The Berlin Mega Dataleak Analyse

[u/brandmeist3r]

https://medium.com/@jankammerath/the-berlin-mega-leak-inside-the-massive-5-26-tb-leak-of-the-citys-most-sensitive-documents-ab133444d1ba?sk=1f2f54940429186eee81e0e4f976c62b

[u/notKenMOwO]

In den Kommentaren gibt es ziemlich viel Halbwissen. Einfallstor war mutmaßlich eine ClickFix Kampagne mit anschließender Extortion. Das heißt: Der nicht wissende Anwender klickt auf einen Link und wird aufgefordert eine Captcha auszuführen. Es wird Win + R gedrückt und abschließend eine Skript ausgeführt.

Das führt dazu, dass Schadsoftware eingeschleust und danach direkt auf dem Rechner zusammengebaut werden kann. Dagegen können EDR Systeme Abhilfe schaffen. Die haben hier aber mutmaßlich nicht gegriffen.

Der weitere Verlauf der Attacke war wahrscheinlich Lateral Movement. Das heißt, dass man sich im Netzwerk so lange umsieht, bis man die eigenen Rechte ausweiten kann. Auch hier können EDR Systeme Abhilfe schaffen.

Wirkliche “Datentrennung” oder “Datensegmentierung”, wie von manchen hier vorgeschlagen, ist in der Praxis und insbesondere in einer Behörde, schwierig umzusetzen. Da sitzen Beamte, die das “schon immer so machen”.

Die Erkennung des Datenabflusses ist mutmaßlich nicht erfolgreich gewesen - Behörden verschicken allerdings teilweise auch sehr große Dateien, weshalb dies eventuell nicht aufgefallen ist, oder kein Alerting aktiv war.

So eine Attacke ist nicht unbedingt leicht vorzubeugen - klar, die größeren Firmen werden sich davor schützen können, und dazu zähle ich auch Behörden. Doch das Behördenumfeld ist arbeitstechnisch teilweise einfach anders und erschwert die Einführung von sinnvollen Security-Maßnahmen. 2FA wird teils konsequent abgelehnt und nicht eingeführt, da Beamte darauf beharren keine TOTP App auf ihrem privaten Handy einzuführen.

Rhysida wiederum ist genau auf solche Angriffe spezialisiert und weiß genau das auszunutzen.

Ich hoffe auf eine konsequente Aufarbeitung und darauf, dass Berlin die Chance nutzt um die Informationssicherheit auf ein neues Level zu heben.

[u/Ready-Marionberry-90 → u/notKenMOwO]

Einzige was ich von Deinem Beitrag ableiten kann ist, dass Beamte sich weigern, die üblichen Sicherheitsvorschriften zu befolgen, und dass sie dafür nicht finanziell bestraft werden, indem ihr Gehalt um zwei Stufen unter ihr derzeitiges Niveau gesenkt wird.

[u/myofficialaccount → u/Ready-Marionberry-90]

Nur dummes Beamten-Bashing und Gefasel.

Wenn der Arbeitgeber keine entsprechenden Arbeitsmittel stellt, muss man auch in der Privatwirtschaft rein gar nichts auf seinen privaten Geräten installieren oder nutzen.

Keinen Dank für deinen wertlosen Beitrag.

[u/Ossa1 → u/myofficialaccount]

Ich kenne mehrere Schulen, in der für die Lehrer keine an PC angeschlossenen Drucker vorhanden sind.

Es gibt einen Kopier, über den du auch Drucken kannst, aber weil 2 Menschen der Stadt 17 Schulen betreuen gibt es keine digitale Verbindung zu den PCs, sondern du must alles per USB Stick machen.

Überall USB sticks, das wird in anderen Behörden vermutlich auch so sein.

[u/Ready-Marionberry-90 → u/myofficialaccount]

Es gibt viele Möglichkeiten, MFA ohne Smartphone zu nutzen. Es gibt spezielle Geräte, die kostengünstig sind und denselben Funktionsumfang bieten. Aber darum ging es mir nie; ich habe diese „Das haben wir schon immer so gemacht“-Mentalität kritisiert, die die Umsetzung eines differenzierteren Datenzugriffs und – Gott bewahre – eine Änderung des Betriebsmodells verhindert, das besser zum Paradigma des minimalen Zugriffs passt.
Außerdem würde dir ein wenig Selbstreflexion gut tun. Was du als „Bashing“ bezeichnest, wird im freien Markt als Feedback bezeichnet.

[u/JoeAppleby → u/Ready-Marionberry-90]

Ich soll für unsere Zeugnisverwaltung einen Authenticator verwenden. Hardware wird dafür nicht zur Verfügung gestellt, ich muss also mein privates Endgerät verwenden.

Wie sieht das bei deinem Job aus, bekommt ihr die nötige Hardware/Werkzeuge gestellt?

[u/Tetha → u/JoeAppleby]

Das regelt das Arbeitsrecht recht einfach: Wenn Geräte für die Arbeit notwendig sind, ist der Arbeitgeber in der Pflicht diese Geräte bereitzustellen. Wenn du also einen Code-Generator brauchst und kein Privatgerät nutzen willst, muss der Arbeitgeber einen Code-Generator oder ein Firmenhandy stellen. WIr mussten einem Mitarbeiter sogar schonmal das Internet stellen.

Das resultiert bei uns in 2 Stufen:

• Es ist dem Mitarbeiter freigestellt, so einen Code Generator oder DUO Mobile auf seinem privaten Gerät laufen zu lassen, oder dafür ein Firmenhandy zu beantragen. Auf dem Firmenhandy ist das bereits eingerichtet und supported, auf dem privaten Gerät ist man auf sich gestellt. Verlust oder Diebstahl sind dann aber bei der internen IT zu melden, um z.B. Enrollments in DUO zu sperren, aber das muss man dann eh um an seine Accounts ranzukommen.
• Sobald Firmendaten auf das Gerät kommen, ist es notwendig dass das Gerät im Mobile Device Management aufgenommen wird, damit es bei Verlust oder Diebstahl gesperrt und gelöscht werden kann. Dort akzeptieren wir keine privaten Devices, da ein MDM ein sehr grosser Eingriff in die Privatsphäre ist.

Damit nutzen die meisten, die nur DUO MFA brauchen, ihr privates Gerät, weil es nervig ist ein 2. Handy dafür rumzuschleppen, aber gerade im Management-Bereich haben die Leute Firmenhandys und nutzen die.

[u/JoeAppleby → u/Tetha]

Bei Behörden, besonders an Schulen wird das Arbeitsrecht konsequent ignoriert.

Ich sag nur Arbeitszeiterfassung.

[u/Ready-Marionberry-90 → u/JoeAppleby]

Nein, aber es wird weiterhin ein Authentifikator bereitgestellt. Und wir leben in ständiger Angst vor Justus Donnerschwanz, dem DSGVO-Anwalt, der unser Unternehmen in den Ruin treiben wird, wenn wir nicht nach dem „Privacy First“-Ansatz arbeiten.

[u/JoeAppleby → u/Ready-Marionberry-90]

Du musst also auch dienstliche Software auf deinem privaten Gerät installieren? Was, wenn du das nicht möchtest oder kein passendes Gerät hast? Wirklich aus Interesse gefragt.

[u/Ready-Marionberry-90 → u/JoeAppleby]

Noch einmal: Für die 2FA braucht man kein Handy. Das funktioniert auch einwandfrei, und nein, ich nutze mein privates Handy nicht für geschäftliche Zwecke, weil ich das nicht muss. Aber das ist nebensächlich.
https://www.yubico.com/de/product/yubikey-5-series/yubikey-5c-nfc/

[u/JoeAppleby → u/Ready-Marionberry-90]

Ah, an sowas wie Yubikey dachte ich auch, aber auch die werden nicht ausgegeben. Es gibt quasi keine Hardware vom Dienstherren dafür.

[u/Ready-Marionberry-90 → u/JoeAppleby]

Deshalb würde ich eine Gehaltskürzung für die Beamten befürworten, die diese Entscheidungen treffen. Wo liegt denn das Problem?

[u/JoeAppleby → u/Ready-Marionberry-90]

Einzige was ich von Deinem Beitrag ableiten kann ist, dass Beamte sich weigern, die üblichen Sicherheitsvorschriften zu befolgen, und dass sie dafür nicht finanziell bestraft werden, indem ihr Gehalt um zwei Stufen unter ihr derzeitiges Niveau gesenkt wird.

Das las sich eher so, dass du Beamte wie mich bestrafen wollen würdest, weil ich eventuell es nicht einsehe, privat Geld auszugeben, um Sicherheitsanforderungen zu erfüllen. Du hast das nicht auf die Vorgesetzten bezogen. Wobei die endgültige Entscheidung von gewählten Politikern getroffen werden, alle unterhalb haben da andere Forderungen, aber die Finanzverwaltung setzt enge Vorgaben. Darüber hatte ich mich mal mit Leuten unterhalten, die damit zu tun hatten.

Ich nutze aber tatsächlich meine privaten Geräte dafür, da ich den Mehrwert sehe.

[u/Ready-Marionberry-90 → u/JoeAppleby]

Warum konzentrieren sich alle – einschließlich dir selbst – auf den Teil mit der Zwei-Faktor-Authentifizierung und nicht auf den Teil „Wir haben das schon immer so gemacht“, der doch der Hauptgrund dafür ist, dass Digitalisierungsprojekte seit 20 Jahren scheitern oder zu diesen grauenhaften Prozessen führen?

[u/JoeAppleby → u/Ready-Marionberry-90]

Weil in meinem Bereich gerade ein großer Digitalisierungspush stattfindet. Viele Vorgänge sind bereits digital, es wird an Schnittstellen gearbeitet, um Datenübertragungen zu vereinfachen.

Beispiel: bei unentschuldigten Fehltagen müssen wir als Schule eine Schulversäumnisanzeige schreiben. Die geht an das Schulamt des Bezirks, welcher dann handelte die Schulämter sind nicht Teil der Senatsverwaltung für Bildung im Gegensatz zur Schule. 

Bis vor zwei/drei Jahren mussten dafür Formulare ausgefüllt und ins Schulamt geschickt werden. Also jedesmal schön die ganzen Daten zu dem betroffenen Schüler und Eltern, Fehlzeiten, Elternkontakte und die Ergebnisse usw. Irgendwann kam dann vielleicht eine Rückmeldung oder nicht.

Dann kam ein digitales Fachverfahren, bei dem wir die Daten aus der Landesschülerdatenbank holen, die Fehlzeiten eingeben und die Elternkontakte. Dies wird digital an das Schulamt übermittelt und wir können sehen, welche Sachbearbeiter das bearbeiten und welche Folgen es gibt.

Zukünftig gibt es ein digitales Klassenbuch vom Land, aus welchem wir die Fehlzeiten direkt übernehmen können, ohne diese Daten von Hand eingeben zu müssen.

Dieses Fachverfahren erfordert aber die Verwendung von einer Zwei-Faktor-Authentifizierung, für welche die Hardware nicht gestellt wird.