Tag Archives: Hacker

Pressemitteilungen

Task Force gegen Cyberkriminalität: Digital Shadows gründet Photon Research Team

Team aus internationalen Sicherheitsspezialisten verfolgt rund um die Uhr verdächtige Cyberaktivitäten im Netz

München, 14. Februar 2019 – Digital Shadows, Anbieter von Lösungen zum digitalen Risikomanagement, stellt eine neue Task Force zur Bekämpfung von Cyberkriminalität auf. Das Photon Research Team unter der Leitung von CISO Rick Holland setzt sich aus branchenübergreifenden Sicherheits-Spezialisten zusammen und verfolgt die neuesten Angriffstaktiken, Tools und Gefahren im Netz. Dabei spürt die internationale Einheit rund um die Uhr (24/7) und in 20 Sprachen digitale Risiken auf, um Kunden sowie die gesamte Geschäftswelt vor kriminellen Angriffen zu schützen.

Das Photon Research Team ist in der Primärforschung tätig und stützt sich dabei auf eine umfassende Datensammlung. Seit seiner Gründung im Jahr 2011 erfasst Digital Shadows eine Fülle von Informationen über Bedrohungsakteure sowie deren Taktiken, Techniken und Prozeduren (TTPs). Darüber hinaus unterstützt der Threat Intelligence Experte Unternehmen bei der Entschärfung von Datenleaks und digitalen Risiken und kann so auf einen reichen Erfahrungsschatz zurückgreifen. Aus dieser Menge an Daten werden trendorientierte Analysen und Berichte erstellt, die der Cybersicherheitsgemeinschaft helfen, komplexe Herausforderungen zu bewältigen.

Bei der Namensgebung der neuen Task Force bediente sich Digital Shadows der Physik. Dort bezeichnet Photon ein Bündel elektromagnetischer Energie und stellt die Grundeinheit des Lichts dar. Dementsprechend soll auch das neue Team Licht in weitgehend unbekannte Bereiche der Cyberwelt bringen. Dazu gehören unter anderem einschlägige Plattformen, auf denen Cyberkriminelle gestohlene Daten zum Verkauf anbieten und sich miteinander austauschen. Der genaue Einblick in digitale Risiken ermöglicht es Kunden und Organisationen, sich besser zu schützen und Angriffen vorzubeugen.

Der Hauptfokus des Photon Research Teams liegt auf der Erstellung regelmäßiger Berichte für Kunden von Digital Shadows. Ausgewählte Inhalte werden jedoch auch Sicherheitsexperten der gesamten Branche zur Verfügung gestellt.

„Mit unserem neu aufgestellten Team verstärken wir die bereits bestehenden Analystenkapazitäten von Digital Shadows. Photon wird sich zu 100% auf die Erforschung von Trends im Bereich des digitalen Risikos konzentrieren“, erklärt Rick Holland, CISO bei Digital Shadows. „Das Forscher-Team bündelt das Know-how verschiedenster Spezialisten – von ehemaligen Mitarbeitern militärischer Geheimdienste über Data Scientists bis hin zu den sogenannten „Ethical Hackers“ oder „White Hats“. Unsere Experten verstehen die Nuancen des Milieus, können Cyberkriminellen in ihrer Muttersprache folgen und wenn nötig direkt Kontakt aufnehmen, um mehr über ihre Methoden und Pläne zu erfahren.“

Mehr Informationen zum Photon Research Team finden Sie im Video, im Blog oder auf der Website von Digital Shadows. Folgen Sie Photon auf Twitter @photon_research

ÜBER DIGITAL SHADOWS:
Digital Shadows spürt ungewollt öffentlich gewordene Daten im Open, Deep und Darknet auf und hilft so Organisationen, die hieraus resultierenden digitalen Risiken externer Bedrohungen auf ein Minimum zu reduzieren. Mithilfe von SearchLight™ können Unternehmen Datenschutzvorgaben einhalten, den Verlust von geistigem Eigentum verhindern und Reputationsschäden vermeiden. Die Lösung hilft, digitale Risiken zu minimieren, die Angriffsfläche zu reduzieren und Marken- und Unternehmensnamen zu schützen. Weitere Informationen finden Sie im Internet unter http://www.digitalshadows.com

Firmenkontakt
Digital Shadows
Stefan Bange
c/o Lucy Turpin Communications GmbH, Prinzregentenstr. 89
81675 München
089 417761 0
Stefan.Bange@digitalshadows.com
https://www.digitalshadows.com/

Pressekontakt
Lucy Turpin Communications GmbH
Birgit Fuchs-Laine
Prinzregentenstrasse 89
81675 München
089 41776113
digitalshadows@lucyturpin.com
http://www.lucyturpin.com

Die Bildrechte liegen bei dem Verfasser der Mitteilung.

Pressemitteilungen

INFOSERVE veröffentlicht Ergebnisse der kes-Sicherheitsstudie

Aktueller Lagebericht zur IT-Sicherheit in Deutschland

Saarbrücken, 24. Januar 2019 – Als Sponsor der kes-Sicherheitsstudie veröffentlicht das Saarbrücker IT-Unternehmen INFOSERVE jetzt die Ergebnisse der im letzten Jahr durchgeführten Untersuchung. Als Download oder Sonderdruck können Interessenten den Sicherheitsbericht über www.infoserve.de/it-sicherheit-lagebericht-2018 beziehen.

Zusammengefasst lässt sich festhalten, dass nach wie vor der Mensch der größte Risikofaktor ist. Durch seine Leichtgläubigkeit oder Nachlässigkeit entstehen laut Studie die meisten Schäden. Umso wichtiger ist die rechtzeitige, allumfassende und dennoch verständliche Aufklärung über potenzielle Gefahren. Nur wer beispielsweise weiß, wie Phishingmails aussehen und wie man mit ihnen umgehen muss, ist in der Lage, richtig zu handeln. Als zweithäufigste Schadensursache identifiziert die Studie Malware. Damit zählt Malware zum dritten Mal in Folge zu den größten Gefährdungen; unter den Infektionswegen für Malware haben E-Mails nach wie vor den Spitzenplatz inne.

Aber es gibt Möglichkeiten, Unternehmen vor diesen Risiken zu schützen. „Gründlich, überlegt und professionell vorzugehen reicht in der Regel, um IT sicher zu betreiben“, weiß Dr. Philipp Walter, Leiter IT INFOSERVE GmbH. „Die Bedrohung geht nicht von Elite- Hackern aus, die wie beiläug in jedes System gelangen, sondern vom Grundrauschen aus Scans, Malware, Spam- und Phishing- Mails, das im Internet nun mal vorherrscht. Software ist heute sicherer denn je, und regelmäßige Softwareaktualisierungen, Backups, eine Firewall und ein Proxy sowie eine grundlegende Security Awareness der eigenen Mitarbeiter reichen in der Regel aus, um auf der sicheren Seite zu sein.“

Die vollständigen Studienergebnisse inkl. eines Vorworts des INFOSERVE Geschäftsführers Dr. Stefan Leinenbach sowie von Dr. Philipp Walter steht zum kostenlosen Download oder zur Bestellung als Sonderdruck zur Verfügung unter: www.infoserve.de/it-sicherheit-lagebericht-2018

Pressekontakt
INFOSERVE GmbH
Sabine Weber
Am Felsbrunnen 15
66119 Saarbrücken
Tel: 0681 / 88008-0
Mail: s.weber@infoserve.de

INFOSERVE GMBH
1995 als saarländischer IT-Dienstleister gestartet, hat sich INFOSERVE als Tochter der eurodata AG zum überregionalen und innovativen IT-Systemhaus für sichere Cloud- und intelligente Webservices entwickelt. Dabei versteht sich das Unternehmen als kompetenter IT-Consultant und Lösungs-Spezialist mit den Kernkompetenzen IT-Sicherheit, Virtualisierung und Web. Herzstück der Lösungen ist das INFOSERVE Hochleistungsrechenzentrum mit Standort in Deutschland. Darauf aufbauend werden zusammen mit Technologiepartnern und dem eigenen Know-how individuelle IT-Projekte und Services für mittelständische Unternehmen unterschiedlichster Branchen realisiert. www.infoserve.de

Die eurodata Unternehmensgruppe entwickelt und betreibt cloudbasierte Softwarelösungen und IT-Services. Im Mittelpunkt stehen kaufmännische Anwendungen, die für die Bereiche Personal- und Finanzwesen sowie das Management von Unternehmen von besonderer Bedeutung sind. Seit Gründung im Jahr 1965 stellen Steuerberatungen, Tankstellen- und Handelsnetze den Kern des eurodata Kundenstamms dar. Heute vertrauen insgesamt mehr als 80.000 Kunden der sicheren Cloud „Made in Germany“ aus dem in Deutschland ansässigen, zertifizierten eurodata Rechenzentrum.
Die Mission von eurodata ist, ihre Kunden durch automatisierte und digitalisierte Prozesse darin zu unterstützen, die Chancen für ein vernetztes Arbeiten konkret zu nutzen. Modernste Digitalisierungs- und Business Analytics-Lösungen für dezentrale Ecosysteme sowie professionelle Web-Dienstleistungen komplettieren heute das eurodata Produktportfolio und fördern die stetige Innovation aller Lösungen der eurodata Gruppe. Mehr als 500 Mitarbeiter in Deutschland und Europa engagieren sich für diese Mission. www.eurodata.de

Kontakt
eurodata AG
Markus Metz
Großblittersdorfer Str. 257
66119 Saarbrücken
0681 / 88080
m.metz@eurodata.de
http://www.eurodata.de

Die Bildrechte liegen bei dem Verfasser der Mitteilung.

Pressemitteilungen

DriveLock Release 7.9.2 kommt mit mehr als 100 Verbesserungen und Erweiterungen

München, 21.01.2019 – DriveLock SE, einer der international führenden Spezialisten für IT- und Datensicherheit, veröffentlicht mit der DriveLock 7.9.2 Version weitere Verbesserungen für die Endpoint Protection Platform mit Machine-Learning-Technologie. So ist mit der neuen DriveLock-Version jetzt das zentrale Management von Microsoft BitLocker möglich. Darüber hinaus optimieren neue Funktionen die Administration, verbessern Sichtbarkeit und Schutz der Endgeräte.

Die größte Neuerung erlaubt es, die Konfiguration und Verwaltung von Microsoft BitLocker in der zentralen Administrationskonsole in DriveLock vorzunehmen. Viele Unternehmenskunden nutzen Windows BitLocker von Microsoft zur Verschlüsselung ihrer Laufwerke. Mit der Integration des Managements von BitLocker in die administrativen Prozesse seiner Lösung bietet DriveLock jetzt eine zentrale Verwaltung der Festplattenverschlüsselung. DriveLock erweitert BitLocker zudem um eine Reihe von Konfigurationsoptionen sowie umfangreiche Reporting-Funktionen. Damit ist DriveLock die ideale Ergänzung zur BitLocker-Verschlüsselung in Unternehmensnetzwerken.

Auch das DriveLock SecurityEducation-Modul profitiert von einer Reihe von Verbesserungen. Die Inhalte können jetzt noch effektiver und zielgerichteter ausgespielt werden. Kunden bekommen einen besseren Überblick über die verwalteten Pakete, die von nun an auch einzeln ausgewählt werden können. Administratoren haben die Möglichkeit, den Benutzern eine ausgewählte Security-Awareness-Kampagne anzeigen zu lassen. Somit werden Nutzer rechtzeitig und entsprechend anlassbezogen über einen Sicherheitsverstoß, potenziellen Phishing-Angriff o.ä. informiert. Das minimiert das Risiko der akuten Gefahr wesentlich.

Zu den zahlreichen Erweiterungen gehört neben der Optimierung der Verwaltung von Laufwerksklassen auch die Einführung von maschinenspezifischen Policies. Konfigurationen können nun gezielt auf einzelne Endpunkte angewendet werden. Diese Richtlinien („centrally stored“) werden in der Konsole verwaltet. Anwendungsbeispiel wäre hier etwa das Zurücksetzen eines Passwortes für BitLocker auf einem einzelnen Endgerät.

„In diesem Release veröffentlichen wir viele Verbesserungen und Erweiterungen. Wir setzen mit DriveLock 7.9.2 den Wunsch unserer Kunden, nach einer noch benutzerfreundlicheren und gleichzeitig effektiveren Security-Lösung, um“, sagt Anton Kreuzer, CEO von DriveLock. „Die DriveLock Management Konsole bietet jetzt einfachste administrative Prozesse, während die IT-Sicherheit sowie der Schutz vor internen und externen Bedrohungen verbessert wurden.“

Das deutsche Unternehmen DriveLock SE ist seit über 15 Jahren einer der international führenden Spezialisten für die IT- und Datensicherheit. Mit seiner Endpoint Protection Platform hat sich das Unternehmen weltweit einen Namen gemacht. Herausragend ist DriveLock insbesondere aufgrund seiner extrem granularen Konfiguration im Device Control für USB- und andere Schnittstellen sowie bei der Verschlüsselung von Festplatten (FDE) und Daten auf mobilen Datenträgern. Mit Smart AppGuard und integrierter Artificial Intelligence, sowie Predictive Whitelisting und Machine Learning können Applikationen und Geräte umfassend geschützt werden. Somit bietet DriveLock einen vollen Rundumschutz vor digitalen Gefahren für alle Endgeräte.
Die voll integrierte Endpoint Protection Platform unterstützt unterschiedliche Betriebssysteme, Clients/Devices und wird als Hybrid-Lösung On-Premise oder aus der Cloud angeboten – Made in Germany und „ohne Backdoor“. www.drivelock.de

Firmenkontakt
DriveLock SE
Katrin Hentschel
Landsberger Straße 396
81241 München
+49 (0) 89 546 36 49 23
katrin.hentschel@drivelock.com
https://www.drivelock.de/

Pressekontakt
HBI Helga Bailey GmbH
Ebru Özalan
Stefan-George-Ring 2
81929 München
+49 (0) 89 99 38 87 38 25
drivelock@hbi.de
http://www.hbi.de/

Die Bildrechte liegen bei dem Verfasser der Mitteilung.

Pressemitteilungen

TAP.DE präsentiert auf Cyber Security Summit neue Sicherheitskonzepte

Mobile Threat Prevention steht dabei im Fokus

München/ Wien, 15. Januar 2019 – Als Trusted Advanced Security Partner hat sich TAP.DE Solutions dem Thema IT-Sicherheit verschrieben und wird sich 2019 vor allem auf die Datensicherheit von Mobilgeräten konzentrieren. Vom 19.- 20. Februar ist das Unternehmen deshalb auf dem Cyber Security Summit (CPX 360) von Check Point.

Die CPX 360 ist der weltweit führende Cybersicherheitsgipfel und gibt als solcher Einblick in die neueste Cyber-Sicherheitstechnologie aus dem Hause Check Point und von deren Partnern. Themen des Summits sind neben Cloudsicherheit, aktuellen Bedrohungsszenarien und Best Practices insbesondere die technologischen Innovationen in diesem Bereich. Die Teilnehmer erhalten auf der CPX umfassende Informationen und nützliches Praxistipps, wie sie ihre Netzwerke, inkl. der mobilen Geräte vor Cyber-Angriffen der 5. Generation schützen können.

Auch Michael Krause, Geschäftsführer der TAP.DE Solutions GmbH, wird mit seinem Expertenteam vor Ort sein: „Die CPX-Teilnehmer erfahren, warum sie ihre Perspektive verändern und neue Herangehensweisen umsetzen müssen, wenn sie ihr Unternehmen zuverlässig schützen wollen. Und sie lernen natürlich die neuesten Techniken und Konzepte erfolgreicher Cybersicherheit kennen.“

TAP. DE Solutions stellt in Wien die verschiedenen Security Ebenen vor, die bedacht werden müssen, um ein Netzwerk vor Cyberattacken zu schützen. Es wird veranschaulicht, mit welchen Methoden sich selbst so anfällige Geräte wie Smart Phones oder Tablets dauerhaft absichern lassen. Über Details und Hintergründe zur Mobile Threat Prevention informiert das Unternehmen zudem auf seiner Webseite: https://www.tap.de/loesungen/security/mobile-threat-prevention.html

Die CPX findet vom 19.-20. Februar auf dem Messegelände Wien statt. Neben zahlreichen Vorträgen, Workshops, Breakout Sessions und Produktpräsentationen gibt es auch diverse Networking-Möglichkeiten für den Austausch mit Gleichgesinnten. Mehr Informationen und Anmeldung zum Event unter: https://www.tap.de/akademie-events/roadshows/detail/3929.html

Das Ziel der TAP.DE Unternehmensgruppe ist es, Lösungen zu allen Abläufen und Anforderungen rund um den IT Workplace des Anwenders zu finden, die beim Kunden nachhaltig Mehrwert generieren und die Effizienz sowie Produktivität der Anwender steigern. Mehr denn je stehen Unternehmen und öffentliche Einrichtungen im Zusammenhang mit Compliance- Anforderungen, gesteigerten Anwenderansprüchen und Kostendruck vor der Herausforderung, innerhalb ihrer IT Abläufe zu optimieren, Transparenz zu schaffen und Kommunikationsbrüche zu vermeiden. Nach dem Motto „die Lösung ist meist einfach, man muss sie eben nur finden“, erstellen und implementieren die IT Consultants der TAP.DE individuelle Lösungskonzepte, die sich nahtlos in die Geschäftsprozesse der Kunden integrieren. Die Mission des Unternehmens stellt die Spezialisierung und Fokussierung auf Lösungen sowie Abläufe rund um IT Workplaces und Anwender dar. Durch diese Spezialisierung ist die TAP.DE der kompetente Berater, Systemintegrator und Dienstleister für den Bereich Workplace Infrastruktur, Endpoint Security, IT Service & Finance Management sowie Process Consulting und Business Analytics. Die TAP.DE hat ihren Hauptsitz in Straubing und ist mit weiteren Niederlassungen in Deutschland und Österreich vertreten. Namhafte Unternehmen wie Magna, Puma, Software AG, Georg Fischer, die Universität Wien, die DRF Luftrettung, das Landratsamt Karlsruhe uvm. lassen sich von den Consultants der TAP.DE beraten. Neben Matrix42 ist TAP auch Partner von renommierten Software-Herstellern wie beispielsweise Citrix, Microsoft, Check Point, Protected Networks, Wandera und EgoSecure. Weitere Informationen unter www.tap.de

Firmenkontakt
TAP.DE Solutions GmbH
Michael Krause
Europaring 4
94315 Straubing
+49 (9421) 5101-500
+49 (9421) 5101-400
kontakt@tap.de
http://www.tap.de

Pressekontakt
Schmidt Kommunikation GmbH
Alexandra Schmidt
Schillerstrasse 8
85521 Ottobrunn
089 60 669222
alexandra.schmidt@schmidtkom.de
http://www.schmidtkom.de

Die Bildrechte liegen bei dem Verfasser der Mitteilung.

Pressemitteilungen

Bevor er Ihre Daten ins Internet stellt……Jetzt schnell handeln und Infos anfordern!

http://www.lrqa.de/standards-und-richtlinien/iso-iec-27001/downloads/iso-27001-leitfaden.aspx

Egal ob Sie interne Informationsmanagementsysteme leiten oder für die Informationssicherheit verantwortlich sind oder ob Sie IT – Produkte und Dienstleistungen für Ihre Kunden entwickeln – effektive Informationssicherheitssysteme ( ISMS) sind wichtig. Sie helfen Ihnen die richtigen Kontrollen, Systeme und Produkte zu entwickeln, um die ständig steigenden Anforderungen Ihrer Kunden und Partner erfüllen zu können. Die ISO 27001 stellt sicher, dass die Daten von „interessierten Dritten“ wie zum Beispiel ihre Kunden, Mitarbeiter, Handelspartner und ganz allgemein die Gesellschaft durch adäquate Kontrollmechanismen geschützt sind. Ihre Anforderungen zu verstehen- das ist der Schlüssel für die Implementierung Ihres Managementsystems. Eine ISMS Zertifizierung nach ISO 27001 kann Ihnen helfen Ihren Handelspartnern und Kunden zu verdeutlichen, dass Sie Informationssicherheit ernst nehmen. Es ist ein deutlicher Beweis, dass eine Organisation ihr Commitment zur Informationssicherheit ernst nimmt. Dieser Artikel möchte Hilfestellung und Ratgeber für diejenigen sein, die sich mit der Zertifizierung ihres Unternehmens hinsichtlich eines ISMS – Systems befassen. Die Artikel wurde von Jonathan Alsop, LRQA ISO 27001 Lead Auditor und Rob Acker, LRQA ICT Technical Manager verfasst.
Einführung zur Implementierung eines ISMS – Systems.
Die UK FSA ( Financial Services Authority – die Finanzaufsicht ) bezieht sich in ihrer Veröffentlichung „Operational risk systems and controls“ (Kapitel 142, Seite 57) auf die ISO 27001 wie folgt: Eine Firma sollte sich mit der Wirksamkeit Ihrer Systeme und Kontrollmechanismen, die für die Datenverarbeitung und Informationssicherheit vorgesehen sind, beschäftigen. Zusätzlich zu den normalen geschäftlichen Anforderungen an vertrauliche Informationen, wie Vertrags- und Preisinformationen, Urheberrechte, etc. gibt es seit kurzem weitergehende Anforderungen ( wie zum Beispiel Sarbanes-Oxley, Cobit etc. ) im Bereich der Regulierung und Corporate Governance, die wesentlich fordernder hinsichtlich der Integrität Ihrer Unternehmens – und Finanzinformationen sind. Indem man ein Information Security Management System ( ISMS ) implementiert, bekommt man die Sicherheit, dass die unternehmenseigenen Sicherheitsvorkehrungen auf dem zur Zeit besten Stand der Technik basieren. Wenn man sein Management System nach ISO 27001 durch eine aussenstehende Zertifizierungsgesellschaft ( wie zum Beispiel LRQA ) zertifizieren lässt, dann erhält man einen unabhängigen und unvoreingenommenen Blick auf den tatsächliche Wirksamkeitsumfang und die Effektivität des ISMS – Systems. Dadurch wird auch der Aussenwelt signalisiert, wie sich der Stand der Sicherheitssysteme darstellt.
Die OECD Richtlinien
Die OECD ( Organisation für wirtschaftliche Zusammenarbeit und Entwicklung )
Die OECD – Richtlinien sollen die Aufmerksamkeit auf die Gefahr für Informationssysteme und Netzwerke lenken. Weiterhin sollen die Vorschriften, Anwendungen, Prozesse angesprochen werden, die auf diese Risiken ausgerichtet sind. Weiterhin soll die Notwendigkeit verdeutlicht werden, sich mit diesen Maßnahmen zu beschäftigen und diese zu implementieren. Die neun Regeln der Richtlinien beziehen sich auf alle regelnden und operativen Hierachien, die die Sicherheit der Informationssysteme und Netzwerke gewährleisten. ISO 27001 stellt einen ISMS – Rahmen zur Verfügung, der diese Regeln unter Nutzung des PDCA – Kreises und von Managementprozessen implementiert:
-Bewusstsein: Die Teilnehmer sollten sich der Notwendigkeit von Informations – und Netzwerksicherheit im Klaren sein. Ausserdem sollten sie sich darüber im Klaren sein, was sie für die Sicherheit dieser Systeme tun können.
-Verantwortung: Alle Teilnehmer sind für die Sicherheit der Informationssysteme und Netzwerke verantwortlich.
-Reaktion: Teilnehmer sollten zeitnah und kooperativ handeln, um Sicherheitsvorfällen vorzubeugen, Vorfälle zu entdecken, und auf Vorfälle zu reagieren.
-Risiko Audits: Die Teilnehmer sollten Risiko Audits durchführen.
-Sicherheitskonfiguration und -implementierung: Die Teilnehmer sollen Sicherheit als ein wesentliches Element der Informationssysteme und Netzwerke leben.
-Sicherheitsmanagement: Die Teilnehmer sollten einen umfassenden Ansatz für das Sicherheitsmanagement wählen.
-Neubewertung: Die Teilnehmer sollten die Sicherheit der Informationssysteme und – netzwerke überarbeiten und neu bewerten. Ausserdem sollten sie angemessene Modifizierungen der Sicherheitspolicies, Arbeitsabläufe, Maßnahmen und Prozesse durchführen.
-Es geht los: Wie auch immer der aktuelle Organisationsgrad Ihrer Organisation zu Zeit ist – der erste Schritt der Implementierung eines ISMS – System ist immer die Zustimmung und Unterstützung durch das Management. Motivation und Führung muss jetzt durch das Topmanagement geleistet werden. Das Management muss sich in dieser Phase aktiv engagieren und die Richtung für das ISMS – System angeben. Das System muss mit dem strategischen Ansatz der Organisation kompatibel sein. Ausserdem sollte das Management Schlüselbegriffe wie Policies und Ziele als Führungsinstrumente nutzen. Der Erfolg wird eintreten wenn das Management die Gründe für die Implementierung eines ISMS – Systems nachvollziehen kann und die Implementierung und den Betrieb voll und ganz unterstützt.

Die Planung,die den Erfolg sicherstellt

Wie bei jedem anderen Projekt auch, wird der Erfolg umso wahrscheinlicher, je realistischer und überlegter man vorgeht. Wichtig ist, die tatsächliche Performance mit den Planvorgaben abzugleichen und auf unvorhergesehene Ereignisse angemessen reagieren zu können. Der Plan sollte unter Berücksichtigung des Zeitfaktors und der knappen Resource erstellt werden. Das Top – Management sollte die erforderlichen Resourcen bereitstellen. Die Gesamtverantwortung liegt immer beim Top – Management und oft auch bei der IT – Abteilung. Allerdings hat die IT – Sicherheit einen durchaus weiteren Ansatz als nur IT – Systeme. Darüber hinaus berührt sie das Personal, die Sicherheit, physische Sicherheit und rechtliche Regelungen. Wenn in Ihrem Unternehmen bereits ein Qualitätsmanagementsystem vorhanden ist, dann kann man ISO 27001 mit der ISO 9001:2015 kombinieren und als Basis für das ISMS – System nutzen. Handelsorganisationen und Verbände, die die Zertifizierung bereits absolviert haben, können gute Quellen für Informationen und Erfahrungen sein. Man kann bei ihnen erfahren wie man am besten startet bzw. man kann seine Erfahrungen mit ihren abgleichen. Vielleicht möchten Sie auch erstmal einen LRQA Training besuchen? Dort können Sie mit anderen Teilnehmern oder Ihrem über IT – Sicherheit diskutieren.

Die Norm verstehen

Der erste Schritt sollte sein, sich mit der neuen Norm zu befassen. Man sollte die Kriterien, die es zu beachten gilt, nachvollziehen können. Auch die Struktur der Norm und die Struktur des eigenen zukünftigen ISMS – Systems und der dazu gehörigen Dokumentation sollte nachvollzogen worden sein. Die Norm weist zwei Teile auf:
-ISO 27002 selber ist keine Norm, sondern eine Handlungsanweisung, die Sicherheits – und Überwachsungsziele beschreibt, die man auswählen und implementieren kann, um bestimmte Risiken der IT – Sicherheit auszuschließen.
-ISO 27001 ist die Management System Norm, die die Anforderungen an die Zertifizierung des ISMS – System definiert. Diese Norm umfasst alle gemeinsamen Elemente eines Management Systems: Policy, Leadership, Planung, Betriebsablauf ( operations ), Management Review und Verbesserungswesen ( impovement ).
-Sie enthält ein Kapitel, das sich speziell mit der Identifizierung von Risiken des Informationssystems beschäftigt und einer Auswahl von passenden Kontrollmechanismen, die man mit der Norm abgleichen kann ( Annex A )

Was kommt als nächstes?

Es gibt zwei Hauptelemente in einem ISMS – System. Diese Hauptelemente können als zwei unterschiedliche Aktivitäten behandelt werden. ISO 27001 fordert die Implementierung eines ISMS – Systems, um die Sicherheitsanforderungen Ihres spezifischen Geschäfts zu identifizieren und zu dokumentieren. Die Norm fordert auch, dass die Managementprozesse definierte Vereinbarungen, Verantwortlichkeiten und Überprüfbarkeit beinhalten. D.h. Führung, Kontext, Management Review und Verbesserungswesen.

Management Prozesse

Diese Prozesse sind hinsichtlich der effektiven Implementierung eines ISMS – Systems als kritisch zu bezeichnen. Wenn Ihre Organisation bereits mit einem Qualitätsmanagementsystem wie der ISO 9001:2015 arbeitet, dann werden Ihnen diese Prozesse bekannt vorkommen. Wenn das der Fall ist, dann ist die Integration des Forderungskataloges des neuen ISMS – Systems in das vorhandene Management System, die ideale Vorgehensweise. Denn das stellt sicher, dass die Sicherheitsexpertise dort verfügbar ist, wann und wo sie gebraucht wird. Wenn Sie diese Prozesse zum ersten Mal implementieren, dann denken Sie bitte an die ganzheitliche Absicht dieser Managementsystemanforderungen. Stellen Sie sicher, dass das Topmanagement sich der Thematik annimmt, denn das Topmanagement hat die Verantwortung für die Effektivität des Management Systems und das ISMS soll von Ihm „betrieben“ werden. Adäquate Resources ( Personal, Ausrüstung, Zeit und Geld ) sollten in die Entwicklung, Implementierung und Überwachung des ISMS – Systems investiert werden. Ein internes Audit überprüft, ob das ISMS – Management System wie geplant funktioniert und auch Verbesserungsmöglichkeiten aufzeigt. Durch das Management Review hat das Top Management erstmals die Möglichkeit der Auditierung und kann feststellen wie gut das System funktioniert und wie es die Geschäftstätigkeit unterstützt. Vielleicht finden Sie es sinnvoll, diese Managementprozesse mit den Überwachungszielen in Annex A zu verbinden, denn viele dieser Überwachungsmechanismen komplettieren die Managementanforderungen der ISO 27001.
Definieren Sie den Umfang
Es ist sehr wichtig, dass Sie den logischen und geographischen Umfang des ISMS – Systems so genau bestimmen, dass die Grenzen und die Verantwortlichkeiten Ihres ISMS – Systems klar sichtbar werden. Der Umfang sollte die Personen, Räume und Informationen identifizieren, die von der Einführung des ISMS – Systems betroffen sind. Sobald Sie den Umfang definiert und dokumentiert haben, können Sie die betroffenen Informationsbereiche identifizieren. Dann können Sie ebenfalls ihren Wert und „Owner“ festlegen.

ISMS Vorschriften ( Policy )

Die Anforderungen, die sich auf die ISMS Vorschriften ( Policies ) beziehen, sind in beiden Normen ISO 27001 (5.2) und ISO 27002 vorhanden. Es gibt auch Referenzen, die die Policy betreffen, die sich in anderen Forderungen der ISO 27001 oder im Annex A befinden. Das wiederum liefert weitere Hinweise darauf, was die Policy beinhalten sollte. Zum Beispiel sollten die ISMS – Ziele mit den ISMS – Richtlinien ( Policy ) konsistent sein (6.2). Andere Richtlinien (Policies) werden erforderlich sein, um einige Überwachungsziele zu erreichen.

Risiko – Auditierung und Risikomanagement

Die Risiko – Auditierung ist das Fundament, auf dem jedes ISMS – System errichtet wurde. Es liefert den Focus für die Implementierung der Sicherheitsüberwachung und stellt sicher, dass sie dort angewendet werden, wo es am nötigsten ist. Außerdem müssen sie kosteneffizient sein und dürfen nicht dort angewendet werden, wo sie am wenigsten nützen. Die Risiko – Auditierung hilft die Antwort auf die Frage zu liefern: Wieviel Sicherheit brauchen wir? Eine der Hauptbetrachtungsweisen ist, dass man Risiko in einem positiven wie auch negativem Licht sehen kann. Risiko wird als Unsicherheit über Ziele definiert. Deswegen ist es sehr wichtig, dass man die Chancen, die sie nutzen wollen, ebenfalls betrachtet. Der Risiko – Audit umfasst alle „owners“ von Informationsbestände. Man wird ohne sie kein effektives Risiko-Audit durchführen können. Der erste Schritt ist es eine Risiko Audit – Methode festzulegen und zu dokumentieren. Es gibt passende Methoden, die meist computerbasiert sind, wie z.B. CRAMM. ISO 31000 enthält weitere Informationen darüber, wie man die richtige und passende Methode für die spezifische Struktur und Komplexität des eigenen Informationssystems findet. Der Risiko Auditierungsprozess umfasst die Identifizierung- und Bewertung der Informationsbestände. Die Bewertung muss nicht finanziell sein und kann auch Reputationsschäden und einen Kompromiss der regulierenden Vorschriften umfassen. ( das ist dann genau da, wo Ihr Kontext einen wichtigen Einfluss hat ) Dieser Prozess sollte alle Bedrohungen und Unsicherheiten umfassen und jede Chance, die mit den Informationsbeständen und deren Nutzung zu tun hat. Schließlich muss man die Höhe des Risikos festlegen und die entsprechenden Überwachungsmechanismen implementieren. Zum Beispiel ist die Bedrohung durch Verweigerung des Zugangs für ein industriell geprägtes Unternehmen in der Nähe eines petrochemischen Unternehmens wesentlich grösser als die gleiche Bedrohung für ein Büro in einem städtischen Büropark. Andersrum ist die Bedrohung von Kreditkartendatendiebstahl grösser als der Diebstahl von Produktionsdaten einer kleinen Engineeringfirma.

Risiko Behandlung

Das Risiko Audit identifiziert Risiko Levels, die dann mit dem akzeptierten Risikolevel der Sicherheitspolicy des Unternehmens abgeglichen werden müssen. Bei Risiken, die oberhalb des akzeptierten Risikolevels liegen, müssen angemessene Maßnahmen getroffen werden. Mögliche Maßnahmen wären hier zum Beispiel: Die Implementierung von Sicherheitskontrollen aus dem Annex A, die den Risikolevel auf ein akzeptables Niveau reduzieren. Der Risikiolevel sollte neu kalkuliert werden, um zu bestätigen, dass das Restrisiko unter dem akzeptablen Level ist. Die ausgewählten Überwachungsinstrumente werden in das „Statement of Applicabillity“ aufgenommen. Dieses enthält die Begründung für die Aufnahme oder den Ausschluss jedes Überwachungsinstruments. Außerdem zeigt es den Status an und ermöglicht die Nachvollziehbarkeit durch den Risiko Audit.

Das Risiko in Übereinstimmung mit der Management Policy und den Kriterien für Risiko Akzeptanz akzeptieren.

Es kann sein, dass es Fälle gibt, bei denen das Restrisiko trotz der eingeleiteten Maßnahmen höher als das akzeptable Risiko ist. In diesem Fall sollte das Restrisiko Teil des Risikoakzeptanzprozesses werden. Eine Aufzeichnung der „managements acceptance of risks“ sollte ebenfalls vorgehalten werden.

Das Risiko eliminieren, indem man die Sicherheitsumgebung ändert

Zum Beispiel, indem man sichere Anwendungen installiert, bei denen Schwachstellen, die man während des Datenverarbeitungsprozesses entdeckt hat, ausgemerzt sind; oder indem man physische Gegenstände in ein höheres Stockwerk transportiert, wenn zum Beispiel die Gefahr von Überschwemmungen droht. Solche Entscheidungen müssen geschäftliche und finanzielle Betrachtungen in Erwägung ziehen. Noch einmal – das Restrisiko sollte nochmal entsprechend den Risikovermeidungsmaßnahmen re- kalkuliert werden.

Verschiebung des Risikos durch Herausnahme einer angemessenen Versicherung oder Outsourcing des Managements von physischen Anlagen oder Businessprozessen.

Die Organisation, die das Risiko akzeptiert, sollte sich dessen bewusst sein und damit einverstanden sein, ihre Verpflichtungen zu erfüllen. Verträge mit Organisationen, die Leistungen outsourcen, sollten die spezifisch passenden Sicherheitsanforderungen erfüllen. Der Risikoplan wird dafür eingesetzt, die Risiken zu managen, indem man die geplanten und durchgeführten Maßnahmen identifiziert. Darüber hinaus sind die Zeitpläne für die Vervollständigung der ausstehenden Maßnahmen zu berücksichtigen. Die Planung sollte die Maßnahmen priorisieren und alle Verantwortlichkeiten und detaillierten Maßnahmenpläne enthalten.

Zertifizierung

Nicht alle Zertifizierungsunternehmen sind gleich. Wenn Sie mit einem Zertifizierungsunternehmen zusammenarbeiten, dann möchten Sie sichergehen, dass es durch eine nationale Akkreditierungsorganisation akkreditiert ist. Bei Lloyd´s ist das die UKAS ( United Kingdom Accreditation Service ). Besuchen Sie die Website ( www.ukas.com ), wenn Sie weitere Informationen über die Akkreditierung benötigen. Zertifizierung ist eine externe Bewertung Ihres Managementsystems. Sie bescheinigt, dass sie die Anforderungen der ISO 27001:2013- der internationalen Informationssicherheitsmanagement-Norm, gerecht werden. Die Wahl Ihrer Zertifizierungsgesellschaft wird ebenfalls eine Menge darüber aussagen, wie wichtig Sie Managementsysteme halten. Sie sollten eine Zertifizierungsgesellschaft auswählen, die Ihnen helfen kann Ihr Managementsystem so zu entwickeln, dass es sein ganzes Potential ausschöpfen kann. Alle LRQA – Auditoren durchlaufen einen rigorosen Auswahlprozess und Trainingsprogramm, dass von einem kontinuierlichen, permanenten persönlichen Entwicklungsplan begleitet wird. Das gibt Ihnen die Sicherheit, dass wenn Sie LRQA als Ihre Zertifizierungsgesellschaft auswählen, Sie die Sicherheit haben, einen gründlichen aber auch fairen Zertifizierungsprozess zu durchlaufen. Darüber hinaus unterstützen Sie damit den fortlaufenden Entwicklungsprozess Ihres Managementssystems. Darüber hinaus, da die LRQA Marke weltweit anerkannt ist, wird Ihre LRQA – Zertifizierung dafür sorgen, dass Einkäufer weltweit Vertrauen in Ihre ISO 27001 Zertifizierung und Ihr Managementsystem haben werden.

Warum sollte man LRQA wählen?

LRQA kann Sie bei der Verbesserung Ihrer Systeme und dem Management von Risiken unterstützen. LRQA hilft Ihnen Ihre jetzige und zukünftige Leistung der Organisation zu verbessern. Durch das Verständnis was wichtig für Ihre Organisation und Ihre Stakeholders ist, helfen wir Ihnen Ihr Managementsystem und Ihr Business zum selben Zeitpunkt zu verbessern.

Gedankliche Führung

Unsere Experten sind anerkannte Stimmen in der Industrie und nehmen regelmässig an Sitzungen technischer Kommitees teil, die Normen verbessern und entwickeln.

Technische Expertise

Das technische know – how und die Projektmanagement Expertise unserer weltweit anerkannten und hochausgebildeten ISMS – Experten stellt sicher, dass unsere Dienstleistungen an Ihre Geschäftsanforderungen anpassen.
Wir verbinden internationale Expertise, tiefe Einsicht in die Informationssicherheit mit“ first Class“ Projektmanagement – und Kommunikationsfähigkeit. Wir sind keine Aktiengesellschaft und daher unabhängig und unteilbar in Allem was wir tun. Wir sind dazu verpflichtet, zu jeder Zeit, integer und objektiv zu handeln. Weitere Informationen erhalten Sie unter Carl.Ebelshaeuser@lrqa.com oder +49 (0)221 96757700 oder http://www.lrqa.de/kontakt-und-info/anfrage-an-lrqa.aspx

Download unserer ISO 27001 Broschüre: http://www.lrqa.de/standards-und-richtlinien/iso-iec-27001/downloads/iso-27001-leitfaden.aspx

Lloyd´s Register Deutschland GmbH ( http://www.lrqa.de ) wurde 1985 gegründet und ist eine der international führenden Gesellschaften für die Auditierung von Managementsystemen und Risikomanagement. Lloyd´s bietet Schulungen und Zertifizierung von Managementsystemen mit Schwerpunkten in folgenden Bereichen: Qualität, Umweltschutz, Arbeitssicherheit, Energiemanagement, Auditierung von Lieferketten. Mit mehr als 45 Akkreditierungen und Niederlassungen in 40 Ländern kann Lloyd´s Auditierungen in 120 Ländern durchführen. Weltweit betreuen 2.500 Auditoren mehr als 45.000 Kunden. Lloyd´s Register wurde 1760 als erste Gesellschaft zur Schiffsklassifizierung gegründet und bietet heute Dienstleistungen im Bereich Risikomanagement. Die Lloyd´s Register Gruppe ist ein gemeinnütziges Unternehmen gemäß englischem Charity-Recht, d.h. die Gewinne werden für eine gemeinnützige Stiftung verwendet bzw. wieder direkt ins Unternehmen investiert. Hierdurch ist Lloyd´s register wirtschaftlich unabhängig. Weiter Information erhalten Sie durch info@lrqa.de oder 0221- 96757700. Den Lloyd´s -Newsletter erhalten Sie unter: http://www.lrqa.de/kontakt-und-info/news-abonnieren.aspx Weitere Infos unter: http://www.lrqa.de/standards-und-richtlinien/angebot-anfordern.aspx

Kontakt
Lloyd´s Register Deutschland GmbH
Carl Ebelshäuser
Adolf Grimme Allee 3
50829 Köln
+49 (0)221 96757700
info@lrqa.de
http://www.lrqa.de

Die Bildrechte liegen bei dem Verfasser der Mitteilung.

Pressemitteilungen

So schützen Sie Ihre Daten vor Hackern

ARAG Experten geben Tipps zum sicheren Surfen im Internet

So schützen Sie Ihre Daten vor Hackern

Nach dem Angriff auf Daten von Politikern und Prominenten stellt man sich die Frage: Wie sicher sind meine eigenen Daten? 53 Prozent der Internetuser haben nämlich bereits elektronisch gespeicherte Daten verloren, besagt eine repräsentative Umfrage vom Bundesamt für Sicherheit in der Informationstechnik (BSI). ARAG Experten geben aus gegebenem Anlass praktische Tipps zum Schutz Ihrer Daten.

Software aktuell halten
Halten Sie Ihre Software immer auf dem aktuellsten Stand. Das gilt für Computer- und Smartphone-Betriebssysteme, Ihren Browser, Office-Anwendungen und den Flash-Player. Hacker nutzen häufig Sicherheitslücken in der Software aus. Auch ein Virenschutzprogramm hilft, Ihr System vor schon bekannten Schädlingen zu schützen.

Hardware gegen Diebstahl und unbefugten Zugriff schützen
Wie viele Computer haben Sie zu Hause, welche Geräte hängen am Internet? Fernseher, Rauchmelder, Glühbirnen, vielleicht auch das Babyphone – all das kann angegriffen werden, wenn es internetfähig ist.

Sichern Sie drahtlose Netzwerke
In einem freien WLAN , wie es mittlerweile viele Gastronomen anbieten, können unter Umständen auch andere Gäste Ihren Datenverkehr mitlesen, weil offene Netzwerke oft unverschlüsselt sind. Um ganz sicherzugehen, dass Ihre Daten nicht einfach abgefischt werden, hilft ein sogenanntes Virtual Private Network (VPN), also ein vertrauenswürdiges virtuelles privates Netzwerk.

Zurückhaltung bei der Angabe persönlicher Daten
Mit Fake-Websites versuchen Kriminelle, zum Beispiel Kontodaten abzugreifen. Achten Sie daher darauf, ob Sie wirklich immer auf der richtigen Website sind. Klicken Sie zum Beispiel lieber nicht auf Links zu Bankseiten, sondern tippen Sie deren Adressen selbst in den Browser ein. Klicken Sie Fehlermeldungen nicht ungelesen weg.

Vorsicht bei E-Mails mit Anhängen
Achten Sie besonders auf Anhänge von E-Mails. Denn Schadprogramme, Spyware und ähnliches befinden sich nicht in der eigentlichen E-Mail, sondern immer in angehängten Dateien und werden beim Öffnen automatisch aktiviert. Öffnen Sie Anhänge nur, wenn Sie sicher sind, dass Sie den Absender kennen.

Soziale Netzwerke: Wenn sich Unbekannte melden
Gehen Sie mit Nachrichten von Unbekannten in sozialen Netzwerken vorsichtig um. Vorsicht auch beim Download von Software aus dem Internet. Prüfen Sie die Quelle nach bestem Wissen.

Passwörter nicht doppelt benutzen!
Das A&O der sicheren Kommunikation im Internet sind Ihre Passwörter. Verwenden Sie sie daher nie doppelt: Jeder E-Mail-Account bekommt ein eigenes Passwort! Das gleiche gilt für die verschiedenen Vorgänge. Ob Online-Buchung, Internet-Banking oder Download von E-Books: Legen Sie für jeden Vorgang ein eigenes Passwort an, sonst machen Sie es Angreifern sehr einfach. Benutzen Sie für sensible Daten, zum Beispiel beim Einkauf oder bein Internet-Banking immer starke, lange Passwörter. Denn unsichere Passwörter sind eine Einladung für Hacker und Internet-Betrüger. ARAG Experten geben hier Tipps für sichere Passwörter:

-Ein gutes Passwort besteht aus mindestens acht Zeichen.
-Es enthält Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen.
-Ungeeignet sind Geburtsdaten, der eigene Name, 123456… und das Wort „Passwort“.
-Verschiedene Zugänge sollten verschiedene Passwörter haben.
-Passwörter sollten öfter mal gewechselt werden; am besten alle 6-8 Wochen.

Download des Textes:
https://www.arag.de/service/infos-und-news/rechtstipps-und-gerichtsurteile/internet-und-computer/

Die ARAG ist das größte Familienunternehmen in der deutschen Assekuranz und versteht sich als vielseitiger Qualitätsversicherer. Neben ihrem Schwerpunkt im Rechtsschutzgeschäft bietet sie ihren Kunden in Deutschland auch attraktive, bedarfsorientierte Produkte und Services aus einer Hand in den Bereichen Komposit, Gesundheit und Vorsorge. Aktiv in insgesamt 17 Ländern – inklusive den USA und Kanada – nimmt die ARAG zudem über ihre internationalen Niederlassungen, Gesellschaften und Beteiligungen in vielen internationalen Märkten mit ihren Rechtsschutzversicherungen und Rechtsdienstleistungen eine führende Position ein. Mit mehr als 4.000 Mitarbeitern erwirtschaftet der Konzern ein Umsatz- und Beitragsvolumen von 1,6 Milliarden EUR.

ARAG SE ARAG Platz 1 40472 Düsseldorf Aufsichtsratsvorsitzender Gerd Peskes Vorstand Dr. Dr. h. c. Paul-Otto Faßbender (Vors.)
Dr. Renko Dirksen Dr. Matthias Maslaton Werner Nicoll Hanno Petersen Dr. Joerg Schwarze
Sitz und Registergericht Düsseldorf HRB 66846 USt-ID-Nr.: DE 119 355 995

Firmenkontakt
ARAG SE
Brigitta Mehring
ARAG Platz 1
40472 Düsseldorf
0211-963 2560
0211-963 2025
brigitta.mehring@arag.de
http://www.ARAG.de

Pressekontakt
redaktion neunundzwanzig
Thomas Heidorn
Lindenstraße 14
50764 Köln
0221 92428-215
0221 92428-219
thomas@redaktionneunundzwanzig.de
http://www.ARAG.de

Pressemitteilungen

Lukratives Weihnachtsgeschäft für Cyberkriminelle

Mit Beginn der „Black Friday“-Woche fällt nach Angaben von Digital Shadows auch der Startschuss für Kreditkartenbetrug, Denial of Service-Angriffe & Co

Lukratives Weihnachtsgeschäft für Cyberkriminelle

München, 22. November 2018 – Süßer die Kassen nie klingeln – das Weihnachtsgeschäft soll 2018 erstmals die 100 Mrd. Euro Marke durchbrechen. Stärkster Umsatztreiber ist laut Handelsverband Deutschland (HDE) auch in diesem Jahr der E-Commerce, der allein in November und Dezember gut ein Viertel seines Jahresumsatzes erzielt. Davon wollen auch Cyberkriminelle profitieren. Digital Shadows, Anbieter von Lösungen zum digitalen Risikomanagement und Threat Intelligence, fasst die gefährlichsten Bedrohungen für den Einzelhandel zusammen.

– „Einkaufsliste“ und Betrugs-Tutorials im Internet
Die Hochsaison für Cyberkriminelle beginnt am „Black Friday“ und endet erst dann, wenn die letzten Geschenke umgetauscht werden. Im Vorfeld werden daher zunächst vielversprechende Ziele ausgespäht und auf einer Art Hitliste festgehalten. Diese erstreckt sich von unzureichend gesicherten Online-Shops, deren kompromittierte Kunden- oder Mitarbeiterdaten im Web angeboten werden, bis hin zu begehrten Artikeln wie Mobiltelefone, Laptops und Markenartikel mit hohem Wiederverkaufswert. Im Mileu der Kreditkartenbetrüger hat sich daher ein eigener Markt etabliert, der weniger versierten Angreifern Tutorials anbietet, die speziell auf bestimmte Einzelhändler zugeschnitten sind – darunter auch eBay, Walmart oder Nike (Bild 1).

– Kreditkartendaten per Malware
Sind die Ziele identifziert, geht es ans Sammeln von Kreditkartendaten. Um an die wertvollen Daten zu gelangen, schleussen Angreifer Malware ein, zum Beispiel in Bezahlsysteme am Point-of-Sales oder direkt in Online-Shops. Erst kürzlich infizierte die Malware Megacart über ein Plug-In des US-Webunternehmens „Shopper Approved“ die Webseiten von mehreren Kunden. Die Lösung erlaubt es, E-Commerce-Anbieter Kunden- und Produktbewertungen auf ihrer Webseite zu sammeln. Wurde das Plug-in auf der Zahlungsseite installiert, konnten Angreifer über die Malware die Kreditkartendaten der Käufer abgreifen.

Ähnlich wie im Einzelhandel werben darüber hinaus auch Cyberkriminelle mit Sonderangeboten zur Weihnachtszeit. Im Messenger-Dienst Telegram läutete ein Gruppen-Administrator beispielsweise den Beginn der „Black Friday“-Shoppingwoche mit einem Angebot für brandneue, kompromittierte Kreditkartendaten ein.

– Card-Not-Present (CNP)
Die erbeuteten Kreditkartendaten eignen sich insbesondere für Card-Not-Present-Transaktion (CNP). Bei diesen Zahlungen muss die Karte zum Zeitpunkt der Bestellung nicht physisch vorgelegt werden, so dass es für Händler schwierig ist, die echte Identität des Karteninhabers zu überprüfen. Betrüger suchen daher gezielt Online-Shops auf, die nur ein Minimum an Validierung voraussetzen und unter anderem auf sogenannten „cardable“ Seiten als profitable Angriffsziele gelistet werden. Nach Schätzungen wird durch CNP-Betrug in den nächsten fünf Jahren weltweit ein Schaden von mehr als 71 Mrd US-Dollar entstehen.

– Missbrauch von Kundenkonten
Ein anderer Weg führt über das Konto von Kunden. Kompromittierte und im Dark Web erhältliche Benutzernamen- und Passwortkombinationen werden beispielsweise automatisch so lange auf Anmeldeseiten ausprobiert, bis eine Übereinstimmung gefunden ist (Credential Stuffing). Die Chancen dafür sind hoch. Bei Nachforschung stieß Digital Shadows im letzten Jahr auf insgesamt 164.991 kompromittierte Zugangsdaten von Drittanbietern im Bereich Retail.

– DDoS zur Hochsaison
Neben betrügerischen Transkationen über gestohlene Kreditkarten und gehackten Kundenkunden steigt zudem das Risiko von Denial of Service (DDos)-Angriffen, die Webseiten und Onlineshops stören oder ganz lahmlegen. Denn gerade während des umsatzstarken Weihnachtsgeschäfts sind Anbieter eher gewillt, das geforderte Lösegeld möglichst schnell zu bezahlen. 2017 wurden so zahlreiche E-Commerce Seiten in Deutschland Angriffsziel von „Stealth Ravens“. Der unbekannte Akteur drohte mit DDoS-Attacken und verlangte rund 5 Bitcoins (ca. 20.000 Euro).

„Der Onlinehandel sieht sich immer mit Cyberbedrohungen konfrontiert. In der Weihnachtszeit nehmen diese Risiken jedoch eine neue Dimension an – denn das Geschäft ist dann auch für potentielle Angreifer besonders lukrativ“, erklärt Stefan Bange, Country Manager Deutschland bei Digital Shadows. „Händler brauchen grundlegende Schutzmaßnahmen, die von der Kartenprüfnummer bis hin zu 3-D Secure-Authentifizierung reichen. Darüber hinaus lohnt sich ein Blick auf aktuelle Trends in der Hackerszene, um beispielsweise einem geplanten Angriff zuvorzukommen. Nur wenn eine Sicherheitsstrategie auf meheren Ebenen umgesetzt wird, kann sie auch wirksam sein.“

ÜBER DIGITAL SHADOWS:
Digital Shadows ermöglicht es, digitale Risiken zu managen, externe Bedrohungen für Unternehmen und ihrer Marke zu erkennen und Gefahren abzuwenden. Digital Shadows beobachtet umfassend Quellen im Open, Deep und Dark Web und gibt Sicherheitsverantwortlichen in Unternehmen individuelle Informationen über die aktuelle Bedrohungs- und Risikolage sowie entsprechende Abwehrmaßnahmen an die Hand. Ob ungewollt öffentlich gewordene Daten, Gefahren durch Mitarbeiter und Dritte oder Markenrechtsverletzungen – Kunden bleiben geschützt und können sich ganz auf ihr Kerngeschäft konzentrieren. Weitere Informationen finden Sie im Internet unter http://www.digitalshadows.com

Firmenkontakt
Digital Shadows
Birgit Fuchs-Laine
Prinzregentenstraße 89
81675 München
089 41776113
digitalshadows@lucyturpin.com
https://www.digitalshadows.com/

Pressekontakt
Lucy Turpin Communications GmbH
Birgit Fuchs-Laine
Prinzregentenstrasse 89
81675 München
089 41776113
digitalshadows@lucyturpin.com
http://www.lucyturpin.com

Pressemitteilungen

12,5 Millionen E-Mail-Archivdateien frei zugänglich im Netz

Laut Digital Shadows steigt das Angebot für Business Email Compromises (BEC) as-a-Service, wobei Finanzabteilungen verstärkt in die Schusslinie geraten

12,5 Millionen E-Mail-Archivdateien frei zugänglich im Netz

Screenshot: Gebrauchsanweisung für BEC-Angriffe

München, 5. Oktober 2018 – Digital Shadows, Anbieter von Lösungen zum digitalen Risikomanagement und Threat Intelligence, entlarvt in einem neuem Report “ Pst! Cybercriminals on the Outlook for Your Emails“ die unterschiedlichen Methoden bei BEC (Business Email Compromise)-Angriffen. Neben Phising-Angriffen profitieren Cyberkriminellen demnach auch von der großen Menge an öffentlich zugänglichen E-Mail-Posteingängen und Archivdateien.

Digital Shadows entdeckte eine Vielzahl an ungeschützten E-Mail-Postfächer von Unternehmen im Netz, darunter 12,5 Millionen E-Mail-Archivdateien (.eml, .msg, .pst, .ost, .mbox), die über falsch konfigurierte rsync-, FTP-, SMB-, S3-Buckets und NAS-Laufwerke öffentlich zugänglich sind. Durch die unsachgemäße Sicherung der Archive legen Mitarbeiter und Auftragnehmer unwissentlich sensible, persönliche und finanzielle Informationen offen. So fanden die Analysten beispielsweise 27.000 Rechnungen, 7.000 Auftragsbestellungen und 21.000 Zahlungsbelege. Cyberkriminelle nutzen diese Informationen, um über gefälschte E-Mails Kunden und Mitarbeiter dazu zu bewegen, Zahlungen zu tätigen. In anderen Fällen übernehmen die Hacker die Identität des Kontoinhabers und führen von dort ihre Betrugsmaschen aus. Laut FBI beläuft sich der weltweite Schaden von BEC-Angriffe allein in den letzten fünf Jahren auf über 12 Milliarden US-Dollar.

Vor allem Finanzabteilungen in Unternehmen stehen in der Schusslinie: Insgesamt 33.568 E-Mail-Adressen von Finanzmitarbeitern, die über Datenleaks Dritter offengelegt wurden, zirkulieren auf kriminellen Foren und werden dort zum Verkauf angeboten. Bei 83% (27.992) dieser E-Mail-Adressen sind die entsprechenden Passwörtern miterhältlich. Digital Shadows stieß zudem auf Cyberkriminelle, die gezielt geleakte Firmen-E-Mails nach gängige Buchhaltungsdomänen wie „ap@“, „ar@“, „accounting@“, „accountreceivable@“, „accountpayable@“ und „invoice@“ suchten. Diese Zugangsdaten gelten als so wertvoll, dass eine einzige Kombination aus Benutzername und Passwort bis zu 5.000 US-Dollar kostet.

Darüber hinaus stellte Digital Shadows ein floriendes Geschäft mit BEC-as-a-Service fest. Die buchbaren Hackerangriffe sind ab 150 US-Dollar erhältlich und versprechen erste Ergebnisse innerhalb von einer Woche. Alternativ bieten einige Cyberkriminelle als Austausch für den Zugang zu firmeneignenen E-Mail-Accounts auch einen prozentualen Anteil am erbeuteten Umsatz. Digital Shadows gelang es, über den Messaging-Dienst Jabber Kontakt zu einem Cyberkriminellen herzustellen, der gezielt Unternehmen in der Bauindustrie angreift und dabei Vulnerabilities in der E-Mail ausnutzt. Dabei versprach der Anbieter bei einer Zusammenarbeit 20% der erbeuteten Gesamtsumme

„Phishing ist zwar nach wie vor ein ernstes Problem, es ist aber nicht die einzige Methode, die sich Kriminelle bei BEC-Angriffen zu Nutze machen“, erklärt Rick Holland, Chief Information Security Officer bei Digital Shadows. „Millionen von sensiblen Unternehmens, einschließlich E-Mails und Passwörter, sind längst online zu finden. Damit wird es den Cyberkriminellen leicht gemacht, ganze E-Mail-Postfächer und Buchhaltungsdaten aufzuspüren und für ihre Betrugsmaschen zu nutzen. Das Geschäft mit solchen vertraulichen Daten lohnt sich so sehr, dass Cyberkriminelle noch stärker zusammenarbeiten und aktiv nach Partnern suchen, um gezielt Unternehmen ins Visier zu nehmen.“

Gänzlich verhindern lassen sich BEC-Angriffe wohl nicht. Trotzdem können Unternehmen interne Sicherheitprozesse verschärfen, um den Zugang auf ihre Daten auf ein Minimum zu beschränken. Digital Shadows empfiehlt dabei sieben Schritte zur Risikominimierung:

1. Regelmäßige Sicherheitsschulungen, um das Bewustsein von Mitarbeitern für BEC zu schärfen.
2. Aufnahme von BEC in Notfällpläne (Incident Response) und in die Geschäftskontinuitätsplanung.
3. Zusammenarbeit mit Anbietern von elektronischen Überweisungssystemen, um manuelle Kontrollen sowie Mehrfachauthentifizierung beim Transfer großer Beträgen einzurichten.
4. Monitoring nach geleakten Unternehmensdaten, insbesondere mit Bezug auf Finanzabteilugnen.
5. Kontinuierliche Überprüfung des digitalen Fußabrucks der Geschäftsführung (z. B. Google Alert), um hoch-personalisierte Angriffe frühzeitig abzufangen.
6. Zuverlässige Absicherung von E-Mail-Archiven.
7. Risiken durch Dritte (z. B. Auftragnehmer, Partner) berücksichtigen, insbesonders bei der Speicherung von E-Mails auf Network Attached Storage (NAS)-Geräten. Empfohlen wird das Hinzufügen eines Passworts, das Deaktivieren von anonymen oder Gast-Zugriffen sowie sichere NAS-Geräte.

Den vollständigen Report “ Pst! Cybercriminals on the Outlook for Your Emails“ finden Sie hier zum Download.

ÜBER DIGITAL SHADOWS:
Digital Shadows ermöglicht es, digitale Risiken zu managen, externe Bedrohungen für Unternehmen und ihrer Marke zu erkennen und Gefahren abzuwenden. Digital Shadows beobachtet umfassend Quellen im Open, Deep und Dark Web und gibt Sicherheitsverantwortlichen in Unternehmen individuelle Informationen über die aktuelle Bedrohungs- und Risikolage sowie entsprechende Abwehrmaßnahmen an die Hand. Ob ungewollt öffentlich gewordene Daten, Gefahren durch Mitarbeiter und Dritte oder Markenrechtsverletzungen – Kunden bleiben geschützt und können sich ganz auf ihr Kerngeschäft konzentrieren. Weitere Informationen finden Sie im Internet unter http://www.digitalshadows.com

Firmenkontakt
Digital Shadows
Birgit Fuchs-Laine
Prinzregentenstraße 89
81675 München
089 41776113
digitalshadows@lucyturpin.com
https://www.digitalshadows.com/

Pressekontakt
Lucy Turpin Communications GmbH
Birgit Fuchs-Laine
Prinzregentenstrasse 89
81675 München
089 41776113
digitalshadows@lucyturpin.com
http://www.lucyturpin.com

Pressemitteilungen

Black Hat-Umfrage von Thycotic enthüllt die beliebtesten Einfallstore der Hacker

Black Hat-Umfrage von Thycotic enthüllt die beliebtesten Einfallstore der Hacker

Thycotic Black Hat Hacker Survey 2018

Obwohl Microsoft seine Cybersicherheit in den letzten Jahren massiv ausgebaut hat, sind vor allem die Betriebssysteme Windows 10 und Windows 8 für Hacker nach wie vor leicht zu kompromittieren, wie der aktuelle 2018 Black Hat Hacker Survey des PAM-Spezialisten Thycotic nun offenbart. 50 Prozent der befragten Hacker gaben demnach an, in den letzten zwölf Monaten am häufigsten Windows 10 bzw. 8 infiltriert zu haben. Ein beliebter Angriffsvektor war dabei Social Engineering, aber auch vermeidbare Nachlässigkeiten wie zu weit gefasst Zugriffsrechte oder nicht geänderte Herstellerpasswörter spielten den Hackern in die Hände.

Für den 2018 Black Hat Hacker Report befragte Thycotic im Rahmen der diesjährigen Security-Konferenz Black Hat in Las Vegas insgesamt 300 Hacker zu ihren bevorzugten Angriffszielen, leicht zu kompromittierenden Systemen und beliebten Angriffsvektoren. Bei 70 Prozent der Befragten handelte es sich dabei um so genannte White-Hat-Hacker, d.h. Sicherheitsexperten, die für Unternehmen nach Sicherheitslücken und Schwachstellen suchen, um ihre IT-Sicherheit zu optimieren.

Die wichtigsten Ergebnisse des Reports im Überblick:

– 26 Prozent der befragten Hacker gaben an, am häufigsten Windows 10 infiltriert zu haben. 22 Prozent hackten wiederum vorrangig Windows 8, gefolgt von 18 Prozent, die es vor allem auf Linux abgesehen haben. Für Mac OS lag der Anteil bei weniger als fünf Prozent.
– Social Engineering ist laut 56 Prozent der Befragten die schnellste Methode, um Netzwerke zu infiltrieren.
– Die zwei beliebtesten Methoden beim Erlangen von privilegierten Berechtigungen sind das Verwenden von Standard-Herstellerkennwörtern (22%) sowie das Ausnutzen von Anwendungs- und Betriebssystemschwachstellen (20%).

91 Prozent der Hacker kompromittieren Windows-Umgebungen trotz GPO-Richtlinien

Die Sicherheit der Betriebssysteme hängt von den entsprechenden Konfigurationen ab sowie dem Verhalten, das die Nutzer an den Tag legen. Dessen müssen sich Unternehmen bewusst sein. Das einzig wirksame Mittel, um eine Kompromittierung von Benutzerkonten zu verhindern, ist deshalb die konsequente Eindämmung zu weitgefasster Zugriffsrechte – insbesondere bei privilegierten Konten wie Administrator-, Server- oder Datenbank-Accounts, die umfassende Datenzugriffe oder weitreichende Systemeinstellungen erlauben. Viele Unternehmen setzen auf Group Policy Objects (GPO), um die Verwaltung, Konfiguration und Sicherheit von mit der Windows-Domain-verbundenen Geräten zu zentralisieren. Diese GPO-Richtlinien sind als Sicherheitskontrolle jedoch nur bedingt zu empfehlen, da diese von Angreifern leicht umgangen werden können, wie 91 Prozent der von Thycotic befragten Hacker auch bestätigten.

74 Prozent der Unternehmen scheitern bei der Umsetzung einer Least Privilege Policy

„Der Black Hat Hacker Report 2018 zeigt, dass unsere Betriebssysteme und Endpunkte nach wie vor sehr anfällig sind für Bedrohungen, die von Hackern und Cyberkriminellen ausgehen“, so Markus Kahmen, Regional Director CE bei Thycotic. „Indem Unternehmen eine Strategie der minimalen Rechtevergabe umsetzen und diese mit anderen Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierung, Verhaltensanalyse und Privileged Account Protection kombinieren, sind sie jedoch in der Lage, ein effektives und dynamisches Sicherheitsniveau aufzubauen und aufrechtzuerhalten, das Cyberkriminelle davon abhält, ihre IT-Umgebungen zu missbrauchen.“

Bei der Umsetzung einer Least Privilege Policy gibt es in vielen Unternehmen jedoch nach wie vor großen Nachholbedarf. Wie die befragten Hacker berichteten, sind rund drei Viertel der Unternehmen (74%) bei der Implementierung von Zugriffsrechten auf Basis einer minimalen Rechtevergabe überfordert. Damit einher geht ein schlechter Passwortschutz, der Diebstahl von Zugriffsdaten und letztlich eine Erhöhung von Berechtigungen, die es Cyberkriminellen ermöglicht, administrative Kontrollen zu übernehmen und das Netzwerk zu erobern.

Thycotic ist der am schnellsten wachsende Anbieter von Privileged Account Management-Lösungen, die die wertvollsten Ressourcen eines Unternehmens vor Cyber-Angriffen und Insider-Bedrohungen schützen. Thycotic sichert privilegierten Kontozugriff für mehr als 10.000 Unternehmen weltweit, einschließlich Fortune 500-Unternehmen. Die preisgekrönten Privilege Management Security-Lösungen von Thycotic minimieren das Risiko von Exploits privilegierter Berechtigungen, begrenzen die Benutzerrechte und kontrollieren Anwendungen auf Endgeräten und Servern. Thycotic wurde 1996 mit Hauptsitz in Washington D.C. und weltweiten Niederlassungen in Großbritannien und Australien gegründet. Weitere Informationen unter www.thycotic.com

Firmenkontakt
Thycotic
Anna Michniewska
Aldwych House 71-91
WC2B 4HN London
+44 (0) 1777-712603
anna.michniewska@thycotic.com
http://www.thycotic.com

Pressekontakt
Weissenbach PR
Dorothea Keck
Nymphenburger Straße 90e
80636 München
089 55067770
thycotic@weissenbach-pr.de
http://www.weissenbach-pr.de