Patientendaten aus französischer Medizin-Cloud offen im Internet

Kaum ein Tag vergeht ohne einem Sicherheitsvorfall. Diesmal ist ein französisches Medizinunternehmen betroffen. Fast eine Million Dateien mit Patientendaten waren offen aus Internet erreichbar. Die Ursache war, wie so oft, eine falsche Konfiguration des Speichers in der Amazon-Cloud. 

Auch dieses Daten-Leak wäre leicht zu vermeiden. Man muss nur regelmäßig alle aus Internet erreichbaren Server scannen und überprüfen, ob sie richtig konfiguriert und keine Schwachstellen vorhanden sind. Das ist heutzutage eine absolut grundlegende Sicherheitsmaßnahme und es gibt unzählige Tools und Services dafür. Jedes Unternehmen, welches eigene (on-Prem und auch in der Cloud) Infrastruktur nicht scannt, handelt fahrlässig.

Dieser Sicherheitsvorfall hat aber einen zusätzlichen Aspekt. Bei den kompromittierten Daten handelt sich um Gesundheitsdaten. Solche Daten sind laut DSGVO als besondere Kategorie der personenbezogenen Daten eingestuft und erfordern damit einen besonderen Schutz. Auf jeden Fall ist ein Unternehmen, welches solche Daten verarbeitet und speichert, verpflichtet eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Im Rahmen einer DSFA muss man bestimmen, mit welchen Risiken die Verarbeitung dieser personenbezogenen Daten für die Rechte und Freiheiten der natürlichen Personen verbunden ist. Entsprechend dieser Risikoanalyse sind auch alle notwendigen Sicherheitsmaßnahmen zu ergreifen, um diese Risiken zu minimieren. Artikel 32 von DGVO schreibt etliche Sicherheitsmaßnahmen vor, darunter auch Verschlüsselung der Daten. Ich würde sehr gerne die Ergebnisse von DSFA für diesen Fall sehen.

Der Betreiber dieser Medizin-Cloud betont auf seiner Website, dass die Firma die höchsten Ansprüche wie DSGVO, HIPPA, ISO usw. einhält. Offensichtlich nicht ganz.

Wie Heise Online berichtet gibt das Unternehmen diesen Vorfall zu. Der CEO des Unternehmens relativiert aber die Kritikalität des Vorfalls:

In einer Mitteilung des Unternehmens auf der Webseite zur Datensicherheit gesteht der CEO des Unternehmens den Datenvorfall zwar ein, aber die Einlassungen erwecken nicht den Eindruck, dass man sich dort des Ernstes der Lage bewusst ist. So wird auf die sichere medizinische Cloud sowie ein sicheres Hosting (Personal Data Hosting) verwiesen. Die Anwendung sowie die Datenverwaltungspraxis sei 2018 von einer auf GDPR (die DSGVO) spezialisierten Anwaltskanzlei geprüft worden, um die Einhaltung der angeblich 2019 in Kraft getretenen Datenverordnung zu gewährleisten, so der CEO der Firma in seiner Einlassung.

Angesicht des Vorfalls ist die Frage völlig berechtigt, ob eine Überprüfung durch eine Anwaltskanzlei ausreichend für die Erfüllung der DSGVO ist. Auf jeden Fall muss solche juristische Überprüfung durch eine regelmäßige sicherheitstechnische Überprüfung ergänzt werden.

Aus für regelmäßigen Passwort-Wechsel

Endlich kommt auch BSI zu der Meinung, dass regelmäßiger Passwort-Wechsel die Sicherheit eher verschlechtert. NIST empfiehlt kein Passwort-Wechsel schon seit mehr als 2 Jahren. Stattdessen sollen Systemadministratoren ständig überprüfen, ob die Passwörter bereits kompromittiert sind. Nur dann sollten solche Passwörter gewechselt werden.

https://www-heise-de.cdn.ampproject.org/c/s/www.heise.de/amp/meldung/Passwoerter-BSI-verabschiedet-sich-vom-praeventiven-Passwort-Wechsel-4652481.html

Pentagon veröffentlicht Cybersecurity Maturity Model Certification

Pentagon hat gerade ein interessantes Konzept für Cybersecurity Maturity Model Certification präsentiert. Dieses Konzept ermöglicht eine präzise Einschätzung der Reifegrade der 17 definierten Cybersecurity Domänen. Die Einschätzung basiert auf dem klassischen 5-stufigen Maturity Model. Das Konzept beinhaltet in summe 171 Sicherheitsmaßnahmen ( als Practises in CMMC bezeichnet). Diese Sicherheitsmaßnahmen sind einzelnen Domänen und gleichzeitig den Reifegraden zugeordnet.

https://www.acq.osd.mil/cmmc/docs/CMMC_Model_Main_20200203.pdf

BSI veröffentlicht ein neuer Baustein für Software-Entwicklung

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat das IT-Grundschutz-Kompendium 2020 gerade veröffentlicht. Dieses Kompendium beschreibt auf 880 Seiten die IT-Grundschutz-Bausteine. 

„Im Fokus des IT-Grundschutz-Kompendiums stehen die sogenannten IT-Grundschutz-Bausteine. In diesen Texten wird jeweils ein Thema zu allen relevanten Sicherheitsaspekten beleuchtet. Im ersten Teil der IT-Grundschutz-Bausteine werden mögliche Gefährdungen erläutert, im Anschluss wichtige Sicherheitsanforderungen. Die IT-Grundschutz-Bausteine sind in zehn unterschiedliche Schichten aufgeteilt und reichen thematisch von Anwendungen (APP) über Industrielle IT (IND) bis hin zu Sicherheitsmanagement (ISMS).“

Die Struktur des Kompendiums ist in einer Mindmap sehr gut graphisch dargestellt.

Das Kompendium 2020 beinhaltet auch ein neuer Baustein - CON.8 Software-Entwicklung. Die Zielsetzung dieses Bausteines wird von BSI so definiert:

„...die Software-Entwicklung nimmt eine zentrale Rolle (in einer Institution) ein, indem aus den Anforderungen der Institution ein Programm-Code entwickelt bzw. angepasst wird. Hierbei ist es von essentieller Bedeutung, dass die Informationssicherheit über den gesamten Software-Entwicklungsprozess hinweg berücksichtigt wird, da nur auf diese Weise die Informationssicherheit der zu entwickelnden Software-Lösung und im Rahmen des Entwicklungsprojektes selbst gewährleistet werden kann.“

Der Baustein Software-Entwicklung beschreibt nur sehr allgemein sichere Rahmenbedingungen für sichere Software-Entwicklung. Der Gefährdungskatalog beschreibt die gängigen Gefahren in der Software-Entwicklung und die definierten Anforderungen helfen den Leiter der Software-Entwicklung alle notwendigen Regeln und Maßnahmen für sichere Entwicklung zu implementieren.

„Der Baustein stellt keine vollständige Anleitung oder generelle Vorgehensweise für die Entwicklung von Software dar, sondern er konzentriert sich auf die relevanten Aspekte der Informationssicherheit bei der Software-Entwicklung. Mit diesem Baustein wird der Baustein CON.5 Entwicklung und Einsatz von Individualsoftware um konkrete Aspekte zur Eigenentwicklung von Software erweitert. „

Es ist also ein typischer Management-Ansatz, welcher in der betrieblichen Praxis mit davon abgeleiteten technischen und organisatorischen Maßnahmen ergänzt werden muss. Die Liste der Anforderungen aus dem Baustein kann dabei als eine Checkliste dienen, um die Vollständigkeit der Umsetzung zu überprüfen.

Totale Überwachung

483 Seiten in 2 Tagen. Selten lese ich ein Buch bis zum Ende. Noch seltener gelingt es mir, ein Buch in 2 oder 3 Tagen zu verschlingen. In letzter Zeit waren es nur 3 - „Konklave“ von Robert Harris und „Helix“ und „Zero“ von Marc Elsberg. Marc Elsberg schreibt Thriller, die sich mit den Folgen moderner Technologien befassen. In seinem Buch Helix beschreibt Marc Elsberg Genmanipulationen und deren mögliche negativen Folgen. Zero ist dagegen der lückenlosen Überwachung, Sammlung und Ausnutzung privater Benutzerdaten und Beeinflussung des Menschen durch künstliche Intelligenz gewidmet. Marc Elsberg mischt diese Themen geschickt zusammen und verpackt sie in einen spannenden Thriller. Der Leser dieses Buches erfährt vieles über die aktuellen Möglichkeiten der digitalen Technologie und wird dabei gut unterhalten. Das Rezept von Marc Elsberg, auf eine unterhaltsame Art und Weise die Gefahren neuer Technologien aufzuzeigen, ermöglicht ihm eine breitere Leserschaft anzusprechen. Viele Leser von Zero werden sich wahrscheinlich nur ungern Vorträge von Wissenschaftlern anschauen, die vor den negativen Folgen der neuen Technologien warnen. Ein spannender Thriller, der dieselbe Warnung sehr plastisch darstellt, ist eine viel angenehmere Art, sich mit diesem Thema zu auseinanderzusetzen.

Was droht uns also demnächst? Marc Elsberg skizziert eine nahe Zukunft der totalen Überwachung. Alle Menschen werden durch die staatlichen Akteure rund um die Uhr überwacht. Unzählige Kameras in den Städten (auf die sich Geheimdienste problemlos Zugriff verschaffen) folgen uns auf Schritt und Tritt. Unsere Smartphones und soziale Medien liefern weitere unzählige Informationen über uns. Diese Fülle an Information kann kein Mensch mehr sinnvoll verarbeiten und auswerten. Die echte Gefahr sind die intelligenten Algorithmen, die blitzartig diese Flut an Information über uns sortierten, analysieren und nach definiertem Muster auswerten können. 

Es gibt auch weitere Akteure, die Zugriff auf diese Information haben und sie für eigene Interessen nutzen können. In Gegensatz zu Geheimdiensten, die sich den Zugriff auf diese Information ohne um Erlaubnis verschaffen können, fragen uns meistens die Betreiber sozialer Netzwerke oder anderer Dienste, ob wir mit der Verarbeitung unserer Daten einverstanden sind. Sehr viele von uns stimmen zu, weil man die Apps als nützlich betrachtet. Was dann wirklich mit unseren Daten passiert ist hinter dem Schleier der üblichen Floskeln des Betreibers versteckt. Wie z.B. „Wir verarbeiten Ihre Daten mit besonderer Sorgfalt und schützen sie vor den unbefugten Zugriff durch Dritte“.

Benutzer können diesen Behauptungen nun vertrauen oder auch nicht. Wir haben so gut wie keine Möglichkeit diese Aussagen zu kontrollieren oder zu überprüfen, was wirklich mit unseren Daten gemacht wird und wie sie tatsächlich gegen den Zugriff durch unbefugte Dritte (z.B. staatliche Organisationen) geschützt sind. Ein Schritt in die richtige Richtung sind gesetzliche Auflagen für die Verarbeitung von personenbezogenen Daten, wie unter anderem die DSGVO. Dieses Gesetz gibt uns das Recht über die Verarbeitung personenbezogener Daten zu entscheiden. Leider stehen wir mit unserem Recht ziemlich allein den übermächtigen Internet-Konzernen gegenüber und haben kaum Chancen unser Recht gegen die Interessen dieser Konzerne durchzusetzen.

Inzwischen sogar die US-Amerikaner sind besorgt über die ausufernde Überwachung. New York Times hat herausgefunden, dass man sogar die anonymen Bewegungsdaten (GPS) sehr einer konkreten Person zuordnen kann. New York Times beschreibt die aktuelle Situation sehr treffend:

„We are living in the world’s most advanced surveillance system. This system wasn’t created deliberately. It was built through the interplay of technological advance and the profit motive. It was built to make money. The greatest trick technology companies ever played was persuading society to surveil itself.“

Marc Elsberg beschreibt noch eine andere Art der totalen Überwachung. Es sind die vielen Benutzer der sozialen Netzwerke oder anderer Internetdienste, die uns Folgen und in manchen Fällen auch denunzieren können. Mit der Verbreitung von Gesichtserkennung und Augmented Reality - d.h. intelligenter Brillen, welche Informationen über Objekte liefern, die wir gerade betrachten - kann jeder Nutzer dieser Technologien zu einem potentiellen Überwacher werden. Jederzeit werden wir im öffentlichen Raum durch unzählige private und behördliche Kameras überwacht. Aber auch jeder Passant mit einer intelligenten Brille kann aktiv Informationen sammeln und sie automatisch auswerten. Somit wird jeder von uns durch ein Netzwerk von Menschen überwacht, ohne es zu wissen. 

Eine weitere Herausforderung stellen die intelligenten Apps dar. Solche Apps sammeln Unmengen an Daten über uns und werten sie aus. Sie können uns sehr nützliche Vorschläge für unser Leben liefern, z.B. über unsere Gesundheit oder Fitness. Da solche Apps sehr viel über unsere Emotionen, Vorlieben und Neigungen wissen, sind sie auch imstande unser Verhalten vorherzusagen. Das heißt sie können mit bestimmter Wahrscheinlich berechnen, wie wir uns in gewissen Situationen verhalten werden. Mit diesem Wissen können sie aber auch sehr leicht unser Verhalten manipulieren. Auch hier wissen wir nicht, wie die Algorithmen, die uns die hilfreichen Ratschläge geben, funktionieren. Die Betreiber liefern keine Informationen darüber und behaupten, es sei ihr geistliches Eigentum.

Intelligente Apps, Augmented Reality, Künstliche Intelligenz und eine Unmenge von diversen Sensoren sind neue Herausforderungen des digitalen Zeitalters. Diese Technologien können uns in sehr vielen Aspekten helfen unser Leben zu verbessern. Sie können aber auch gegen uns verwendet werden. Entweder durch diktatorische Regime oder gierige Unternehmen, die uns mehr oder weniger versklaven. Yuval Harari, der vor Technologien warnt, die den Menschen hacken können, zeigt folgendes Horrorszenario. Stellen sie sich vor, dass Nordkorea über eine Technologie verfügt, die Ihre Emotionen kontrollieren kann. Diese Technologie misst, ob Ihre Begeisterung während der Ansprache des „geliebten“ Führers wirklich echt ist oder nur gespielt. Wenn die App erkennt, dass sie nur äußerlich die Zustimmung zeigen, ist die Überweisung in ein Umerziehungslager schon in die Wege geleitet. Eine solche Technologie wird schon bald Realität werden. Ein schreckliches Szenario, das sogar Orwell's Vorstellung im „1984“ bei weitem übertrifft.

Was sollen wir in dieser Situation tun? Verzichten kann man auf die Nutzung moderner Technologien in einer Ära der Digitalisierung kaum. Den Fortschritt zu stoppen ist auch nicht mehr möglich. Michal Kosinski, Professor an der Stanford Universität, meint, dass unsere Privatsphäre schon verloren ist. Michal Kosinski zeigt, dass schon mit einigen wenigen „Likes“ künstliche Intelligenz sehr genaue Einschätzung einer Person möglich macht.

Es gibt keine Chance, die Unmengen privater Information, die überall über uns gesammelt werden, zu stoppen. Wir müssen uns also darauf konzentrieren, was mit diesen Daten passiert und wie sie verarbeitet werden. Wir müssen Betreiber zwingen, ihre Algorithmen und Verarbeitungsmethoden transparent zu machen. Wir müssen kontrollieren, was hinter dem Vorhang mit unseren Daten geschieht. Das können wir nur durch öffentlichen Druck und Regulierung erreichen. Ja, digitale Wirtschaft muss reguliert werden so wie die Lebensmittel oder Pharmaindustrie. Regulierungsorgane müssen Auflagen definieren, an die sich die Verarbeitung unserer Daten zu richten hat. Diese Organe müssen auch das Recht erhalten, wirkliche Kontrollen durchzuführen.

In Deutschland aber auch innerhalb der EU gibt schon eine ernsthafte Diskussion über solche regulativen Maßnahmen.  Ein Konzept einer „vertrauenswürdiger KI“ wird skizziert. Paul Nemitz, Chefberater der Generaldirektion für Recht und Verbraucherschutz bei der Brüsseler Regierungseinrichtung sprach vor kurzem auf einem  Symposium der Datenschutzkonferenz von Bund und Ländern zum Thema "Künstliche Intelligenz über dem geplanten Weißbuchs der EU-Kommission für einen KI-Rahmen.

Cyberattacke zwingt ein Unternehmen zum Konkurs

Unternehmen, die Opfer einer Cyber-Attacke wurden oder von Ramson befallen wurden, müssen nicht nur mit lang daurdenden Unterbrechungen des Betriebes und hohen Kosten der Abwehr und Behebung der Angriffsfolgen rechnen. Ein Angriff kann auch zum Schließen des Unternehmens führen. Diese für die Existenz eines Unternehmens gravierende Folgen berechtigten sehr wohl sinnvolle Investitionen in die präventiven und aufdeckenden Sicherheitsmaßnahmen. Für kleinere Unternehmen ist das Outsourcing der Security Prävention un Detection an einen professionellen Manage Security Service Anbieter wahrscheinlich die beste Lösung.

https://www.zdnet.com/article/company-shuts-down-because-of-ransomware-leaves-300-without-jobs-just-before-holidays/

Auto der Zukunft wird nach dem Prinzip "More from Less" gebaut

Ein wirklich schönes Konzept des Ressourcen-schonenden Autos hat Mercedes präsentiert bei CES 2020. Mercedes will im Jahr 2039 Autos herstellen, die vollständig Ressourcen-neutral sind. Dieses Ziel liegt noch recht weit in der Zukunft. So gesehen ist es eher eine Vision. Mercedes machte aber diese Vision viel konkreter mit den klar definierten Zwischenzielen, bei denen eine konkrete Reduktion bis auf 40% geplant ist. Das macht diese großartige Vision recht realistisch.

Die Idee dahinten ist, dass das Auto der Zukunft nicht nur bei der Nutzung CO2-neutral ist. Auch bei der Herstellung des Autos sollen so gut wie keine Ressourcen verbraucht werden. Mercedes will die Menge von Wasser und allen anderen Materialen, die für Erzeugung eines Autos notwendig sind, dramatisch reduzieren. Dazu werden neue Herstellungsmethoden aber auch Rohstoffe benötigt. Grundsteine dieser Idee sind drei "R" - Reduce, Recycle, Reuse. Das Unternehmen wird mit neunen Produktionsmethoden die Menge, der für die Herstellung eines Autos benötigten Rohstoffe reduzieren - Reduce. Gleichzeitig sollte das Auto so gebaut werden, dass einzelne Bauteile wieder für neue Autos oder für andere Zwecke benutzt werden können - Reuse. Das was dann übrig bleibt sollte leicht entsorgbar sein. Der aus Schweden stammende CEO von Mercedes erwähnt hier sogar gänzlich neuartige Batterien, die aus organischen Stoffen hergestellt werden. Diese Batterien können dann einfach kompostiert werden - Recycle. 

Es ist eine absolut tolle Idee, die leider durch die Präsentation des futuristischen Avatar-Autos kaum Aufmerksamkeit bekam. Ich halte sie jedoch als wichtiger Beitrag für die Lösung vieler unserer derzeitigen Probleme. Eine Technologie, die ermöglicht, mehr zu produzieren und das mit weniger Ressourcen, wird die Umwelt weniger belasten und womöglich uns auch helfen, die Klima-Katastrophe abzuwenden.  

Über solche Technologien wird derzeit nicht nur bei Mercedes nachgedacht. In vielen Fällen gibt es schon heute sparsame Technologien. Andrew McAfee, Co-Autor des Buches "The Second Machine Age" beschreibt diese Entwicklung in seinem neuen Buch "More from less". Andrew McAfee zeigt den enormen Einfluss, welchen Technologie auf unseren Leben in letzten 200 Jahre gehabt hat. Dank dem technologischen Fortschritt hat die Menschheit viele Krankheiten, Armut und andere Probleme aus der Vergangenheit beseitigt. Technologie hat einen nie dagewesenen Wohlstand für so viele geschaffen. Die Schattenseite dieser Entwicklung war der starke Verbrauch der Naturressourcen und negative Auswirkung auf Umwelt und Klima. Damit ist jetzt Schluss, behauptet Andrew McAfee. In letzten Jahren kann die westliche Wirtschaft mehr produzieren und dabei weniger verbrauchen als früher:

"In recent years we’ve seen a different pattern emerge: the pattern of more from less. In America—a large, rich country that accounts for about 25 percent of the global economy—we’re now generally using less of most resources year after year, even as our economy and population continue to grow. What’s more, we’re also polluting the air and water less, emitting fewer greenhouse gases, and seeing population increases in many animals that had almost vanished. America, in short, is post-peak in its exploitation of the earth. The situation is similar in many other rich countries, and even developing countries such as China are now taking better care of the planet in important ways."

Neben Fortschritt in der Technologie sind Kapitalismus (produziere immer mehr zu geringeren Kosten), öffentliches Bewusstsein und reaktionsfähige Regierungen die 4 Grundlagen dieser positiven Entwicklung. Wir dürfen dabei nicht vergessen, dass die Fähigkeit mehr zu produzieren und weniger Ressourcen zu verbrauchen hilft, die Herausforderungen der Zukunft zu meistern. Das allein ist aber zu wenig, um grundlegende Herausforderungen wie Klima-Katastrophe zu meistern.