GI-Radar 230: Doxing-Datenskandal

Sehr geehrte Leserinnen und Leser,

unser Thema im Fokus ist in dieser Ausgabe der Doxing-Angriff auf deutsche Politiker und Prominente. In den Kurzmitteilungen befassen wir uns unter anderem mit Informatik in der Schule. Einen emotional aufgeladenen Schlusspunkt bildet die Geschichte unseres Fundstücks. Hier lesen Sie, wie man sich fühlt, wenn man andere Menschen durch Software arbeitslos macht.

Wir wünschen Ihnen viel Spaß bei der Lektüre!

auf gi-radar.de weiterlesen

KURZMITTEILUNGEN

Was (gerade) Informatiker/innen beim Thema Sicherheit im Internet ja eigentlich beherzigen müssten ... (SZ, 10 min) Aber tatsächlich ist die Bequemlichkeit doch häufig stärker. Zehn Regeln für das Verhalten im Web, die man unbedingt beachten sollte – und vielleicht auch an Familie und Freunde weiterleiten. Angefangen vom Passwortmanager über das Schloss bei Webseiten bis hin zu einem gesunden Misstrauen.  weiterlesen

Wie man Kläranlagen übernehmen kann (Golem, 8 min). GI-Junior-Fellow Tim Philipp Schäfers hat gemeinsam mit seinem Mitstreiter Sebastian Neef Schwachstellen bei Kläranlagen aufgedeckt. Mit Hilfe von öffentlich zugänglichen Informationen, gepaart mit der Unvorsichtigkeit der Betreiber, hätten die beiden Sicherheitsexperten die Kläranlage übernehmen können.  weiterlesen

Philologenverband fordert Informatik ab Klasse 5 (News4teachers). Der Vorsitzende des saarländischen Philologenverbandes spricht sich dafür aus, neben der Mehrsprachigkeit auch Informatik ab Klasse 5 grundständig im Lehrplan der Gymnasien zu verankern. Um in Zukunft studieren zu können, sollten die Jugendlichen bereits früh mit Informatikmethoden in Berührung kommen, zumal die Informatik mittlerweile häufig die Keimzelle neuer wirtschaftlicher Entwicklungen sei. Darüber hinaus sei es wichtig, bereits früh mit Informatik zu beginnen, um Mädchen nicht für technische Fächer zu verlieren.  weiterlesen

Googles CAPTCHAs brechen – mit Googles eigener Technik (Motherboard). CAPTCHAs sind Rätselaufgaben, die so gestellt sind, dass Menschen sie mit geringem Aufwand lösen können, ein Computerprogramm jedoch meistens nicht. Genau das ist Forschern jedoch nun für das bekannte Audio-CAPTCHA von Google mit hoher Genauigkeit gelungen. Interessant dabei: Um die absichtlich stark verzerrten Audiodateien zu verstehen, setzen die Forscher Googles hauseigene Spracherkennung ein.  weiterlesen

Scratch 3.0 erschienen (heise). Vor mehr als zehn Jahren hat das MIT Media Lab die Programmiersprache Scratch vorgestellt. Scratch richtet sich an Kinder und Jugendliche und soll sie mit den Grundlagen der Programmierung vertraut machen. Die neue Version bietet nun Erweiterungen, um u.a. Lego- und micro:bit-Hardware anzusteuern.   weiterlesen

THEMA IM FOKUS

Ein Datenklau kommt selten allein. Das Jahr 2019 beginnt turbulent: Persönliche Daten von fast 1000 Personen des öffentlichen Lebens wurden gegen ihren Willen im Internet veröffentlicht. Die allgemeine Verunsicherung klang zwar durch die rasche Ermittlung eines Tatverdächtigen relativ schnell wieder ab. Allerdings mussten sich die Betroffenen nun eingestehen, dass nicht ein übermächtiger Geheimdienst, sondern ein Einzeltäter am Werk gewesen war, der wegen Nachlässigkeit der betroffenen Nutzer leichtes Spiel hatte.

Unsere Aufgabe als Informatikerinnen und Informatikern besteht nun vor allem darin, sachlich zur Aufklärung der Öffentlichkeit beizutragen und nachhaltige Perspektiven zur Erhöhung der IT-Sicherheit zu entwickeln.

Großes Medieninteresse. Verglichen mit anderen Datenleaks ist der aktuelle Fall quantitativ betrachtet deutlich kleiner: Beim Hack von Yahoo (2013) wurden beispielsweise Datensätze von über 3 Milliarden Nutzeraccounts kopiert. Einzigartig wird der aktuelle Fall durch die Umstände. Erstens handelt es sich um die Daten „interessanter“ Persönlichkeiten. Zweitens wurden die Daten – wie es beim sog. „Doxing“ durchaus üblich ist – in spektakulärer Weise öffentlich zur Schau gestellt, hier durch die Übernahme des Twitter-Kontos eines deutschen Influencers. Drittens suchten mehrere Akteure aus der Szene früh die Öffentlichkeit und gaben Interna über Täter und Tathergang preis. Über den Angriff auf das Regierungsnetz, erstmals 2015, ein weiteres Mal im Februar 2018 (Zeit), drang hingegen vergleichsweise wenig nach außen.

Zur Aufklärung beitragen. Das Ergebnis der intensiven Berichterstattung sollte es nun aber nicht sein, dass ein allgemeines Misstrauen gegen Technik entsteht – im Gegenteil, die Situation bietet sich an, um auf den sicheren Umgang mit digitalen Medien hinzuweisen (Zeit). Denn technisch neue Methoden wurden im Rahmen des Angriffs nicht genutzt: Nach jetzigem Ermittlungsstand wurde weder eine neue Sicherheitslücke in Betriebssystemen ausgenutzt, noch ein als sicher geltender Kryptoalgorithmus „gebrochen“ – das sind gute Nachrichten, da es für die verwendeten Angriffsvektoren (Social Engineering, schwache oder doppelte Passwörter) bekannte Gegenmaßnahmen gibt. Es ist nun die Aufgabe der Politik, im Gesetzgebungsprozess die Weichen so zu stellen, dass Dienstanbieter zukünftig einen höheren Anreiz haben, Schutzmechanismen einzusetzen und ihre Dienste so anzubieten, dass diese nur mit dem gebotenen Mindestmaß an Sicherheit verwendet werden können. Wohin die Erwartungshaltung führt, dass sich Nutzer selbst um ihre Sicherheit zu kümmern hätten, hat der aktuelle Fall eindrucksvoll gezeigt.

Perspektiven entwickeln. Zur Entwicklung von Perspektiven zählt auch das definitive Ausschließen von Maßnahmen: Zwischenzeitlich vorgeschlagene Hackbacks (Stuttgarter Zeitung) dürfen keine Option sein, da der „digitale Gegenschlag“ mehr schadet als nützt (Zeit). Auch sonstige offensive Cyberaktivitäten, wie der Aufkauf von IT-Sicherheitslücken durch staatliche Institutionen, sollten stark begrenzt oder sogar komplett eingestellt werden.

Tatsächliche Maßnahmen zur Erhöhung der IT-Sicherheit sollten hingegen folgende sein: Erstens, eine umfassende Sensibilisierung für das Thema IT-Sicherheit, beispielsweise in Unternehmen, Schulen und Hochschulen. Zweitens, muss durchgesetzt werden, dass Produkte und Dienste „secure by default“ sind. Mindestanforderungen an erlaubte Kennwörter und der möglichst flächendeckende Einsatz von Mehrfaktorauthentifizierung erscheinen hier im Lichte des aktuellen Falls wünschenswert. Im Hinblick auf die Sicherheit von Software sollten Hersteller drittens darauf verpflichtet werden, beim Kauf zuzusagen, über welchen Zeitraum Sicherheitsupdates zur Verfügung gestellt werden. Viertens sollte ein unabhängiges CERT (Computer Emergency Response Team) aufgebaut werden, das dazu befugt ist, auf eigene Veranlassung zu überprüfen, ob Produkte und Dienste gängige Sicherheitsmechanismen einsetzen (Golem).

Manche Kommentatoren konnten dem Datenskandal auch etwas gutes abgewinnen: Wichtige Entscheidungsträger haben nun am eigenen Leib erfahren, wie wichtig der Schutz der Privatsphäre im alltäglichen Leben geworden ist und dass wir nicht erwarten können, dass ausreichender Schutz am freien Markt entsteht. Es bleibt zu hoffen, dass sich dies nun ändert.

Weitere Linkempfehlungen. Zum Thema „digitale Gewalt“ und Doxing gab es einen Vortrag auf dem Kongress des Chaos Computer Club (35c3). Auf der Seite des HPI kann man überprüfen, ob man von einem größeren, öffentlich bekannt gewordenen Datenleak betroffen ist (Projekt des HPI).

Dieser Beitrag wurde von den GI-Junior-Fellows Tim Philip Schäfers und Dominik Herrmann verfasst.

GI-MELDUNGEN

GI-Vizepräsident Alexander von Gernler zum Wissenschaftsjahr 2019 (Domradio). Das Wissenschaftsjahr 2019 ist dem Thema Künstliche Intelligenz gewidmet. Damit möchten die Veranstalter Scheu abbauen und das eher sperrige und manchmal angsteinflößende Thema der Öffentlichkeit verständlich(er) machen. GI-Vizepräsident von Gernler weist darauf hin, dass gerade das Thema Ethik in diesem Kontext nicht vernachlässigt werden darf.  weiterlesen

Arbeitskreis-Sprecher Pohl: Speicherung von Patientendaten in der Cloud ist unsicher (ZDF). Hartmut Pohl, Sprecher des GI-Arbeitskreises „Datenschutz und IT-Sicherheit“ warnt vor der zentralen Speicherung von Patientendaten in der Cloud ebenso wie vor der Speicherung auf Smartphones oder Tablets. Diese Geräte seien anfällig für Angriffe und die Daten damit nicht mehr sicher.  weiterlesen

Neuer Job gesucht? Oder Mitarbeiterinnen und Mitarbeiter? GI-Jobbörse konsultieren. Die GI bietet auf ihrer Seite eine Jobbörse, in der sich Stellen sowohl in der Wissenschaft als auch in Unternehmen finden und aufgegeben werden können. Es lohnt sich, hier immer mal wieder einen Blick hineinzuwerfen.  weiterlesen

FUNDSTÜCK

Wegautomatisiert. Wie verändert die fortschreitende Digitalisierung unsere Arbeitswelt? Weitgehende Einigkeit besteht darin, dass wohl eine Reihe von Jobs wegfallen wird. Menschliche Arbeitskraft wird zunehmend durch Maschinen ersetzbar werden. Seit Jahren wird darüber debattiert, in welchen Branchen es zu den größten Umwälzungen kommen wird. Strittig ist bislang auch, ob der Fortschritt am Ende einen positiven oder negativen Effekt auf den Arbeitsmarkt haben wird. In unserem Fundstück kommen hingegen Menschen zu Wort, die die Auswirkungen schon heute zu spüren bekommen. Es sind Entwicklerinnen und Entwickler, die aus nächster Nähe miterleben, wie die von ihnen geschriebene Software die Arbeit eines anderen Menschen oder eines ganzen Teams übernimmt. Die Beschreibung dieser Einzelschicksale macht deutlich, wie belastend die Automatisierung der Arbeitswelt für Beteiligte und Betroffene sein wird.   Zum Beitrag (gizmodo.com, 12 min, engl.)

Welches Fundstück hat Sie zuletzt inspiriert? Senden Sie uns Ihre Ideen!

Dies war Ausgabe 230 des GI-Radars. Zusammengestellt wurde sie von Dominik Herrmann – vielleicht aber auch von einem Programm, das sich als Dominik Herrmann ausgibt. Die GI-Mitteilungen, das können wir Ihnen hingegen versichern, hat GI-Geschäftsführerin Cornelia Winter zusammengetragen. Das nächste GI-Radar erscheint am 25. Januar 2019.

Im GI-Radar berichten wir alle zwei Wochen über ausgewählte Informatik-Themen. Wir sind sehr an Ihrer Meinung interessiert. Für Anregungen und Kritik haben wir ein offenes Ohr, entweder per E-Mail (redaktion@gi-radar.de) oder über das Feedback-Formular bei SurveyMonkey. Links und Texte können Sie uns auch über Twitter (@informatikradar) oder Facebook zukommen lassen.