Am 22. Juni findet die oben genannte Veranstaltung des Niedersächsischen Städte- und Gemeindebundes in Hannover statt. Unser DSB-Team ist mit einem Veranstaltungsstand dort vertreten. Wir würden uns freuen, Sie an unserem Stand begrüßen zu dürfen.
Prüfbericht „Datenschutz bei Kommunen“ der LfD Niedersachsen veröffentlicht
Ende 2021/Anfang 2022 hat die Landesbeauftragte für den Datenschutz Niedersachsen weitere 50 Kommunen bzgl. derer Datenschutzpflichten überprüft. Themen waren hier u. a. das Verzeichnis der Verarbeitungstätigkeiten (VVT), die Durchführung von Datenschutz-Folgenabschätzungen (DSFA), die Meldung von Datenschutzverletzungen sowie die Beantwortung von Auskunftsersuchen (Artikel 15 DS-GVO) und der Schutz personenbezogener Daten Dritter bei der Akteneinsicht im Verwaltungsverfahren. Der Prüfbericht ist nunmehr veröffentlicht worden:
Cybersicherheitswarnung: Cyberangriff auf Fa. Materna
An dieser Stelle möchten wir auf eine aktuelle Mitteilung des N-CERTs aufmerksam machen:
Liebe Kolleginnen und Kollegen,
wie Sie bereits aus den Medien entnehmen konnten [1,2], wurde der IT-Dienstleister Materna Information & Communications SE (Fa. Materna) Opfer eines Cyberangriffes. Unter den Referenzen des Unternehmens ist auch die Öffentliche Verwaltung, KRITIS Betreiber und Wirtschaftsunternehmen benannt. Bei dem Vorfall handelt es sich um einen Ransomware-Angriff. Ein Abfluss von Daten kann zum jetzigen Zeitpunkt nicht ausgeschlossen werden. Aus diesem Grund empfiehlt das N-CERT zu prüfen, ob es in Ihrem Geschäftsbereich vertragliche Beziehungen zu Fa. Materna gibt.
Hier sind die Fragen als Leitpfaden an IT-Sicherheitsverantwortliche:
- Existieren in Ihrer Organisation Netzwerkverbindungen mit dem Netz der Fa. Materna?
- Existieren Wartungszugänge zu Ihren Systemen, die von der Fa. Materna genutzt werden?
- Werden im Netz der Fa. Materna Daten von Ihrer Organisation be- oder verarbeitet?
- Betreibt Fa. Materna IT-Systeme für Ihre Organisation?
- Welche Daten von Ihnen sind bei Fa. Materna zugreifbar (z.B. E-Mails, Quellcode, SSH-Keys, Sicherheitsanalysen, usw.)?
- Was wären Sicherheits-Konsequenzen, wenn diese veröffentlichen werden (z.B. plausibles Spearphishing mit abgeflossenen internen E-Mails)?
- Welche Schutzmaßnahmen wären zu ergreifen (z.B. MA-Sensibilisierung, Passwort-Wechsel, betroffenen SSH-/VPN- Zugänge sperren, usw.)?
- Bereiten Sie eine reaktive Sprachregelung für Medienanfragen zu Ihrer Betroffenheit vor?
- Existieren grundsächlich vertragliche Melde- oder Unterrichtungspflichten Ihrer IT-Dienstleister an Sie bei IT-Sicherheitsvorfällen?
Links:
[2] https://www.heise.de/news/Cyber-Angriff-auf-IT-Dienstleister-Materna-8155606.html
Foxit PDF-Updates dichten hochriskante Schwachstellen ab
In der PDF-Software Foxit klafften Sicherheitslücken, durch die Angreifer etwa mit manipulierten PDF-Dateien Schadcode einschleusen und ausführen hätten können. Foxit hat die Version 12.1.1 von Foxit PDF Editor und Foxit PDF Reader veröffentlicht und schließt darin mehrere Sicherheitslücken. Drei davon gelten als hochriskant und ermöglichen Angreifern das Einschleusen von Schadcode.
Weitere Informationen sind unter folgendem Link zu finden:
https://www.heise.de/news/Foxit-PDF-Updates-dichten-hochriskante-Schwachstellen-ab-7523313.html
Das Update sollte unverzüglich installiert werden.
Funktionierendes Patch Management implementiert?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat aktuell die zweithöchste Warnstufe ausgerufen (https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2023/2023-205338-1032.pdf?__blob=publicationFile&v=2).
Bei einem weltweit breit gestreuten Angriff wurden laut Medienberichten tausende Server, auf denen VMwares Virtualisierungslösung ESXi zum Einsatz kommt, mit Ransomware infiziert und verschlüsselt. Insbesondere weist das BSI in diesem Zusammenhang erneut auf ein „funktionierendes Patch Management“ hin. Anforderungen hieran findet man u. a. auf den Webseiten des BSI oder der Datenschutz-Aufsichtsbehörden, wie z. B.:
– Checkliste „Patch Management im Alltag“ (Bayrisches Landesamt für Datenschutzaufsicht):
https://www.lda.bayern.de/media/checkliste/baylda_checkliste_patch_mgmt.pdf
– OPS.1.1.3 – Patch- und Änderungsmanagement (BSI): https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/04_OPS_Betrieb/OPS_1_1_3_Patch_und_Aenderungsmanagement_Edition_2023.html