Liebe Leser unserer Datenschutznachrichten

Aus organisatorischen Gründen können wir Ihnen eine Berichterstattung durch unser Redaktionsteam in dieser Woche nicht anbieten. Entsprechende datenschutzrelevante Aspekte werden in den Datenschutznachrichten 42. KW einbezogen. Wir bedanken uns für Ihr Verständnis und freuen uns darauf, Sie in der 42. Kalenderwoche wieder bei uns begrüßen zu dürfen.

-ck-

----------------------

Verstöße gegen das Datenschutzgesetz
Datenpannen und Missbrauchsfälle – Eingriffe in die informationelle Selbstbestimmung – über all dies berichten die Medien auch in dieser Woche und wiederholt sind auch Behörden, Ämter und Krankenhäuser mit beteiligt.
Beispiel: Anhand Fehler bei der internen Rechtevergabe waren vertrauliche Ordner mit schutzbedürftigen sensible Mitarbeiterdaten bestehend aus Krankmeldungen, Atteste und Ziel-Vereinbarungen der Mitarbeitergespräche für Unbefugte einsehbar.
Schlimmer erging es einer Frau in einem Krankenhaus in Südkorea. Anhand einer Verwechslung von Patientendaten wurde bei einer schwangeren Frau statt einer Infusion irrtümlich eine Abtreibung vorgenommen. Hier wurde die Identität der Schwangeren vor dem Eingriff nicht überprüft.
Mit Inkrafttreten der EU Datenschutz Grundverordnung (EU-DSGVO), womit Datenpannen eine Meldepflicht unterliegen, werden die Datenskandale leider nicht weniger. Größtenteils werden immer noch diese "Schwachen Stellen" nicht von den verursachenden Organisationen – sprich Unternehmen – aufgedeckt, sondern von den Betroffenen. Bei den für die Pannen verantwortlichen Unternehmen scheint es auch nach der Einführung der DSGVO mit deutlich gestiegenen möglichen Strafen und Geldbußen bei Verstößen, an Erkenntnis zu mangeln. Trotz geänderter Gesetzeslage ist ein transparenter Umgang mit Datenmissbrauch nicht zu registrieren. Vorfälle werden so lange wie möglich verschwiegen und als harmlos dargestellt.
Datenschutz scheint für viele Unternehmen und öffentlichen Stellen erst relevant zu werden, wenn eine Panne publik wird, doch dann ist es zu spät!
-ck-

Grober Fehler bei interner Zugangs – Rechtevergabe
Neue Westfälische online – "Datenpanne in der Paderborner Kreisverwaltung"
https://www.nw.de/lokal/kreis_paderborn/paderborn/22571455_Datenpanne-in-der-Paderborner-Kreisverwaltung.html

Verwechslung von Patientendaten: Identität nicht überprüft
Ärzte Zeitung online – "Datenpanne: Abtreibung wegen falscher Patientenakte"
https://www.aerztezeitung.de/praxis_wirtschaft/assistenzberufe/article/997100/datenpanne-abtreibung-wegen-falscher-patientenakte.html

Freie Einsicht in personenbezogene Kunden - Daten
Blick ch - "Schon wieder Leck bei Krankenkasse!: KPT-Kunden hatten Zugang zu sensiblen Daten"
https://www.blick.ch/news/wirtschaft/krankenkassen/schon-wieder-leck-bei-krankenkasse-kpt-kunden-hatten-zugang-zu-sensiblen-daten-id15523194.html

Schwachstelle oder Desinteresse 
Heise online - "Datenschutztag 2019: Noch immer Unklarheiten in der DSGVO-Umsetzung"
https://www.heise.de/newsticker/meldung/Datenschutztag-2019-Noch-immer-Unklarheiten-in-der-DSGVO-Umsetzung-4538538.html

Gefahrenabwehr: Schutzvorkehrungen der IT-Systeme
Seit Längerem werden zielgerichtet kleinere und mittelständische Unternehmen, deren IT-Struktur mit dem Internet verbunden ist, mit gefälschten Mail-Mitteilungen überschüttet. In den gefälschten Mitteilungen werden die Empfänger oft namentlich genannt und dies lässt so manchen Mitarbeiter unvorsichtig handeln. Die entsprechende Mail nebst Anhang wird geöffnet und Viren, Trojaner und Spyware verbreiten sich so, ohne Wissen und Zutun des Anwenders, auf den Firmen-PC. Dadurch entstehen jährlich finanzielle Schäden in Milliardenhöhe für Unternehmen, sowie für Privatnutzer.
Achtung: Zurzeit verbreitet sich eine gefährliche Computer - Infektion anhand der Schadsoftware Emotet, welche vorrangig im Mail-Anhang zu finden ist. Dieser Trojaner gilt weltweit als eins der gefährlichsten Schadprogramme. In Deutschland häufen sich die Meldungen über schwerwiegende Sicherheitsvorfälle, die auf den Trojaner zurückzuführen sind. Emotet legt ganze Unternehmen lahm und sorgt für Millionenschäden. Der Schutz vor Viren und Trojanern, die Absicherung der Zugänge ins Unternehmensnetzwerk sollten unter anderem ein wesentlicher Bestandteil der unternehmensweiten IT - Security Vorkehrung sein.
Einer der wichtigsten Schritte zur Abwehr möglicher Spionageangriffe ist: Alle Mitarbeiter über Gefahren zu informieren und ihr Sicherheitsbewusstsein und –verhalten zu stärken. Wirkungsvolle Gegenmaßnahmen kann nur der in Angriff nehmen, wer über Risiken der Sicherheitslücken im Unternehmen und Einfallstore für Wirtschaftsspionage von außen und innen informiert ist.
-ck-

Welle von Cyberangriffen: Gravierende Ausfälle im Unternehmen
Focus online - "Weltweit gefährlichste Schadsoftware: "Emotet: Bundesamt warnt vor gefährlicher Welle von Cyberangriffen"
https://www.focus.de/digital/internet/weltweit-gefaehrlichste-schadsoftware-emotet-bundesamt-warnt-vor-gefaehrlicher-welle-von-cyberangriffen_id_11181711.html

Tausende erfolgreiche Cyber-Angriffe durch Emotet
N-TV online - "BSI warnt eindringlich Trojaner-König Emotet greift massiv an"
https://www.n-tv.de/technik/Trojaner-Koenig-Emotet-greift-massiv-an-article21295701.html

Schadprogramm legt ganze Firmen lahm
Heise Security online - "Trojaner-Alarm: BSI warnt vor zunehmenden Emotet-Angriffen"
https://www.heise.de/security/meldung/Trojaner-Alarm-BSI-warnt-vor-zunehmenden-Emotet-Angriffen-4537594.html

Bedrohungen eindämmen
BSI online – "Maßnahmen zum Schutz vor Emotet und gefährlichen E-Mails im Allgemeinen"
https://www.allianz-fuer-cybersicherheit.de/ACS/DE/Micro/E-Mailsicherheit/emotet.html

Stadtverwaltung leidet immer noch unter den Folgen des Emotet - Befalls
NDR online - "Neustadt erholt sich nur langsam von Trojaner"
https://www.ndr.de/nachrichten/niedersachsen/hannover_weser-leinegebiet/Neustadt-erholt-sich-nur-langsam-von-Trojaner,neustadt334.html

IT der MHH kämpft seit einer Woche gegen Emotet - Befall
Heise online - "Emotet befällt Medizinische Hochschule Hannover"
https://www.heise.de/newsticker/meldung/Emotet-befaellt-Medizinische-Hochschule-Hannover-4541189.html



Unsichere Router: IT - Security im Unternehmen
Anhand Sicherheitslücken können sich Kriminelle in Router einklicken und zum Beispiel auf Kosten der Besitzer teure Telefondienste anrufen oder die auf dem Gerät gespeicherten Konfigurationsdaten einsehen und manipulieren. Meist sind in den Routern Zugangsdaten zum Beispiel für Mail-Konten oder andere Internet-Dienste gespeichert. Sollten Cyberkriminelle sich Zugang über ein WLAN – Netz verschafft haben, können sie den gesamten Internetverkehr des gekaperten Routers heimlich überwachen – ein Desaster für jede IT - Security im Unternehmen. Solche Schwachstellen wären wohl schneller zu schließen, wenn Router-Hersteller die Sicherheitsupdates direkt an die jeweiligen Router senden könnten. Denn in den meisten Unternehmen wird der genutzte Router nicht angerührt, solange er funktioniert, die Internetverbindung reibungslos läuft – eine trügerische Sicherheit. Router mit veralteter Software oder mit noch vorhandener Werkseinstellung - Beispielsweise voreingestelltes Passwort - stellen eine Sicherheitslücke dar.
-ck-

Mangel in Sachen IT-Security
Win Future online - "Router & Co.: Grobe Security-Fails sind ein branchenweites Problem"
https://winfuture.de/news,111313.html

125 potenzielle Angriffsstellen in NAS-Speichersystemen und in Büroroutern
Computerbild online - "Router: Mehr als 100 Fehler in Geräten bekannter Hersteller entdeckt"
https://www.computerbild.de/artikel/cb-News-DSL-WLAN-Router-NAS-Sicherheit-Fehler-24178059.html

Angriff auf 1,2 Million Router der Telekom scheinbar aufgedeckt
SWR online - "Weltweiter Schlag gegen Kriminalität: Cyberkriminelle in Traben-Trarbach festgenommen"
https://www.swr.de/swraktuell/rheinland-pfalz/Kriminell-betriebenes-Rechenzentrum-in-Rheinland-Pfalz-LKA-gelingt-weltweiter-Schlag-gegen-Cyberkriminelle,schlag-gegen-hacker-100.html



Nachrichtenticker
Weitere Nachrichten im Kurzüberblick


1. Carsten Eilers - IT-Sicherheit
Carsten Eilers - "Angriffe auf/über das Web Proxy Auto-Discovery Protokoll WPAD, Teil 1"
https://www.blossey-partner.de/Nachrichten/Aktuelle-Nachrichten.html

2. Nutzer müssen Patch manuell laden
T-Online online - "Lücke in Internet Explorer: Microsoft veröffentlicht Notfall-Update für Windows"
https://www.t-online.de/digital/software/id_86505198/windows-microsoft-veroeffentlicht-notfall-update-wegen-internet-explorer.html

3. Update beschädigt Dateisystem
ZDNet online - "Update für Google Chrome legt ältere macOS-Installationen lahm"
https://www.zdnet.de/88370051/update-fuer-google-chrome-legt-aeltere-macos-installationen-lahm/

4. Neuste IOS-Version enthält sicherheitsrelevante Bugs
Heise online - "Potenzielles Sicherheitsproblem: Apple warnt vor Drittanbietertastaturen"
https://www.heise.de/mac-and-i/meldung/Potenzielles-Sicherheitsproblem-Apple-warnt-vor-Drittanbietertastaturen-4538471.html 

Gefährliche Malware: Unternehmen im Visier
Zu einem der größten Einfallstore für Schädlinge gehören immer noch die E-Mails. Per Phishing - Mails versuchen Online-Kriminelle unerfahrenen Usern einen Trojaner unterzujubeln.
Momentan berichten die Medien berichten über eine Mail Spam - Kampagne mit dem Betreff "Bewerbung via Arbeitsagentur – Eva Richter". Statt Bewerbung und Lebenslauf enthält die Anlage eine äußerst zerstörerische Schadsoftware. Wird die gefälschte PDF-Datei im Zip-Archiv des Anhangs geöffnet, befällt die Malware Ordinypt das System. Diese Schadsoftware verschlüsselt nicht - sondern zerstört sämtliche Daten der Festplatte. Unter Umständen sind sämtliche Unternehmensdaten weg. Die Gefahren von klassischen Daten - Diebstahl und die Möglichkeit den Rechner mit Viren, Trojanern und weiteren Computer-Schädlingen zu infizieren, sind groß. Mitarbeiter sollten im Rahmen eines Security-Awareness-Trainings rund um die Computersicherheit im Unternehmen geschult und für den Umgang mit personenbezogenen Daten sensibilisiert werden.
-ck-

Ransomware löscht sämtliche Daten
ZDNet online - "Neue Ransomware macht PCs mit "Overkill" - Verschlüsselung unbrauchbar
https://www.zdnet.de/88369423/neue-ransomware-macht-pcs-mit-overkill-verschluesselung-unbrauchbar/

Bewerbungsmail mit Schadsoftware: Zip - Datei nicht öffnen
T3n online - "Trojaner Ordinypt wird über gefälschte Bewerbung verschickt"
https://t3n.de/news/trojaner-ordinypt-ueber-bewerbung-1199035/

Totaler Datenverlust: Gefakte Bewerbung mit gefährlichem Dateianhang
Heise Security online - "Fake-Bewerbung von "Eva Richter" hat Erpressungstrojaner Ordinypt im Gepäck"
https://www.heise.de/security/meldung/Fake-Bewerbung-von-Eva-Richter-hat-Erpressungstrojaner-Ordinypt-im-Gepaeck-4523365.html?wt_mc=rss.ho.beitrag.atom

Aktuelle Warnungen
T-Online online – "Thema Phishing"
https://www.t-online.de/themen/phishing

DOV-Datei in der Anlage enthält Trojaner
Onlinewarnungen online – ""Vorsicht Trojaner: E-Mail von eFax-Dienst – Faxnachricht_ enthält einen Virus (Update)""
https://www.onlinewarnungen.de/warnungsticker/vorsicht-trojaner-e-mail-sie-haben-ein-5-seitiges-fax-erhalten-enthaelt-einen-virus/



Leichtfertiger Umgang mit Gesundheitsdaten
Mit zu den sensibelsten Daten gehören die Gesundheitsdaten – Daten, die jeder Bundesbürger besitzt. Leichtfertiger Umgang mit diesen hochsensiblen medizinischen Daten wirkt umso dramatischer, wenn diese Daten in die Hände von Unbefugten gelangen. Die Wahrung der ärztlichen Schweigepflicht zählt berufsrechtlich zu den Pflichten von Mediziner und Kliniken. Gehören die Untersuchungsergebnisse nicht dazu? Fast täglich berichten die Medien, wie im negativen mit hochsensiblen Patientendaten verfahren wird.
Dazu Beispiele von Medienberichten aus dieser Woche: Anhand Recherchen des Bayerischen Rundfunks und einer Journalisten-Plattform in den USA wurde eine riesige Sicherheitslücke mit Millionen hochsensiblen Patientendaten bekannt. Weltweit standen, scheinbar über Jahre hinweg, hochsensible Patientendaten wie zum Beispiel Röntgen- und MRT-Aufnahmen ungeschützt auf offen zugänglichen Servern im Netz.
Weltweit soll es um 16 Millionen Datensätze gehen, davon mehr als 13.000 entdeckte Datensätze von Betroffenen aus Deutschland. Scheinbar sind die meisten davon aus Ingolstadt und Kempen in Nordrhein-Westfalen. Laut Medienberichten waren anhand eines falsch konfigurierten Computers in einer Ingolstädter Arztpraxis, 7.200 Patientendaten ohne Passwortschutz ungeschützt im Internet frei zugänglich. Wie die Medien weiter berichteten, sind scheinbar auch 4.600 sensible medizinische Patientendaten einer radiologischen Praxis aus Kempen, anhand einer ungesicherten Schnittstelle zum Datenaustausch, ungeschützt ins Internet gelandet.
Nach Einschätzung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) waren die Patientendaten frei zugänglich, weil "einfachste IT-Sicherheitsmaßnahmen" nicht umgesetzt wurden.
-ck-

Einfachste Schutzmaßnahmen wurden nicht umgesetzt
Süddeutsche Zeitung online - "Sicherheitspanne: Sensible Daten ungeschützt im Netz"
https://www.sueddeutsche.de/politik/datenschutz-muenchen-sicherheitspanne-sensible-daten-ungeschuetzt-im-netz-dpa.urn-newsml-dpa-com-20090101-190917-99-907900

Falsch konfigurierte PC
BR 24 online - "Bayerisches Landesamt bestätigt Datenpanne in Ingolstädter Arztpraxis"
https://www.br.de/nachrichten/meldung/bayerisches-landesamt-bestaetigt-datenpanne-in-ingolstaedter-arztpraxis,300247280

Gesundheitsdaten wurden jahrelang ungeschützt im Internet gespeichert
Ärzte Zeitung online – "Daten-Skandal: Befunde von Millionen Patienten offen im Internet"
https://www.aerztezeitung.de/praxis_wirtschaft/digitalisierung_it/datenschutz/article/996345/roentgen-mrt-bilder-millionen-patientendaten-ungesicherten-servern.html



Datenschutz im Unternehmen - ein Qualitätsmerkmal
Wie die fast täglichen Schlagzeilen berichten, sind die Zahlen der Datenpannen und – Diebstähle in jüngster Zeit deutlich angestiegen. Um die gesetzlichen Anforderungen an den Datenschutz in Unternehmen weiter hochzuschrauben, hat der Gesetzgeber bereits reagiert. Die Folgen von Datenverlusten - gleich welcher Natur - sind verheerend und das nicht nur für Kunden und Geschäftspartner, sondern auch für die Unternehmen selbst. Datenschutz kann, wie die aktuelle Medienberichterstattung zeigt, erheblichen Einfluss auf das eigentliche Geschäftsfeld eines Unternehmens haben.
-ck-

Passwort geändert und riesige Datenmenge gezogen
Tagesspiegel online - "Justizminister bestätigt Hacker stahl ÖVP-Daten"
https://www.tagesspiegel.de/wissen/justizminister-bestaetigt-hacker-stahl-oevp-daten/25035606.html

Menschlicher Fehler: Ein Moment der Unachtsamkeit
Falscher Verteiler: "Peinliche Datenpanne im Polizeipräsidium Neubrandenburg"
https://www.nordkurier.de/neubrandenburg/peinliche-datenpanne-im-polizeipraesidium-neubrandenburg-1636760109.html

Unbefugte Einsicht in die Personalien von über 40 KPT-Kunden erhalten
Blick ch - "Schon wieder Leck bei Krankenkasse!: KPT-Kunden hatten Zugang zu sensiblen Daten"
https://www.blick.ch/news/wirtschaft/krankenkassen/schon-wieder-leck-bei-krankenkasse-kpt-kunden-hatten-zugang-zu-sensiblen-daten-id15523194.html

Ungesicherter Server mit 20,8 Millionen Datensätzen
Unglaubliches Datenleck: "Personalien gesamter Bevölkerung von Ecuador im Netz geleakt"
https://de.sputniknews.com/technik/20190916325740105-datenleck-ecuador-bevoelkerung-assange/

Dokumentenmissbrauch durch eigene Mitarbeiter
Spiegel online - "Missbrauch von Kundendokumenten: Staatsanwaltschaft ermittelt gegen Airbus-Mitarbeiter"
https://www.spiegel.de/wirtschaft/unternehmen/airbus-staatsanwaltschaft-ermittelt-wegen-geheimnisverrats-a-1287502.html

Nachrichtenticker
Weitere Nachrichten im Kurzüberblick


1. Carsten Eilers - IT-Sicherheit
Carsten Eilers - "Angriffe auf/über das Web Proxy Auto-Discovery Protokoll WPAD, Teil 1"
https://www.ceilers-news.de/serendipity/1077-Angriffe-aufueber-das-Web-Proxy-Auto-Discovery-Protokoll-WPAD,-Teil-1.html

2. Sicherheitsforscher entdeckten Schwachstelle im Passwortmanager
Com Professional online - "Patch verfügbar: LastPass gibt Log-in-Daten preis"
https://www.com-magazin.de/news/sicherheit/lastpass-log-in-daten-preis-1760385.html

3. Nutzer bekommen präparierte SMS-Nachricht noch Datenabfrage mit
Golem online - "Simjacker: SIM-Schadsoftware liest Daten aus dem Mobiltelefon aus"
https://www.golem.de/news/simjacker-sim-schadsoftware-liest-daten-aus-dem-mobiltelefon-aus-1909-143838.html