DLF-Radio: Kritik am Entwurf zum IT-Sicherheitsgesetz 2.0

/in /von

Bei Deutschlandfunk – Computer und Kommunikation hat unserer Mitglied @HonkHase über den aktuellen Entwurf zum IT-Sicherheitsgesetz 2.0.

Solche Sorgen könnten durch ein vom Ministerium unabhängiges Bundesamt für die Sicherheit in der Informationstechnik ausgeräumt werden. Diese Unabhängigkeit für das BSI ist auch von vielen Sicherheitsexperten und IT-Fachleuten gefordert worden. Im Gesetzesentwurf wurden solche Forderungen und Anregungen aber nicht berücksichtigt. Manuel Atug:

„Leider wurde aber die essentiell fachliche Unabhängigkeit des BSI nicht in Paragraph 1 BSI Gesetz vorgesehen. Beispielsweise könnte man sich da in der Ausgestaltung der fachlichen Unabhängigkeit hervorragend am Statistischen Bundesamt orientieren.“

Der vollständige Beitrag im DLF mit @HonkHase findet sich hier:

Artikel und Radiobeitrag im DLF

Unser Blogpost zu diesem Thema findet sich hier:

Blogpost der AG Kritis

Süddeutsche Zeitung – Union streitet über möglichen Freibrief für Huawei

/in /von

Die Süddeutsche Zeitung berichtete über die „Lex Huawei“ mit einer Einschätzung von unserem Mitglied @ijonberlin in Bezug auf den Zertifizierungsprozess und die Vorgaben für die Garantieerklärung.

IT-Sicherheitsexperten, die sich seit Jahren mit Zertifizierungsprozessen befassen, halten die Vorgaben für die Garantieerklärung für deutlich zu weit gefasst: „Die notwendigen Zusagen und Erklärungen kann kein Anbieter seriös abgeben, da alle Anbieter, egal welcher Herkunft, Schnittstellen für Ermittlungsbehörden anbieten, die von Geheimdiensten auch für Spionage-Zwecke missbraucht werden könnten“, sagt Johannes Rundfeldt, Co-Leiter der @AG_KRITIS, einer ehrenamtlichen Initiative von Experten für Kritische Infrastruktur.

Der vollständige Artikel der Süddeutschen Zeitung findet sich hier:

Artikel der Süddeutschen Zeitung

 

Golem: Sandsäcke stapeln im Internet

/in /von

Das Onlinemagazin Golem hat sich mit unserem Mitglied @ijonberlin über die Fortschritte und den aktuellen Stand des CHW-Konzept erkundigt und einen Artikel dazu veröffentlicht.

Wie ein Technisches Hilfswerk für IT-Vorfälle stellen sich Aktivisten ein Cyberhilfswerk vor. Es soll eingreifen, wenn es zum Ernstfall kommt. Die Initiatoren sehen sich als Mittler zwischen Nerds und Behörden.

Artikel von Anna Biselli

Der vollständige Artikel bei Golem findet sich hier:

Artikel von Golem

Heise: Arbeitsgruppe KRITIS will Cyber-Hilfswerk für IT-Katastrophenfälle gründen

/in /von

Heise hat einen Überblick über die AG KRITIS und das Cyber-Hilfswerk veröffentlicht.

„Die AG KRITIS will ehrenamtliche Helfer zu IT-Notfalleinsätzen in Kritische Infrastrukturen schicken. Bundesbehörden zeigten sich vom Konzept interessiert.“

Der vollständige Artikel bei Heise findet sich hier:

Artikel von Heise

Spiegel: Hacker wollen Cyber-Hilfswerk gründen

/in /von

Spiegel hat ein Interview mit unserem Mitglied @ijon über die AG KRITIS und insbesondere das Cyber-Hilfswerk veröffentlicht.

„Sollten Deutschlands kritische Infrastrukturen von Hackern lahmgelegt werden, gäbe es zu wenige Katastrophenhelfer, sagt @ijon. Zusammen mit anderen Aktivisten will er eine Art Cyber-THW aufbauen.“

Der vollständige Artikel bei Spiegel findet sich hier:

Artikel von Spiegel

FM4 ORF Artikel: Immer mehr Citrix-Systeme mit Schadsoftware verseucht

/in /von

Wir berichteten über die aktuelle Sicherheitslücke in VPN-Gateways von Citrix. Bei FM4 von ORF in Österreich betonen wir, wie gefährlich es ist, sich in falscher Sicherheit zu wiegen.

„Das österreichische ELAK-System wurde erst 13. Jänner mit einem Provisorium des Herstellers gesichert. Dieser Workaround dürfte zudem bei mehreren neueren Versionen des Citrix-Betriebssystems nicht wirksam sein. Deshalb rät Manuel Atug von der AG Kritis, die VPN-Gateways und Lastverteiler von Citrix im Zweifelsfall völlig neu aufzusetzen.“

Der vollständige Artikel bei FM4 von ORF in Österreich findet sich hier:

Artikel FM4 von ORF in Österreich

Unser Blogpost zu diesem Thema findet sich hier:

Blogpost der AG Kritis

DLF-Radio: Citrix-Sicherheitslücke- Schwachstelle bereitet Sicherheitsexperten Kopfzerbrechen

/in /von

Wir berichteten über die aktuelle Sicherheitslücke #Shitrix in VPN-Gateways von Citrix. Bei Deutschlandfunk Forschung aktuell – Computer und Kommunikation zieht es die politische Diskussion nach sich: Braucht es eine gesetzliche Meldepflicht für Sicherheitslücken?.

Diese Sicherheitslücken müssten nach dem Dafürhalten vieler Sicherheitsexperten längst geschlossen sein. Bereits seit Jahren fordern sie eine Meldepflicht für Sicherheitslücken. Manuel Atug:

„Schwachstellen müssen gemeldet werden, Schwachstellen müssen von Herstellern behoben werden. Hersteller müssen eigentlich ganz klar dazu sozusagen gezwungen werden, eine Update-Pflicht zu haben und diese Updates auch für eine entsprechende Vertrags oder Mindestlaufzeit bereitzustellen. Dann weiß ich als KRITIS-Betreiber: Ich kaufe dieses Produkt ein. Ich habe vor, das zehn Jahre, 20 Jahre oder nur drei Jahre zu nutzen, und dann muss der mir auch diese Updates in dem Zeitraum garantieren für Schwachstellen, die gemeldet werden.“

Der vollständige Beitrag in DLF Forschung aktuell mit @HonkHase findet sich hier:

Artikel und Radiobeitrag von DLF Forschung aktuell

Unser Blogpost zu diesem Thema findet sich hier:

Blogpost der AG Kritis

SPIEGEL-Artikel: Kompromittiert mit Ansage

/in /von

Wir berichteten über die aktuelle Sicherheitslücke in VPN-Gateways von Citrix. Der SPIEGEL hebt heraus, dass Citrix nun für Kriminelle ein Jackpot ist.

„Wer nicht den Workaround von Citrix implementiert hat, tut gut daran, seine Systeme jetzt darauf zu überprüfen, ob sie kompromittiert sind“, sagt Sicherheitsexperte Manuel Atug. Er leitet die unabhängige Arbeitsgruppe AG KRITIS, die sich dem Schutz kritischer Infrastrukturen verschrieben hat.

Dort sieht er ein besonderes Bedrohungspotenzial. Für die Organisierte Kriminalität oder staatlich unterstützte Hacker sei Citrix ein „Jackpot“, sagt Atug. Schließlich ermögliche die Schwachstelle nicht zuletzt, sich in den Systemen von Betreibern kritischer Infrastrukturen einzunisten, also etwa bei Verwaltungen, in der Energie- oder der Wasserversorgung – für eine sofortige Erpressung oder auch für einen späteren Angriff.

Der vollständige Artikel in SPIEGEL Netzwelt findet sich hier:

Artikel des SPIEGEL

Unser Blogpost zu diesem Thema findet sich hier:

Blogpost der AG Kritis

ZDF-Artikel – Citrix: Gesetz ermöglicht Schwachstellen

/in /von

Im Nachgang zu unserer Berichterstattung über die aktuelle Sicherheitslücke in CITRIX VPN-Gateways berichtete das ZDF auf seiner Website auch über uns.

Legt ein Hackerangriff zum Beispiel eine Rettungsleitstelle, ein Krankenhaus oder ein Wasserwerk lahm, hat das massive Auswirkungen. „Der Angriff ist vergleichsweise einfach und entsprechende Angriffswerkzeuge bereits frei verfügbar“, warnte die AG Kritis, eine Arbeitsgemeinschaft von IT-Sicherheitsexperten, die sich um kritische Infrastrukturen kümmern, bereits am vergangenen Wochenende.

Der vollständige Artikel ist auf der Webseite des ZDF zu finden.

Beitrag auf ZDF.de

Unser Blogpost zum Thema ist hier zu finden:

Blogpost der AG KRITIS

SZ-Artikel – Wie #Shitrix die IT-Sicherheit weltweit gefährdet

/in /von

Die Süddeutsche Zeitung berichtete über unsere Sicherheitsmeldung in Bezug auf die aktuelle Sicherheitslücke in Citrix VPN Gateways.

Die AG Kritis, ein Zusammenschluss von IT-Experten, die die Sicherheit kritischer Infrastrukturen in Deutschland verbessern wollen, warnte am Wochenende in einem Blogbeitrag, dass auch in Leitstellen von Polizei und Feuerwehr in Deutschland betroffene Citrix-Software zum Einsatz kommt.

Der Volltext des Artikels der Süddeutschen Zeitung findet sich hier:

Artikel der SZ

Unser Blogpost zu diesem Thema findet sich hier:

Blogpost der AG Kritis