U Entry

Studienlage & Gesetzesgrundlagen

Wissen. Einordnen. Selbstbestimmt entscheiden.

Ausgewählte Studien, Behördenpapiere, Gesetze und Berichte zu digitaler Freiheit, Überwachung und finanzieller Selbstbestimmung – sorgfältig recherchiert, mit Quelle belegt und neutral aufbereitet.

Alle Inhalte (2775) Studien (133) Gesetzesgrundlagen (689) Behörden (313) Journalismus (1086) Organisationen (554)

554 Treffer · Seite 25 von 47

Organisation/NGO

Okta-Support-Hack: HAR-Dateien-Leck betrifft praktisch alle 18.400 Kunden

Zwischen dem 28.09.2023 und dem 17.10.2023 verschafften sich Angreifer über einen kompromittierten Service-Account Zugriff auf das Kundensupport-System des Identitätsanbieters Okta. Ursache war, dass ein Okta-Mitarbeiter sich auf einem firmeneigenen Chrome-Browser mit einem privaten Google-Konto anmeldete, wodurch die Zugangsdaten dieses Service-Accounts in dem privaten Konto gespeichert wurden. Die Angreifer griffen im Support-System auf HAR-Dateien zu, die Kunden zur Fehlerdiagnose hochgeladen hatten und die Sitzungstoken enthielten, womit sich Nutzersitzungen kapern ließen. Damit übernahmen die Angreifer Sitzungen von 5 Kunden, darunter BeyondTrust, Cloudflare und der Passwortmanager 1Password. Okta entdeckte den Vorfall am 13.10.2023 nach einem Hinweis von BeyondTrust und informierte am 19.10.2023 zunächst über 134 betroffene Kunden. Am 29.11.2023 räumte Okta ein, dass die Angreifer bereits am 28.09.2023 einen Bericht heruntergeladen hatten, der Namen und E-Mail-Adressen praktisch aller Nutzer des Okta-Kundensupportsystems enthielt und damit nahezu alle rund 18.400 Okta-Kunden betraf. Laut Okta enthielten 99,6 Prozent der betroffenen Einträge in diesem Bericht ausschließlich Namen und E-Mail-Adresse. Als Reaktion deaktivierte Okta den kompromittierten Service-Account und blockierte die Anmeldung mit privaten Google-Konten auf firmeneigenen Chrome-Geräten.

Okta Security

29.11.2023

Klartext anzeigen

Aus dieser Quelle nicht belegt sind die konkrete Identität oder Zuordnung der Angreifer zu einer bestimmten Gruppe sowie mögliche finanzielle Schäden, Bußgelder oder der Ausgang etwaiger regulatorischer beziehungsweise gerichtlicher Verfahren infolge des Vorfalls.

In Tabelle Quelle öffnen

Organisation/NGO

Boeing-Zulieferersparte: CISA bestätigt LockBit-Angriff über Citrix-Bleed-Lücke CVE-2023-4966

Am 21.11.2023 veröffentlichten die US-Behörde CISA, das FBI und weitere Partner den gemeinsamen Sicherheitshinweis AA23-325A zur Ausnutzung der Citrix-Bleed-Schwachstelle CVE-2023-4966 durch Affiliates der Ransomware-Gruppe LockBit 3.0. Die Schwachstelle in Citrix NetScaler ADC und NetScaler Gateway erlaubte das Auslesen aktiver Sitzungstoken und damit die Umgehung der Multi-Faktor-Authentifizierung. Laut Advisory beobachtete der Flugzeughersteller Boeing als eine der ersten Organisationen, wie LockBit-3.0-Affiliates die Schwachstelle nutzten, um Zugang zu Boeing Distribution Inc. zu erlangen. Die Ausnutzung der Schwachstelle als Zero-Day begann laut Advisory bereits im August 2023, Citrix veröffentlichte am 10.10.2023 einen Patch. LockBit hatte Boeing zuvor am 27.10.2023 auf seiner Leak-Seite gelistet und 200 Millionen US-Dollar Lösegeld gefordert. Boeing zahlte nicht, woraufhin LockBit Anfang November 2023 rund 43 Gigabyte an Unternehmensdaten veröffentlichte. Der Advisory nennt neben Boeing weitere Betroffene derselben Angriffswelle, darunter die Kanzlei Allen & Overy, die Industrial and Commercial Bank of China und das Logistikunternehmen DP World.

CISA (Cybersecurity and Infrastructure Security Agency)

21.11.2023

Klartext anzeigen

Aus dem Advisory geht nicht hervor, welche konkreten Fluggesellschaften oder Zulieferer in der Boeing-Lieferkette durch die geleakten Zulieferdaten selbst kompromittiert wurden, und die Gesamtzahl weltweit betroffener Organisationen der Citrix-Bleed-Kampagne bleibt unbeziffert.

In Tabelle Quelle öffnen

Organisation/NGO

Signa-Insolvenz: Ermittlungen und Anklagen gegen Rene Benko

Der von Rene Benko gegruendete Immobilien- und Handelskonzern Signa meldete Ende November 2023 mit der Signa Holding Insolvenz an, weitere Konzerngesellschaften folgten. Die WKStA ermittelt seither gegen Benko und mehrere Ex-Manager wegen Untreue, betruegerischer Krida und schweren Betrugs; der geschaetzte Schaden wird auf teils bis rund 300 Mio. Euro beziffert. Benko wurde 2024 zeitweise in Untersuchungshaft genommen.

Wirtschafts- und Korruptionsstaatsanwaltschaft (WKStA), Oesterreich

21.11.2023

Klartext anzeigen

Es gilt die Unschuldsvermutung bis zu rechtskraeftigen Urteilen; die genaue Schadenshoehe und Verantwortung einzelner Beteiligter sind Gegenstand laufender Gerichtsverfahren in mehreren Laendern.

In Tabelle Quelle öffnen

Organisation/NGO

How GoGuardian Invades Student Privacy

GoGuardian markiert bei 27 Mio. Schülern häufig harmlose Inhalte fälschlich als riskant, ermöglicht Webcam-/Bildschirmzugriff ohne echte Einwilligung.

Electronic Frontier Foundation

30.10.2023

Klartext anzeigen

Zahlen stammen von interessengeleiteter Organisation (EFF).

In Tabelle Quelle öffnen

Organisation/NGO

British-Library-Ransomware: 600 GB Daten gestohlen, Monate Totalausfall

Am 28.10.2023 meldete die British Library ab 9:54 Uhr ein "technisches Problem", das sich als Ransomware-Angriff der Gruppe Rhysida herausstellte. Die Angreifer nutzten vermutlich kompromittierte privilegierte Zugangsdaten, moeglicherweise erlangt durch Phishing, Spear-Phishing oder Brute-Force-Angriffe, da keine durchgaengige Mehrfaktor-Authentifizierung bestand. Rhysida forderte ein Loesegeld von 20 Bitcoin, umgerechnet rund 596.000 britische Pfund, das die Bibliothek gemaess der Never-pay-Politik des britischen National Cyber Security Centre nicht zahlte. Am 20.11.2023 bekannte sich Rhysida oeffentlich zu dem Angriff und startete eine siebentaegige Auktion gestohlener Daten im Darknet, die rund 490.191 Dateien beziehungsweise etwa 600 Gigabyte umfassten, darunter Personalunterlagen, Arbeitsvertraege, teilweise Passdaten sowie Nutzerdaten. Am 27.11.2023 veroeffentlichte Rhysida rund 90 Prozent der Daten oeffentlich, nachdem der Verkauf offenbar nicht vollstaendig gelungen war. Website, Online-Katalog, WLAN, Telefonanlage, Ticketverkauf und Leserregistrierung fielen monatelang aus, der Hauptkatalog wurde erst am 15.01.2024 im reinen Lesemodus wiederhergestellt. Etwa 20.000 Autoren und Uebersetzer erhielten verspaetete Public-Lending-Right-Zahlungen. Die geschaetzten Wiederherstellungskosten lagen bei 6 bis 7 Millionen britischen Pfund, etwa 40 Prozent der finanziellen Ruecklagen der Bibliothek. Am 08.03.2024 veroeffentlichte die British Library den offiziellen Bericht "Learning Lessons from the Cyber-Attack" mit Zeitverlauf und 16 Lehren aus dem Vorfall.

British Library (offizieller Bericht)

28.10.2023

Klartext anzeigen

Der exakte initiale Angriffsvektor (welches konkrete Konto, welche Methode) ist laut Bericht nicht abschliessend geklaert, sondern nur als wahrscheinlichste Hypothese benannt. Ob und in welchem Umfang einzelne Betroffene individuell benachrichtigt wurden und wie viele Nutzerkonten konkret kompromittiert waren, bleibt in der Quelle unklar.

In Tabelle Quelle öffnen

Organisation/NGO

Okta-Support-System gehackt: Cookies und Session-Tokens von Kunden wie BeyondTrust und Cloudflare gestohlen

Der Marktführer für Identitätsmanagement Okta gab am 21.10.2023 einen Sicherheitsvorfall in seinem Kundensupportsystem bekannt. Ein Angreifer verschaffte sich mit gestohlenen Zugangsdaten Zugriff auf das Support-Case-Management-System von Okta; das Sicherheitsteam von BeyondTrust hatte bereits am 02.10.2023 einen Einbruchsversuch in ein internes Okta-Administratorkonto entdeckt und blockiert, bei dem ein aus dem Okta-Support-System gestohlenes Cookie verwendet wurde. Der Angreifer lud einen Bericht mit Details aller Nutzer des Okta-Kundensupportsystems herunter; am häufigsten entwendet wurden vollständige Namen und E-Mail-Adressen, in selteneren Fällen auch Telefonnummern, Benutzernamen und Positionsangaben. Die Support-Dateien enthielten zusätzlich Kunden-Cookies und Session-Tokens, über die Angreifer potenziell auf Kundenkonten zugreifen konnten. Zu den betroffenen Kunden gehörten unter anderem die Sicherheitsfirmen BeyondTrust und Cloudflare.

The Hacker News / BeyondTrust

21.10.2023

Klartext anzeigen

Da Okta zentrale Authentifizierungsdienste für zahlreiche andere Unternehmen bereitstellt, ist das Ausmaß der Folgeschäden bei Kunden, die die gestohlenen Session-Tokens tatsächlich zur weiteren Kompromittierung nutzten, aus dieser Quelle nicht vollständig beziffert.

In Tabelle Quelle öffnen

Organisation/NGO

Richtlinie (EU) 2023/2226 – DAC8

DAC8 erweitert automatischen Informationsaustausch der EU-Steuerbehörden auf Kryptowerte, übernimmt OECD-Standard CARF.

Rat der Europäischen Union

17.10.2023

Klartext anzeigen

Regelt nur Meldepflichten, nicht technische Umsetzung.

In Tabelle Quelle öffnen

Organisation/NGO

Equifax UK zahlt 11 Mio. Pfund FCA-Bußgeld: Britische Kunden über Datenleck getäuscht

Zusätzlich zum 2019 von der US-amerikanischen FTC verhängten Bußgeld von 508,1 Millionen US-Dollar gegen die Muttergesellschaft belegte die britische Finanzaufsicht Financial Conduct Authority (FCA) 2023 die britische Tochtergesellschaft Equifax Ltd. mit einem eigenen Bußgeld von 11 Millionen Pfund. Vom ursprünglichen Equifax-Datenleck 2017 waren auch 13,8 Millionen Briten betroffen. Die FCA stellte fest, dass Equifax seine britischen Kunden weder transparent noch wahrheitsgemäß über den Vorfall informierte: Das Unternehmen sprach zunächst lediglich von einem Cyber-Sicherheitsvorfall in den USA, obwohl es zu diesem Zeitpunkt bereits vom Diebstahl britischer Kundendaten wusste.

Financial Conduct Authority (FCA)

01.10.2023

Klartext anzeigen

Der zeitliche Abstand zwischen Kenntnis des Datenlecks und der öffentlichen Kommunikation ist aus dieser Quelle nicht mit exakten Daten beziffert.

In Tabelle Quelle öffnen

Organisation/NGO

23andMe-Credential-Stuffing: 14.000 gehackte Konten legen über die Verwandtensuche-Funktion Daten von 6,9 Millionen Menschen offen

Ab dem 29.04.2023 über rund fünf Monate hinweg testete ein Angreifer bei 23andMe systematisch Kombinationen aus Nutzernamen und Passwörtern, die zuvor bei anderen Datenlecks erbeutet worden waren (Credential Stuffing), gegen die Login-Seite von 23andMe, da viele Menschen dieselben Passwörter auf mehreren Diensten wiederverwenden. Direkt kompromittiert wurden dadurch rund 14.000 Konten, weniger als 0,1 Prozent der etwa 14 Millionen 23andMe-Kunden. Weil 23andMe jedoch die Opt-in-Funktion 'DNA Relatives' anbietet, über die Nutzer Profilinformationen mit genetisch verwandten Nutzern teilen, konnte der Angreifer über die miteinander verknüpften Profile und Stammbaum-Tools von den 14.000 direkt kompromittierten Konten aus auf Daten von insgesamt 6,9 Millionen Menschen zugreifen, die 23andMe im Oktober 2023 entsprechend benachrichtigte.

HIPAA Journal / Dark Reading

01.10.2023

Klartext anzeigen

Der Fall zeigt exemplarisch, wie eine relativ kleine Zahl kompromittierter Konten (0,1 Prozent) durch eine Datenverknüpfungsfunktion einen weit größeren Personenkreis betreffen kann; die genaue Art der bei den 6,9 Millionen Betroffenen tatsächlich offengelegten Datenfelder wird in dieser Quelle nicht vollständig differenziert.

In Tabelle Quelle öffnen

Organisation/NGO

€ 5,8 million fine for Grindr confirmed

Das norwegische Datenschutz-Berufungsgremium bestätigte eine Geldbuße von 5,8 Mio. Euro gegen Grindr, weil die App sensible Nutzerdaten ohne gültige Rechtsgrundlage an Werbepartner weitergab.

noyb – European Center for Digital Rights

29.09.2023

Klartext anzeigen

Zusammenfassung stammt von der Organisation, die die Beschwerde selbst eingereicht hat.

In Tabelle Quelle öffnen

Organisation/NGO

Wegweiser kompakt: 8 Tipps für ein sicheres Heimnetzwerk

Das BSI gibt acht Empfehlungen zur Absicherung des Heimnetzwerks, darunter Änderung von Standardpasswörtern und regelmäßige Firmware-Updates.

BSI

18.09.2023

Klartext anzeigen

Richtet sich an technische Laien, ersetzt keine tiefergehende Konfigurationsanleitung.

In Tabelle Quelle öffnen

Organisation/NGO

TikTok zahlt 345 Millionen Euro DSGVO-Bußgeld wegen mangelndem Schutz minderjähriger Nutzer

Die irische Datenschutzbehörde DPC verhängte gegen TikTok ein Bußgeld von 345 Millionen Euro wegen DSGVO-Verstößen im Umgang mit Daten minderjähriger Nutzer zwischen Ende Juli und Ende Dezember 2020. Konkret bot TikTok 13- bis 17-Jährigen als Voreinstellung an, ihre Beiträge standardmäßig öffentlich für alle sichtbar zu veröffentlichen, und die Kommentarfunktion in Minderjährigen-Profilen war standardmäßig für alle anderen Nutzer offen. Zusätzlich kritisierte die DPC die 'Familien-Kopplung', mit der Erwachsene ihr Konto mit dem eines Kindes verknüpfen konnten, ohne dass geprüft wurde, ob es sich tatsächlich um ein Elternteil oder eine berechtigte Person handelte, wodurch Fremde Minderjährigen Direktnachrichten senden konnten. TikTok musste die Datenverarbeitung binnen drei Monaten DSGVO-konform anpassen.

Irische Datenschutzbehörde (DPC)

15.09.2023

Klartext anzeigen

Ob TikTok die geforderten Anpassungen fristgerecht und vollständig umsetzte, ist aus dieser Quelle nicht belegt.

In Tabelle Quelle öffnen

← ZurückSeite 25 von 47Weiter →

Transparenz & Qualität

Alle Inhalte sind sorgfältig recherchiert, mit Quellen belegt und werden regelmäßig überprüft.

Mehr über unsere Standards

Dein Wissen. Deine Freiheit.

Nutze verlässliche Informationen, um deine eigenen Entscheidungen zu treffen – für ein selbstbestimmtes Leben.

Zur Lernakademie

Wichtiger Hinweis

Alle Inhalte dienen ausschließlich der allgemeinen Information und Weiterbildung. Sie stellen keine Rechts-, Steuer- oder Anlageberatung dar.