Bundesamt für Sicherheit in der Informationstechnik

SICHER • INFORMIERT vom 15.03.2018

Ausgabe: 06/2018

Schnell zum Abschnitt

Editorial

Liebe Leserin, lieber Leser,

meteorologisch hat der Frühling genau vor 14 Tagen begonnen und in vielen Häusern und Wohnungen ist längst der Startschuss für einen umfangreichen Frühjahrsputz gefallen. Dies ist der ideale Zeitpunkt, um auch einen digitalen Frühjahrsputz zu starten. Entrümpeln Sie Ihre Endgeräte und bringen Sie diese auf Vordermann! Mit einem sauberen PC, Laptop oder Smartphone auf dem aktuellsten Stand können Sie wieder mit mehr Sicherheit im Internet surfen. Was Sie neben dem digitalen Frühjahrsputz machen können, um Sicherheitsrisiken bei Ihren Gerätenzu minimieren, und welche aktuellen Cyber-Gefahrenderzeit im Netz kursieren, erfahren Sie in dieser Ausgabe unseres Newsletters.

Wir wünschen Ihnen eine spannende Lektüre.

Ihr Bürger-CERT-Team

Störenfriede

1. Phishing: NetCologne-Kunden sollten achtsam sein

Erneut sind Phishing-Mails im Umlauf. Dieses Mal stehen NetCologne-Kundinnen und Kunden im Fokus der Angriffswelle, wie der Blog botfrei.de berichtet. In einer E-Mail, angeblich vom "Postmeister" des NetCologne-Service, wird dem Empfänger angekündigt, dass dessen Konto aufgrund eines Script-Fehlers innerhalb kürzester Zeit deaktiviert wird. Damit dies nicht geschieht, soll dieser innerhalb von 24 Stunden eine Kurz-URL anklicken, die mit der E-Mail verschickt wurde. Kommen die potenziellen Opfer der Aufforderung nach, öffnet sich eine gefälschte Login-Seite, mit der Online-Betrüger die Zugangsdaten der NetCologne-Kunden abgreifen möchten. Um nicht in die Phishing-Falle zu tappen, sollten Sie eingehende E-Mails immer kritisch betrachten und überprüfen, ob diese echt sein kann.

Zur Meldung des Blogs botfrei.de: Phishing-Angriff auf NetCologne Kunden

2. Trojaner: Gefälschte Klarna-Rechnung mit Schadcode E-Mail-Anhang

Derzeit versenden Cyber-Kriminelle gefälschte E-Mails, die angeblich von der Klarna Bank AB in Stockholm stammen. Laut der Polizei Niedersachsen wird in der E-Mail behauptet, dass sich im Anhang eine noch offene Rechnung befindet, die der Empfänger trotz nach Zahlungserinnerung nicht beglichen habe. Die Rechnung ist in einer ZIP-Datei versteckt und gefälscht. Sie dient lediglich dazu, auf den Rechnern der Opfer ein Schadprogramm zu installieren, sobald Nutzerinnen und Nutzer die Datei öffnen. Seien Sie immer vorsichtig, wenn Ihnen eine E-Mail zweifelhaft vorkommt, Sie beispielsweise gar keine Rechnung erwarten. Auch wenn E-Mails Ihren echten Namen und Ihre richtige Adresse beinhalten, kann es sich um einen Betrugsversuch handeln. Der 3-Sekunden-Sicherheits-Check hilft Ihnen zu entscheiden, ob Sie einer E-Mail Vertrauen schenken können oder nicht.

Zur Meldung der Polizei Niedersachsen: Klarna-Rechnung? Täter versenden Trojaner im Anhang

3. Passwortsicherheit: Apps zur Bündelung von E-Mail-Konten übertragen Kennwörter

Android-Apps wie Blue Mail, My Mail, Type App, Mail.ru, Email und E-Mail für Outlook sind bei Nutzerinnen und Nutzern sehr beliebt. Sie bieten die Möglichkeit, mehrere E-Mail-Adressen zusammenzufassen und über eine einzige Anwendung abzurufen. Allerdings werden bei diesen Programmen die E-Mail-Adressen und Passwörter der einzelnen E-Mail-Dienste im Klartext an die Anbieter der Apps weitergeleitet, hat ein App-Tester im Auftrag von Mobilsicher.de herausgefunden. Mittlerweile wurden von einigen App-Herstellern zwar Updates zur Verfügung gestellt, sodass keine Passwort-Übertragung an die Entwickler mehr stattfindet. Nutzerinnen und Nutzern sollten auf jeden Fall die Zugangsdaten zu den dort hinterlegten E-Mail-Konten so bald wie möglich zu ändern und den Einsatz der Apps nochmals genau prüfen. Bei der Vergabe Ihrer Passwörter sollten Sie stets darauf achten, dass diese bestimmte Qualitätsanforderungen erfüllen und dass Sie sie nur für einen Zugang verwenden. Weitere Tipps für ein gutes Passwort finden Sie auf BSI für Bürger.

Zum Artikel auf Mobilsicher.de: Sicherheits-Desaster: Mail-Apps übertragen Passwörter

4. Krypto-Malware: Missbräuchliches Schürfen von Krypto-Währungen nimmt zu

Der Erfolg von Krypto-Währungen hat zu einem neuen Trend bei Malware geführt: Malware, die heimlich infizierte Rechner zum Schürfen einsetzt. Laut ZDNet merken Verbraucherinnen und Verbraucher in vielen Fällen überhaupt nicht, dass ihre Rechner missbraucht werden. Denn wenn die Prozessoren auf Hochtouren arbeiten und die Lüftung lauter läuft als sonst, ist häufig nicht unmittelbar klar, dass Schadsoftware dahinter steckt. Ihnen selbst entsteht kein unmittelbar spürbarer Schaden. Anfang März hat sich so eine Krypto-Malware innerhalb weniger Stunden auf fast 500.000 Windows-PCs ausgebreitet, um die Krypto-Währung Electroneum zu schürfen. Ein gut gesicherter Browser zählt zu den grundlegenden Schutzmaßnahmen vor Krypto-Mining und ähnlichen Malware-Attacken. Deshalb sollten Anwenderinnen und Anwender, die im Internet surfen, entsprechende Browser-Einstellungen vornehmen. Welche Punkte Sie hierbei für ein sicheres Surfen berücksichtigen sollten.

Zur Meldung von ZDNet: Crypto-Malware ist lukrativer als Ransomware
Zum Bericht von ZDNet: Microsoft meldet massiven Ausbruch von Krypto-Malware

Schutzmaßnahmen

5. Joomla!: Version 3.8.6. sollte zügig installiert werden

Für das Content Management Systems "Joomla!" steht ein aktuelles Update bereit, welches eine Schwachstelle im Programm schließt. Da Joomla! vielfach als Content Management-System genutzt wird, ist auch die Wahrscheinlichkeit hoch, dass die Sicherheitslücke aktiv ausgenutzt wird. Deshalb empfiehlt es sich, sobald wie möglich auf die neue Version zu aktualisieren. Hinweise zum Download finden sich im Sicherheitshinweis des Bürger-CERT.

6. Patchday: Microsoft stellt wichtige Updates zur Verfügung

Microsoft empfiehlt allen Nutzern dringend eine umgehende Installation der verfügbaren Sicherheitsupdates, soweit diese nicht automatisch eingespielt werden. Wenn Sie den automatischen Update-Mechanismus nicht nutzen, können Sie die Sicherheitsupdates auch von der Microsoft-Webseite herunterladen. Das Sicherheitsupdate für den Adobe Flash Player muss für jeden Browser, den Sie verwenden, einzeln und möglicherweise händisch eingespielt werden. Der Internet Explorer 11, Edge und der Chrome Browser können das Flash Player Update automatisch erhalten. Weitere Informationen finden Sie im Sicherheitshinweis des Bürger-CERT.

7. Firefox: Schwerwiegende Sicherheitslücken im Browser behoben

Mozilla stellt seinen Browser Firefox ab sofort in der Version 59 für Anwenderinnen und Anwender bereit. Mit der aktuellen Version wird gleich eine Reihe an Sicherheitslücken behoben – einige davon stuft Mozilla selbst als schwerwiegend ein. Aktualisieren Sie daher Firefox auf die neue Version. Im Sicherheitshinweis des BürgerCERT finden Sie alle hierfür alle nötigen Angaben.

8. Chrome Browser: Sicherheitslücken behoben

Google stellt eine neue Version des Chrome Browsers für die Betriebssysteme Linux, Windows und macOS zur Verfügung. Mit dem Update werden insgesamt 45 Schwachstellen geschlossen, die es beispielsweise ermöglichen, beliebige Programme auszuführen oder sensible Informationen auszuspähen.Nutzerinnen und Nutzer sollten das Update auf die Version 65.0.3325.146 zeitnah einspielen, damit die Sicherheitslücken nicht ausgenutzt werden können. Das Update ist als Download und über die Auto-Update-Funktion verfügbar. Den Download-Link finden Sie im Sicherheitshinweis des Bürger-CERT.

9. Android: Betriebssystemupdate für mobile Geräte verfügbar

Google schließt 37 Sicherheitslücken für Smartphones und weitere mobile Geräte, die das Android-Betriebssystem verwenden. Gleichzeitig stellt der Hersteller Informationen zu 43 Schwachstellen zur Verfügung, die sich insbesondere an Nutzerinnen und Nutzer von Googles Nexus- und Pixel-Geräten richten. Auch für LG- und Samsung-Geräte sind Betriebssystemupdates verfügbar, mit denen diese und schon länger bekannte Sicherheitslücken geschlossen werden.
Da einige der Sicherheitslücken als kritisch einzustufen sind, sollten Sie die Aktualisierungen von Google Android 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2, 8.0 und 8.1 auf die Version 2018-03-05 oder 2018-03-01 vornehmen, sobald diese über die automatische Update-Funktion innerhalb des Produktes verfügbar sind. Im Sicherheitshinweis des Bürger-CERT finden Sie weitere Informationen zu den einzelnen Produkten und Herstellern.

Prisma

10. Computer-Sicherheit: Digitaler Frühjahrsputz schafft Ordnung auf Laptop und PC

Der Frühling ist ein idealer Zeitpunkt, um mit einem digitalen Frühjahrsputz Ordnung auf Laptop und PC zu schaffen. Denn im Laufe der Zeit hat sich meist viel unnötiger Datenballast auf den Geräten angesammelt. Das macht sie nicht nur langsamer, es kann sogar zu einem Sicherheitsrisiko werden, wenn beispielsweise veraltete Programme nicht mehr mit Sicherheitsupdates gepatcht werden. Stellen Sie sich die Frage, ob Sie wirklich noch jede installierte Software benötigen oder das ein oder andere Programm doch löschen können. Das gilt natürlich auch für anderen Datenmüll, der sich auf Ihrem Gerät gesammelt hat. Zudem sollten Sie auf jeden Fall kontrollieren, ob alle Updates installiert sind. Lesen Sie im aktuellen Beitrag "Digitaler Frühjahrsputz", worauf Sie sonst noch achten sollten und wie Sie den digitalen Frühjahrsputz am besten angehen.

11. Nutzerdaten-Diebstahl: Digitale Identitäten werden hoch gehandelt

Für gestohlene Accounts und Identitäten gibt es im Darknet gut versteckte Marktplätze, auf denen Kriminelle mit den gesammelten Daten handeln. Eine Erhebung zeigt Heise Security zufolge, welche Accounts wie viel wert sind. Unter den Nutzer-Konten sind Apple-IDs besonders begehrt, sie kosten laut Heise rund 15 US-Dollar. Weitaus mehr sind Betrügern Daten von Finanzanbietern wert. Ein PayPal-Zugang kostet fast 250 US-Dollar. Mit den erworbenen Accounts können Cyber-Kriminelle direkten finanziellen Schaden bei den Betroffenen verursachen. Deshalb sollten Online-Konten, wenn möglich, mit weiteren Sicherheitsmaßnahmen wie einer Zwei-Faktor-Authentifizierung gesichert werden. So reichen die Nutzerkennung und das Passwort allein nicht aus, um den Account zu missbrauchen. Falls Sie Opfer eines Identitätsdiebstahls geworden sind und Ihnen beispielsweise Mahnungen zugestellt werden, sollten Sie umgehend handeln. Was Sie genau tun können, haben wir für Sie in der Rubrik "Identitätsdiebstahl - Hilfe für Betroffene" zusammengestellt.

Zur Meldung von Heise Security: Apple-Accounts im Darknet beliebt und teuer.

12. Digitale Gesellschaft: Reisende setzen verstärkt auf Online-Angebote

Das Netz spielt bei der Reiseplanung der Deutschen eine immer größere Rolle: 25 Prozent aller Verbraucherinnen und Verbraucher holen sich dort Inspiration, wenn es um eine Reise geht. Zu diesem Ergebnis kommt eine Studie des Digitalverbandes Bitkom. Gerade beim Stöbern nach Reiseangeboten steht die Online-Suche hoch im Kurs: So suchen 43 Prozent aller Urlauberinnen und Urlauber ausschließlich im Internet. Reisewillige greifen auf Online-Seiten der Reiseveranstalter zurück (43 Prozent), nutzen aber auch Online-Reisebüros wie Expedia oder Opodo (32 Prozent) und Vergleichsportale wie fluege.de oder idealo (19 Prozent).

Die zunehmende Nutzung dieser Online-Dienste – insbesondere über mobile Endgeräte wie Smartphones, Tablets oder Notebooks – erfordert jedoch entsprechende Maßnahmen hinsichtlich der IT-Sicherheit. Gerade dann, wenn Sie Reisen und Besichtigungen online buchen und bezahlen. Zum Nachlesen einige Tipps für Ihre digitale Sicherheit vor der Reise.

Zur Pressemeldung des Digitalverbandes bitkom: Die Zukunft des Reisens ist digital

13. Wettbewerb: Für digitale Herausforderungen sensibilisieren

Mit den neu ins Leben gerufenen #SaferInternet4EU Awards möchte die EU-Kommission die besten und kreativsten Konzepte und Materialien im Bereich Online-Sicherheit auszeichnen. Noch bis Mitte Mai 2018 können sich Organisationen, Lehrkräfte und Jugendliche bewerben, für jede Gruppe gibt es eine eigene Kategorie. Gesucht werden die innovativsten und außergewöhnlichsten Ansätze zu Themen wie Fake News, Cyber-Mobbing oder vernetztem Spielzeug. Der Wettbewerb gehört zur Kampagne #SaferInternet4EU, mit der die EU-Kommission Medienkompetenz, Cyber-Hygiene und Online-Kompetenz fördern will. Weitere Informationen zu dem europaweiten Wettbewerb sowie eine Möglichkeit zur Anmeldung finden Sie auf der Webseite von Klicksafe.de.

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK