Forum: Netzwelt
Stiftung Wissenschaft und Politik: Generalbundesanwalt ermittelt wegen Hackerangriff
Stefan Zeitz / imago

Die Bundesanwaltschaft geht nun dem Hackerangriff auf die Stiftung Wissenschaft und Politik nach. Offenbar verschickten die Hacker gefälschte E-Mails zum Thema Weihnachtsgeld.

spmc-12355639674612 09.03.2018, 20:08
1. Das ist schon sehr peinlich,

wenn man ausgerechnet als Mitwirkender eines "Thinktank" auf so eine billige Nummer hereinfällt. Da hat wohl die IT-Abteilung vergessen, solche Anhänge zu blockieren und nicht genügend Trainings zum Thema angeboten.

Beitrag melden Antworten / Zitieren
ghdstz 09.03.2018, 20:39
2. "Dumme User" - immer feste druff ... (;-))

Zitat von spmc-12355639674612
wenn man ausgerechnet als Mitwirkender eines "Thinktank" auf so eine billige Nummer hereinfällt. Da hat wohl die IT-Abteilung vergessen, solche Anhänge zu blockieren und nicht genügend Trainings zum Thema angeboten.
Es gibt doch noch gewisse Unterschiede zwischen Phishing Mails betreffend eines angeblichen nigerianischen Millionenerbes und raffiniertem "Spearphishing" wie in diesem Fall, in dem eine Mail zumindest dem Anschein nach von einer Kollegin stammte und einen einigermaßen glaubhaften Kontext hatte. Den Betrieb möchte ich sehen, in dem sich Mitarbeiter weigern ein Excel- oder Word-Dokument zu öffnen wenn es anscheinend von einem Kollegen oder gar vom Chef kommt. Der Betrieb wäre schnell pleite, weil praktisch keine Geschäftsprozesse mehr funktionieren würden - also würde man sich da eher schnell von dem anscheinend paranoiden Mitarbeiter trennen.

Merke: User Bashing ist billig, bringt aber niemanden weiter.

Beitrag melden Antworten / Zitieren
spmc-12355639674612 09.03.2018, 21:01
3. Eine gute IT-Abteilung

Zitat von ghdstz
Es gibt doch noch gewisse Unterschiede zwischen Phishing Mails betreffend eines angeblichen nigerianischen Millionenerbes und raffiniertem "Spearphishing" wie in diesem Fall, in dem eine Mail zumindest dem Anschein nach von einer Kollegin stammte und einen einigermaßen glaubhaften Kontext hatte. Den Betrieb möchte ich sehen, in dem sich Mitarbeiter weigern ein Excel- oder Word-Dokument zu öffnen wenn es anscheinend von einem Kollegen oder gar vom Chef kommt. Der Betrieb wäre schnell pleite, weil praktisch keine Geschäftsprozesse mehr funktionieren würden - also würde man sich da eher schnell von dem anscheinend paranoiden Mitarbeiter trennen. Merke: User Bashing ist billig, bringt aber niemanden weiter.
Eine gute IT-Abteilung lässt Mails von außerhalb mit derartigen Anhängen entweder nicht zu oder kennzeichnet sie deutlich. Innerhalb der Abteilungen kann man Excel- oder Word-Files auch auf einem Server ablegen und entsprechend verlinken. Man muss das Zeug nicht als Anhang verschicken. Außerdem zeugt es ja eher von laienhaftem Management, wenn man Infos zum Weihnachtsgeld in Excel-Anhängen zu erwarten hätte ...

Beitrag melden Antworten / Zitieren
ghdstz 09.03.2018, 21:41
4. Theorie und Praxis ...

Zitat von spmc-12355639674612
Eine gute IT-Abteilung lässt Mails von außerhalb mit derartigen Anhängen entweder nicht zu oder kennzeichnet sie deutlich. Innerhalb der Abteilungen kann man Excel- oder Word-Files auch auf einem Server ablegen und entsprechend verlinken. Man muss das Zeug nicht als Anhang verschicken. Außerdem zeugt es ja eher von laienhaftem Management, wenn man Infos zum Weihnachtsgeld in Excel-Anhängen zu erwarten hätte ...
@ spmc-12355639674612 :
Die näheren Hintergründe des betreffenden Falls kenne ich natürlich nicht, ich würde aber annehmen dass die Mail über das Intranet kam. Aus meiner beruflichen Praxis bei einem großen IT - Unternehmen weiss ich dass es durchaus ganz und gäbe ist Dokumente per Mail zwischen Kollegen hin und her zu schicken, etwa auch um Inhalte upzudaten. SharePoint oder ähnliche Verfahren gibt es auch, die sind aber oft weniger gur zu handhaben. Wer wollte denn extra eine Gruppe einrichten um einmal eine ad hoc - Mail von einer Personalsachbearbeiterin zu einem Programmierer zu senden ?

Vielleicht ist es Behörden üblich für alles und jedes ein ganz spezielles organisatorisches Verfahren einzurichten - in der Privatwirtschaft gibt es zwar manchmal auch Ineffizienz und Bürokratie, aber meist doch etwas weniger Regulierungswut und dafür mehr Flexibilität. Paranoiker haben es dort etwas schwerer - irgendwie muss die Arbeit ja erledigt werden, und manchmal wählt eine Kollegin oder ein Kollege halt einen etwas anderen Weg.

Beitrag melden Antworten / Zitieren
ach 09.03.2018, 23:10
5. Apt 28

Und ist es diesmal irgendwie belegbar?
Oder fällt bestimmte Behörden bei jedem Hackerangriff nur APT 28 ein?
(So, wie letzte Woche, bei dem behördeninternen Netzwerk?)

Beitrag melden Antworten / Zitieren
ach 09.03.2018, 23:15
6.

Zitat von ghdstz
Es gibt doch noch gewisse Unterschiede zwischen Phishing Mails betreffend eines angeblichen nigerianischen Millionenerbes und raffiniertem "Spearphishing" wie in diesem Fall, in dem eine Mail zumindest dem Anschein nach von einer Kollegin stammte und einen einigermaßen glaubhaften Kontext hatte. Den Betrieb möchte ich sehen, in dem sich Mitarbeiter weigern ein Excel- oder Word-Dokument zu öffnen wenn es anscheinend von einem Kollegen oder gar vom Chef kommt. Der Betrieb wäre schnell pleite, weil praktisch keine Geschäftsprozesse mehr funktionieren würden - also würde man sich da eher schnell von dem anscheinend paranoiden Mitarbeiter trennen. Merke: User Bashing ist billig, bringt aber niemanden weiter.
Aber nicht alle Betriebe überweisen gleich zehntausende Euros irgendwo ins Ausland, nur weil es in der e-mail vom Chef steht....


"Im August 2017 wurde die SWP zum Opfer eines sogenannten CEO-Frauds. Sie überwies fälschlicherweise 38.540 Euro auf ein Konto in den Niederlanden, konnte das Geld aber wieder zurückholen."

Beitrag melden Antworten / Zitieren
spon_4583183 10.03.2018, 09:03
7. Industrie 4.0 ist der kompette Wahnsinn und gehört gestoppt

Wenn ich lese wie einfach es scheinbar ist, dass professionelle Hacker selbst geschützte Bereiche angreifen können, dann halte ich die Planungen für Industrie 4.0 (die komplette Vernetzung) für reinen wirtschaftlichen Selbstmord. Man macht es Hackern einfach, in einem Zug, alle Daten abzuziehen (ich glaube bei den Amerikanern wurden damals die Daten zum F-22 Stealth-Flugzeug gestohlen) und verliert seine Wirtschaftsgrundlage. Das was als Bedrohung für die Arbeitskräfte beschrieben wird ist eher eine Bedrohung für die ganze Wirtschaft. Man hat NICHTS mehr unter Kontrolle! Wenn selbst Geheimdienste auf Schreibmaschinen wieder zurückgreifen (ich hatte dies mal nach Snowden über den FSB gelesen) dann spricht das schon Bände. Wir sind NICHT in der Lage unsere Daten zu schützen und wollen uns trotzdem so vernetzen? Totaler Wahnsinn!

Beitrag melden Antworten / Zitieren
Bernd.Brincken 10.03.2018, 09:20
8. Business case

Ok, so ganz am Rande gefragt: Werden in der SWP eigentlich Geheimnisse verhandelt?
Die Organisation beteiligt sich mit Veröffentlichungen auf diversen Feldern der Außenpolitik am öffentlichen Diskurs, fertigt Studien an, nimmt an Diskussionen teil.
Welcher .. aeh .. business case wird da auf Seiten der Hacker vermutet?

Beitrag melden Antworten / Zitieren
A. Merkel 10.03.2018, 09:24
9. Stiftung Wissenschaft und Politik (SWP)

Bei der SWP gibt nun wirklich keine Staatsgeheimnisse zu holen. Eine pseudowissenschaftliche Beratungseinrichtung der Bundesregierung wie viele andere mit netten Versorgungsjobs für Parteibuchinhaber. Das wissenschaftliche Niveau ist an vielen Fachhochschulen in Deutschland (aka Universities of Applied Sciences) deutlich höher.

Beitrag melden Antworten / Zitieren