Mit so ner Uhr macht Versoätung wenigstens noch Spaß …
Es gibt viele Möglichkeiten, Menschen in zwei Gruppen einzuteilen: Hunde- und Katzenmenschen, Sommer- oder Winterfans – oder pünktliche und unpünktliche Personen. Die letzte Unterscheidung ist vielleicht die dramatischste für zwischenmenschliche Beziehungen. Denn kommt eine Person ständig zu spät, kann das unser Miteinander ganz schön belasten. Besonders wenn Menschen, die eigentlich immer zu spät kommen, auf Menschen treffen, die großen Wert auf Pünktlichkeit legen und nicht nachvollziehen können, wieso jemand nicht einfach rechtzeitig da sein kann. Woran liegt es, dass manche Menschen ständig unpünktlich sind?
Psychologen erkennen bei permanenten Zu-spät-kommern meist auch „prokrastitionale Ursachen.“
Was also wäre der Effekt einer bestimmten politischen Agenda, die mit hohem Aufwand und finanziellen Mitteln etabliert wird? „Bei uns herrscht Meinungsfreiheit“, berichtet ein Investigativjournalist aus Westafrika, „allerdings nur dann, wenn die eigene Meinung derjenigen der Regierung entspricht. Falls das nicht der Fall sei, werde man sofort als Staatsfeind abgestempelt.“ Sein ernüchterndes Fazit, das auch viele seiner und Kollegen so oder ähnlich aus ihren Ländern schildern:
Die Industrialisierung seit Mitte des 19. Jahrhunderts hatte die soziale Lage der Arbeiterschaft deutlich verschlechtert. Es entwickelten sich Debatten um die Soziale Frage. Die Sozialistische Arbeiterpartei Deutschlands stellte daher im Mai 1875 in Gotha folgende Forderungen auf, die zur Besserung der Lebensbedingungen des Proletariats beitragen sollten:
Die Sozialistische Arbeiterpartei Deutschlands, obgleich zunächst im nationalen Rahmen wirkend, ist sich des internationalen Charakters der Arbeiterbewegung bewusst und entschlossen, alle Pflichten, welche diesselbe den Arbeitern auferlegt, zu erfüllen, um die Verbrüderung der Menschen zur Wahrheit zu machen. Die Sozialistische Arbeiterpartei Deutschlands fordert, um die Lösung der Sozialen Frage anzubahnen, die Errichtung von sozialistischen Produktivgenossenschaften mit Staatshilfe unter der demokratischen Kontrolle des arbeitenden Volkes. Die Produktivgenossenschaften sind für Industrie und Ackerbau in solchem Umfange ins Leben zu rufen, dass aus ihnen die sozialistische Organisation der Gesamtarbeit entsteht.
1.) Allgemeines, gleiches, direktes Wahl- und Stimmrecht, mit geheimer und obligatorischer Stimmabgabe aller Staatsangehörigen vom zwanzigsten Lebensjahre an für alle Wahlen und Abstimmungen in Staat und Gemeinde. […]
2.) Direkte Gesetzgebung durch das Volk. Entscheidung über Krieg und Frieden durch das Volk.
3.) Allgemeine Wehrhaftigkeit. Volkswehr an Stelle der stehenden Heere.
4.) Abschaffung aller Ausnahmegesetze, namentlich der Presse-, Vereins- und Versammlungsgesetze; überhaupt aller Gesetze, welche die freie Meinungsäußerung, das freie Forschen und Denken beschränken.
5.) Rechtsprechung durch das Volk. Unentgeltliche Rechtspflege.
6.) Allgemeine und gleiche Volkserziehung durch den Staat. Allgemeine Schulpflicht. Unentgeltlicher Unterricht in allen Bildungsanstalten. Erklärung der Religion zur Privatsache.
Die Sozialistische Arbeiterpartei fordert innerhalb der heutigen Gesellschaft: 1.) Möglichste Ausdehnung der politischen Rechte und Freiheiten im Sinne der obigen Forderungen. 2.) Eine einzige progressive Einkommensteuer für Staat und Gemeinde anstatt aller bestehenden, insbesondere der das Volk belasteten indirekten Steuern. 3.) Unbeschränktes Koalitionsrecht. 4.) Einen den Gesellschaftsbedürfnissen entsprechenden Normalarbeitstag. Verbot der Sonntagsarbeit. 5.) Verbot der Kinderarbeit und aller die Gesundheit und Sittlichkeit schädigenden Frauenarbeit. 6.) Schutzgesetze für Leben und Gesundheit der Arbeiter. Sanitäre Kontrolle der Arbeiterwohnungen. Überwachung der Bergwerke, der Fabrik-, Werkstatt- und Hausindustrie durch von Arbeitern gewählte Beamte. Ein wirksames Haftpflichtgesetz. 7.) Regelung der Gefängnisarbeit. 8.) Volle Selbstverwaltung für alle Arbeitshilfs- und Unterstützungskassen. […]
Quellen Industrielle Revolution
Auszüge zitiert nach: W. Lautemann, M. Schlenke (Hg.), Das bürgerliche Zeitalter, 1815-1914, München 1980, S. 878 f.
Mai 2023 | In Arbeit | Kommentieren
„Wladimir Putin ist ein Kind der Sowjetunion!, heißt es immer mal wieder gebetsmühlenartig. Russlands Präsident jedoch eifert hingegen ganz anderen Gestalten der Geschichte nach: den weißen Generälen, die seit 1917 in Russland einen grausamen Bürgerkrieg mit den Bolschewiki ausgetragen haben. Warum aber führt Russland seine Kriege derart brutal, ist selbst den eigenen Soldaten gegenüber unbarmherzig?
Antwort weiß Antony Beevor, führender Militärhistoriker der Gegenwart, der gerade ein Buch über den Russischen Bürgerkrieg veröffentlicht hat. I
Im Gespräch erklärt Beevor, warum Putin das Genie eines Lenin abgeht, woher die aggressive Politik des russischen Machthabers gegen seine Nachbarstaaten stammt und dass zu wenig aus der Geschichte gelernt wurde.
(mehr …)
Vor Kurzem wurde ein Experiment vorzeitig beendet – Lidl hatte einigen Angestellten angeboten, nur noch – allerdings bei gleicher Wochenarbeitszeit – vier Tage pro Woche zu arbeiten. Statt jeden Tag acht also jeden Tag zehn Stunden. Kaum jemand hatte Lust darauf. Dennoch zeigt das Experiment, dass Unternehmen verstehen, wie sich die Bedürfnisse ihrer aktuellen und künftigen Belegschaft verändern. Die Rufe nach einer Viertagewoche, einer gesünderen Work-Life-Balance, der Vereinbarkeit von Beruf und Familie werden lauter. 42 Prozent der Deutschen wünschen sie sich, die IG Metall fordert sie.
Die von Gesundheitsminister Karl Lauterbach vorgelegte Pflegereform ist in der Koalition heftig umstritten.
Nun haben sich die Fraktionen auf Verbesserungen für die Pflege – auch zu Hause – geeinigt.
Derweil er dem Bildungsbürger – ungemach schnell – zum Outsider geworden war, schien er den Kleinbürgern alsbald ein Bourgeois zu sein – wobei er sich keines der ihm offenen Wege bediente: Er hätte schnell zugrunde gehen können, hätte ihn die materialistisch-bürgerliche Gesellschaft als unbrauchbares Glied einfach absterben lassen. Auch zum Clown und Unikum der Heidelberger Gesellschaft hätte er werden können, erlaubte die sich den Luxus solcher Existenz in ihrem Schoß. Sie tat es, auch wenn sie über ihn oft genug meinte, den Kopf schütteln zu müssen:
Mai 2023 | Heidelberg, Allgemein, Essay, Feuilleton, In vino veritas, Junge Rundschau, Sapere aude | Kommentieren
„
„eine Freye Reichs und Hanse – Hamburg um 1730 – Wohlstand und Macht“
Ein häufiges Einfallstor von Cyberkriminellen sind Sicherheitslücken in Software. Das Open Web Application Security Project hat 2021 eine aktualisierte Liste der größten Lücken vorgelegt. Mit welchen softwareseitigen Risiken für die IT-Sicherheit müssen Unternehmen 2022 rechnen und wie können sie sich dagegen schützen Das Open Web Application Security Project (OWASP) ist eine Non-Profit-Organisation, die sich mit der Verbesserung von Software-Sicherheit beschäftigt. Mit den OWASP Top 10 bringt die Organisation in Abständen von 2-3 Jahren eine Liste der relevantesten Sicherheitslücken für Anwendungen heraus. Die Liste basiert einerseits auf Daten aus der Analyse Tausender Vorfälle in Unternehmen, andererseits auf der Befragung von Branchenexperten. So werden auch Sicherheitslücken erfasst, die sich kaum testen lassen und nicht in den Daten erscheinen.
Mangelhafte Kontrolle der Benutzerberechtigungen
In 94 Prozent der Anwendungen entdeckte das OWASP Varianten einer defekten oder fehlenden Kontrolle der Benutzerberechtigungen. Von der Manipulation der Metadaten oder UID bis zum vollständigen Fehlen einer Kontrolle ist das Spektrum möglicher Lücken in der Zugriffskontrolle breit. Die Folgen einer fehlenden Zugriffskontrolle können verheerend sein: Ist sie falsch konfiguriert, können Angreifer potentiell auf sensible Daten zugreifen und sie verändern oder löschen.
Beispiel: Erschlichene Fahrten bei Uber
2018 wurde bekannt, dass das Ride-Sharing-Unternehmen Uber Opfer eines Cyberangriffs wurde, der auf eine fehlerhafte Zugriffskontrolle zurückging. Für das Buchen von Fahrten in Businessaccounts nutzte Uber eine codebasierte Zugriffskontrolle – ohne die Anzahl der möglichen Versuche einzuschränken. Das machte es den Angreifern leicht: Sie konnten per Brute-Force-Angriff entsprechende Codes generieren und solange ausprobieren, bis ein Code gültig war. Mit diesem Code konnten die Angreifer dann Fahrten auf Kosten des betroffenen Unternehmens buchen.
Mangelnde Verschlüsselung sensibler Daten
Von Kundendaten über Lieferketten bis zu Verträgen – Daten sind eine der wichtigsten Ressourcen in modernen Unternehmen. Viele Daten sind sensibel und benötigen daher einen besonderen Schutz. Kryptografische Sicherheitslücken umfassen alle Probleme, bei denen sensible Daten nicht durchgehend verschlüsselt sind und damit potenziell von unbefugten Dritten gelesen werden können.
Immer wieder kommt es zu Leaks von Kundendatenbanken, die sensible Kundendaten enthalten. Im Idealfall wären diese Daten zu jedem Zeitpunkt verschlüsselt, sodass die Datenbank allein nicht ausreichend ist, um an sensible Daten zu gelangen. Lassen sich die Daten allerdings verschlüsselt abrufen, sind sie über eine SQL-Injektion im Klartext abrufbar. Eine andere mögliche Lücke sind Passwörter, die nur unzureichend verschlüsselt werden. Gelangt ein Angreifer an die Datenbank, kann er mithilfe klassischer Dictionary-Attacken zumindest einen Teil der Passwörter erkennen.
Beispiel: Equifax
Etwas ähnlich passierte der kanadischen Kreditauskunftei Equifax im Jahr 2018. Angreifer machten sich damals eine Kombination verschiedener Sicherheitslücken zunutze, um viele Tausend sensible Datensätze mit Kundendaten zu stehlen. Ursprünglich machte ein fehlendes Update den Zugriff möglich. Aber nur weil die Angreifer in der Lage waren, unverschlüsselte Log-in-Daten von Mitarbeitern zu stehlen, waren die folgenden Aktionen möglich.
Injektion schädlichen Codes
Viele Anwendungen binden in der ein oder anderen Form nutzergenerierte Daten ein.
Wenn nutzergenerierte Daten nicht adäquat validiert und gefiltert werden, besteht die Möglichkeit, dass Angreifer schädliche Befehle an das System weitergegeben. Eine der ältesten Sicherheitslücken ist die SQL-Injektion. Dabei gibt ein Angreifer SQL-Befehle über ein Eingabefeld oder die URL an das System weiter. Fehlt eine Überprüfung der übermittelten Informationen, wird der Befehl in der Datenbank ausgeführt. Ein Angreifer könnte so zum Beispiel die Datenbank herunterladen und sensible Nutzerdaten auslesen.
Beispiel: SQL-Injektion bei OpenSubtitle.org
Im Sommer 2021 musste das Projekt opensubtitle.org seine Nutzer auffordern, ihre Passwörter zu ändern. Laut Berichten war es einem Hacker gelungen, zunächst das unsichere Passwort eines Administrators zu knacken und dann ein Skript auszuführen, dass nur für diese Nutzergruppe bestimmt war. Dieses Skript erlaubte dann den Download der Nutzerdatenbank.
Unsicheres Design
Unsicheres Design umfasst Sicherheitslücken, die in der Architektur der Software begründet sind. Sie ergeben sich nicht aus einer Fehlfunktion in der Folge einer falschen Einstellung, sondern aus der intendierten Funktionsweise selbst. Im Gegensatz zu Implementierungsfehlern sind Sie nicht durch eine bessere Implementierung zu beheben, sondern nur durch einen Entwicklungszyklus, der Sicherheitsaspekte von Anfang berücksichtigt.
Beispiel für unsicheres Design
Der Grafikkartenhersteller Nvidia machte 2021 Schlagzeilen, als der Bestand einer neuen Grafikkarte innerhalb von wenigen Sekunden verkauft war, weil Reseller automatisierte Software nutzten, um sich die begehrten Grafikkarten zu sichern und sie dann teuer weiterzuverkaufen.
Fehlkonfigurationen
Die große Mehrheit, alles Sicherheitsprobleme, geht auf menschliche Fehler zurück. Das Beratungsunternehmen Gartner schätzt, dass 95 Prozent aller Sicherheitsproblem in Cloud-Anwendungen direkt auf menschliche Fehlleistungen in der Organisation zurückzuführen sind. Die Gefahr von Konfigurationsfehlern für die IT-Sicherheit ist in einer weitgehend digitalisierten Infrastruktur allgegenwärtig. Fehlkonfigurationen können an vielen Punkten im IT-System zu Problemen führen, zum Beispiel durch unsichere Standardeinstellungen, die ungeprüft übernommen werden oder Fehlermeldungen, die sensible Informationen enthalten.
Beispiel für fehlerhafte Konfigurationen bei Daimler
Im Mai 2020 war kurzzeitig der Sourcecode einer Software des Autoherstellers Daimler öffentlich verfügbar. Laut einem Bericht machte ein IT-Experte die Daten verfügbar, nachdem er herausfand, dass Daimler einen Fehler bei der Konfiguration seiner Repositorien gemacht hatte. Daimler nutzte ein GitLab-Server für die Speicherung, vergaß allerdings eine Bestätigungsroutine für neue Accounts einzustellen. Dadurch konnte der Angreifer einfach einen neuen Account erstellen und hatte Zugriff auf den gesamten Sourcecode.
Unsichere und veraltete Komponenten
Laut OWASP sind unsichere oder veraltete Komponenten die häufigste Ursache für die Preisgabe sensibler Daten. Moderne Anwendungen sind niemals autark, sondern nutzen Bibliotheken und Frameworks von Drittentwicklern. Jede zusätzliche externe Komponente ist ein potenzielles Sicherheitsrisiko. Besonders im Risiko sind IoT-Systeme, die häufig schwerer zu aktualisieren sind als klassische Software auf einem PC oder Server. Zudem existieren bereits heute Tools, mit denen Angreifer gezielt nach IoT-Geräten mit bestimmten Sicherheitslücken suchen können.
Beispiel: Der Log4j-Exploit
Im Dezember 2021 wurde eine Sicherheitslücke in der Bibliothek Log4j bekannt, die unzählige Apacheserver auf der ganzen Welt anfällig für Attacken machte. Betroffen waren Dienste auf der ganzen Welt – auch von großen Unternehmen wie Amazon, Google oder Steam. In den ersten 72 Stunden wurden bereits 700.000 Angriffe auf betroffene Systeme registriert. Der Exploit wird IT-Experten weltweit noch viele Jahre beschäftigen, – bis zu 95 % aller Java Anwendungen nutzen Log4j. Dementsprechend lange wird es dauern, bis alle kritischen IT-Systeme gepatched ist und die IT-Sicherheit in Bezug auf den Exploit wiederhergestellt sind.
Fehlerhafte Authentifizierung
Die Nutzerauthentifzierung ist ein neuralgischer Punkt jeder Software. Gelingt es Angreifern, die Authentifizierung zu manipulieren, können sie sich Benutzerrechte verschaffen und weiteren Schaden anrichten. Ein klassisches Beispiel fehlerhafter Authentifizierungssysteme ist eine Passwort-Abfrage ohne zusätzliche Sicherheitsebenen. Deshalb setzt sich als sicherer Standard zunehmend die 2-Faktor-Authentifizierung durch. Allerdings ist auch diese nicht gefeilt vor Sicherheitslücken.
Beispiel: Angriff auf Crypto.com
2022 wurde bekannt, dass Nutzern der Tradingplattform crypto.com Coins im Wert von 30 Millionen US-Dollar gestohlen wurde, nachdem es Angreifern gelang, die 2-Faktor-Authentifizierung des Unternehmens auszuhebeln und sich so Zugriff auf über 400 Accounts zu verschaffen. Das Unternehmen bestätigte die Probleme mit der Nutzeridentifzierung und überarbeitet aktuell das Authentifizierungssystem.
Softwarekomponenten aus nicht-autorisierten Quellen
Software besteht heute längst nicht mehr aus einem einzigen Code, der alles enthält.
Über öffentliche zugängliche Plug-ins, Bibliotheken und Modulen sind Entwickler in der Lage, weitergehende Funktionen mit einem geringen Aufwand zu integrieren. Dabei ist nicht nur die Aktualität des genutzten Moduls für die Sicherheit entscheidend, sondern auch die verwendete Quelle. Angreifer könnten sich entweder Zugriff auf die Quelle verschaffen und Daten manipulieren oder die Identität einer legitimen Quelle vortäuschen, um so Schadcode in das System einzuschleusen.
Beispiel: Der SolarWinds Orion Hack 2020
Ende 2020 sorgte der SolarWinds Orion Hack auf der ganzen Welt für Schlagzeilen. Den Angreifern gelang es, schädlichen Code in ein Update für das SolarWinds System einzuschleusen, das in der Folge unbemerkt an Hunderte Nutzer ausgespielt wurde. Zu den Kunden des texanischen Softwareentwicklers gehören wichtige staatliche Institutionen in den USA – dementsprechend hoch waren die Sicherheitsanforderungen quer durch die Lieferkette. Der Hack zeigt, dass absolute Sicherheit im Lebenszyklus einer Software nicht geben kann.
Überwachung und Protokollierung
Im Durchschnitt vergehen 200 Tage, bis ein Cyberangriff entdeckt wird. Das verschafft Cyberkriminellen viel Zeit, um Daten zu stehlen und zu manipulieren und ihre Spuren zu verwischen.
Der lange Zeitraum ist vor allem auf das Fehlen einer umfassenden Security-Auditierungs- und Protokollierungssoftware zurückzuführen. Plattformen wie Deep Instinct einerseits wertvolle Einsichten in die Anatomie eines Angriffs, die wiederum genutzt werden können, um die Angriffsvektoren zu identifizieren und zu schließen. Durch den Einsatz moderner KI-Technologie fungieren Sie aber auch als Frühwarnsystem und kennen Angriffe erkennen, bevor Sie zum Problem werden.
Beispiel für die Folgen fehlender Überwachung & Protokollierung
2020 machte eine anonym gebliebene Person die Krankenversicherung Florida Medicaid auf eine Sicherheitslücke aufmerksam, die insgesamt über 3 Millionen sensible Daten von Versicherten betraf. Da die Website der Versicherung über keinerlei Protokoll- und Überwachungsroutinen verfügte, blieb der Angriff mehr als sieben Jahre lang unbemerkt.
Server-Side Request Forgery SSRF
Server-side Request Forgery bezeichnet einen Angriff, bei dem ein fremder Server dazu gebracht wird, eine unautorisierte Anforderung weiterzuleiten. Diese Sicherheitslücke wird möglich, wenn eine Webanwendung eine vom Nutzer bereitgestellt Remote-Ressource abruft, ohne die URL zu überprüfen.
Immer mehr Webanwendungen ermöglichen ihren Nutzern zum Beispiel das Hochladen von Bildern, PDF-Dateien und anderen Daten. Fehlt eine Validierung, ist eine SSRF-Attacke möglich. Dann können Angreifer schädliche Anfragen an alle Systeme senden, die im selben Netzwerk laufen wie die Webanwendung. Angreifer könnten beispielsweise einen internen Portscan durchführen, um weitere Lücken zu identifizieren oder interne Dienste kompromittieren, um weitere Angriffe auszuführen.
Beispiel für einen SSRF-Angriff:
Das Kreditinstitut Capital One wurde 2019 Opfer einer SSRF-Attacke, bei der über 100 Millionen Nutzerdaten veröffentlicht wurden. Besonders brisant: Viele Datensätze enthielten neben Name und Adresse auch die Sozialversicherungsnummern und die Zahlungshistorie.
Für professionelle Cyberkriminelle wären diese Daten sehr wertvoll.
IT-Sicherheit: Was können Sie tun tun?
Sicherheitslücken in Anwendungen sind keine Ausnahme, sondern die Regel. In der absoluten Mehrheit aller getesteten Anwendungen wurden eine oder mehrere Schwachstellen gefunden, die Cyberkriminellen unter Umständen Zugriff auf sensible Daten und Systeme geben könnten.
Absolute IT-Sicherheit nicht. Wo eine Tür ist, gibt es auch einen Weg, sie ohne den vorgesehenen Schlüssel zu öffnen. Wenn das passiert, kommt es darauf an, ein tieferes Eindringen in das System zu verhindern.
Cyberkriminalität ist zu einer Industrie geworden und das bedeutet, dass die Akteure primär nach wirtschaftlichen Gesichtspunkten handeln. Durch effektive IT-Security treiben Sie den Aufwand für Angriffe in die Höhe und machen ihn unrentabel.
Unternehmen können durch den Einsatz moderner Security-Plattformen wie Tanium und Deep Instinct einerseits Sicherheitslücken identifizieren und andererseits akute Attacken effektiv abwehren und nutzbringend analysieren.
Security-Plattformen Tanium erkennt unsichere Systeme und Vulnerabilitäten.
Deep Instinct ist eine Security Plattform, die ihre Systeme am schwächsten Punkt in Form der Clients und Server überwacht und unbekannte Attacken wie Zero-Day-Exploits und skriptbasierte Angriffe erkennt und verhindert, bevor Sie zum Problem werden. Das System liefert wertvolle Einsichten in die Anatomie des Angriffs, die wiederum genutzt werden können, um die Sicherheitslücken zu schließen.
Damit reduziert das System den manuellen Aufwand für Wiederherstellungen und gibt Ihrem SOC als intelligentes Frühwarnsystem für Angriffe maximale Handlungsfähi (mehr …)
Mai 2023 | In Arbeit | Kommentieren
Mal sind es Kreditkartendaten, mal vermeintlich gut gehütete Firmengeheimnisse. Wenn Jens Liebchen sich auf ein IT-System eingeschossen hat, gelingt es ihm fast immer, sensible Dokumente und Dateien auf seinen eigenen Computer zu übertragen. Mitunter bringt er so gar eine Produktionsmaschine zum Stillstand. Zu befürchten haben Unternehmen von seinen Angriffen indes nichts – Liebchen ist kein Cyberkrimineller, sondern Geschäftsführer des Aachener IT-Dienstleisters Redteam Pentesting.
Der Name ist Programm. Das Unternehmen ist auf sogenannte Penetrationstests spezialisiert.