Posts in category: Business

Ein kürzlich entdecktes Verfahren kombiniert drahtlose elektronische Überwachung mit künstlicher Intelligenz (KI), um Computerbildschirme auszuspähen. Forschende in Uruguay haben eine Methode entwickelt, die es ermöglicht, mithilfe von KI-Systemen die Anzeigen von Computerbildschirmen zu überwachen. Sie fangen die elektromagnetische Strahlung, die vom HDMI-Kabel zwischen Computer und Monitor ausgeht, ab und dekodieren diese. Laut den Forschenden könnte diese Methode bereits in der Praxis angewendet werden.

Bildschirmüberwachung durch KI

Ein Team von Computersicherheitsforschenden der Universität der Republik in Montevideo, Uruguay, zeigt auf, wie man Bildschirminhalte ausspionieren kann, während der Nutzer verschlüsselte Nachrichten, Bankdaten oder andere vertrauliche Informationen eingibt. Dies geschieht durch das Abhören des HDMI-Kabels. Santiago Fernández Emilio Martínez, Gabriel Varela und Pablo Musé Federico Larroca haben ihre Forschungsergebnisse auf der ArXiv-Plattform von Cornell Tech veröffentlicht.

Die Studie zeigt, dass es möglich ist, ein KI-System zu trainieren, um kleinste Variationen der elektromagnetischen Strahlung des HDMI-Signals zu interpretieren. Obwohl HDMI ein kabelgebundener und digital verschlüsselter Standard ist, senden die Kabel ausreichend Strahlung aus, um diese ohne direkten Zugang zu erkennen.

Die Angriffe können auf verschiedene Weisen durchgeführt werden, beispielsweise durch den Einsatz von Antennen, die ausserhalb eines Gebäudes positioniert werden, um HDMI-Signale aufzufangen. Alternativ könnte ein diskretes Signalerfassungsgerät innerhalb des Zielgebäudes platziert werden.

Test der Angriffsmethode

Zur Überprüfung der Genauigkeit des Angriffs nutzten die Forschenden eine Texterkennungssoftware, um den vom KI-System wiederhergestellten Inhalt zu analysieren. Der extrahierte Text wurde anschliessend mit dem ursprünglichen Bildschirminhalt verglichen. Die Tests zeigten, dass die KI in der Lage war, Text von einem Computerbildschirm mit einer Genauigkeit von 70 % zu rekonstruieren.

Obwohl der Ansatz der Forschenden noch nicht mit herkömmlichen Aufzeichnungsmethoden vergleichbar ist, zeigt er eine Verbesserung um 60 % gegenüber früheren Projekten. Die Methode reicht aus, um den Hauptinhalt des angezeigten Textes zu verstehen, und könnte sogar Passwörter und sensible Daten erfassen. Dies ist komplett drahtlos möglich, ohne physischen Zugriff auf den Zielcomputer und sogar von ausserhalb eines Gebäudes.

Historischer Kontext und neue Bedrohungen

Das Konzept, drahtlose elektromagnetische Signale zur Überwachung zu nutzen, ist nicht neu. Laut dem Spiegel nutzte man früher die Technik der „kompromittierenden Abstrahlung“, bekannt unter dem Namen „Tempest“, um Daten aus der Strahlung von Computermonitoren zu rekonstruieren.

Früher wurden Computer und Bildschirme über VGA-Anschlüsse mit analoger Signalübertragung verbunden, was Hackern das Auslesen erleichterte. Heute erfolgt die Datenübertragung digital über HDMI-Kabel. Die digitale Übertragung beinhaltet Verschlüsselung, weshalb HDMI-Kabel als sicher galten. Die durch KI unterstützte Angriffsmethode „Deep-TEMPEST“ der Forschenden zeigt jedoch, dass auch digitale Übertragungen verwundbar sein können.

Mögliche Ziele und Schutzmassnahmen

Die Forschenden vermuten, dass diese oder ähnliche Systeme bereits von staatlichen und industriellen Spionen genutzt werden. Aufgrund der Komplexität der Technik und der Notwendigkeit, sich in der Nähe des Zielsystems zu befinden, sind normale Nutzer wahrscheinlich nicht betroffen. Regierungsbehörden und grosse Unternehmen mit sensiblen Daten sollten jedoch Schutzmassnahmen gegen elektromagnetische Überwachung in Betracht ziehen.

Der Malware-Downloader Fakeupdates bleibt im Juni weiterhin die führende Bedrohung laut dem Malware-Ranking des Cybersicherheitsunternehmens Check Point. Die am häufigsten ausgenutzte Sicherheitslücke im vergangenen Monat war die “Check Point VPN Information Disclosure”.

In einer aktuellen Entwicklung, datiert auf den 12. September 2023, wird darüber diskutiert, ob Betreiber entscheidender Einrichtungen zukünftig verpflichtet sein sollten, nicht nur Cyberangriffe, sondern auch schwerwiegende Sicherheitslücken den Behörden zu melden. Diese Frage hat zu kontroversen Debatten zwischen den legislativen Gremien geführt. Der nationale Gesetzgeber hat nun einen Kompromissvorschlag vorgelegt.

Am 12. September 2023 wurde eine wichtige Entscheidung getroffen. Sollten Betreiber von entscheidenden Infrastrukturen künftig nicht nur Cyberangriffe, sondern auch bedeutende Sicherheitslücken in ihren Computersystemen melden müssen? Diese Frage spaltet immer noch die beiden Kammern des Gesetzgebers. Der nationale Gesetzgeber, der ursprünglich die Meldung von Sicherheitslücken gefordert hatte, hat nun einen Schritt in Richtung des Bundesrates unternommen, der zuvor gegen diesen Vorschlag gestimmt hatte.

Gemäss Informationen von Behördenquellen hat das grössere legislative Organ beschlossen, proprietäre Entwicklungen von Unternehmen von der Meldepflicht auszunehmen. Diese Entscheidung folgte einem Antrag des sicherheitspolitischen Ausschusses des nationalen Gesetzgebers. Der Sprecher dieses Ausschusses, Gerhard Andrey, begründete den Antrag damit, dass andere Betreiber spezielle Eigenentwicklungen nicht nutzen würden.

Eine Minderheit in der Kammer hingegen plädierte dafür, dem Bundesrat zu folgen und die Meldepflicht für bedeutende Sicherheitslücken in Computersystemen gänzlich aufzuheben. Das Thema wird nun an das kleinere legislative Organ zurückverwiesen.

Am 1. Juni 2023:

Das Parlament hat einstimmig die Einführung einer Meldepflicht für Cyberangriffe auf wichtige Einrichtungen befürwortet. Doch diese Entscheidung ist noch nicht endgültig, wie von behördlichen Quellen berichtet wird. Denn der Vorschlag des nationalen Gesetzgebers, die Meldepflicht auch auf bedeutende Sicherheitslücken in Computersystemen auszudehnen, fand keine Zustimmung im Bundesrat. Dieser erweiterte Vorschlag wurde mit 31 zu 13 Stimmen abgelehnt. Die kleinere legislative Kammer folgte dabei Personen wie FDP-Mitglied Hans Wicki, der vor zusätzlichem Aufwand für Betriebe und die Meldestelle warnte. Das Thema wird nun zur Klärung von Meinungsverschiedenheiten wieder an den nationalen Gesetzgeber zurückverwiesen.

Am 16. März 2023:

Der nationale Gesetzgeber unterstützt nun die Einführung einer Meldepflicht für Cyberangriffe auf wichtige Einrichtungen. Laut behördlichen Informationen hat er die erforderlichen Änderungen am Bundesgesetz über die Informationssicherheit verabschiedet, und zwar mit 132 zu 55 Stimmen. Daraufhin sollen Betreiber wichtiger Einrichtungen künftig grosse Cyberangriffe innerhalb von 24 Stunden an das Nationale Zentrum für Cybersicherheit (NCSC) melden müssen. Bei vorsätzlicher Unterlassung riskieren sie eine Geldstrafe.

Der nationale Gesetzgeber hat auch vorgeschlagen, die Meldepflicht auf bedeutsame Sicherheitslücken in Computersystemen auszudehnen, und folgte damit einem Vorschlag seines Ausschusses für Sicherheitspolitik. Laut der Mitteilung erhofft sich das grössere legislative Organ eine vorbeugende Wirkung davon. Das Thema geht als nächstes an den Bundesrat.

In einer Stellungnahme kritisiert eine politische Partei in der Schweiz, dass das NCSC immer noch als Meldestelle vorgesehen ist. Dies liegt daran, dass das NCSC in eine Bundesbehörde umgewandelt und dem Verteidigungsministerium angegliedert wird. Dort sind auch Organisationen wie der Nachrichtendienst des Bundes (NDB) und die Armee untergebracht, die nach Meinung der Partei nicht im besten Interesse der Cybersicherheit handeln. Daher ist das NCSC nicht mehr als vertrauenswürdig anzusehen, und es sollte eine unabhängige Meldestelle geschaffen werden. Die Partei fordert auch, dass das NCSC verpflichtet wird, die Öffentlichkeit über gemeldete Cyberangriffe zu informieren, anstatt dies nur als Möglichkeit zu betrachten.

Am 2. Dezember 2022:

Der Bundesrat hat dem Parlament einen Vorschlag zur Änderung des Gesetzes über die Informationssicherheit im Bund vorgelegt. Dieser Vorschlag legt die gesetzlichen Grundlagen für die Verpflichtung der Betreiber wichtiger Einrichtungen fest, Cyberangriffe, die sie erlitten haben, zu melden.

Die zentrale Anlaufstelle für diese Meldungen wird das neue Bundesamt für Cybersicherheit sein.

Ursprüngliche Meldung vom 13. Mai 2022:

Die Idee einer Meldepflicht für Cyberangriffe auf wichtige Einrichtungen erfreut sich in der Schweiz grosser Unterstützung. Betreiber von kritischen Infrastrukturen könnten in Zukunft dazu verpflichtet werden, solche Vorfälle zu melden. Der Gesetzesvorschlag, den der Bundesrat im Januar 2022 in die Vernehmlassung geschickt hat, findet breite Zustimmung in Wirtschaft, Forschung und auf Kantonsebene, wie das Nationale Zentrum für Cybersicherheit (NCSC) mitteilt.

Insgesamt gingen etwa 100 Stellungnahmen ein, die die vorgeschlagenen Gesetzestexte grösstenteils befürworteten. Eine Meldepflicht bei einer zentralen Bundesstelle wird als ein sinnvolles Instrument zur Stärkung der Cybersicherheit angesehen. Den Betroffenen ist es besonders wichtig, dass diese Meldungen ohne zusätzlichen bürokratischen Aufwand erfolgen können.

Am 31. August 2022 hat die Schweizer Regierung beschlossen, die vollständige Überarbeitung des Datenschutzgesetzes, einschliesslich der neuen Datenschutzverordnung und der Verordnung über Datenschutzzertifizierungen (VDSZ), endgültig ab dem 1. September 2023 in Kraft zu setzen. Bis zu diesem Zeitpunkt müssen alle Geschäftsunternehmen die aktualisierten Bestimmungen umsetzen. Der Bundesbeauftragte für Datenschutz und Öffentlichkeit (EDÖB) wird durch diese Gesetzgebung in die Lage versetzt, die Beachtung der Datenschutzrichtlinien effektiver zu kontrollieren, wobei Verstösse mit Untersuchungen, Massnahmen und gegebenenfalls Bussgeldern begegnet werden können. Ausserdem stehen betroffenen Personen rechtliche Mittel zur Durchsetzung ihrer Rechte zur Verfügung.

Zusammen mit der Festlegung des Inkrafttretens des revidierten Datenschutzgesetzes veröffentlichte die Regierung den offiziellen Text der Datenschutzverordnung (neue Kurzform: DSV). Bisher war nur ein Vorentwurf zugänglich, der während der Konsultationsphase auf teils heftigen Widerstand gestossen war. Das Ergebnis zeigt jedoch, dass die Anliegen im Parlament berücksichtigt wurden, und es zeichnet sich ein Ausgleich hin zu praktischeren und unternehmensfreundlicheren Vorgaben ab. Darüber hinaus wurden viele Bestimmungen präziser formuliert.

Im überarbeiteten Entwurf der Datenschutzverordnung (DSV) wurden bestimmte Kernänderungen vorgenommen, die potenziell einen direkten Einfluss auf Unternehmen und verschiedene Organisationen, ob öffentlich oder gemeinnützig, haben könnten. Diese Änderungen sind wie folgt zusammengefasst:

Informationspflichten: Die Anforderungen an Informationspflichten wurden deutlich gelockert, besonders in Bezug auf die Art und Weise, wie Datenschutzerklärungen und Datenschutzhinweise formuliert werden müssen. Konkret wurden einige komplexe Pflichten entfernt:

• Die schwer nachvollziehbare Pflicht des Auftragsverarbeiters zur Information wurde gestrichen.
• Private Datenverantwortliche müssen Empfänger von Personendaten nicht mehr über bestimmte Aspekte wie „Genauigkeit“ oder „Zuverlässigkeit“ informieren; diese Verantwortung wurde den Bundesbehörden übertragen (siehe Art. 29 DSV).
• Informationen, die sich an europäische Datenschutzrichtlinien anlehnen, wie die über Berichtigung oder Löschung von Personendaten, sind nicht mehr erforderlich.

Verarbeitungsreglement: Die bisherige Notwendigkeit, ein Verarbeitungsreglement für private Unternehmen zu unterhalten, wurde modifiziert, jedoch nicht komplett aufgehoben:

• Es gilt nur noch für spezifische Fälle wie die automatisierte Verarbeitung sensibler Personendaten in grösserem Umfang oder bei hohem Risikoprofil (gemäss Art. 5 DSV).

Diese Änderungen reflektieren eine Tendenz, einige der komplexeren und möglicherweise unpraktischen Anforderungen des früheren Entwurfs zu entfernen, um den Prozess für alle Beteiligten klarer und handhabbarer zu machen.

Neben den bereits erwähnten Revisionen manifestieren sich weitere Modifikationen von essentieller Relevanz, die eine akribische Analyse und Implementierung nach sich ziehen. Hierunter subsumieren sich die Neukonzeption der Sanktionsmechanismen, die Rationalisierung der Anforderungen an die Datensicherheit sowie die spezifizierten Obliegenheiten bei internationalen Datenübertragungen. Als Unternehmen, das sich durch profunde Expertise in diesem Metier auszeichnet, sind wir exzellent dazu prädestiniert, unsere Klientel durch diese komplexen Neuerungen zu dirigieren. Wir offerieren eine individualisierte Konsultation, Assistenz bei der Adhärenz neuer Richtlinien und pragmatische Lösungen, um gewährleisten zu können, dass Ihre Unternehmung oder Institution die neuentwickelten Datenschutzanforderungen nicht bloss erfüllt, sondern diese zu Ihrem Vorteil nutzt. Unsere sachverständigen Spezialisten sind disponibel, um Sie in der Transformation der Datenschutzlandschaft zu unterstützen, sodass Sie mit unerschütterlichem Selbstvertrauen und Integrität agieren können.

Angesichts der erhöhten Sanktionen (Bussgelder bis zu CHF 250.000) wird es entscheidend sein, einen genauen Überblick über alle Datenströme an Dritte zu haben (insbesondere im internationalen Kontext), um die notwendigen Massnahmen ergreifen zu können (z.B. Abschluss relevanter Vereinbarungen, Risikobewertungen). Das Auskunftsrecht wird wohl seine Bedeutung beibehalten, und natürlich bleibt das übergeordnete Thema Daten- und IT-Sicherheit von grosser Relevanz.

Im letzten Jahr hat Apple rund 1,7 Millionen fragwürdige und schädliche Apps aus seinem App Store beseitigt. Weiterhin konnte das Unternehmen betrügerische Geschäfte mit einem Gesamtwert von mehr als 2 Milliarden US-Dollar unterbinden.

Apple hat einen Report über die Präventionsmassnahmen gegen Cyberkriminalität veröffentlicht. Laut der Mitteilung des kalifornischen Konzerns konnte das App-Store-Team im Jahr 2022 Transaktionen im Gesamtwert von über 2 Milliarden US-Dollar abwenden, die als potenziell betrügerisch eingestuft waren, und stoppte beinahe 1,7 Millionen App-Anmeldungen.

Im Zuge seines fortwährenden Engagements gegen Betrugsaktivitäten löschte das Unternehmen ausserdem 428’000 Entwicklerkonten aufgrund vermuteter betrügerischer Aktivitäten, deaktivierte 282 Millionen Kundenkonten, die als betrügerisch eingestuft wurden, und sperrte 105’000 neu erstellte Entwicklerkonten wegen möglicher betrügerischer Aktivitäten.

Besondere Herausforderungen beim Datenschutz

Von den annähernd 1,7 Millionen App-Anmeldungen, die von Apple abgelehnt wurden, lagen bei 400’000 Verletzungen der Privatsphäre vor. Hierzu zählen insbesondere Apps, die ohne Wissen oder Zustimmung versuchen, personenbezogene Daten der Nutzer zu sammeln.

Weiterhin wurden 153’000 abgewiesen, weil sie die Nutzer täuschten und Nachbildungen von bereits eingereichten Apps waren. Ungefähr 29’000 Applikationen wurde die Aufnahme in den App Store verweigert, da sie undokumentierte oder versteckte Funktionen nutzten.

“Das ‘App Review’-Team hat in mehreren Fällen im letzten Jahr Apps entdeckt, die mit schädlichem Code ausgestattet waren und die Login-Daten der Nutzer von Drittanbieter-Diensten stehlen könnten. In anderen Fällen enttarnte das ‘App Review’-Team mehrere Apps, die sich als harmlose Finanzmanagement-Plattformen ausgaben, jedoch in der Lage waren, sich in eine andere App zu transformieren”, berichtet Apple. Ungefähr 24’000 solcher Täuschungs-Apps wurden blockiert.

Apple ergänzte, dass das ‘App Review’-Team des App Stores wöchentlich durchschnittlich mehr als 100’000 App-Anmeldungen überprüft, wovon etwa 90 Prozent innerhalb von 24 Stunden geprüft werden.

Verdächtige Zahlungen und manipulierte Bewertungen

Durch das Unterbinden von betrügerischen Transaktionen im Gesamtwert von 2,09 Milliarden Dollar im letzten Jahr, konnte Apple nach eigenen Angaben etwa 714’000 betrügerische Konten von weiteren Transaktionen ausschliessen.

Des Weiteren sperrte das Unternehmen rund 3,9 Millionen entwendete Kreditkarten, die für betrügerische Einkäufe im App Store verwendet wurden. “Apple nimmt Kreditkartenbetrug sehr ernst und bleibt engagiert, den App Store und seine Nutzer vor solchen Belastungen zu schützen”, so das Unternehmen.

Zuletzt entfernte Apple im Jahr 2022 mehr als 147 Millionen betrügerische Bewertungen aus dem App Store, nachdem das Unternehmen mehr als 1 Milliarde Bewertungen durchgesehen hatte, um betrügerische Bewertungen zu identifizieren.

Laut Apple hat der App Store wöchentlich durchschnittlich über 650 Millionen Nutzer weltweit und bietet eine globale App-Vertriebsplattform für mehr als 36 Millionen registrierte Entwickler.

Bald werden virtuelle Agenten zum Arsenal des Bundesnachrichtendienstes gehören. Ausgerüstet mit gefälschten Identitäten werden sie beauftragt, Daten von sozialen Netzwerken zu erheben.

Der Bundesnachrichtendienst (NDB) verstärkt seine Präsenz in der digitalen Welt. Bis zum Jahresende plant die Behörde, virtuelle Agenten in ihr Team zu integrieren. Dies bestätigt der Nachrichtendienst gegenüber “SRF”.

“Angesichts der Notwendigkeit, unsere eigenen Fähigkeiten zu stärken und nicht ausschliesslich von den Leistungen unserer Partner abhängig zu sein, setzt der NDB derzeit ein Projekt zur Implementierung virtueller Agenten in Gang”, so die offizielle Stellungnahme des Nachrichtendienstes. In der Vergangenheit konnten bereits Ergebnisse erzielt werden, die durch die Nutzung virtueller Agenten von ausländischen Partnerdiensten erlangt wurden.

Die virtuellen Agenten, die mit Deckidentitäten ausgestattet sind, werden auf soziale Netzwerke ausgesandt, um Informationen für den Schweizer Nachrichtendienst zu erheben. Die genaue Anzahl dieser Cyberagenten, die der NDB einstellen möchte, und ihre spezifischen Fähigkeiten wurden dem SRF gegenüber nicht offengelegt. Laut NDB ist keine Gesetzesänderung notwendig, um den Einsatz virtueller Agenten zu ermöglichen.

Prisca Fischer, die Leiterin der unabhängigen Aufsichtsbehörde für nachrichtendienstliche Aktivitäten, äussert sich dahingehend, dass sie das Projekt eng überwachen und eine Untersuchung planen möchte, wenn die virtuellen Agenten gegen Ende des Jahres eingeführt werden.

Die EU investiert verstärkt in Cyberresilienz. Mit dem neuen “Solidaritätsgesetz” plant die Kommission unionsweite Security-Zentren und Notfallmechanismen.