Candletalk

Für eine wirklich qualifizierte Untersuchung von Fakes dürften den meisten Anwendern die Kenntnisse fehlen und insbesondere das Gespür für verborgene Sicherheits-Fallen, wo die Paranoia kaum groß genug sein kann.

Eine professionelle Untersuchung findet normalerweise nur auf gesonderten Quarantäne-Rechnern statt, die jeweils neue Platten-Images benutzen. Mit geeigneter Hardware zum Reset (aber nicht alle solche Karten sind sicher genug!) kann man frische Images auch fixer erzeugen als durch vollständiges Neu-Einspielen.

Virtuelle Maschinen oder Sandbox-Software bieten keine vollständige Sicherheit, da gut gemachte Hacker-Software aus ihnen ausbrechen kann.

Die potentielle Gefährlichkeit der in den Anhängen verborgenen Software sollte nicht unterschätzt werden, da die Menge und die Mechanismen der Schad-Funktionen heute kaum noch Denkleistung der Hacker erfordern, sondern größtenteils durch Anklicken in Software-Baukästen erzeugt werden können. Auch ist die Menge an Schad-Funktionalität nicht durch die Dokumenten-Größe beschränkt, da mit einem kleinen Stück Anfangs-Software der Rest später - auch lange nach Schließen des Anzeige-Programms mit dem Exploit - nachgeladen weden kann. Wenn das über ausreichend lange Zeit verteilt genug gemacht wird, können nahezu unbemerkt Giga-Byte-weise Mengen schlimmster Software auf dem Rechner landen und ihn auch von außen fernsteuern lassen (inkl. Auspähen der Trading-Paßworte! oder gar Hooks in laufende Orders - gab es alles schon!).

Die Untersuchung sollte möglichst mit einer anderen Software, die dieses Format untersuchen kann, ohne auf die Exploits herein zu fallen, geschehen - und diese wird der übliche Anwender auch nicht bei der Hand haben.

Gundsätzlich sollte man die Anhänge NIEMALS unbedacht öffnen, auch nicht mit vermeintlich "sicheren" Programmen, da auch deren Formate für Exploits (Einbruch-Stellen) anfällig sind und neu von Hackern aufgedeckte Exploits (zero day attacks) von nur ganz wenigen oder gar keiner Sicherheits-Softwares erkannt werden.

Solange solche Schreiben nicht personalisiert sind, kann man sie als Fake-Mail nicht ganz so übermäßig gefährlicher Spinner löschen, ohne große Mühe darauf zu verwenden. Man kann aber trotzdem auch die folgenden Aktivitäten ausführen.

Anzeige erstatten!

Sofern die Leute beim Verschicken von Fake-eMails sogar persönliche Daten kennen, obwohl sie die nicht einfach aus dem Namen in der eMail entnehmen konnten, sollte bei der Polizei eine Anzeige gemacht werden, weil dann eine kriminelle Infra-Struktur mit einiger Energie aufgebaut wurde und real potentiell gefährliche Daten-Lecks und Daten-Zusammen-Führungen existieren, die in anderen Fällen vielleicht doch größere Weiterungen nehmen können, auch für einen selbst.

Eine solche Anzeige sollte heute in den meisten Bundesländern auf elektronischem Wege über ein Web-Formular möglich sein. Auch eine Meldung beim Datenschutz-Beauftragten kann man machen.

Bei diesen beiden Varianten kommt nicht unbedingt eine für einen selber sichtbare Aktivität der Behörden heraus, sie läßt aber mit steigender Anzahl von Anzeigen das Aufmerksamkeits-Potential steigen, doch vielleicht etwas genauer hin zu schauen.

Eine gute Idee ist in jedem Fall die Information des angeblichen Ausstellers der Rechnung unter Beifügung der original eingegangenen eMail als Anhang. Da sind manche Firmen durchaus sehr aktiv in der Verfolgung von fälschlich unter ihrem Namen begangenen Straftaten und die ziehen dann auch exzellente Profis heran und setzen im Falle der Aufdeckung neben der Härte des Strafrechts auch noch vernichtende Zivil-rechtliche Ansprüche durch, oftmals auch in Jurisdikionen, die für einen Privat-Mann nicht mal in Erwägung kommen.

Die Methoden und Kooperationen, die die beauftragten professionellen Verfolger benutzen, gehen dabei deutlich über ein Stochern im Nebel und hilfloses Lavieren nur im Datennetz hinaus und können in Kombination mit traditionellen offiziellen und inoffiziellen Detektiv-Methoden relativ oft Beachtliches leisten. Zwar geben sich nicht alle Unternehmen dabei wirklich große Mühe, aber grundsätzlich weiß man nicht, über welche Kanäle sie dem nachgehen und daher ist es alle Male einen Versuch wert und häufig die Maßnahme mit der effektivsten Wirkung.

Die Maßnahmen sollten durchaus für jede Wiederholung ebenfalls wiederholt werden, was im Zeitalter per Vorlage ausfüllbarer Formulare kaum ein Problem sein sollte. Anderenfalls kann es trotz einer Massen-Plage durchaus vorkommen, daß der Anzeigen-Zähler nicht das Maß der notwendigen Schwelle erreicht.

Aus Anlaß einer Frage im MetaTrader-Thread weise ich wieder einmal auf die Notwendigkeit einer ordentlichen Backup-Infrastruktur hin:

Wenn vorher etwas ging und plötzlich nicht mehr, muß sich irgendwas an der Software oder im Umfeld geändert haben.

Software ist trotz allen und auch vielfältigen automatischen Updates kein Lebewesen, welches so feine Strukturen hat, daß die Summe des autonomen Zusammenwirkens ein echtes Eigen-Leben entfalten kann - selbst wenn es oft so scheinen mag. Mit geeigneter Software kann man das auch über Prüfsummen und Änderungs-Historien über den Files nachvollziehen, wenngleich der wirkliche praktische Nutzen bei Voll-Vernetzung und diversem Nach-Hause-Telefonieren heutzutage eher stark nachläßt - es sei denn, man unterbindet exzessive automatische Änderungen zu jeder Zeit und bündelt sie zeitlich, wobei eine ausgereife Proxy-/Firewall-Struktur einiges mithelfen kann.

Wenn die Hotlines der Anbieter, die immer die erste Hilfe-Instanz sein sollten, nicht weiterhelfen, sollte jede Software wenigstens unmittelbar nach der Neuinstallation richtig funktionieren. Die History kann man ja sichern und rückstellen, wenn sie unbedingt gebraucht wird.

Darüber hinaus gehört zum verantwortlichen Umgang mit Computern das regelmäßige vollständige Platten-Backup als komplettes Image mindestens wöchentlich, am besten ergänzt um tägliche inkrementelle Backups. Im Zeitalter großer Festplatten ist das auch kein Problem und kann mit jeder ordentlichen Software auch automatisch bewerkstelligt werden, bei besserer Software auch im Hintergrund während der normalen Arbeit.

Da bei jedem Computer - egal wie lange er problemlos lief - jederzeit alle möglichen Probleme beginnen können, ist ein Arbeiten ohne Backups eher mit russischem Roulette als mit effektiver Arbeit gleich zu setzen. Das merkt man aber immer erst, nachdem der Schaden schon eingetreten ist.

Aber selbst wer extrem faul ist und nur ein lange zurückliegendes Backup hat, kann notfalls bei gravierenden Problemen selbst das zurückstellen und so die Ursache prüfen. Wer die Zeit zum Überspielen (liegt bei gängigen Platten und einer ausreichenden Partitionierung meist nur im Bereich unterhalb von Stunden) kann auch die Backup-Images mounten und nur die betroffenen Directories im Explorer kopieren.

Ansonsten ist es bei den sehr preiswertn Platten auch kein Problem eine voll installierte Platte zu clonen, auszubauen und bei Bedarf wieder einzubauen. (Vom Clonen und späteren Einbau der neuen Platte auf gut Glück ist strikt abzuraten, da sie gerade unter Zeitdruck vielleicht nicht wie erwartet funktioniert.)

Bei vielen Rechnern ist das eine Sache von wenigen Minuten. Selbst für Geräte, die schwierig im Aufbau sind, gibt es regelmäßig im Netz schrittweise Anleitungen. Für Desktops gibt es dafür auch von außen zugängliche Wechsel-Rahmen-Einschübe (habe ich früher stets genutzt und für jedes Projekt eine gesonderte Platte gehabt).

Weiterhin kann man noch nachdenken, ob man nicht grundsätzlich ein Maximum extern speichert, sei es mit einfachen externen Platten oder mit NAS. Dem fallweise erheblichen Aufwand mit den Abhängigkeiten von Registry und System-DLLs steht der Vorteil recht einfacher Verwaltung gegenüber, bei etwas teureren Systemen im Bereich einiger Tausend Euros auch inkl. Hot-Swapping, permanenten Schatten-Kopien, Verteilung etc. Ab einer bestimmten Konto-Größe ist sogar das Errichten einer ausgefeilten Infrastruktur durch einen externen Profi eher Normalität als Luxus, weil es sich dann komparativ mehr rechnet, sich mit seiner eigentlichen Kompetenz - dem Trading - zu beschäftigen als mit begrenzter Kompetenz in den Untiefen der Hard- und Software herum zu stochern.

Wenn heute die Lösung auch trivial war, kann schon morgen ein existentielles Problem durch mangelnde Backups entstehen.

Das überzeugt nicht wirklich und hat einen gewissen Panik-Mache-/Wichtig-Tu-Faktor. Auf der Test-Seite wird wohl vorrangig die IP-Adresse mit einer Datenbank abgeglichen, was bei der Vergabe dynamischer IP-Adressen nur begrenzte Aussage-Kraft hat. Wenn man das so simpel machen will, müßte man schon die komplette "Browser-Signatur" abgleichen, die alle heranziehbaren nach außen übermitelten Kennzeichen des Browsers auswertet und in der Regel nur für einen aus Zehn- oder Hundert-Tausenden Rechnern völlig gleich ist.

Statt andauernd die Nutzer zu verunsichern, sollte man ohnehin die IT-Firmen stärker in die Verantwortung nehmen, nicht wider besseres Wissen schlecht geschützte Produkte in Verkehr zu bringen. Dadurch gefährden sie nämlich vorsätzlich die Stabilität der IT-Infra-Struktur der ganzen Welt. Z. B. gibt es für viele Protokolle auch sichere Varianten, die mit kryptografischen Schlüsseln arbeiten und die nicht mit Plump-Methoden überlistet werden können, die aber viel zu selten benutzt werden.

Beim Betriebs-System könnten die Leute statt immer neuer, in ihrer Komplexität oft kaum genau zu begreifender Features mal die ganzen gravierenden Alt-Lasten nachbessern.

Na wenigstens soll Amazon zügig nachgebessert haben.

Ich habe übrigens schon mal ein ATS auf Amazons EC2 laufen lassen und zum Testen mit massivem Rechenpower-Bedarf sind sie sowieso erste Wahl.

Dortige Sicherheits-Lücken will ich mal nicht über-bewerten, weil auch heimische oder betriebliche Installationen fast alle schwere Sicherheits-Mängel aufweisen. Ursache sind nicht etwa zu "dumme" Endnutzer, sondern völlig links-gestrickte Betriebs-Systeme und Basis-Softwares, die in ihrer unnötigen Komplexität niemand mehr als Ganzes verstehen kann.

@ trash

Ich hatte das von Dir im Post von 13:31 erwähnte Sandboxie auch schon in der Probezeit im Einsatz, allerdings war es mir die 29 € (waren damals [glaube ich] noch deutlich mehr) für eine technologische Extra-Schiene dann doch nicht wert, da man den gleichen Effekt mit einer voll ausgebauten virtuellen Maschine (VMWare, VirtualBox, VirtualPC etc.) auch hinbekommt, insbesondere wenn man mit Nachnutzung eines schon vorhandenens Betriebs-System eines verschrotteten Rechners keine Lizenz-Kosten hat.

Wo siehst Du den Vorteil von Sandboxie, was zweifelsohne eine gute Software ist, gegenüber einer vollständigen VM?

Bei für den Durchschnitts-Anwender nahezu nie vorhandenem Bedarf (z. B. bei Erkundung nicht voll verstandener Hardware-Komponenten) könnte die Ebene des Verfolgens einzelner Maschinen-Befehle durch JTAG-Applikationen oder direkte Untersuchung physikalischer Parameter (direkt an den Bus-Leitungen oder auch an abgestrahlten Signalen) sogar noch unterschritten werden, indem jedes einzelne Signal im Inneren des Systems verfolgt wird.

Im Prinzip ist man sich sehr tiefgehender Angriffe schon sein etwa 2 Jahrzehnten bewußt und gerade Hersteller von Chip-Karten treiben geradezu abenteuerliche Aufwände, ihre Hardware untracable zu machen, wie z. B. absichtlich geometrisch zu 3D-Irrgärten verdrehte Bus-Leitungen, so daß man eine einzelne Leitung kaum noch anzapfen kann, Bus-Scrambler, die die einzelnen Bus-Leitungen mit raffinierten Algorithmen in Echtzeit austauschen, Schichten von Substanzen oder Schaltungsteile, die in einem irregulären Umfeld, den Chip dauerhaft zerstören, absichtliche Temperatur- oder Strom-Ungleichgewichte, um eine thermische oder elektromagnetische Ausspähung zu erschweren.

In einigen Fällen ist es trotzdem gelungen, ohne Kenntnis der Geheimnisse Erlaubnisse zu erschleichen, indem statt der richtigen Security Credentials als Input einfach physikalisch das Output-Signal im richtigen Zeitpunkt eingespeist wurde. Sicher hat die Oma um die Ecke die dafür erforderlichen Gerätschaften nicht bei der Hand, aber diverse Kartenfälscher benötigen sie standardmäßig und in der unbenutzen Zeit ruft das teure Equipment geradezu nach Zusatz-Aufgaben.

Es gibt also durchaus schon einige Erfahrung, Systeme, die sich sogar dauerhaft außerhalb einer kontrollierten Umgebung befinden, recht wirksam (aber natürlich niemals total) zu schützen. Und an der Sicherheit von Chip-Karten bestehen bei ordentlichem Gesamt-Layout des sie benutzenden Systems heute trozt aller Bedrohungs-Szenarien so wenig Einwände, daß sie mit zum Sichersten gehören, was die IT-Welt anbieten kann und damit auf der ganzen Welt, nahezu bei jedermann grundlegende Infrastrukturen geschützt werden, seien es Kommunikations-Netze, der Geld-Verkehr oder Zugangs-Kontrollen.

Bezogen auf das Trading spielen solche, derzeit noch glücklicherweise mehr theoretischen Angriffe, z. B. auf mobile TAN-Generatoren, Handy-TAN, HSBI-Chip-Karten und ihre Lese-Geräte, Biometrik-Sensoren und Verschlüsslungs-Karten, nur eine praktisch noch unbedeutende Rolle. Entsprechend dem laufenden Hase-und-Igel-Spiel zwischen Angreifern und Verteidigern wird es bei zunehmender Verbreitung solcher Authentifizierungs-, Autorisierungs- und Verschlüsselungs-Systeme aber auch da zu unerwünschter Bewegung kommen, wie man das nach gravierenden Problemen mit mehrfach nötigem Hardware-Tausch beim Bezahl-Fernsehen, zunehmend öfter auftauchenden gefälschten Handy-Karten und einem vor Jahren schon in der Test-Phase geknackten eMoney-System bereits absehen kann.

Daß dabei die Verteidiger bei weitem nicht immer blendend dastehen, zeigt sich auch im KFZ-Bereich, wo einstmals hochgelobte Sicherheits-Systeme derzeit heute eher nur noch eine Basis-Sicherheit bieten, die gegen adäquat ausgerüstete Banden kaum noch ein Hindernis darstellt. Es wird also nur das Gewicht vom ärgerlichen Zufalls-Schaden durch irgendwelche asozialen Gelegenheits-Täter zu hoch-professionellen mafiösen Strukturen verschoben.

Kommen dann noch Interessen-Konflikte zwischen dem an mehr Absatz von Produkten (z. B. KFZ) oder Leistungen (z. B. Security-Abonnements) oder Kosten-Minimierung bzw. Beibehaltung alter Abläufe (z. B. bei Bank-Karten) hinzu, hat der aller-aller-größte Anteil der Nutzer leider schon nahezu verloren.

Darum muß man die jeweils aktuelle Lage auf dem ganz konkreten Einsatzfeld genau beobachten, die bei weitem nicht homogen über alle Einsatz-Gebiete ist, da die Schnelligkeit des Ausschlachtes von Sicherheits-Lücken je nach Gebiet in Abhängigkeit des Wechselspiels von Angreifern und Verteidigern um viele Größen-Ordnungen differiert. Auf manchen Gebieten herrscht langjähriger Waffen-Stillstand auf anderen überschlagen sich die Bedrohungen im kurzen Rhytmus, daß man kaum noch nachkommt.

hapack's Frage ist relevant, interessant und leider auch sehr diffizil. Sie betrifft auch Trader ganz direkt, die z. B. ihre automatisierten Handels-Systeme auf fremden Rechnern in Rechenzentren laufen lassen.

Erstaunlicherweise schließe ich mich sowohl hapack's als auch DickT's Ansicht zugleich an. Damit kommt dann zu der "normalen" Paranoia bei Sicherheits-Fragen die fast ebenso "normale" Schizophrenie bei Sicherheits-Fragen hinzu.

Grundsätzlich gibt es im Widerspruch zwischen dem Schutz gegen alle denkbaren Bedrohungs-Szenarien gegen jedermann und alles und Usability- und Performance-Anforderungen einer Lösung leider keinen vorab bestimmten Königsweg.

Trotz allen nötigen technischen Grund-Verständnisses für die prinzipiellen Angriffs-Varianten und das Installieren von allerlei Mechanismen dagegen, bleibt Sicherheit viel mehr ein Teil-Aspekt in einem Gesamt-Nutzungs-Konzept als nur eine mit rein technischen Mitteln zu lösende Frage.

Offenkundig ist, daß man physisch weit entfernte, ggf. sogar nur virtualisierte Hardware selber überhaupt nicht physisch kontrollierbar schützen kann und damit automatisch diverse Mechanismen, die bei einem auch nur kurzzeitigen Aus-der-Hand-Geben einer Hardware allesamt kompromittierbar sind, prinzipiell nicht wirken. Andererseits bieten moderne Rechenzentren gegen eine Vielzahl von Vorkommnissen einen weitaus besseren Schutz, als er an vielen anderen Orten jemals ereichbar ist.

Ebenso sind Grund-Elemente des Systems, wie die original ausgeliefete Hardware selber, die Systems- und Anwendungs-Software - darunter auch insbesondere die "Sicherheits"-Software oder die ausgesandten elektromagnetischen Strahlungen auch bei physischer Kontrolle über die Hardware zumindest in einer halbwegs offenen Umgebung mit Kommunikation zur Außenwelt kaum wirklich wasserdicht unter Kontrolle zu bringen.

Bei aller berechtigten Kritik am weitgehenden Outsourcing in die Cloud, sollte bei realistischer Gegenüberstellung für echte Bedrohungs-Lagen die Cloud also trotzdem nicht so schlecht abschneiden, wie sie das bei einer vorschnellen Zusammenfassung all ihrer Defizite zu machen scheint.

Gegen Script-Kiddies ist man je nach bestelltem Grund-Paket in einem Rechen-Zentrum bestimmt besser geschützt als auf einem nur mäßig ordentlich administriertem Rechner, wozu die übergroße Mehrheit privater Rechner gehören wird. Gegen wirklich potente Opponenten mit einem hohen Maß organisierter krimineller Energie, wie professionellen Hacker-Banden, Geheim-Diensten, mutwilligen Outsourcing-Partnern oder aber auch nur einfacher Schludrigkeit fahrlässiger Administratoren kann man sich ohnehin nur sehr schlecht schützen.

Letztlich muß die ganze Sache ökonomisch sinnvoll betrachtet werden, wobei in vielen Fällen die hochgradige Skalierbarbarkeit und sofortige Verfügbarkeit von Ressourcen ohne eigene aufwendige Investitionen und Installationen viele Anwendungen durch die Cloud überhaupt erst möglich gemacht werden.

Es sei noch bemerkt, daß viele Mechanismen, wie z. B. Total-Verschlüsselung der Datenträger, in der Cloud gegen Angriffe auf dort laufende Prozesse gegen viele Bedrohungs-Szenarien nahezu überhaupt nicht wirken, da der Prozeß haarfein beobachtet werden kann, auf der Ebene des Einzelschritt-Debuggens und des irregulären Auslesen des gesamten Haupt-Speichers, insbesondere in einer voll virtualisierten Hardware sowieso, aber gerade in der Cloud ist es auch besonders einfach, einzelne für die "Bedarfsträger" besonders interessante Prozesse sogar auf Sonder-Hardware zu verschieben, die mit überhaupt keinen Mitteln durch die Software als Teil einer spionierenden -Umgebung erkannt werden kann, wie das beim einfachen Nutzen von Debuggern und Virtualisierern mit einigem Aufwand meist noch geht.

Den im Trading relevanten Fall einer einfachen Installation eines permanent laufenden automatischen Handels-System halte ich daher für verantwortbar und durchaus praktisch.

Wie so oft bleibt also der Anwender mit seiner Entscheidung auf sich alleine gestellt und muß sie nach "gesundem Menschenverstand" (lt. Einstein die Summe aller bis zum Erwachsen-Werden erworbenen und erhärteten Vorurteile) verlassen und kann mangels ausreichender Information gar keine vollständig bis ins Letzte begründete Entscheidung treffen. Aber darin sollten Trader ja sowieso ziemlich gut sein.

Ich selber benutze die Cloud übrigens recht intensiv, sowohl privat als auch geschäftlich - und genau wie oben gesagt, indem ich ihr einerseits paranoid überhaupt nicht und gleichzeitig schizophren doch irgendwie vertraue.

Das total sichere Haus hat weder Fenster noch Türen und auch keine weiteren Öffnungen - damit ist es aber auch vollkommen unbewohnbar, weil weder betretbar noch mit Luft zum Atmen. Und trotzdem hält selbst das einer großen Explosion noch immer nicht stand.

Darum auch in Sicherheits-Fragen: Augenmaß!