{"id":53293,"date":"2023-08-17T10:20:53","date_gmt":"2023-08-17T08:20:53","guid":{"rendered":"https:\/\/www.burks.de\/burksblog\/?p=53293"},"modified":"2023-08-18T08:29:04","modified_gmt":"2023-08-18T06:29:04","slug":"unter-cyberangreifenden-und-administrierenden","status":"publish","type":"post","link":"https:\/\/www.burks.de\/burksblog\/2023\/08\/17\/unter-cyberangreifenden-und-administrierenden","title":{"rendered":"Unter Cyberangreifenden und Administrierenden"},"content":{"rendered":"

\"it\"<\/a>
\nIT-Verantwortlicher einer deutschen Kommune (Symboldbild)<\/sup><\/p>\n

Ich habe mir die 18 Checklisten<\/a> des BSI angesehen, auf die Heise<\/a> hinwies: „Kommunen sind zunehmend Ziele von Cyber-Angriffen. F\u00fcr angemessenen Schutz mangelt es oft an Wissen und Personal.“<\/p>\n

Da bin ich aber gespannt. Wie sollen die Kommunen das \u00e4ndern, wenn sie ohnehin f\u00fcr nichts mehr Geld<\/a> haben? Fortbildungskurse f\u00fcr Mitarbeiter? Wer soll das bezahlen?<\/p>\n

Man kann nat\u00fcrlich \u00fcber alles meckern. Wenn man sich ansieht, was das BSI vorschl\u00e4gt, beginnt man zu ahnen, wie es in den Kommunen cyberm\u00e4\u00dfig aussieht. Word-Dokumente! Da f\u00e4ngt es schon an. Das BSI geht mit schlechtem Beispiel voran. Da f\u00e4llt mir die uralte Schlagzeile<\/a> ein. „Microsoft Word bytes Tony Blair in the butt“.<\/p>\n

Schon gelesen, BSI? Microsoft warnt Kunden<\/a> aktuell vor einer gravierenden Sicherheitsl\u00fccke in Verbindung mit docx-Dateien. Das Gef\u00e4hrliche an dieser Sicherheitsl\u00fccke ist die Tatsache, dass das alleinige \u00d6ffnen der jeweiligen Word-Datei gen\u00fcgt, um den Schadcode auszuf\u00fchren und Remote Code Execution<\/a> zu erm\u00f6glichen.<\/i><\/p>\n

\"internet\"<\/a><\/p>\n

Der Transport von Dokumenten und Datentr\u00e4gern sollte bspw. in einer verschlossenen Tasche und\/oder im Kofferraum eines Fahrzeugs erfolgen, statt sie sichtbar und leicht zugreifbar zu machen.<\/i>
\nFull ack. Man ist von lokalen Politikern gewohnt, dass sie Laptops mit unverschl\u00fcsselten Daten gern in Fahrzeugen lassen<\/a> und dass diese Laptops dann bei Rockerbanden landen. Das sollten Kommunen anders handhaben.<\/p>\n

Ist festgelegt, ob und wie dienstliche Informationen auf fremden IT-Systemen verarbeitet werden d\u00fcrfen?<\/i>
\nGilt das nicht viel mehr f\u00fcr das Gegenteil? Also etwa w\u00e4hrend der Dienstzeit Raubkopien herstellen<\/a> – verboten oder nicht? Und was ist ein „fremdes“ IT-System? Bei mir w\u00e4re da Microsoft erste Wahl f\u00fcr Alienm\u00e4\u00dfiges. (Chor der Administrierenden im Hintergrund: Aber was ist dann mit der Cloud?<\/a>)<\/p>\n

Zielsetzung ist der Bezug von integrer Software, die bei einem seri\u00f6sen Anbieter gekauft\/heruntergeladen wird. Eine vertrauensw\u00fcrdige Quelle ist typischerweise der Hersteller\/Entwickler der jeweiligen Software. Idealerweise stellt die vertrauensw\u00fcrdige Quelle eine M\u00f6glichkeit bereit, die Software auf Integrit\u00e4t zu \u00fcberpr\u00fcfen. Steht diese M\u00f6glichkeit zur Verf\u00fcgung, sollte sie auch genutzt werden.<\/i>
\n„Integer“ ist nur und ausschlie\u00dflich Open-Source-Software, hilfsweise Software, die von Edward Snowden<\/a> oder Phil Zimmermann<\/a> pers\u00f6nlich empfohlen wurde. Aber dann bliebe in den Kommunen vermutlich gar nichts mehr \u00fcbrig von der sch\u00f6nen Klickibunti-Welt. Auch Netzwerk Recherche ist im April 2023 mit dem Newsletter<\/a> auf diesen Zug aufgesprungen. Wenn schon Journalisten einen feuchten Kehricht auf Sicherheit geben, was sollen dann die Kommunen machen?<\/p>\n

Aktive Inhalte in Office-Dokumenten sollten nie automatisch ausgef\u00fchrt werden. Falls eine h\u00e4ndische Ausf\u00fchrung notwendig ist, m\u00fcssen die aktiven Inhalte aus vertrauensw\u00fcrdigen Quellen stammen. Alle Benutzenden [sic] m\u00fcssen bez\u00fcglich der Gef\u00e4hrdungen durch Aktive Inhalte in Office-Dateien sensibilisiert werden. Zu Office-Anwendungen z\u00e4hlen hier insbesondere auch Anwendungen f\u00fcr PDF-Dateien sowie E-Mail-Clients.<\/i>
\nDie Botschaft h\u00f6r ich wohl, allein mir fehlt der Glaube. Wieso eigentlich „h\u00e4ndisch“? Oder meinen die „h\u00e4ndisch sensibilisieren“? Das w\u00fcrde mich interessieren, obzwar es dann auf die einzelne Verwaltungsfachangestellte ank\u00e4me. Zwischenfrage, wie vor Sodom und Gomorrha: Gibt es Kommunen, die als E-Mail-Client nicht<\/i> Outlook einsetzen?<\/p>\n

Zudem sollte der Versand und Empfang von ausf\u00fchrbaren Dateien<\/a> \u00fcber E-Mail, die Nutzung veralteter Office-Formate (z. B. .doc oder .xls) oder das lokale Ausf\u00fchren von Skripten nach M\u00f6glichkeit blockiert werden.<\/i>
\nSchon klar. Aber ist das Verschicken von Attachments mit Visual Basic Script<\/a> nicht so was von Anfang des Jahrtausends?<\/p>\n

Es sollten ausschlie\u00dflich moderne Webbrowser mit Sicherheitsfunktionen und mit aktueller Herstellerunterst\u00fctzung verwendet werden.<\/i>
\nDefinieren sie „modern“?1 Ich darf also weder den Netscape Navigator<\/a> noch Lynx<\/a> einsetzen? Was erlauben BSI?<\/p>\n

\"sicherheitsvorf\u00e4lle\"<\/a><\/p>\n

Die Pr\u00fcfung sollte bereits auf dem E-Mail-Server stattfinden. Es muss dabei geregelt werden, wie mit Dateien umgegangen werden soll, die das Schutzprogramm nicht lesen kann, z. B. bei verschl\u00fcsselten Daten. Falls die Pr\u00fcfung nicht auf dem E-Mail-Server stattfinden kann, muss sie auf dem E-Mail-Client erfolgen.
\nAu\u00dferdem sollten folgende Ma\u00dfnahmen umgesetzt werden:
\nAusf\u00fchrbare Dateien in E-Mail-Anh\u00e4ngen unterbinden
\nPr\u00fcfung des Dateiformats (Anzeige der Dateiendungen in voller L\u00e4nge aktivieren)
\nGr\u00f6\u00dfe von Dateianh\u00e4ngen beschr\u00e4nken (der Wert kann bspw. individuell je nach vorhandenen Ressourcen, Fachverfahren oder externen Vorgaben festgelegt werden)<\/i>
\nJa, das ist doch die Frage: Wie soll man mit verschl\u00fcsselten Daten umgehen? Alles so lassen oder gar entschl\u00fcsseln? Nennen Sie mir eine<\/i> Kommune in Deutschland, der man eine verschl\u00fcsselte Nachricht schicken kann! Eine! Nur eine! Wait a minute. Welches „Schutzprogramm“ kann verschl\u00fcsselte Daten nicht lesen? Sollte das nicht auch verboten werden?<\/p>\n

Soweit sinnvoll und m\u00f6glich sollte auch die automatische Darstellung von HTML-Inhalten deaktiviert werden.<\/b>
\nJa! Full ack. Es geschehen noch Zeichen und Wunder. Aber die Firma m\u00f6chte ich sehen, die ihren Angestellten die E-Mails auf plain text<\/i> umstellt. Und die meisten wissen gar nicht, was ich damit meine. Noch nicht einmal der Deutsche Journalistenverband<\/a> macht das.<\/p>\n

Nur berechtigte Benutzende [sic] sollten sich an Clients anmelden k\u00f6nnen. Es gibt verschiedene Techniken, \u00fcber die die Authentizit\u00e4t von Benutzenden nachgewiesen werden kann. Die bekanntesten sind: PINs (Pers\u00f6nliche Identifikationsnummern), Passw\u00f6rter, Token wie z. B. Zugangskarten sowie Biometrie.<\/i>
\nIch sage nur: Paxton<\/a>! Ich schreibe gerade ein Handbuch, wie man damit Zugangskarten programmiert und druckt, weil Paxton keines herausr\u00fcckt, sondern die Experten lieber zu Schulungen einl\u00e4dt, damit das Herrschaftswissen kostenpflichtig bei ihnen bleibt.<\/p>\n

Benutzende [sic] sollten angehalten werden, die Bildschirmsperre bei Verlassen des Arbeitsplatzes zu aktivieren.<\/i>
\nIch verrate jetzt kein Betriebsgeheimnis, aber in meiner Firma ist jeder Angestellter verpflichtet, den Bildschirm zu sperren, sobald er oder sie den Allerwertesten auch nur ein wenig l\u00fcftet.<\/p>\n

Nur Administrierende [sic] sollten von externen Speichermedien booten k\u00f6nnen.<\/i>
\n\u00c4hm. Das ist irgendwo erlaubt? Normale Nutzer d\u00fcrfen von USB-Sticks booten<\/a>?<\/p>\n

Administrierende m\u00fcssen au\u00dferdem \u00fcber eine geeignete Pers\u00f6nlichkeit verf\u00fcgen, um die ihnen \u00fcbertragenen Aufgaben zuverl\u00e4ssig und sorgf\u00e4ltig zu erledigen.<\/i>
\nWie und zu welchem Ende erlangt man eine „geeignete Pers\u00f6nlichkeit“? Und wer stellt einem dann das betreffende Zertifikat aus?<\/p>\n

Ist sichergestellt, dass Benutzende einem Zugriff auf ihre Desktop-Umgebung zwecks Fernwartung jeweils aktiv zustimmen m\u00fcssen?<\/i>
\nDas muss man extra betonen? Ich werde also manchmal in einer Kommune ferngewartet, ohne dass ich es wei\u00df? Das stelle ich mir f\u00fcr Politiker n\u00fctzlich vor, aber doch nicht f\u00fcr IT-Systeme?<\/p>\n

Die Personal Firewall muss so konfiguriert werden, dass die Benutzenden [sic] nicht durch Warnmeldungen<\/a> bel\u00e4stigt werden, die sie nicht interpretieren k\u00f6nnen<\/a>.<\/i>
\nDas wird jetzt Comedy. 0x8007042c? ChatGPT: Die Zeichenfolge „0x8007042c“ ist ein Fehlercode im hexadezimalen Format. In Windows-Betriebssystemen werden solche Fehlercodes oft verwendet, um spezifische Probleme oder Fehlerzust\u00e4nde zu identifizieren. In diesem Fall steht der Fehlercode „0x8007042c“ f\u00fcr den Windows-Firewall-Fehler „RPC-Server nicht verf\u00fcgbar“.<\/i> Aha.<\/p>\n

Die Aufgaben sollten so verteilt werden, dass einerseits \u00dcberschneidungen in den Zust\u00e4ndigkeiten vermieden werden und andererseits keine L\u00fccken entstehen.<\/i>
\nRharbarber, Rharbarber, Rahfasel. Man ahnt: Wenn mehr als einer zust\u00e4ndig ist, geht gar nichts mehr. Und meistens ist niemand zust\u00e4ndig. IT-Standort Deutschland at its best.<\/p>\n

\"it\"<\/a>
\nVirenschutzprogramme, die E-Mails entschl\u00fcsseln (Symbolbild)<\/p>\n

Fehlende Kenntnis \u00fcber den Speicherort von Informationen. Unbefugter Zugriff auf Informationen, z. B. durch Administratoren des Cloud-Diensteanbieters.<\/i>
\nKeine Ahnung. Sollte denn eine Kommune wissen, wo in der Microsoft-Wolke ihrer geheimen Daten gespeichert hat sind und wer die verwaltet? Seriously? Und an wen sollen die faxen, um das zu erfahren?<\/p>\n

Passw\u00f6rter m\u00fcssen geheim gehalten werden.<\/i>
\nGut zu wissen. Ich kenne ein gro\u00dfen Krankenhaus in Berlin, bei dem an der Rezeption das Master-Passwort des Rechners an dessen Monitor klebt. L\u00e4cherlich ist dieser Hinweis gar nicht.<\/p>\n

Eine erzwungene Passwort-Erneuerung ist wenig zielf\u00fchrend, da dies zur Nutzung einfacher Passw\u00f6rter nach einem festen Muster verleitet.<\/i>
\nIch werde in unregelm\u00e4\u00dfigen Abst\u00e4nden von der IT-Abteilung in sehr h\u00f6flichem sophisticated business English aufgefordert, mein Passwort zu \u00e4ndern. Falls ich das nicht mache, wird mein Account gesperrt. Ich benutze trotzdem keine einfachen Passw\u00f6rter. Das wird lustig, wenn dieses deutsche Sonderzeichen enth\u00e4lt, man aber – wie ich – mit einer englischen Tastatur arbeiten muss oder mit einer deutschen Tastatur, die Englisch belegt ist – und man nur drei Versuche hat, das Passwort einzugeben.<\/p>\n

Gibt es eine Festlegung, wie mit verschl\u00fcsselten E-Mails zu verfahren ist, wenn diese nicht durch das Virenschutzprogramm entschl\u00fcsselt werden k\u00f6nnen?<\/i>
\nWTF, BSI? Virenschutzprogramme, die E-Mails entschl\u00fcsseln?<\/up><\/p>\n

\"image_pdf\"<\/a>\"image_print\"<\/a><\/div>
<\/div>