Quellen-Tabelle

Fasst BSI-Empfehlungen zu Cloud-Speicher-Diensten zusammen: Zwei-Faktor-Authentifizierung, zeitlich begrenzte Freigabelinks, Vorabverschlüsselung sensibler Dateien.

Journalistische Zusammenfassung, keine direkte BSI-Primärquelle.

Kriminelle Netzwerke kombinieren Social-Engineering mit Leak-Daten, um sich bei Mobilfunkanbietern als Kunden auszugeben und SIM-Karten zu kapern; SMS-2FA gilt als schwächstes Glied.

Newsblog-Beitrag ohne eigene Primärstatistik.

Erklärt den Ablauf von SIM-Swap-Betrug per Social Engineering, warnt vor SMS-TAN als Schwachpunkt.

Ratgeberartikel ohne konkrete Fallzahlen für Deutschland.

Beschreibt SIM-Swapping als Identitätsdiebstahl, der Kontoübernahmen und Kryptowallet-Diebstahl ermöglicht, empfiehlt PIN-Schutz beim Anbieter statt SMS-2FA.

Fachmedien-Ratgeberartikel ohne empirische Fallzahlen.

Der Anbieter führt Zwei-Faktor-Authentifizierung für SIM-Kartentausch und eSIM-Profilaktivierung ein, um SIM-Swapping-Betrug vorzubeugen.

Pressemitteilung eines österreichischen Anbieters, zeigt aber branchentypisches Modell.

Das BSI warnt vor SIM-Swapping als Methode, mit der Cyberkriminelle die Kontrolle über die Mobilfunknummer eines Opfers übernehmen.

Kurzer Social-Media-Warnhinweis der Behörde ohne ausführliche Fallzahlen.

Beim LastPass-Hack 2022 erbeuteten Angreifer Kundendaten sowie verschlüsselte Passworttresore; ein starkes Master-Passwort war entscheidend für den Schutz der Zugangsdaten.

Spätere Analysen zeigten, dass auch komplexe Master-Passwörter durch Offline-Brute-Force teils geknackt werden konnten.

Das BSI prüfte zehn Passwort-Manager, drei speicherten Passwörter theoretisch so, dass Hersteller Zugriff hätten erlangen können; dennoch überwiegt der Sicherheitsnutzen deutlich.

Keine vollständige Liste aller identifizierten Mängel je Produkt.

Analysiert IT-Sicherheitseigenschaften ausgewählter Passwort-Manager, darunter 1Password und KeePassXC, identifiziert Umsetzungsmängel bei Verschlüsselung und Architektur.

Begrenzte, zufällig ausgewählte Stichprobe, kein vollständiger Marktvergleich.

Kritische Schwachstelle (CVE-2023-27706) in der Windows-Hello-Integration von Bitwarden Desktop ermöglichte Entschlüsselung von Tresoren ohne Master-Passwort.

Betraf spezifisch die Windows-Hello-Implementierung, im April 2023 behoben.

Vergleicht cloudbasierte und lokale Passwort-Manager, betont Zero-Knowledge-Architektur als essenziell, verweist auf vergangene Sicherheitslücken bei LastPass.

Redaktioneller Ratgeber ohne eigene technische Tiefenprüfung.

Der IT-Planungsrat beschließt eine Hybridstrategie zum Aufbau alternativer, insbesondere quelloffener IT-Lösungen für die Verwaltung.

Enthält keine verbindlichen Fristen zur Ablösung konkreter Microsoft- oder AWS-Dienste.

Beschreibt die Zielarchitektur der Deutschen Verwaltungscloud als föderale, multi-cloud-fähige Infrastruktur mit offenen Standards.

Beschreibt eine Zielarchitektur, der tatsächliche Umsetzungsstand bleibt uneinheitlich.

Ein Jahr nach Schrems-II verweigert die Bundesregierung Auskunft, welche Behörden weiterhin US-Cloud-Software mit unzulässiger Datenübermittlung einsetzen.

Basiert auf parlamentarischer Anfrage, keine amtliche Vollerhebung.

ZenDiS stellte die quelloffene Arbeitsplatzsuite openDesk als Alternative zu Microsoft 365 vor, aufbauend auf der IT-Planungsrat-Strategie von 2021.

Meldung vom Bund selbst, keine unabhängige Evaluation der Marktreife.

Seit 2026 müssen deutsche Kryptobörsen Nutzerinformationen und Transaktionsdaten aufgrund von DAC8 an die Steuerbehörden melden.

Journalistischer Ratgeberartikel ohne eigene juristische Prüfung.

Der Bundesrat billigte das Kryptowertesteuertransparenzgesetz zur Umsetzung von DAC8; bereits verarbeitete Daten führten zu zweistelligen Millionenbeträgen an Steuernachzahlungen.

Offizielle Pressemitteilung betont den Nutzen, geht nicht auf Datenschutzbedenken ein.

Der kanadische Anbieter Bull Bitcoin klagt in Frankreich gegen die nationale Umsetzung von DAC8 und bezeichnet die Meldepflicht als anlasslose Massenüberwachung.

Bitcoin-nahe, kritische Perspektive, keine neutrale juristische Einschätzung.

Durch den automatischen Informationsaustausch nach DAC8 steigt für Anleger das Risiko, dass frühere unversteuerte Krypto-Gewinne rückwirkend aufgedeckt werden.

Beitrag einer Steuerstrafrecht-Kanzlei dient auch der Mandantenakquise.

Das BSI beschreibt technische Erkennungsmethoden für Deepfakes sowie präventive Ansätze wie kryptografische Authentifizierung und Kennzeichnungspflichten.

Das BSI weist selbst darauf hin, dass Erkennungsverfahren durch gegnerische Angriffe umgangen werden können.

Ein Mitarbeiter eines britischen Ingenieurbüros in Hongkong überwies 25,6 Mio. USD nach einer Videokonferenz, in der alle Teilnehmer außer ihm selbst KI-generierte Deepfakes waren.

Beruht primär auf Angaben der Hongkonger Polizei, unabhängige forensische Details fehlen.

Warnung vor einer KI-Weiterentwicklung des Enkeltricks, bei der Betrüger aus kurzen Sprachfragmenten täuschend echte Stimmen klonen und Notfallsituationen vortäuschen.

Nennt keine belastbaren Fallzahlen, beschreibt das Phänomen allgemein.

Analysiert den Hongkonger Deepfake-CFO-Betrugsfall technisch als Beispiel für zunehmende Professionalisierung KI-gestützten CEO-Frauds.

Sicherheitssoftware-Hersteller hat kommerzielles Interesse, die Bedrohung zu betonen.

NIST stuft SMS-basierte Einmalpasswörter offiziell als restricted authenticator ein und verlangt verpflichtende Alternativen und Schutzmaßnahmen gegen SIM-Swapping.

Sekundärquelle, fasst die NIST-Richtlinie zusammen.

Adversary-in-the-Middle-Phishing-Kits fangen Zugangsdaten und Sitzungscookies ab und hebeln klassische 2FA per SMS oder Authenticator-App aus.

Über zwei Jahre alt, keine aktuellen Fallzahlen.