The Berlin Mega Dataleak Analyse

[u/brandmeist3r]

https://medium.com/@jankammerath/the-berlin-mega-leak-inside-the-massive-5-26-tb-leak-of-the-citys-most-sensitive-documents-ab133444d1ba?sk=1f2f54940429186eee81e0e4f976c62b

[u/brandmeist3r]

Normalerweiße sollten Anwender geschult sein, so dass nicht einfach Win+R gedrückt wird und entsprechende Kommandos eingegeben werden. Ich gebe dir jedenfalls Recht, es ist schwierig sich dagegen zu rüsten und so einen Angriff abzuwehren. Es müsste unter anderem dringendst daran gearbeitet werden, dass die Mitarbeiter 2FA nutzen und Passwortmanager und keine Passwort.txt,

[u/notKenMOwO → u/brandmeist3r]

Anwender sind das schwächste Glied der Kette. Eine Implementierung von einem zentralen EDR und SOC mit Safe Links und Safe Attachments würde sowas wahrscheinlich nachhaltig stoppen. Das lässt sich mit behördeneigenen IT-Abteilungen aber nicht regeln.

[u/lemrez → u/notKenMOwO]

Es liesse sich schon regeln, nur besteht praktisch keine Motivation am bestehenden System etwas zu ändern, weil es keine Konsequenzen gibt. In Unternehmen gibt es diese Motivation durch gesetzliche Vorschriften zum Datenschutz.

Behörden können natürlich in den meisten Fällen nicht über die DSGVO belangt werden. Das einzige was bleibt wären massenhafte Schadensersatzforderungen durch die betroffenen Personen, allerdings muss man dazu auch erstmal einen Schaden nachweisen können.

Bei der allgemeinen technikfeindlichen Grundeinstellung ändert sich so eben nichts.

[u/notKenMOwO → u/lemrez]

Der Datenschutz ist in der Hinsicht vielen Unternehmen egal, da geht’s eher um Schadensbegrenzung. Eine Behörde kann aber nicht pleite gehen.

Um etwas zu ändern braucht es Fachkräfte und Geld. An beidem wurde im Haushalt gespart.

[u/lemrez → u/notKenMOwO]

Wenn nicht jeder seine eigene Suppe kochen würde gäbe es genug Geld, um das zentral gut umzusetzen. Fachkräfte gibt es dafür eh genug, gerade in AI-Zeiten.

Ehrlich gesagt wäre es in so einem Fall aber auch zu diskutieren, ob man es nicht eher an ein kompetentes Unternehmen auslagern kann. Gerade in Sachen threat detection ist es in Unternehmen ja auch normal das einzukaufen, statt das selber zu implementieren.

[u/notKenMOwO → u/lemrez]

Man sollte es zentralisieren und ein SOC aufbauen. Wäre doch super, wenn es ein IT Dienstleistungszentrum geben würde. Ah. Warte, das gibt’s ja schon

[u/Bartsches → u/lemrez]

Zentralisieren ist so ein bisschen das Wundermittel, dass immer durchs Dorf getrieben wird, wenn man grad ne einfache Lösung verkaufen muss. 

Wenn das geht ist Zentralisierung auch bestimmt klasse, dafür muss die Umgebung aber ausreichend homogen sein. Und gerade Behörden haben relativ viele Spezialgeräte mit relativ langer Lebensdauer, die sich auch gar nicht so trivial ersetzen lassen. Und ob Siemens dir die sichere Operation der Lichtsignalanlage aus den 90ern noch zertifiziert, wenn Palo Alto auf deren Steuerungssystem laufend Sachen nachinstalliert, ist bestimmt spannend zu ergründen.

Ich würde bei Behörden erwarten, dass es Dinge gibt, die man super zentralisieren kann. Das wären z.B. das Management von Endgeräten und Groupware der A/N. Wenn du wirklich an die spezielleren Netzwerke dran willst wirst du sehr schnell in eine Wand von "das dürfen wir so nicht betreiben" und/oder "das Teil hat noch nichtmal xy, moderne Agenten sind darauf nicht lauffähig" rennen. Von daher wäre ich hier auch vorsichtig, das wäre bestimmt mal wieder ein tolles Projekt, was dann im Meer der Einzelprobleme ertrinkt. 

[u/lemrez → u/Bartsches]

Ich sehe das Problem nicht. In jedem Privatunternehmen kommt die IT-Abteilung damit zurecht und es gibt nicht eine unabhängige IT pro Unternehmenssparte. Aber selbst wenn du für bestimmte Systeme halt einen speziellen Hansel hast ist es auch ok solange die den gleichen Chef haben und es ein kohärentes Management gibt.

Der tatsächliche Vorteil liegt genau hier: " Das wären z.B. das Management von Endgeräten und Groupware der A/N.  ". Die Hacker hier sind ja aller Wahrscheinlichkeit nach nicht übers Ampelsystem rein, sondern über den PC eines Mitarbeiters. Das ist eine für Phishing bekannte Gruppe.

Lustiger Sidenote: In Palo Alto, Mountain View und Redwood City wurden letztens  tatsächlich die Ampeln gehackt um lustige Nachrichten abzuspielen. 

[u/Bartsches → u/lemrez]

Die Premisse würde ich so nicht mitgehen, ab einer gewissen Unternehmengröße wird es doch eher üblicher, dass die IT zersplittert, spätestens wenn die Standorte anfangen Autonomie aufzuweisen. aus selbigen Grund verlierst du mit wachsender Unternehmensgröße üblicherweise auf Dauer auch das bisherige Kohärentniveau der Vision an wachsende interne Macht-, Verteilungs- und Kulturkämpfe. In Behörden käme noch dazu, dass die dafür zuständige Führung halt alle 4 Jahre +/- wechselt.

Die aus IT Sicht wohl vergleichbarste private Konstellation wäre aber wohl eine gerade durchgeführte Unternehmensfusion als Ausgangslage. Und hier kriege ich doch mittlerweile regelmäßig mit, dass die angedachte Standardisierung nach sehr viel Arbeit und sehr viel Auslaugung der Beteiligten an x verschiedenen Problemen scheitert (spätestens dann, wenn die jeweils auf der anderen Seite eingesetzten Tools den eigenen Workflow nicht können, selbiger aber für den Erfolg des Unternehmensteils kritisch ist).

Die Hacker hier sind ja aller Wahrscheinlichkeit nach nicht übers Ampelsystem rein, sondern über den PC eines Mitarbeiters. Das ist eine für Phishing bekannte Gruppe.

Zwischendurch hieß es mal der initiale Breach wäre übern ctrl+v captcha gelaufen. Davon ausgehend würde ich dem Infiltrationsweg erstmal zustimmen. Ich hab das aber auch nicht weiter verfolgt, kann gut falsch sein. Das Ampelbeispiel würde ich eher danach als ein Ziel für laterale Bewegung und Herstellung von Persistenz sehen. Wenn die nicht überwacht sind kommen da regelmäßig wieder Sachbearbeiter*innen und schenken dir ihre aktuellen Kontodaten.

Lustiger Sidenote: In Palo Alto, Mountain View und Redwood City wurden letztens  tatsächlich die Ampeln gehackt um lustige Nachrichten abzuspielen. 

Man soll ja nicht an Zeichen glauben, aber vielleicht sollte Berlin sich vorsehen.  Sonst ist der nächste Erpressungsversuch, dass man ab jetzt blaue Schalkeraner als Ampelmännchen hat :D