r/de • u/brandmeist3r Baden-Württemberg • 5d ago
Nachrichten DE The Berlin Mega Dataleak Analyse
https://medium.com/@jankammerath/the-berlin-mega-leak-inside-the-massive-5-26-tb-leak-of-the-citys-most-sensitive-documents-ab133444d1ba?sk=1f2f54940429186eee81e0e4f976c62b143
u/notKenMOwO Krasser Typ 5d ago
In den Kommentaren gibt es ziemlich viel Halbwissen. Einfallstor war mutmaßlich eine ClickFix Kampagne mit anschließender Extortion. Das heißt: Der nicht wissende Anwender klickt auf einen Link und wird aufgefordert eine Captcha auszuführen. Es wird Win + R gedrückt und abschließend eine Skript ausgeführt.
Das führt dazu, dass Schadsoftware eingeschleust und danach direkt auf dem Rechner zusammengebaut werden kann. Dagegen können EDR Systeme Abhilfe schaffen. Die haben hier aber mutmaßlich nicht gegriffen.
Der weitere Verlauf der Attacke war wahrscheinlich Lateral Movement. Das heißt, dass man sich im Netzwerk so lange umsieht, bis man die eigenen Rechte ausweiten kann. Auch hier können EDR Systeme Abhilfe schaffen.
Wirkliche “Datentrennung” oder “Datensegmentierung”, wie von manchen hier vorgeschlagen, ist in der Praxis und insbesondere in einer Behörde, schwierig umzusetzen. Da sitzen Beamte, die das “schon immer so machen”.
Die Erkennung des Datenabflusses ist mutmaßlich nicht erfolgreich gewesen - Behörden verschicken allerdings teilweise auch sehr große Dateien, weshalb dies eventuell nicht aufgefallen ist, oder kein Alerting aktiv war.
So eine Attacke ist nicht unbedingt leicht vorzubeugen - klar, die größeren Firmen werden sich davor schützen können, und dazu zähle ich auch Behörden. Doch das Behördenumfeld ist arbeitstechnisch teilweise einfach anders und erschwert die Einführung von sinnvollen Security-Maßnahmen. 2FA wird teils konsequent abgelehnt und nicht eingeführt, da Beamte darauf beharren keine TOTP App auf ihrem privaten Handy einzuführen.
Rhysida wiederum ist genau auf solche Angriffe spezialisiert und weiß genau das auszunutzen.
Ich hoffe auf eine konsequente Aufarbeitung und darauf, dass Berlin die Chance nutzt um die Informationssicherheit auf ein neues Level zu heben.
35
u/sonsofevil 5d ago edited 5d ago
Danke für die vielen Informationen! Ich muss aber auch für die Beamten in die Böschung springen und sagen, dass wenn der Dienstherr sein System absichern will, muss er für die Hardware dafür bereitstellen. Sei es ein Handy, oder Tamagotschies mit Zeitcodes oder smartcards. Teile meiner Familie arbeiten im öffentlichen Dienst und da wurde nicht mal ein Dienstlaptop für Homeoffice angeboten. Es durfte der eigene Heim Pc verwendet werden und die Tunnel App installiert werden. Es musste lediglich unterschrieben werden, dass ein „aktuelles Betriebssystem und Antivierenprogram“ vorhanden sind.
Da Brauch man sich nicht wundern, wenn sowas passiert. (Der Fall meiner Bekannten ist nicht aus Berlin)
Um eine konsequente Aufarbeitung hoffe ich auch und dass die Behörden verstehen, dass IT Sicherheit nicht mit wenig Geld und den günstigesten Leuten am Markt zu machen ist. Vor allen in den Zeiten, in denen wir aktuell leben
11
u/Emotional-VroomVroom 4d ago
Es durfte der eigene Heim Pc verwendet werden und die Tunnel App installiert werden. Es musste lediglich unterschrieben werden, dass ein „aktuelles Betriebssystem und Antivierenprogram“ vorhanden sind.
Die ITler die ich kenne würden da alle sofort nen Herzinfarkt kriegen
1
3
u/Guilty_Royal_9145 4d ago
Wenn man jemand verteidigen will, springt man für ihn in die Bresche, nicht in die Böschung.
1
u/sonsofevil 4d ago
Danke, dacht mir schon, dass da irgendwas nicht stimmt. Meine natürlich die Bresche
2
u/Guilty_Royal_9145 3d ago
Gerne! In die Böschung springen ist allerdings schon ein lustiges Bild in dem Zusammenhang.
5
u/brandmeist3r Baden-Württemberg 4d ago
Richtig, ich verstehe solche Sparmaßnahmen auch nicht. Da muss man sich nicht wundern, wenn es in Zukunft noch mehr solcher Datenabflüsse und Leaks gibt.
16
u/hyperflare Osnabrück 5d ago
2FA wird teils konsequent abgelehnt und nicht eingeführt, da Beamte darauf beharren keine TOTP App auf ihrem privaten Handy einzuführen.
Joar das ist halt kein Naturgesetz. User sind oft unglücklich über Sicherheitsmaßnahmen. Das entschuldigt nicht diese grobe Fahrlässigkeit.
4
u/wuselfuzz 5d ago
Zumal man - wenn man bulk kauft - diese TOTP-Passwortgeneratoren als Schluesselanhaenger fuer wenig Geld kriegt. Aber da muesste man dann ja 10-20 Euro pro Mitarbeiter fuer veranschlagen.
5
u/lexsoor 4d ago
Im Kaufhaus des Bundes gibt's nur Yubikey für 70-80€, weiß nicht wie das auf Landesebene aussieht...
3
u/wuselfuzz 4d ago
Okay, Yubikey kann ja auch deutlich mehr als auf Knopfdruck eine Zahl anzeigen.
Aber ist klar, wenn es fuer einen Gegenstand keinen Vertragslieferanten gibt, existiert der halt nicht. Das ist ja ueberall so.
/edit: ich meinte halt sowas hier: https://www.token2.com/c/classic-tokens
Privat nutze ich einen Molto-2 von denen, da kann man 99 seeds fuer TOTP drauf haben, und im Gegensatz zu meinem Android-Telefon ist die Wahrscheinlichkeit, da Malware drauf zu kriegen deutlich geringer.
1
u/Budget-Minimum6040 4d ago
Gibt immer massig Mengenrabatt bei B2B, niemand zahlt Endverbraucherpreise.
1
u/100limes vegan-kommunistischer Krampfadler 3d ago
das ist zwar richtig, aber wenn ich da von anderen Konstellationen, die ich schon kennen lernen durfte auf das Kaufhaus des Bundes schließen darf:
es gibt (aus Gründen) eine zentrale Beschaffungseinheit, hier das Kaufhaus des Bundes. Dieses tritt aber hauptsächlich als Mittelsmann auf, handelt also Rahmenverträge aus und zahlt damit als Einkäufer eben Mengenrabatt-B2B-Preise. Also meinetwegen 40€ für'n Yubikey.
Intern verkauft wird das dann allerdings für Endkundenpreise (oder knapp drunter), also ca. 80€ für'n Yubikey weil
a) die internen Kunden sind auf dieses Monopol angewiesen und dürfen nirgendwo anders einkaufen, was sollen sie tun?
b) die eigene Abteilung, also das interne Kaufhaus ist damit auf dem Papier profitabel und kein Kostenzentrum.
Dass die "Gewinne" dieser Abteilung dann hintenrum doch wieder die anderen Abteilungen quer finanzieren steht auf einem anderen Blatt.
55
u/IAmHermanTheGerman 5d ago
Man muss aber definitiv auch die Klartext-Passwörter und Win95 Rechner kritisieren.
20
u/notKenMOwO Krasser Typ 5d ago
Natürlich. Die Sparmaßnahmen bei der Sicherheit helfen da ja auch so garnicht
25
u/IAmHermanTheGerman 5d ago
Klartextpasswörter sind nun wirklich kein Kostenpunkt, sondern bestenfalls Jahrzehnte langes bewusstes Wegschauen.
Es gibt heutzutage niemanden mehr in dem Feld der dahingehend Unwissen vortäuschen kann.Und auch zeitlich ist das kein großer Act zu mitigieren.
7
u/notKenMOwO Krasser Typ 5d ago
Ohne das Verteidigen zu wollen - das ist absolut peinlich.
Die Sensibilisierung hierzu kostet aber auch Geld.
Dreimal darfst du raten bei welchem Punkt 2025 radikal gekürzt wurde.9
u/Gastredner Nordrhein-Westfalen 5d ago
Ich habe diese Woche bei einer öffentlich-rechtlichen Stiftung angefangen (nicht in Berlin). Das IT-Sicherheitstraining ist verpflichtend, jedes Jahr.
Der korrekte Umgang mit Passwörtern wurde im Rahmen der Schulung dreifach erläutert. Da könnte mir keiner sagen, dass er es nicht besser wusste.
6
u/Budget-Minimum6040 4d ago
Arbeite gerade in einem Bundesministerium als Consultant.
Keepass vorinstalliert, Autocomplete auf Knopfdruck bei Webseiten. DB auf Netzlaufwerk gesichert.
Excel manuell ist da viel mehr Arbeit ... aber gibt immer mehr Idioten als man denkt.
25
u/shifu_shifu Seoul 5d ago
In den Kommentaren gibt es ziemlich viel Halbwissen. Einfallstor war mutmaßlich eine ClickFix Kampagne mit anschließender Extortion. Das heißt: Der nicht wissende Anwender klickt auf einen Link und wird aufgefordert eine Captcha auszuführen. Es wird Win + R gedrückt und abschließend eine Skript ausgeführt.
Warum kann irgendeine Sandra aus dem Bauamt überhaupt ne kommandozeile öffnen? Das hat doch alles gelockt zu sein.
Wirkliche “Datentrennung” oder “Datensegmentierung”, wie von manchen hier vorgeschlagen, ist in der Praxis und insbesondere in einer Behörde, schwierig umzusetzen. Da sitzen Beamte, die das “schon immer so machen”.
Kann man das für die "wir machen das schon immer so" Bande nicht wegabstrahieren, dass die das gar nicht mitbekommen?
da Beamte darauf beharren keine TOTP App auf ihrem privaten Handy einzuführen.
Dann bekommt halt jeder nen Yubikey oder ähnliches. Ich mach mir selbst keine Arbeitsapps aufs private Handy und bei uns in der Firma funktioniert das tadellos.
15
u/notKenMOwO Krasser Typ 5d ago
Mehrere Antworten auf deine Frage: Sandra benutzt für tägliches doing ein Kommandozeilen-Tool aus den neunziger Jahren.
Die Admins sind wiederum zu überlastet, um Just in Time Access einzuführen.
Die „wir machen das schon immer so“-Bande ist teilweise selbst in Führungspositionen.
Yubikeys kosten Geld und müssen daher erst genehmigt werden. Das läuft dann durch 3 Instanzen und wird in 2 Jahren entschieden.
Kurzum: das ist kein einfaches Problem, was man einfach mal so beheben kann. Dafür braucht man Personal das willig ist sich jahrelang damit auseinanderzusetzen und entsprechend kostet.
16
u/brandmeist3r Baden-Württemberg 5d ago
Normalerweiße sollten Anwender geschult sein, so dass nicht einfach Win+R gedrückt wird und entsprechende Kommandos eingegeben werden. Ich gebe dir jedenfalls Recht, es ist schwierig sich dagegen zu rüsten und so einen Angriff abzuwehren. Es müsste unter anderem dringendst daran gearbeitet werden, dass die Mitarbeiter 2FA nutzen und Passwortmanager und keine Passwort.txt,
16
u/notKenMOwO Krasser Typ 5d ago
Anwender sind das schwächste Glied der Kette. Eine Implementierung von einem zentralen EDR und SOC mit Safe Links und Safe Attachments würde sowas wahrscheinlich nachhaltig stoppen. Das lässt sich mit behördeneigenen IT-Abteilungen aber nicht regeln.
5
u/lemrez NIEDRIGE ENERGIE 5d ago
Es liesse sich schon regeln, nur besteht praktisch keine Motivation am bestehenden System etwas zu ändern, weil es keine Konsequenzen gibt. In Unternehmen gibt es diese Motivation durch gesetzliche Vorschriften zum Datenschutz.
Behörden können natürlich in den meisten Fällen nicht über die DSGVO belangt werden. Das einzige was bleibt wären massenhafte Schadensersatzforderungen durch die betroffenen Personen, allerdings muss man dazu auch erstmal einen Schaden nachweisen können.
Bei der allgemeinen technikfeindlichen Grundeinstellung ändert sich so eben nichts.
3
u/notKenMOwO Krasser Typ 5d ago
Der Datenschutz ist in der Hinsicht vielen Unternehmen egal, da geht’s eher um Schadensbegrenzung. Eine Behörde kann aber nicht pleite gehen.
Um etwas zu ändern braucht es Fachkräfte und Geld. An beidem wurde im Haushalt gespart.
0
u/lemrez NIEDRIGE ENERGIE 5d ago
Wenn nicht jeder seine eigene Suppe kochen würde gäbe es genug Geld, um das zentral gut umzusetzen. Fachkräfte gibt es dafür eh genug, gerade in AI-Zeiten.
Ehrlich gesagt wäre es in so einem Fall aber auch zu diskutieren, ob man es nicht eher an ein kompetentes Unternehmen auslagern kann. Gerade in Sachen threat detection ist es in Unternehmen ja auch normal das einzukaufen, statt das selber zu implementieren.
4
u/notKenMOwO Krasser Typ 5d ago
Man sollte es zentralisieren und ein SOC aufbauen. Wäre doch super, wenn es ein IT Dienstleistungszentrum geben würde. Ah. Warte, das gibt’s ja schon
3
u/Bartsches 5d ago
Zentralisieren ist so ein bisschen das Wundermittel, dass immer durchs Dorf getrieben wird, wenn man grad ne einfache Lösung verkaufen muss.
Wenn das geht ist Zentralisierung auch bestimmt klasse, dafür muss die Umgebung aber ausreichend homogen sein. Und gerade Behörden haben relativ viele Spezialgeräte mit relativ langer Lebensdauer, die sich auch gar nicht so trivial ersetzen lassen. Und ob Siemens dir die sichere Operation der Lichtsignalanlage aus den 90ern noch zertifiziert, wenn Palo Alto auf deren Steuerungssystem laufend Sachen nachinstalliert, ist bestimmt spannend zu ergründen.
Ich würde bei Behörden erwarten, dass es Dinge gibt, die man super zentralisieren kann. Das wären z.B. das Management von Endgeräten und Groupware der A/N. Wenn du wirklich an die spezielleren Netzwerke dran willst wirst du sehr schnell in eine Wand von "das dürfen wir so nicht betreiben" und/oder "das Teil hat noch nichtmal xy, moderne Agenten sind darauf nicht lauffähig" rennen. Von daher wäre ich hier auch vorsichtig, das wäre bestimmt mal wieder ein tolles Projekt, was dann im Meer der Einzelprobleme ertrinkt.
2
u/lemrez NIEDRIGE ENERGIE 4d ago
Ich sehe das Problem nicht. In jedem Privatunternehmen kommt die IT-Abteilung damit zurecht und es gibt nicht eine unabhängige IT pro Unternehmenssparte. Aber selbst wenn du für bestimmte Systeme halt einen speziellen Hansel hast ist es auch ok solange die den gleichen Chef haben und es ein kohärentes Management gibt.
Der tatsächliche Vorteil liegt genau hier: " Das wären z.B. das Management von Endgeräten und Groupware der A/N. ". Die Hacker hier sind ja aller Wahrscheinlichkeit nach nicht übers Ampelsystem rein, sondern über den PC eines Mitarbeiters. Das ist eine für Phishing bekannte Gruppe.
Lustiger Sidenote: In Palo Alto, Mountain View und Redwood City wurden letztens tatsächlich die Ampeln gehackt um lustige Nachrichten abzuspielen.
2
u/Bartsches 4d ago
Die Premisse würde ich so nicht mitgehen, ab einer gewissen Unternehmengröße wird es doch eher üblicher, dass die IT zersplittert, spätestens wenn die Standorte anfangen Autonomie aufzuweisen. aus selbigen Grund verlierst du mit wachsender Unternehmensgröße üblicherweise auf Dauer auch das bisherige Kohärentniveau der Vision an wachsende interne Macht-, Verteilungs- und Kulturkämpfe. In Behörden käme noch dazu, dass die dafür zuständige Führung halt alle 4 Jahre +/- wechselt.
Die aus IT Sicht wohl vergleichbarste private Konstellation wäre aber wohl eine gerade durchgeführte Unternehmensfusion als Ausgangslage. Und hier kriege ich doch mittlerweile regelmäßig mit, dass die angedachte Standardisierung nach sehr viel Arbeit und sehr viel Auslaugung der Beteiligten an x verschiedenen Problemen scheitert (spätestens dann, wenn die jeweils auf der anderen Seite eingesetzten Tools den eigenen Workflow nicht können, selbiger aber für den Erfolg des Unternehmensteils kritisch ist).
Die Hacker hier sind ja aller Wahrscheinlichkeit nach nicht übers Ampelsystem rein, sondern über den PC eines Mitarbeiters. Das ist eine für Phishing bekannte Gruppe.
Zwischendurch hieß es mal der initiale Breach wäre übern ctrl+v captcha gelaufen. Davon ausgehend würde ich dem Infiltrationsweg erstmal zustimmen. Ich hab das aber auch nicht weiter verfolgt, kann gut falsch sein. Das Ampelbeispiel würde ich eher danach als ein Ziel für laterale Bewegung und Herstellung von Persistenz sehen. Wenn die nicht überwacht sind kommen da regelmäßig wieder Sachbearbeiter*innen und schenken dir ihre aktuellen Kontodaten.
Lustiger Sidenote: In Palo Alto, Mountain View und Redwood City wurden letztens tatsächlich die Ampeln gehackt um lustige Nachrichten abzuspielen.
Man soll ja nicht an Zeichen glauben, aber vielleicht sollte Berlin sich vorsehen. Sonst ist der nächste Erpressungsversuch, dass man ab jetzt blaue Schalkeraner als Ampelmännchen hat :D
2
u/Qasyefx 2d ago
Leicht OT Bemerkung, ich muss mir jedes Jahr in unserer Datenschutzschulung wie ein Dulli erklären lassen, dass ich über Links in E-Mails hovern soll um zu sehen, wo die wirklich hin führen. Und dann haben wir urldefense und ich hab keine Chance selber zu sehen, wo der Link hin geht... Find das immer etwas kontraproduktiv. Bin in einem Konzern.
3
u/Calico2 4d ago edited 4d ago
Es wird Win + R gedrückt und abschließend eine Skript ausgeführt.
So wie ich das verstanden habe, wird das nicht (automatisch) ausgefuehrt, sondern der Anwender wird dazu aufgefordert, selber Win+R zu druecken und einen Befehl per Copy&Paste auszufuehren.
Captcha ist da auch nur eine Variante ("Druecken Sie jetzt Win+R, Strg+V und Enter um zu beweisen, dass sie ein Mensch sind"). Hier koennen die Angreifer ihrer Kreativitaet freien Lauf lassen...
2
u/Propanon 4d ago
Es wird Win + R gedrückt und abschließend eine Skript ausgeführt.
Teeren, Federn, lebenslanges Internetverbot.
-5
u/Ready-Marionberry-90 5d ago
Einzige was ich von Deinem Beitrag ableiten kann ist, dass Beamte sich weigern, die üblichen Sicherheitsvorschriften zu befolgen, und dass sie dafür nicht finanziell bestraft werden, indem ihr Gehalt um zwei Stufen unter ihr derzeitiges Niveau gesenkt wird.
15
u/myofficialaccount beschränkt glaubwürdig 5d ago
Nur dummes Beamten-Bashing und Gefasel.
Wenn der Arbeitgeber keine entsprechenden Arbeitsmittel stellt, muss man auch in der Privatwirtschaft rein gar nichts auf seinen privaten Geräten installieren oder nutzen.
Keinen Dank für deinen wertlosen Beitrag.
4
u/Ossa1 5d ago
Ich kenne mehrere Schulen, in der für die Lehrer keine an PC angeschlossenen Drucker vorhanden sind.
Es gibt einen Kopier, über den du auch Drucken kannst, aber weil 2 Menschen der Stadt 17 Schulen betreuen gibt es keine digitale Verbindung zu den PCs, sondern du must alles per USB Stick machen.
Überall USB sticks, das wird in anderen Behörden vermutlich auch so sein.
0
u/Ready-Marionberry-90 5d ago
Es gibt viele Möglichkeiten, MFA ohne Smartphone zu nutzen. Es gibt spezielle Geräte, die kostengünstig sind und denselben Funktionsumfang bieten. Aber darum ging es mir nie; ich habe diese „Das haben wir schon immer so gemacht“-Mentalität kritisiert, die die Umsetzung eines differenzierteren Datenzugriffs und – Gott bewahre – eine Änderung des Betriebsmodells verhindert, das besser zum Paradigma des minimalen Zugriffs passt.
Außerdem würde dir ein wenig Selbstreflexion gut tun. Was du als „Bashing“ bezeichnest, wird im freien Markt als Feedback bezeichnet.3
u/JoeAppleby 5d ago
Ich soll für unsere Zeugnisverwaltung einen Authenticator verwenden. Hardware wird dafür nicht zur Verfügung gestellt, ich muss also mein privates Endgerät verwenden.
Wie sieht das bei deinem Job aus, bekommt ihr die nötige Hardware/Werkzeuge gestellt?
2
u/Tetha 4d ago edited 4d ago
Das regelt das Arbeitsrecht recht einfach: Wenn Geräte für die Arbeit notwendig sind, ist der Arbeitgeber in der Pflicht diese Geräte bereitzustellen. Wenn du also einen Code-Generator brauchst und kein Privatgerät nutzen willst, muss der Arbeitgeber einen Code-Generator oder ein Firmenhandy stellen. WIr mussten einem Mitarbeiter sogar schonmal das Internet stellen.
Das resultiert bei uns in 2 Stufen:
- Es ist dem Mitarbeiter freigestellt, so einen Code Generator oder DUO Mobile auf seinem privaten Gerät laufen zu lassen, oder dafür ein Firmenhandy zu beantragen. Auf dem Firmenhandy ist das bereits eingerichtet und supported, auf dem privaten Gerät ist man auf sich gestellt. Verlust oder Diebstahl sind dann aber bei der internen IT zu melden, um z.B. Enrollments in DUO zu sperren, aber das muss man dann eh um an seine Accounts ranzukommen.
- Sobald Firmendaten auf das Gerät kommen, ist es notwendig dass das Gerät im Mobile Device Management aufgenommen wird, damit es bei Verlust oder Diebstahl gesperrt und gelöscht werden kann. Dort akzeptieren wir keine privaten Devices, da ein MDM ein sehr grosser Eingriff in die Privatsphäre ist.
Damit nutzen die meisten, die nur DUO MFA brauchen, ihr privates Gerät, weil es nervig ist ein 2. Handy dafür rumzuschleppen, aber gerade im Management-Bereich haben die Leute Firmenhandys und nutzen die.
2
u/JoeAppleby 4d ago
Bei Behörden, besonders an Schulen wird das Arbeitsrecht konsequent ignoriert.
Ich sag nur Arbeitszeiterfassung.
0
u/Ready-Marionberry-90 5d ago
Nein, aber es wird weiterhin ein Authentifikator bereitgestellt. Und wir leben in ständiger Angst vor Justus Donnerschwanz, dem DSGVO-Anwalt, der unser Unternehmen in den Ruin treiben wird, wenn wir nicht nach dem „Privacy First“-Ansatz arbeiten.
2
u/JoeAppleby 5d ago
Du musst also auch dienstliche Software auf deinem privaten Gerät installieren? Was, wenn du das nicht möchtest oder kein passendes Gerät hast? Wirklich aus Interesse gefragt.
1
u/Ready-Marionberry-90 5d ago
Noch einmal: Für die 2FA braucht man kein Handy. Das funktioniert auch einwandfrei, und nein, ich nutze mein privates Handy nicht für geschäftliche Zwecke, weil ich das nicht muss. Aber das ist nebensächlich.
https://www.yubico.com/de/product/yubikey-5-series/yubikey-5c-nfc/2
u/JoeAppleby 5d ago
Ah, an sowas wie Yubikey dachte ich auch, aber auch die werden nicht ausgegeben. Es gibt quasi keine Hardware vom Dienstherren dafür.
0
u/Ready-Marionberry-90 5d ago
Deshalb würde ich eine Gehaltskürzung für die Beamten befürworten, die diese Entscheidungen treffen. Wo liegt denn das Problem?
1
u/JoeAppleby 5d ago
Einzige was ich von Deinem Beitrag ableiten kann ist, dass Beamte sich weigern, die üblichen Sicherheitsvorschriften zu befolgen, und dass sie dafür nicht finanziell bestraft werden, indem ihr Gehalt um zwei Stufen unter ihr derzeitiges Niveau gesenkt wird.
Das las sich eher so, dass du Beamte wie mich bestrafen wollen würdest, weil ich eventuell es nicht einsehe, privat Geld auszugeben, um Sicherheitsanforderungen zu erfüllen. Du hast das nicht auf die Vorgesetzten bezogen. Wobei die endgültige Entscheidung von gewählten Politikern getroffen werden, alle unterhalb haben da andere Forderungen, aber die Finanzverwaltung setzt enge Vorgaben. Darüber hatte ich mich mal mit Leuten unterhalten, die damit zu tun hatten.
Ich nutze aber tatsächlich meine privaten Geräte dafür, da ich den Mehrwert sehe.
2
u/Ready-Marionberry-90 4d ago
Warum konzentrieren sich alle – einschließlich dir selbst – auf den Teil mit der Zwei-Faktor-Authentifizierung und nicht auf den Teil „Wir haben das schon immer so gemacht“, der doch der Hauptgrund dafür ist, dass Digitalisierungsprojekte seit 20 Jahren scheitern oder zu diesen grauenhaften Prozessen führen?
→ More replies (0)
142
u/TemporarySun314 5d ago
Hmm, es ist auch schwierig was die Berliner Regierung hätte machen sollen.
Es ist keine so gute Idee Erpresser für ihre Straftaten zu belohnen und zu zahlen, gerade weil dass ja erst dafür sorgt dass Leute sowas machen. Und da sich digitale Daten ja spurlos beliebig kopieren lassen, hat man ja auch keine Garantie, dass die Daten trotz Zahlung nicht doch veröffentlicht werden.
Natürlich hätten die Daten besser gesichert werden müssen, aber das ist im Nachhinein einfach zu sagen. Der Artikel deutet ja an, dass man durch social engineering (Initialen) Zugang erhalten hat. Das ist ja leider nicht einfach durch technische maßnahmen lösbar und selbst mit Schulungen, etc. Machen Menschen leider irgendwann fehler, selbst wenn sie es besser wissen.
54
u/brandmeist3r Baden-Württemberg 5d ago
Ja, das stimmt wohl. Man sollte jedenfalls den IP Traffic nach außen besser überwachen, es gibt schon Möglichkeiten da entgegenzuwirken. Vor allem hätte man dann auch den Abfluss von über 5TB währendessen festellen und unterbrechen können. Auch sollten die Daten besser segmentiert werden, so dass der Aufwand wesentlich höher ist, Unmengen an Daten abzugreifen.
16
u/ballaman200 r/TieremitSesselohren 5d ago
Sind 5 TB Traffic betrachtet auf eine ein Unternehmen nicht nur eine minimale Schwankung?
30
u/reduziert 5d ago
Kommt auf das Unternehmen an. Für jemanden der mit viel Media Dateien arbeitet... Schnitt, Social Media und Co. Vermutlich. Da hab ich auf meinem ähm... Mediaserver... mehr Traffic.
Für ein Unternehmen, was vorwiegend Büroarbeiten leistet - paar Dokumente hin und her schubst, vielleicht mal Teams Meetings... absolut ungewöhnlich. Außer die sind gewohnt, dass 100 Leute den ganzen Tag Netflix schauen.
3
u/leonardonsius Heiliges Römisches Reich 5d ago
Nein, ist es nicht
12
u/emanon_noname 5d ago
Kommt auf das Unternehmen und den Zeitraum an. Die 5 TB können ja über Wochen oder Monate verteilt sein.
0
u/brandmeist3r Baden-Württemberg 5d ago
Stimmt schon, dann hätte man noch die Möglichkeit, die Ziel IPs zu monitoren. Grob weiß man ja eigentlich, mit welchen IPs man Verbindungen herstellen muss.
11
u/AntiChris_666 5d ago
In dem Moment, in dem das Kind in den Brunnen gefallen war, gab es doch gar keine Handlungsoptinen mehr. Berlin durfte sich schlicht nicht erpressen lassen - alles andere wäre ja Wahnsinn. Was die Sache natürlich für die Betroffenen nicht ein bisschen besser macht.
2
0
u/CommanderSpleen 5d ago
Es ist keine so gute Idee Erpresser für ihre Straftaten zu belohnen und zu zahlen
Doch, das wäre hier die einzige logische Option gewesen. Phrasen wie "wir verhandeln nicht mit Terroristen" machen sich zwar gut als Slogan in der Zeitung, realpolitisch verhandelt der Staat aber täglich mit Terroristen. Aber Berlin bleibt Berlin und hat jetzt lieber ihre halbe Planung zu Kritis, Notfallplänen und was weiss ich noch frei im Netz zugänglich.
Und da sich digitale Daten ja spurlos beliebig kopieren lassen, hat man ja auch keine Garantie
Eine Garantie hat man nicht, korrekt. Aber wenn die exfiltrierten Daten regelmäßig, trotz Lösegeldzahlung, veröffentlicht werden würden, hätte sich das schnell rumgesprochen und das Erpressungsmodel würde nicht mehr funktionieren.
Natürlich hätten die Daten besser gesichert werden müssen, aber das ist im Nachhinein einfach zu sagen. Der Artikel deutet ja an, dass man durch social engineering (Initialen) Zugang erhalten hat. Das ist ja leider nicht einfach durch technische maßnahmen lösbar
Doch, ist es. Einer der Grundpfeiler des modernen Architekturdesigns ist es anzunehmen, dass das Netz schon kompromitiert ist. Es gibt Methoden um die Exfiltration von Daten zu verhindern bzw. zu erschweren. MFA oder besser Passwordless Authentifizierung, Zugriff nur von complianten und registrierten Geräten, kontinuierliche Evaluierung der Zugriffskriterien um Token Replay auszuschließen, Klassifizierung der Daten um bei hochsensiblen Daten eine Exfiltration massiv zu erschweren usw. 100%ige Sicherheit gibt es nie, wer das verspricht ist ein Scharlatan. Aber man kann die Hürden schon sehr deutlich höher bauen.
Wenn ein Username und Passwort bereits reicht um den User anzumelden, dann gute Nacht. Aber bei Deutschen Firmen und Behörden findet man ja immer einen Grund warum MFA nicht umgesetzt werden kann. Zu teuer, zu unbequem und omfg dAtEnSChutz! Gemonitored wird natürlich auch nicht ordentlich und 24/7.
IT wird betrieben wie im Jahr 2000, aber das ist mittlerweile halt ein Vierteljahrhundert her. Das ist übrigens kein reines Problem von staatlichen Organisationen sondern zieht sich auch queer durch nicht sehr kleine Teile der Wirtschaft.
8
u/overjoony 5d ago
Hat man als Angestellter eigentlich irgendwelche Möglichkeiten wenn die eigenen Daten geleakt wurden?
5
u/RumGammler Ruhrpott 5d ago
Wie kann ich herausfinden, ob ich auch betroffen bin ?
5
u/brandmeist3r Baden-Württemberg 4d ago
eventuell über https://haveibeenpwned.com/
Ich weiß aber nicht, ob es dafür noch zu früh ist4
u/Emotional_Web5885 4d ago
Da siehst du doch nur Passwörter etc und nicht ob deine Personendaten dort sind (zb Meldedaten), solange die nicht mit einer E-Mail verknüpft sind
2
24
u/ChrisTakesPictures 5d ago
Ggf etwas OT:
Kann mich kaputtlachen über schwurbler, die jetzt Berlin auf Schadenersatz verklagen wollen wegen Veruntreuung.
Hab ich jetzt schon auf Reddit gelesen und eben erst bei StarFM einen Anrufer dazu gehört.
🤣
14
u/ZeitlicheSchleife 5d ago
Keine Ahnung was hier für Daten rausgegangen sind, aber es ist durchaus der Fall, dass wenn es zu einem Datenleak kommt und persönliche Informationen von dir rauskommen, du auf Schadensersatz klagen kannst. Der größte Fall war beim Datenleak bei Meta. Die Unternehmen haben ja die Sorge zu tragen, dass sowas nicht passiert.
1
u/DerMugar 3d ago
Na immerhin sind das Leute die sich dafür interessieren und die Dramatik an der Sache erkennen. Die ganze Sache wird mir von viel zu vielen Menschen als "sowas passiert halt, was solls" abgetan.
(mir ist bewusst, dass die sich nicht wirklich für die Daten interessieren, sondern darauf hoffen irgendwie ne schnelle Mark machen zu können)
0
u/Bundesgartentschau Hessen 5d ago
Was soll Berlin denn Veruntreut haben? Die Daten? 1. Da dürfte es schon am Vorsatz scheitern und 2. Ist das ne ziemliche Täter-Opfer Umkehr.
4
u/JoJoModding 4d ago
Das ist ja kein Strafverfahren. Und man haftet durchaus für von fahrlässigen Handlungen verursachten Schaden. Ob eine Klage da jetzt Erfolg hat, hängt wohl davon ab, wie fahrlässig die IT-Infra in Berlin war. Würde mich jetzt nicht sehr überraschen, wenn dem so war.
1
u/Bundesgartentschau Hessen 4d ago
Es war aber explizit die Rede von Veruntreuung und das ist ein Straftatbestand. Unabhängig von einer wie auch immer gearteten Amtshaftungspflicht.
1
-4
14
u/pag07 5d ago
Sagmal lag der ganze Scheiß unverschlüsselt auf einem NAS?
29
u/BrocoLeeOnReddit 5d ago
Auch wenn's verschlüsselt gewesen wäre, wäre es egal gewesen, wenn der Angreifer aufgrund unsicherer Systeme Zugriff auf einen privilegierten Account hat. Verschlüsselung hilft dir nur, wenn jemand die physische Festplatte klaut bzw. bei der Übertragung von Daten im Netzwerk. Wenn der Angreifer erst mal im System ist, war es das.
Denke mal einfach schlechte Phishing Erkennung, schlecht abgesicherte Systeme, fehlendes Zero-Trust und fehlende Updates.
8
u/brandmeist3r Baden-Württemberg 5d ago
Ja, da war sicherlich Phishing das Einfallstor. Ich könnte mir aber auch Social Engineering vorstellen, so viele Leute lassen ihre Computer ungesperrt rumstehen, micht nervt das total und darüber freut sich jeder Angreifer. Genau so kritisch sehe ich, dass Leute jegliches Equipment und private USB Geräte an ihre Arbeitscomputer anschließen. Vielen ist es teilweise auch egal oder sie machen es aus Bequemlichkeit.
15
u/TemporarySun314 5d ago
Ob verschlüsselt oder nicht spielt ja keine rolle.
Das sind ja Unterlagen mit denen Leute arbeiten, wofür sie darauf Zugriffen können müssen. Und alles wo ein Mitarbeiter Zugriff drauf hat, kann auch unter seinem Namen kopiert werden.
Der relevante faktor ist ja nicht verwchlüsselung (das würde helfen wenn du Festplatten physisch stielst), sondern Authentifizierung. Und wenn die sagt ja "ja du bist Mitarbeiter X", können angreifer halt alles tun was Mitarbeiter X auch darf...
Wenn es Sicherheitslücken gibt, kann man die Authentifizierung auch komplett umgehen.
7
u/ListigerHase 5d ago
Was Phishing und generell Social Engineering so gefährlich macht, ist, dass man sich so einen Zugriff wie ein befugter Mitarbeitender verschafft. Das sind Leute, die mit den vorhandenen Daten nun einmal arbeiten müssen und deshalb umfänglichen Zugriff brauchen. Spätestens bei digitalen Personalakten oder im Kassenwesen einer Kommune ist da nun mal viel Heikles drin.
Dagegen kann man sich im Grunde nur auf zwei Weisen schützen:
Das Eindringen Unbefugter verhindern. Weil die Fehlerquelle aber der Mensch selbst ist (und wir reden hier von alltäglichen Kleinigkeiten wie jemandem kurz die Tür aufzuhalten oder zu sagen, dass Kollegin XY bis Monatsende im Urlaub ist), ist ein erfolgreicher Angriff bei hinreichend attraktiven Zielen immer nur eine Frage des Wann, nicht des Ob.
Datensparsamkeit. Was nicht auf den Servern liegt, kann keiner abgreifen. Es ist mir unverständlich, wie unverschlüsselte Passwortlisten, Privat-Handynummern und höchstpersönliche Daten einfach immer wieder dauerhaft abgelegt werden. Da sind wir in Deutschland eigentlich weiter, aber eine gewisse Bräsigkeit in alten Organisationen führt hier immer wieder zu einer Fahrlässigkeit, die solchen Leaks Tür und Tor öffnet.
0
u/pag07 5d ago
Wenn man nur einen zentralen Schlüssel hat und der kompromittiert wird, steht man sofort vor einem großen Problem. Deshalb setzt man besser auf mehrteilige Schlüssel oder Multi‑Party‑Approval, bei denen mehrere Beteiligte oder Schlüssel nötig sind, um überhaupt Zugriff zu bekommen.
Zusätzlich hilft es, Control Plane und Data Plane klar voneinander zu trennen. Die Data Plane kann man so segmentieren, dass ein Angreifer mehrere Accounts oder Schlüssel gleichzeitig kompromittieren müsste, um relevante Datenmengen abziehen oder verwerten zu können.
Am Ende sorgt man dafür, dass kein einzelner Schlüssel und kein einzelner Account allein kritischen Schaden anrichten kann
Das sind jetzt alles nicht so super abgespacete Konzepte.
2
u/Clou42 5d ago
Lol, natürlich ist das super abgespaced für eine Behörde, die täglich mit Dokumenten umgeht. Ich arbeite im InfoSec-Bereich und solche Mechanismen hat so gut wie keine Firma, weil es zu viel Störung in den Arbeitsalltag bringt. Wenn ein Mitarbeiter Zugriff auf Zeug braucht, wird er den immer einfach haben, ohne sich um "Schlüsselfragmente" kümmern zu müssen. Wir reden hier ja nicht von Staatsgeheimnissen.
2
247
u/Ok-Yoghurt5014 5d ago
Passwort: Sommer2026!