News Tausende Meeting-Zugänge im Netz: Bundeswehr sperrt Webex für externe Kommunikation

[ICHBINDA]

Warum nicht sofort wie das Öffentlich wurde 🤣

 

[Novasun]

Wenn’s um die nationale Sicherheit geht würde ich mich nicht auf die Bundeswehr verlassen. Trotz zig Millarden Euro jedes Jahres haben wir Panzer und Flugzeuge die nicht funktionsbereit sind, und scheinbar eine IT die nicht sicher ist.
Zu allem Überfluss die letzten Jahre Personen als Verteidigungsminister die nie unseren Land gedient haben oder eine Ausbildung im Militär absolviert haben.

Munition haben sie auch nicht... Also gemessen an dem was man bräuchte um nur die ersten 6 Monate einen Kampf führen zu können wie es die Ukraine gegen die Russen macht...

Ergänzung (10. Mai 2024)

Im NATO Verteidigungsfall müsste man mit einem USB Stick durch die Welt reisen, weil Nachbar Länder keine kompatible Datenverarbeitung für eine Taurus Zielerfassung haben. .. Okay man könnte wohl die Daten gesichert übertragen - dauert nur ein wenig. Dann doch lieber fahren.

Wie kommst du darauf?
Ich gehe davon aus das die Partner (laut Wiki haben nur Spanien und Südkorea welche gekauft) die den Taurus bekommen haben auch einegnständig nutzen können.
Nur hilft das ja nicht da es ein dt. System ist muss Deutschland der Weitergabe/Verkauf an die Ukraine zustimmen. Das will man (politisch) nicht.
Und dabei kann es auch eine Rolle spielen das man Technik nicht an den Feind verlieren will. Wer weiß wieviel russische Spione im Ukrainischen Militär ihren Dienst tun etc. pe. pe.
Also neben der offiziell verkündeten politischen Argumentation (die eher schwach bis schwachsinnig ist) könnte es andere "schlagendere" Argumente geben wieso man diese Waffen nicht liefert.

Ergänzung (10. Mai 2024)

Ja weil nach wie vor keine Kooperation besteht. Das lustige ist ja, wir hätten mit dem BSI eine Instanz die Sachen eigentlich recht gut vorgibt. Das Denken der Behörden ist aber nur bis zur Referat-Grenze und dann ist Ende "ist ja nicht mein Bier". Dazu kommt eben das völlige durcheinander an Systemen innerhalb Deutschlands. Die einen nehmen WebEx, die anderen Zoom und wieder andere nutzen BigBlueButton... Das ist einfach schlimm.

Ich weiß nicht ob das BSI funktionieren würde... Nicht aufgrund der Kompetenz. Die scheint vorhanden zu sein.
Aber a) müssten Sie dann auch kontrollieren dürfen und Strafen verhängen [analog zur BAFIN im Finanzverkehr]
tortzdem gibt es gerade bei Banken und Co [obwohl eine Kontrollinstanz existiert die echte Starfen verhängen kann die weh tun] immer wieder Fälle wo man den Kopf schütteln muss. Also entweder sind die Vorgaben so allgemein gehalten das sie in der Praxis zu unerwünschten Ergebnissen führen oder aber die Beteiligten zucken intern nur mit den Schultern - keine Ahnung..

By the way - das alle das selbe nutzen ist per se keine bessere Lösung im Sicherheitsaspekt. Denn dann muss sich der Angreifer ja nur auf ein System konzentrieren und hat im Erfolgsfall den "goldenen Schlüssel"..

By the Way - ich meine mich erinnern zu können - Russland hat damals zu einem Zeitpunkt X Tausende Schreibmaschinen in Deutschland gekauft weil im Kremel die Order kam - gewisse Dinge laufen nur noch via Papier.. [ist auch eine Sicherheitsentscheidung]

 

[Cool Master]

By the way - das alle das selbe nutzen ist per se keine bessere Lösung im Sicherheitsaspekt. Denn dann muss sich der Angreifer ja nur auf ein System konzentrieren und hat im Erfolgsfall den "goldenen Schlüssel"..

Sicherheitslücken haben nichts mit der Verbreitung der Software zu tun. Wenn das der Fall wäre müsste Linux links und rechts gehackt werden weil ein Großteil der Server, Firewalls, usw. weltweit auf einem Linux-System basieren. Das größte Problem ist, dass viele Projekte Sicherheit einfach nicht juckt und es daher zu Lücken und dem Ausnutzen davon kommt. Gibt es bei Projekten aber schon den Gedanke des Security by Design ist Sicherheit kein Problem auch wenn das von Millionen oder Milliarden von Leuten genutzt wird. Zudem kommt es nicht drauf an ob es zu Lücken kommen wird, die wird es immer geben solange Menschen SW schreiben, sondern wie man vorgeht wenn eine Lücke gefunden wird.

By the Way - ich meine mich erinnern zu können - Russland hat damals zu einem Zeitpunkt X Tausende Schreibmaschinen in Deutschland gekauft weil im Kremel die Order kam - gewisse Dinge laufen nur noch via Papier.. [ist auch eine Sicherheitsentscheidung]

Auch das ergibt kein Sinn, vor allem heute wo man mit einem Handy hochauflösende Bilder machen kann oder klassisch, Papier kopieren kann. Zudem wenn man davon ausgeht, dass ein Großteil der Cyberangriffe auf Social Engineering zurückzuführen ist, macht es kein Unterschied ob das nun mittels Papier oder elektronisch abgegriffen wird.

 

[Donnidonis]

Auch das ergibt kein Sinn, vor allem heute wo man mit einem Handy hochauflösende Bilder machen kann oder klassisch, Papier kopieren kann.

Man versucht sich damit aber gegen den Feind von außen zu schützen, der eben nicht fotografieren kann. Innentäter klar, aber von außen ist es dann „sicherer“ im Bezug auf digitalen Zugang.

 

[lynx007]

Neuland wohl auch für die Bundeswehr ... 😔

Nein, nur Bequemlichkeit. Sicherheit ist halt lästig und unkomfortabel. Da unterscheiden sich leider die Soldaten nicht von den Seselfurzern in jedem Büro. Warum zb musste die US Armee bestimmte Fitness Apps verbieten?

 

[Novasun]

Sicherheitslücken haben nichts mit der Verbreitung der Software zu tun. Wenn das der Fall wäre müsste Linux links und rechts gehackt werden weil ein Großteil der Server, Firewalls, usw. weltweit auf einem Linux-System basieren.

Das ist nicht wahr. Als Hacker machst du dir schon Gedanken - greif ich ein OS an das 80% Marktanteil hat oder 3% !!! Auch wenn bei Servern Linux bei 80% inzwischen in etwa liegt... Und in der Regel musst du ja nicht explizit den Server hacken um entsprechende "Macht" im Netzwerk zu erlangen...

 

[Cool Master]

Das ist nicht wahr.

Da das Teil meiner Masterarbeit war kann ich dir sagen du liegst falsch. Marktanteil hat nichts mit Schwachstellen zu tun und da besteht keine Korrelation. Das wurde auch von meinen Experten aus Open- und Closed Source Entwicklern, die zum Teil Geschäftsführern sind, bestätigt.

Ich denke du deutest Windows an. Das hat nur so viele Lücken weil es einfach schlecht programmiert ist und da seit Jahren im Kernel Copy-Paste statt ein echter Rewrite passiert. Wie gesagt viel wichtiger ist wie mit Lücken umgegangen wird. Wird aktiv auf Meldungen reagiert oder nicht, wie schnell passiert das, werden Best Practice Standards genutzt, usw.

Als Hacker machst du dir nicht Gedanken über den Marktanteil sondern was ist einfacher zu hacken - ein Open Source Projekt wo recht viele Augen drauf sind und Bugs in der Regel schnell behoben werden oder ein Closed Source Projekt mit einer historisch guten Chance auf Eindringen? Nur weil Windows so weit verbreitet ist besteht da keine Korrelation zu Schwachstellen und entsprechend hacks.

Auch bei Schwachstellen zwischen Open und Closed Source ist man recht genau auf 50/50 glaube meine Quelle sagte 51% oder 54% Schwachstellen in Open Source Projekten vs. Closed Source.

 

[pacifico]

Und die Sicherheit war die, dass der Leiter des Meetings schon wohl niemanden reingelassen haben wird, der nicht auf der Liste stand, aber im Warteraum war? Nun okay, zumindest wird man wohl wenn man jemanden nachträglich reingelassen hat gefragt haben, wer die Person nun sei/ist (vielleicht)

Du nutzt solche Telxo Tools anscheinend nicht.

Wenn Leute in einem Raum sind die man nicht kennt, beginnt man doch kein Meeting...

 

[jackii]

Naja - zum einen ist’s schon schwach. Aber m.E. anders, als es hier vielleicht auf den ersten Blick scheint.
Zunächst mal: na gut, dann steht da im WebEx eben “Teilnehmer im Warteraum - wollen Sie ihn hereinlassen?”. Das ist ja noch nicht der Super-Gau.
Und wenn man das dann tut ist’s ja genau so, als würde man das Kasernentor für den Spion öffnen, der draußen wartet und um Einlass bittet.

Jap, da waren nicht tausende Meetings mit Geheimdokumenten vollständig, öffentlich und nachträglich für jeden abrufbar, wie bisschen suggeriert wird.
Aber naja, wenn der Feind vor der Kaserne rumsteht, nicht als solcher zu erkennen ist, erhöht es die Wahrscheinlichkeit schon sehr dass er reinkommt, warum sonst sollte er da stehen und überhaupt. Wenn die letzten 200 mal keine Unbefugten im Warteraum waren, dann erwartet man keine und prüft nicht mehr darauf. Sowas geht sehr schnell, auch wenn es eigentlich alle besser wissen sollten und geschult wurden. Es muss schon technisch gelöst sein, auf den Mensch hoffen geht bei 540.000 Meetings pro Jahr garantiert XY-mal schief.

 

[Unnu]

müsste auch heute noch Windows 2000 laufen. Ohja, rückständig...trotzdem wollen viele das Teil haben. Seltsam...

Nicht seltsam. Im OT völlig normal.
(Wir haben irgendwo da draußen noch Gerät rumfliegen auf dem läuft noch DOS!, stabil gebaut ist unser Gear schon …)
Und solange das Ding nicht im Internet hängt … passt schon.

Und sollte mal jemand feindliches es bis an die Eingabekonsole schaffen, dann hat man andere Probleme.

das alle das selbe nutzen ist per se keine bessere Lösung im Sicherheitsaspekt. Denn dann muss sich der Angreifer ja nur auf ein System konzentrieren und hat im Erfolgsfall den "goldenen Schlüssel"..

MS ist und bleibt die größte Abgriffsoberfläche, die der Westen jemals ausgerollt hat.
… und aus Nachrichtendienstlicher Betrachtung war das Verbot an MS Russland zu beliefern ein Schuss ins eigene Knie.

Wenn Leute in einem Raum sind die man nicht kennt, beginnt man doch kein Meeting...

Naja, wenn ich mich da schon reinhacke, dann nehme ich ja wohl den Namen des gehackten, oder eben einen aus der Liste der verfügbaren.


Das was mich an dieser „Lücke“ erstaunt, ist, dass man diese Sessions überhaupt so konfigurieren kann.

Stammt wohl noch aus den Anfängen des Internet.

 

[brettler]

Zu allem Überfluss die letzten Jahre Personen als Verteidigungsminister die nie unseren Land gedient haben oder eine Ausbildung im Militär absolviert haben.

Soso:

KTZG - immerhin SU der Reserve
de Maiziere - Oberleutnant d.R
Jung - immerhin kurzgedient
Pistorius - Auch GWD und div. WÜ.

Bei den Frauen wird das vllt. ein paar Jahre möglich sein, die letzten waren noch nicht in dem Alter um außerhalb der Sanität/Musik dienen zu können.

Der IBUK muss auch zwangsläufig keine Diensterfahrung haben, dafür hat er sein Ressort, indem genug Expertise vorhanden ist.

Ich gabe dir allerdings recht, das man den Posten grundsätzlich mit einem aktiven Oberst oder Brigadegeneral besetzten müsste.

Da unterscheiden sich leider die Soldaten nicht von den Seselfurzern in jedem Büro. Warum zb musste die US Armee bestimmte Fitness Apps verbieten?

Oder woher hatte die Ukraine Daten, wo sich die Truppen von RU aufhalten? Auch von Standortdaten und tlw. Social Media.

Mich wundert an der ganzen Webex Sache überhaupt das die Bw so "modern" ist und das überhaupt verwendet. Als ich noch RDL gemacht habe, war für eine RDL fast ein Schnellhelfter an Papier nötig über Telefon bzw. Online ging gar nix..


Ansonsten denke ich kommt man mit der klassischen Spionage Arbeit auch weit. Man muss sich nur in kasernen-nahen Kneipen und Diskos bewegen und "zuhören". An Bahnhöfen und im Zug sind Soldaten ja sowieso an der Uniform erkennbar ansonsten erkennt man die auch an anderen Merkmalen.

Es ist schon erstaunlich was man so im Zug mitbekommen (gerade im ICE von/nach Köln bzw. Berlin, oder Bonn) und was auch offen liegen gelassen wird.

Ansonsten spionieren uns gerade und auch vor allem unsere "Freunde" aus...