, für weitere unterstützte Versionen sollen die Updates spätestens nächste Woche folgen
  • Seit der zweiten Januar-Woche wird die Lücke aktiv ausgenutzt, spätestens ab dieser Zeit konnten intensive Scans durch die ganze Welt beobachtet werden, die verwundbare Systeme identifiziert und vermutlich für spätere Angriffe dokumentiert haben
  • Nachdem die ersten weniger freundlichen Hacker ihren Exploit Code veröffentlicht haben, wurden weitere Skripte von gewissenhaften Security Experten veröffentlicht, da die Katze nun aus dem Sack war, die eigentlich noch zurückgehalten werden sollte
  • Auf einem verwundbaren System sind Spuren der Kompromittierung zu finden, so lange sich der Angreifer nicht sehr gründlich Mühe gibt, diese zu verwischen – und den nötigen Zugriff dafür erlangt hat
  • Falls keine Spuren zu finden sind, ist dies keine 100%-ige Garantie, dass nichts passiert ist
  • Bei den ersten Spuren sind insbesondere Zertifikate (Private Keys) auf den betroffenen Systemen als kompromittiert zu betrachten und sollten zurückgerufen und ausgetauscht werden
  • lokale Benutzer auf betroffenen Systemen sind insofern gefährdet als dass der Angreifer potenziell Hashes der Passwörter in seinen Besitz bringen konnte, die er nun versuchen kann in Ruhe per brute force zu enttarnen – Passwortwechsel sollten umgehend umgesetzt werden
  • Weiterhin sind auf dem betroffenen System konfigurierte Service Accounts für die interne Infrastruktur gefährdet und müssen als kompromittiert angesehen werden
  • Eine Neu-Installation betroffener Systeme sollte sowieso vorgenommen werden
  • Insbesondere falls keine Firewall vor dem betroffenen System ausgehende Verbindungen verhindert, kann der Angreifer sogar eine Remote Shell auf dem System erlangt haben. Von diesem Fuß in der Tür kann er alle darüber hinaus netzwerktechnisch erreichbaren Systeme ins Visier genommen haben – zusammen mit erlangten Informationen zu Service Accounts ein Silbertablett für weiteres Eindringen

Was wir tun

Nach der frühzeitigen Information und Unterstützung unserer Kunden im Dezember arbeiten wir seit einer Woche nunmehr in Eskalationen und Analysen bei zahlreichen Fällen mit. Dabei geht es immer um eine Kadenz von Maßnahmen:

  • Schutzstatus feststellen
  • Schutz ggf. herstellen
  • Kompromittierungsstatus feststellen
  • Isolation und Recovery ggf. einleiten
  • Mögliche Tiefe der Kompromittierung feststellen (was kann der Angreifer unmittelbar erlangt haben)
  • Mögliche Kompromittierungen weiterer Systeme analysieren (was kann der Angreifer ggf. über das direkt verwundbare System hinaus erreicht haben)

Das Ergebnis kann leider fast nie eine sichere Aussage der Art “es ist nichts passiert” sein. Dieser kann man sich nur anhand von Indizien annähern. Lediglich bei unmittelbar nach Bekanntwerden konsequent und korrekt implementierten Schutzmaßnahmen gehen wir von einer faktischen Unversehrtheit aus. In allen anderen Fällen muss eine Risikobewertung stattfinden, um die Tiefe und Ausführlichkeit zu bestimmen, in der analysiert und bereinigt werden muss.

Aufgrund der Menge an Fällen sind unsere Vorlaufzeiten zur umfassenden Bearbeitung neuer Anfragen aktuell im Bereich von Tagen. Die ersten Schritte in o.g. Kadenz können aber jederzeit im Bereich Same, maximal Next Business Day gegangen werden. Kommen Sie gerne auf uns zu.

Ein neuer Certified Ethical Hacker bei michael wessel

Unser Kollege und Leiter des Teams Datacenter Infrastructure, Daniel Lengies, hat nun seine Zertifizierung zum Certified Ethical Hacker (EC Council) bestanden. Diese beinhalteten umfangreiche Schulungsmaßnahmen mit hohen Praxisanteilen. Darüber hinaus musste er viele Kenntnisse über Sicherheitssystemtechniken beweisen. Darunter auch solcher Techniken, die Gegenmaßnahmen gegen Hackingangriffe enthalten.

„Ein neuer Certified Ethical Hacker bei michael wessel“ weiterlesen