8 Stunden her, Ma Kai schrieb:

Ich fürchte, das soll heißen, valide Zugangsdaten eines Mitarbeiters oder einer Mitarbeiterin, die diesen Zugang haben sollte. Also nicht irgendwo über eine Hintertür in einen Server gehackt, sondern wahrscheinlich über Social Engineering "normale" Zugangsinfo eines Menschen bekommen, der oder die diesen Zugang haben durfte.

Tja, das wird ein ziemlich umfassender Admin-Zugang gewesen sein, oder?

Das stimmt wohl. Ich habe jetzt auch in den Heise-Artikel geschaut und sie sind wohl gerade am Rekonstruieren. Zumindest...

Ergänzend zu @Nixonian :

Hacking, selbst auf Script-Kiddie-Level ist schon lange nicht mehr auf dem Niveau, dass es den einen entscheidenden Angriffsvektor gibt, der dann /root gibt. Das war vielleicht noch in den frühen 2000ern möglich.

Es sind immer kombinierte Angriffe, und Social Engineering geht nicht nur auf vermutlich hoch privilegierte User.

BTW:

Jeder ist anfällig für Social Engineering. Und es ist keine Ausrede, keinen kritischen User zu haben.

Und Verschlüsseln von Datenbanken ist mittlerweile das übliche Vorgehen von Cyberkriminellen. Wird üblicherweise von betroffenen Unternehmen nicht an die große Glocke gehängt, die zahlen und kriegen ihre Daten wieder. Funktioniert, weil die Unternehmen ungern zugeben, unsicher zu sein.

Aber: das ist aktuell Alltag.

Und wesentlich weniger kritisch als das ebenfalls alltägliche und stetig zunehmende staatliche Hacking im Rahmen des laufenden Cyberkriegs.

16 Stunden her, Sulvahir schrieb:

Rumänien: Cyberkrimineller löscht die gesamte Grundbuchdatenbank des Landes

Ich würde es mal so sagen: wenigstens haben sie eine Grundbuchdatenbank,... ich kenn da mittlerweile andere Länder wo man sich streitet wem welches Land nun wirklich gehört und das ganze Besitz und nichtBesitz an einem Stück Papier hängt das 100+ Jahre alt ist, und nicht unbedingt immer gut "gelagert" wurde.

Punkt: ich find (seitdem ich das erfahren habe) unsere Grundbücher einfach gut! Aber ich hab auch immer einen Aktuellen Grundbuchauszug zuhause von "unserem" Besitz (falls mal bei uns die Datenbank gelöschelt wird,... )

Ist wohl auch so ein Ding das sich staatliche Akteuere nicht immer unbedingt die besten ITler sichern können,...

8 Stunden her, Nixonian schrieb:

Sorry, bevor du anfängst zu "erklären" solltest du schon ein bissl drüber nachdenken.

Wenn du dir vorstellst, daß eine große Firma oder gar eine Behörde geführt wird wie eine Kleinunternehmen, wo es "den Admin" gibt, der dann ein Paßwort hat, mit dem man alle Datenbanken ändern kann, dann hast du sehr falsche Vorstellungen. Und wenn es in Rumänien "den einen" gibt, dann ist der Titel des Strangs wirklich gerechtfertigt. Aber ich schreib nächstemal gern dazu, wenn für manche nicht erkennbar ist, daß das rhetorische Fragen waren.

Na ja, erklären. Ich habe das analysiert, was da stand. Und wie ich Deine Fragen nicht als rhetorisch erkannt zu haben scheine, scheint Dir der Sarkasmus in "wird ein ziemlich umfassender Admin-Zugang gewesen sein" entgangen zu sein. Ich habe u.a. als Auditor auch mit der Absicherung von Datenbanken zu tun gehabt. Ich fand das sehr seltsam, dass eine Person mit einem Set Zugangsdaten sowohl mit der produktiven Datenbank anscheinend machen konnte, was sie wollte, als auch an die (erste Linie von?) Backups rankam. Deshalb meine Vermutung, dass da etwas in Richtung Social Engineering gelaufen sein könnte, d.h. die technischen Absicherungen auf der menschlichen Ebene umgangen worden sein könnten. Denn wie Du sagst: so umfassende Zugänge sollte es bei einer landesweiten Behörde doch eher nicht geben, oder? Leider können wir da letztendlich nur spekulieren.

Zeit: 21.7.2026 um 19:10, Blaues Feuer schrieb:

Frage 3: bei aller Digitalisierung wäre es in Deutschland auf jeden Fall unmöglich, sämtliche Grundbuchdaten auf diese Weise zu löschen. Schlicht weil keine zentrale Gundbuchdatenbank existiert. Grundbücher sind Kommunalangelegenheit und damit so dezentral wie nur irgendwas.

Die Grundbücher werden bei den Amtsgerichten geführt, d.h. die Grundbuchämter sind Landesbehörden und auf der Ebene der Amtsgerichtsbezirke (in der Regel Landkreise bzw. Landkreis und gleichnamige kreisfreie Stadt) organisiert. Ba-Wü war hier eine Ausnahme, dort war es tatsächlich bei den Gemeinden angesiedelt, aber das wurde bis Ende 2017 geändert.

Für die Datensicherheit ist aber nicht die Aufteilung in Amtsgerichtsbezirke entscheidend, sondern wo die digitale Infrastruktur dafür betrieben wird. Und das scheint auf Landesebene zu sein.

Tja, ob das jetzt wirklich hier hin paßt, wäre zu diskutieren, aber der Hack von den Danfoss-Geräten, der gerade durch alle Medien geht (link zu ORF)...

Offenbar wurden ja die Kühlgeräte mit dem "Feature" verkauft, daß man sie von der Ferne auslesen und steuern kann. Die werben ja auch jetzt noch damit: https://www.danfoss.com/de-de/industries/food-and-beverage/dcs/smart-store/#tab-overview

Die Hardware ist auch jetzt noch in Ordnung. Diese riesigen Kühlgeräte tun also für die Supermärkte das, was sie so tun sollen. Kühlen. Die Steuerung ist ein Feature. Das "nicht mehr supportet" wird. Für Danfoss einfach: Verwendet die Geräte nicht mehr, kauft neue, weil wir so dumm waren, simpel zu erratende Passwörter zu verwenden, mit denen man ein Kühlgerät, das -20° halten soll, auf +50° aufheizen kann.

Wo ist also die Dummheit? Beim Unternehmen, das glaubt, damit durchzukommen? Bei den Supermärkten, weil sie so ein System gekauft haben und dann nicht dafür gesorgt haben, daß sie das nach "EoL" abgesichert haben? Oder hätten sie schon vorher feststellen müssen, daß das ein Risiko ist?

Mein persönliches Erlebnis dazu: Ich habe meine Heizung vor 3 Jahren getauscht. Für diese Heizung gibt es auch eine Fernsteuerung, einfach ans Internet anhängen. Ich habe das damals abgelehnt, obwohl es mir der Verkäufer "verkaufen" wollte (kostet nix, is modern, ist alles vorbereitet, geht dann über App). Der Verkäufer hat immer mehr gedrängt, hat mich mehr oder weniger zum Technikverweigerer und Ewiggestrigen erklären wollen (halt auf freundlich). Ich hab ihn dann ein paar technische Fragen gefragt (wie ist das System abgesichert, welches OS wird in der Heizung verwendet, wie lange erhält das Sicherheitsupdates, wie kommen die auf die Heizung, wie ist die Verbindung über die App, ist das ein direct VPN mit welcher Verschlüsselung oder liegt das in der Cloud, wenn ja in welcher usw.) wo er dann die weiße Fahne gehißt hat.

Inzwischen weiß ich durch einen Support-Call auch, wie das Passwort meiner Heizung sich zusammensetzt (mußte ich kriegen, um einen "versteckten" Bereich auszulesen, quasi debugging-mode) und das funktioniert sehr ähnlich zu dem Danfoss-Hack.

Vor 9 Minuten, Nixonian schrieb:

Tja, ob das jetzt wirklich hier hin paßt, wäre zu diskutieren, aber der Hack von den Danfoss-Geräten, der gerade durch alle Medien geht (link zu ORF)...

Offenbar wurden ja die Kühlgeräte mit dem "Feature" verkauft, daß man sie von der Ferne auslesen und steuern kann. Die werben ja auch jetzt noch damit: https://www.danfoss.com/de-de/industries/food-and-beverage/dcs/smart-store/#tab-overview

Die Hardware ist auch jetzt noch in Ordnung. Diese riesigen Kühlgeräte tun also für die Supermärkte das, was sie so tun sollen. Kühlen. Die Steuerung ist ein Feature. Das "nicht mehr supportet" wird. Für Danfoss einfach: Verwendet die Geräte nicht mehr, kauft neue, weil wir so dumm waren, simpel zu erratende Passwörter zu verwenden, mit denen man ein Kühlgerät, das -20° halten soll, auf +50° aufheizen kann.

Wo ist also die Dummheit? Beim Unternehmen, das glaubt, damit durchzukommen? Bei den Supermärkten, weil sie so ein System gekauft haben und dann nicht dafür gesorgt haben, daß sie das nach "EoL" abgesichert haben? Oder hätten sie schon vorher feststellen müssen, daß das ein Risiko ist?

Mein persönliches Erlebnis dazu: Ich habe meine Heizung vor 3 Jahren getauscht. Für diese Heizung gibt es auch eine Fernsteuerung, einfach ans Internet anhängen. Ich habe das damals abgelehnt, obwohl es mir der Verkäufer "verkaufen" wollte (kostet nix, is modern, ist alles vorbereitet, geht dann über App). Der Verkäufer hat immer mehr gedrängt, hat mich mehr oder weniger zum Technikverweigerer und Ewiggestrigen erklären wollen (halt auf freundlich). Ich hab ihn dann ein paar technische Fragen gefragt (wie ist das System abgesichert, welches OS wird in der Heizung verwendet, wie lange erhält das Sicherheitsupdates, wie kommen die auf die Heizung, wie ist die Verbindung über die App, ist das ein direct VPN mit welcher Verschlüsselung oder liegt das in der Cloud, wenn ja in welcher usw.) wo er dann die weiße Fahne gehißt hat.

Inzwischen weiß ich durch einen Support-Call auch, wie das Passwort meiner Heizung sich zusammensetzt (mußte ich kriegen, um einen "versteckten" Bereich auszulesen, quasi debugging-mode) und das funktioniert sehr ähnlich zu dem Danfoss-Hack.

Und jetzt kann man deine Heizung auf -20° stellen?

Paßt vielleicht nicht so zu Dummheit, aber generell zu Sicherheit:

Die aktuelle PHP-Lücke hat ja gezeigt, wie unterschiedlich damit umgegangen wird. Aber was auch interessant ist: Man kommt natürlich dann drauf, wie "verschränkt" die Sachen sind... und wie abhängig man voneinander ist in einem.. naja, immer mehr von "Cloud" und "macht wer anderer" -Umfeld.

Beispiel aus meinem Leben: Tennisklubs und Vereine haben ja auch so die eine oder andere Homepage. Da ist es ja auch nett, wenn man eine Platzreservierung anbietet, damit man nicht immer anrufen muß (bzw. gibt es ja viele Vereine, die haben gar keine Dauerbesetzung von Verwaltungspersonal). Da gibt es verschiedene Anbieter, die einem so eine Platzreservierung anbieten... und auch alles rundherum machen, also homepage, news, Blog und sogar Zutritts - und Lichtsteuerungen.

Einer der Anbieter ist "eTennis". Aufgrund der derzeitigen PHP-Lücke ist eTennis down. Weil die haben wiederum offenbar nur SaaS auf einer hostingplattform, die sich um die PHP-Geschichten kümmert. Da dann aber auf einer Plattform viele solcher SaaS-Dinge laufen, vertragen die auch nur unterschiedliche (und vermutlich zum Teil veraltete) PHP-Versionen. Und die brauchen jetzt. Und brauchen. So lange, daß jetzt eTennis (die zumindest einen aktuellen Status geben) schon auf den Hoster und dessen updates verweist. Die könnten natürlich mit dem Finger auf die SaaS-Bereitsteller zeigen mit "wenn alle aktuelles PHP verwenden würden..." usw.

Auf jeden Fall ist es jetzt so: Zutrittssysteme, Licht, Reservierungen, im Prinzip steht das alles (und wird jetzt mit Workarounds umgangen)

Zeit: 15.10.2026 um 15:34, Solwac schrieb:

Und jetzt kann man deine Heizung auf -20° stellen?

Mit Wärmepumpen, die kühlen können, würde das sogar funktionieren. Hoffentlich funktioniert dann der Taupunktwächter.

Vor 36 Minuten, Nixonian schrieb:

Einer der Anbieter ist "eTennis". Aufgrund der derzeitigen PHP-Lücke ist eTennis down. Weil die haben wiederum offenbar nur SaaS auf einer hostingplattform, die sich um die PHP-Geschichten kümmert. Da dann aber auf einer Plattform viele solcher SaaS-Dinge laufen, vertragen die auch nur unterschiedliche (und vermutlich zum Teil veraltete) PHP-Versionen.

Auf der anderen Seite ist es natürlich der Sicherheit zuträglich (und am Ende effizienter), wenn sich ein Anbieter darum kümmert anstatt dass jeder Verein selbst tätig werden muss. Seltsam ist nur, dass eTennis hier offenbar auf Webspace (heißt jetzt wohl Hostingplattform) setzt statt auf eigene virtuelle Server, wo sie selbst installieren können, was sie brauchen.

Bearbeitet (22. Oktober22. Okt von Meeresdruide)

Autsch!

"Leider hat ein externer Zugriff am Wochenende dazu geführt, dass unsere Tiefkühl- und Kühlanlagen heute Vormittag zu warm waren."

Vor 53 Minuten, Sulvahir schrieb:

Autsch!

"Leider hat ein externer Zugriff am Wochenende dazu geführt, dass unsere Tiefkühl- und Kühlanlagen heute Vormittag zu warm waren."

Hersteller Danfoss: Ja, wir wissen, da ist eine Sicherheitslücke: Wir werden sie aber nicht schließen sondern empfehlen den Umstieg auf eine neue Version unserer Kühlregale...

Autsch! BSI warnte offiziell vor 3 Wochen alle Betreiber dieser Kühlanlagen.

Haben da ein paar Leute 3 Wochen lang nichts gemacht? Kann man Nachts denn nicht einfach die Dinge vom Internet trennen?

Vor 8 Minuten, Panther schrieb:

Haben da ein paar Leute 3 Wochen lang nichts gemacht? Kann man Nachts denn nicht einfach die Dinge vom Internet trennen?

Ja.

Und wieso nachts? Sowas gehört nicht ins Internet. Nicht untertags, nicht in der Nacht (es macht ja auch keinen Unterschied, außer daß man das ggf. früher erkennt untertags) Bestenfalls in ein ordentliches VPN.

Soeben, Nixonian schrieb:

Ja.

Und wieso nachts? Sowas gehört nicht ins Internet. Nicht untertags, nicht in der Nacht (es macht ja auch keinen Unterschied, außer daß man das ggf. früher erkennt untertags) Bestenfalls in ein ordentliches VPN.

Ja, klar, aber tags ist einer im Laden und da könnte man die Kühlanlagen überwachen, ob sie nicht auf einmal hochheizen.... Manuell könnte man sie dann ja wohl hoffentlich wieder runterregeln....

Vor 6 Minuten, Panther schrieb:

Ja, klar, aber tags ist einer im Laden und da könnte man die Kühlanlagen überwachen, ob sie nicht auf einmal hochheizen.... Manuell könnte man sie dann ja wohl hoffentlich wieder runterregeln....

Was sollen die Mitarbeiter denn noch alles mal so nebenbei neben Regale vorziehen, Ware disponieren, Putzen, Kassieren, Pfandautomaten begöschern und Kundenanliegen lösen - bei viel zu dünner Personaldecke - erledigen?

Vor 25 Minuten, Nixonian schrieb:

Ja.

Und wieso nachts? Sowas gehört nicht ins Internet. Nicht untertags, nicht in der Nacht (es macht ja auch keinen Unterschied, außer daß man das ggf. früher erkennt untertags) Bestenfalls in ein ordentliches VPN.

Ich frage mich ja auch, was soll der Vorteil sein, mit dem Trum im Internet zu sein? Denn garantiert wurde dieses tolle Feature auch noch extra vergütet……

Ich frage mich eher, warum die Anlagen überhaupt online so umfangreich bedienbar sind: in Supermärkten ist meist kontinuierlich die gleiche Ware drin. Da sollte es doch reichen, wenn man einmal am Regler zB -18 oder +5 Grad oder so einstellt. Natürlich mit Überwachung um zu warnen, wenn die Temperatur zu hoch oder zu niedrig ist.

Vielleicht macht eine Notabschaltung "von zu Hause aus (vom Beauftragten)" auch noch Sinn.

Aber für was gibt es die Funktion, dass eine Kühlanlage sogar auf 50 Grad hoch heizen kann?

Naja, irgendetwas werden die sich schon bei gedacht haben, was ich als Außenstehende halt nicht nachvollziehen kann, weil mir das Hintergrundwissen fehlt.

Vor 11 Minuten, Slüram schrieb:

Was sollen die Mitarbeiter denn noch alles mal so nebenbei neben Regale vorziehen, Ware disponieren, Putzen, Kassieren, Pfandautomaten begöschern und Kundenanliegen lösen - bei viel zu dünner Personaldecke - erledigen?

Ich glaub' auch, dass Du Dich darauf nicht verlassen kannst. Damit kann man mal Glück haben, aber als Sicherheitskonzept - keine Chance.

Ich habe in meiner Zeit als Auditor mehrfach gedroht, Anlagen, deren Betriebssystem "off support" war (die aber weiter betrieben werden "mussten"), als Top-Abweichungen aufzuschreiben. Mir wurde dann erklärt, dass diese Anlagen physisch vom Netz getrennt seien. D.h. sie liefen in separaten Netzsegmenten, die nur über extra "Schleusen" (Gateway-Rechner) mit dem Rest des Unternehmensnetzes (und über dieses, und dessen Sicherheitsvorkehrungen, eventuell mit dem Internet) verknüpft seien. Es war in diesen Fällen außerdem nicht möglich, die einfach komplett abzuklemmen, weil sie einerseits zur kundenindividuellen Anlagensteuerung und Rückverfolgbarkeit auf Einzelteilebene mit dem Rest der Welt reden mussten und andererseits (das habe ich auch als operativer Linienverantwortlicher erlebt, als mir eine Station drei Tage stehenblieb, weil sich ihre Software verschluckt hatte) der Hersteller auf die Anlagensoftware Fernzugriff brauchte. Das wird dann über VPN-Tunnel gemacht, die ganz besonders überwacht werden.

Das ist aber ein Riesenaufwand. Wenn da nicht vorher jemand Stunk macht, dann kann ich mir sehr gut vorstellen, wie man so was einfach laufen lässt. "Ist ja bisher auch nichts passiert". Es könnte sogar kostenmäßig der Schaden von einmal Inhalt wegschmeißen billiger sein, als das interne Netz hinreichend zu härten (nachdem das jetzt einmal passiert ist, werden sie das wohl anders bewerten - denn mehrfach wollen sie das sicher nicht sehen).

Der REWE bei uns um die Ecke hatte übrigens vor ein paar Wochen ein ähnliches Problem, allerdings aufgrund eines ganz profanen Stromausfalls. Da war schlicht die Kühlung so lange aus, dass sie halt auch alles wegschmeißen mussten. Es hat dann ein paar Tage gedauert, bis das ganze Sortiment wieder da war.

Vor 33 Minuten, Nixonian schrieb:

Ja.

Und wieso nachts? Sowas gehört nicht ins Internet. Nicht untertags, nicht in der Nacht (es macht ja auch keinen Unterschied, außer daß man das ggf. früher erkennt untertags) Bestenfalls in ein ordentliches VPN.

Vermutlich damit der Hersteller Fernwartung machen kann.

Wenn der Hersteller dann aber mit so Aussagen wie "wir kennen die Sicherheitslücke, beheben sie aber nicht" um die Ecke kommt, würde ich als Betroffener ganz schnell klagen.

Vor 55 Minuten, EK schrieb:

Ich frage mich ja auch, was soll der Vorteil sein, mit dem Trum im Internet zu sein? Denn garantiert wurde dieses tolle Feature auch noch extra vergütet……

naja: Sicherstellen der Kühlkette ist wichtig: Und lesend permanent die Temperatur in den Truhen zu kennen, ist sehr praktisch.....

Vor 59 Minuten, EK schrieb:

Ich frage mich ja auch, was soll der Vorteil sein, mit dem Trum im Internet zu sein? Denn garantiert wurde dieses tolle Feature auch noch extra vergütet……

Natürlich! Schließlich spart das ja eine Menge Geld. Und bei Fehlern zahlt die Versicherung...

Selbst wenn die Dinger nur im Intranet hängen, reicht das aus, um drauf zugreifen zu können. "Abschalten" heißt bei modernen Geräten tatsächlich genau das: Dann ist das ganze Teil aus. Also keine Kühlung.

Wenn der Hersteller da keine Sicherheitsupdates macht, sehe ich nicht, wie du als Anwender da anderes machen kannst, als das Gerät zu wechseln, was aber auch eine ziemliche Investition ist. Und ohne Netzwerk dürfte es schlicht nichts mehr auf dem Markt geben. Und an sich ist das auch gut so.

Ist nachher immer leicht, auf andere zu zeigen. Aber, mal ehrlich: Wer von euch stellt aktuell denn so sicher, dass wirklich alle technischen Geräte in seinem Haushalt ständig auf den aktuellsten Softwarestand ist? Wer von euch weiß überhaupt, wo überall netzwerkfähige Software verbaut ist?

Und ich sage gerne noch mal, das aktuelle Zeitfenster zwischen Veröffentlichung einer Lücke und deren Ausnutzung sind 23h.

Soeben, Kazzirah schrieb:

Selbst wenn die Dinger nur im Intranet hängen, reicht das aus, um drauf zugreifen zu können. "Abschalten" heißt bei modernen Geräten tatsächlich genau das: Dann ist das ganze Teil aus. Also keine Kühlung.

Wenn der Hersteller da keine Sicherheitsupdates macht, sehe ich nicht, wie du als Anwender da anderes machen kannst, als das Gerät zu wechseln, was aber auch eine ziemliche Investition ist. Und ohne Netzwerk dürfte es schlicht nichts mehr auf dem Markt geben. Und an sich ist das auch gut so.

Ist nachher immer leicht, auf andere zu zeigen. Aber, mal ehrlich: Wer von euch stellt aktuell denn so sicher, dass wirklich alle technischen Geräte in seinem Haushalt ständig auf den aktuellsten Softwarestand ist? Wer von euch weiß überhaupt, wo überall netzwerkfähige Software verbaut ist?

Und ich sage gerne noch mal, das aktuelle Zeitfenster zwischen Veröffentlichung einer Lücke und deren Ausnutzung sind 23h.

Ich bemühe mich Geräte zu kaufen, die gar nicht erst am Netz hängen. Als ich feststellenmusste, dass höherklassige Waschmaschinen tatsächlich nur noch mit Internetanschluss angeboten werden, habe ich den Anschluss nicht vollzogen und muss damit leben, dass ein paar Programme jetzt nicht verfügbar sind…..ein Unding, aber ok….

2 Stunden her, Kazzirah schrieb:

Und ich sage gerne noch mal, das aktuelle Zeitfenster zwischen Veröffentlichung einer Lücke und deren Ausnutzung sind 23h.

Teilweise werden Lücken ausgenutzt, bevor der CVE veröffentlich ist. Da machst du dann eh nichts mehr.

2 Stunden her, EK schrieb:

Ich bemühe mich Geräte zu kaufen, die gar nicht erst am Netz hängen. Als ich feststellenmusste, dass höherklassige Waschmaschinen tatsächlich nur noch mit Internetanschluss angeboten werden, habe ich den Anschluss nicht vollzogen und muss damit leben, dass ein paar Programme jetzt nicht verfügbar sind…..ein Unding, aber ok….

Wobei deine Waschmaschine zu Hause eine andere Nummer ist, als Kühlgeräte im Supermarkt. Der mögliche Schaden ist überschaubarer. Ich gehe mal davon aus, dass du deinen Smoking nicht in der Waschmaschine wäscht.