News SolarWinds-Attacke: Viele deutsche Behörden nutzten manipulierte Software

[Faust II]

Das RKI hat es also auch erwischt...? Verwendeten dort manipulierte Software?!

 

[koffeinjunkie]

@NoXPhasma
Das mit den Steinen in den Weg legen betrifft nicht nur IT. DAs ist wenn man so will üblicher Alltag in sehr sehr vielen Firmen und Behörden ja sogar in der Gesellschaft durchweg ebenso wie Neid und Missgunst. Welch Ironie das man den Auszubildenden oder Personen in "Wissenvermittlungsinstituten" die Samariter und Schokoladenbenehmensseiten beibringt, die Realität aber aus Ellenbogenmethodik und Anschwärzerei usw. besteht. Das ist so spiegelverkehrt das ich mich manchmal Frage, ob ich in einem Zirkus bin. Selbst Dozenten und Lehrer können da nur schmunzeln. Heutzutage sind einige in jungen Jahren schon so drauf wie ein altbewährter Mafiosi. Skrupellos und Unbarmherzig das man es niemals für möglich halten würde.

 

[KitKat::new()]

Ich verstehe eh´ nicht wieso Behörden und Unternehmen (denen ja etwas an ihren Geschäftsgeheimnissen liegen sollte) nicht auf open source setzen.

So kann man das nicht stehen lassen. Es gibt schon Bemühungen in diese Richtung, insbesondere in Schleswig Holstein und Hamburg:
Open-Source-Strategie: Schleswig-Holstein stellt bis 2025 auf freie Software um - ComputerBase
Matrix Instant Messenger: Auch Schleswig-Holstein setzt auf Open Source Client - ComputerBase

Matrix Instant Messenger: Bundeswehr setzt auf Open Source im Dienst - ComputerBase

Und, wenn man die News verfolgt, sieht man, dass da noch viel mehr ist.

 

[Mcr-King]

Da werden Monokulturen auch regelmäßig von Viren, Bakterien und Pilzen überrannt.

Sage nur Covid19 und Mensch

 

[dunkelmut]

Wen wundert das noch? Bin selbst im ÖD beschäftigt. Das Thema IT driftet hierzulande immer mehr Richtung Steinzeit.

Wenn es nicht so traurig wäre, ich würde lachen.

Ja, geht mir ähnlich. Am schlimmsten fand ich ja den Umgang der Leute untereinander. Null Fehlerkultur, wenn du einen Schritt nach vorn machst muss der nächste Folgen - einen Schritt zurück bedeutet ein Fehler einzugestehen - und dann fühlst du dich wie unter Primaten. Es wird gekeift, es braucht einen Schuldigen und dann gibts eine Kreuzigung.
Ja es ist schade wie es läuft. Aber ganz ehrlich: Ich möchte auf keinen Fall wieder mit solchen Menschen zusammen arbeiten.

 

[Zer0DEV]

Das neue Dreamteam (Laschet und Spahn) werden im Zuge der Digitalisierung, um Deutschland zum "Digitalweltmeister" zu machen, gewiss auch dieses "Problem" voll gegen die Wand fahren...

 

[Niko-P]

Kann empfehlen mal die Vorträge des CCC zur digitalen Patientenakte anzusehen, ihr haut euch weg xD
(35C3 - All Your Gesundheitsakten Are Belong To Us)

Ich habe seit ca. 9 Jahre im IT Umfeld des ÖDs gearbeitet.
Neben den bereits genannten Problemen im ÖD (keiner will schuld haben, Scheiße fällt von oben nach unten xD) ist mir besonders eins immer wieder untergekommen, gerade bei großen Projekten.
Entscheidungen werden auf politischer Grundlage getroffen, nicht auf technischer.
Die technische/fachliche Seite ist meist nur zweitrangig, wenn überhaupt.
Meist mussten wir ITler dann ehr Schadensbegrenzung betreiben, bei dem was "oben" beschlossen wurde.
Sodass sich am Ende ein Politiker hinstellen kann und sagt "dank mir wurde die IT verbessert, durch Projekt XYZ, küsst mir Füße".

Aber hin und wieder gab es auch gegenteiliges, sehr gute ITler, verständnisvolle Politiker und Vorgesetzte und sehr gute Umsetzungen.

 

[UrlaubMitStalin]

Mit Linux wäre das nicht passiert

 

[Farcrei]

Wem wundert es, wo das Internet doch Neuland ist.

 

[bad_sign]

Mich wundert nichts mehr.
Hier im Bürgerbüro durften die Leute auch mit den Dezembereinschränkungen ins Homeoffice, nur hat man keine Laptops, also wirklich keine. Man hat Ende November Laptops bestellt, 5 Stk für 30 Leute. Andere Abteilungen stehen teils noch schlechter da.
Jetzt ist die "Infrastruktur" aber so gut und alle Vorgänge liegen auf den jeweiligen PCs lokal im Büro. Da gibts nicht mal flächendeckend Backups im Netzwerk.

 

[Mcr-King]

Entscheidungen werden auf politischer Grundlage getroffen, nicht auf technischer.

Richtig sage nur Atom Endlager der Lesch hat dazu grade ein gutes Video gemacht.

 

[Botcruscher]

Sage nur Covid19 und Mensch

0,02 bis 0,03%... Panik...

Mit Open Source wäre es auch hier nicht passiert. Aber gerade MS lösst das eben über die Koffer und schon in der Schule wird richtig angefixt.

 

[henso]

So zitiert man Teile eines Beitrags und vermeidet Fullquotes

Auch auf die Gefahr hin das ich jetzt gesteinigt werde.

Welche Vorteile erhaschen sich Behörden durch die Verwendung von Open Source Software? Generell wäre ich ja schon froh wenn überhaupt was digital ablaufen würde.

Kleine Erlebnisse von mir:
Wir haben vor einem Jahr unser Haus gebaut. Sämtliche Genehmigungen usw. konnte nur in Schriftform oder per FAX eingereicht werden. Fotos von unserem Grundstück/Haus mussten ausgedruckt auf dem postalischem Wege versendet werden. Der Versand per E-Mail wurde nicht gewünscht. Das gleiche galt für eingescannte "Kopien" von Statiker, etc. Absolut unflexibel.

Gleiches bei der Geburt unserer Kinder. ALLES musste in Papierform ans Amt übermittelt werden. Geburtsurkunden wurden nicht versandt sondern mussten persönlich vor Ort abgeholt werden, wofür ich mir einen halben Tag Urlaub nehmen musste, da die Wartezeit lediglich 4 Stunden war.

Nichts für ungut. Aber für eine Nation, welche sich als "Hightäch-Länd" nach Außen zeigt, ist das einfach eine Lachnummer.

@Topic
Die Sache SolarWinds zeigt eigentlich nur wie empfindlich unsere Systeme sind. Die absolute Sicherheit, wie man sie sich gerne wünscht, ist einfach utopisch. "Mit Linux wäre das nicht passiert" - Auch hier glaube ich nur an eine temporäre Lösung. Auch Linux ist keine Garantie für absolute Sicherheit.

 

[Enteignet]

Der Versand per E-Mail wurde nicht gewünscht.

Das ist echt ein Armutszeugnis. Generell finde ich es absolut nicht mehr angebracht, dass Dokumente nicht per Mail akzeptiert werden.
Und wenn die dann der Meinung sind, dass es nicht sicher genug ist, dann sollen sie ein Upload Portal einrichten. Beim Thema Digitalisierung merkt man einfach nur krass deutlich wie schlimm es ist, wenn man ohne Druck und Konkurrenz von alten Leuten gesteuert gegen die Wand fährt...
Wenn da Leute das sagen haben, die immer Briefe schreiben, dann wird das nie besser. Ist ja in der Politik auch nicht besser, die meisten sind doch schon über Rentenalter...

@Topic
Ist es nicht so, dass SolarWinds und die Orion Plattform eigentlich für IT-Sicherheit sorgen sollten und auf diesem Gebiet auch Marktführer sind?
Also sollte man doch eigentlich die betroffenen Firmen dafür loben, dass sie sich dem Thema IT-Sicherheit angenommen haben oder nicht?
Allerdings sollten sich die Kunden fragen wie viel Vertrauen man einer solchen Firmen geben, die als Passwort für ihre Update-Server "solarwinds123" verwendet...

 

[ghecko]

Auch Linux ist keine Garantie für absolute Sicherheit.

Das Argument hat seine Daseinsberechtigung, auch FOSS ist nicht fehlerfrei.
Aber die Diversität dieser Softwarelandschaft sorgt dafür, dass Ziele meist nur individuell angreifbar sind.

Den Fall den wir aktuell haben ist ja folgender: Die Angreifer haben sich über Produkte von MS Zugang zum Build-System von SolarWinds verschafft um ein remote acess tool durch die Orion Updates zu verteilen. Und weil alle möglichen Behörden Kunden dieser Lösung sind, hat sich das verteilt wie Feuer in einem Heuschober.
Solche Softwaremonopole sind typisch für proprietäre Lösungen und asymptotisch für FOSS, wo jeder seine eigene Lösung mit seinem eigenen Personal auf die eigenen Bedürfnisse anpassen kann.
Diese diverse Softwarelandschaft ist allein durch ihre Segmentierung resistenter gegen diese Buschfeuer.

Wäre FOSS-Software etablierter und jeder würde dieselben Lösungen ungeändert verwenden wäre das natürlich anders. Aber selbst hier haben mehr Leute Einsicht in den Code, was tendenziell dafür sorgt, dass Lücken schneller gefunden und gefixt werden können. Konnte ich bis jetzt mehrfach miterleben, wenn irgend eine schwere Lücke in FOSS Paketen entdeckt wurde. Da dauert es teils nur Stunden, bis das Update zur Verfügung steht und verteilt wird. Bei MS wartet man Wochen, Monate, für immer (router advertisement Win7).

 

[Mcr-King]

Update-Server "solarwinds123" verwendet...

Klasse Leistung haben alle super studiert.
Genau deswegen verwende ich Linux und ein altes Root Androide Smartphone.

 

[bad_sign]

Weiß nicht was ihr habt, der Sicherheitsbalken bei der Passwortvergabe hat das mit grün bewertet!

 

[poly123]

@Andy Wieviele DAX Konzerne oder sonstige dt. Unternehmen sind denn ebenfalls ggf. betroffen? - öffentliche Stellen sind nunmal auskunftspflichtig, da lässt sich dann leicht ein einseitiger Artikel mit den typischen Klischees (zwischen den Zeilen) über den öD stricken.

FireEye(!), Microsoft, Intel, Cisco sind ja bekannte Fälle (arbeiten wohl auch nur Menschen) - wäre nice to know wen es aus der dt. Industrie erwischt haben könnte, wird wohl aber nicht passieren, da Gelübde abgelegt, dies öffentlich kommunizieren zu müssen. Siemens druckst zumindest rum, T-Systems analysiert noch...

 

[AlphaKaninchen]

Es gibt keine garantierte Sicherheit. Wir müssen uns an so etwas wohl gewöhnen.


Die USA waren genauso betroffen.

Ja und alleine schon deshalb wäre das aufweichen von Verschlüsselung eine Katastrophe...

 

[KitKat::new()]

Welche Vorteile erhaschen sich Behörden durch die Verwendung von Open Source Software?

Die Landesregierung von Schleswig-Holstein beabsichtigt, die IT-Systeme der Landesverwaltung bis zum Jahr 2025 vollständig auf Open Source umzustellen, um flexibler und souveräner zu werden und die Behörden des Bundeslandes unabhängig von Microsoft sowie dessen Betriebssystem und Anwendungssoftware zu machen.

Matrix wird zum einheitlichen Bundeswehrstandard​

Bereits im April haben die BWI GmbH und der Cyber Innovation Hub der Bundeswehr damit begonnen, rund 30.000 Dienstgeräte auf das Matrix-Protokoll zu migrieren. Im Zuge des weiteren Ausbaus soll der Matrix Messenger Stashcat als neue und einheitliche Instant-Messaging-Plattform der Bundeswehr ablösen

(Kurz: es kann als einheitlicher Standard genutzt werden)

unabhängig von Microsoft und dessen Lösungen werden.

Zitatquelle: die betreffenden Artikel