Gefälschte Durchsuchungsbefehle werden zum Problem

Sichern Sie Ihr Unternehmen noch heute mit CyberHoot!!!

Jetzt anmelden

Es gibt eine besorgniserregende und äußerst effektive Strategie, mit der kriminelle Hacker mittlerweile sensible Kundendaten von Internetdienstanbietern (ISPs), Telefongesellschaften und Social-Media-Unternehmen abgreifen. Dabei kompromittieren sie E-Mail-Konten und Websites von Polizeidienststellen und Behörden und versenden anschließend unberechtigte „Notfalldatenanfragen“ nach Kundendaten, wenn die angeforderten Informationen nicht auf einen Gerichtsbeschluss warten können, weil sie lebensbedrohliche Fragen betreffen.

Notfalldatenanfragen

Wenn in den USA Bundes-, Landes- oder lokale Strafverfolgungsbehörden Informationen darüber erhalten möchten, wem ein Konto bei einem Social-Media-Unternehmen gehört oder welche Internetadressen ein bestimmtes Handykonto in der Vergangenheit verwendet hat, müssen sie einen offiziellen Gerichtsbeschluss oder eine Vorladung vorlegen. Nahezu alle großen Technologieunternehmen und Internetdienstanbieter (ISPs) verfügen über Abteilungen, die solche Anfragen routinemäßig prüfen und bearbeiten. Solche Anfragen werden nur dann genehmigt, wenn die entsprechenden Unterlagen vorgelegt werden und die Identität des Antragstellers (nicht anhand der E-Mail mit der Datenanforderung) als Angehöriger der tatsächlichen Polizei- oder Strafverfolgungsbehörde verifiziert wurde.

Wie die meisten Phishing-Angriffe, die ein Gefühl der Dringlichkeit erzeugen, um die Opfer zum Handeln zu bewegen, fordern Hacker Daten von diesen Organisationen an und behaupten, Untätigkeit drohe unmittelbaren Schaden oder gar den Tod. Oftmals stellen legitime Ermittlungsbeamte sogenannte „Notfalldatenanfragen“ (Emergency Data Requests, EDR), die jegliche offizielle Prüfung umgehen und keine gerichtlich genehmigten Dokumente erfordern. Wenn Technologieunternehmen den Antragsteller in solchen Fällen nicht verifizieren, haben die Hacker Erfolg und erhalten die für ihre Angriffe notwendigen Daten.

Die Strategie des Hackers

Hacker haben herausgefunden, dass es für Unternehmen, die eine solche EDR-Anfrage erhalten, keine schnelle und einfache Möglichkeit gibt, deren Legitimität zu überprüfen. Durch unbefugten Zugriff auf E-Mail-Systeme der Polizei oder auf individuelle Konten versenden Hacker gefälschte EDR-Anfragen mit dem Hinweis: „Hier besteht die Gefahr, dass unschuldige Menschen Schaden erleiden oder sterben, wenn diese Datenanfrage nicht umgehend bearbeitet wird.“

In diesem Szenario steht das empfangende Unternehmen vor einer Zwickmühle: Entweder kommt es einem EDR nicht sofort nach und hat möglicherweise jemandes Blut an den Händen oder es gibt möglicherweise einen Kundendatensatz an die falsche Person weiter.

Erschwerend kommt hinzu, dass es weltweit Zehntausende Polizeibehörden gibt. Allein in den USA sind es über 18,000. Für Hacker reicht es daher oft schon, auf ein einziges polizeiliches E-Mail-Konto zuzugreifen. In anderen Fällen gelingt es ihnen sogar, den gesamten E-Mail-Server zu kompromittieren und so den gesamten E-Mail-Verkehr eines bestimmten Polizeireviers abzufangen.

Was kann getan werden?

Abgeordnete in Washington, D.C., haben einen Gesetzentwurf zur Bekämpfung gefälschter Gerichtsbeschlüsse eingebracht , der das bestehende System zur Übermittlung elektronischer Beweismittelberichte (EDRs) verbessern soll. Er sieht vor, dass alle Bundes-, Landes- und Stammesgerichte digitale Signaturen für Anordnungen verwenden, die Überwachung, Domainbeschlagnahmungen und die Entfernung von Online-Inhalten genehmigen. Digitale Signaturen nutzen Verschlüsselungstechnologie , um die Echtheit von Dokumenten und anderen Daten zu beweisen. Sie werden von der Privatwirtschaft sowie von Exekutive und Legislative häufig eingesetzt. Der Gesetzentwurf sieht finanzielle Mittel für Landes- und Stammesgerichte vor, um weit verbreitete digitale Signaturtechnologie einzuführen, die den Standards des National Institute of Standards and Technology (NIST) entspricht.

Bis eine solche Lösung vorhanden und umgesetzt ist, kann Ihr Unternehmen folgende Maßnahmen ergreifen, um die Rechtmäßigkeit dieser Datenanfragen zu überprüfen:

1. Telefonbasierte Verifizierung: Der Datenschutzbeauftragte Ihres Unternehmens oder eine vergleichbare Person muss die anfragende Strafverfolgungsbehörde recherchieren und den Vorgesetzten oder die Abteilung des Antragstellers anrufen, um dessen Identität und die Gültigkeit der Anfrage zu überprüfen. Achten Sie darauf, die richtige Telefonnummer der Behörde zu recherchieren und keine Nummern aus dem Anfrageformular oder der E-Mail zu verwenden, da beide von Betrügern gefälscht werden könnten.
2. Persönliche Überprüfung von amtlichen Dokumenten: Ein Antragsteller kann dem Datenschutzbeauftragten persönlich einen amtlichen Ausweis vorlegen, um seine Identität zu bestätigen. Diese persönliche Vorgehensweise erfordert die Überprüfung eines amtlichen Ausweises oder Dokuments. Es ist jedoch immer ratsam, zusätzlich die Strafverfolgungsbehörde anzurufen, um die Anfrage zu bestätigen. Diese Methode ist nur erforderlich, wenn der Strafverfolgungsbeamte sofortige Informationen benötigt und Zeit von entscheidender Bedeutung ist.
3. Notar: Ein Antragsteller kann dem Unternehmen oder dem Datenschutzbeauftragten ein notariell beglaubigtes Dokument zur Bestätigung seiner Identität vorlegen. Bei dieser Methode muss der Notar einen amtlichen Ausweis oder ein amtliches Dokument prüfen und die Sichtprüfung schriftlich bestätigen. Idealerweise wird diese Methode mit Punkt 1 oben kombiniert – der telefonischen Verifizierung, um Zwei-Faktor-basiert Identitätsvalidierung. Dies ist jedoch gemäß den aktuellen Protokollen der DSGVO oder des CCPA nicht erforderlich (obwohl es erforderlich sein sollte und von CyberHoot vCISO-Experten auch durchgeführt wird).

Sobald dies erledigt ist, können weitere Schritte unternommen werden, um die Echtheit der Anfrage zu überprüfen. Dazu gehört die Überprüfung der folgenden Punkte: 

1. Ist die Absender-E-Mail-Adresse für diese Anfrage korrekt und angemessen (95 % dieser Anfragen kommen von einer .gov-E-Mail-Adresse)?
2. Ist das Regierungssiegel korrekt? Wenn Sie zum ersten Mal ein Siegel sehen, suchen Sie bitte bei Google nach dem Siegel der jeweiligen Behörde, um es zu überprüfen.
3. Überprüfen Sie das Datum der Anfrage, um sicherzustellen, dass es sich noch um eine gültige Vorladung und/oder FISA-Anfrage handelt, da diese Anfragen ablaufen.

Sobald die Legitimität und Authentizität der Anfrage bestätigt wurde, kann Ihre Organisation Maßnahmen ergreifen und die Anfrage nach Bedarf abschließen. 

Zusätzliche Empfehlungen zur Cybersicherheit

Darüber hinaus helfen Ihnen die folgenden Empfehlungen, sich und Ihr Unternehmen vor den vielfältigen Bedrohungen des täglichen Lebens zu schützen. Alle unten aufgeführten Vorschläge erhalten Sie durch die Inanspruchnahme der vCISO-Programmentwicklungsdienste von CyberHoot.

1. Kontrollieren Sie Ihre Mitarbeiter mit Richtlinien und Verfahren. Sie benötigen mindestens eine Kennwortrichtlinie, eine Richtlinie zur akzeptablen Nutzung, eine Richtlinie zum Umgang mit Informationen und ein schriftliches Informationssicherheitsprogramm (WISP).
2. Schulen Sie Ihre Mitarbeiter darin, wie sie Phishing-Attacken. Führen Sie ein Lernmanagementsystem wie CyberHoot ein, um Ihren Mitarbeitern die Fähigkeiten beizubringen, die sie benötigen, um selbstbewusster, produktiver und sicherer zu sein.
3. Testen Sie Ihre Mitarbeiter mit Phishing-Angriffen. Mit den Phishing-Tests von CyberHoot können Unternehmen ihre Mitarbeiter mit glaubwürdigen Phishing-Angriffen testen und diejenigen, die scheitern, einem Phishing-Training unterziehen.
4. Einsatz kritischer Cybersicherheitstechnologie, einschließlich Zwei-Faktor-Authentifizierung auf allen kritischen Konten. Aktivieren Sie E-Mail-SPAM-Filter, validieren Sie Backups und implementieren Sie DNS-Schutz. Antivirusund Anti-Malware auf allen Ihren Endpunkten.
5. Stellen Sie im modernen Homeoffice-Zeitalter sicher, dass Sie die Verbindung zu Ihrem Netzwerk herstellende private Geräte verwalten, indem Sie deren Sicherheit (Patches, Virenschutz, DNS-Schutz usw.) validieren oder ihre Verwendung vollständig verbieten.
6. Wenn Sie in den letzten zwei Jahren keine Risikobewertung durch Dritte durchführen ließen, sollten Sie jetzt eine durchführen lassen. Die Etablierung eines Risikomanagement-Rahmens in Ihrem Unternehmen ist entscheidend, um Ihre größten Risiken mit der begrenzten Zeit und dem begrenzten Geld zu bewältigen.
7. Schließen Sie eine Cyber-Versicherung ab, um sich im Ernstfall abzusichern. Eine Cyber-Versicherung unterscheidet sich nicht von einer Auto-, Feuer-, Hochwasser- oder Lebensversicherung. Sie ist für Sie da, wenn Sie sie am meisten brauchen.

Alle diese Empfehlungen sind in CyberHoot (Produkt oder vCISO-Services) integriert. Mit CyberHoot können Sie Ihre Mitarbeiter steuern, schulen, beurteilen und testen. Besuchen Sie CyberHoot.com und registrieren Sie sich noch heute für unsere Services. Bleiben Sie außerdem mit unseren monatlichen Cybersicherheits-Newslettern stets auf dem Laufenden.

Quellen:

Hacker erlangen durch gefälschte „Notfalldatenanfragen“ die Macht, Vorladungen zu erteilen

Wyden, Tillis und das Weiße Haus bringen einen überparteilichen Gesetzentwurf zur Bekämpfung gefälschter Gerichtsbeschlüsse ein

Weitere Leseempfehlungen: 

Apple, Meta und Discord haben alle Benutzerdaten an Hacker übergeben. Was nun?