Im vergangenen Jahr hat sich einiges getan bei Greenbone: Wir haben unser Portfolio um virtuelle Maschinen ergänzt und sind neue Distributionspartnerschaften eingegangen, die uns unter anderem Nord-Amerika erschließen. In diesem Rahmen haben wir auch unsere Teams deutlich ausgebaut und suchen weiterhin nach Verstärkung. Aktuell bereiten wir den Start unserer ersten Cloud-basierten Managed Service Plattform vor. Unternehmen können unsere Technologie nun – je nach Bedarf und Anforderungen – einsetzen, als Service, als virtuelle und als physische Appliance. Unser Ziel, das wir dabei stets vor Augen haben: Angreifern immer einen Schritt voraus sein und Unternehmen aller Größen mithilfe eines effektiven Resilience & Vulnerability Managements (RVM) widerstandsfähig gegen Cyber-Attacken machen.

Der heutige Stand der Technik heißt für Unternehmen, dass sie resilient gegen Cyber-Attacken sein müssen, also auch im Falle eines erfolgreichen Angriffs betriebsfähig bleiben. Betriebsunterbrechungen und Cyber-Attacken gehören heute zu den größten Geschäftsrisiken, die ein Betrieb handhaben muss. Ein effektives Resilience & Vulnerability Management hilft da grundlegend. Um Unternehmen widerstandsfähig zu machen, bietet unsere Technologie die Einstufung der Gefahren aber auch des Aufwandes zu deren Beseitigung. Zum einen wird dabei das gesamte Netzwerk eines Unternehmens kontinuierlich auf Schwachstellen und mögliche Angriffspunkte gescannt, zum anderen werden die digitalen Risiken für kritische Geschäftsprozessen und den dazugehörigen Assets visualisiert. Durch die hochgradige Automatisierung und maximale Scan-Tiefe und -Breite etablieren wir nachhaltige Widerstandsfähigkeit.
Über den Vorteil sind sich die Unternehmen einig. Unterschiedliche Meinung herrscht jedoch darüber wie die Technologie in die eigene IT-Umgebung integriert wird. Mit Recht, denn jedes Unternehmen bringt eigene Kompetenzen und Präferenzen mit und muss Richtlinien, oft Branchen-abhängig, erfüllen.

Ergänzt durch die neuen Cloud-basierten Dienste und zusammen mit unseren bekannten physischen und virtuellen Appliances bieten wir flexible Lösungsarchitekturen für unsere Kunden, immer passend zu den jeweiligen Anforderungen.

Auch unsere Verantwortung für die Community und für die digitale Gesellschaft nehmen wir weiterhin war. Als Corporate Citizen werden wir auch in Zukunft die eigene Technologie als transparente, offene Lösung bereitstellen. Gerade die kritischen Infrastrukturen werden auch weiterhin ein wichtiger Fokus unserer Sicherheitsforschung sein. Wir haben mit unseren Sicherheitsberichten im letzten Jahr Hunderten von Gesundheitseinrichtungen geholfen und so Millionen von Patientendaten geschützt. Diesen Weg wollen wir weiter gehen, um für unsere Kunden die digitale Welt immer sicherer zu machen.

Enorme Nachfrage: Vulnerability Management als Service und als virtuelle Anwendung

Seit vielen Wochen befinden wir uns schon in der Beta-Testphase für unsere neue Greenbone Managed Service Platform. Mit ihr stellen wir Kunden unsere bewährte Vulnerability-Management-Lösung ab April auch als Cloud-Service zur Verfügung, den sie gegen eine monatliche Gebühr nutzen können. Nicht zuletzt kleinere Betriebe wie etwa lokale Arztpraxen können so auch ohne Inhouse-Expertise einfach und schnell ihre Netzwerke schützen. Für globale Konzerne sind Managed Services eine interessante Option, um neue Standorte ohne großen Aufwand mit einem effektiven Schwachstellenmanagement auszustatten. Für die Entwicklung haben wir eigens ein zusätzliches Experten-Team gewinnen können, das mit viel Umsicht konfiguriert und – wie immer – ein besonderes Augenmerk auf einen sicheren Datenaustausch legt.
Seit Mitte 2019 sind unsere virtuellen Midrange-Appliances des Greenbone Security Manager verfügbar. Wir haben dadurch den Umsatzanteil virtueller Lösungen 2019 gegenüber 2018 beinahe verzehnfacht. Die größte Kontrolle über die Sicherheitsdaten hat man zwar weiterhin mit den physischen Appliances, jedoch ist das Vertrauen in Virtualisierungs-Lösungen mit deren fortgeschrittenen Entwicklung deutlich gewachsen. „Diese architekturübergreifende Flexibilität hilft unseren Kunden, gezielt und effizient die eigenen Anforderungen an eine Resilience & Vulnerability Management Lösung erfüllen zu können“, so Dr. Jan-Oliver Wagner, CEO Greenbone Networks.

Neue Distributoren unterstützen Wachstum international

Dass der Schritt hin zu Virtual Appliances logisch und richtig war, zeigt uns das enorme Kundeninteresse. Mit unseren virtuellen Maschinen haben wir sozusagen offene Türen eingerannt – die Nachfrage ist riesig. Um ihr gerecht zu werden, haben wir 2019 eine strategische Partnerschaft mit dem Value-Added Distributor (VAD) ADN geschlossen. Sie ergänzt unsere langjährige Zusammenarbeit mit Exclusive Networks, die als Distributoren auf physische Systeme spezialisiert sind. Im DACH-Raum sind wir jetzt also mit starken Distributionspartner sowohl für unsere physischen als auch unsere virtuellen Systeme aufgestellt.
Daneben expandieren wir auch immer weiter in den englischsprachigen Raum. Über unsere neu gewonnen Distributor InfoSec Industries mit Sitz in Florida habe wir einen Partner, der insbesondere den nordamerikanischen Markt adressiert aber auch Mittel- und Südamerika unterstützt.

Neue Kollegen und ein größeres Headquarter

Aufgrund der anhaltend hohen Nachfrage mussten wir natürlich auch personell nachlegen. So haben wir das Greenbone-Team im vergangenen Jahr um 21 neue Kollegen erweitert. Das kam vor allem der Entwicklung und unserem Professional Service zu gute. Mit Elmar Geese als Chief Operating Officer (COO) haben wir einen fähigen Kopf mit starkem unternehmerischen Background für uns gewonnen, der uns in den Bereichen Strategie, Prozessoptimierung und Controlling unterstützt.
Um das stark gewachsene Team auch räumlich unterzubringen, haben wir unser Osnabrücker Headquarter nochmal deutlich vergrößert.

Fazit: Cyber-Sicherheit der Kunden im Fokus und mehr Kunden im Fokus

Cyber-Angriffe können fatale Auswirkungen haben. Unser Anliegen ist es, Unternehmen aller Größen – von der lokalen Arztpraxis bis zum internationalen Konzern – ein effektives Schwachstellen-Management zur Verfügung zu stellen, das sich ohne viel Aufwand in Betrieb nehmen lässt. Die enorme internationale Nachfrage nach unseren virtuellen Maschinen und das – schon jetzt große – Interesse an unserer neuen Managed-Service-Plattform zeigt, dass wir auf dem richtigen Weg sind. Auch in Zukunft werden wir alles daran setzen, Angreifern immer eine Nasenlänge voraus zu sein.

Vier Monate nachdem der Bayerische Rundfunk und die US-Investigativplattform ProPublica über unsere Analyse zu ungeschützten PACS-Systemen berichtet haben, lohnt es sich, ein Resümee zu ziehen.

 

X-rax from 19th century, source WikiCommons

X-rax from 19th century, source WikiCommons

Old school: FAX

Dieser Blogpost ist kein neuer Bericht an sich  – trotzdem fokussiert er auf fast unbekannte Aspekte dieses Datenlecks und auf bemerkenswerte Dinge, die seit dem 17. September 2019 passiert sind.

In den letzten Tagen haben wir an über 40 Organisationen Faxe mit weiteren Responsible Disclosures geschickt (Fax habe ich schon Jahre nicht mehr genutzt), was hoffentlich hilft etwa 10 Millionen Studien und 460 Milllion Radiologie-Bilder vor ungesichertem Zugriff zu schützen.

Ein nicht ganz so kurzer Rückblick

Im Frühjahr 2019, während der Recherche für eine anderes Thema, fanden wir den ersten ungeschützten Bildarchiv-Server. Wir hatten nicht speziell danach gesucht, und daher – neben einer Information an die betroffene Organisation (diese hat sehr schnell gehandelt und das System vom Netz genommen) – notierten wir den Begriff PACS buchstäblich auf ein Post-it und hängten es an die Ideen-Pinnwand.

Die initiale Analyse-Arbeit begann schließlich im August 2019. Wir wollten uns einen Überblick über PACS-Systeme verschaffen, die aktuell mit dem Internet verknüpft, öffentlich zugänglich und damit ungeschützt sind. Von dem Ausmaß des Datenlecks waren wir völlig überrascht – ein gigantisches Problem, das schnelle Beseitigung verlangte. Um dafür die erforderliche Aufmerksamkeit zu schaffen, mussten wir weltweit Behörden und Medien involvieren. Ohne die Mitarbeit weiterer engagierter Akteure hätten wir unmöglich so viele Systeme aus dem öffentlichen Internet entfernen können – und es gibt noch einiges zu tun, wie auch der TechCrunch Report zeigt.

Wir schulden den Unterstützern rund um den Globus unseren Dank: den Behörden aus Deutschland, Frankreich, Großbritannien, Malaysia, der Schweiz, den USA, und einer Reihe weiterer Länder; den Nachrichten-Portalen und Magazinen (online wie offline), die das Problem und die Lösungswege öffentlich gemacht haben; den betroffenen Kliniken und Radiologie-Einrichtungen für ihre Kooperationsbereitschaft. Wir haben mit vielen InfoSec-Spezialisten gesprochen und sie alle verdienen unseren Respekt und unseren Dank.

Die anderen kleinen Geschichten, einige noch nicht erzählt…

Warum mussten wir handeln? Die reine Quantität des Datenlecks bei PACS-Servern war erschreckend genug. Aber ziehen wir in Betracht, welcher Missbrauch mit diesen Informationen betrieben werden könnte, dann erhält das Problem eine neue Dimension. Denn durch den Zugriff auf „historische“ medizinische Daten lassen sich beispielsweise von betroffenen Personen Profile erstellen.

Zur Illustration betrachten wir Systeme, die Daten aus mehreren Jahrzehnten speichern, also sehr weit zurückgehen. Das “jüngste” ausgewählte Archiv enthält Daten, die bis in den Dezember 2007 reichen. Das folgende Bild veranschaulicht die Daten und damit verbundenen Zeitspannen, die wir auf diesen Systemen gefunden haben.

(hier klicken für ein hochaufgelöstes Bild, die Nutzung ist freigegeben unter Angabe des Copyrights).

Beispiele für Geschichten aus den Archiven sind:

  • Bei einer Person, die sich im März 1987 zuerst untersuchen ließ, folgten noch 55 weitere radiologische Untersuchungen. Die letzte war im Dezember 2019.
  • Eine andere Person hatte in 22 Jahren mehr als 130 radiologische Untersuchungen in der gleichen Klinik.
  • Der älteste Datensatz stammt vom 3. Januar 1980, die Untersuchung fand um 21:31 Ortszeit statt.

Mit diesen Informationen wäre medizinischer Identitätsdiebstahl möglich – mit allen negativen Konsequenzen wie Manipulation oder Erpressung. Zudem schlummern zahlreiche weitere Datenschutz-Verletzungen in diesen Archiven:

  • Ein PACS-System enthält die üblichen Daten wie Name, Geburtstag, Untersuchungsdatum – und einige Datensätze, die bis ins Jahr 2007 zurückreichen, stammen aus Gefängnissen. Also: wenn jemand eine Haftstrafe verbüßt hat, sich danach jedoch gesetzeskonform verhält, gibt es keinen generellen Grund, dieser Person den Datenschutz zu verweigern.
  • Archive, die Daten über lange Zeiträume sammeln und vorhalten, verraten familiäre Zusammenhänge. Es lässt sich eine Art Familienstammbaum erstellen, verbunden mit der Möglichkeit diese Informationen über Social Engineering auszunutzen. Ein System eines lokalen Medizinzentrums enthält über 400 Einträge mit demselben Familiennamen über einen Zeitraum von 19 Jahren.

Sollte die Vergangenheit uninteressant sein, schauen wir in die Zukunft. Ein System enthält Datum und Uhrzeit von künftigen Terminen, auch hier mit vollem Namen und Geburtsdatum. Da diese Einrichtung eher regional arbeitet, lässt sich die Adresse, Telefonnummer, der Arbeitgeber und andere Informationen einer Person leicht herausfinden. Wie? Der Dank gebührt Facebook, Instagram und Co.! Ein bewussterer Umgang mit Social Media wäre jedem von uns anzuraten.

Einige interessante Reaktionen …

Die Warnungen vor Missbrauch sind berechtigt: so erreichte uns eine Nachricht eines Anbieters von Künstlicher Intelligenz in der Medizin. Der Anwalt des Unternehmens erbat unverblümt den Zugriff auf die Patientendaten. Auf unsere Standardantwort, dass wir dem EU-Datenschutz unterliegen und diesen vollständig beachten, kam zurück: „In den USA ist das ja anders”. Wahrscheinlich ist es besser, diesen Teil der Geschichte auf sich beruhen zu lassen.

Ebenso fragten einige Rechtsanwaltskanzleien an, ob wir Material für ihre Sammelklagen, gerade in den USA, beisteuern könnten. Wir haben keine Informationen zur Verfügung gestellt.

Apropos rechtliche Aspekte: Als wir über 140 individuelle Responsible Disclosures verschickten, hatten wir damit gerechnet, eine Reihe von Unterlassungserklärungen zu erhalten. Es kam keine einzige. Die Unternehmen, die nach Erhalt der Disclosure mit uns Kontakt aufnahmen, haben alle positiv reagiert. Ihr Ziel – und unseres – war und ist die Situation zu verbessern und nicht „den Boten zu erschießen”. An dieser Stelle möchten wir einen Dank an Troy Hunt aussprechen. Seine Arbeit rund um Responsible Disclosures half uns sehr.

Nach der Veröffentlichung unserer ersten Analyse haben manche Interessenvertreter aus der Gesundheitsbranche trotzig reagiert: „Nein, das kann nicht sein. Die gefundenen Systeme werden wahrscheinlich in der Tiermedizin oder in der universitären Forschung genutzt. Aber unsere Krankenhäuser und Ärzte nehmen den Datenschutz sehr ernst.” Tatsächlich haben wir 72 PACS-Systeme gefunden, die von Tierärzten benutzt werden. Diese wurden jedoch nicht in unserer Analyse verwendet. Es ist sehr wahrscheinlich, dass auch diese Systeme eine große Menge an persönlichen Informationen enthalten – aber das wäre eine andere Geschichte. Außerdem mussten wir genau auf Abkürzungen achten, denn VET und PET haben zwei Bedeutungen. Veterinär und Veteran, bzw. Pet (Tier) oder die Bezeichnung PET-CT.

Als abschließende (aber nicht ernst gemeinte) Anmerkung in diesem Abschnitt: eine Twitter-Nachricht fragte, ob wir Bilder von „bone spurs“ in den Daten gefunden haben. Nein, aber wir haben auch nicht gesucht.

Was als nächstes…

Wir werden den Zustand der ungeschützten PACS-Systeme auf der Welt weiter beobachten. Selbstverständlich werden wir auch die zuständigen Datenschutz- und Justizbehörden bei der Behebung und Beseitigung dieses globalen Datenlecks weiter unterstützen. Es sind immer noch mehr als 400 ungeschützte PACS-Systeme mit dem Internet verbunden, mit mehr als 27 Millionen Untersuchungen wodurch etwa 9 Millionen Menschen betroffen sind.

Für uns ist dies ein wichtiges Beispiel dafür, dass Informationssicherheit und Datenschutz nicht nur mit ausgeklügelten APTs, aufwändigem Social Engineering oder mit BlackHats und deren magischem Programmcode zu tun hat. Vielmehr geht es um die tägliche Beachtung der Basics. Deswegen haben wir diese Analyse so einfach wie möglich gehalten: kein speziell entwickelter Progammcode, keine Automatisierung, keine Scripte. Jeder wäre in der Lage gewesen, es uns gleich zu tun. Das ist das wahrlich Beängstigende bei diesem Datenleck.

Das Komplexe möglichst einfach zu beschreiben, damit auch die vielen Menschen ohne IT-Sicherheits-Expertenwissen das Problem verstehen können. Das wird unsere Richtschnur für unsere weitere Arbeit in Kritischen Infrastrukturen sein.

 

60 Tage später ist es um die weltweite Situtation der ungeschützten PACS Sever nicht besser geworden. Im Gegenteil, gerade in den USA scheint es ein unaufhaltsames IT-Sicherheits- bzw Datenschutz-Desaster zu sein.

1.19 Milliarden Bilder

Das ist die Anzahl an Bildern die mit den ungeschützten medizinischen Untersuchungen verknüpft sind, die wir während unseres Reviews zum globalen Status von medizinischen Bildarchiven im Internet gefunden haben, ein Zuwachs von 60% (von vorher 737 Millionen). Weitere Details finden sich in unserem aktualisierten Bericht darüber wie sich dieser Status in den letzten 60 Tagen seit unserem ersten Report entwickelt hat, wobei diese Zahl verknüpft ist mit mehr als 35 Millionen radiologischen Untersuchungen von Patienten weltweit (ein Plus von 40%, vorher 24,5 Millionen), was – einfach gesagt – beängstigend ist.

Ignoranz oder Gleichgültigkeit?

“Check again” ist eines der Mantras in der Informationssicherheit und insbesondere im Schwachstellen-Management. Stetiges Wiederholen eines Checks zeigt erst auf, wie sich der eigene Cyber-Security-Status entwickelt, ob die getroffenen Maßnahmen und eingesetzten Werkzeuge auch wirklich funktionieren und den gewünschten Nutzen bringen. Basierend auf diesem Ansatz haben wir uns entschieden, relativ zeitnah nach dem ersten Bericht ein Review durchzuführen. Und zwar 60 Tage später, denn diese Zeitspanne ist in den USA (als hauptsächlich betroffenes Land) der Zeitrahmen in dem ein Datenleck im Gesundheitssektor gemeldet werden muss.

Allerdings haben wir nicht erwartet, noch mehr Patientendaten zu finden, mit noch mehr verknüpften Bildern. Die Frage nach Ignoranz oder Gleichgültigkeit kann eigentlich nur mit „beides, und zwar in einer ungesunden Kombination“ beantwortet werden, denn für die meisten der von uns geprüften Systeme hatten und haben wir immer noch Zugang zu den persönlichen Daten und Gesundheitsinformationen.

Es gibt so etwas wie einen Hoffnungsschimmer, da es einige Länder geschafft haben, die jeweiligen identifizierten Archiv-Server komplett aus dem öffentlichen Internet zu nehmen. Allerdings wird diese Hoffnung wieder getrübt durch die gestiegene Anzahl an zugänglichen Untersuchungen und Bildern, sowie den neuen Ländern auf unserer Liste.

“Good, bad und ugly”

Hoffnung macht, das sich die Gesamtzahl an PACS-Servern um 43 reduziert hat. Allerdings ist das nu ein kleiner Anteil am Gesamten (<10%). Bei näherer Betrachtung der Ergebnisse lassen sich drei Gruppen von Ländern in unseren Daten zusammenfassen.

  • „The Good“
    Ländern (wie oben erwähnt) die es geschafft haben, alle gefundenen System aus dem öffentlichen Internet zu nehmen. Die Situation hat sich zum Guten gewandelt.
  • „The Bad”
    Länder in denen wir immer noch viele System finden und abfragen können, in denen sich die Situation also nicht oder nur sehr geringfügig verändert hat. Die Situation ist immer noch schlecht.
  • „The Ugly”
    Diese Gruppe besteht aus wenigen Ländern, wo die Situation der Archivsysteme vehement schlechter geworden ist, die Zahlen stark nach oben gingen, sie also häßlich wurde.

Neue Datenpunkte

Für die letzte Gruppe an Ländern haben wir auch weitere Datenpunkte hinzugefügt. Einer davon ist der Standort des PACS-Servers im Land, die wir auf Bundesstaaten bzw. Provinzen eingegrenzt haben. Ein anderer ist die Anzahl der in den Daten gefundenen medizinischen Einrichtungen und Ärzten bzw Therapeuten. Beide sind nicht einfach, da sie nur als Annäherung zu sehen sind und evtl. Falsch interpretiert werden könnten (zB wenn wir Städte und Gemeinden nennen würden anstelle von Bundesstaaten). Der präzise Standort eines Archives bedeutet nicht, dass sämtliche Daten im System von Patienten aus der näheren Umgebung stammen (daher nur die Verortung auf Bundesstaat bzw Provinz). Wie schon im ersten Bericht haben wir die Daten zur Laufzeit analysiert und keine Datensätze auf unseren Systemen gespeichert. Nur Zählungen und Zusammenfasungen, sowie Indikatoren für den Standort haben wir tatsächlich gespeichert.

Besonderer Blick auf die USA

Die USA sind das am stärksten von diesem Datenleck betroffene Land, Darum haben wir uns die Situation dort und die Daten etwas genauer angesehen. Nicht nur sind die Gesamtzahlen für Untersuchungen und Bilder noch oben geschnellt, wir haben auch einige alarmierende Datensätze in den ungeschützen PACS-Servern in den USA gefunden.

Ein sehr großes Archiv erlaubt vollen Zugriff auf die PHI (Personal Health Information) inclusive aller verknüpften Bilder zu ca. 1,2 Million Untersuchungen. Hinzu kommt, das etwa 75% der Datensätze auch die Social Security Number des Patienten enthalten. Das Schadenspotential für den sog. Medical Identity Theft summiert sich auf etwa 3,3 Milliarden US-Dollar. Dieser Wert macht alleine etwa 2/3 des gesamten Schadenspotentials für diese Art von Cybercrime bei den gefundenen PACS aus.

Ein anderes Archiv scheint Daten von Angehörigen des US-Militärs (inklusive der sog. DoD-ID) zu enthalten, wenn man vom Namen der medizinischen Einrichtung und anderen Hinweisen ausgeht. Obwohl die Zahl der Datensätze nicht besonders hoch ist, bedeutet der Umstand alleine, dass hier eine Reihe von Varianten zur Ausnutzung möglich sind (über die im ersten Bericht beschriebenen hinaus).

Die folgende Grafik verdeutlicht die Situation in den USA, für die betroffenen Bundesstaaten.

 

(hier klicken für ein hochaufgelöstes Bild, die Nutzung ist freigegeben unter Angabe des Copyrights).

Die Gesamtsituation der PACS-Server in den USA bestätigt unsere Annahmen zu den Schlüsselfaktoren einer hohen Cyberresilienz. Einen Bericht dazu warden wir in den kommenden Wochen veröffentlichen..

Empfohlene Maßnahmen

Im Bericht nennen wir auch einige mögliche Maßnahmen für jeden ‚Beteiligten‘. Diese Maßnahmen sind einfache Schritte die es wahrscheinlicher machen, Geräte die unnötigerweise mit dem Internet verbundene sind zu finden. Für Patienten sind es Tips, wie sie sicherstellen das der medizinische Dienstleister, der Arzt oder Radiologe versteht, wie wichtig die Sicherheit und der Schutz der eigenen Daten zu nehmen ist.

The report

Greenbone’s aktualisierter Bericht ist hier [1] zum Download, in englischer Sprache.

Unsere White Paper [2] zum tieferen Einstieg in die Digitale Widerstandsfähigkeit von Kritischen Infrastrukturen inklusive des Gesundheitssektors sind hier.

Wie bereits im ersten Bericht zum Ausdruck gebracht, geben wir aufgrund der Sensibilität der Daten Details für einzelne Systeme beziehungsweise die Detaillisten eines bestimmten Landes nur an berechtigte Stellen, zum Beispiel die jeweiligen Datenschutzbehörde des Landes, heraus.

Ausblick

Die erwähnte Studie zu Fähigkeiten die notwendig sind um eine höhere Cyber-Resilienz zu erreichen wird in den kommenden Tagen veröffentlicht. Diese Studie umfasst die großen Wirtschaftsnationen der Welt und 6 Sektoren, die als Kritische Nationale Infrastrukturen gesehen werden. Diese sind:

  •     Gesundheit
  •     Finanzen
  •     Transport
  •     Energie
  •     Wasser
  •     IT&Telekommunications

Mehr dazu dann auch hier im Blog.

Anmerkung: Wir haben keine kompletten Datensätze oder vollständige Archive heruntergeladen sondern nur auf die Zahlen der einzelnen Systeme geachtet wofür ein Download nicht notwendig ist. Ein Download wäre allerdings jederzeit möglich gewesen.

[1] Greenbone Security Report – Unprotected Patient Data, a review

[2] Greenbone Whitepaper – Gesundheit

Medizinische Systeme und Prozesse des Gesundheitssektors werden immer weiter digitalisiert. Dafür nutzen Arztpraxen und Krankhäuser – wie alle anderen Branchen auch – die Technologien des Internets und vernetzen sich auf IP-Basis untereinander. Das dies gründlich schief gehen kann, zeigt eine globale Daten- und Informationssicherheitsanalyse von medizinischen Bildarchivierungssystemen.

Die Ausgangslage

Röntgenbilder und andere bildgebende Verfahren wie CT und MRT sind aus dem Klinikalltag schon lange nicht mehr wegzudenken. Diese daraus resultierenden Bilder helfen Ärzten und Therapeuten dabei, eine Diagnose zu stellen, für einen Patienten die richtige Behandlung zu erarbeiten oder den Behandlungsfortschritt zu beobachten und zu dokumentieren. Dazu nutzen Klinikbetriebe umfangreiche Bildarchivierungsysteme, sogenannte PACS-Server (Picture Archiving and Communication Systems-Server), in denen die Bilder gespeichert werden und von Medizinern bei Bedarf abgerufen werden können. Das PACS-Server angreifbar sind, ist schon länger bekannt [1]. Was bis heute unbekannt war, ist, wie groß und verbreitet dieses globale Datenleck tatsächlich ist.

Doch worum geht es genau. Einfach formuliert, betrifft dieses Datenleck einen Standard, der in den 80er Jahren entwickelt wurde. Dieser Standard nennt sich DICOM (Digital Imaging and Communications in Medicine) und beschreibt, wie Medizingeräte der Bildgebung miteinander vernetzt werden können, um so Informationen zu Patienten und Bildern auszutauschen und zu archivieren. PACS-Server nutzen diesen Standard, der auch die Verwendung des IP-Protokolls einbezieht. Damit sind diese Systeme auch im Internet auffindbar. Die daraus entstandene Liste an IP-Adressen war Gegenstand der Sicherheitsanalyse.

Die Schwächen

Sowie etwas mit dem öffentlichen Internet verbunden wird, stellt sich die Frage nach der Absicherung des jeweiligen Systems vor unbefugtem Zugriff. Wer soll was mit dem System machen können? Für die gefundenen Archivsysteme scheint die Antwort, sei sie noch zu unbeabsichtigt, zu sein: Jeder und alles.
Wie zu erwarten, enthalten diese Archive sensible medizinische und persönliche Informationen von Millionen von Menschen weltweit. Name, Geburtsdatum, Datum einer Untersuchung, Details der Untersuchung, behandelnde Ärzte, Kliniken, bis hin zu Informationen wie der amerikanischen Social Security Number und den eigentlichen Bildern, ist alles abrufbar und teilweise als Download verfügbar.

Das dies möglich ist, liegt an der nachlässigen Konfiguration dieser Systeme, die ohne jeglichen Schutz, ohne Passwort oder Verschlüsselung, diese Daten einem Internetnutzer, der ein paar Handgriffe tätigt, bereitstellen.

Der Begriff Internetnutzer ist ganz bewusst gewählt, denn für diese Abfrage muss kein Code geschrieben werden, keine Software-Schwachstelle ausgenutzt werden, oder eine Zero-Day-Attacke gefahren werden. Man muss also kein Hacker sein, um sich Zugang zu diesen hochsensiblen Daten zu verschaffen, sondern bekommt unter Zuhilfenahme von frei verfügbaren Tools direkt auf den Bildschirm geliefert. Um diese Daten zu sehen und – falls gewünscht – herunterzuladen, benötigt man nur eine Liste von IPs und einen entsprechenden Viewer. Beides gibt es zum Download im Netz.

Das Ausmaß

Die Zahlen, die dabei zusammenkamen, sind erschreckend. Über 24 Millionen Datensätze mit mehr als 700 Millionen verlinkten Bildern. Aus diesen sind 400 Millionen tatsächlich herunterladbar. Diese ungeschützten Systeme stehen in 52 Ländern der Welt. Neben der “Offenheit‘“ der Systeme, haben diese auch noch tausende „echte“ Schwachstellen, also veraltete Webserver-Versionen und angreifbare Datenbank-Instanzen. Zum Teil erlauben es die PACS-Server auch, via http und einen Webbrowser die Patientendaten und Bilder zu betrachten.

Der Bericht

Greenbone hat einen vollständigen Bericht verfasst, der hier zum Download [2] zur Verfügung steht. Der Bericht enthält weitere Zusammenfasungen der Gesamtsituation, eine Analyse des Gefahrenpotentials verbunden mit diesem Datenleck sowie eine Schätzung, welche Summe dieser Datenschatz im Darknet möglicherweise erbringen könnte. Für einen tieferen Einstieg in die digitale Widerstandsfähigkeit von kritischen Infrastrukturen, zu denen der Gesundheitssektor gehört, ist das Whitepaper [3] geeignet. Hier erhalten Sie weitere allgemeine Informationen zum Thema Datensicherheit.[4]  

Details für einzelne Systeme beziehungsweise die Detaillisten eines bestimmten Landes, geben wir aufgrund der Sensibilität der Daten nur an berechtigte Stellen, zum Beispiel die jeweiligen Datenschutzbehörde des Landes, heraus.

Anmerkung: Wir haben keine kompletten Datensätze oder vollständige Archive heruntergeladen sondern nur auf die Zahlen der einzelnen Systeme geachtet wofür ein Download nicht notwendig ist. Ein Download wäre allerdings jederzeit möglich gewesen.

[1] McAfee.com  bzw. CT-GAN: Malicious Tampering of 3D Medical Imagery using Deep Learning

[2] Greenbone Sicherheitsbericht – Ungeschützte Patientendaten im Internet

[3] Greenbone Whitepaper – Gesundheitssektor

[4] Was ist IT-Sicherheit, Informationssicherheit und Datensicherheit?

 

 

 

Hack Backs – Pro und Kontra

Regierungen diskutieren regelmäßig, IT-Schwachstellen als Cyberwaffen für Hack Backs zu nutzen. Die Geschichte der Microsoft-Schwachstelle EternalBlue macht eines deutlich: Das kann sehr teuer werden. Regierungen sollten sich intensiv überlegen, ob die Vorteile einer Schwachstelle als Cyberwaffe die potenziellen Schäden für Bürger und Unternehmen wirklich überwiegen.

Am 12. Mai 2017 begann der Trojaner WannaCry sein Unwesen – mit dramatischen Folgen. Die Schadsoftware entstand aus einer Cyberwaffe, die einer Regierungsbehörde „verloren“ gegangen war. Die immensen Schäden waren ein Weckruf für Unternehmen auf der ganzen Welt. Dennoch denken Regierungen immer noch darüber nach, Cyberwaffen für sogenannte „Hack Backs“ zu sammeln, zu speichern und im Notfall zu verwenden. Das heißt: Server und Daten von Gegnern zu zerstören, zu deaktivieren oder auszuspionieren.

Der Graumarkt für Schwachstellen und Cyberwaffen ist sehr lukrativ: Potente Schwachstellen und die damit verbundenen Exploits werden mittlerweile zu Preisen von über 1 Million Dollar, wenn sie auf Windows-Desktops und -Server abzielen. Die Zahl kann sich für Exploits bei mobilen Geräten (insbesondere Apple) verdoppeln. Wenn die Regierungen ihre Pläne zum „Hack Back“ durchsetzen, ist zu erwarten, dass dieser Markt in Zukunft noch profitabler wird. Doch ist das erstrebenswert?

Die Chronik von EternalBlue

EternalBlue, so der Name einer Microsoft-Schwachstelle, wurde von der National Security Agency (NSA) in den Jahren 2011 oder 2012 „entdeckt“. Die NSA behielt ihr Wissen zunächst für sich. Allerdings gingen bis Mitte 2016 die Informationen über die Schwachstelle und deren Exploits quasi bei der NSA verschütt. Gleichzeitig wurden diese an eine Hackergruppe namens Shadow Brokers geleaket. Die Gruppe versuchte erfolglos diese Informationen im August 2016 zu verkaufen und beschloss schließlich, ihr Wissen um den Jahreswechsel herum zu veröffentlichen.

Als die Katze aus dem Sack war, musste die NSA handeln. Sie hatte keine andere Wahl, als die Schwachstelle nun doch preiszugeben. So informierte sie Microsoft im März 2017 über EternalBlue. Mitte des gleichen Monats veröffentlichte Microsoft eine Reihe von Patches – zu spät um Pandora’s Box geschlossen zu halten.

Fast zwei Monate später richtete der Trojaner WannaCry, der die EternalBlue-Schachstelle ausnutzt, teils verheerende Schäden bei zahlreichen Unternehmen auf der ganzen Welt an. So wurde bekannt, dass WannaCry und ähnliche Malware-Varianten, wie NotPetya, in nur einem Jahr 9 Milliarden Dollar Schaden verursachte. Die weltgrößte Reederei, Maersk, wurde mit 300 Millionen US-Dollar getroffen. Die Kosten für den britischen National Health Services (NHS) lagen bei über 100 Millionen US-Dollar. Es gab noch zahlreiche andere Opfer, darunter der Flugzeughersteller Boeing (März 2018) und der Chiphersteller TSMC (August 2018). Nach Schätzungen von TSMC selbst erlitt das Unternehmen einen Schaden um die 170 Millionen Dollar Schaden. Doch damit nicht genug. Untersuchungen zufolge sind Millionen von Computern immer noch durch EternalBlue gefährdet.

Die Ökonomie des Cyberwaffen-Marktes

Zweifelsohne lohnt es sich finanziell, Zeit und Geld aufzuwenden, um Schwachstellen aufzufinden. Nehmen wir den CryptoWall-Virus: CryptoWall v3 allein hat einen „Umsatz“ von mehr als 325 Millionen Dollar erzielt. Das Geschäftsmodell und die Margen im Einzel- und Großhandel mit Cyberwaffen sowie die Einnahmechancen aus dem Angebot von „Cybercrime-as-a-Service“ machen nicht nur wirtschaftlich Sinn, sondern sind auch absurderweise relativ risikofrei. Die Cybergesetze der einzelnen Länder sind so unterschiedlich, dass ein Cyberkrimineller von einem sicheren Hafen aus operieren kann, ohne Angst vor Strafverfolgung oder Auslieferung haben zu müssen.

Dabei sind Schwachstellen, die bestimmte Kriterien erfüllen, besonders begehrt und werden mit hohen Summen bezahlt. Als Faustregel: Je einfacher die Bedienung und je mehr Systeme und Geräte betroffen sind, desto besser. Je teurer der Gegenwert, desto höher der Preis, der erzielt wird. Der Verkauf einer hochkarätigen Schwachstelle an einen einzelnen Benutzer scheint die am wenigsten profitable Art zu sein, dieses „Geschäft“ zu betreiben. Stattdessen wird der Verkäufer eher versuchen, eine Schwachstelle mehr als einmal zu verkaufen. Auf der anderen Seite will jeder Käufer – unabhängig von seiner Motivation für den Kauf – die Schwachstelle ausschließlich nutzen. Anträge auf Exklusivität erhöhen den Preis für jede Schwachstelle. Zwar gibt es keine dokumentierten Fälle, aber vermutlich steigt der Preis bei Exklusivrechten um den Faktor zehn oder sogar mehr.

Auf der anderen Seite: je mehr Käufer die Schwachstelle kennen, desto wahrscheinlicher ist es, dass deren Potenzial aufgrund von Leaks oder, weil sie „in the wild“ entdeckt wurde, verloren geht. Das übt deflationären Druck auf den Preis aus. Der Verkäufer muss also stets abwägen, wie häufig er eine Schwachstelle verkauft und welchen Preis er von jedem Käufer dafür verlangt.

Ein neuartiger Ansatz besteht darin, ein Servicemodell um Schwachstellen herum aufzubauen. Anstatt die Schwachstelle zu verkaufen, lizenziert der Cyberkriminelle ihre Nutzung, indem er einfach eine Plattform für Ransomware oder Botnets bereitstellt. Diese gemeinsame Nutzung einer Schwachstelle durch Viele, ist die moderne Art, ein Cybercrime-Geschäft zu betreiben. Alle Käufer zahlen hier einen „fairen“ Anteil von bis zu 50 Prozent ihrer eigenen Rendite an den Plattformanbieter. Die Akteure dahinter können es sich leisten, die Entwickler zu bezahlen, die die Plattform pflegen und auch Hackern die Suche nach neuen Schwachstellen zu ermöglichen. Sogar ein Amazon-Ansatz mit Empfehlungen zufriedener Nutzer ist denkbar. Dies erhöht die Reichweite und Benutzerfreundlichkeit der Plattform. Beispiele für diese „As-a-Service“-Plattformen sind CERBER, SATAN oder DOT.

Staatlich sanktioniert, staatlich gefördert oder staatseigen

Vor allem das Verhältnis dieser kriminellen Akteure zu Staaten muss unter die Lupe genommen werden. Dabei spielt es keine Rolle, ob die Akteure zu einer Regierung gehören oder von ihr geleitet werden, ob sie von einer Regierung finanziert werden, aber außerhalb der gesetzlichen Kontrollen einer Behörde handeln, oder ob sie staatlich sanktioniert werden. Was auch immer die Art der Beziehung ist, sie haben eine Motivation, die politischen Ziele einer bestimmten Regierung zu unterstützen.

Jeder staatlich gelenkte Akteur muss seine eigene Liste von Cyberwaffen führen, die er bei Bedarf einsetzen kann. Es besteht eine innere Gefahr, wie EternalBlue zeigt. Selbst wenn dieser Akteur in der Lage ist, die Geheimhaltung eines solchen Exploits aufrechtzuerhalten, wird es immer andere staatliche Akteure geben, die genau dasselbe tun und nach den gleichen hochkarätigen Schwachstellen suchen, die man ausnutzen kann.

Regierungen müssen sich fragen, ob die wahrscheinlichen Kosten für die Beeinträchtigung ihrer Gesellschaft durch eine ihnen bekannte, aber unveröffentlichte Schwachstelle die Vorteile des Zurückhaltens überwiegen. Es gibt viele Regierungskomitees auf der ganzen Welt, die das Für und Wider von Hack Backs und dem Nichtveröffentlichen von Schwachstellen diskutieren. Die Befürworter bringen „Interessen der nationalen Sicherheit“ als Argument an. Was passiert jedoch, wenn sich eine unveröffentlichte Schwachstelle, die dem Staat jedoch bekannt ist, gegen ihre eigene kritische Infrastruktur wendet? Genau das ist mit EternalBlue und WannaCry passiert. Doch vielleicht müssen diese Lektionen erst noch gelernt werden.

Unterm Strich ein klares Nein

Die jährlichen Schäden durch Cyberkriminalität weltweit zu erfassen ist nicht leicht, aber es gibt Schätzungen: Eine der genannten Zahlen liegt im Bereich von sechs Billionen US-Dollar. Angesichts der Tatsache, dass Cyberkriminalität die Einnahmen und Gewinne der Unternehmen trifft, folgt daraus, dass dies einen negativen Einfluss auf die Höhe der Steuergelder hat, die von den Regierungen der Unternehmen erhoben werden können – derzeit 1,3 Billionen US-Dollar weltweit.

Die Rechnung geht in etwa so: Sechs Billionen Dollar Schaden multipliziert mit einem durchschnittlichen Unternehmenssteuersatz von 22 Prozent entspricht 1,32 Billionen Dollar nicht realisierter Steuern – aufgrund reduzierter Einnahmen im Zusammenhang mit Schäden oder entstandenen Kosten durch Cyberkriminalität. Interessanterweise beträgt der Gesamthaushalt der fünf größten westlichen Volkswirtschaften 12,3 Billionen Dollar, während ihr gesamtes Haushaltsdefizit 1,23 Billionen Dollar beträgt. Lohnt es sich also, Cyberwaffen zu behalten? Angesichts dieser Zahlen muss die Antwort Nein lauten.

Emotet hat – wie von Security-Experten bereits befürchtet – wieder hinzugelernt. Die Schadsoftware erstellt nun auch authentische Antworten auf bestehende E-Mails wie CERT-Bund via Twitter berichtete. So verleitet sie arglose Empfänger dazu, infizierte Anhänge zu öffnen oder auf gefälschte Links zu klicken. Unternehmen haben aber trotzdem noch Möglichkeiten, gegenzusteuern.  

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in der Vergangenheit bereits mehrfach vor der Schadsoftware Emotet gewarnt. Die Malware verschickt Spam-Mails aus dem eigenen E-Mail-Programm eines Betroffenen an die Kontakte im Adressbuch, um sich weiterzuverbreiten, und wirkt dadurch besonders glaubwürdig. Einmal infiziert, lädt der Schädling weitere Malware nach. Mögliche Folgen für Unternehmen: Produktionsstopps, komplett ausfallende Infrastrukturen und wiederaufzubauende Unternehmensnetzwerke.

Wie von Security-Experten befürchtet, haben Hacker die Schadsoftware nun weiterentwickelt, wie CERT-Bund twitterte: Emotet nutzt nun nicht mehr nur die Absenderadressen, sondern produziert mithilfe ausgelesener Nachrichteninhalte gefälschte Antworten auf E-Mails und bettet authentisch wirkende Links auf die Domain des vermeintlichen Versenders ein. Die Malware macht sich damit die Technik des sogenannten „Spear Phishing“ zunutze. Hier werden Informationen über die Kontakte und das Kommunikationsverhalten des Opfers gesammelt, um eine möglichst authentische E-Mail mit Schadcode im Dateianhang zu erstellen. Emotet hat diesen Prozess automatisiert und ist dadurch in der Lage, viele authentische E-Mails in kurzer Zeit zu verschicken und sich schnell zu verbreiten. Doch trotzdem die Schadsoftware immer raffinierter vorgeht, haben Unternehmen noch die Möglichkeit, zu handeln und sich davor zu schützen.

Unternehmen haben Handlungsmöglichkeiten und sollten sie nutzen

Betrachtet man den Aufbau von Emotet genauer, ergeben sich etwa auf technischer Ebene Ansatzpunkte, um sich vor einem Angriff zu schützen. Denn der Ablauf der Infektion nutzt eine Reihe von Elementen, die eine resiliente Infrastruktur mit einer flexiblen und präventiv ausgerichteten Sicherheitsarchitektur nicht aus dem Tritt bringen kann. So überträgt sich die Infektion nicht sofort, wenn der E-Mail-Empfänger einen Anhang öffnet, sondern erst, wenn er auch die zugehörigen Makros in der angehängten Datei, etwa einem Word-Dokument, ausführt. Das bedeutet: Bei üblichen MS-Office-Einstellungen muss ein Mitarbeiter die Schadsoftware im Anhang manuell aktivieren, um sie auf das Netzwerk zu übertragen.

Die meisten Mitarbeiter benötigen Makros für das normale Tagesgeschäft jedoch nicht. Daher empfiehlt es sich, diese standardmäßig vollständig zu deaktivieren, also auch das manuelle Ausführen durch entsprechende Rechtevergabe zu unterbinden. Ein gutes Schwachstellen-Management-Tool kann hier helfen und scannen, welche Benutzer-Accounts das Ausführen von Makros erlauben. Gleiches gilt für PowerShell- beziehungsweise Administratoren-Rechte, denn momentan sind auch diese notwendig, um Emotet überhaupt zu laden.

Nachladen von Emotet-Tools erkennen

Auch wenn Emotet das IT-System bereits infiziert hat, gibt es noch Verteidigungsmaßnahmen. So lädt die Schadsoftware verschiedene Tools nach, um etwa Zugangsdaten auszuspionieren oder Daten zu verschlüsseln. Diese Standard-Tools können so als Indicators of Compromise genutzt werden. Ob nachgeladene Emotet-Tools in der eigenen IT-Infrastruktur aktiv sind, lässt sich ebenfalls mithilfe eines Schwachstellen-Management-Tools, wie dem Greenbone Security Manager, erkennen.

Emotet verteilt sich vom infizierten System aus auch über die sogenannte SMB-Schwachstelle. Diese ist bereits aus den WannaCry- und Eternal-Blue-Angriffen bekannt und lässt sich über das entsprechende Update schließen. Viele Unternehmen haben nach dem WannaCry-Ausbruch ihre Netze von außen unzugänglich für die SMB-Kommunikation gemacht, aber nicht die interne Kommunikation. Hier ist eine Prüfung auf die entsprechenden Schwachstellen das Mittel der Wahl, um noch offene Systeme zu finden und die Lücke zu schließen.

Fazit: Kleine Security-Maßnahmen haben große Wirkung

Besonders für kritische Infrastrukturen (KRITIS) wie Krankenhäuser können großflächige Computerausfälle durch die Schadsoftware Emotet katastrophale Folgen haben – und nicht nur wirtschaftliche Schäden nach sich ziehen, sondern auch eine Gefahr für den Menschen darstellen. Unternehmen sollten also jetzt handeln und ihre IT-Infrastrukturen bestmöglich schützen. Um widerstandsfähig gegen Phishing-Attacken mit fortschrittlicher Malware wie den neuen Emotet-Typus zu werden, reichen oft wenige koordinierte Maßnahmen, wie etwa nicht benötigte Makros zu deaktivieren und bereits bekannte Schwachstellen so schnell wie möglich zu schließen.

Neue OS-Versionen werden jeweils zum 30. April und 31. Oktober veröffentlicht

2019 werden wir auf ein neues Release-Schema für Greenbone OS – dem Betriebssystem unserer Greenbone Security Manager (GSM) – umsteigen. Das bedeutet: Zukünftig gibt es feste Veröffentlichungstermine, die jedes Jahr gleich bleiben. Das gibt nicht nur unseren Kunden und Partnern, sondern auch dem Greenbone-Entwicklungsteam selbst mehr Planungssicherheit.

Die neuen fixen Termine sind jedes Jahr der 30. April und der 31. Oktober. Im Übergangsjahr 2019 veröffentlichen wir das als nächstes anstehende GOS 5.0 noch in der zweistufigen Aufteilung für ENTRY/SME (30. April) und MIDRANGE/ENTERPRISE/SENSOR (30. Juni). Das GOS 6.0 wir dann bereits gemäß dem neuen Schema in einem einzigen Schritt für alle GSM-Geräte freigegeben. Ab 2020 gilt das neue Time-Based-Release-System in vollem Umfang.

Das Schema basiert auf harten Fristen für neue Funktionen, neue GSM-Typen und neue Hardware. Wenn ein Feature es nicht zu einem Veröffentlichungstermin schafft, wird es für das Folge-Release berücksichtigt.

Ausgereifte Systeme durch einmonatige Testphase in der Greenbone-Community

Zudem durchläuft unser GVM für jedes GOS Release eine einmonatige Testphase: Vor dem Release am 30. April beziehungsweise 31. Oktober wird die jeweils aktuelle Source Edition im GVM Release der Greenbone-Community bereitgestellt. Eventuelle Bugs lassen sich so eliminieren, bevor unsere Kunden und Partner das neue GOS in Betrieb nehmen.

Ein weiterer Vorteil der neuen Time-Based Releases: Der Zyklus von zwei neuen Hauptversionen pro Jahr erhöht das Tempo, mit dem Innovationen zu unseren Anwendern gelangen. Zudem können User schneller auf neue GOS-Versionen aufspringen: Zum einen alle sechs Monate zu den offiziellen Release-Terminen (Innovation Cycle). Zum anderen alle 12 Monate während einer dreimonatigen Migrationsphase, in der sie dann eine GOS-Generation überspringen können – diese sind jeweils Mai/Juni/Juli oder November/Dezember/Januar (Conservative Cycle).

Schwerwiegende Sicherheitslücke in D-Link-Routern entdeckt

UPDATE: Patch für Anwender verfügbar, D-Link Support-Seiten aktualisiert

Bereits im November 2018 hat Greenbone eine schwerwiegende Sicherheitslücke in Routern von D-Link entdeckt und das Unternehmen darauf aufmerksam gemacht. Die Schwachstelle ist für Hacker einfach auszunutzen und ermöglicht unautorisierten Zugriff auf Netzwerke. Seit dem 19. März 2019 ist auf den Support-Seiten des Herstellers ein Patch verfügbar. Greenbone bietet seinen Kunden jedoch bereits seit Ende letzten Jahres einen entsprechenden Schwachstellentest (Vulnerability Tests, VT) im täglichen Security Feed.

Router sind die zentralen Dreh- und Angelpunkte in Netzwerken. Sie stellen die Internetverbindung für die angeschlossenen Laptops und PCs aber auch für Smart-Home- und Industrie-4.0-Anwendungen her. Doch trotzdem hier so viele Komponenten eines Netzwerks zusammenlaufen, ist es um die Sicherheit oftmals nicht gut bestellt. Im vergangenen Jahr fanden Forscher des American Consumer Institute bei 83 Prozent der innerhalb einer Studie untersuchten Routern bereits bekannte Sicherheitslücken. Über diese können sich Hacker unter Umständen Zugriff zum Gerät selbst und damit auch zum Netzwerk verschaffen. Insgesamt zählten die Forscher mehr als 30.000 Schwachstellen – 7 Prozent davon bergen ein kritisches und 21 Prozent ein hohes Risiko.

Designfehler macht die Modelle DWR und DAP angreifbar

Zu den bereits bekannten Schwachstellen in Routern kommen auch immer wieder neue hinzu. So haben unsere Sicherheitsforscher bei Greenbone im November 2018 eine schwerwiegende Sicherheitslücke in verschiedenen Routern des Herstellers D-Link gefunden. Betroffen sind mindestens die Modelle DWR und DAP. Auf Englisch würde man die Schwachstelle als „Unauthenticated Remote Code Execution“ bezeichnen, also eine Sicherheitslücke, bei der ein Angreifer ohne jegliche Authentifizierung Befehle auf dem Router ausführen kann. Im Fall der D-Link-Router kann sich ein Hacker sogar die vollen administrativen Rechte verschaffen. Es ist sehr wahrscheinlich, dass das NIST (National Institute of Standards and Technology) die höchstmögliche CVSS-Wertung (Common Vulnerability Scoring System) von 10.0 vergeben wird. 

Die Ursache ist vermutlich ein Design-Fehler. Bei den von uns getesteten Geräten fanden wir eine ausführbare Datei namens „EXCU_SHELL“, die sich mit einem sogenannten GET-Request aus dem Web-Browser aufrufen lässt. Diese ist für einige harmlose aber sinnvolle Operationen zuständig, wie zum Beispiel das Anzeigen von Informationen über die installierte Firmware-Version. Wenn man jedoch einige Parameter dieser Datei anpasst, lassen sich beliebige Befehle einschleusen und ausführen.

Zugriff auf Router ohne Authentifizierung möglich

Die Tragweite der gefundenen Sicherheitslücke ist gemäß der Marktpräsenz von D-Link hoch: Das Unternehmen ist einer der Top-Player auf dem globalen Wireless-Router-Markt und war 2017 mit einem Anteil von 24,1 Prozent Marktführer.

Darüber hinaus ist der Schweregrad der Lücke laut dem CVSS-Basis-Score-Rechner hoch und die Lücke relativ leicht auszunutzen: Die Datei „EXCU_SHELL“ ist nicht passwortgeschützt und Hacker können daher ohne Authentifizierung auf den Router und damit das zugehörige Netzwerk zugreifen. Einmal eingedrungen, lässt sich so der gesamte ein- und ausgehende Internet-Traffic einsehen, modifizieren und kontrollieren oder sogar Malware verbreiten.

In Zeiten von Smart Home und Industrie 4.0 kann dadurch erheblicher Schaden entstehen. Hackern steht mit einer Sicherheitslücken diesen Schweregrads sozusagen Tür und Tor zu Netzwerken offen – fatal wären die Folgen von Eingriffen in kritischen Infrastrukturen wie Gesundheitseinrichtungen oder Energieversorgern.

D-Link hat Sicherheits-Update am 19. März 2019 veröffentlicht

Nachdem Greenbone die Sicherheitslücke bereits im vergangenen November an D-Link gemeldet hat, ist für Anwender jetzt auch ein Patch verfügbar. Der Hersteller zeigte sich während der gesamten Zeit responsiv und bat uns, die CVE-Beantragung zu übernehmen. Informationen für Kunden auf der D-Link-Website und Patches sind inzwischen auch verfügbar.

Ursprünglich waren seit der Entdeckung der Schwachstelle schon mehr als 90 Tage vergangen – die Frist endete bereits am 11. Februar 2019. Daher handelten wir gemäß des Responsible Disclosure und veröffentlichten alle bisher verfügbaren Informationen, um Anwender zu schützen. Für Greenbone-Kunden war die Lücke bereits seit November 2018 über den täglichen Security Feed sichtbar.

Hersteller müssen handeln!

Angesichts der horrenden Anzahl von Sicherheitslücken auf Routern, ist die Schließung der D-Link-Lücke sicherlich nur ein Tropfen auf dem heißen Stein. Ja, die Anzahl an Schwachstellen ist einschüchternd – den Kopf in den Sand stecken aber keine Option. Vielmehr gilt es, so viele Hersteller wie möglich dazu zu bewegen oder wenn nötig auch zu zwingen, ihre Router abzusichern. Denn in einer vernetzen Welt wie der unseren steht zu viel auf dem Spiel. Hier erhalten Sie weitere allgemeine Informationen zum Thema IT-Sicherheit.

Schwachstellen für digitale Gegenangriffe zurückzuhalten, ist in höchstem Maße riskant

Sollten Staaten Schwachstellen zurückhalten, um die eigenen Möglichkeiten eines Hack Back zu stärken? Nein, meint Dirk Schrader, CMO von Greenbone Networks, Vulnerability-Management-Anbieter, als Reaktion auf den Spiegel-Artikel „Das Cyber-Dilemma“.

Gut gezielte Cyber-Angriffe können heute das gesellschaftliche Leben ganzer Staaten lahmlegen. Bei einem totalen Blackout der Energieversorgung würden etwa wichtige elektronische Geräte in Krankenhäusern ausfallen und Lebensmittelkühlketten nicht mehr funktionieren. Auch ließen sich keine Notrufe mehr tätigen und die Frischwasserversorgung wäre gefährdet. Es ist daher gut und wünschenswert, dass die Regierung darüber diskutiert, wie sie die eigenen kritischen Infrastrukturen bestmöglich vor böswilligen Cyber-Angriffen schützen kann. So sind Maßnahmen eins bis drei des vom Bundesverteidigungs- und Bundesinnenministeriums vorgestellten Fünf-Stufen-Plans absolut richtig und wichtig: Prävention von Cyber-Angriffen, Umleitung von Daten eines erkannten Angreifers und Aufklärung von Hacker-Offensiven.

Hack Backs haben unvorhersehbare Nebenwirkungen
Der in Stufe vier und fünf verfolgte Ansatz, gefundene Schwachstellen zurückzuhalten, sie also nicht zu veröffentlichen, um sie für einen sogenannten „Hack Back“ zu nutzen, ist jedoch schon aus technischer Sicht nicht praktikabel. So sollen sich Cyber-Experten in Stufe vier des Plans über eine bisher nicht veröffentlichte Schwachstelle Zugriff auf das IT-System des Hacker verschaffen, um Daten „zurückzuklauen“. Doch bereits hier lauern zahlreiche Fallstricke: Gibt es Kopien von den Daten? Sind die Daten verteilt gespeichert? Wem gehört der Server überhaupt? Und was ist, wenn der Server in einem befreundeten Land steht und Eigentum der dortigen Regierung ist?
Stufe 5 – die von Hackern genutzten Server zu zerstören – erinnert wiederum sehr an das Vorgehen der britischen Regierung nach den Snowden-Enthüllungen. Hier wurden Festplatten der britischen Tageszeitung „The Guardian“ mit Bohrern zerstört. Die Folge eines solchen Vorgehens: Nutzen auch andere unbeteiligte Einrichtungen den Server, wären auch deren Daten unwiederbringlich verloren. Insbesondere bei kritischen Infrastrukturen wie Krankenhäusern hätte dies fatale Folgen.
In diesem Zusammenhang stellt sich außerdem die bisher nicht thematisierte Frage, gegen wen solche Maßnahmen der Stufen 4 und 5 theoretisch gerichtet sein können – und dürfen. Wenn ausländische Dritte vom Hack Back betroffen sind, wertet deren Regierung das als Angriff und hackt auch zurück? Eine solche Spirale sollte verhindert werden.

Unveröffentlichte Schwachstellen sind immer ein Risiko
Darüber hinaus gibt es auch bei der Beschaffung von bisher unveröffentlichten Schwachstellen ein sehr konkretes Problem: Findet man selbst eine neue Sicherheitslücke, muss man immer davon ausgehen, dass feindlich gesinnte Hacker oder Regierungen ebenfalls auf diese aufmerksam werden. Es gilt also, die eigene Infrastruktur gegen einen Angriff über ebenjene Schwachstelle zu schützen. Doch wie gelingt das, wenn es dafür noch keinen Patch gibt? Die Thematik ist umso brisanter, wenn man das Wissen über eine Schwachstelle von einem Dritten gekauft hat. Denn Gegner sind natürlich in der Lage, das Gleiche zu tun.
Spätestens wenn die Schwachstelle für einen Hack Back genutzt wurde, ist sie ein maßgeblicher Risikofaktor, denn: Ab diesem Zeitpunkt ist sie bekannt, wird analysiert und von Gegnern eventuell ebenfalls für einen Angriff genutzt. Derselbe Mechanismus greift bei digitalen Schläferzellen – Schadsoftware, die über eine Schwachstelle unbemerkt im IT-System von potenziellen Gegnern platziert wird und bei Bedarf zum Einsatz kommt. Denn auch hier gilt: Ab ihrem Bekanntwerden – etwa indem die Schadsoftware gestartet wird – ist sie ein potenzielles Einfallstor in das eigene IT-System.

Fazit: Digitalen Waffen keinen Entwicklungsraum geben
Schwachstellen zurückzuhalten, um sie für Hack Backs zu nutzen, ist weder politisch, noch administrativ, noch technologisch tragbar. Schlussendlich erhöht jede nicht geschlossene Schwachstelle das Risiko eines erfolgreichen Angriffs. Die Folgen eines solchen sind in unserer komplex vernetzten Welt unvorhersehbar. Im schlimmsten Fall kommt es zu einem Kaskadeneffekt, der das komplette gesellschaftliche Leben zum Erliegen bringt. Dieses Risiko sollten Regierungen auf keinen Fall eingehen, denn sie sind für das Wohl der Bürger verantwortlich. Anstatt sich also um zwischenstaatliche Verfahren über die Weitergabe von Schwachstellen zu bemühen, sollte die politische Energie vielmehr auf die Ächtung von D-Waffen (digitalen Waffen) nach dem Vorbild des Genfer Protokolls zielen.

Am 5. Juli hat das Parlament der Europäischen Union der EU-Kommission geraten, das sogenannte EU-US Privacy Shield auszusetzen. Damit erneuert und verhärtet das EU-Parlament seine Position zu den im Privacy Shield vorgesehenen Datenschutz-Richtlinien für US-Unternehmen, die Daten von EU-Bürgern verarbeiten und speichern. Schon im Oktober letzten Jahres hatte das EU-Parlament eine Liste mit 10 Empfehlungen veröffentlicht, die auf Lücken und Schwächen im Privacy Shield hinwiesen.

In der Empfehlung an die EU-Kommission wies das Parlament besonders darauf hin, dass die US-Administration es bisher nicht geschafft hat, zwei Kernelemente des Privacy Shields umzusetzen. So gibt es beispielsweise noch immer keinen Ombudsmann, der das U.S. Privacy Civil Liberties Oversight Board (PCLOB) führt, geschweige denn gibt es Mitglieder in diesem Board. Damit fehlt EU-Bürgern ein Ansprechpartner im Falle von Datenschutzverletzungen und somit die Möglichkeit, den eigenen Rechten auch in den USA überhaupt Gehör zu verschaffen.

Privacy Shield löst Safe Harbor ab

Zur Erinnerung: Privacy Shield wurde als Ersatz für das Safe Harbor-Abkommen eingeführt. Safe Harbor kippte, weil der Europäische Gerichtshof 2015 der Klage des österreichischen Juristen Maximilian Schrems stattgegeben hatte. Die Safe Harbor-Regeln sollten einen ’sicheren Datenhafen‘ für sensible Daten auch außerhalb der EU schaffen, damit diese Daten zum Beispiel in den USA weiterverarbeitet werden konnten. Ausgelöst durch die Snowden-Veröffentlichungen (insbesondere PRISM) wurde dieses Abkommen überprüft und schließlich durch Privacy Shield ersetzt.

EU-Parlament bestätigt Einschätzung: Sensible Daten sind bei US-Firmen nicht sicher

Wie bereits in meinem letzten Blog-Beitrag erläutert, sollten sensible aber auch sicherheitsrelevante Daten eines Unternehmens Europa nicht mehr verlassen. Die Einschätzung des Parlaments verstärkt die Dringlichkeit für den Datenschutz. Sicherheitsrelevante Daten wie Intellectual Property oder administrative Zugänge wie Domain-Passwörter sollten nicht zu Cloud-Anbietern in die USA gegeben werden. Der Cloud Act und Privacy Shield sind nicht vereinbar.

Mehr Information zur Resolution des EU-Parlaments ist hier veröffentlicht, eine Analyse finden Sie hier (in Englisch).