Kategorie: IT

In letzter Zeit standen viele Kunden vor einem Dilemma: Entweder sie geben ihre persönlichen Daten für digitale Quittungen preis oder sie verzichten auf den Einkauf in bestimmten Geschäften.

Die Follower von CHOICE in den sozialen Medien haben ihre Erfahrungen geteilt und dabei weit verbreitete Bedenken über diese Praxis zum Ausdruck gebracht. Einige Kunden berichteten, dass ihnen die Herausgabe von Papierquittungen verweigert wurde, nachdem sie darum gebeten hatten, weil sie Bedenken wegen des Datenschutzes und der Datenerfassung hatten.

Die Umweltauswirkungen von digitalen Quittungen

Einzelhändler wie Lorna Jane und Chemist Warehouse haben digitale Quittungen eingeführt und führen die Vorteile für die Umwelt als Hauptgrund für ihre Entscheidung an.

Diese Unternehmen behaupten, dass die Umstellung auf digitale Quittungen den Abfall reduziert und den CO2-Fußabdruck des Geschäfts minimiert. Um die Umwelt zu schonen, hat sich Ghanda dafür entschieden, die Quittungen in den Geschäften digital zu versenden.

Bedenken hinsichtlich des Datenschutzes bei digitalen Quittungen

Die Datenschutzforscherin Katharine Kemp warnt davor, dass die Weitergabe persönlicher Daten einen gefährlichen Präzedenzfall für die Verbraucher darstellt. Ihr erklärt, dass Unternehmen E-Mail-Adressen für einen „Datenabgleich“ mit Informationen Dritter nutzen können, um Profile von Verbrauchern für gezielte Werbung zu erstellen.

Diese Praxis gibt Anlass zur Sorge über die Anfälligkeit der Verbraucher für Datenschutzverletzungen und die mögliche langfristige Speicherung sensibler Informationen.

Ihr Recht zu wählen: digitale Quittungen vs. Papierquittungen

Nach australischem Recht dürfen Unternehmen digitale Quittungen als Kaufnachweis ausstellen, aber Kunden haben das Recht, Papierquittungen anzufordern, wenn sie dies bevorzugen.

Kemp betont, dass die Kunden in der Lage sein sollten, an der Kasse eine informierte Entscheidung über ihre persönlichen Daten zu treffen.

Nach den Bestimmungen des australischen Verbrauchergesetzes sind Einzelhändler verpflichtet, für alle Transaktionen im Wert von 46 € oder mehr eine Quittung oder einen Kaufnachweis auszustellen, und Kunden können von ihrem Recht Gebrauch machen, diese Unterlagen anzufordern, wenn sie sie nicht erhalten.

Verbraucher, die ihre persönlichen Daten nicht für digitale Quittungen freigeben möchten, haben möglicherweise nur eingeschränkte Möglichkeiten, wenn sie in bestimmten Geschäften einkaufen möchten.

Wenn die Verbraucher ihre Rechte kennen, können sie in Kenntnis der Sachlage entscheiden, ob sie ihre persönlichen Daten weitergeben wollen oder nicht. Indem sie die potenziellen Risiken verstehen und ihre Rechte wahrnehmen, können sie zum Schutz ihrer Privatsphäre und Sicherheit beitragen und sicherstellen, dass ihre persönlichen Daten verantwortungsvoll verwendet werden.

Am 2. August hat CERT-In eine eindringliche Warnung vor mehreren Sicherheitslücken in Apple-Produkten herausgegeben. Diese Schwachstellen könnten es Angreifern ermöglichen, sich Zugang zu sensiblen Informationen zu verschaffen, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, Denial-of-Service-Angriffe (DoS) zu starten und Spoofing zu betreiben. In der Warnung wird betont, dass sofortige Maßnahmen erforderlich sind, um diese Risiken zu verringern.

Schweregrad und technische Details

Die Schwachstellen betreffen eine Vielzahl von Apple-Produkten und sind nach ihrem Schweregrad eingestuft. Die kritischsten Probleme sind die Ausführung von beliebigem Code und das Überschreiben von Dateien, wodurch ein Angreifer in der Lage sein könnte, Code mit Kernel-Rechten auszuführen oder die Kontrolle über das Gerät zu erlangen.

Zu den spezifischen Sicherheitslücken gehören CVE-2024-27878, die es einer Anwendung mit Root-Rechten erlaubt, beliebigen Code mit Kernel-Rechten auszuführen; CVE-2024-40827, die es einer Anwendung erlaubt, beliebige Dateien zu überschreiben; CVE-2024-6387, die es einem entfernten Angreifer erlaubt, beliebigen Code auszuführen; und CVE-2024-27826, die es einer Anwendung erlaubt, beliebigen Code mit Kernel-Rechten auszuführen.

Weitere Schwachstellen auf niedriger Ebene sind UI-Spoofing, unerwartete Programmabstürze, Cross-Site-Scripting-Angriffe und unbefugter Zugriff auf private Browser-Tabs und sensible Daten.

Risikostufen

Die Gefahrenstufe variiert je nach Benutzergruppe. Große und mittelgroße Regierungsbehörden sind in hohem Maße gefährdet, während für kleine Unternehmen ein mittleres Risiko besteht. Große und mittelgroße Unternehmen sind besonders gefährdet, während für kleine Unternehmen ein mittleres Risiko besteht. Privatanwender haben ein geringeres Risiko.

Empfohlene Maßnahmen

CERT-In empfiehlt allen Anwendern, sofort die neuesten von Apple herausgegebenen Software-Upgrades anzuwenden, um diese Probleme zu beheben. Apple hat aktualisierte Softwareversionen herausgegeben, die auf der offiziellen Website des Unternehmens zum Download bereitstehen. Um die Sicherheit zu verbessern, sollten Benutzer die Apple-Kommunikation regelmäßig überwachen, beim Besuch potenziell schädlicher Websites und Dateien wachsam sein und sicherstellen, dass ihre Passwörter sicher sind und ihre Daten gesichert werden.

Strategien zur Risikominderung

Um die Risiken zu verringern, sollten Benutzer nach angemessenen Tests Updates für anfällige Systeme installieren, einen Prozess zur Verwaltung und Behebung von Schwachstellen aufbauen und pflegen, automatische Schwachstellenscans und Penetrationstests durchführen und robuste Sicherheitsmaßnahmen ergreifen.

Dazu gehört die Einhaltung des Prinzips der geringsten Privilegien und die Verhinderung der Ausführung von nicht genehmigter Software und Skripten. Wenn Ihr diese Richtlinien befolgt, könnt Ihr eure Sicherheitslage verbessern und die Wahrscheinlichkeit der Ausnutzung dieser Schwachstellen verringern.

Ticketmaster, eine beliebte Ticketverkaufsplattform, hat einige kanadische Kunden darüber informiert, dass ihre persönlichen Daten bei einem kürzlichen Sicherheitsvorfall möglicherweise kompromittiert worden sind.

Laut einer E-Mail, die das Unternehmen diese Woche verschickt hat, hat sich ein unbefugter Dritter zwischen dem 2. April und dem 18. Mai Zugang zu Informationen aus einer Cloud-Datenbank verschafft, die von einem externen Datendienstleister gehostet wird.

Der Umgang von Ticketmaster mit dem Sicherheitsverstoß

Berichten zufolge wurden die Namen, grundlegende Kontaktinformationen und Zahlungskartendaten der betroffenen Kunden aufgedeckt. Die kompromittierten Daten enthielten verschlüsselte Kredit- oder Debitkartennummern und Ablaufdaten.

Ende Mai räumte Live Nation, die Muttergesellschaft von Ticketmaster, in behördlichen Berichten eine mögliche Datenpanne ein, ohne jedoch nähere Einzelheiten zu nennen.

Mehrere Medien berichteten, dass Cyberkriminelle, die als ShinyHunters bekannt sind, hinter dem Angriff steckten, bei dem angeblich die Daten von über 560 Millionen Ticketmaster-Nutzern gestohlen wurden.

In der E-Mail des Unternehmens hieß es, dass man mit den Strafverfolgungsbehörden und Cybersecurity-Experten zusammenarbeite, um die Angelegenheit zu untersuchen. Bislang wurden jedoch keine weiteren unbefugten Aktivitäten festgestellt.

Robert Falzon, Leiter der technischen Abteilung bei Check Point, einem Unternehmen für Sicherheitssoftware, äußerte sich besorgt über den Vorfall.

Es überrascht mich, dass es immer noch solche Probleme gibt, wo doch gerade in den Medien dem Thema Cybersicherheit so viel Aufmerksamkeit geschenkt wird.

Robert Falzon

Aus den Daten von Statistics Canada geht hervor, dass im Jahr 2022 in Kanada 74.073 Fälle von Cyberkriminalität gemeldet wurden, was einen Anstieg gegenüber 71.727 Vorfällen im Jahr 2021 und 33.893 Fällen im Jahr 2018 bedeutet. Die tatsächliche Zahl könnte höher sein, da viele Opfer aus Verlegenheit zögern, Anzeige zu erstatten.

Indigo Books & Music Inc., Giant Tiger und London Drugs gehören zu den Unternehmen, die in den letzten Jahren von Datenschutzverletzungen betroffen waren.

In Anbetracht der Sicherheitslücke bei Ticketmaster betonte Falzon, dass Sicherheitslücken bei Dritten die Unternehmen nicht von ihrer Verantwortung entbinden sollten.

„Es liegt weiterhin in ihrer Verantwortung, ihre Lieferkette oder ihre Partner zu verwalten, um sicherzustellen, dass auch sie die gleichen Standards zum Schutz ihrer Nutzerdaten befolgen“, erklärte er.

Er riet den betroffenen Kunden, sofortige Maßnahmen zu ergreifen, um sich zu schützen, wie z.B. das Ändern von Passwörtern und die Aktivierung der Multi-Faktor-Authentifizierung.

Die britische Datenschutzbehörde (Information Commissioner’s Office, ICO) und die kanadische Datenschutzbehörde (Office of the Privacy Commissioner of Canada, OPC) haben sich zusammengetan, um den 23andMe-Datenmissbrauch vom letzten Jahr zu untersuchen. Diese Zusammenarbeit konzentriert sich darauf, das Ausmaß des Schadens für die Kunden zu bestimmen, die vorhandenen Sicherheitsprotokolle zu bewerten und die Transparenz der Kommunikation des Unternehmens mit den Aufsichtsbehörden zu beurteilen.

23andMe Datenpanne löst Untersuchung aus

Laut John Edwards, dem britischen Informationsbeauftragten, ist es von entscheidender Bedeutung, das Vertrauen in Organisationen, die mit sensiblen Daten umgehen, zu erhalten. Er betonte, dass der Datenschutzverstoß weltweite Auswirkungen hatte und dass die Zusammenarbeit mit den kanadischen Behörden auf den Schutz der persönlichen Daten der britischen Bürger ausgerichtet ist.

Der kanadische Datenschutzbeauftragte Philippe Dufresne wies auf die Risiken hin, die mit dem Missbrauch genetischer Daten verbunden sind und die zu Überwachung oder Diskriminierung führen können. Er unterstrich die globale Bedeutung des Schutzes persönlicher Daten und forderte die Datenschutzbehörden auf, gegenüber bösartigen Bedrohungen wachsam zu bleiben.

Die Datenpanne bei 23andMe, von der fast 7 Millionen Nutzer betroffen sind, gehört zu den wichtigsten Vorfällen des Jahres. Es ist schockierend, dass das Unternehmen fünf Monate lang nichts von dem Verstoß wusste und erst durch einen Reddit-Beitrag davon erfuhr.

Der Hacker, bekannt als „Golem“, teilte die kompromittierten Daten auf BreachForums und konzentrierte sich dabei besonders auf aschkenasische jüdische Kunden. Darüber hinaus machte Golem antisemitische Äußerungen und erhob Anschuldigungen gegen europäische Politiker.

Obwohl zunächst nur 14.000 Konten betroffen waren, hat die Funktion DNA-Verwandte das Problem vergrößert, indem sie Daten von Millionen von Nutzern preisgab. Die komplizierten Datenschutzeinstellungen von 23andMe ermöglichten es den Hackern, verschiedene Arten von Daten zu sammeln, von grundlegenden Profilinformationen bis hin zu umfassenden Stammbäumen und Chromosomendetails. Dies führte dazu, dass hochsensible Informationen preisgegeben wurden.

Der jüngste Einbruch bei 23andMe hat eine heftige Debatte ausgelöst, vor allem weil das Unternehmen das Problem auf die laxen Sicherheitspraktiken der Kunden zurückführte. Es gab zwar Reaktionen, die 23andMe vorwarfen, den Opfern die Schuld zu geben, aber einige sind sich einig, dass die Nachlässigkeit der Nutzer eine Rolle bei dem Vorfall gespielt hat.

Die Angreifer setzten eine Technik ein, die als Credential Stuffing bekannt ist: Sie verwenden gestohlene Zugangsdaten, um sich Zugang zu mehreren Konten zu verschaffen. Auch wenn diese Methode schwer zu erkennen ist, kann sie durch stärkere Sicherheitsmaßnahmen wie die Zwei-Faktor-Authentifizierung entschärft werden. Es ist wichtig, dass 23andMe die 2-Faktor-Authentifizierung erst im November 2023, nach dem Sicherheitsverstoß, zur Pflicht gemacht hat, was weitere behördliche Untersuchungen nach sich ziehen könnte.

Ein Sprecher von 23andMe hat bestätigt, dass das Unternehmen in vollem Umfang mit den Ermittlungen kooperiert, die sich auf den im Oktober 2023 festgestellten Angriff zum Ausfüllen von Zugangsdaten beziehen. In der Zwischenzeit haben sowohl das ICO als auch die OPC angekündigt, dass sie keine weiteren Kommentare abgeben werden, bis die Untersuchung abgeschlossen ist.

Android-Nutzer auf der ganzen Welt stehen vor einer kritischen Sicherheitsbedrohung durch eine neu entdeckte Malware namens „Dirty Stream“. Microsoft warnt, dass diese Sicherheitslücke Hackern eine alarmierende Kontrolle über infizierte Geräte geben könnte. Dirty Stream nutzt eine Schwachstelle im ContentProvider-System von Android aus, einer wichtigen Komponente, die es Apps ermöglicht, Daten auszutauschen und zu kommunizieren. Diese Schwachstelle bietet Hackern ein Einfallstor, um sensible Informationen zu stehlen oder sogar Gerätefunktionen zu kapern.

Microsoft identified a vulnerability pattern in multiple popular Android apps that could enable a malicious app to overwrite files in the vulnerable app’s home directory, which could lead to arbitrary code execution and token theft, among other impacts: https://t.co/kONKcrjJRx

— Microsoft Threat Intelligence (@MsftSecIntel) May 1, 2024

Wie Dirty Stream funktioniert

Nach einer Untersuchung hat Microsoft festgestellt, dass eine Reihe bösartiger Anwendungen eine Schwachstelle im Google Play Store ausgenutzt haben. Zu den am weitesten verbreiteten Apps, die von dieser Schwachstelle betroffen sind, gehören der File Manager von Xiaomi, der über 1 Milliarde Mal heruntergeladen wurde, und WPS Office mit über 500 Millionen Downloads. Um die Wahrscheinlichkeit eines Schadens zu verringern, wird den Benutzern dringend empfohlen, diese Apps umgehend von ihren Geräten zu entfernen.

Schützen Sie sich vor Dirty Stream

Um sich vor Dirty Stream und ähnlichen Bedrohungen zu schützen, sollten Sie die folgenden wichtigen Sicherheitsmaßnahmen beachten:

Laden Sie mit Bedacht herunter: Installieren Sie nur Apps aus dem offiziellen Google Play Store, der von Google überprüft wird, um das Risiko von Malware zu minimieren.

Aktivieren Sie*Play Protect*: Diese integrierte Sicherheitsfunktion von Google scannt heruntergeladene Apps, um potenzielle Sicherheitsbedrohungen zu erkennen und zu blockieren.

Bleiben Sie auf dem Laufenden: Der wichtigste Schutz ist die unverzügliche Installation der neuesten Android-Sicherheitsupdates. Diese Updates beheben neu entdeckte Sicherheitslücken, wie die von Dirty Stream ausgenutzte, um sicherzustellen, dass Ihr Gerät geschützt bleibt.

Microsoft warns of 'Dirty Stream' security flaw impacting Android apps https://t.co/ITPfNozhWo pic.twitter.com/7AwKBAINup

— MobileSyrup (@MobileSyrup) May 6, 2024

Dringender Aufruf zum Handeln

Microsoft fordert alle Android-Benutzer dringend auf, die verfügbaren Sicherheitsupdates unverzüglich zu installieren. Diese Updates bieten entscheidenden Schutz vor Dirty Stream und anderer Malware, die ihre Geräte und persönlichen Daten gefährden könnte. Die Umsetzung dieser Präventivmaßnahmen kann die Wahrscheinlichkeit, Ziel von Cyberangriffen zu werden, erheblich verringern.

McMorris Rodgers speaking at a press conference with House leadership, including Speaker Paul Ryan, in Washington. – CC BY-SA

In einer bahnbrechenden Ankündigung haben sich zwei führende US-Gesetzgeber auf einen Gesetzesentwurf geeinigt, der den Amerikanern grundlegende digitale Datenschutzrechte einräumen und einen nationalen Standard für die Datenerfassung und -nutzung festlegen soll.

Diese Einigung ist ein bedeutender Durchbruch nach jahrelangen kontroversen Debatten zwischen Demokraten und Republikanern über den Schutz der Privatsphäre im Internet.

Die vorgeschlagene Gesetzesvorlage, mit der ein einheitlicher Bundesstandard für den Datenschutz geschaffen werden soll, würde bundesstaatliche Gesetze wie das kalifornische außer Kraft setzen und klare Regeln dafür aufstellen, wie Unternehmen mit den Daten der Amerikaner umgehen dürfen.

Die Senatoren Maria Cantwell (D-WA) und Cathy McMorris Rodgers (R-WA), die wichtigsten an der Einigung beteiligten Gesetzgeber, äußerten sich optimistisch über das Potenzial des Entwurfs, die Verbraucher zu schützen und gleichzeitig die Innovation zu fördern.

Den Verbrauchern würden im Rahmen dieses Gesetzes mehrere wichtige Rechte zugestanden, darunter die Möglichkeit, gezielte Werbung abzulehnen und Kopien, Korrekturen oder Löschungen ihrer Daten zu verlangen.

Die Unternehmen wären verpflichtet, nur wesentliche Daten zu sammeln und offenzulegen, wie sie diese speichern oder verarbeiten, einschließlich einer möglichen Weitergabe an ausländische Regierungen.

Die Einigung kommt zu einem kritischen Zeitpunkt, da personenbezogene Daten in der modernen Wirtschaft immer wertvoller werden und die Besorgnis über die Datensicherheit und den Schutz der Privatsphäre weiter zunimmt.

Die Befürworter des Gesetzentwurfs argumentieren, dass ein nationaler Standard notwendig ist, um den Amerikanern einen einheitlichen Schutz zu bieten und gleichzeitig eine zersplitterte Regulierungslandschaft zu verhindern.

robuste Durchsetzungsmechanismen, um Rechtsverletzer zur Verantwortung zu ziehen, einschließlich eines privaten Klagerechts für Einzelpersonen.

Cantwell und Rodgers

Die Gesetzgebung würde es auch Einzelpersonen ermöglichen, gegen Unternehmen zu klagen, die ihre Datenschutzrechte verletzen, und so die Verantwortlichkeit sicherzustellen.

„Dieser überparteiliche Gesetzesentwurf stellt die beste Gelegenheit seit Jahrzehnten dar, einen nationalen Datenschutz- und Sicherheitsstandard zu schaffen, der den Menschen in den Mittelpunkt stellt“, so Cantwell und McMorris Rodgers.

Während der Gesetzentwurf den Kongress durchläuft, wird er mit Herausforderungen und Debatten konfrontiert werden, aber sein historischer Charakter und die Dringlichkeit des Themas deuten darauf hin, dass sich die USA bald anderen Nationen anschließen könnten, die umfassende Datenschutzgesetze erlassen haben.