8 Stunden her, Ma Kai schrieb:

Ich fürchte, das soll heißen, valide Zugangsdaten eines Mitarbeiters oder einer Mitarbeiterin, die diesen Zugang haben sollte. Also nicht irgendwo über eine Hintertür in einen Server gehackt, sondern wahrscheinlich über Social Engineering "normale" Zugangsinfo eines Menschen bekommen, der oder die diesen Zugang haben durfte.

Tja, das wird ein ziemlich umfassender Admin-Zugang gewesen sein, oder?

Das stimmt wohl. Ich habe jetzt auch in den Heise-Artikel geschaut und sie sind wohl gerade am Rekonstruieren. Zumindest...

Ergänzend zu @Nixonian :

Hacking, selbst auf Script-Kiddie-Level ist schon lange nicht mehr auf dem Niveau, dass es den einen entscheidenden Angriffsvektor gibt, der dann /root gibt. Das war vielleicht noch in den frühen 2000ern möglich.

Es sind immer kombinierte Angriffe, und Social Engineering geht nicht nur auf vermutlich hoch privilegierte User.

BTW:

Jeder ist anfällig für Social Engineering. Und es ist keine Ausrede, keinen kritischen User zu haben.

Und Verschlüsseln von Datenbanken ist mittlerweile das übliche Vorgehen von Cyberkriminellen. Wird üblicherweise von betroffenen Unternehmen nicht an die große Glocke gehängt, die zahlen und kriegen ihre Daten wieder. Funktioniert, weil die Unternehmen ungern zugeben, unsicher zu sein.

Aber: das ist aktuell Alltag.

Und wesentlich weniger kritisch als das ebenfalls alltägliche und stetig zunehmende staatliche Hacking im Rahmen des laufenden Cyberkriegs.

16 Stunden her, Sulvahir schrieb:

Rumänien: Cyberkrimineller löscht die gesamte Grundbuchdatenbank des Landes

Ich würde es mal so sagen: wenigstens haben sie eine Grundbuchdatenbank,... ich kenn da mittlerweile andere Länder wo man sich streitet wem welches Land nun wirklich gehört und das ganze Besitz und nichtBesitz an einem Stück Papier hängt das 100+ Jahre alt ist, und nicht unbedingt immer gut "gelagert" wurde.

Punkt: ich find (seitdem ich das erfahren habe) unsere Grundbücher einfach gut! Aber ich hab auch immer einen Aktuellen Grundbuchauszug zuhause von "unserem" Besitz (falls mal bei uns die Datenbank gelöschelt wird,... )

Ist wohl auch so ein Ding das sich staatliche Akteuere nicht immer unbedingt die besten ITler sichern können,...

8 Stunden her, Nixonian schrieb:

Sorry, bevor du anfängst zu "erklären" solltest du schon ein bissl drüber nachdenken.

Wenn du dir vorstellst, daß eine große Firma oder gar eine Behörde geführt wird wie eine Kleinunternehmen, wo es "den Admin" gibt, der dann ein Paßwort hat, mit dem man alle Datenbanken ändern kann, dann hast du sehr falsche Vorstellungen. Und wenn es in Rumänien "den einen" gibt, dann ist der Titel des Strangs wirklich gerechtfertigt. Aber ich schreib nächstemal gern dazu, wenn für manche nicht erkennbar ist, daß das rhetorische Fragen waren.

Na ja, erklären. Ich habe das analysiert, was da stand. Und wie ich Deine Fragen nicht als rhetorisch erkannt zu haben scheine, scheint Dir der Sarkasmus in "wird ein ziemlich umfassender Admin-Zugang gewesen sein" entgangen zu sein. Ich habe u.a. als Auditor auch mit der Absicherung von Datenbanken zu tun gehabt. Ich fand das sehr seltsam, dass eine Person mit einem Set Zugangsdaten sowohl mit der produktiven Datenbank anscheinend machen konnte, was sie wollte, als auch an die (erste Linie von?) Backups rankam. Deshalb meine Vermutung, dass da etwas in Richtung Social Engineering gelaufen sein könnte, d.h. die technischen Absicherungen auf der menschlichen Ebene umgangen worden sein könnten. Denn wie Du sagst: so umfassende Zugänge sollte es bei einer landesweiten Behörde doch eher nicht geben, oder? Leider können wir da letztendlich nur spekulieren.

Zeit: 21.7.2026 um 19:10, Blaues Feuer schrieb:

Frage 3: bei aller Digitalisierung wäre es in Deutschland auf jeden Fall unmöglich, sämtliche Grundbuchdaten auf diese Weise zu löschen. Schlicht weil keine zentrale Gundbuchdatenbank existiert. Grundbücher sind Kommunalangelegenheit und damit so dezentral wie nur irgendwas.

Die Grundbücher werden bei den Amtsgerichten geführt, d.h. die Grundbuchämter sind Landesbehörden und auf der Ebene der Amtsgerichtsbezirke (in der Regel Landkreise bzw. Landkreis und gleichnamige kreisfreie Stadt) organisiert. Ba-Wü war hier eine Ausnahme, dort war es tatsächlich bei den Gemeinden angesiedelt, aber das wurde bis Ende 2017 geändert.

Für die Datensicherheit ist aber nicht die Aufteilung in Amtsgerichtsbezirke entscheidend, sondern wo die digitale Infrastruktur dafür betrieben wird. Und das scheint auf Landesebene zu sein.

Tja, ob das jetzt wirklich hier hin paßt, wäre zu diskutieren, aber der Hack von den Danfoss-Geräten, der gerade durch alle Medien geht (link zu ORF)...

Offenbar wurden ja die Kühlgeräte mit dem "Feature" verkauft, daß man sie von der Ferne auslesen und steuern kann. Die werben ja auch jetzt noch damit: https://www.danfoss.com/de-de/industries/food-and-beverage/dcs/smart-store/#tab-overview

Die Hardware ist auch jetzt noch in Ordnung. Diese riesigen Kühlgeräte tun also für die Supermärkte das, was sie so tun sollen. Kühlen. Die Steuerung ist ein Feature. Das "nicht mehr supportet" wird. Für Danfoss einfach: Verwendet die Geräte nicht mehr, kauft neue, weil wir so dumm waren, simpel zu erratende Passwörter zu verwenden, mit denen man ein Kühlgerät, das -20° halten soll, auf +50° aufheizen kann.

Wo ist also die Dummheit? Beim Unternehmen, das glaubt, damit durchzukommen? Bei den Supermärkten, weil sie so ein System gekauft haben und dann nicht dafür gesorgt haben, daß sie das nach "EoL" abgesichert haben? Oder hätten sie schon vorher feststellen müssen, daß das ein Risiko ist?

Mein persönliches Erlebnis dazu: Ich habe meine Heizung vor 3 Jahren getauscht. Für diese Heizung gibt es auch eine Fernsteuerung, einfach ans Internet anhängen. Ich habe das damals abgelehnt, obwohl es mir der Verkäufer "verkaufen" wollte (kostet nix, is modern, ist alles vorbereitet, geht dann über App). Der Verkäufer hat immer mehr gedrängt, hat mich mehr oder weniger zum Technikverweigerer und Ewiggestrigen erklären wollen (halt auf freundlich). Ich hab ihn dann ein paar technische Fragen gefragt (wie ist das System abgesichert, welches OS wird in der Heizung verwendet, wie lange erhält das Sicherheitsupdates, wie kommen die auf die Heizung, wie ist die Verbindung über die App, ist das ein direct VPN mit welcher Verschlüsselung oder liegt das in der Cloud, wenn ja in welcher usw.) wo er dann die weiße Fahne gehißt hat.

Inzwischen weiß ich durch einen Support-Call auch, wie das Passwort meiner Heizung sich zusammensetzt (mußte ich kriegen, um einen "versteckten" Bereich auszulesen, quasi debugging-mode) und das funktioniert sehr ähnlich zu dem Danfoss-Hack.

Vor 9 Minuten, Nixonian schrieb:

Tja, ob das jetzt wirklich hier hin paßt, wäre zu diskutieren, aber der Hack von den Danfoss-Geräten, der gerade durch alle Medien geht (link zu ORF)...

Offenbar wurden ja die Kühlgeräte mit dem "Feature" verkauft, daß man sie von der Ferne auslesen und steuern kann. Die werben ja auch jetzt noch damit: https://www.danfoss.com/de-de/industries/food-and-beverage/dcs/smart-store/#tab-overview

Die Hardware ist auch jetzt noch in Ordnung. Diese riesigen Kühlgeräte tun also für die Supermärkte das, was sie so tun sollen. Kühlen. Die Steuerung ist ein Feature. Das "nicht mehr supportet" wird. Für Danfoss einfach: Verwendet die Geräte nicht mehr, kauft neue, weil wir so dumm waren, simpel zu erratende Passwörter zu verwenden, mit denen man ein Kühlgerät, das -20° halten soll, auf +50° aufheizen kann.

Wo ist also die Dummheit? Beim Unternehmen, das glaubt, damit durchzukommen? Bei den Supermärkten, weil sie so ein System gekauft haben und dann nicht dafür gesorgt haben, daß sie das nach "EoL" abgesichert haben? Oder hätten sie schon vorher feststellen müssen, daß das ein Risiko ist?

Mein persönliches Erlebnis dazu: Ich habe meine Heizung vor 3 Jahren getauscht. Für diese Heizung gibt es auch eine Fernsteuerung, einfach ans Internet anhängen. Ich habe das damals abgelehnt, obwohl es mir der Verkäufer "verkaufen" wollte (kostet nix, is modern, ist alles vorbereitet, geht dann über App). Der Verkäufer hat immer mehr gedrängt, hat mich mehr oder weniger zum Technikverweigerer und Ewiggestrigen erklären wollen (halt auf freundlich). Ich hab ihn dann ein paar technische Fragen gefragt (wie ist das System abgesichert, welches OS wird in der Heizung verwendet, wie lange erhält das Sicherheitsupdates, wie kommen die auf die Heizung, wie ist die Verbindung über die App, ist das ein direct VPN mit welcher Verschlüsselung oder liegt das in der Cloud, wenn ja in welcher usw.) wo er dann die weiße Fahne gehißt hat.

Inzwischen weiß ich durch einen Support-Call auch, wie das Passwort meiner Heizung sich zusammensetzt (mußte ich kriegen, um einen "versteckten" Bereich auszulesen, quasi debugging-mode) und das funktioniert sehr ähnlich zu dem Danfoss-Hack.

Und jetzt kann man deine Heizung auf -20° stellen?

Paßt vielleicht nicht so zu Dummheit, aber generell zu Sicherheit:

Die aktuelle PHP-Lücke hat ja gezeigt, wie unterschiedlich damit umgegangen wird. Aber was auch interessant ist: Man kommt natürlich dann drauf, wie "verschränkt" die Sachen sind... und wie abhängig man voneinander ist in einem.. naja, immer mehr von "Cloud" und "macht wer anderer" -Umfeld.

Beispiel aus meinem Leben: Tennisklubs und Vereine haben ja auch so die eine oder andere Homepage. Da ist es ja auch nett, wenn man eine Platzreservierung anbietet, damit man nicht immer anrufen muß (bzw. gibt es ja viele Vereine, die haben gar keine Dauerbesetzung von Verwaltungspersonal). Da gibt es verschiedene Anbieter, die einem so eine Platzreservierung anbieten... und auch alles rundherum machen, also homepage, news, Blog und sogar Zutritts - und Lichtsteuerungen.

Einer der Anbieter ist "eTennis". Aufgrund der derzeitigen PHP-Lücke ist eTennis down. Weil die haben wiederum offenbar nur SaaS auf einer hostingplattform, die sich um die PHP-Geschichten kümmert. Da dann aber auf einer Plattform viele solcher SaaS-Dinge laufen, vertragen die auch nur unterschiedliche (und vermutlich zum Teil veraltete) PHP-Versionen. Und die brauchen jetzt. Und brauchen. So lange, daß jetzt eTennis (die zumindest einen aktuellen Status geben) schon auf den Hoster und dessen updates verweist. Die könnten natürlich mit dem Finger auf die SaaS-Bereitsteller zeigen mit "wenn alle aktuelles PHP verwenden würden..." usw.

Auf jeden Fall ist es jetzt so: Zutrittssysteme, Licht, Reservierungen, im Prinzip steht das alles (und wird jetzt mit Workarounds umgangen)

Zeit: 15.10.2026 um 15:34, Solwac schrieb:

Und jetzt kann man deine Heizung auf -20° stellen?

Mit Wärmepumpen, die kühlen können, würde das sogar funktionieren. Hoffentlich funktioniert dann der Taupunktwächter.

Vor 36 Minuten, Nixonian schrieb:

Einer der Anbieter ist "eTennis". Aufgrund der derzeitigen PHP-Lücke ist eTennis down. Weil die haben wiederum offenbar nur SaaS auf einer hostingplattform, die sich um die PHP-Geschichten kümmert. Da dann aber auf einer Plattform viele solcher SaaS-Dinge laufen, vertragen die auch nur unterschiedliche (und vermutlich zum Teil veraltete) PHP-Versionen.

Auf der anderen Seite ist es natürlich der Sicherheit zuträglich (und am Ende effizienter), wenn sich ein Anbieter darum kümmert anstatt dass jeder Verein selbst tätig werden muss. Seltsam ist nur, dass eTennis hier offenbar auf Webspace (heißt jetzt wohl Hostingplattform) setzt statt auf eigene virtuelle Server, wo sie selbst installieren können, was sie brauchen.

Bearbeitet (vor 3 Stunden3 h von Meeresdruide)