#13 Hackerangriff auf LastPass – Als Passworttresore zur Beute wurden

00:00:00: Dieser Podcast wurde inhaltlich von Nikolaus Stapels zusammengestellt.

00:00:04: In dieser Reihe erzählen wir wahre Geschichten aus der Welt der Cyberkriminalität, der IT-Sicherheit und digitaler Risiken.

00:00:12: Es sind Geschichten die zeigen wie schnell Unternehmen verwundbar werden können – und wie wichtig es ist, aus den Fehlern anderer zu lernen bevor man selbst betroffen ist.

00:00:22: Also stelle das mal vor….

00:00:24: Hundertfünfzig Millionen Dollar in Krypto einfach weg!

00:00:28: Ein absoluter Albtraum.

00:00:30: Und der Schlüssel zu diesem gigantischen Raubzug, das war jetzt keine hochkomplexe Zero-Day-Lücke in irgendeinem streng bewachten Server-Netzwerk?

00:00:38: Nee, absolut nicht!

00:00:39: Es war eine drei Jahre alte ungenutzte App zum Filme Stream im Wohnzimmer eines Mitarbeiters.

00:00:46: Wir kommen zu unserer heutigen Recherche.

00:00:48: wir schauen uns heute den massiven Datenraub beim Passwortmanager Giganten LastPass aus dem Jahr twenty-zweiundzwanzig an.

00:00:54: Ja ein Fall der wirklich Geschichte geschrieben hat

00:00:58: Definitiv.

00:00:59: Als ich mir für unsere heutige Tiefenanalyse die ganzen Untersuchungsberichte vom FBI, die Papiere der USNX Sicherheitskonferenz und diese endlosen Foren-Einträge auf Reddit durchgelesen habe, dachte ich echt nur das darf doch alles nicht wahr sein!

00:01:14: Ja, das ging vielen in der IT Security Community so...

00:01:17: Unser Ziel heute ist es herauszufinden, wie eine wirklich banale private Software auf einem Heimcomputer dazu führen konnte dass Millionen von Passwortresoren kompromittiert wurden.

00:01:28: Und genau diese scheinbare Banalität die macht den Fall ja so extrem wichtig für uns alle.

00:01:33: Wir sprechen hier nicht über ein isoliertes Problem von irgendwelchen Server-Racks im Rechenzentrum.

00:01:38: Richtig!

00:01:39: Wir sprechen über diese gefährliche Illusion von Sicherheit in einer Welt, in der die Grenzen zwischen einem hochgesicherten Firmen-Netzwerk und dem unsicheren Heimwählern praktisch nicht mehr existieren.

00:01:52: Weil wir ja alle irgendwie im Homeoffice sitzen?

00:01:54: Genau!

00:01:55: Dieser Vorfall sieziert förmlich, was passiert wenn man sich auf sogenannte Perimeter-Sicherheit verlässt.

00:02:02: Also darauf dass die dicken Burgmauern des Unternehmens schon halten werden.

00:02:06: Während die Mitarbeiter längst von zu Hause aus arbeiten.

00:02:09: Exakt!

00:02:10: Die Frage ist ja wie kommt man überhaupt an die Schlüssel zu dieser Burg?

00:02:13: Man stielt zuerst die Baupläne.

00:02:15: und das es im August twenty zweiundzwanzig basiert.

00:02:18: da fiel der erste Domino Stein.

00:02:21: Ein bis heute unbekannte Angreifer kompromittiert den Firmenlaptop eines Software-Engineers bei LastPass.

00:02:27: Die Ausbeute war damals vierzehn von rund zweihundert Quellcode Repositorien, technische Dokumentationen und interne Systemgeheimnisse.

00:02:35: Das war sozusagen der Vorbote?

00:02:37: Genau!

00:02:37: Und im September, hier stellt sich dann der Lars Pers CEO Kerem Tuba hin und sagt im Grunde alles gut Leute.

00:02:45: Ja

00:02:45: die klassische Beschwichtigung!

00:02:47: Der Vorfall sei nach vier Tagen eingedämmt worden man habe Entwicklungs- und Produktionsumgebungen physisch getrennt Keine Kundendaten betroffen, keine Tresore geknackt.

00:02:57: Was ja technisch in dem Moment sogar stimmte?

00:02:59: Ja schon

00:03:00: aber ich kenne solche Pressemitteilungen.

00:03:01: man denkt sich als Nutzer okay sie haben den Quellcode aber der Code selbst entschlüsselt ja keine Tressore.

00:03:07: also wo ist der Haken an dieser Beruhigungspille?

00:03:10: Der Haken isst das Quellcode und interne Dokumentationen oft unendlich viel mehr verraten als Unternehmen zugeben wollen.

00:03:18: Die fatale Fehleinschätzung von Last Pause war es, sich nur auf das zu konzentrieren was eben nicht gestohlen wurde.

00:03:24: Also die direkten Kundendaten?

00:03:25: Genau!

00:03:26: Was sie völlig unterschätzt haben, war der strategische Wert dieser gestohlenden Architekturdokumente.

00:03:32: Unter diesen Daten befanden sich nämlich sogenannte DevOps-Geheimnisse.

00:03:36: Okay...was genau ist das?

00:03:37: Das

00:03:38: sind extrem restiktive interne Schlüssel, die Systeme nutzen um miteinander zu kommunizieren und einer davon war ein verschlüsselter AWS S-III Schlüssel für die Cloudbackups von LastPass.

00:03:51: Warte mal,

00:03:52: das heißt der erste Angriff war gar nicht der eigentliche Raubzug?

00:03:56: Nee!

00:03:57: Das war eher so eine groß angelegte Aufklärungsmission?

00:04:00: Absolut ja... Ohne diesen allerersten Diebstahl hätte der Angreifer überhaupt nicht gewusst wie die Infrastruktur von Lastpass aufgebaut ist und noch viel wichtiger, wen er als nächstes ins Visier nehmen muss.

00:04:12: Er suchte nach dem Glied in der Kette das Zugang zu den Entschlüsselungskeys für genau diese AWS-Backups hatte und dank der gestohlenen Baupläne wusste der Hacker nun weltweit gibt es nur genau vier Senior DevOps-Engineure die diese hoch privilegierten Zugriffsrechte besitzen.

00:04:30: Das musste dir mal auf der Zunge zergehen lassen!

00:04:32: Vier Menschen weltweit?

00:04:33: Ja, vier Leute

00:04:35: Aber unfassbarerweise fand der entscheidende Angriff nicht im Lastpass-Hauptquartier statt, sondern in einem ganz normalen vermutlich unaufgeräumten Wohnzimmer.

00:04:47: Am zwölften August twenty-zweiundzwanzig und das ist echt pikant!

00:04:52: Das war genau einen Tag bevor LastPass die Incident Response Firma Mendient für den ersten Vorfall überhaupt eingeschaltet hat.

00:04:59: Wahnsinniges Timing.

00:05:01: Da griff der Hacker den privaten Heimcomputer eines dieser Ingenieure an und der Wegtor, also das Einfallstor war ein Plex-Media Server.

00:05:10: Richtig!

00:05:10: Und für alle die es vielleicht nicht kennen, Plex ist eine sehr beliebte Software um private Filme Serien oder Fotos im eigenen Netzwerk oder übers Internet zu streamen.

00:05:20: Hab ich auch mal benutzt.

00:05:21: ja

00:05:22: Das Problem hierbei war, dieser spezifische Server des Ingenieurs war seit über drei Jahren nicht mehr aktualisiert worden.

00:05:29: Ja

00:05:33: man glaubt es kaum!

00:05:34: Es gab dort eine längst bekannte Schwachstelle mit der Kennung CVE- Twenty-Twenty-Fünf-Tausend-Siebenhundert-Einundvierzig.

00:05:42: Diese Lücke hatte einen CVSS Score von sieben Punkt zwei auf einer Skala bis zehn

00:05:48: Also ziemlich kritisch.

00:05:49: hochgradig kritisch, weil sie es einem Angreifer ermöglicht aus der ferne eigenen Code auf dem System auszuführen.

00:05:56: Und da komme ich an einen Punkt, an dem ich beim Lesen der Berichte wirklich gestolpert bin.

00:06:00: Es heißt, Der angreifer nutzte die Camera Upload Funktion von Plex um bösartigen Code hochzuladen.

00:06:07: Das funktionierte durch einen Fehler in der sogenannten Deserialisierung.

00:06:11: Kannst du uns das mal kurz erklären?

00:06:12: Wie wird aus einem simplen Foto upload plötzlich eine feindliche Übernahme des ganzen Computers?

00:06:18: Sehr gerne, denn das ist ein faszinierender Mechanismus.

00:06:21: Stell dir mal vor du schickst einen Möbelstück per Post.

00:06:24: Okay!

00:06:25: Ein Ikea-Regal oder so?

00:06:26: Genau – Du kannst es nicht im Ganzen verschicken also zerlegst du's in Einzelteile.

00:06:31: Das ist in der Informatik die Serialisierung.

00:06:34: Der Empfänger packt die Teile aus und baut das Möbelstück nach Anleitung wieder zusammen.

00:06:39: Ah und das ist dann die Deserialisierung?

00:06:42: Exakt

00:06:43: Wenn Software wie Plex Daten empfängt, erwartet sie eigentlich harmlose Einzelteile.

00:06:49: Zum Beispiel die Pixel eines Fotos.

00:06:51: Bei einer Deserialisierungsschwachstelle überprüft das Programm aber nicht genau was da wieder zusammengebaut wird.

00:06:58: Das heißt er baut das einfach blind zusammen?

00:07:00: Ja!

00:07:01: Der Hacker schickte also kein Foto sondern die Einzelteile eines bösartigen Skripts.

00:07:07: Plex baute dieses Skript ahnungslos zusammen und weil die Software mit den Rechten des angemeldeten Benutzers lief Führte sie es sofort aus.

00:07:15: Oh wow!

00:07:15: Zack, der Angreifer war im System und er konnte einen Keylogger also ein Tastenprotokollierer tiefem Betriebssystem verankern.

00:07:24: Okay das verstehe ich von der Mechanik her aber ich habe da trotzdem noch einen Knoten im Kopf.

00:07:28: Schieß los...

00:07:29: Der Ingenieur hatte doch garantiert Multifaktor-Authentifizierung für den Zugriff auf das Firmennetzwerk aktiviert.

00:07:35: Auf jeden Fall, ja.

00:07:36: Selbst wenn der Hacker das Master Passwort über diesen Plex-Keylogger stielt, hätte doch der MFA Prompt auf dem Handy des Ingenieurs den Angriff blockieren müssen!

00:07:45: Wo ist mein Denkfehler?

00:07:46: Dein Denkfehler liegt in der Ebene, auf der der Angriff stattfindet.

00:07:50: Der Angreifer hat nicht versucht sich von außen mit dem gestohlenen Passwort bei LastPass einzunorgen.

00:07:55: Ah... Der Keylogger saß direkt auf dem Rechner des Mitarbeiters.

00:07:59: Der Ingenieur gibt morgens sein Passwort ein, bestätigt Brav den MFA-Prompt auf seinem Handy und der sichere Tunne zur Firma öffnet sich.

00:08:06: Völlig legal und legitim!

00:08:08: Und der Angreifer sitzt nun Huckepack auf genau dieser legitimierten Verbindung?

00:08:12: Genau!

00:08:12: Das heißt, der Hecker klopft gar nicht von draußen an die Tür und scheitert am Türsteher – er versteckt sich quasi im Rucksack des Mitarbeiters, der gerade rechtmäßig inklusive Ausweiskontrolle durch die Tür geht.

00:08:24: Besser kann man es nicht ausdrücken, diese Analogie trifft es perfekt Und basierend auf den Analysen von Cybersecurity-Firmen und den echt hitzigen Diskussionen der DevObsum immunity of Reddit, wissen wir wie weitreichend das war?

00:08:38: Der Angreifer leitete seinen gesamten Datenverkehr fortan durch das Heimnetzwerk dieses Ingenieurs.

00:08:44: Für die Überwachungssysteme von LastPass sah das vollkommen normal aus.

00:08:48: Die Anfragen kamen ja von der bekannten, vertrauenswürdigen IP-Adresse des Mitarbeiters aus dem Homeoffice.

00:08:54: Wahnsinn!

00:08:54: Dadurch konnte der Hacker acht volle Wochen lang völlig unbemerkt im System operieren – vom zwölften August bis Ende Oktober.

00:09:02: Acht Wochen?

00:09:03: In der IT-Sicherheit ist das eine absolute Ewigkeit….

00:09:05: Das ist ein ganzes Leben, ja...

00:09:07: Wenn jemand acht wochenlang in den Archiven einer Bank herumlaufen kann nimmt er nicht nur einen Goldbahnen mit.

00:09:14: Was genau ist in dieser langen Zeit passiert?

00:09:17: Die Kommunikation von Las Pes war ja, gelinde gesagt eine Salamitaktik.

00:09:23: Ohja das waren PR-Disafter!

00:09:25: Erst im November gaben sie zu dass Kundendaten betroffen sind.

00:09:28: Im Dezember kamen dann Details zu den Tresoren und erst im März

00:09:34: Der Hacker hat in diesen acht Wochen Kopien der Cloud-Backups, der Kundendaten heruntergeladen.

00:09:39: Und hier ist die Unterscheidung immens wichtig!

00:09:42: Es gab unverschlüsselte und verschlüsselten Daten in diesem Backup.

00:09:46: Okay was war unverschlüsselt?

00:09:48: Unverschlüsselt waren Dinge wie Websiteurls, Firmennamen, Rechnungsadressen, E-Mail Adressen Telefonnummern und die IP-Adressen der Nutzer.

00:09:57: Das ist ja schon mal ein massiver Datenschutzvorfall

00:10:00: Richtig Aber verschlüsselt waren die eigentlichen Benutzernamen, die Passwörter und die sicheren Notizen.

00:10:10: Da muss ich jetzt aber direkt einhaken!

00:10:11: LastPass wirbt doch massiv mit ihrem Zero-Knowledgeversprechen

00:10:16: Ja das ist ihr Hauptverkaufsargument.

00:10:18: Die sagen Wir kennen dein Masterpasswort nicht?

00:10:21: Wir speichern es

00:10:22: nicht?!

00:10:22: Wir können deine Daten nicht lesen.

00:10:24: Wenn die mein Passwort nicht kennen Ist der Tresor doch sicher Egal ob der Hacker eine Kopie davon auf seinem Rechner hat oder nicht.

00:10:31: In der Theorie ja.

00:10:33: In der Praxis ist das ein gewaltiger Trugschluss!

00:10:36: Warum?

00:10:37: Zero Knowledge schützt dich hervorragend, solange die Daten auf den Servern von LastPass liegen.

00:10:43: Wenn du dort das falsche Passwort eingibst, blockiert dich das System nach ein paar Versuchen

00:10:48: wegen der Online-Sicherheitsmechanismen.

00:10:49: Genau, aber der entscheidende Punkt dieses Vorfalls ist – Der Angreifer hat die Tresore offline kopiert!

00:10:57: Er hat die Datenbanken auf seinen eigenen Server verfrachtet….

00:11:01: Ah

00:11:01: und Offline greift keine einzige Cloud Sicherheitsmaßnahme

00:11:05: mehr?

00:11:05: Exakt Keine Zwei-Faktor-Otentifizierung, keine IP-Sperre, keine Lock in Verzögerung.

00:11:11: Der Angreifer kann nun seine Serverfarmen anwerfen und unendlich viele Versuche starten – dein Masterpasswort per BruteForce also mit hoher Rechengewalt zu erraten!

00:11:22: Und genau an diesem Punkt wird ein Pre-Pup Paper der Eugenics Security, das ich gelesen habe, richtig spannend.

00:11:30: Die akademischen Forscher haben die Architektur von LastPass nämlich mal komplett auseinandergenommen.

00:11:36: Ein riesiger Kritikpunkt war die sogenannte Password-Erleitung, das KDF.

00:11:40: Ja, die Iteration.

00:11:42: Genau!

00:11:43: LastPass nutzte dafür hunderttausendhundert Iterations von PBKDF II.

00:11:48: Ich versuch' das mal zu übersetzen Das ist im Grunde als würde man ein Türschloss einbauen Dass sich nach jeder falschen Pin erst nach einer gewissen Zeit wieder tippen lässt.

00:11:57: Richtig?

00:11:58: So eine künstliche Bremse für den Angreifer.

00:12:00: Sehr gut zusammengefasst Diese Iterationen zwingen den Computer des Angreifers bei jedem einzelnen Rateversuch mathematische Operationen durchzuführen.

00:12:10: Was Zeit kostet?

00:12:11: Genau, das kostet Rechenzeit!

00:12:14: Wenn dein Masterpasswort lang und komplex ist, dauert das Erraten selbst mit riesigen Clustern von Grafikkarten Millionen von Jahren.

00:12:21: Aber... Das Problem isst dass Oversprojekt quasi die oberste Instanz für Web-Sicherheit empfiehlt mittlerweile mindestens dreihundertzehntausend Iterations

00:12:32: Und LastPass hatte nur hunderttausendhundert.

00:12:35: Richtig, und das ist für heutige Hochleistungs-Grafikarten die Milliarden von Hashes pro Sekunde berechnen können.

00:12:42: einfach zu wenig!

00:12:43: Das heißt der Schutz war vereiltet?

00:12:45: Ja wenn dein Passwort schwach ist sagen wir mal den Namen deines Hundes und ein Geburtsjahr dann sind diese hundert tausend hundert Iterationen einen Witz.

00:12:54: Der Türsteher der dich eigentlich verlangsam soll nickt einfach alles im Millisekunden Takt ab Puh.

00:13:00: Und die Forscher haben ja noch mehr gefunden.

00:13:02: Schwachstellen, die sie LP-Oleins bis LP-Nullsieben nennen.

00:13:06: Da waren ein paar üble Sachen dabei!

00:13:09: Einer der haasträubendsten Punkte war für mich das Fehlen einer authentifizierten Verschlüsselung.

00:13:15: LastPass nutzte stattdessen das veraltete AES CBC

00:13:20: Ein Klassiker der schlechten Kryptoimplementierungen.

00:13:23: Das führt zu etwas, dass die Forsche Mellable Vault Attack nennt.

00:13:27: Heißt das, der Angreifer kann den Tresor verändern ohne ihn vorher überhaupt zu entschlüsseln?

00:13:32: Genau das heißt es.

00:13:33: Bei einer authentifizierten Verschlüsselung gibt es eine Art digitales Siegel.

00:13:38: Wenn jemand auch nur ein einziges Bit der verschlüsselten Daten ändert bricht das Siegel und das System weiß hier wurde manipuliert Und

00:13:45: bei ASCBC fehlt das.

00:13:48: Ja, AES-CBC fehlt dieses Siegel.

00:13:51: Ein Angreifer kann also die verschlüsselten Datenwolken gezielt verändern!

00:13:55: Wenn du als Nutzer dann deinen manipulierten Tresor öffnest, könnte die Software theoretisch dazu gebracht werden, Daten an den Angreifern zu

00:14:02: liken.".

00:14:03: Das ist ja

00:14:03: heimtückisch!".

00:14:04: Es ist – als hätte jemand deinen physischen Tresort gestohlen?

00:14:08: Er kann zwar nicht direkt durch die dicken Stahlwände sehen aber durch gezieltes Schütteln erhitzen und abhören der Wende erfährt er extrem viel über den Inhalt.

00:14:17: Das ist ein echt unfassbar beunruhigendes Bild, vor allem wenn man bedenkt dass das keine akademischen Gedankenspiele im Labor geblieben sind.

00:14:25: Leider nein!

00:14:25: Ja die realen Konsequenzen haben die Nutzer mit brutaler Härte getroffen.

00:14:29: Berichte von Brian Craps auf seinem Blog Craps on Security und auch Erkenntnisse des FBI aus dem Frühjahr twenty-fünfundzwanzig bestätigen ja das Schlimmste.

00:14:39: Die Schadensumme ist unvorstellbar.

00:14:42: Es gab Krypto-Diebstähle in gigantischer Höhe von Hundertfünfzig Millionen Dollar.

00:14:48: Und die lassen sich direkt auf diese geknackten Lastpass-Tresore zurückführen!

00:14:52: Wir sprechen hier von über hundertfünftig identifizierten Opfern...

00:14:56: ...und hier zeigt sich die ganze Brisanz der unverschlüsselten Metadaten, über die wir vorhin gesprochen haben.

00:15:01: Wie meinst du das?

00:15:03: Die Hecker haben ja nicht versucht, Millionen von Tresoren wahrlos zu knacken.

00:15:07: Das wäre selbst mit riesigen Serverfarmen total ineffizient gewesen.

00:15:12: Sie haben selektiert.

00:15:13: Richtig!

00:15:14: Jan sich die unverschlüsselten URLs und Notiztitel angesehen, wenn da stand Crypto Wallet Backup oder wenn der URLs von bekannten Kryptobörsen zu sehen waren, wussten sie genau welche Tresore die lukrativsten Ziele sind.

00:15:28: Smart Und erschreckend.

00:15:30: Auf

00:15:30: diese gezielten Tresore haben sie dann ihre gesamte Rechenpower angesetzt, um das Masterpasswort zu brechen.

00:15:37: Weil die Nutzer ihre sogenannten Crypto Seed Phrases – also diese ultimativen Wiederherstellungsschlüssel für ihre digitalen Geldbörsen in den sicheren Notizen von LastPass gespeichert hatten?

00:15:49: Genau!

00:15:49: Und zack waren hundertfünfzig Millionen Dollar weg.

00:15:52: Natürlich hatte das auch rechtliche Konsequenzen, die britische Datenschutzbehörde ICO verhängte im November zwanzig fünfundzwanzig eine Strafe von eins Komma zwei Millionen Pfund.

00:16:02: zu Recht muss man sagen.

00:16:03: der Grund war unzureichende technische Maßnahmen speziell Die mangelnde Kontrolle darüber dass private Endgeräte für sensible Firmen zugänge genutzt wurden.

00:16:12: Das alte BYOD-Problem.

00:16:14: Bring your own device!

00:16:16: Genau, und in den USA endete eine gewaltige Sammelklage Anfang im Jahr mit einem Vergleich von µm².

00:16:26: Diese rechtlichen Folgen sind wichtig – ja aber sie bringen den Nutzern ihr verlorenes Vertrauen nicht zurück?

00:16:32: Nee absolut nicht.

00:16:34: Dieser Fall zwingt uns dazu unser Verhältnis zu Drittanbietern völlig neu zu bewerten.

00:16:39: Wir lagern unsere sensibelsten Daten aus, weil es halt extrem bequem ist.

00:16:44: Und weil man dachte die wissen was sie tun!

00:16:47: Richtig wir gehen davon aus dass Firmen wie Last Pass eine art magische Aura der Sicherheit um sich herum haben.

00:16:55: Aber die Angreifer mussten sich hier nicht durch futuristische Firewalls hacken.

00:16:59: Sie haben einfach eine toxische Kombination aus alltäglichen Versäumnissen ausgenutzt.

00:17:03: Das ist genau der Punkt der mich bei der Recherche so fasziniert hat.

00:17:06: Es gab nicht den einen fatalen Fehler.

00:17:09: Nee Es war eine Kette.

00:17:10: Es

00:17:11: ist ein kaskadierendes Versagen auf mehreren Ebenen, da war die Nachlässigkeit eines einzelnen Mitarbeiters der ein private Software Update ignoriert hat?

00:17:19: Dann die mangelhaften Unternehmensrichtlinien.

00:17:21: Genau!

00:17:22: Die Bring Your Own Device erlaubten ohne durchzusetzen dass diese privaten Geräte den gleichen Sicherheitsstandards unterliegen wie Firmbrechner.

00:17:29: und als dritter Faktor die schwache Krypto-Architektur.

00:17:32: Richtig mit diesen veralteten Iterationsstandards die den Offline Angriff erst rentabel gemacht haben Wenn auch nur eine einzige dieser Schutzschichten funktioniert hätte.

00:17:42: Wäre

00:17:42: das alles nicht passiert?

00:17:43: Genau!

00:17:44: Wenn Plex aktualisiert gewesen wäre, wenn der HeimPC keinen Zugriff auf die hochsensiblen AWS-Schlüssel gehabt hätte oder wenn die Verschlüsselung modernen Standards entsprochen hätte dann wäre diese Hundertfünfzig Millionen Dollar Schaden vermutlich nie entstanden.

00:18:01: Es ist wirklich wie ein Kartenhaus dass in Zeitlupe zusammen fällt Und das bringt mich zu einer Frage, die du dir als Zuhörer jetzt vielleicht stellst.

00:18:09: Was bedeutet das für mich ganz persönlich?

00:18:11: Das ist die wichtigste Frage!

00:18:13: Du denkst vermutlich dein Passwort-Manager ist ein absolut sicherer Hafen für alles.

00:18:17: Aber wenn kriminelle gezielt Seedphrases aus diesen Tresoren stehlen können nur weil das Masterpasswort nicht komplett genug war welche anderen hoch sensiblen Daten liegen gerade jetzt in deinen digitalen Notizen Dein geskanter Reisepass

00:18:31: oder die Zugänge zum Firmennetzwerk deines eigenen Arbeitgebers.

00:18:35: Richtig!

00:18:36: Fassen wir das Unfassbare noch einmal zusammen, ein einziges vergessenes Update einer völlig banalen App mit der man abends auf der Couch filmestreamt hat einen Multimillionen-Dollarunternehmen in die Knie gezwungen.

00:18:52: Es hat das Vertrauen von Millionen Nutzern weltweit erschüttert und zu unauffaltsamen Raubzügen geführt.

00:19:00: Das ist der wahre Schmetterlingseffekt der Cyber-Sicherheit.

00:19:03: Die angeblich unknackbare Festung fiel, weil der Chefarchitekt zu Hause beim Serien schauen das virtuelle Fenster aufgelassen hat.

00:19:12: Eine sehr treffendes Bild!

00:19:14: Und das ist die letzte aufrüttelnde Überlegung, die ich dir heute mit auf den Weg geben möchte.

00:19:19: Wenn ein hochbezahlter speziell ausgebildeter DevOps-Sicherheitsexperte ein Update seiner Software über drei Jahre hinweg in seinem privaten Netzwerk einfach vergessen kann,

00:19:29: dann kann das uns allen passieren.

00:19:31: Laufen eigentlich gerade in diesem exakten Moment im Hintergrund auf deinem eigenen Laptop!

00:19:36: Welche vergessene App auf deinm Smartphone hat immer noch weitreichende Berechtigungen?

00:19:42: Und welches dieser unscheinbaren Programme fungiert vielleicht genau jetzt als offene Hintertür zu deinem gesamten Digitalen und vielleicht auch beruflichen Leben?

00:20:11: Bis zur nächsten Folge, bleib aufmerksam und digital sicher.