In diesem Beitrag möchte ich etwas darauf eingehen wie Ich mich persönlich im Internet schütze.
Dies soll keine Anleitung für die perfekte Herangehensweise sein, jedoch fallen mir immer und immer wieder Dinge auf, die man nicht tun sollte.
Aber hier mal im Zusammenschnitt:
- Passwörter: Ich weiss ich weiss… Ein sicheres Passwort, das man sich merken kann für jeden Service aufzusetzen den man nutzt, ist nicht gerade einfach. Aber! Es schützt! Daher rate ich jedem einen Passwortmanager wie KeePass oder andere sichere Lösungen. Apps aus dem Store versprechen zwar immer „Das ist sicher, keine Sorge„, aber mal ehrlich. Eine App hat einen Server im Hintergrund auf dem alles gespeichert wird. Und jedes System ist knackbar. Selbst die NSA. Und auch schon damals, im Jahre 1912 wurde gesagt, „Die Titanic ist unsinkbar“. Also, wenn dieser Server mit meinen Passwörtern nicht mein eigener ist und ich keine direkte und sichere Verbindung zu diesem Service aufbauen kann, ist mein Passwort nirgends sicher, ausser vielleicht in einem materiellen Notizbuch mit 13 Vorhängeschlössern und einem Selbstzerstörungsmechanismus.
Hier habe ich mal ein kleines Programm geschrieben, welches ein sicheres Passwort ausspuckt. - Unbekannte USB oder andere Portable Medienträger: Man sieht es in Filmen oder Serien, der böse Hacker wirft dem Ziel einen USB-Stick vor die Wohnung, welcher den am Abend aufhebt und daheim in den PC steckt und Boom der Hacker hat den Zugriff.
So einfach geht das wirklich, bloss sind die bösen USB-Geräte zwar auch einfach am Gehweg oder in der U-Bahn, aber nicht nur da. Es gab bereits sehr viele Vorfälle, dass infizierte USB-Geräte im Internet verkauft wurden.
–> 120GB USB für 5$ <–
Dies gilt ebenso für Softwares!
Egal ob USB jeglicher Art, CD, .exe Dateien oder anderen Installationsdateien.
Wenn ihr nicht wisst woher dieses Medium kommt, gebt dem Ding keinen Zugang zu euren Daten.
Es gibt bereits USB Ladekabel welche integrierte Minicomputer haben und die Daten auf eurem Handy für den Angreifer zugänglich machen. - Webseiten: Ja, viele der Gefahren lauern auf Webseiten. Ein gutes Beispiel hier ist zum Beispiel Wish oder auch Temu. Dies sind Marketwebseiten welche Waren verkaufen, so scheint es. Jedoch sitzen hinter diesen Webseiten oftmals die Chinesen. Nein, ich betreibe hier keinen Rassismus, sondern China ist seit langem berühmt für ihren CyberKrieg mit dem Rest der Welt.
Was an Temu und Wish auszusetzen ist?
Nun manche die eine dieser Webseiten mal benutzt haben um Sachen zu kaufen, werden wohl nicht die AGB gelesen haben, denn dort steht im Kleingedruckten dass die Inhaber der Webseiten all deine Daten die du angibst, einfach weiterverkaufen dürfen. Und China kümmert es nicht an wen sie verkaufen, solange diese genug Geld haben.
Dies ist nicht als direkte Anschuldigung gegen China gerichtet!
Auch eine weit verbreitete Angriffmethode sind Phishing Webseiten oder Cookiestealer.
„Warum sollte mir jemand Kekse klauen und was hat das mit Sicherheit im Internet zu tun?„
Cookies sind auf jeder Webseite eine Art Formulare in welchen eure Daten gespeichert werden. Zum Beispiel der Username mit dem du eingeloggt bist, auf welcher Page du dich gerade befindest und vieles mehr. Diese Cookies werden in eurem Browser gespeichert, sodass wenn du die Webseite nochmals öffnest, es die Daten aus diesem Cookie laden kann und du dich bestenfalls nicht erneut anmelden musst.
„Und was kann ein Angreifer mit einem solchen Cookie machen?“
Nun, wenn ein Angreifer den Cookie der Seite hat, welche du für Emails verwendest, kann er diesen in seinen Browser injezieren und ist dann automatisch mit deinem Account angemeldet.
Daher, benutzt bei sensiblen Webseiten wie Email oder Ebanking immer den Incognito Tab / Privaten Modus den die meisten Browser auch anbieten. - Phishing: Jetzt sind wir von Passwörtern über Kekse bis zum gemütlichen Angeln am See angekommen.
Fast. Das Wort Phishing ist eine Ableitung vom Wort Fishing. und bedeutet nichts anderes als:
„Man wirft den Köder aus und wartet bis wer anbeisst“
Phishing ist jedoch ein Überbegriff eines Angriffes und kann in weitere Teile aufgeteilt werden.
Es gibt:
Phishing Webseiten: Dies sind Webseiten, die vorgeben eine Webseite zu sein die du kennst und der du vertraust. Jedoch ist dies eine böse Kopie. Beispielsweise die Seite „www.ìnstagram.com“. Sieht normal aus oder? Und auch die Seite sieht aus wie die echte, aber was niemand direkt merkt, ist das i das ein anderes Zeichen als das normale i ist. Oftmals erkennt man solche Webseiten, wo theoretisch jeder mitlesen kann, daran dass beim Aufrufen bereits eine Warnung kommt. Viele haben jedoch auch dagegen eine Lösung. Loggst du dich auf dieser Webseite ein, wirst du wahrscheinlich zu der original Webseite weitergeleitet. Doch im Hintergrund kann der Besitzer und somit Angreifer deine LoginDaten im Cleartext sehen.
Dies ist ein fiktives Beispiel und die Website, falls vorhanden, steht in keiner Verbindung mit dieser Blogwebseite.
„Was? Cleartext? Was ist das?“
Wenn du bei einer Webseite einen Account erstellst, werden meist Daten wie Benutzername, Email, Name und Passwort in einer Datenbank abgespeichert.
Damit, im Falle dass sich ein Angreifer Zugang zu dieser Datenbank verschafft, dieser nicht alles über alle User direkt aus der Datenbank auslesen kann, wird normalerweise (siehe RockYou Vorfall) alles verschlüsselt.
Wie meine ich Verschlüsselt?
Zum Beispiel gebt ihr das Passwort: 1chBin1toll3rM3nsch als euer Passwort an.
In der Datenbank wird dies das so gespeichert: b8c6faeeaae286d00999ee18894858c4dd8ea107.
Dies ist ein SHA1 Hash. Der Angreifer muss, um an euer Passwort zu kommen, also nun nachdem er die Datenbank gehackt hat, noch zusätzlich jedes gehashte/verschlüsselte Passwort bzw Daten knacken.
Ja aber wenn er es knacken kann, dann bringt doch das verschlüsseln gar nichts oder?
Doch. Stell dir vor du bist vor einer Türe die mit einer Konsole mit 3×3 Knöpfen von 1 bis 9 verriegelt ist. Der Raum ist geschlossen und du kommst nicht anders raus. Was tust du?
1111,
1112,
1113.
Genau. So ungefähr kann der Angreifer das auch tun. Dies nennt sich Wörterbuchangriff.
Der Angreifer hat also eine Liste an vorgehashten Beispielen wo er weiss was dieser Hash bedeutet, meistens in die Millionen Zahl, und vergleicht nun ob dein Hash irgendwo in der Liste ist.
Also kommen wir zum Punkt dieses Themas, habt ihr ein Passwort das leicht zu erraten und wahrscheinlich schon einmal irgendwo auf der Welt verwendet wurde, ist es höchstwahrscheinlich in solch einer Liste vorhanden.
Ein Passwort mit der RockYou Datenbank von ca 16’000’000’000 Passwörtern, welche Öffentlich zugänglich sind, dauert das prüfen von 1 Passwort auf meinem Mittelklasse GamingLaptop ca 30 Minuten.
Das Passwort Mausibaer14799 ist also 30 Minuten wert. Und dahinter verbergen sich oftmals die schönsten oder unschönsten Dinge. 🙂 Wählt sichere Passwörter <3
Eine sehr hilfreiche und vorallem seriöse Website ist HaveIBeenPwnd.
Hier sammelt ein anerkannter Forscher aus jeglichen Quellen Datenleaks von Hackern oder anderen Dataresearchern, wertet diese aus und gibt allen die Möglichkeit anhand einer Email zu prüfen ob und wann sie gehackt wurden, bzw wann der Hack bekannt wurde. Viele Firmen geben dies nicht direkt und wenn überhaupt öffentlich zu. Money rules the world!
Phishing Nachrichten / Anrufe: Jeder hat schon mal so eine Nachricht bekommen.
„DHL Mitteilung: Ihr Paket konnte nicht zugestellt werden. Klicken sie auf den Link um die Details zu sehen: www.dhhl-post.xy“
Oder eine Mail die euch Auffordert das Passwort über den Link zurückzusetzen, obwohl ihr nichts angefordert habt.
Meist sind diese Links dann die oben genannten PhishingWebseiten oder der Sourcecode der Webseite ist schädlich und versucht dir beim Aufrufen der Webseite einen Virus auf dem Handy/Pc zu installieren. Ja, das ist echt!
Mein Tipp, wenn ihr nichts bestellt habt oder auch sonst keinen Bezug mit dieser Nummer/Mailaddresse habt, löscht diese Nachricht sofort und klickt niemals auf Links die ihr nicht kennt, bzw bei denen man nicht direkt sieht dass es legit ist.
Überprüft den Absender (Nummer, Absendermail,…) und wenn ihr seht dass diese nicht bekannt oder nicht korrekt sein kann, weg damit.
SpearPhishing: Jeder der etwas Englisch auf dem Kasten hat, weiss was hier gemeint ist. Das Angeln mit einem Speer, den man gezielt auf einen einzigen Fisch wirft um diesen zu fangen.
Bei Cyberattacken gilt hier das selbe. Es ist theoretisch ein normaler Phishingangriff, jedoch wird die Attacke auf eine einzelne Person zugeschnitten. Zb wenn Angreifer den Weg in die Netzstruktur einer grossen Firma eindringen wollen, wird es auf den zuständigen der Sicherheit oder Mitarbeiter die viele Privilegien (Admins) gezielte Angriffe geben, um deren Zugangsrechte zu stehlen.
Abschliessend für das Thema Phishing:
„Don’t trust anyone or anything, not even yourself!“ - Identitäten: Eine weitere gängige Angriffsmethode ist der Datenklau. Sei es nun dein Personalausweis, Führerschein oder Bankdaten. Daten über Menschen sind das Wertvollste was wir im Internet haben.
Zum Beispiel, muss man um ein Bankkonto zu eröffnen, die persönlichen Daten wie Ausweis vorlegen, welcher meist in eurer digitalen Akte gespeichert wird.
Verschafft sich nun ein Angreifer Zugang zu diesen Dokumenten, ist er im Besitz deines vollen Ausweises und somit eines wichtigen Teiles deiner digitalen Identität.
„Und was soll da jetzt passieren?“
Nun, viele Hacker verwenden gestohlene Identitäten um Straftaten in anderem Namen zu begehen.
Hier ein kleines Beispiel, welches ich persönlich teilweise miterlebt habe:
Person X eröffnet ein Konto auf einer Webseite der Stadt und muss ein Dokument wie Ausweis, Führerschein oder anderes hinterlegen um zu bestätigen dass er diese Person ist.
4 Monate später wird die Webseite der Stadt gehackt und alle Daten werden von einem Hacker geklaut. Dieser Hacker verwendet nun den Personalausweis von Person X um einen Webserver zu mieten. Diesen Webserver nutzt der Hacker jetzt, um andere Webserver anzugreifen.
Die Polizei bekommt das herraus, geht zum Webserverbetreiber und will wissen wem dieser Server gehört. Der Betreiber hat, für den Server des Hackers, jedoch den Ausweis den Person X geklaut wurde und damit nichts zu tun hat und händigt diesen der Polizei aus, welche dann wiederrum zu Person X geht und diese Person dann dafür bestrafen will.
Schützt eure Identität und sensible Daten im Internet! Sendet keine Kopien von sensiblen Dokumenten an irgendwelche Webseiten und wenn, stellt sicher dass ihr gegen Angreifer geschützt seid! - Don’t trust anyone: Dies ist eine wichtige Regel im Umgang mit dem Internet. Der liebe Max Mustermann den du auf einer SocialMediaPlattform kennengelernt hast und in deinem Alter ist, kann in Wirklichkeit ein Pedophiler sein.
Die Seite die du gerade aufgerufen hast und wo du das selbe Passwort verwendet hast um den Account zu erstellen, wie du es bei deinem eBanking Account verwendest, kann dieses Passwort auch missbrauchen.
Die Kopie deines Personalausweises den du in deiner GoogleDrive Cloud abgelegt hast, ist ebenso nicht sicher. Denn jeder Server ist knackbar.
Das Popup „You have 3 Viruses on your PC, click here to remove them“ lügt!
Denn hinter dem Popup auf dem Link, IST der Virus!
Auch Popups wie „Some girls in your area want to fck“ lügt! Dies ist einfach eine schäbige Weise um Traffic / Datenverkehr auf Webseiten zu leiten, die auf andere shady Webseiten weiterleiten und dich immer und immer weiter in den Strudel ziehen. Bis es dir egal ist was du klickst.
Oder sie verkaufen komsiche Sachen <.<
Schlusswort
Ich denke dass ich nun einige der wichtigsten Punkte aufgezählt habe, die ich in meiner Zeit des Online seins erlebt und gelernt habe.
Have a nice stay und bleibt Sicher
euer
Wolf
