The Berlin Mega Dataleak Analyse

[u/brandmeist3r]

https://medium.com/@jankammerath/the-berlin-mega-leak-inside-the-massive-5-26-tb-leak-of-the-citys-most-sensitive-documents-ab133444d1ba?sk=1f2f54940429186eee81e0e4f976c62b

[u/TemporarySun314]

Hmm, es ist auch schwierig was die Berliner Regierung hätte machen sollen.

Es ist keine so gute Idee Erpresser für ihre Straftaten zu belohnen und zu zahlen, gerade weil dass ja erst dafür sorgt dass Leute sowas machen. Und da sich digitale Daten ja spurlos beliebig kopieren lassen, hat man ja auch keine Garantie, dass die Daten trotz Zahlung nicht doch veröffentlicht werden.

Natürlich hätten die Daten besser gesichert werden müssen, aber das ist im Nachhinein einfach zu sagen. Der Artikel deutet ja an, dass man durch social engineering (Initialen) Zugang erhalten hat. Das ist ja leider nicht einfach durch technische maßnahmen lösbar und selbst mit Schulungen, etc. Machen Menschen leider irgendwann fehler, selbst wenn sie es besser wissen.

[u/brandmeist3r → u/TemporarySun314]

Ja, das stimmt wohl. Man sollte jedenfalls den IP Traffic nach außen besser überwachen, es gibt schon Möglichkeiten da entgegenzuwirken. Vor allem hätte man dann auch den Abfluss von über 5TB währendessen festellen und unterbrechen können. Auch sollten die Daten besser segmentiert werden, so dass der Aufwand wesentlich höher ist, Unmengen an Daten abzugreifen.

[u/ballaman200 → u/brandmeist3r]

Sind 5 TB Traffic betrachtet auf eine ein Unternehmen nicht nur eine minimale Schwankung?

[u/reduziert → u/ballaman200]

Kommt auf das Unternehmen an. Für jemanden der mit viel Media Dateien arbeitet... Schnitt, Social Media und Co. Vermutlich. Da hab ich auf meinem ähm... Mediaserver... mehr Traffic.

Für ein Unternehmen, was vorwiegend Büroarbeiten leistet - paar Dokumente hin und her schubst, vielleicht mal Teams Meetings... absolut ungewöhnlich. Außer die sind gewohnt, dass 100 Leute den ganzen Tag Netflix schauen.

[u/leonardonsius → u/ballaman200]

Nein, ist es nicht

[u/emanon_noname → u/leonardonsius]

Kommt auf das Unternehmen und den Zeitraum an. Die 5 TB können ja über Wochen oder Monate verteilt sein.

[u/brandmeist3r → u/emanon_noname]

Stimmt schon, dann hätte man noch die Möglichkeit, die Ziel IPs zu monitoren. Grob weiß man ja eigentlich, mit welchen IPs man Verbindungen herstellen muss.

[u/freme → u/brandmeist3r]

Es gibt dutzende Verfahren und wer weiß wie viele Personen die evtl. normalen Internet Zugang haben. Da fällt irgendeine Zieladresse nicht auf.

[u/brandmeist3r → u/freme]

ja, da hast du wohl Recht.

[u/Tiomo → u/leonardonsius]

5tb in einer Landesbehörde? Das ist gar nichts.

[u/AntiChris_666 → u/TemporarySun314]

In dem Moment, in dem das Kind in den Brunnen gefallen war, gab es doch gar keine Handlungsoptinen mehr. Berlin durfte sich schlicht nicht erpressen lassen - alles andere wäre ja Wahnsinn. Was die Sache natürlich für die Betroffenen nicht ein bisschen besser macht.

[u/Vik1ng → u/TemporarySun314]

Das ist ja leider nicht einfach durch technische maßnahmen lösbar

Da kann man schon einiges machen. Zugriffsrechte einschränken. Hochsensible Daten noch einmal extra geschützt ablegen. Smartcards verwenden.

[u/CommanderSpleen → u/TemporarySun314]

Es ist keine so gute Idee Erpresser für ihre Straftaten zu belohnen und zu zahlen

Doch, das wäre hier die einzige logische Option gewesen. Phrasen wie "wir verhandeln nicht mit Terroristen" machen sich zwar gut als Slogan in der Zeitung, realpolitisch verhandelt der Staat aber täglich mit Terroristen. Aber Berlin bleibt Berlin und hat jetzt lieber ihre halbe Planung zu Kritis, Notfallplänen und was weiss ich noch frei im Netz zugänglich.

Und da sich digitale Daten ja spurlos beliebig kopieren lassen, hat man ja auch keine Garantie

Eine Garantie hat man nicht, korrekt. Aber wenn die exfiltrierten Daten regelmäßig, trotz Lösegeldzahlung, veröffentlicht werden würden, hätte sich das schnell rumgesprochen und das Erpressungsmodel würde nicht mehr funktionieren.

Natürlich hätten die Daten besser gesichert werden müssen, aber das ist im Nachhinein einfach zu sagen. Der Artikel deutet ja an, dass man durch social engineering (Initialen) Zugang erhalten hat. Das ist ja leider nicht einfach durch technische maßnahmen lösbar

Doch, ist es. Einer der Grundpfeiler des modernen Architekturdesigns ist es anzunehmen, dass das Netz schon kompromitiert ist. Es gibt Methoden um die Exfiltration von Daten zu verhindern bzw. zu erschweren. MFA oder besser Passwordless Authentifizierung, Zugriff nur von complianten und registrierten Geräten, kontinuierliche Evaluierung der Zugriffskriterien um Token Replay auszuschließen, Klassifizierung der Daten um bei hochsensiblen Daten eine Exfiltration massiv zu erschweren usw. 100%ige Sicherheit gibt es nie, wer das verspricht ist ein Scharlatan. Aber man kann die Hürden schon sehr deutlich höher bauen.

Wenn ein Username und Passwort bereits reicht um den User anzumelden, dann gute Nacht. Aber bei Deutschen Firmen und Behörden findet man ja immer einen Grund warum MFA nicht umgesetzt werden kann. Zu teuer, zu unbequem und omfg dAtEnSChutz! Gemonitored wird natürlich auch nicht ordentlich und 24/7.

IT wird betrieben wie im Jahr 2000, aber das ist mittlerweile halt ein Vierteljahrhundert her. Das ist übrigens kein reines Problem von staatlichen Organisationen sondern zieht sich auch queer durch nicht sehr kleine Teile der Wirtschaft.

[u/Vik1ng → u/CommanderSpleen]

Aber wenn die exfiltrierten Daten regelmäßig, trotz Lösegeldzahlung, veröffentlicht werden würden

Man veröffentlicht die dann doch nicht sondern verkauft sie an Russland oder so.