Aktuell versuchen Betrüger wieder verstärkt, Mitarbeiterinnen und Mitarbeiter in zahlreichen Unternehmen durch gefälschte E-Mails dazu zu bringen, Geldbeträge vom Firmenkonto zu überweisen. Laut Heise Security geben sich die Kriminellen als Chef oder anderer Vorgesetzer aus. An die notwendigen Informationen gelangen die Betrüger, indem sie per Social Engineering so viele Informationen wie möglich über ein Unternehmen und einzelne Mitarbeiter zusammentragen. Dadurch wirken die E-Mails oft täuschend echt. Um nicht Opfer einer solchen Betrugsmasche zu werden, sollten Sie stets mit gesundem Menschenverstand agieren und außergewöhnliche Nachrichten und Aufträge hinterfragen. In Unternehmen sollten insbesondere Mitarbeiter mit Finanzverantwortung besonders achtsam sein. Der Drei-Sekunden-E-Mail-Check vom Bundesamt für Sicherheit in der Informationstechnik weißt Sie auf kritische Punkte hin.

Zum Artikel auf Heise Security: CERT Bund warnt gegenwärtig vor der „Chef-Masche“

Der praxisbezogene Ratgeber des Landesbeauftragten für den Datenschutz und die Informationsfreiheit (LfDI), Dr. Stefan Brink, zum Beschäftigtendatenschutz hat allgemein großen Anklang gefunden. Der Zuspruch insbesondere durch Arbeitgeber, Interessenvertretungen und auch Arbeitnehmer selbst, aber auch von Seiten der Presse hat den Landesbeauftragten darin bestärkt, seine Beratungsangebote weiter auszubauen.

Der Countdown bis zur unmittelbaren Geltung der Datenschutz-Grundverordnung (DS-GVO) und dem In-Kraft-Treten des neugefassten Bundesdatenschutzgesetzes läuft. Von daher haben die Verantwortlichen verständlicherweise alle Hände voll zu tun. Der Beschäftigtendatenschutz darf hierbei jedoch nicht aus den Augen verloren werden! Auch wenn sich insoweit die materielle Rechtslage auf den ersten Blick nicht wirklich verändern wird, gelten die allgemeinen Anforderungen der DS-GVO auch im Arbeitsverhältnis. So sind die Grundsätze für die Verarbeitung personenbezogener Daten nach Art. 5 DS-GVO auch im Beschäftigungsverhältnis zu wahren. Nicht nur den Kunden des Verantwortlichen stehen die umfangreichen Informations- und Betroffenenrechte zur Verfügung, sondern auch den eigenen Mitarbeiterinnen und Mitarbeitern. Das sollte von den Verantwortlichen nicht übersehen werden, wenn sie sich vor Schadensersatzforderungen oder Verbandsklagen schützen wollen.

Mit der 2. Auflage des Ratgebers gibt der LfDI, neben den aus der 1. Auflage bekannten praxisrelevanten Fallbeispielen und deren Lösungen, Tipps zur Umsetzung der DS-GVO in Sachen Beschäftigtendatenschutz. Der Wunsch nach einem eigenständigen Beschäftigtendatenschutzgesetz bleibt nämlich auch mit der Anwendung der Datenschutzgrundverordnung ab dem 25. Mai 2018 weiterhin unerfüllt. Ziel des Ratgebers ist es somit nach wie vor, die Öffentlichkeit für die Belange des Beschäftigtendatenschutzes zu sensibilisieren und den Verantwortlichen und betroffenen Personen Orientierung zu geben.

Der Ratgeber kann hier abgerufen werden:
https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2018/03/Ratgeber-ANDS-2.-Auflage.pdf#

Die Umsetzung von Datenschutzregelungen in diesem Jahr stellt Unternehmen vor große Herausforderungen. Problematisch: Den meisten Firmen fehlt es an Fachkräften, um die häufig zeitaufwändigen Aufgaben zu bewältigen.

Mehr als jedes zweite Unternehmen (56 Prozent) in Deutschland hat weniger als eine Vollzeitstelle für Mitarbeiter eingeplant, die sich hauptsächlich mit Datenschutzthemen befassen. Zu diesem Ergebnis kommt eine repräsentative Bitkom-Umfrage. Die Zeit drängt, denn mit der ab 25. Mai 2018 gültigen Datenschutzgrundverordnung (DSGVO) ergeben sich viele neue Pflichten für die Firmen. »Der Arbeitsaufwand bei der Umsetzung der Datenschutzgrundverordnung ist enorm, gleichzeitig suchen Unternehmen händeringend nach passenden Fachkräften«, sagt Susanne Dehmel, Mitglied der Bitkom-Geschäftsführung für Recht und Sicherheit. In genau eine Vollzeitstelle für Datenschutzangelegenheiten investiert gut jedes vierte Unternehmen (27 Prozent). Mehr als eine Vollzeitstelle für Datenschutz-Fachkräfte gibt es in 14 Prozent der Unternehmen.

Ab Mai müssen alle Firmen die DSGVO beachten. Im Mittelpunkt steht dabei für viele Unternehmen, ein Verarbeitungsverzeichnis für Personendaten zu erstellen. Außerdem müssen sie Prozesse in der Produktentwicklung anpassen, um dem neuen Grundsatz des Privacy by Design gerecht zu werden. Darüber hinaus haben die Firmen zahlreiche Informationspflichten gegenüber ihren Kunden.

E-Privacy-Verordnung steht vor der Tür

Voraussichtlich in der zweiten Jahreshälfte 2018 will die EU über die sogenannte E-Privacy-Verordnung entscheiden. Ziel dieser Verordnung ist es zum einen, die Vertraulichkeit der Kommunikation zu schützen. Zum anderen formuliert die E-Privacy-Verordnung zusätzliche Datenschutzvorschriften, die besonders im Bereich der Verarbeitungs- und Speicherfunktion in Endgeräten wie PCs, Tablets oder Smartphones über die Datenschutzgrundverordnung hinausgehen. »Künftige Innovationen werden durch die E-Privacy-Verordnung bedroht«, kritisiert Dehmel den aktuellen Gesetzentwurf der EU-Kommission zur E-Privacy-Verordnung. So werde die bereits gefundene Balance zwischen dem Schutz der Privatsphäre einerseits und neuen Technologien andererseits wieder zerschlagen.

»Was die Datenschutzgrundverordnung erlaubt, darf die E-Privacy-Verordnung nicht wieder zurückdrehen«, fordert Dehmel. Bislang stellt die E-Privacy-Verordnung in mehreren Bereichen eine nach DSGVO erlaubte Datenverarbeitung entweder unter den Vorbehalt einer strengeren Form der Einwilligung oder untersagt sie sogar vollständig. Zudem würden durch den Kommissionsentwurf auch Vorgänge erfasst werden, bei denen die Verarbeitung von personenbezogenen Daten keine Rolle spielt.

Link zur BITKOM Pressemeldung

F-Secure weist auf eine Sicherheitslücke in der Active Management Technology (AMT) von Intel hin, über die ein Angreifer mit Zugang zum Gerät sich binnen weniger Sekunden eine Hintertür einrichten kann.

Als hätte Intel mit »Meltdown« und »Spectre« aktuell nicht genug zu tun, lauert auf vielen Systemen mit Intel-Chips ein weiteres Sicherheitsproblem. Wie F-Secure vermeldet, ist die BIOS-Erweiterung für AMT – eine Fernwartungstechnologie, die von vielen Firmen genutzt wird – durch ein gesetztes BIOS-Passwort nicht geschützt. Ein Angreifer, der Zugang einem Gerät hat, kann es daher schnell booten und auf die AMT-Funktion zugreifen, etwa um den Rechner für einen späteren Fernzugriff zu konfigurieren. Dafür muss während der Boot-Sequenz nur [STRG] + [P] gedrückt werden. Anschließend kann man sich fast immer mit dem Standardpasswort »admin« bei der »Intel Management Engine BIOS Extension« (MEBx) anmelden, da die wenigsten Unternehmen dieses ändern. Nach dem Login ist es dann für den Angreifer möglich, ein neues Passwort zu vergeben, den Remote-Zugriff zu aktivieren und Funktionen wie »AMT User Opt-In« zu deaktivieren.

Das alles lässt sich F-Secure zufolge in weniger als 30 Sekunden durchführen. Die Empfehlung des Security-Herstellers an End User lautet daher auch, Notebooks in der Öffentlichkeit nicht einmal für kurze Zeit unbeaufsichtigt zu lassen – am besten nicht mal in Hotelzimmern. Harry Sintonen, der als Senior Security Consultant bei F-Secure das Sicherheitsproblem untersucht hat, bezeichnet einen derart durchgeführten Angriff als »fast schon lächerlich einfach«. Es stecke ein »enorm destruktives Potenzial« in der Schwachstelle: »In der Praxis gibt sie einem Angreifer die komplette Kontrolle über Arbeitslaptops, selbst wenn eigentlich umfangreiche Sicherheitsmaßnahmen eingerichtet wurden«, erklärt er.

In der Regel kann der Angreifer nach der Manipulation nur auf den Rechner zugreifen, wenn er sich im gleichen LAN befindet. In einigen Fällen sei es jedoch möglich, einen eigenen CIRA-Server (Client Initiated Remote Access) einzutragen, so F-Secure. Damit wäre dann sogar ein Zugriff von außerhalb des lokalen Netzwerks möglich.

F-Secure rät Unternehmen, starke Passwörter für AMT zu vergeben oder die Funktion zu deaktivieren, so sie nicht benötigt wird. Intel sah lange vor allem die Gerätehersteller in der Pflicht. Weil jedoch nur wenige der Anweisung des Chipproduzenten folgten, eine Aktivierung von AMT nur nach Eingabe des BIOS-Passworts zu ermöglichen, hatte das Unternehmen im vergangenen Dezember eigene Best Practices für Kunden zu dem Thema veröffentlicht (PDF).

70 Prozent der Anwender würden Firmen nach einem Datenschutzproblem durch Aufkündigung der Geschäftsbeziehung abstrafen. Das zeigen die Ergebnisse einer im Auftrag von Gemalto durchgeführten Umfrage unter rund 10.000 Anwendern weltweit, unter anderem auch aus Deutschland. Sieben von zehn der Befragten (69 Prozent) sind der Ansicht, dass Unternehmen die Sicherheit von Kundendaten nicht sehr ernst nehmen.

Trotz dieser Bedenken zeigen sich die meisten Anwender sehr sorglos in Bezug auf die Datensicherheit. Mehr als die Hälfte (56 Prozent) verwendet immer noch dasselbe Passwort für mehrere Online-Konten. Selbst wenn Unternehmen robuste Sicherheitslösungen wie die Zwei-Faktor-Authentifizierung anbieten, werden sie von deren Kunden offenbar häufig nicht genutzt. So geben 41 Prozent der Anwender zu, die Technologie nicht für die Sicherung von Konten in den sozialen Netzwerken zu verwenden, so dass sie dort anfällig für Datenschutzverletzungen sind.

62 Prozent der Befragten finden, dass die Unternehmen die Verantwortung für die Sicherheit der Daten tragen sollten. »Die Verbraucher geben offenbar gerne die Verantwortung für den Schutz ihrer Daten an ein Unternehmen ab, erwarten aber, dass diese ohne jeglichen Aufwand sicher aufbewahrt werden«, sagt Jason Hart, CTO im Bereich Identity and Data Protection bei Gemalto. Angesichts kommender Rechtsanpassungen, wie zum Beispiel der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union müssen die Firmen den Anwendern die richtigen Sicherheitsmechanismen vorgeben, um die Datensicherheit zu gewährleisten. »Es genügt nicht mehr, diese Lösungen als Option anzubieten. Diese Protokolle müssen von Anfang an obligatorisch sein – ansonsten drohen den Unternehmen nicht nur finanzielle Folgen, sondern auch rechtliche Schritte seitens der Verbraucher«, ist Hart überzeugt.

Trotz ihres Verhaltens sind die Sicherheitsbedenken der Kunden hoch. Zwei Drittel (67 Prozent) befürchten, dass sie in naher Zukunft Opfer einer Datenschutzverletzung werden. Die Verantwortung dafür liegt nach Ansicht der Nutzer beim Unternehmen. Wenn ihre Daten gestohlen würden, würde die Mehrheit (93 Prozent) der Verbraucher rechtliche Schritte gegen die kompromittierte Firma einleiten oder erwägen.