Datenschutz & Cybersicherheit: Wie gut sind wir geschützt vor Hackerangriffen?

Podcast: Play in new window | Download | Embed

• Erster Cyberkatastrophenfall in Deutschland 2021 im Landkreis Anhalt-Bitterfeld
• Erster Todesfall durch Hackerangriff in Deutschland 2020 in der Uniklinik Düsseldorf

Im Landkreis Anhalt-Bitterfeld in Sachsen-Anhalt wurde Mitte 2021 der erste Cyberkatastrophenfall in Deutschland ausgerufen. Denn kurz zuvor hatten Hacker alle Verwaltungssoftware gesperrt und Lösegeld gefordert. Das Geld wurde nicht bezahlt und der Katastrophenfall ausgerufen.

Der Landkreis funktioniert bis heute noch nicht wieder ganz normal: Renten und Sozialhilfe verspäten sich, Ausweise und Anträge können nur verzögert bearbeitet werden und sogar pensionierte Mitarbeiter wurden wieder reaktiviert, um beim Landkreis auszuhelfen. Viele Außenstellen der Landkreisverwaltung sind bis heute noch nicht wieder an die zentrale Verwaltung angeschlossen.

Doch Anhalt-Bitterfeld war nicht allein: 2017 wurde der Bundestag im großen Stil angegriffen, 2020 wurde die Uniklinik Düsseldorf lahmgelegt, was sogar eine Tote zu Folge hatte. Deutschland hätte, laut dem Verband AG Kritis, einem Cyberkrieg keine sehr gute Verteidigung.

Das Jahr 2013 war eine Zäsur für uns alle. Edward Snowden, NSA- und BND-Affäre. Doch wie sieht es Jahre später aus? Der europäische Datenschutz wurde durch die DSGVO Datenschutz-Grundverordnung verbessert. Doch wie ist die Meinung dazu in der Bevölkerung? Wie steht es um das Vertrauen in den Datenschutz?

Cyberangriffe auf deutsche Firmen

Laut dem eco – Verband der Internetwirtschaft gab es 2020 wieder vermehrt Angriffe auf die IT deutscher Unternehmen: In jedem dritten Unternehmen (28 Prozent) gab es mindestens einen gravierenden Sicherheitsvorfall. Das sind 2 Prozent mehr als noch ein Jahr zuvor. Meist handelte es sich dabei um Attacken mittels:

• Ransomware (28 Prozent), also spezielle Software die Trojaner zum Erpressen oder Fordern von Lösegeld;
• Website Hacking (18 Prozent), also der widerrechtliche Zugriff auf die Website;
• DDos-Attacken (18 Prozent), also ein gehäufter Zugriff auf die Website, die in einer Überlastung und Abschaltung der Website resultieren.

Als Reaktion auf den Sicherheitsvorfall lösen 50 Prozent der Unternehmen diesen intern selbst. Jeder Fünfte schaltet die Strafverfolgungsbehörden ein (19 Prozent). Anderweitig externe Hilfe bemühten weitere 19 Prozent. Nur ein Prozent der Betroffenen zahlt ein von den Cyberkriminellen erpresstes Lösegeld.

Datensicherheit und Datenschutz sind nicht dasselbe

Cybersicherheit oder Datensicherheit beschäftigt sich dem praktischen Schützen von elektronischen Medien. Datenschutz kümmert sich ausschließlich um den rechtlichen Schutz. In ein Haus einbrechen ist illegal, aber deswegen tun es Leute trotzdem. Und Regierungen auch.

Wie sicher bin ich im Internet?

Generell herrscht keine anonyme Internet-Kommunikation. Das hat selbst der Bundesgerichtshof in einem Urteil bzgl. der Nutzung und Verwendung von IP-Adressen bestätigt (Aktenzeichen hier: BGH Urteil Az. VI ZR 135/13). Was die Unsicherheit von Telekommunikations- und Online-Unternehmen angeht, so hat sich das rumgesprochen. Kaum ein Deutscher vertraut noch US-amerikanischen Diensten:

Doch auch das recht große Vertrauen in deutsche Unternehmen wie die Telekom ist überbewertet. Die Telekom war aktiv an der BND-Affäre beteiligt. Wenngleich sich das Unternehmen heute als weiß darstellt, war die Telekom beteiligt am illegalen Datenaustausch beim DE-CIX-Datenknoten in Frankfurt (Main).

Manchmal ist schwer zu unterscheiden zwischen staatlichen Stellen und privaten Unternehmen. Von beiden Seiten aus wird Spionage betrieben, doch die Machtverhältnisse lagern manchmal unterschiedlich.

48 % sorgen sich um Datenschutz

Wie sehr sollten wir unser Verhalten mit Hinblick auf die Snowden-Enthüllungen ändern? Oder ist es alles nicht so schlimm? Zum Zeitpunkt einer Statista-Erhebung gaben 48 Prozent der Befragten an, sich stark bei Social-Media-Unternehmen um die Sicherheit ihrer Daten zu sorgen:

Warum Datenschutz nicht immer gut ist

Seit Inkrafttreten der DSGVO am 25. Mai 2018 haben wir alle eine Menge E-Mails bekommen.

„Wir haben unsere Datenschutzerklärung geändert“

Wirklich gelesen hat diese Mails wohl keiner, spätestens ab der dritten schalten alle auf Durchzug und klicken nur noch auf „Ja“ Doch welche Probleme bringt die neue Datenschutzgrundverodnung mit sich?

Zum einen steigen seit Jahren die kriminellen Aktivitäten auf Social-Media-Plattformen, zum anderen können diese nun viel schneller und einfacher gelöscht werden, bzw. gar nicht erst mehr nachverfolgt werden. Vielen kleineren Internetseiten, privaten Foren oder Blogs ist es zum Beispiel mittlerweile gar nicht mehr erlaubt IP-Adressen mitzuschreiben. Finden sie also strafrechtlich relevanten Content auf ihren Seiten ist es schwer diesen zu verfolgen, da die Daten nicht mehr gespeichert werden durften.

Doch es gibt auch andere Meinungen:

Es gibt auch viele, darunter Unternehmen, welche die neue Datenschutz-Grundverordnung begrüßen. Als größter Vorteil wird genannt, dass sie einheitliche Wettbewerbsbedingungen innerhalb der Europäischen Union schaffe. Des Weiteren wurde auch der weltweite Vorbildcharakter der Verordnung gelobt.

Doch wie gut ist der Datenschutz prinzipiell aufgestellt? Hierzu haben die Onlinegeister im Podcast den Thüringer Landesdatenschutzbeauftragten Lutz Hasse interviewt:

DSGVO, Teil 1: Countdown und Interview mit Thüringer Landesdatenschutzbeauftragten — #Onlinegeister Nr. 24 (Social-Media-Podcast)

Datenschutzniveau in US, EU und sicheren Drittstaaten

In den USA wurde im Dezember 2017 erst die Aufhebung der Netzneutralität beschlossen. Damit könnte bald ein wichtiges Grundrecht im Internet wegfallen. Die Netzneutralität besagt, dass Daten von Regierungen genauso wichtig sind wie die einzelner Bürger und mit der gleichen Priorität durchs Internet befördert werden sollten.

Derart desaströse Standards sollen in der EU vermieden wrden. Kurz nach Bekanntgabe reagierte die Kommission der Europäischen Union (vergleichbar mit einer Art EU-Regierung) bei Twitter wie folgt:

We will continue to protect #NetNeutrality in Europe, ensuring that all traffic is treated equally:
→ Every European must be able to have access to the #openinternet
→ No blocking or discrimination of online content, applications and serviceshttps://t.co/dSUM6wYwhu pic.twitter.com/r4Tmv2oy0i

— European Commission (@EU_Commission) 15. Dezember 2017

Durch die Beibehaltung des offenen Internets gilt der Datenschutzstandard innerhalb der EU und ausgewählter Drittstaaten als weltweit am sichersten. Darüber hinaus existieren Abkommen ausgewählter Staaten

• steht weiterhin für Netzneutralität
• (vgl. EU-Kommision-Tweet)
• Liste sicherer Datenschutz-Drittstaaten
  • AD – Andorra / Andorra
  • AR – Argentina / Argentinien
  • CA – Canada / Kanada
  • CH – Switzerland / Schweiz
  • FO – Faeroe Islands / Faröer-Inseln
  • GG – Guernsey / Insel  Guernsey
  • IL – State of Israel / Israel
  • IM – Isle of Man / Insel Man
  • JE – Jersey / Insel Jersey
  • NZ – New Zealand / Neuseeland
  • US – United States / Vereinigte Staaten
    
  • UY – Eastern Republic of Uruguay / Uruguay

Anm.: Zwischen den USA und der EU existiert das Abkommen Privacy Shield, welches das 2000 beschlossene Safe-Harbour-Abkommen ablöst. Zum 6. Oktober 2015 beschloss der Europäische Gerichtshof (EuGH), dass Safe Harbour aufgrund von Datenschutzmissachtungen ungültig sei. Privacy Shield ist eine halb-freiwillige Bekundun, dass US-amerikanische Unternehmen, Dienste und Organisationen sich freiwillig an europäisches Datenschutzrecht und geltende -standards halten.

Ab Mai 2018 gilt in der EU außerdem die Datenschutz-Grundverordnung (DSGVO). Die DSGVO soll alle im Zusammenahng mit der Verarbeitung personenbezogener Daten durch private Unternehmen und öffentliche Stellen anfallende Gesetzessituationen vereinheitlichen. Dadurch soll einerseits der Schutz personenbezogener Daten, andererseits der freie Datenverkehr innerhalb der EU und dem Binnenmarkt sichergestellt werden. DIE DSGVO ersetzt die Datenschutz-Richtlinie 95/46/EG aus dem Jahr 1995.

Sicherheit in der Online-Kommunikation

Hier noch ein paar allgemeine Empfehlungen und Linktipps für besseren Datenschutz:

Nutzername/E-Mail

Bei Diensten muss man sich mit Mailadressen anmelden. Aber je mehr Leute eine normale Adresse kennen, umso unsicherer ist sie. Deswegen empfehlen sich geheime Adressen, die nur für solche Aufgaben wie Logins verwendet werden sollen und mit niemanden außerhalb geteilt. Das Bundesamt für Sicherheit in der Informationstechnik BSI hat einen Sicherheitstest für gestohlene E-Mail-Adressen. Unter https://monitor.firefox.com kann jeder eine beliebige E-Mail-Adresse eingeben. Ist diese in einem bekannten Fall von Onlinebetrug eingesetzt worden, informiert Firefox den jeweiligen Nutzer, dass die E-Mail kompromitiert ist.

Passwort

Hier ranken sich viele Mythen und Gerüchte, aber inzwischen gilt: Ein langes und komplexes Passwort ist besser als ein kurzes. Lange Texte sind inzwischen eine Option geworden. Das Mysterium von langen, mit Sonderzeichen und Ziffern versehenen Passwörtern ist genau das: ein Mysterium. Ein gutes Tool zum Überprüfen der Passwortstärke ist die Seite passwortcheck.ch vom Datenschutzbeauftragten des Schweizer Kantons Zürich.

Es werden auch regelmäßig Listen mit den beliebtesten und damit unsichersten Passwörtern publiziert. Diese Passwörter solltet ihr immer meiden:

Software-Tipps

Für allgemeine Software-Tipps ist der Markt einfach zu groß und unübersichtlich. Gute Anlaufpunkte sind aber u.a. die Plattform prism-break.org, wo regelmäßig alle empfehlenswerten und nicht empfehlenswerten Dienste und Plattformen bewerrttet werden.

Bezüglich sicherer Messenger-Dienste wurde bereits ausführlich diskutiert. Es gibt nur wenige Messenger, die wirklich sicher sind. Hier empfiehlt es sich auf den gesunden Menschenverstand und tägliche Berichterstattung zu vertrauen. Denn obwohl bspw. WhatsApp inzwischen durch eine End-to-End Encryption bzw. Ende-zu-Ende-Verschlüsselung gesichert ist, hat der Mutterkonzern Facebook aber weiterhin einen Generalschlüssel für sämtliche Konversationen.

Berufsgeheimnisträger

Besonders Selbständige sind Berufsgeheimnisträger. Für manche Berufsgruppen gibt es besondere Umstände, unter denen sie kommunizieren dürfen. In diesem Beitrag findet ihr weitere Infos, was Berufsgeheimnisträger sind und was sie dürfen.

Datenschutz im Neuland

Nichts hat das Jahr 2013 derart geprägt wie die Snowden-Enthüllungen zu den Spionagepraktiken des US-Geheimdienstes NSA (National Security Agency). Unser Verständnis, wie das Internet funktioniert, war bis zu diesem Zeitpunkt folgendes:

Technik erklärt: Wie funktioniert das Internet? (Die Sendung mit der Maus 1999)

In meinen Seminaren und Weiterbildungen benutze ich gern dieses Video, um die Funktionsweise des Internets zu erklären. Denn obwohl wir heute mit DSL, LTE un…

Inzwischen sieht unser Verständnis anders aus: Die NSA und auch der BND (Bundesnachrichtendienst) haben seit mindestens 2004 Spionage im großen Stil betrieben. Im UKUSA-Agreement nach dem Zweiten Weltkrieg haben sich erstmals die Geheimdienste von zwei (USA, UK) und später insgesamt fünf Ländern miteinander verbunden:

1. National Security Agency (NSA) der Vereinigten Staaten von Amerika
2. Government Communications Headquarters (GCHQ) des Vereinigten Königreichs
3. Australian Signals Directorate (DSD) in Australien
4. Communications Security Establishment Canada (CSEC) in Kanada
5. Government Communications Security Bureau (GCSB) in Neuseeland

Darüber hinaus wurde durch die Snowden-Dokumente auch enthüllt, dass viele Unternehmen und Konzerne aus dem digitalen Bereich direkt oder indirekt mit NSA und anderen Geheimdiensten gearbeitet haben. Diese Unternehmen haben sich aber auch anderer Fehlnisse schuldigt gemacht. Hier eine Auflistung:

• Google: Mehrfaches NSA-Partnerunternehmen (+YouTube), Steuerbetrug (LuxLeaks), Missachtung von Datenschutzrichtlinien, Preisträger Big Brother Award
• Dropbox: Kundendaten-Leaks (2011/12), gilt als künftiger NSA-Partner (bei Snowdens Abreise), starke Bindung an die US-Regierung
• Facebook: NSA-Partnerunternehmen, illegale Verwendung von Nutzerdaten, massive Speicherung von Daten, Preisträger Big Brother Award
• Microsoft: Mehrfaches NSA-Partnerunternehmen (+Skype), Aufzeichnung des Nutzerver-haltens (Media Player), Big Brother Lifetime-Award, Windows 10
• Apple: NSA-Partnerunternehmen, Steuerbetrug (LuxLeaks), „The Fappening“, Kundentäuschung, mehrfacher Preisträger Big Brother Award

Quelle: Luke Harding: “Edward Snowden – Geschichte einer Weltaffäre”, Weltkiosk Verlag 2014

Hören & Download

• Abonniert uns über RSS, bei Apple Podcasts, Spotify, Google Podcasts oder einem Podcatcher eures Vertrauens!
• Unterstützt uns und bringt euch in die Sendung ein!
• Sorgt für spannendere Themen und schreibt euer Feedback!
• Oder sprecht euer Feedback auf unsere Voicemail!

Datenschutz im Neuland — #Onlinegeister Nr. 8 (Social-Media-Podcast)

Datenschutz-Tipps — #Onlinegeister Nr. 19 (Social-Media-Podcast)

Datenschutz im Neuland Countdown to DSGVO — #Onlinegeister Nr. 24 (Social-Media-Podcast)