*36C3 Vorspannmusik*
Engel: Guten Morgen, Linus! Linus Neumann: Guten Morgen, Sebastian!
*Applaus*
Ja, es freut mich, dass ihr so zahlreich erschienen seid und auf diesen
reißerischen Titel reingefallen seid! Ich möchte ein bisschen über menschliche
Faktoren der IT-Sicherheit sprech und habe mich für den Titel „Hirne hacken“
entschieden. Der Hintergrund ist, dass wenn man irgendwie von Hackern spricht,
sehr häufig so ein bisschen dieser Nimbus gilt, dass es irgendwie so Halbgötter in
schwarz sind. Man weiß nicht so genau was die machen, aber die kommen irgendwie da
rein und diese Hacker, die sind in meinem Gerät drin und ich weiß auch nicht genau,
was die von mir wollen und wie die das gemacht haben. Und die Realität da draußen
ist eigentlich sehr anders als die meisten Leute sich das vorstellen. Ich vertrete
die These, dass eigentlich jedes praktisch relevante Problem der IT-Sicherheit
theoretisch gelöst wurde. Also wir haben jetzt keine … uns fehlt nicht das Wissen,
wie wir eine bestimmte Lösung in der IT- Sicherheit machen müssen, aber wir kriegen
es irgendwie nicht hin. Denn obwohl wir alles theoretisch gelöst haben, ist die
praktische IT-Sicherheit ein einziges Desaster. Und das liegt wahrscheinlich
daran, dass wir uns irgendwie so spannende IT-Sicherheitsmechanismen aufbauen und die
prüfen wir dann. Ne, da sieht man hier so einen schönen Pfahl und der hält jetzt
irgendwie ein Tier gefangen und wenn man sich das in der Realität anschaut, sieht’s
eher so aus. *unverständliche Sprache des Herrn im Video*
*jemand im Video singt zum Lied „Einzug der Gladiatoren“ einen etwas anderen Text,
der Circus beinhaltet* Linus: Das ist jetzt ’ne kleine Bedrohung
und irgendwie stellen wir uns vor, dass das bei den großen Bedrohungen anders
wäre. Schauen wir uns an: Wir lesen irgendwie überall von Emotet überall.
Hacker komprimitieren Computer, verschlüsseln alle Dateien, fordern dann
hohes Lösegeld und Heise haben sehr viel darüber berichtet, bis es sie dann selber
erwischt hat. Das heißt, auch die, die es wirklich wissen und wissen müssen und
können müssten, sind irgendwie nicht davor gefeit und das finde ich eigentlich
ziemlich interessant. Und wenn wir uns mal anschauen, was in der IT-
Sicherheitsforschung abgeht, auch hier auf dem Kongress, deswegen habe ich den
Vortrag auch hier eingereicht, so die Forschung muss immer echt Avantgarde sein.
Das ist irgendwie großen Applaus und Voodoo, und hier noch ein Exploit und
haste alles nicht gesehen und Remote Code Execution, während die Realität
demgegenüber, also so wie jetzt tatsächliches Cyber da draußen geht, ist
ungefähr eher so. Bin ich schon drin oder was? Das heißt, wir leben eigentlich, weil
wir das auch als Nerds und Hacker irgendwie interessant finden, in irgendwie
dieser Welt, während das was da draußen wirklich an Kriminalität stattfindet, eher
so Hütchenspiel ist. Und dieses Hütchenspielproblem lösen wir aber nicht.
Und ich glaube, dass das sehr unsinnig ist, sehr schlecht ist, dass wir uns um
die Problemfelder, die eigentlich ganz prävalent sind, die überall beobachtet
werden – selbst im Heise-Verlag –, dass wir uns um die eigentlich nicht kümmern.
Und da machen wir eigentlich seit Jahren keinen Fortschritt. Ich möchte ein
bisschen über einfache Scams reden, ein bisschen über Passwortprobleme, ein
bisschen über Schadsoftware. Ein Scam, der uns auch im CCC sehr amüsiert hat, ist der
Scam, der Chaos-Hacking-Gruppe. Die Chaos- Hacking-Gruppe verschickt E-Mails und sagt
den Leuten: Ja, also ich hab irgendwie dein System mit einem Trojaner infiziert
und wir sind uns Ihrer intimen Abenteuer im Internet bewusst. Wir wissen, dass Sie
Websites für Erwachsene lieben und wir wissen über Ihre Sexsucht Bescheid. Und
versuchen dann von den Leuten irgendwie Geld zu erpressen. Geben Bitcoin-Wallet an
und, ja, versuchen halt irgendwie, die Leute zu erpressen. Interessanterweise
gibt es Leute, die sich dann darüber echt Gedanken machen. Die bestreiten aber
immer, dass das … Also das kann eigentlich sein, was die da sagen, ne? Wer geübt ist
im Erpressen weiß natürlich: Solang die kein Beweismittel liefern, zahlen wir
erstmal nicht. Wenn die Leute dann aber so mit dieser Art und Weise versucht werden,
betrogen zu werden und das googlen, dann kommen sie direkt an den Nächsten. Wenn
man jetzt die Chaos-CC-Gruppe googelt, dann wird einem auf irgendwelchen
Webseiten klargemacht, dass es sich um einen Trojaner handeln würde und man jetzt
irgendsoeine nächste Schadsoftware runterladen soll. Also quasi wie man
diesen Schaden wieder entfernt. Das heißt, die Leute kommen hier echt vom Regen in
die Traufe: Haha, ich wusste, du willst gerne verarscht werden; hier habe ich noch
ein bisschen Snake-Oil für dich. Das heißt, die Welt da draußen, für unsere
ungeübten Nutzerinnen und Nutzer ist relativ gefährlich. Schauen wir uns mal
an, wie das bei den Geübten aussieht: Die Linux-Kernelmailingliste ist vielleicht
einigen von euch ein Begriff. Da ist auch vor kurzem mal so eine E-Mail eingegangen.
Am 31. Oktober 2018, ist schon etwas her. Da wurde sogar das Passwort angegeben, ja,
das ist also so das nächste Level von diesem Scam: Du schreibst einfach
irgendsoeinen Passwort-Leak noch mit rein, die Leute kriegen dann Herzrasen, weil ihr
Passwort in der E-Mail steht und auch hier wollte jemand eben Bitcoins haben, unter
anderem von den Linux-Kernel-Entwicklern. Bitcoin ist ja ganz schön: Man kann ja in
die Blockchain schauen und sehen, wieviel die Linux-Kernel-Entwickler da so bezahlt
haben. In dem Wallet befinden sich 2,98 Bitcoin. Das sind vor ein paar Tagen noch
ungefähr 19000€ gewesen, also soll noch mal einer sagen, mit Linux könnte man
keinen Profit machen. *Gelächter*
*Applaus* Die E-Mail ging natürlich auch noch an
sehr viele weitere außer der Linux- Kernelliste, aber ich denke, man sieht
hier, man fragt sich eigentlich: Warum machen wir eigentlich den Quatsch, den wir
machen, wenn wir so einfach uns Geld überweisen lassen können mit ein paar
Spam-Mails?! Geht aber noch weiter: Geld überweisen, Klassiker. Der CEO-Fraud.
Großes Team auch – ist eines der großen Szenarien, dem irgendwie mittelständische
Unternehmen, größere Unternehmen ausgesetzt sind. Kriegst eine E-Mail, wo
dann irgendwie geagt wird: Ey, wir müssen jetzt mal hier die Rechnung bezahlen. Wir
müssen das heute erledigen. Meistens sind das dann, also in der einen Schiene sind
das dann eher so geringe Beträge, die jetzt vielleicht auch einfach mal
durchgehen. Geht aber natürlich auch in einer Nummer schärfer. Alles schon
tatsächlich sehr häufig passiert, dass also so eine Geschichte gemacht wird: Ja,
der große Deal mit den Chinesen steht irgendwie kurz bevor und du darfst jetzt
mit niemandem darüber sprechen, aber du musst jetzt mal ganz kurz 2 Mio. auf die
Seychellen überweisen. Und dann machen die Leute das und diese E-Mails arbeiten
einfach so ein bisschen mit Autorität, Vertrauen, Eile und Druck und leiten
Menschen an, dann das zu tun, was sie eigentlich nicht tun sollten. Das ist auf
Anhieb erstmal vielleicht halbwegs witzig, wenn man aber mal mit so einem Menschen
spricht, dem das passiert ist, die haben danach echt schwere Krisen, weil sie
natürlich wissen, dass das nicht besonders klug war und auch recht schädlich für das
Unternehmen und das ist eigentlich dann gar nicht mehr so unterhaltsam. Kommen wir
zurück zu unterhaltsamen Sachen: Der Authentisierung. Eine Sache, die vielen
Menschen Probleme bereitet, ist ihr Passwort und das Problem ist, dass sie
eben auch nur eines haben und dieses sich dann in solchen Sammlungen wie Collection
#1-#5 befindet, die ihr natürlich auch – wir alle haben die ja immer dabei und
können dort die Passwört nachschlagen, zum Beispiel: 23bonobo42, Tim Pritlove; weiß
jeder. Das schöne ist an diesen Listen: Auch wir, die Ahnung davon haben sollten,
sind da drin. Wenn man meine E-Mail- Adresse bei haveibeenpwned eingibt – einer
Webseite, wo man checken kann, ob eine E-Mail-Adresse in Leaks vorhanden ist,
findet man das auch bei mir. So. Kommen später dazu, wie das vielleicht passiert
sein könnte. Die Sache, die mich daran so ärgert, ist dass wir eigentlich seit es
Computer gibt, dieses Passwortproblem nie so richtig angegangen sind. Wir sagen den
Leuten eigentlich: OK, dein Passwort darf nicht zu erraten sein, am besten zufällig,
ohne jegliches System. Es soll so lang wie möglich sein, am besten nicht nur ein
Wort. Und es muss überall unterschiedlich sein. Und kein Mensch tut das. Ja, wenn
man irgendwie … war letztens beim Zahnarzt. Wenn man mit dem redet, der sagt
einem auch jedes mal: Ja, du musst aber morgens, mittags, abends Zahnseide, haste
nicht gesehen. Jaja, genau, mach du erstmal überall andere Passwört und dann
können wir weiterreden, ne? *Gelächter*
*Applaus* Und ja, das habe ich gemacht so irgendwann
habe ich das vor ein paar Jahren auch tatsächlich getan. Ich benutze jetzt einen
Passwortmanager. Wissen wir alle, dass das klug und gut ist. Aber ich renne
eigentlich seit vielen Jahren um die Welt, erkläre den Leuten von diesen
Passwortmanagern. Und die Reaktion ist immer die gleiche: The fuck?! So … Das
will ich nicht haben. Ja, und wir haben einfach in dieser Welt nie mehr
hingekriegt als den Leuten zu sagen: Benutzt doch einen Passwortmanager. Und
dann fragen sie immer: Welchen? Und dann sage ich immer: Ich empfehle keinen.
*Gelächter* Frage ist: Wie kommen die Leute eigentlich
an diese ganzen Passwörter? Klar: Die machen entweder irgendwelche Services auf
und holen die Passwört dann aus den Datenbanken, wo sie nicht gehasht und
gesalted gespeichert wurden, oder sie schicken einfach mal eine E-Mail und
fragen nach dem Passwort. Hier ein schönes Beispiel, das ich deshalb ausgewählt habe,
weil ich darauf reingefallen bin. *Applaus*
Aaaaah. PayPal möchte mir in einer wichtigen Nachricht mitteilen, dass „unser
System einen nicht authorisierten Zugriff auf Ihr PayPal-Konto festgestellt hat. Um
Ihre Sicherheit weiterhin vollständig gewährleisten zu können, klicken Sie bitte
auf diesen Knopf.“, ja? Und das schöne an solchen Dingern ist immer: Es gibt in der
Regel nur einen Knopf. Und das sollte einen eigentlich stutzig machen. Genauso
hätte mich stutzig machen sollen, dass da oben erstmal nicht PayPal in der
Adresszeile steht, aber ich war irgendwie müde und habe irgendwie da drauf geklickt
und jetzt kommt, was mir dann doch noch den Allerwertesten gerettet hat: Mein
Passwortmanager konnte mir kein Passwort für diese Seite anbieten.
*Applaus* So. Ich hab jetzt extra rausgenommen,
welcher Passwortmanager das ist. Diejenigen, die ihn trotzdem erkennen:
Nicht denken, dass ich ihn lobe, weil: Dieser Passwortmanager hat vor kurzem ein
Update erfahren und wenn ich das gleiche Spielchen heute mache, dann sagt der: Ich
kenne die Seite nicht, aber vielleicht willst du deine Kreditkarte oder deine
Adresse eingeben? Herzlichen Dank … So, auf den Passwortmanager kann ich gerne
verzichten. Wenn man sich so Phishingseiten anschaut; ich mein, ist
jetzt gar kein Hexenwerk. Man nimmt einfach irgendeine Website, kopiert die
auf einen anderen Server und programmiert sich dahinter ein kleines Backend, was
alle Requests entgegennimmt, die man da so hinschickt. Hier habe ich letztens mal
eine sehr schöne bekommen: Das war der Gmail Webmail Login. Aber die haben, ich
fand das eigentlich ganz elegant, was sie gemacht haben: Die haben quasi die Domain
der E-Mail-Adresse noch als GET-Request mitgesendet und dann in ihrem Quelltext
einfach das Favicon zu der Domain auf Google gesucht und dort eingeblendet. Das
heißt, wenn ihr da eine andere Domain angebt, dann steht da immer ein anderes
Logo, um einfach so diese Seite ein bisschen naheliegender zu machen. Wenn wir
uns das anschauen, die Erfolgswahrscheinlichkeit, die solche
Massenmails haben, ist enorm gering. Ja? Die ist winzig klein. Diese Mails werden
millionenfach versendet, an ganz viele Empfängerinnen und Empfänger und wenn man
aber dann auch so viele Mails versendet und in so vielen Spamfiltern hängenbleibt,
dann findet man immer noch mal einen, der dann doch noch ein Passwort da einträgt
und schon haben wir eine schöne Geschichte. Das ist hier jetzt irgendwie
so ein Massenmailding. Ich mein, ihr müsst nur mal in euren Spamfolder reinschauen,
da werdet ihr diese E-Mails finden. Blöd ist halt, wenn da mal irgendwann nicht im
Spam landen. Wir haben da jetzt so ein bisschen über massenhafte Angriffe
gesprochen. Die zielen halt auf die besten von uns ab. Wenn wir das ganze aber mal
gezielt machen, spricht man nicht mehr vom Phishing, sondern vom Spearphishing. Und
beim Spearphishing sendet man nicht Millionen E-Mails, sondern man sendet
eine. Und zwar genau an die Person, von der man das Passwort haben möchte. Und man
macht eine Geschichte, die genau zu dieser Person auch passt. Also häufig mache ich
das ganz gerne so mit Passwortreset-Mails, ja? Also gibt’s in vielen Unternehmen.
Sehr kluge Idee: Alle Mitarbeiter müssen alle 3 Monate die Zahl am Ende ihres
Passworts um 1 inkrementieren. *Gelächter*
*Applaus* Und den E-Mail-Login von den meisten
Unternehmen muss man auch nicht besonders fälschen, den habe ich schon einmal
fertig. So, wenn man solche Sachen macht, also Spearphishing, haben wir eher so eine
Wahrscheinlichkeit von 30%, dass die Zielperson auf die Seite geht, ihr
Passwort eingibt. Wenn ich das mit 3 Personen mache, habe ich einen Business
Case. Und vor allem habe ich in der Regel keinen Spamfilter, der mir im Weg ist. Ich
kann wunderschön einen Mailserver aufsetzen mit minimal anderen Domains, die
machen DKIM, die machen alles, was du haben willst. Die haben sogar ein schönes
Let’s Encrypt Zertifikat auf ihrer Website. Funktioniert und kommt in der
Regel durch. Auf das Problem komme ich nachher noch mal zurück, denn das würde
ich sehr gerne lösen. Aber auch beim Verbreiten von Schadsoftware ist das ein
beliebtes Pro… oder ein beliebtes Ziel, nicht irgendwie fette 0-Day-Exploits zu
verballern, sondern einfach mal den Leuten die Software anzubieten und zu gucken, wie
sie die installieren. TRS hat mich da auf einen Tweet aufmerksam gemacht, der ist
schon ein paar Jahre alt, aber er ist sehr wahr: „Manchmal fühlt man sich als ITler
wie ein Schafhirte. Allerdings sind die Schafe betrunken. Und brennen! Und klicken
überall drauf!!“ *Applaus*
Von @Celilander. Ja. Dann habe ich irgendwie letztens mal … wer den Vortrag
von Thorsten gesehen hat, sieht dass wir da auch was mit einem Torrent gemacht
haben. Da war ich hier bei den Drive-By Exploit Paralympics, wo ich also auf eine
Webseite gekommen bin, die mich auch sehr gedrängt hat, irgendetwas zu installieren.
Ich müsste ein Update machen, irgendwelche komischen Plug-Ins installieren oder so,
ne? Und die Leute machen das! Also es ist regelmäßig, dass irgendwelche Leute bei
mir sitzen und sagen: „Ja, hier, ich habe einen Virus.“ – „Ja, wieso? Woher wissen
Sie das denn?“ – „Ja, eh … stand da!“ *Gelächter*
Und dann haben die halt irgendwas installiert und dann merkt man so: Dann
haben sie gecheckt, dass das wahrscheinlich nicht klug war und dann
haben sie am Ende irgendwie 86 Schadsoftwares drauf, die behaupten
Schadsoftwares zu entfernen. Übrigens: Genau so wurde auch der Staatstrojaner
FinSpy gegen die türkische Opposition eingesetzt. Die haben eine schöne Website
gemacht und haben gesagt: Ey guck mal hier, klick mal hier drauf, könnt ihr
runterladen. Wie gesagt: Die Analyse hat Thorsten mit Ulf Buermeyer heute morgen
schon präsentiert. Da sind wir dann auch schon bei den … Kurzer Applaus für
Thorsten! *Applaus*
Da sind wir dann auch schon jetzt bei dem Problem, was seit ungefähr 2016 der Welt
Ärger bereitet, nämlich die sogenannte Ransomware. Funktioniert relativ einfach:
Man kriegt eine E-Mail. In der E-Mail ist irgendein Anhang, in diesem Beispiel, das
haben wir mal 2016 durchgespielt, das war Locky, war’s eine Rechnung. Und wenn ich
jetzt diesen Anhang öffne, passiert folgendes. Es meldet sich das wunderschöne
Programm Microsoft Word. *Johlen*
Und Microsoft Word hat direkt 2 Warnmeldungen parat. Ihr seht sie dort
oben in gelb und rot auf dem Bildschirm. Die rote Warnmeldung ist die, dass es sich
um eine nichtlizensierte Version des Programmes handelt.
*Gelächter* Die habt ihr also entweder nicht oder ihr
habt sie auch und ihr habt euch schon dran gewöhnt.
*Gelächter* Die gelbe Warnmeldung ist die, die euch
davor warnt, dass ihr gerade auf dem Weg seid, euch sehr, sehr in den Fuß zu
schießen. Und diese Warnmeldung ist sehr einfach verständlich. Seien sie
vorsichtig: Dateien aus dem Internet können Viren beinhalten. Wenn Sie diese
Datei nicht bearbeiten müssen, ist es sicherer, in der geschützten Ansicht zu
verbleiben. Und in konsistenter Formulierung mit diesem Satz ist daneben
ein Knopf, auf dem steht: Bearbeiten aktivieren. Versteht jeder sofort, was da
gemeint ist! Gefahrenpotenzial ist sofort klar. Und wir haben wieder genau so wie in
dieser PayPal-Phishing-E-Mail den wunderschönen riesigen großen Knopf. Und
oben rechts in der Ecke, ganz klein, es versteckt sich ein bisschen. Es flieht vor
eurer Aufmerksamkeit. Ist ein klitzekleines graues Kreuzchen. Das wäre
der Weg in die Sicherheit. Aber natürlich seid ihr darauf trainiert, diesen Knopf zu
drücken, weil diese Warnmeldung kommt schließlich jedes mal, wenn ihr Microsoft
Word öffnet, weil irgendwelche Makros sind ja in fast jedem Word-Dokument drin, was
in eurem Unternehmen so rumschwirrt. Ist aber nicht schlimm, es geht nämlich
weiter. Microsoft Word hat direkt noch eine Warnung für euch: Sicherheitswarnung.
Makros wurden deaktiviert. Inhalte aktivieren. Und wir sitzen jetzt also da,
in diesem Beispiel Locky, vor einem leeren Blatt Papier. Ein leeres Blatt Papier ganz
ohne Inhalt. Alles, wonach es uns durstet, sind Inhalte. Also drücken wir jetzt da
auf Inhalte aktivieren. Und ich habe jetzt mal hier auf dem Desktop so ein paar
Dateien drapiert, die dort so liegen. Und wenn ich jetzt auf den Knopf drücke,
passiert folgendes: Sie sind weg. Das Makro, was in diesem Word-Dokument ist,
lädt im … lädt über einen einfachen GET- Request eine EXE-Datei runter und führt in
dem Fall Locky aus. Locky rasiert einmal durch die Festplatte, verschlüsselt alle
Dateien und wenn er fertig ist, sagt er: Übrigens: Deine Dateien sind jetzt
verschlüsselt und wenn Leute verschlüsselt hören, dann sagen die immer: Ja aber kann
man das nicht irgendwie entschlüsseln? Deswegen steht hier auch direkt: Nein.
Kann man nicht. Es wäre total unsinnig, wenn man Dinge verschlüsseln würde, die
man einfach wieder entschlüsseln könnte. Deswegen haben wir das richtig macht. Und
da haben die hier so eine schöne Website gehabt und da wurde dann eben erklärt,
wohin man wieviel Bitcoin überweisen muss. Locky war da noch relativ großzügig. Die
haben die Datenwiederherstellung für 500€ damals gemacht. Locky war so die erste
große Ransomware-Welle. Es wurde überall davor gewarnt, Rechnungen zu öffnen, die
Bilanzen der Unternehmen hatte das kurzfristig echt verbessert, aber die
Bilanzen der Angreifer nicht. Und woraufhin dann weitere E-Mails kursierten,
die sahen ungefähr so aus: Hallo, hier ist das Bundeskriminalamt. Passen Sie bitte
auf mit Locky. Weil uns immer mehr Leute gefragt haben, wie man sich davor schützt,
haben wir einen Ratgeber vorbereitet, wie man sich davor schützt. Den finden Sie im
Anhang. *Gelächter*
*Applaus* Und der ganze Spaß ging wieder von vorne
los. Locky war 2016. Wir haben vor kurzem mal einen Blick darauf geworfen, wie das
so bei GandCrab aussieht. Das war jetzt eine Ransomware von einer, ja … Ich komme
gleich darauf, wo die Jungs herkamen. Von einer Gruppierung, die sich vor kurzem zur
Ruhe gesetzt hat mit den Worten, sinngemäß: Wir haben gezeigt, dass man
viele Millionen mit kriminiellen Dingen verdienen und sich dann einfach zur Ruhe
setzen kann. Und wir ermutigen euch auch, so einen schönen Lebensstil zu pflegen wie
wir. Wir sind jetzt erstmal im Ruhestand. Wenn man sich mit denen, wenn man sich
quasi bei denen das gleiche durchgemacht hat, landete man auf so einer Seite. Die
war sehr schön. Da haben sie erstmal auch einmal mit sehr vielen psychologischen
Tricks gearbeitet. Hier oben steht zum Beispiel: Wenn du nicht bezahlst innerhalb
von einer Woche, dann verdoppelt sich der Preis. Da haben die sich bei Booking.com
abgeguckt. *Gelächter*
*Applaus* Dann erklären sie wieder: OK, du kannst …
es ist verschlüsselt, kriegst du nur von uns zurück. Und dann haben sie einen
schönen Service, hier, free decrypt. Du kannst eine Datei dort hinschicken und die
entschlüsseln sie dir und schicken sie dir zurück um zu beweisen, dass sie in der
Lage sind, die zu entschlüsseln. Ja, die sind also in gewisser Form ehrbare
Kaufmänner. Man fixt einen mal an, zeigt, dass man die Dienstleistung erbringen
kann. Und die haben auch einen Chat. Die haben hier unten so einen
Kundenberatungschat. *Gelächter*
Und wir saßen irgendwie in geselliger Runde mit unserer Windows-VM, die wir
jetzt gerade gegandcrabt hatten und haben dann so gedacht: Ach komm ey, jetzt
chatten wir mal mit denen. Und haben uns so ein bisschen doof gestellt, so:
Hellooo, where can I buy the Bitcoin? Irgendwie so. Und da haben die uns dann
irgendwelche Links geschickt, wo wir Bitcoin holen wollen und da haben wir
gesagt: Woah, das ist doch irgendwie voll anstrengend, können wir nicht einfach eine
SEPA-Überweisung machen? Wir zahlen auch die Gebühren, ist okay. Und dann haben wir
so, als uns nichts mehr einfiel, sagte ich zu meinem Kumpel, der daneben saß:
Vladimir. Ey, ich sag: Vladimir. Frag die doch mal, ob die russisch können. Konnten
sie. *Gelächter*
Und … ja, und … war auf jeden Fall: Na klar! Und interessanterweise haben die
auch sofort in kyriliisch geantwortet. Man kann ja russisch auf 2 Arten schreiben.
Man sieht uns hier an der deutschen Tastatur und die Jungs mit den
kyrillischen Schriftzeichen. Und die waren auf einmal sehr interessiert: Eyyy, du
bist Russe?! Wie bist du denn infiziert … wie kann das denn, dass du infiziert
wurdest? *Gelächter*
Hier steht doch, du bist in Deutschland! Und dann fragten die irgendwie so: Du bist
doch in Deutschland und so. Und dann sagten wir so: Jaja, ich arbeite für
Gazprom. *Gelächter*
Die wurden immer freundlicher. *Gelächter*
Und schrieben uns dann diesen folgenden Satz. Den habe ich mal für euch in Google
Translate gekippt. Der lautet ungefähr so: Mach bitte ein Photo von deinem Pass. Du
kannst gerne die sensiblen Daten mit deinem Finger abdecken. Ich brauche nur
einen Beweis, dass du Bürger Russlands bist. Dann stellen wir dir die Daten
kostenlos wieder her. *Gelächter*
*Applaus* Also manchmal ist IT-Sicherheit halt auch
einfach nur der richtige Pass, ne? *Gelächter*
Tatsächlich hatte GandCrab Routinen drin, die gecheckt haben, ob die Systeme z. B.
russische Zeitzone oder russische Schriftzeichen standardmäßig eingestellt
haben, um zu verhindern, dass sie russische Systeme befallen, weil die
russische IT-Sicherheitsaußenpolitik ungefähr so lautet: Liebe Hacker. Das
Internet. Unendliche Weiten. Ihr könnt darin hacken, wie ihr wollt und wir
liefern euch eh nicht aus. Aber wenn ihr in Russland hackt, dann kommt ihr in einen
russischen Knast. Und selbst russische Hacker wollen nicht in einen russischen
Knast. Deswegen sorgen die dafür, dass sie ihre Landsmänner nicht infizieren. Wahre
Patrioten. Der Brian Krebs hat nachher diese Gruppe auch noch enttarnt. Hat einen
superinteressanten Artikel darüber geschrieben. War so ein paar Wochen
eigentlich, nachdem wir diese kleine, lustige Entdeckung gemacht hatten. Ihr
wisst natürlich, grundsätzliches Motto jedes Congress’: Kein Backup, kein
Mitleid! Das heißt, ihr müsst natürlich euch gegen solche Angriffe dadurch
schützen, dass ihr Backups habt und dann nicht bezahlen müsst. Aber was ich
spannend finde ist, dieser Angriff mit den Word-Makros, die funktionieren seit 1999.
Da war das Melissa-Virus irgendwie die große Nummer. Makros gab es schon früher
in Word, aber ’99 mit Internetverbreitung und so ging das irgendwie ordentlich rund.
Und wir sind da keinen einzigen Schritt weitergekommen. Jeden anderen Bug, jedes
andere Problem, was wir haben, lösen wir sofort. Dieses halten wir einfach nur aus
und tun überhaupt nichts daran. Also habe ich mir überlegt: Gut, dann schauen wir
uns mal an: Warum funktionieren diese Angriffe eigentlich? Und dafür gibt’s im
Prinzip 2 Erkläransätze, die ich euch vorstellen möchte. Der eine ist eben
individualpsychologisch, der andere ist organisationspsychologisch. Daniel
Kahnemann hat einen Nobelpreis in Wirtschaftswissenschaften, glaube ich,
bekommen, dass er sich darüber Gedanken gemacht hat, wie Menschen denken.
„Thinking, Fast and Slow“, großer Bestseller, und so weiter. Der postuliert
im Prinzip: Wir haben 2 Systeme in unserem Gehirn. Das erste System arbeitet schnell
und intuitiv und automatisch. Also Standardhandlungsabläufe. Ihr müsst nicht
nachdenken, wenn ihr zuhause aus der Tür geht und die Wohnung abschließt. Das
passiert einfach. Da werden keine Ressourcen des Gehirns drauf verwendet,
jetzt nachzudenken: Dreht man den Schlüssel rechts-, linksrum – ist das
überhaupt der richtige oder so, ne? Eigentlich sehr faszinierend. Ich habe
einen relativ großen Schlüsselbund und ich bin echt fasziniert, wie es meinem Gehirn
gelingt, ohne dass ich darüber nachdenke, den richtigen Schlüssel einfach aus der
Tasche zu ziehen. Das ist System 1. Und das ist aktiv, primär bei Angst. Wenn wir
also schnell handeln müssen – Fluchtreflex und solche Dinge. Oder bei Langeweile,
wenn wir wie immer handeln müssen. Und genau diese ganzen Phishingszenarien
zielen auf eine dieser beiden Sachen ab: Entweder uns ganz viel Angst zu machen
oder einen Ablauf, den wir antrainiert haben und aus Langeweile automatisiert
durchführen, auszulösen. Demgegenüber steht das System 2: Das ist langsam,
analytisch und dominiert von Vernunft. Und ja. Die Angreifer nutzen natürlich
Situationen, in denen sie auf System 1 setzen können. Warum ist das ein Problem?
Wenn wir Leuten versuchen, zu erklären, wie sie sich gegen solche Angriffe
schützen sollen – guckt darauf, achtet darauf und so weiter –, dann erklären wir
das System 2. Und System 2 versteht das auch, genau wie ich verstanden habe, dass
ich eigentlich nicht auf irgendwelche PayPal-Scams klicken soll. Aber wenn ich
gelangweilt vorm Computer sitze und überlege, wo ich als nächstes hinklicken
soll, dann suche ich mir halt den nächsten großen Button und klicke da drauf.
Organisationspsychologie finde ich das eigentlich sehr viel interessanter. Warum
kümmert sich eigentlich niemand um dieses Problem, ja? Wir begnügen uns damit,
unseren IT-Perimeter zu haben, wir bauen da eine Schranke drum. Bauen eine Firewall
hier und haste noch gesehen, hier noch irgendein Snake-Oil und so. Und der
technische Angriff ist eigentlich ziemlich schwierig, ja? Wenige Menschen können
technische Angriffe durchführen. Und unser Schutz dagegen ist enorm gut. Wir haben
granular definierte Reife. Wir können messen: wenn du irgendwie dieses oder
jenes Checkmark nicht hast, bist du schlecht oder so, ne? Und dann sitzen an
dem Computer Administratoren und Angestellte und arbeiten mit diesen Daten.
Und die schützen wir irgendwie nicht. Wir machen uns auch gar keine Gedanken
darüber, die mal zu härten oder zu pen- testen. Dabei ist der Angriff über Social
Engineering viel einfacher und einen Schutz haben wir dem aber nicht gegenüber.
Und jetzt tritt der ganz normale Prozess des Risikomanagements ein. Und der sieht
ungefähr so aus: Das Risiko wird wahrgenommen, das Risiko wird analysiert
und in diesem Fall wird das Risiko dann eben ignoriert. Und so sitzen wir jetzt
seit 20 Jahren da, uns fliegt ein Makro nach dem anderen um die Ohren. Die – wie
heißt diese Uni da? War das jetzt Göttingen oder Gießen?
*Rufe aus dem Publikum* Göttingen kommt auch noch dran, keine
Sorge. Und wenn diese Risiken gemanaget werden, dann muss man sehen: „Management
bedeutet, die Verantwortung zu tragen und deshalb alles dafür tun zu müssen, nicht
zur Verantwortung gezogen zu werden.“ Und eben auch nicht mehr als das zu tun.
*Applaus* Das heißt, wir versuchen also die Probleme
zu lösen, die wir können und die anderen – was kann ich dafür, wenn der Nutzer falsch
klickt? Wohin uns das gebracht hat, können wir jetzt eben bei den verschiedenen
Unternehmen beobachten. Deswegem habe ich mir gedacht: OK. Wie kann man dieses
Problem denn mal lösen? Welche Gegenmaßnahmen sind wie wirksam? Also was
funktioniert, um Menschen das abzugewöhnen oder die Wahrscheinlichkeit zu verringern,
dass sie auf solche Sachen draufklicken? Und welche UI-/UX-Faktoren machen weniger
verwundbar? Weil es gibt ja quasi immer die gleichen Prozesse, die ausgenutzt
werden. Und auf der anderen Seite die Optimierungsdimensionen. Einmal die
Resistenz: Nicht zu klicken. Und dann in so einem Unternehmenskontext halt: Du
musst es melden. Du musst der IT Bescheid sagen, damit die irgendwelche
Gegenmaßnahmen ergreifen kann. Ich zeige euch jetzt mal die Ergebnisse von 2
Beispielstudien, die wir in dem Bereich durchgeführt haben. Ich bin sehr bemüht,
die so anonymisiert zu haben, also sollte hoffentlich nirgendwo mehr erkennbar sein,
mit welchem Unternehmen das war. Das erste war in Asien. Da haben wir das mit 30.000
Personen gemacht. 4 Phishingdurchläufe und es gab so ein Lernvideo, in dem das auch
noch mal erklärt wurde. Und wir haben erfasst, wie oft das dann zum Beispiel der
IT gemeldet wurde, dass dieser Angriff stattgefunden hat. Und wir haben erfasst,
wie oft die Leute auf diese Phsihingnummer reingefallen sind. Und was wir dort
eigentlich herausfinden wollten war: Es ging eigentlich darum, wie wir in diesem
Unternehmen regelmäßig die Menschen trainieren, dass sie nicht auf solche
Sachen draufklicken. Also haben wir uns so einen Versuchsplan gebaut und haben
gesagt: OK, welche Kommunikationsmöglichkeiten haben wir? Ja
gut, wir können denen E-Mailer schicken. Also Spam vom eigenen Unternehmen. Wir
können Poster in den Flur hängen. Wir können beides machen, wir können nichts
machen. Wir können außerdem den Leuten so ein Online-Quiz anbieten und die danach
ein Quiz machen lassen. Auch da konnten wir den Online-Quiz einmal mit einem Text
und einmal mit einem Video – meine Hypothese war: das Video bringt es den
Leuten wahrscheinlich besser bei. Und dann haben wir quasi, weil wir genug Leute
hatten, eben das alles quasi vollständig permutiert, sodass wir alle Effekte
einzeln messen konnten und nachher die Gruppen vergleichen konnten. Dann haben
wir sie einmal gephisht und in dem Phishing gab es dann nachher eine
Aufklärung. Also wenn die ihr Passwort eingegeben hatten, kam entweder ein Text,
der ihnen gesagt hat: Ey, das war jetzt gerade schlecht. Oder ein Video, was ihnen
erklärt hat: Das war gerade schlecht. Oder beides: Text und darunter ein Video oder
umgekehrt. Und dann haben wir noch mal ein Phishing gemacht. Und jetzt werde ich grün
markieren die Dinge, die tatsächlich einen Effekt hatten. Alles was vorne stand,
E-Mailer, alles was man den Leuten erklärt. Alles was System 2 anspricht, hat
überhaupt keinen Effekt gehabt. Ihr könntet die Leute irgendwelche Quize
ausführen lassen und Onlinekurse wie sie wollen. Verdienen einige Unternehmen auch
gutes Geld mit. Hat aber keinen Effekt. Was einen Effekt hatte war: Ob die
gephisht wurden oder nicht und es war etwas besser, wenn sie ein Video dazu
gesehen haben. Und das ist genau deshalb, weil: Wenn sie tatsächlich gephisht
werden, dann haben sie eine Lernerfahrung, wenn System 2 aktiv ist. Ja? Das Video war
so ein rotes Blinken: Achtung, Gefahr, du hast etwas falsch gemacht. Ich will noch
kurz zu dem Ergebnis kommen bei der ersten Erfassung: Wir haben zunächst eine
Erfolgsrate von 35% gehabt. 55% haben die E-Mails ignoriert und 10% haben auf der
Phishingseite abgebrochen. Also sie haben vielleicht noch mal irgendwie; sind noch
mal zur Besinnung gekommen oder so. Und mein damaliger Kollege meinte: Ey, das
kann irgendwie gar nicht sein. So, da muss viel mehr gehen. So schlau sind die doch
nicht, ne? Gucken wir mal, ob die die E-Mails überhaupt geöffnet haben. Also
gelsen haben. Wir hatten nämlich ein kleines Zählpixelchen in der E-Mail und
ich konnte quasi feststellen, ob die die E-Mail überhaupt geöffnet haben. Wenn wir
die Zahl korrigiert haben und diejenigen rausgenommen haben, die die E-Mail nie zu
Gesicht bekommen haben, war die Erfolgswahrscheinlichkeit 55%.
*Raunen und kurzer Applaus* Wir hatten dann noch ein weiteres Problem
an der Backe. Weil, wir hatten jetzt an 30.000 Leute eine E-Mail geschrieben und
als Absender angegeben, wir wären der IT- Support.
*Gelächter* Es gibt darauf verschiedene Reaktionen.
Erstmal haben wir relativ viele E-Mails bekommen, wo die Leute sagten: Ich will ja
mein Passwort ändern, aber da kommt immer dieses Video!
*Gelächter* *Applaus*
Und dann hatten wir Leute, die noch Monate später der unsäglichen Praxis nachhingen,
wenn sie jemandem eine E-Mail schreiben wollen, dass sie einfach suchen, wann sie
das letzte mal von dem eine E-Mail bekommen haben und auf den Thread
antworten. Das heißt, wir waren das nächste halbe Jahr damit beschäftigt, IT-
Support zu machen. *Gelächter*
*Applaus* OK, Ergebnis zusammengefasst: Diese ganzen
Awarenessmaßnahmen hatten keinen praktisch relevanten Effekt. Die Selbsterfahrung
hatte einen starken Lerneffekt. Und der ging teilweise sogar über das Erwartbare
hinaus. Leider aber sind die Lerneffekte sehr spezifisch. Das heißt, die Leute
lernen, wenn eine Passwort-Reset-E-Mail kommt, darf ich da nicht draufklicken.
Wenn du denen aber danach schickst: Gib mal deine Kreditkartennummer an, sagen
die: Na klar. Gar kein Problem! *Gelächter*
Und auch das Szenario, ja? Wir haben da nachher noch andere Social-Engineering-
Maßnahmen gemacht und es gab jetzt keine abfärbenden Effekt von – Du hast mit denen
Phishing bis zum Erbrechen geübt –, dass die jetzt irgendwie bei USB-Sticks
irgendwie vorsichtiger wären oder so. Das heißt, das ist relativ unschön. Außerdem
sind die Effekte nicht stabil. Das heißt, du hast einen Lerneffekt so in den ersten
3 Monaten und dann nimmt der wieder ab. Das heißt: Nach einiger Zeit, wenn du das
nach einem Jahr wieder machst, hast du genau wieder deine 33-55%, die du vorher
hattest. Also wir können dieses Problem irgendwie versuchen, niedrig zu halten,
aber auf diesem Weg nicht aus der Welt schaffen. So dachte ich. Bis ich dann
meine 2. Beispielstudie gemacht habe, die ich euch hier vorstellen möchte. Die war
international in mehreren Sprachen – Englisch, Deutsch, Spanisch und 2 weiteren
Sprachen –, 2000 Zielpersonen, 4 Durchläufe, Video war ein bisschen länger.
Und das erste Ergebnis war; Ich habe erfasst, quasi, wenn die Leute gemeldet
haben und die IT dann reagiert hätte, wie viele erfolgreiche Angriffe danach hätten
verhindert werden können. Und das interessante ist, dass bei den meisten
Standorten fast über 3/4 der weiteren Angriffe, die danach noch passiert sind,
hätten verhindert werden können durch eine schnelle Meldung. Das heißt, es ist gut
für eine IT, ihre Leute zu ermutigen, sich bei ihr zu melden und irgendwie Bescheid
zu geben. Das andere Ergebnis bei diesen Leuten war: Beim ersten Durchlauf hatten
die eine Phishingerfolgsrate von 10%. Und ich war etwas ungläubig und habe mich
gefragt: Wie kann das denn sein? Ich hatte auch vorher eine bisschen große Fresse
gehabt. Und jetzt habe ich gesagt: 30% mache ich euch locker, gar kein Thema! Und
dann sind’s jetzt irgendwie 10% da. Und die sagten dann halt auch irgendwie: „Ja,
wolltest du nicht mehr?“ Tja, was haben die gemacht? Die hatten 2 Dinge anders als
viele andere Unternehmen. Erstens: Die hatten ihre E-Mails mit so einem kleinen
Hinweis versehen, der in den Subject reingeschrieben wurde bei eingehenden
E-Mails, dass die E-Mails von extern kommt. Und das andere, was in diesem
Unternehmen anders war, ist: Die haben ihren Passwortwechsel nicht über das Web
abgeildet. Das heißt: Die Situation, in die ich die Menschen da gebracht habe –
Ey, hier ist eine Webseite, gib mal dein Passwort ein –, die waren die nicht
gewöhnt. Und deswegen sind die aus dem Tritt gekommen, haben auf einmal mit ihrem
System 2 arbeiten müssen und haben den Fehler nicht gemacht. Wenn wir uns die
Ergebnisse weiter anschauen; ich hatte ja gesagt, es waren 4 Durchläufe. Der 2. und
der 4. Durchlauf waren jeweils nur mit denen, die in dem davorgegangenen
Durchlauf quasi gephisht wurden. Das heißt, wir haben denen noch mal so eine
Härteauffrischung gegeben. Man sieht auch, da gibt’s einige sehr renitente Phish-
Klicker. Wir haben dann mal unter kompletter Missachtung sämtlicher
datenschutzrechtlichen Vereinbarungen geguckt, wer das war. Und das waren die
Funktionsaccounts. Also einfach die, wo das Passwort eh, wo es quasi zum Job
gehört, mit einem Post-It das neue Passwort an den Bildschirm zu kleben. Das
interessante ist: Wenn wir uns dieses Ergebnis anschauen, also vom 1. zum 2.
Durchlauf und so weiter, haben wir insgesamt einen Rückgang um 33% erzielt.
Ähh, Tschuldigung, ist falsch! Um 66%, ich Idiot! 66%. 33% blieben über. Also ein
Rückgang auf 33%. Das ist eigentlich enorm gut! In der Psychologie glaubt mir das
eigentlich kaum jemand, wenn man sagt, ich habe eine Intervention; nach einmaliger
Intervention Verhaltensänderung bei 2/3 der Leute. Wenn wir uns das für die
Sicherheit unseres Unternehmens anschauen oder unserer Organisation, ist das ein
riesiges Desaster, weil die 33% sind ja immer noch ein riesiges Problem für uns.
Aber, Zusammenfassung: Durch diesen lokalen Passwortwechsel und den Hinweis
„External“ sind die Leute in ungewohnte Situationen gekommen und die
Wahrscheinlichkeit, dass sie darauf reinfallen, geht runter.
*Applaus* So, also was haben wir bis jetzt gelernt?
Das theoretische Lernen ist ohne Effekt. Es zählt die Erfahrung aus erster Hand. Es
gibt abstrakte Verteidigungskonzepte, die verstehen die Leute nun mal einfach nicht.
Bisher ist alles, was wir dafür haben, eine anschauliche Didaktik. Die
Lerneffekte nehmen mit der Zeit ab, deswegen muss man das regelmäßig
wiederholen. Die Lerneffekte werden nicht generalisiert, also müssen wir die
Angriffsszenarien variieren. Und wenn die Leute das nicht melden, haben wir ein
Problem, deswegen müssen wir sie außerdem ermutigen und belohnen, wenn sie bei der
IT anrufen. Für die meisten Organisationen auch eine völlig absurde Idee, wenn jemand
bei ihnen anruft, auch noch nett zu denen zu sein.
*Kurzes Lachen* Hat aber durchaus Effekt. So. Wenn wir uns
jetzt aber mal diese Situation anschauen, dann ist doch eigentlich unser Ziel zu
sagen: OK, dann müssen wir Situationen unserer IT-Systeme so bauen, dass sie dafür
nicht anfällig sind, dass wir irgendwelche automatisierten Prozesse lernen, die
Sicherheitsprozesse sind. Also vielleicht sollte das User Interface nicht so sein
wie diese frische Installationen von macOS Catalina. Sondern anders. Denn: Wir können
uns nicht auf System 2 verlassen, aber die meisten Schutzmaßnahmen tun genau das.
Also Microsoft Word erklärt einem irgendwas und sagt dann: „Ja, ist doch
dein Problem, wenn du nicht verstehst, wovon wir hier reden. Den Rest, der hier
passiert, um dich herum an diesem Computer, verstehst du auch nicht. Hier
hast du einen Knopf, drück drauf!“ *Kurzes Gelächter*
Ne? So können wir nicht 20 Jahre agieren und sagen, wir kriegen das Problem nicht
in den Griff. Es gibt eine Möglichkeit übrigens, dieses Problem mit Microsoft
Word in den Griff zu kriegen und das ist: Makros zu deaktivieren. Dann kommt der
Geschäftsbetrieb zum Erliegen. Oder Makros zu signieren. Ganz einfaches Code-Signing
auf Makros geht, kann man per AD- Gruppenrichtlinie ausrollen. Ich habe mal
mit einem IT-Sicherheitsbeauftragten eines etwas größeren Unternehmen gesprochen. Das
war eines der wenigen Unternehmen, die das jemals gemacht haben. Also die ich kenne,
die das jemals gemacht haben. Der meinte so: „Ja, okay, hat ein Jahr gedauert. Ich
habe jetzt weiße Haare und eine Halbglatze. Aber ich bin froh, dass ich
das Problem jetzt endlich aus der Welt habe!“ Und das ist der einzige Mensch, der
das geschafft hat. In seinem Unternehmen verhasst, ja? Aber er ist eigentlich ein
Held! Dem Mann muss man echt danken! *Johlen; Applaus*
Und was wir also machen müssen ist: Wir müssen unser System 1 sichern. Intuitive
Handlungen müssen als Teil der Sicherheitsmechanismen antizipiert werden.
Also wir dürfen den Nutzern nicht angewöhnen, Passwörter in irgendwelche
Browserfenster zu tippen. Wir dürfen Sicherheitsprozesse nicht per Mail oder
per Browser abbilden. Und wir können uns auch mal überlegen, ob wir die freie Wahl
von Passwörtern vielleicht einfach unterbinden, damit nicht überall
passwort123 gesetzt wird. Es wird langsam besser. So, man kann Makros signieren und
deaktivieren. Man kann Software langsam einschränken auf aus vertrauenswürdigen
Quellen, also aus den App Stores. Ich weiß, da gibt es dann wieder andere
politische Probleme. Aber aus einer reinen Sicherheitsperspektive ist das gut, wenn
Leute nicht irgendwelche runtergeladenen EXEn aus dem Internet irgendwie anklicken
und irgendwelche Makros ausführen. Und mit Fido2 und hardwarebasierten
Authentisierungsmechanismen wird es langsam besser. 2-Faktor-Authentisierung
hat einen großen Vormarsch. Also, die Welt ist nicht ganz so schlecht wie wir es
glauben, aber ich würde mir sehr wünschen, dass wir mit unseren
Sicherheitsmechanismen einfach viel mehr auf die Intuititivät setzen, denn wenn wir
uns mal irgendwie anschauen, wie diese Browserwarnungen, irgendwie „Achtung, mit
dem Zertifikat stimmt was nicht“, ungefähr so, die hat glaube ich, bis sie dann
irgendwann weg waren, weil Let’s Encrypt gekommen ist und es einfach mal
vernünftige Zertifikate gab, die hat auch niemand verstanden. Und entsprechend haben
wir hier auch quasi ein wunderschönes SSL gehabt, was am Ende daran gescheitert ist,
dass wir scheiß User Interfaces dafür hatten. Inzwischen ist es so, dass Browser
die Verbindung einfach nicht herstellen. Auch das ist ein Zugewinn! Joa. Ich habe
schon überzogen, das war’s. Macht bitte eure Backups, wechselt überall eure
Passwörter. Ich schicke euch dazu nachher noch mal eine E-Mail und vielen Dank.
*Gelächter*
*Applaus*
Engel: So. Das war doch in gewohnter Manier unterhaltsam. Und ich frage mich,
wenn Linus’ Zahnarzt jetzt einen Passwortmanager benutzt: Benutzt Linus
jetzt zweimal täglich Zahnseide? Linus: Ich habe mir gerade noch die Zähne
geseilt! Habe ich tatsächlich! Engel: Also, macht immer schön eure
Backups und benutzt Zahnseide!
*Abspannmusik*
Untertitel erstellt von c3subtitles.de im Jahr 20??. Mach mit und hilf uns!