Trend Micro hat eine Studie zur Cybersicherheit im Automobilsektor veröffentlicht. Die Analyse von mehr als 50 signifikanten Sicherheitsvorfällen zwischen Januar 2021 und Juni 2022 zeigt: Alle Bereiche entlang der Produktions- und Lieferkette sind betroffen. Besonders gefährdet sind die Zulieferer.

Am häufigsten kommt es zu Ransomware-Attacken und Datendiebstahl. Außerdem identifiziert der japanische IT-Sicherheitsspezialist Hochrisiko-Bereiche von vernetzten Autos und stellt Security-Prognosen für 2023 auf.

Die Automobilbranche steht unter Druck, die Transformation zur Elektromobilität zu meistern. Durch die Energiekrise hat die Entwicklung weiter an Fahrt aufgenommen. Immer mehr E-Autos kommen auf die Straße. Doch der Wandel in der Branche erhöht auch das Risiko für Sicherheitslücken, die gefährlich für Hersteller, Lieferanten und Kunden sein können. Cyberkriminelle nutzen Schwachstellen entlang der gesamten Produktions- und Lieferkette aus. Laut der Studie von VicOne, dem auf Automotive Cybersecurity spezialisierten Tochterunternehmen von Trend Micro, sind Zulieferer am häufigsten betroffen: Sie waren in 67 Prozent der untersuchten Vorfälle involviert.

Gerade kleinere Lieferanten sind oft schlechter vor Cyberangriffen geschützt und brauchen länger, um sich wieder zu erholen. Dies führt zu Produktionsverzögerungen bis hin zu Ausfällen. Das größte Risiko sind derzeit Ransomware-Attacken. Im Studienzeitraum waren 43 Unternehmen aus der Automobilindustrie Opfer solcher Angriffe. Am häufigsten kam dabei Malware aus der Conti-Familie zum Einsatz. Außerdem gab es neun Daten-Vorfälle. Vor allem Kundeninformationen (41,7 Prozent) und sensible Unternehmensinformationen (16,7 Prozent) wurden gestohlen.

Pressemitteilung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit vom 22.02.2023

Der BfDI, Professor Ulrich Kelber, hat das Bundespresseamt (BPA) angewiesen, den Betrieb der Facebook Fanpage der Bundesregierung einzustellen. Ein entsprechendes Schreiben hat der BfDI zu Beginn der Woche versendet. Das BPA hat ab Erhalt des Bescheids vier Wochen Zeit diesen umzusetzen.

Der BfDI sagte dazu: „Ich habe lange darauf hingewiesen, dass der Betrieb einer Facebook Fanpage nicht datenschutzkonform möglich ist. Das zeigen unsere eigenen Untersuchungen und das Kurzgutachten der Datenschutzkonferenz. Alle Behörden stehen in der Verantwortung, sich vorbildlich an Recht und Gesetz zu halten. Dies ist nach dem Ergebnis meiner Prüfungen beim Betrieb einer Fanpage wegen der umfassenden Verarbeitung personenbezogener Daten der Nutzenden aktuell unmöglich. Ich finde es wichtig, dass der Staat über soziale Medien erreichbar ist und Informationen teilen kann. Das darf er aber nur, wenn die Grundrechte der Bürgerinnen und Bürger gewahrt bleiben.“

Da sich insbesondere die Interessen von Betreibenden von Fanpages und von Meta ergänzen, besteht nach Einschätzung des BfDI eine gemeinsame Verantwortlichkeit für die Verarbeitung der bei Nutzung der Fanpage erhobenen personenbezogenen Daten. Das BPA muss als Verantwortlicher nachweisen können, dass die Grundsätze des Datenschutzrechts eingehalten werden. Einen solchen Nachweis konnte das BPA im Verfahren nicht zur aufsichtsbehördlichen Überzeugung erbringen. Der BfDI kritisiert insbesondere, dass es nach seiner Begutachtung hier bislang an einer wirksamen Rechtsgrundlage für die Datenverarbeitung fehlt. Außerdem muss nach dem Telekommunikation-Telemedien-Datenschutz-Gesetz für die Verwendung nicht unbedingt erforderlicher Cookies und ähnlicher Trackingtechnologien eine Einwilligung eingeholt werden. Im Falle der Facebook Fanpages wird eine solche Einwilligung jedoch nach Ergebnis der aufsichtsbehördlichen Prüfungen derzeit nicht wirksam eingeholt.

Das BPA hat die Möglichkeit innerhalb eines Monats gegen den Bescheid des BfDI zu klagen.

Dokument aus dem Verwaltungsverfahren:

• Bescheid zum Betrieb von Facebook Fanpages (PDF, 593KB, Datei ist barrierefrei⁄barrierearm)

Die Pressemitteilungen des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit können hier abgerufen werden.

Bei einem weltweit breit gestreuten Ransomware-Angriff wurden laut Medienberichten tausende ESXi-Server, die u. a. zur Virtualisierung von IT-Fachverfahren genutzt werden, verschlüsselt. Der regionale Schwerpunkt der Angriffe lag dabei auf Frankreich, den USA, Deutschland und Kanada, auch weitere Länder sind betroffen.

Nach derzeitigem Kenntnisstand wird davon ausgegangen, dass dabei die bereits im Februar 2021 gepatchte Schwachstelle CVE-2021-21974 als Angriffsvektor ausgenutzt wird. Das BSI hatte zu dieser Zeit vor der Ausnutzung von Schwachstellen im entsprechenden Produkt gewarnt. Zum aktuellen IT-Sicherheitsvorfall hat das BSI nun eine Cyber-Sicherheitwarnung mit entsprechenden Schutzmaßnahmen veröffentlicht.

Nach bisherigen Erkenntnissen scheint es in Deutschland eine mittlere dreistellige Zahl an betroffenen Systemen zu geben. Konkretere Aussagen zur Betroffenheit und zum Ausmaß möglicher Schäden sind derzeit noch nicht möglich.

Das BSI analysiert diesen IT-Sicherheitsvorfall intensiv und steht im engen Austausch mit seinen internationalen Partnern. Das BSI wird über aktuelle Erkenntnisse informieren.

* ESX und ESXi sind Bezeichnungen von Hypervisoren von VMware zur Virtualisierung von Servern, Rechenzentren und Rechnersystemen. ESX steht hierbei für „Elastic Sky X“, ESXi bedeutet „Elastic Sky X integrated“.

Quelle: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2023/230206_ESXi-Schwachstelle-massiv-ausgenutzt.html

Wie der SWR berichtet, haben sich kriminelle Hacker laut Polizeiangaben Zugriff auf das Mail-Programm eines Unternehmens in Kaiserslautern verschafft. Darüber hätten die Angreifer den Nachrichtenverkehr zwischen einem Lieferanten und Mitarbeitern des Unternehmens mitverfolgt. Anschließend sollen sie sich selbst als dieser Lieferant ausgegeben haben. Die Betrüger schafften es, einen Mitarbeiter davon zu überzeugen, fast 290.000 Euro auf ein Konto zu überweisen, das von dem gewöhnlichen Geschäftskonto abweicht.

In mehreren Transaktionen sei das Geld auf ein ausländisches Konto geflossen. Als dem Unternehmen der Betrug auffiel, kontaktierte es die Polizei in Kaiserslautern. Diese ermittelt nun gegen die bisher unbekannten Täter. Zudem verweisen die Beamten auf die Zentrale Ansprechstelle Cybercrime (ZAC). Dorthin können sich Unternehmen wenden, die Opfer eines Cyberangriffs geworden sind.

Pressemitteilung vom 21.12.2022

In einem Verfahren gegen zwei Beschuldigte – einen 53‑jährigen Rechtsanwalt mit Kanzleisitz in Berlin und dessen 41‑jährigen Mandanten, dem angeblichen Repräsentanten einer „IG Datenschutz“ – wurden heute wegen des Verdachts des (teils) versuchten Abmahnbetruges und der (versuchten) Erpressung in mindestens 2.418 Fällen durch die Polizei im Auftrag der Staatsanwaltschaft Berlin Durchsuchungsbeschlüsse in Berlin, Hannover, Ratzeburg und Baden-Baden sowie zwei Arrestbeschlüsse mit einer Gesamtsumme vom 346.000 Euro vollstreckt.

Den Beschuldigten wird vorgeworfen, bundesweit Privatpersonen und Kleingewerbetreibende, die auf Ihren Homepages sog. „Google Fonts“ – ein interaktives Verzeichnis mit über 1.400 Schriftarten, die das Schriftbild einer Webseite bestimmen – eingesetzt haben, per Anwaltsschreiben abgemahnt zu haben. Zugleich wurde diesen angeboten, ein Zivilverfahren gegen Zahlung einer Vergleichssumme in Höhe von jeweils 170 Euro vermeiden zu können. Dass die behaupteten Schmerzensgeldforderungen wegen Verletzung des Rechts auf informationelle Selbstbestimmung nicht bestanden, soll den Beschuldigten dabei bewusst gewesen sein. Entsprechend sollen sie auch gewusst haben, dass für die Angeschriebenen kein Anlass für einen entsprechenden Vergleich bestand, da sie die angeblichen Forderungen gerichtlich nicht hätten durchsetzen können. Die Androhung eines Gerichtsverfahrens soll daher tatsächlich nur mit dem Ziel erfolgt sein, die Vergleichsbereitschaft zu wecken.

Bei Google Fonts handelt es sich um ein Tool, das lizenzfrei von der Firma Google für Websitebetreiber zur Verfügung gestellt wird. Internetseiten, die dieses nutzen, übermitteln die Internet Protocol (IP)‑Adresse in der Regel ohne Kenntnis und Einwilligung von Besuchern der Website automatisch an die Firma Google in den USA. Vor diesem Hintergrund hat das Landgericht München mit Urteil vom 20. Januar 2022 (Az. 3 O 17493/20) entschieden, dass die automatische Weitergabe der IP‑Adresse (als personenbezogenes Datum) durch den Betreiber einer Website einen datenschutzrechtlichen Eingriff darstelle, in den der Besucher der Seite nicht eingewilligt habe. In dieser Vorgehensweise dürfte also tatsächlich ein Verstoß gegen die Datenschutzgrundverordnung liegen und so auch ein entsprechender Unterlassungsanspruch bestehen, wenn ein unbedarfter Nutzer eine solche Website besucht.

Die Beschuldigten aber sollen gerade nicht unbedarft gewesen sein: Mittels einer eigens dafür programmierten Software sollen sie zunächst Websites identifiziert haben, die Google Fonts nutzen. In einem zweiten Schritt und wieder unter Nutzung einer dafür entwickelten Software sollen Sie Websitebesuche durch den beschuldigten 41‑jährigen automatisiert vorgenommen, diese letztlich also fingiert haben. Die dann protokollierten Websitebesuche sollen die Grundlage für die Behauptung der datenschutzrechtlichen Verstöße und die Geltendmachung von Schmerzensgeldansprüchen gewesen sein, die durch die Annahme des „Vergleichsangebotes“ angeblich hätten abgewendet werden können.

Die Beschuldigten sollen daher darüber getäuscht haben, dass eine Person die Websites besucht hat (und nicht tatsächlich eine Software). Mangels Person läge dann aber keine Verletzung eines Persönlichkeitsrechts vor.
Da sie diese Besuche außerdem bewusst vorgenommen haben sollen, um die IP‑Adressen‑Weitergabe in die USA auszulösen, hätten sie faktisch auch in die Übermittlung eingewilligt, so dass eben gerade kein datenschutzrechtlicher Verstoß mehr gegeben war, der eine Abmahnung hätte begründen können.
In einigen Fällen soll zudem überhaupt keine Datenübermittlung in die USA erfolgt, ein darauf basierender Anspruch aber trotzdem geltend gemacht worden sein.

420 Anzeigen von „Abgemahnten“, die letztlich nicht gezahlt haben, liegen der Staatsanwaltschaft Berlin inzwischen vor. Aus der Auswertung der Kontounterlagen der Beschuldigten ergibt sich indes, dass etwa weitere 2.000 Personen das „Vergleichsangebot“ aus Sorge vor einem Zivilverfahren und in der unzutreffenden Annahme, der behauptete Anspruch bestünde tatsächlich, angenommen und gezahlt haben.

Die heutigen Durchsuchungen führten zum Auffinden von Beweismitteln, insbesondere Unterlagen und Datenträgern, die nunmehr ausgewertet werden müssen. Sie sollen unter anderem über die Anzahl, Auswahlkriterien und Identität, die tatsächlichen Umsätze und die genaue Vorgehensweise weiteren Aufschluss geben.

Link: Gemeinsame Pressemeldung: Durchsuchungen nach Abmahnwelle wegen „Google Fonts“-Nutzung – Berlin.de