News Bundespolizeigesetz: Innenministerium will Hackbacks einführen

[cohrvan]

500.000€ für Sicherheitslücken im Jahr. Wie viel bekommt man denn dafür? So ca. eine halbwegs brauchbare?

Bei der Bundeswehr wurde eine Cyberkrieger Abteilung eingerichtet. Zu der ausstatungen waren unterdessen Kaffevollautomaten im wert von 36.846€ gekauft worden. Nun ist es offiziel..."Barrista" ist ein Offiziersgrad XD

 

[Baltic74]

540000,-€ alle 5 Jahre für neue Hardware?! Das ist ja lächerlich wenig

 

[Haxor]

Bei der Bundeswehr wurde eine Cyberkrieger Abteilung eingerichtet. Zu der ausstatungen waren unterdessen Kaffevollautomaten im wert von 36.846€ gekauft worden. Nun ist es offiziel..."Barrista" ist ein Offiziersgrad XD

Das klingt jetzt für mich nicht nach einem übertriebenen Preis. Professionelle Geräte sind teuer und Service-Dienstleistungen sind da meistens auch inbegriffen. Taugt für mich jetzt nicht unbedingt als Beispiel für Steuergeldverschwendung, da gibts ganz andere Baustellen (im wahrsten Sinne des Wortes).

Wenn man aber sieht, wie verhältnismäßig wenig Gelder in Deutschland in die Bereiche der Digitalisierung fließen, dann weiß man auch, dass die Politiker diese Themen nicht wirklich ernst nehmen.

 

[Lübke]

Es ist in den meisten Fällen schlicht unmöglich, die Quelle eines Hacks präzise zu lokalisieren. Alleine weil solche Angriffe meist ja nicht mal aktive Angriffe sind, sondern popelige Trojaner wie sie millionenfach durchs Internet schwirren. Das klingt nur hinterher doof, daher lieber sagen, dass man Ziel eines Angriffs geworden ist. Das klingt dann als hätte man da nichts gegen tun können.

Am Ende muss man die eigenen Systeme absichern und nicht "zurück hacken". Meine Wohnung wird auch nicht dadurch sicherer, dass ich bei anderen Leuten einbreche.

ich glaub du verkennst wofür das gedacht ist. es geht hier NICHT darum, dass man opfer von trojaner oder fishing wird, es geht um aktive hackerattacken auf regierungsnetzwerke!
und ich halte die idee an sich für gut. bei der umsetzung allerdings hätte ich schon noch ein paar bedenken. aber grundsätzlich eine gute sache, dass man sich hier gedanken macht und endlich mal was tut. auch das geplante budget erscheint mir realistisch für ein kleines team. ob das auf dauer reicht um alle relevanten netzwerke zu verteidigen muss sich zeigen, aber es ist ein schritt in die richtige richtung.
es braucht allerdings höhere hürden für kollateralschäden. für einen schädlichen angriff müssen die angreifer eindeutig lokalisiert sein, was schwierig ist. aber eben auch nicht unmöglich. man muss eben erst klein anfangen und erfahrungen sammeln und dann die kompetenzen schrittweise erhöhen/anpassen.
nix tun und weiter beliebtes opfer für hacker und ausländische geheimdienste sein halte ich jedenfalls nicht für richtig.

 

[strempe]

Nun ist es offiziel..."Barrista" ist ein Offiziersgrad XD

Wo hat er denn gedient? Wenn dann Barista und Dienstgrad. Und die Bw Bezeichnung wäre dann HekeS (Heißgetränk, kaffeeähnlich, erzeugender Soldat)

 

[joshlukas]

ich glaub du verkennst wofür das gedacht ist. es geht hier NICHT darum, dass man opfer von trojaner oder fishing wird, es geht um aktive hackerattacken auf regierungsnetzwerke!
und ich halte die idee an sich für gut. bei der umsetzung allerdings hätte ich schon noch ein paar bedenken. aber grundsätzlich eine gute sache, dass man sich hier gedanken macht und endlich mal was tut. auch das geplante budget erscheint mir realistisch für ein kleines team. ob das auf dauer reicht um alle relevanten netzwerke zu verteidigen muss sich zeigen, aber es ist ein schritt in die richtige richtung.
es braucht allerdings höhere hürden für kollateralschäden. für einen schädlichen angriff müssen die angreifer eindeutig lokalisiert sein, was schwierig ist. aber eben auch nicht unmöglich. man muss eben erst klein anfangen und erfahrungen sammeln und dann die kompetenzen schrittweise erhöhen/anpassen.
nix tun und weiter beliebtes opfer für hacker und ausländische geheimdienste sein halte ich jedenfalls nicht für richtig.

Meiner Meinung nach ist das eine völlig falsche Fehlentwicklung, dass sich die Menschheit in diese Richtung hin entwickelt. Eine Gesellschaft sollte eine wohlwollende Utopie anstreben in der alle Menschen glücklich, erfüllend sind und rücksichtsvoll miteinander umgehen. Nicht um eben diese Utopie zu erreichen, sondern sich stetig zu verbessern und den Wissensdrang zu fördern. Angriff und Abschottung sind der falsche Weg. Man sollte darauf hin arbeiten, dass es irgendwann mal keine Grenzen gibt, es möglichst allen Menschen gut geht und der menschliche Vortrieb nicht zulasten anderer oder von Minderheiten wird.

EDIT:

aber grundsätzlich eine gute sache, dass man sich hier gedanken macht und endlich mal was tut.

Es soll sich doch nicht etwas tun nur um beruhigend zu wirken, sondern Menschen in bestimmten Positionen sollen etwas bestimmtes, wohlbedachtes des Wohles aller tun.

 

[Conqi]

Aber Du könntest beim Einbrecher die Bude knacken, Deine Sachen zurückholen oder ihm ein Ei in's Nest legen - Du kriegst dann womöglich raus, wie er den Bruch gemacht hat, um Deine Wohnung besser zukünftig abzusichern...

Nur ist im digitalen Bereich nix mit zurückholen. Es war ja nie wirklich weg. Was einmal von einem Server kopiert wurde, wird vermutlich sofort an mehrere Stellen weiter gereicht. Die Daten kann man nur noch als bekannt betrachten danach.
Eigene Trojaner einpflanzen in der Hoffnung, Informationen abzugreifen, ist eine Möglichkeit, aber ich halte die Erfolgsaussichten da nicht für groß.

ich glaub du verkennst wofür das gedacht ist. es geht hier NICHT darum, dass man opfer von trojaner oder fishing wird, es geht um aktive hackerattacken auf regierungsnetzwerke!

Davon steht nichts in dem Gesetzesentwurf. Dort ist generell von "Cyberangriffen" die Rede, die eine aktuelle Bedrohung darstellen. Das beschränkt sich weder auf Regierungsnetze, noch muss dafür jemand aktiv am hacken sein.

es braucht allerdings höhere hürden für kollateralschäden.

Nur werden die in diesem Gesetz explizit akzeptiert.

für einen schädlichen angriff müssen die angreifer eindeutig lokalisiert sein, was schwierig ist. aber eben auch nicht unmöglich.

Klar ist es nicht unmöglich, aber es ist von der Gegenseite her wiederum leicht möglich, falsche Informationen zu verbreiten. Da schreib ich meine Kommentare im Code auf dänisch, nutze ein Botnetz aus Dänemark und schon hackt die Bundespolizei irgendwelche dänischen Systeme, die damit womöglich gar nichts zu tun haben.
Das wird dir praktisch jeder Experte bestätigen. Eine Attributisierung bei solchen Attacken ist einfach viel zu oft falsch als dass man darauf basierend Gegenangriffe starten sollte.

nix tun und weiter beliebtes opfer für hacker und ausländische geheimdienste sein halte ich jedenfalls nicht für richtig.

Ich verstehe nicht, warum das Gegenteil von Hackbacks nichts tun sein soll. Man muss die eigenen Systeme absichern über technische und organisatorische Maßnahmen; es gibt da vermutlich mehr als genug zu tun in den ganzen Regierungsstellen.

 

[Lübke]

Davon steht nichts in dem Gesetzesentwurf. Dort ist generell von "Cyberangriffen" die Rede, die eine aktuelle Bedrohung darstellen. Das beschränkt sich weder auf Regierungsnetze, noch muss dafür jemand aktiv am hacken sein.

in dem gesetz steht ausdrücklich dass es nur bei gefahr im vollzug erlaubt sein soll, also bei einem aktiven hackerangriff.

Nur werden die in diesem Gesetz explizit akzeptiert.

darum hab ich ja gesagt, dass ich da nachbesserungsbedarf sehe.

Klar ist es nicht unmöglich, aber es ist von der Gegenseite her wiederum leicht möglich, falsche Informationen zu verbreiten. Da schreib ich meine Kommentare im Code auf dänisch, nutze ein Botnetz aus Dänemark und schon...

wir brauchen jetzt nicht ins detail zu gehen wie man einen hack tarnen kann, es geht hier um die gesetzliche grundlage zu reagieren, wenn eine reaktion möglich ist. und ich bin doch recht sicher, dass ein berufshacker mit einem sechsstelligen gehalt auch weiß, dass man für einen hack botnetze einsetzt.

Ich verstehe nicht, warum das Gegenteil von Hackbacks nichts tun sein soll. Man muss die eigenen Systeme absichern über technische und organisatorische Maßnahmen; es gibt da vermutlich mehr als genug zu tun in den ganzen Regierungsstellen.

die TOM sind sowieso vorgeschrieben und das nicht erst seit dem neuen DSGVO. aber das bedeutet nur, dass man eine gewisse sicherung vornimmt, nicht dass man sich gegen angriffe zur wehr setzen kann. und auch eine gute sicherung der netzwerke ist noch lange kein garant, dass man nicht gehackt werden kann. lücken gibt es immer, sonst könnten wir ja auch noch mit win7 oder gar winXP weiter surfen. microsoft hat bei beiden OS jahrelange kosten- und resourcenintensive maßnahmen zur sicherheit ergriffen. mehr als es die admins einer behörde je könnten. und dennoch sind die systeme selbst für otto-normaluser für den einsatz zu unsicher.

 

[Discovery_1]

Deutschland goes Nordkorea (ähh, eher China ) , nur weiter so. Weg mit dem unbequemen Rechtsstaat. Merken die von der Union überhaupt noch irgend etwas?

 

[atb2006]

Die sollten lieber auf sich selber aufpassen , das die nicht komplett ihre Hardware in Müll werfen müssen , nach einem Gegenangriff 🤣🤣🤣

 

[Conqi]

in dem gesetz steht ausdrücklich dass es nur bei gefahr im vollzug erlaubt sein soll, also bei einem aktiven hackerangriff.

Gefahr im Verzug würde ich auch bei einem normalen Virenbefall sehen. Da kann man schließlich auch eventuell eingreifen bei der Kommunikation mit einem Command and Control Server.

wir brauchen jetzt nicht ins detail zu gehen wie man einen hack tarnen kann, es geht hier um die gesetzliche grundlage zu reagieren, wenn eine reaktion möglich ist. und ich bin doch recht sicher, dass ein berufshacker mit einem sechsstelligen gehalt auch weiß, dass man für einen hack botnetze einsetzt.

Detail würde ich das jetzt nicht gerade nennen. Worum es mir ging war eben die Tatsache, dass eine Quelle eben nicht nur schwer zu erkennen ist, sondern auch aktiv gefälscht sein kann. Damit kann man dann unsere System zum Angriff auf jemand anderen missbrauchen. Bestenfalls starten die dann auch noch einen Hackback und alle haben ihren Spaß.

die TOM sind sowieso vorgeschrieben

Vorgeschrieben heißt aber nicht unbedingt umgesetzt. Insbesondere weil Vorgaben wie vom BSI immer gewissen Spielraum einräumen. Technische Details finden sich dort oftmals ja gar nicht.

und auch eine gute sicherung der netzwerke ist noch lange kein garant, dass man nicht gehackt werden kann. lücken gibt es immer, sonst könnten wir ja auch noch mit win7 oder gar winXP weiter surfen.

Nicht mit veralteter Software arbeiten ist ein Teil eines Sicherheitskonzepts, daher fallen veraltete Betriebssysteme natürlich raus. Mit den richtigen Maßnahmen könnte man aber schon eine mehr oder weniger sichere Umgebund schaffen. Man muss aber immer einen Kompromiss aus Sicherheit und Benutzbarkeit finden. In einer Traumumgebung würden Anhänge und Links aus Mails komplett gelöscht werden, man würde Application Whitelisting betreiben, Nutzer hätten nur Zugriff auf für sie relevante Dateien und all sowas. Das wird am Ende aber fast nie zu 100% umgesetzt. Da könnte man mit Maßnahmen und Alternativen ansetzen, denn ich verwette meinen Arsch, dass dort in praktisch jeder Behörde und jeder Verwaltung dieses Landes noch (viel) Luft nach oben ist. Da wäre Geld und Manpower besser aufgehoben.

microsoft hat bei beiden OS jahrelange kosten- und resourcenintensive maßnahmen zur sicherheit ergriffen. mehr als es die admins einer behörde je könnten. und dennoch sind die systeme selbst für otto-normaluser für den einsatz zu unsicher.

Das sind ganz verschiedene Dinge. Windows ist nur eine Software. Zu einem sicheren Netzwerk gehört aber eben viel mehr und Microsoft könnte so viel an Windows entwickeln wie sie wollen, nur darüber ist eine Absicherung gar nicht möglich.

 

[Biedermeyer]

Hackback - was soll der Sch..?
Sind nur noch Dilettanten unterwegs?

Einfach mal den Strom od sonstwas abstellen/verseuchen..., in die Richtung, wo Angriffe vermutet werden, am besten gleich grossflaechig, wo gehobelt wird...?

Die haben doch wohl nen Knall. Dabei weiss (fast) jedes Kind, dass meist die Einschaetzung nicht so einfach ist, in den wenigsten Faellen eine schwarz-weiss Diagnose vorliegt, es keine definierte Grenze gibt.

...und nicht zuletzt:
Falls tatsaechlich Profis am Werke waren, schlagen die diesen "Hackback" garantiert mit einem mehrfachen Triple-Hackback zurueck - viel Spass!

 

[noxcivi]

Wieso sollte man sich nicht wehren dürfen? Ich finde die Hackbacks als Antwort vertretbar. Es kann ja nicht sein, dass wir nur Fußabtreter spielen sollen, uns aber nicht wehren dürfen... Ist wie in der Schule, dann endet man irgendwann als Mobbingopfer, wenn man sich nicht wehrt.

Diese Argumentation ist in Bezug auf Hacking unsinnig. Ein sogenanntes "Hackback" ist als reine Reaktion auf einen Hack ist entweder unwirksam oder muss auf bereits vorbereitete Schritte aufbauen (zurückgehaltene 0days etc.). Letzeres ist nicht vereinbar mit maximaler Softwaresicherheit für die eigene Bevölkerung.
Also egal wie man es aufzieht, bekommt man entweder Geldverschwendung oder schlimmer noch unsichere Software auf ALLEN Rechnern.

 

[Simon]

Ich frage mich die ganze Zeit: Welche Leute, die über derartige Kenntnisse verfügen, um solche Operationen durchzuführen, arbeiten freiwillig nach TVöD?

 

[Lübke]

Detail würde ich das jetzt nicht gerade nennen. Worum es mir ging war eben die Tatsache, dass eine Quelle eben nicht nur schwer zu erkennen ist, sondern auch aktiv gefälscht sein kann. Damit kann man dann unsere System zum Angriff auf jemand anderen missbrauchen. Bestenfalls starten die dann auch noch einen Hackback und alle haben ihren Spaß.

wie ich schon sagte: für die aufgabe sollen explizit gut geschulte fachleute eingesetzt werden und die werden sicher nicht blind um sich schlagen, weil denen das sehr wohl bewusst ist.
und wie ich schon angemerkt habe, gehört das imho weiter präzisiert, um missbrauch zu vermeiden. aber eine rechtliche grundlage überhaupt agieren zu dürfen halte ich für richtig.

Vorgeschrieben heißt aber nicht unbedingt umgesetzt. Insbesondere weil Vorgaben wie vom BSI immer gewissen Spielraum einräumen. Technische Details finden sich dort oftmals ja gar nicht.

dennoch ersetzen TOM keine aktive abwehr. das eine schließt das andere nicht aus, sondern beides ergänzt sich zu einem besseren schutz.

Nicht mit veralteter Software arbeiten ist ein Teil eines Sicherheitskonzepts, daher fallen veraltete Betriebssysteme natürlich raus.

mit dem beispiel wollte ich nicht die nutzer ansprechen sondern aufzeigen, dass kein system so sicher gemacht werden kann, dass es unangreifbar ist. nichteinmal microsoft selbst ist mit jahrelanger arbeit und milliardenbudget dazu in der lage. wie soll es dann z. b. der admin im bundestag schaffen? TOM sind ein wichtiges puzzleteil, aber nicht der weisheit letzter schluss. ein system, das nur passiv geschützt ist kann ich ja nach belieben angreifen, irgendwann findet sich schon ne lücke, und wenn nicht hätte ich auch nichts verloren. wenn aber die gegenseite möglicherweise zurückschlagen könnte, dann muss ich aufpassen und nicht blindlinks angriff um angriff raushauen. allein die rechtliche und technische möglichkeit dürfte schon deutlich zur abschreckung beitragen, auch wenns tatsächlich äußerst selten zum einsatz kommen dürfte aus den von dir schon genannten gründen. eben weil ein hackback die zweifelsfreie identifizierung des angreifers erfordert und das ist verdammt schwer zu realisieren. andersrum weiß der angreifer aber auch nicht welche mittel die verteidiger haben und hat damit immer ein gewisses risiko. und damit wären wir auch beim ankauf von sicherheitslücken. auch hier ist die tatsache an sich, dass das erlaubt ist und das budget dafür bereit steht ein punkt, den der angreifer berücksichtigen sollte.
insgesamt wäre das ganze gesetz in erster linie eine abschreckungsmaßnahme und erst im zweiten schritt eine reale bedrohung.
[/QUOTE]

 

[Discovery_1]

Ich sehe eher die Gefahr, dass das Eindringen in das System eines jeden beliebigen Bürgers Tür und Tor geöffnet wird. Man hat ja dann einen guten neuen Gesetzes-Bezug dafür. Kann man doch so eben per Angriff evtl. das Leben eines "unbequemen" Menschen zerstören. Oder verstehe ich diesen geplanten Vorstoß komplett falsch?

 

[m.Kobold]

Wieso sollte man sich nicht wehren dürfen? Ich finde die Hackbacks als Antwort vertretbar. Es kann ja nicht sein, dass wir nur Fußabtreter spielen sollen, uns aber nicht wehren dürfen... Ist wie in der Schule, dann endet man irgendwann als Mobbingopfer, wenn man sich nicht wehrt.

Du hast den Artikel nicht gelesen... oder was? Hier geht es in erster Linie darum das mal wieder Sicherheitslücke absichtlich geöffnet werden oder offnene Lücken einfach nicht dicht gemacht werden... wenn du dein Fenster offenstehen lässt kann die Polizei oder auch der Einbrecher die Situation ausnutzen. Man muß schon ziemlich naive sein wenn man glaubt nur die "guten" könnten dann in dein System eindringen und die Daten löschen/klauen/verändern. -.-

Ergänzung (29. Januar 2020)

Ich sehe eher die Gefahr, dass das Eindringen in das System eines jeden beliebigen Bürgers Tür und Tor geöffnet wird. Man hat ja dann einen guten neuen Gesetzes-Bezug dafür. Kann man doch so eben per Angriff evtl. das Leben eines "unbequemen" Menschen zerstören. Oder verstehe ich diesen geplanten Vorstoß komplett falsch?

Sehe ich auch so, missbrauch ist doch selbstverständlich hat man ja schon damals bei Gustl Mollath gesehen. Der Korrupte Richter und die Staatsanwaltschaft wurde bis heute nicht zur Rechenschaft gezogen. Sowas wie Gerechtigkeit gibt es in unserer verlogenen Gesellschaft doch gar nicht wirklich...

 

[Aschenseele]

Für viel große Angriffe werden infiltrierte Internet of Things Geräte und gehackte Software aus fremden Netzwerken genutzt. Gegen die einen Gegenangriff zu machen stell ich mir lustig vor.

 

[Blutschlumpf]

Was für ein Bullshit. Wer versucht ein Regierungsnetz zu hacken, macht das sicher von nem System aus was selber total offen für die gängigsten Exploits ist und natürlich von seinem Rechner aus direkt statt von ner anderen gehackten Kiste aus.
Ich glaube manch ein Politiker guckt zu viel Navy CIS und co.

 

[K3ks]

Klingt alles nicht so gut durchdacht für mich. ^^
Die Beträge wirken irgendwie klein auf mich - ich mein die sind klein! Die Gegenargumente zum Horten von Sicherheitslücken klingen auch schlüssig für mich.

-Baue 2 Schädlinge die jeweils ca. 10-20 verschiedene "Klein-/IoT-Geräte" infizieren können
-Schädlinge übernehmen hunderttausende IoT-Geräte, Router, Kameras und anderen Krempel der am Netz hängt
-Botnetz(e) erlangt
-greif Schland an
-???