Home | Sitemap | english  | Impressum | KIT

Sicherheitsrisiken

Internet Browser

Mit einem Web-Browser, wie dem Internet Explorer oder Firefox können sie von Internetseite zu Internetseite blättern. Heutzutage haben Browser jedoch beträchtlich mehr Fähigkeiten als nur Text und Bilder aus dem Internet zu laden und anzuzeigen - moderne Exemplare können auch Mails versenden, sowie für Videokonferenzen und vieles mehr eingesetzt werden. Diese vielfältigen Funktionen bringen natürlich auch Nachteile mit sich, denn je komplexer die Browser angelegt sind, desto mehr Fehler können sich bei der Programmierung oder Konfiguration einschleichen.

Aktive Inhalte

Aktive Inhalte (z.B Javascript o.Ä.) öffnen sich beim Anzeigen einer Webseite unsichtbar auf ihrem Computer. Durch das unbemerkte Ausführen haben Sie keinerlei Kontrolle darüber, welche Funktionen sich im Einzelnen dahinter verbergen. Verhindern können Sie das Ausführen dieser Inhalte, indem Sie die Sicherheitseinstellung Ihres Internet Browsers ändern, oder Erweiterungen installieren die die Ausführung dieser aktiven Inhalte verhindern. Einige Internetseiten können nur dann richtig angezeigt werden, wenn Ihr Browser aktive Inhalte zulässt.

Hinweis: Achten Sie bitte darauf, dass eventuelle Erweiterungen Ihres Browers für aktive Inhalte (z. B. Adobe Flash oder Adobe Shockwave) immer auf dem neuesten Stand sind.

Cookies

Sicherlich haben Sie folgendes schon einmal erlebt: Nach einer Weile besuchen Sie wieder eine Webseite, bei der Sie Kunde sind oder einen Account besitzen. Plötzlich begrüßt die Webseite Sie mit ihrem Namen! Woher weiß sie das? Sie weiß das aus einem so genannten Cookie, welches auf ihrem Computer abgelegt wurde. Wenn Sie der aufdringlichen Webseite den „Informationshahn“ abdrehen wollen, sollten Sie sich in den Internetoptionen Ihres Webbrowsers umschauen und die „Cookiebehandlung“ verschärfen. Cookies sind keine Programme, sondern Textdateien, die Informationen speichern, wenn sie dazu veranlasst werden. Weil Cookies keine ausführbaren Programme sind, stellen sie kein direktes Sicherheitsrisiko dar.

Malware (Schadsoftware)

Viren

Immer mehr Viren werden bekannt, die sich über infizierte Dateien verbreiten oder per E-Mail Anhang versendet werden. Viren sind in der Lage andere Dateien zu „infizieren“, die sich auf Ihrem PC oder auf einem Netzlaufwerk befinden. Der Virus schreibt dabei Code in die infizierte Datei und macht sie damit unbrauchbar oder manipuliert die Eigenschaften der Datei. Eine infizierte Datei zu „heilen“ ist meistens unmöglich, oder aber die Datei ist nach der „Heilung“ nicht mehr brauchbar. Daher ist ein wirksamer Antiviren-Schutz notwendig, der die Infizierung von Dateien im Vorfeld vereitelt.

Trojanische Pferde

Diese Virenunterkategorie wurde nach der Legende des Trojanischen Pferdes benannt. Laut dieser Erzählung versteckten sich die Griechen im Inneren eins riesigen Holzpferdes um nachts Troja zu erobern. Trojanische Pferde im Internet funktionieren ähnlich. Wenn Sie Dateien aus dem Internet herunterladen, können diese beim Ausführen einen Spion auf ihrem Rechner installieren. Dieser Spion breitet sich aus und könnte z.B. Ihre Passwörter auslesen und diese bei der nächsten bestehenden Internetverbindung versenden.

Würmer

Im Beispiel des berühmten „Blaster“-Wurms wurde eine Sicherheitslücke in Microsoft Betriebssystemen ausgenutzt, um in Rechner einzudringen. Erst ein entsprechender Hotfix bzw. ein Update des Systems konnte die Lücke schließen.

Eine Infektion durch Würmer erfolgt jedoch meistens durch einen geöffneten E-Mail Anhang. Das bedeutet größte Vorsicht, wenn sie E-Mails mit Anhängen bekommen, egal ob von einem Freund, einem Kollegen oder Ihrer Familie. Würmer durchsuchen die Festplatte nach E-Mail Adressen, an die er sich weiter versendet. Als Absender benutzt er dabei oft ein bestimmtes Muster wie z.B. adminAdv6∂bka de oder eine E-Mail Adresse die er auf ihrer Festplatte gefunden hat. Das Ziel eines Wurms ist es, den Empfänger dazu zu bringen, eine (infizierte) Anlage zu öffnen. Dies erreicht er mit geschickt gewählten Texten, die dem Benutzer Angst einflößen oder andere starke Gefühle hervorrufen. Ein aktuelles Beispiel für so einen Text lautet wie folgt:

 
 
An diesem Beispiel kann man mehr als deutlich erkennen das dies eine gefälschte E-Mail sein muss.
  • Keine persönliche Anrede
  • Rechtschreibfehler („eingleitet“)
  • Aufforderung, einen Anhang zu öffnen.
  • Das BKA wird ihnen sicherlich niemals unaufgefordert eine E-Mail senden. Auch nicht die Kriminalpolizei Düsseldorf oder sonstige Institutionen.
Seien Sie daher beim Öffnen von E-Mail-Anhängen misstrauisch, und öffnen Sie keine E-Mail-Anhänge unbekannter Herkunft. Arbeiten Sie mit einem Benutzerkonto mit eingeschränkten Rechten, um den Schaden beim versehentlichen Öffnen eines schädlichen E-Mail-Anhangs in Grenzen zu halten

Spyware

Spyware versucht das Surf-Verhalten eines Benutzers auszuspähen, und beispielsweise die besuchten Webseiten des Benutzers zu dokumentieren und diese Daten an den Urheber der Spyware zu übermitteln.

Der Sinn der Aktion liegt darin, dem Benutzer gezielt Popups oder Werbung zukommen zu lassen, die auf sein Surfverhalten und damit seine Interessen zugeschnitten sind. Spyware verbirgt sich oft in kostenlos angebotenen Programmen, wie Bildschirmschoner oder individuelle Desktop-Designs und ist meist schwierig oder nur mit Hilfe spezieller Antispyware wieder entfernbar. Bei kostenlos angebotener Software ist daher Vorsicht geboten.
Da Spyware meistens von kommerziellen Firmen erstellt wird, wird bei der Installation der Software aus rechtlichen Gründen in der Regel bereits darauf hingewiesen, dass die Software Spyware-Komponenten enthält.
Dies sollte Sie von der Installation derselben abhalten.

Keylogger

Ein besonders einfacher und gleichfalls raffinierter Schädling sind sogenannte Keylogger. Ein Keylogger verbindet sich mit dem Treiber Ihrer Computer-Tastatur und speichert einfach jede Taste, die Sie auf Ihrer Tastatur drücken, in eine Logdatei. Da Sie bei der Arbeit am Computer auch Passwörter für den Zugang zu gesicherten Systemen oder Dateien eintippen, und sogar per VPN oder SSL eine sehr gut gesicherte Verbindung zum entfernten System haben können, hebelt der Keylogger diese Sicherheitsmechanismen einfach aus und schnappt sich die Passwörter direkt aus der Tastatureingabe des Benutzers. Keylogger können wie Viren und Würmer meist mit Antivirensoftware aufgespürt werden.

Phishing

Der Begriff Phishing wird verwendet, wenn versucht wird einen Benutzer zur Herausgabe von Anmeldedaten oder anderen Informationen zu überreden. Hierbei werden häufig Gründe wie vermeintliche Systemumstellungen oder "Upgrades" von Benutzerkonten genannt. Das Ziel hier ist jedoch einzig und allein die Erlangung der Benutzerkennung und des Passworts der betroffenen Person. Oft enthalten Phishing E-Mails Rechtschreibfehler oder sind auf Englisch verfasst, daher sind diese recht einfach von anderen E-Mails zu unterscheiden.

Mit Hilfer der auf diese Weise beschafften Zugangsdaten werden diese kompromittierten Benutzerkonten dann im Anschluss für weitere kriminelle Aktivitäten missbraucht (z.B. Versenden von SPAM oder Ausspähen von Daten).

Nachfolgend ist ein Aussschitt aus einer Phishing E-Mail dargestellt:

-- Phishing E-Mail Beispiel --
There will be a general upgrade in our system between October 15 to December15 

2009.Due to the anonymous registration of uni-karlsruhe.de accounts and the 

numbers of dormant accounts,we will be running this upgrade to determine the 

exact number of subscribers we have at present.
You are instructed to login to your uni-karlsruhe.de and verify if your account 

is still valid and send immediately the following:
Userame:................................(Compulsory)
Password:...................................(Compulsory)
Date of Birth:..............................(Optional)
State:........................................(Optional)
...
Note that if your account do Login, send us the details or otherwise it means 

it has been deleted.Sorry for the inconveniences this might cause you,we are 

only trying to make sure you dont loose informations in your accounts.
All you have to do is Click Reply and supply the information above, your account 

will not be interrupted and will continue as normal.
Thanks for your attention to this request.Once again We apologize for any 

inconveniences. Warning!!! Account users that refuse to update their account 

after 5 Days of receiving this warning,user will loose his/her account 

permanently.
-- Phishing E-Mail Beispiel --

 

In diesem Zusammenhang wird noch einmal ausdrücklich darauf hingewiesen, dass weder der Servicedesk noch Mitarbeiter des SCC Benutzer nach Passwörten fragen - sei es per E-Mail oder Telefon.

Sollten Sie eine derartige Auffoderung per E-Mail erhalten, leiten Sie die entsprechende E-Mail an das Notfallteam (certTgl8∂kit edu) weiter und löschen Sie diese danach. Bei telefonischen Auskunftsersuchen dürfen Sie derartige Information nicht herausgeben. Solle dies dennoch vorgekommen sein, kontaktieren Sie auch in diesem Fall umgehend das Notfallteam (0721  / 608-5678).

SPAM

Der Begriff Spam stammt ursprünglich von einem amerikanischen Fleischhersteller und bedeutet "spiced pork and meat". Heutzutage bezeichnet man Spam als das wiederholte Versenden von ungewollten Informationen an viele verschiedene Benutzern. Besonders stark entwickelte sich das Spamproblem im E-Mail Bereich. Heerscharen von so genannten Bots durchsuchen das Internet nach E-Mail-Adressen und schreiben diese in eine Datenbank. Der Roboter sucht dabei nach typischen Merkmalen für E-Mail-Adressen. Zum Beispiel sucht er Buchstaben-konstellationen, die ein "@" und einen "." beinhalten. Deshalb sollten Sie niemals ihre E-Mail-Adresse im Klartext auf eine Webseite schreiben. "Tarnen" Sie diese besser in dem Sie zum Beispiel: "Max.Mustermann at kit.edu". Jeder, der Ihnen eine E-Mail senden möchte wird diese Botschaft sicher verstehen.

Ein Passwort verhindert den direkten Zugriff auf Ihren PC über das Netzwerk, als auch lokal. Wird jedoch ein zu einfaches Passwort verwendet, beispielsweise „Elvis“ ist es mit der „Bruteforce“ Methode binnen weniger Sekunden geknackt. Aus diesem Grund wurden Passwortrichtlinien definiert, die die Verwendung komplexer Passwörter erzwingen.

Prinzipiell ist jedes Passwort knackbar. Ein Passwort wie „#1AdGhE#“ zu knacken dauert jedoch länger - und es ist gar nicht schwer zu merken: Die Anfangsbuchstaben des Satzes „Ein Anfänger der Gitarre hat Eifer“ dienen als Eselsbrücke.