Passwörter müs­sen stets lang (min­de­stens 8 Zeichen) und kom­plex (Groß‐ und Kleinbuchstaben, Sonderzeichen und Zahlen) sein. Dazu bit­te ein Wechselintervall von 90 Tagen und für jede Anmeldung ein ande­res Passwort. Steht so in den mei­sten Richtlinien, Dienstanweisungen und Betriebsvereinbarungen die­ser Welt.

Das Bundesamt für Sicherheit in der Informationstechnik (kurz BSI) beschreibt die­se Vorgaben bei­spiels­wei­se in den Maßnahmen M 2.11 (Regelungen des Passwortgebrauchs) oder auch M 4.48 (Passwortschutz unter Windows) des IT‐Grundschutzkatalogs. Und in vie­len Fällen gilt der BSI IT‐Grundschutzkatalog als das Maß aller Dinge bei Auditoren und Prüfern.

Passwort‐Mythen

Doch wer­fen wir mal einen Blick auf die Details die­ser Vorgaben und deren Sinnhaftigkeit.  Klar ist, tri­via­le Passwörter wie “123456”, “QWERTZ” oder “pass­wort” soll­ten sich eben­so aus­schlie­ßen wie die Namen der Familienangehörigen oder Haustiere. Diese sind dank Google und der akti­ven Unterstützung durch die stets miß­ver­ständ­li­chen Privatsphäre‐Einstellungen sozia­ler Netzwerke dann doch zu leicht her­aus­zu­fin­den.

Anders sieht es jedoch schon bei den Empfehlungen des BSI bei der zu wäh­len­den Passwort‐Länge aus. Das BSI emp­fiehlt 8 Stellen oder mehr, nur in begrenz­ten Ausnahmefällen 6 Stellen. In der Maßnahme 4.48 ist sogar von 14 Stellen und mehr für Verwaltungsaccounts die Rede.

Haben Sie sich schon mal gefragt, wie­so Banken für die Absicherung von EC‐ und Kreditkarten nur auf 4 Zahlen PIN set­zen? Machen die­se denn kein Risikomanagement? Na klar machen sie das, jeden Tag und das sogar sehr erfolg­reich. Dreimalige Falscheingabe und die Karte ist gesperrt, der Missbrauch aus­ge­schlos­sen. Schutzziel erreicht!

Also wie­so dann bei einem sol­chen Bedrohungsszenario stur auf ein Passwort unter den ein­gangs genann­ten Regelungen bestehen? Sinnfrei, oder? Drei oder eini­ge mehr Fehlversuche und dann ist Schluss. Übertragen auf den mit einer sol­chen Sperre aus­ge­stat­te­ten Benutzeraccount: Mehrmalige Falschanmeldung und der Benutzeraccount ist gesperrt und / oder wird erst nach eini­ger Verzögerung wie­der zur erneu­ten Anmeldung frei­ge­ge­ben. Der Benutzer merkt es (sofern er die Sperrung nicht selbst ver­ur­sacht hat) beim näch­sten Anmelden. Die IT erhält über das Systemprotokoll eben­falls einen Hinweis über die­sen “Versuch”, kann prü­fen und ange­mes­sen reagie­ren. Schutzziel erreicht! Dies funk­tio­niert zumin­dest bei Accounts, die mit einer sol­chen Sperre und / oder Verzögerung aus­ge­stat­tet wer­den kön­nen. In der Praxis wür­de sich auch eine Kombination anbie­ten (nach 3 Fehlversuchen Verzögerung, nach wei­te­ren x Fehlversuchen Sperrung), dies wäre im Einzelfall aus­zu­pro­bie­ren. Für Offline‐Angriffe (bei­spiels­wei­se Dokumenten‐Passwörter) müs­sen selbst­ver­ständ­lich gehär­te­te Passwörter mit ent­spre­chen­der Länge und Komplexität gewählt wer­den.

Und da haben wir auch schon das näch­ste Stichwort: Wie sieht es mit dem Thema Passwort‐Komplexität aus? Nach der Länge eines Passworts scheint die Komplexität den mei­sten Schutz zu bie­ten, glaubt man den Verfechtern die­ser Theorie. Generell steigt der Aufwand zum Erraten (oder Knacken) eines Passworts mit der Vergrößerung des Suchraums. Daher wer­den neben den 52 Zeichen des Alphabets (groß‐ und klein­ge­schrie­ben) die zehn Ziffern 0 bis 9 sowie die 22 übli­chen Sonderzeichen hin­zu­ge­nom­men. Schwenken wir kurz in die Mathematik und schau­en, wie­vie­le Varianten sich im Vergleich erge­ben:

  • 2,5 * 1015  mög­li­che Varianten für ein Passwort mit 8 Stellen mit Groß‐ und Kleinbuchstaben, Ziffern und Sonderzeichen
  • 2,8 * 1015  mög­li­che Varianten für ein Passwort mit 9 Stellen und nur mit Buchstaben

Auf einen Blick ist zu erken­nen, der Suchraum wird mit einer Stelle mehr viel höher als durch die Beibehaltung der Länge und dem Hinzufügen einer Komplexität. Noch Fragen?

Ok, aber der regel­mä­ßi­ge Passwort‐Wechsel, das ist sicher, das müs­sen wir so machen! Warum? [Anmerkung des Autors: “Eine mei­ner Lieblingsfragen!”] Wenn sich die Passwort‐Strategie in mei­ner Organisation an der Bedrohungslage und den mög­li­chen Angriffsszenarien aus­rich­tet, gibt es weni­ge Anlässe, zu denen ein Passwort zu wech­seln ist:

  • Passwort wur­de aus­ge­späht
  • Passwort wur­de unzu­läs­si­ger­wei­se an eine Kollegin oder einen Kollegen wei­ter­ge­ge­ben
  • Bei der Erstkonfiguration, also dem Ändern vor­ein­ge­stell­ter Passwörter

Salopp: Besteht der Verdacht, ein Passwort wur­de kom­pro­mit­tiert, dann wird es gewech­selt. Doch die Praxis sieht anders aus, Wechselintervalle von alle 90–120 Tage sind die Regel. Wie reagiert der Anwender? Genervt. Und das zu Recht. Lesen Sie ger­ne mehr zum Thema (exter­ner Link Ars Technica 2016).

Dann brau­chen wir aber unbe­dingt die Vermeidung von ein‐ und dem­sel­ben Passwort für meh­re­re Anmeldungen! Warum? :-) Müssten dann nicht Vorgehensweisen wie das Single‐Sign‐on (M 4.498 BSI) von vorn­her­ein aus Schutzgründen abge­lehnt wer­den? Auch hier gilt es erneut, dif­fe­ren­zier­ter vor­zu­ge­hen. Bei inter­nen Anmeldeverfahren mit ent­spre­chen­den Schutzmöglichkeiten (sie­he Passwort‐Komplexität) gibt es kei­nen nach­voll­zieh­ba­ren Grund für unter­schied­li­che Passwörter. Hier macht bei­spiels­wei­se Single‐Sign‐on auch Sinn. Für Anmeldeverfahren außer Haus wie bei­spiels­wei­se Cloud‐Services und Online‐Shops soll­te jedoch nicht das “inter­ne” Passwort zum Einsatz kom­men. Dafür emp­fiehlt sich in der Tat die Nutzung ande­rer Passwörter mit ent­spre­chen­den Vorschriften in Bezug auf Länge und Wechsel. Eine Faustregel für exter­ne Passwörter kann lau­ten “Jeder Betreiber / Anbieter erhält ein eige­nes Passwort”.

2FA — Zwei‐Faktor‐Authentifizierung oder auch Multi‐Faktor‐Authentifizierung

Immer öfter fin­det sich in der prak­ti­schen Anwendung die 2FA zur wei­te­ren Absicherung in Verbindung mit den Klassikern Nutzername und Passwort. Gängige Möglichkeiten (nicht voll­stän­dig): zeit­ba­sier­ter Code (Software‐ oder Hardware‐Tokens), Chipkarten, Transponder, zusätz­li­che Einmal‐Passwörter oder bio­me­tri­sche Zugangsdaten (Fingerabdruck, FaceID, Augenscanner etc.).

Passwort‐Richtlinien in der Praxis

Sie ner­ven unge­mein! Da die wenig­sten Richtlinien sich mit den Sachverhalten der Angriffsszenarien und Bedrohungen aus­ein­an­der­set­zen, wird hier meist mit “Schema F” gear­bei­tet. Haben wir ja auch schon immer so gemacht. Hat sich ja bewährt. Fragen Sie mal Ihre Anwender! Die haben über Jahre ihre Mittel und Wege gefun­den, um mit dem so beque­men Thema nach “Schema F” umzu­ge­hen. Nämlich ihr eige­nes “Schema F”. Passwörter wer­den auf­ge­schrie­ben, mun­ter getauscht, ent­hal­ten nume­ri­sche Sequenzen zum Hochzählen zur Umgehung der Generationenpasswörter, fügen bei jedem Wechsel das näch­ste Sonderzeichen auf der Tastatur am Anfang oder Ende des Passworts ein und … und … und … Und Sie glau­ben, das ist sicher?

Informationssicherheit wird immer wich­ti­ger

Neben allen recht­li­chen Auflagen zur Informationssicherheit, der IT‐Sicherheit und dem Datenschutz wird es immer wich­ti­ger, zur Absicherung der eige­nen Organisation bis­he­ri­ge Vorgehensweisen auf den Prüfstand zu stel­len, bei Bedarf anzu­pas­sen oder bei Nichtvorhandensein ent­spre­chend ein­zu­füh­ren. Das Thema wird immer kom­ple­xer, die Bedrohungen und Risiken immer mehr.

Ohne Ihre Anwender ste­hen Sie auf ver­lo­re­nem Posten. Sie brau­chen deren Unterstützung, damit neben zahl­rei­chen Richtlinien und Anweisungen das Thema Sicherheit in Ihrer Organisation wirk­lich gelebt wird und nicht nur auf dem Papier steht. Feilschen Sie dar­um! Wie jetzt? Ja, feil­schen Sie dar­um! Fordern Sie die Unterstützung Ihrer Mitarbeiter ein und bie­ten dafür im Gegenzug pra­xis­ge­rech­te Regelungen, die den Arbeitsalltag nicht noch schwe­rer machen als bis­her. Mehr Unterstützung (z.B. beim manu­el­len Logout aus Systemen bei Abwesenheit oder der rich­ti­gen Entsorgung von Daten) sei­tens der Mitarbeiter und dafür im Gegenzug eine prak­ti­ka­ble Passwort‐Richtlinie, die nicht die Gängelung der Mitarbeiter im Vordergrund hat, son­dern Lösungen anbie­tet. Klappt! Glauben Sie nicht? Probieren Sie es aus! Wir machen die Erfahrung immer wie­der auf’s Neue bei unse­ren Kunden.

Danke an Dirk Fox und Frank Schaefer, die die­ses Thema bereits 2009 beleuch­tet haben. Dies ist ein neu­er Anlauf, um etwas Schwung rein­zu­brin­gen.

Sie sehen das ganz anders? Wir freu­en uns auf eine rege Diskussion.

Update 28.11.2018: Ergänzung um MFA/2FA

Mittels Brute‐Force‐Attacken ver­schaf­fen sich Hacker aktu­ell Zugriff auf den Admin‐Bereich von Online‐Shops, wel­che die Software Magento nut­zen. Dabei wird ein Javascript‐Code ein­ge­fügt, der ab sofort in Echtzeit die Eingabedaten der Shop‐Kunden mit­schreibt und an einen Server in Russland über­trägt. Darin sind die Zahlungsinformationen ent­hal­ten, die dann miß­braucht wer­den kön­nen.

Informationen, wie Sie als Magento‐Shopbetreiber den besag­ten Schadcode iden­ti­fi­zie­ren kön­nen, fin­den Sie im Sicherheitsbeitrag des Entdeckers die­ses Problems. Der Autor gibt dar­in gleich wei­te­re Tipps zur Absicherung wie die Vergabe gehär­te­ter Admin‐Passwörter und vie­le mehr.

Da die­ser Angriff eine mel­de­pflich­ti­ge Datenpanne im Sinne der DSGVO dar­stellt und sich durch den Mißbrauch von Zahlungsinformationen schnell hohe Schadensersatzbeträge auf­sum­mie­ren kön­nen, soll­ten Sie als Magento‐Shopbetreiber zeit­nah prü­fen, ob Ihr Server ent­spre­chend mani­pu­liert wur­de. Mehrere tau­send infi­zier­te Shops sind bereits bekannt.

Allen Nutzern des belieb­ten Content‐Management‐Systems WordPress wird emp­foh­len, das Update auf Version 4.9.4 umge­hend manu­ell ein­zu­spie­len. Das vor­he­ri­ge Update auf Version 4.9.3 war feh­ler­haft und hat die auto­ma­ti­sche Aktualisierung von WordPress abge­schos­sen. Somit wer­den nach Version 4.9.3 kei­ne Fixes Sicherheitslücken mehr auto­ma­tisch ein­ge­spielt. Abhilfe schafft aus­schließ­lich das manu­el­le Update auf 4.9.4 im Backend. Nur so wer­den auch zukünf­ti­ge auto­ma­ti­sche Aktualisierungen sicher­ge­stellt. Nutzer von WordPress soll­ten die­sen Fehler umge­hend manu­ell behe­ben.

Laut CERT BUND sind alle Versionen des belieb­ten Browsers Firefox vor Version 58.0.1 von einer kri­ti­schen Sicherheitslücke betrof­fen. Bereits der Besuch einer prä­pa­rier­ten Webseite reicht aus, um Schadcode auf den PC des Besuchers zu brin­gen und auzu­füh­ren. Es wird drin­gend gera­ten, das Update auf die Version 58.0.1 zeit­nah durch­zu­füh­ren. Im Zweifel manu­ell anst0ßen, nicht auf das Auto‐Update war­ten.

Ausgenommen von der Lücke sind wohl Firefox for Android und Firefox ESR.

 

Seit gerau­mer Zeit rumort es in Anwaltskreisen. Grund ist das beson­de­re elek­tro­ni­sche Postfach, kurz beA genannt. Dies soll­te eigent­lich zum 01.01.2018 ver­pflich­tend zum Einsatz kom­men. Doch dar­aus wur­de nichts. Was mit der Entdeckung eines falsch zur Verfügung gestell­ten Zertifikats Ende 2017 begann (der pri­va­te Schlüssel wur­de mit ver­teilt), fin­det nun sei­nen Höhepunkt. Die Bundesrechtsanwaltskammer (BRAK) emp­fiehlt in einer Pressemeldung die Client Security zu deak­ti­vie­ren, bes­ser den Client gleich kom­plett zu deinstal­lie­ren. Wie es dazu kom­men konn­te, das trotz angeb­li­cher Sicherheitsüberprüfungen ein unsi­che­res Produkt an die Rechtsanwaltszunft ver­teilt wur­de, klärt die Pressemeldung nicht auf.

BRAK‐Vizepräsident Abend erklärt, das “beA erst dann wie­der in Betrieb gehen wird, wenn alle rele­van­ten Sicherheitsfragen geklärt sind.”

Liebe Leser und Leserinnen unse­res Informationssicherheits‐Blogs, lie­be Interessenten, Kunden und Geschäftspartner!

2018 hält für für jeden von uns Überraschungen und Neuerungen parat. Unternehmen und Behörden berei­ten sich auf die EU Datenschutz‐Grundverordnung vor. Im Kielwasser der DS‐GVO zieht das Thema Informationssicherheit nach. Veränderungen in gewohn­ten Arbeitsweisen wer­den die Folge sein. Der Mensch mag nicht immer die Veränderung, gro­ße Herausforderungen ste­hen daher bevor. Doch auch im Privaten wird es Höhen und Tiefen geben. Kinder und Enkelkinder tre­ten bei dem einen oder ande­ren ins Leben, bei ande­ren wird der Verlust von Angehörigen eine nicht zu schlie­ßen­de Lücke rei­ßen. Doch das Leben wird wei­ter­ge­hen, auch wenn es einem im letzt­ge­nann­ten Fall lan­ge nicht so erschei­nen mag.

Nutzen Sie bit­te die geruh­sa­me Zeit “zwi­schen den Jahren” und zum Neujahrsanfang, um Zeit mit Ihren Lieben und Freunden zu ver­brin­gen. Finden Sie Ruhe und holen Sie Luft, für alles, was 2018 für jeden von uns bereit­hal­ten wird. Herzlichen Dank für Ihr Interesse und die gute Zusammenarbeit im nun fast ver­gan­ge­nen Jahr.

Das Team von a.s.k. Datenschutz wünscht Ihnen und Ihren Lieben ein schö­nes Weihnachtsfest und einen guten Rutsch in ein gesun­des und glück­li­ches Jahr 2018.

Auf Wiederlesen im Neuen Jahr

PS: Statt Weihnachtskarten haben wir in die­sem Jahr erneut der Stefan Hahn Kinderstiftung gespen­det. Es gibt nichts Wichtigeres, als unse­ren Kindern die Chance auf einen guten Start ins Leben zu ermög­li­chen.

Zwei Jahrzehnte IuK‐Sicherheit in der Verwaltung

Am 19. und 20. September 2017 (Dienstag und Mittwoch) fin­den die 2o. IuK Tage in Gunzenhausen statt. Die rasan­te tech­ni­sche Entwicklung bie­tet den Behörden enor­me Potentiale. Damit ein­her gehen ent­spre­chen­de Risiken, denen sich eine digi­ta­le Verwaltung stel­len muss.

Programm der 20. IuK Tage Gunzenhausen

Wie jedes Jahr haben sich die Organisatoren, die Bayerische Akademie für Verwaltungsmanagement in Zusammenarbeit mit den Bayerischen Kommunalen Spitzenverbänden zu den recht­li­chen und tech­ni­schen Anforderungen Gedanken gemacht. Als Ergebnis erwar­tet die Teilnehmer ein breit­ge­fä­cher­tes Programm zu aktu­el­len Themen:

  • E‐Government in Bayern: Rechtliche und tech­ni­sche Aspekte
  • EU‐Datenschutz‐Grundverordnung: Auswirkungen auf die IT
  • Der Betrieb eines Informationssicherheitskonzeptes — wie­so es mit der Bestandsaufnahme nicht getan ist
  • Status Quo und Quo Vadis der kom­mu­na­len IT
  • Arbeit 4.0: arbeits‐ und daten­schutz­recht­li­che Aspekte
  • Die neue Entgeltordnung: Zur Einordnung von IT‐Beschäftigten
  • Rechtssicheres Scannen in der Praxis
  • Technik von mor­gen — wie wir uns heu­te schon dar­auf vor­be­rei­ten kön­nen

a.s.k. Datenschutz Referent und Ansprechpartner für das Thema Informationssicherheit

Wir freu­en uns, auch in die­sem Jahr als Referent für das Thema Informationssicherheit und als Teilnehmer der zwei­tä­gi­gen Veranstaltung mit dabei sein zu dür­fen.

Die Stadt Gunzenhausen sorgt — wie jedes Jahr — für ein unter­halt­sa­mes Abendprogramm.

Haben wir Ihr Interesse geweckt? Hier erhal­ten Sie wei­te­re Informationen zu den 20. IuK Tagen Gunzenhausen

 

 

 

 

Vor eini­gen Wochen haben die Entwickler der Kryptotrojaner Petya, Goldeneye und Mischa die Master‐Keys für die­se Trojaner ver­öf­fent­licht. Nun hat Malwarebytes ein Entschlüsselungstool her­aus­ge­bracht. Eine Anleitung zur kor­rek­ten Anwendung fin­det sich eben­falls im Malwarebytes‐Blog.

Wer sich einen ande­ren aktu­el­len Verschlüsseliungstrojaner gefan­gen hat, dem bleibt nicht viel Spielraum. Sind drin­gend benö­tig­te Daten betrof­fen, bleibt im Zweifel nur die Zahlung des Lösegelds. Ansonsten emp­fiehlt es sich, die betrof­fe­nen Platten aus­zu­bau­en und auf die Seite zu legen. In der Vergangenheit wur­den immer wie­der Master‐Schlüssel her­aus­ge­ge­ben oder die genutz­te Verschlüsselung war feh­ler­haft. Dementsprechend gab und gibt es immer wie­der neue Entschlüsselungstools für wei­te­re Varianten der Kryptotrojaner.

Die bis­he­ri­gen Angebote zur Identifizierung gehack­ter Webaccounts funk­tio­nier­ten auf Basis der benutz­ten Email‐Adresse. Seit kur­zem ist nun ein neu­er Service des Anbieters HaveIbeenpawned online. Eine Datenbank mit mehr als 306 Millionen (306 000 000) Einträgen gibt Auskunft, ob das eige­ne Lieblingspasswort kom­pro­mit­tiert ist.

Gehackte Accounts und deren Passwörter fin­den schnell Einzug in die Datenbanken von Knacksoftware, die zum auto­ma­ti­sier­ten Angriff und Hacking von Nutzeraccounts (z.B. über Wörterbuch‐ und Brute‐Force‐Attacken) genutzt wer­den. Ärgerlich, wenn das eige­ne Passwort dar­in vor­kommt.

Vorsichtige Administratoren las­sen sol­che “bekann­ten” und somit unsi­che­re Passwörter erst gar nicht zur Auswahl durch den Nutzer bei Neuanlage eines Passworts in ihrem Netzwerk zu. Eine ent­spre­chen­de API stellt der Anbieter des Prüfservices, Troy Hunt gleich zur Einbindung bereit.

Wollen Sie nun Ihr eige­nes Lieblingspasswort über­prü­fen, ob die­ses noch sicher ist? Oder Ihren Passwortpool? Dann besu­chen Sie den Service online und füh­ren die Überprüfung Ihres Passworts durch.

Nach aktu­el­ler Rechtslage sind baye­ri­sche Kommunen gemäß Artikel 8 BayEGovG ver­pflich­tet, bis zum 01.01.2018 ein Informationssicherheitskonzept ein­zu­füh­ren und zu betrei­ben. Nach Verabschiedung des BayEGovG im Dezember 2015 hat die­se kur­ze Umsetzungsfrist für eini­ge Aufregung unter baye­ri­schen kom­mu­na­len Einrichtungen gesorgt. Doch jetzt ist wahr­schein­lich Aufatmen ange­sagt.

Der Gesetzentwurf der Staatsregierung zur Errichtung des Landesamts für Sicherheit in der Informationstechnik LT‐Drs. 17/17726 vom 11.07.2017 sieht nun vor, dass die­se Verpflichtung erst am 01.01.2019 in Kraft tritt (vgl. Ziffer 11 b des Gesetzentwurfs).

Eine sol­che Verlängerung darf jedoch nicht zum Nachlassen der Bemühungen um eine ange­mes­se­ne IT‐Sicherheit führen. Vielmehr soll­te die Zeit genutzt wer­den, um eine sorgfältige Auswahl der rich­ti­gen Maßnahmen und des kom­pe­ten­ten Beraters vor­zu­neh­men und eine kosten­be­wuss­te Auftragsvergabe durchzuführen”, so der Bayerische Gemeindetag in sei­ner heu­ti­gen Stellungnahme zum Thema.

Das Team von a.s.k. Datenschutz unter­stützt baye­ri­sche Kommunen bei der Auswahl und Einführung eines geeig­ne­ten Informationssicherheitskonzepts wie BSI IT‐Grundschutz, ISIS12, Arbeitshilfe der Innovationsstiftung (Autor Herr Sascha Kuhrau von a.s.k. Datenschutz) oder auch VDS 3473. Zur Sicherstellung des zukünf­ti­gen Betriebs des Sicherheitskonzepts stellt a.s.k. Datenschutz auf Wunsch auch den exter­nen Informationssicherheitsbeauftragten (ISB) für baye­ri­sche Kommunen. Regelmäßige Vor‐Ort‐Tätigkeiten  (mind. 1 x Monat) und die Zusammenarbeit über Videokonferenzen, voll­ver­schlüs­sel­te Projektplattform, Email und Telefon stel­len den Betrieb des Konzepts und damit die Erhaltung der kom­mu­na­len Investitionen in die­ses Thema sicher.