F&uuml;r unsere LastPass-Kunden:
Ich m&ouml;chte Ihnen wichtige Neuigkeiten zu dem Sicherheitsvorfall mitteilen, den wir am 22.&nbsp;Dezember 2022 gemeldet haben.&nbsp;&nbsp;Unsere umfassenden Untersuchungen sind nun abgeschlossen und wir haben seit dem 26.&nbsp;Oktober 2022 keine weiteren suspekten Aktivit&auml;ten festgestellt.
Im Laufe dieser Untersuchungen kamen weitere Einzelheiten zu den Geschehnissen zum Vorschein. Diese neuen Erkenntnisse m&ouml;chten wir heute mit Ihnen teilen. Im gleichen Zeitraum haben wir viel Zeit und M&uuml;he investiert, um die Sicherheit zu st&auml;rken und gleichzeitig unsere Sicherheitsvorkehrungen insgesamt zu verbessern. Im heutigen Update m&ouml;chte ich diese Vorkehrungen im Detail beleuchten und erl&auml;utern, welche zus&auml;tzlichen Schritte wir zur Erh&ouml;hung der Sicherheit unternehmen.
Dieses Update befasst sich mit folgenden Fragen und Themen:
<ul>
    <li><strong>Was war vorgefallen und welche Ma&szlig;nahmen haben wir ergriffen?</strong></li>
    <li><strong>Auf welche Daten wurde zugegriffen?</strong></li>
    <li><strong>Welche Ma&szlig;nahmen sollten Sie ergreifen, um sich selbst oder Ihr Unternehmen zu sch&uuml;tzen?</strong></li>
    <li><strong>Diese Ma&szlig;nahmen haben wir zum Schutz von LastPass ergriffen&nbsp;</strong></li>
    <li><strong>Was Sie von uns erwarten k&ouml;nnen</strong></li>
</ul>
Wir haben das Privileg, Millionen von Nutzern und mehr als 100.000&nbsp;Unternehmen zu bedienen, und wir m&ouml;chten sicherstellen, dass wir all unseren Kunden die n&ouml;tigen Informationen zur Beantwortung ihrer Fragen geben.&nbsp;Angesichts der Menge an Informationen, die wir heute teilen, haben wir dieses Update in zusammenfassende Abschnitte untergliedert, die jeweils eingebettete Links zu Seiten mit detaillierteren Informationen enthalten.
Das Feedback unserer Kunden, dass wir Sie w&auml;hrend des gesamten Prozesses h&auml;ufiger und umfassender h&auml;tten informieren sollen, nehmen wir sehr ernst. Die Dauer der Nachforschungen zwang uns diesbez&uuml;glich zu schwierigen Kompromissen, aber wir verstehen und bedauern den &Auml;rger, den unsere anf&auml;ngliche Kommunikation sowohl f&uuml;r unsere Unternehmens- wie auch Privatkunden verursacht hat. Wir w&uuml;nschen uns zufriedene Kunden. Deshalb geben wir Ihnen heute diese zus&auml;tzlichen Informationen und werden uns auch in Zukunft um eine effektivere Kommunikation bem&uuml;hen.
Wenn Sie den n&auml;chsten Abschnitt &uuml;berspringen und sofort erfahren m&ouml;chten, welche Ma&szlig;nahmen LastPass zum Schutz Ihres Kontos oder Ihres Unternehmens empfiehlt, klicken Sie bitte <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-free-premium-and-families-customers" target="_blank" rel="noopener noreferrer">hier (Privatanwender)</a> oder <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators" target="_blank" rel="noopener noreferrer">hier (Unternehmensadministratoren)</a>.
<h3>WAS WAR VORGEFALLEN UND WELCHE MASSNAHMEN HABEN WIR ERGRIFFEN?</h3>
Die beiden Vorf&auml;lle, die wir im letzten Jahr offengelegt haben, betrafen LastPass und unsere Kunden. Keiner der Vorf&auml;lle wurde durch einen LastPass-Produktfehler oder unbefugten Zugriff auf bzw. Missbrauch von Produktionssystemen verursacht. Vielmehr nutzte der Eindringling eine Schwachstelle in Drittanbieter-Software aus und konnte vorhandene Kontrollen umgehen sowie schlie&szlig;lich auf Nichtproduktionsumgebungen f&uuml;r Entwicklung und Sicherungsspeicher zugreifen.
Wir haben den Strafverfolgungsbeh&ouml;rden und unseren Threat-Intelligence- und Forensikpartnern die relevanten technischen Informationen, Kompromittierungsindikatoren (IOC; Indicators of Compromise) und Taktiken, Techniken und Verfahren der Hacker (TTP; Tactics, Techniques &amp; Procedures) zur Verf&uuml;gung gestellt. Bisher sind jedoch weder die Identit&auml;t noch die Motivation des Angreifers bekannt. Es fand keine Kontaktaufnahme statt, ebenso wurden keine Forderungen gestellt, und es wurde keine glaubw&uuml;rdige Untergrundaktivit&auml;t festgestellt, die darauf hindeutet, dass der Angreifer aktiv an der Vermarktung oder dem Verkauf von Informationen beteiligt sei, die w&auml;hrend der Vorf&auml;lle beschafft wurden.
<strong>Zusammenfassung &ndash; Vorfall&nbsp;1</strong>: Aufgrund einer Sicherheitsl&uuml;cke auf dem Firmenlaptop eines Softwaretechnikers konnte sich ein Eindringling unbefugten Zugriff auf eine cloudbasierte Entwicklungsumgebung verschaffen und Quellcode, technische Informationen und bestimmte interne LastPass-Systemgeheimnisse stehlen. W&auml;hrend dieses Vorfalls wurden keine Kunden- oder Vault-Daten preisgegeben, da sich in der Entwicklungsumgebung weder Kunden- noch Vault-Daten befinden.&nbsp;Wir erkl&auml;rten den Vorfall f&uuml;r abgeschlossen, erfuhren aber sp&auml;ter, dass die dabei gestohlenen Informationen verwendet wurden, um Angriffsziele zu identifizieren und den zweiten Vorfall einzuleiten.
Als Reaktion auf den ersten Vorfall mobilisierten wir unsere internen Sicherheitsteams mit zus&auml;tzlicher Unterst&uuml;tzung von Mandiant. &nbsp;Zur Eind&auml;mmung, Ausmerzung und Wiederherstellung wurden folgende Ma&szlig;nahmen ergriffen:
<ul>
    <li>Entwicklungsumgebung wurde entfernt und neu erstellt, um eine vollst&auml;ndige Eind&auml;mmung und Ausmerzung zu gew&auml;hrleisten.</li>
    <li>Bereitstellung zus&auml;tzlicher Sicherheitstechnologien und -kontrollen zur Erg&auml;nzung bestehender Kontrollen.</li>
    <li>Alle relevanten von unseren Teams verwendeten Klartextschl&uuml;ssel sowie evtl. preisgegebene Zertifikate wurden rotiert.</li>
</ul>
Einzelheiten zum ersten Vorfall und zu Abhilfema&szlig;nahmen <a href="https://support.lastpass.com/help/incident-1-additional-details-of-the-attack" target="_blank" rel="noopener noreferrer">finden Sie hier</a>.
<strong>Zusammenfassung &ndash; Vorfall&nbsp;2</strong>: Die Angreifer zielten auf einen leitenden DevOps-Techniker ab und nutzten dazu Schwachstellen in Drittanbieter-Software aus. Dank dieser Schwachstellen konnten die Eindringlinge Malware einschleusen, vorhandene Kontrollen umgehen und sich letztendlich unbefugten Zugriff auf Cloud-Backups verschaffen. Zu den Daten, auf die in diesen Backups zugegriffen wurde, geh&ouml;rten Systemkonfigurationsdaten, API-Schl&uuml;ssel, Schl&uuml;ssel f&uuml;r Drittanbieter-Integrationen sowie verschl&uuml;sselte und unverschl&uuml;sselte LastPass-Kundendaten.
Als Reaktion auf den zweiten Vorfall haben wir erneut unser Incident-Response-Team und Mandiant mobilisiert. Im Rahmen unserer laufenden Eind&auml;mmungs-, Ausmerzungs- und Wiederherstellungsma&szlig;nahmen im Zusammenhang mit dem zweiten Vorfall haben wir nun die folgenden Ma&szlig;nahmen ergriffen:
<ul>
    <li>Analyse der cloudbasierten Speicherressourcen von LastPass und Anwendung zus&auml;tzlicher Richtlinien und Kontrollen.</li>
    <li>Analyse und Anpassung bestehender Kontrollen f&uuml;r privilegierten Zugriff.</li>
    <li>Rotation relevanter Schl&uuml;ssel und Zertifikate, auf die der Angreifer zugegriffen hatte.</li>
</ul>
Weitere Informationen zu dem Hackerangriff sowie zu Abhilfema&szlig;nahmen <a href="https://support.lastpass.com/help/incident-2-additional-details-of-the-attack" target="_blank" rel="noopener noreferrer">finden Sie hier</a>.
<h3>AUF WELCHE DATEN WURDE ZUGEGRIFFEN?</h3>
Wie in den Vorfallszusammenfassungen beschrieben, beschaffte sich der Angreifer w&auml;hrend der beiden Vorf&auml;lle sowohl propriet&auml;re LastPass-Daten als auch Kundendaten, einschlie&szlig;lich der folgenden:
<strong>Zusammenfassung der Daten, auf die im ersten Vorfall zugegriffen wurde:</strong>
<ul>
    <li>On-Demand-, cloudbasierte Entwicklungs- und Quellcode-Repositories &ndash; darunter 14&nbsp;von 200&nbsp;Software-Repositorys.</li>
    <li>Interne Skripte aus den Repositories &ndash; diese enthielten LastPass-Schl&uuml;ssel und Zertifikate.</li>
    <li>Interne Dokumentation &ndash; technische Informationen mit Beschreibungen der Entwicklungsumgebung.</li>
</ul>
<strong>Zusammenfassung der Daten, auf die im zweiten Vorfall zugegriffen wurde: </strong>
<ul>
    <li>DevOps-Schl&uuml;ssel &ndash; vertrauliche Schl&uuml;ssel, die verwendet wurden, um Zugriff auf cloudbasierten Sicherungsspeicher zu erhalten.</li>
    <li>Cloudbasierter Sicherungsspeicher &ndash; enthielt Konfigurationsdaten, API-Schl&uuml;ssel, Schl&uuml;ssel f&uuml;r Drittanbieter-Integrationen, Kundenmetadaten und Sicherungen aller Kunden-Vault-Daten. Alle sensiblen Kunden-Vault-Daten au&szlig;er URLs, Dateipfade zu installierter LastPass Windows- oder macOS-Software und bestimmte Anwendungsf&auml;lle mit E-Mail-Adressen, wurden nach dem Zero-Knowledge-Prinzip verschl&uuml;sselt und k&ouml;nnen nur mit einem eindeutigen Verschl&uuml;sselungsschl&uuml;ssel aus dem Master-Passwort jedes Benutzers entschl&uuml;sselt werden. Zur Erinnerung: Die Master-Passw&ouml;rter der Endbenutzer sind LastPass nie bekannt und werden von LastPass nicht gespeichert oder gepflegt &ndash; daher waren sie auch nicht von der Datenexfiltration betroffen.</li>
    <li>Backup der LastPass-MFA-/Verbundanmeldungsdatenbank &ndash; enthielt Kopien von LastPass-Authenticator-Seed-Phrases sowie Telefonnummern, die f&uuml;r die MFA-Sicherungsoption verwendet werden (falls aktiviert), und eine Geteiltes-Wissen-Komponente (&bdquo;Split Knowledge&ldquo;, sogenannter &bdquo;K2-Schl&uuml;ssel&ldquo;), die f&uuml;r die LastPass-Verbundanmeldung (falls aktiviert) verwendet wird. Diese Datenbank war verschl&uuml;sselt, aber der separat gespeicherte Entschl&uuml;sselungsschl&uuml;ssel geh&ouml;rte zu den w&auml;hrend des zweiten Vorfalls gestohlenen Schl&uuml;sseln.</li>
</ul>
Detaillierte Informationen zu den spezifischen Kundendaten, die von diesen Vorf&auml;llen betroffen sind, <a href="https://support.lastpass.com/help/what-data-was-accessed" target="_blank" rel="noopener noreferrer">finden Sie hier</a>.
<h3>WELCHE MASSNAHMEN SOLLTEN SIE ERGREIFEN, UM SICH SELBST ODER IHR UNTERNEHMEN ZU SCH&Uuml;TZEN?</h3>
Um unsere Kunden bei ihren eigenen Incident-Response-Ma&szlig;nahmen besser zu unterst&uuml;tzen, haben wir zwei Sicherheitsberichte vorbereitet &ndash; einen f&uuml;r unsere Kunden von LastPass Free, Premium und Families und einen f&uuml;r unsere Business- und Teams-Benutzer. Mit den in den Sicherheitsberichten enthaltenen Informationen m&ouml;chten wir unseren Kunden helfen, ihr LastPass-Konto zu sichern und auf diese Sicherheitsvorf&auml;lle so zu reagieren, dass ihren Anforderungen als Privatanwender bzw. dem Sicherheitsprofil und -umfeld ihres Unternehmens Gen&uuml;ge getan wird.
<ul>
    <li><strong>Sicherheitsbericht: </strong><a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-free-premium-and-families-customers" target="_blank" rel="noopener noreferrer"><strong>Empfohlene Ma&szlig;nahmen</strong></a><strong> f&uuml;r Kunden von LastPass Free, Premium und Families. </strong>Dieser Bericht f&uuml;hrt unsere Kunden von LastPass Free, Premium und Families durch die notwendigen Schritte, um wichtige LastPass-Einstellungen zu &uuml;berpr&uuml;fen und sicherzustellen, dass die Best Practices zum Schutz des Kontos befolgt werden.</li>
    <li><strong>Sicherheitsbericht: </strong><a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators" target="_blank" rel="noopener noreferrer"><strong>Empfohlene Ma&szlig;nahmen</strong></a><strong> f&uuml;r Administratoren von LastPass Business. </strong>Dieser Bericht f&uuml;hrt Administratoren unserer Business- und Teams-Kunden durch eine Risikobewertung der LastPass-Kontenkonfiguration und der Drittanbieter-Integrationen und enth&auml;lt Informationen, die sowohl f&uuml;r nicht verbundene Benutzer als auch Verbundbenutzer relevant sind.</li>
</ul>
Wenn Sie Fragen zu den empfohlenen Ma&szlig;nahmen haben, wenden Sie sich bitte an den technischen Support oder Ihren Ansprechpartner im Customer-Success-Team, der Ihnen gerne weiterhilft.
<h3>DIESE MASSNAHMEN HABEN WIR ZUM SCHUTZ VON LASTPASS ERGRIFFEN</h3>
Seit August haben wir unsere gesamte Infrastruktur, unsere Rechenzentren und Cloudspeicher durch mehrere neue Sicherheitstechnologien erweitert, um unseren Sicherheitsansatz weiter zu st&auml;rken. Vieles davon war bereits geplant und konnte in k&uuml;rzester Zeit erledigt werden, denn diese Arbeiten hatten wir bereits vor dem ersten Vorfall begonnen.
Zus&auml;tzlich wurden erhebliche Investitionen in Sicherheit, Datenschutz und betriebliche Best Practices priorisiert und eingeleitet. Wir haben eine umfassende &Uuml;berpr&uuml;fung unserer Sicherheitsrichtlinien durchgef&uuml;hrt und gegebenenfalls notwendige &Auml;nderungen zur Beschr&auml;nkung von Zugriff und Berechtigungen vorgenommen. Wir haben eine umfassende Analyse der vorhandenen Kontrollen und Konfigurationen durchgef&uuml;hrt und, wo notwendig, &Auml;nderungen vorgenommen, um den Schutz bestehender Umgebungen zu st&auml;rken. Zudem haben wir begonnen, die Verwendung von Verschl&uuml;sselungsmethoden innerhalb unserer Anwendungs- und Backup-Infrastruktur auszuweiten. Und schlie&szlig;lich besch&auml;ftigen wir uns mit l&auml;ngerfristigen Architekturinitiativen, um die Plattformentwicklung bei LastPass voranzutreiben.
<a href="https://support.lastpass.com/help/what-have-we-done-to-ensure-lastpass-is-safe-to-use" target="_blank" rel="noopener noreferrer">Klicken Sie hier</a>, um die Liste der bereits abgeschlossenen Punkte aus unserer Sicherheits-Roadmap aufzurufen.
<h3>WAS SIE VON UNS IN ZUKUNFT ERWARTEN K&Ouml;NNEN</h3>
<p>
Seit unserem letzten Post vom 22.&nbsp;Dezember habe ich mit vielen unserer Gesch&auml;fts- und Privatkunden gesprochen. Ich verstehe, wie frustrierend es f&uuml;r unsere Kunden war, dass wir sie nicht schneller, klarer und umfassender &uuml;ber die Geschehnisse informiert haben. Diese Kritik akzeptiere ich vollkommen und ich &uuml;bernehme die volle Verantwortung. Wir haben dazugelernt und sind entschlossen, k&uuml;nftig effektiver zu kommunizieren. Dazu geh&ouml;rt auch das heutige Update.
Vor etwas mehr als einem Jahr haben GoTo und seine Investoren angek&uuml;ndigt, dass LastPass ein unabh&auml;ngiges Unternehmen mit einem neuen F&uuml;hrungsteam werden solle. Damit soll das Potenzial von LastPass voll ausgesch&ouml;pft werden: Wir m&ouml;chten das Versprechen zum Aufbau der marktf&uuml;hrenden Passwort-Management-Plattform f&uuml;r Unternehmen einl&ouml;sen. Ende April&nbsp;2022 kam ich als CEO hinzu, um dieses Projekt zu leiten.
In den letzten acht Monaten haben wir neue F&uuml;hrungskr&auml;fte eingestellt, um das Wachstum des Unternehmens voranzutreiben und eine neue Strategie umzusetzen. Dazu geh&ouml;ren anerkannte Branchenveteranen und F&uuml;hrungspers&ouml;nlichkeiten aus der Sicherheits- und Technologiebranche.
Im Rahmen der n&auml;chsten Wachstumsphase des Unternehmens haben wir mehrere Millionen US-Dollar zur Ausweitung unserer Investitionen in die Sicherheit unter Ber&uuml;cksichtigung der Menschen, Prozesse und Technologien abgestellt. Diese Investitionen unterschreiben unsere Verpflichtung, LastPass zu einem f&uuml;hrenden Cybersicherheitsunternehmen weiterzuentwickeln und sicherzustellen, dass wir gegen zuk&uuml;nftige Bedrohungen gewappnet sind.
Vielen Dank f&uuml;r Ihr Verst&auml;ndnis, Ihre Mithilfe und Ihre fortw&auml;hrende Treue.
</p>
<p>Karim Toubba
</p>
<p>CEO von LastPass</p>

Sicherheitsvorfall – Neuigkeiten und empfohlene Maßnahmen

F&uuml;r unsere LastPass-Kunden:
Ich m&ouml;chte Ihnen wichtige Neuigkeiten zu dem Sicherheitsvorfall mitteilen, den wir am 22.&nbsp;Dezember 2022 gemeldet haben.&nbsp;&nbsp;Unsere umfassenden Untersu[..]

Umsatzverluste, Abwanderung von Kunden, Bußgeldzahlungen: Datenschutzverletzungen können für Unternehmen verheerend sein. Eine Cyberversicherung hilft ihnen, <a href="https://blog.lastpass.com/2022/02/why-your-business-should-invest-in-cyber-insurance/" target="_blank" rel="noopener">die finanziellen Folgen abzufedern</a>, mit denen sie durch Sicherheitsvorfälle konfrontiert sind.

Cyberversicherungen helfen Unternehmen im Katastrophenfall. Dennoch geht es nach wie vor nicht ohne Vorsorgemaßnahmen, die viele Cyberversicherer außerdem für die Risikoabdeckung oder die Vergünstigung von Prämien verlangen. Für Unternehmen, die die Kriterien der Versicherer erfüllen und ihre Versicherungsprämie senken möchten, kann LastPass eine Lösung sein.
<h3>Cyberversicherungen: eine sinnvolle Investition</h3>
Haben Sie schon einmal darüber nachgedacht, was sich nach einer Datenschutzverletzung in einem Unternehmen abspielt? Abgesehen von dem Wirbel und den Irritationen, die ein solcher Vorfall auslöst, sind zu seiner Bewältigung viele verschiedene Aktionen erforderlich.

Die Datenschutzverletzung feststellen, Sicherheitslücken schließen, die Mitarbeiter benachrichtigen, den Vorfall behördlich melden, Rechtsberatung einholen, Geschäftspartner zeitnah informieren, Fragen besorgter Kunden beantworten, auf Medienanfragen reagieren: Die Liste ist lang, und der Aufwand an Personal, Ressourcen und auch Geldmitteln, den es dafür braucht, immens.

Aus diesem Grund benötigen Unternehmen, die sensible Kundendaten verarbeiten, <a href="https://blog.lastpass.com/2022/02/why-your-business-should-invest-in-cyber-insurance/" target="_blank" rel="noopener">unbedingt eine Cyberversicherung</a>. Ihre Police deckt durch Hackerangriffe verursachte Kosten ab, etwa die für Public Relations oder die forensische Untersuchung des Vorfalls. Dem IBM-Security-Bericht <a href="https://www.ibm.com/security/data-breach" target="_blank" rel="noopener">Cost of a Data Breach Report</a> zufolge „sind die durchschnittlichen Kosten einer Datenschutzverletzung gegenüber dem Vorjahr um 10 % gestiegen – der höchste Wert in den letzten sieben Jahren.“ Entsprechend werden voraussichtlich auch die damit zusammenhängenden Kosten steigen.
<h3>Risiken senken bringt günstigere Prämien</h3>
Cyberversicherungen decken die finanziellen Folgen von Hackerangriffen ab. Unternehmen erfahren durch sie, welche Best Practices in ihrer Branche gelten und wie sie diese umsetzen. Eine dieser Best Practices ist die <a href="https://www.lastpass.com/products/multifactor-authentication" target="_blank" rel="noopener">Multifaktor-Authentifizierung</a> (MFA), die jeden Login im Unternehmen besser absichern kann.

Einer neuen LastPass-Umfrage zufolge sagen 83 % der Unternehmen, ihr Anbieter verlange für die Versicherung (oder die Senkung der Prämie) die Nutzung von Multifaktor-Authentifizierung oder Passwort-Management.

MFA bringt weitere Sicherheitskontrollen in den Anmeldevorgang, denn bei dieser Methode müssen Benutzer ihre Identität durch Bereitstellung weiterer Informationen („Faktoren“) bestätigen. Sie können sich bei MFA also nicht einfach mit einer Identität anmelden, sondern müssen zusätzlich deren Echtheit bestätigen. Diese Verifizierung erschwert Kriminellen das Eindringen in Systeme.

Alleine mit gültigen Zugangsdaten kommen sie nicht an ein durch MFA geschütztes Konto heran, da sie die weiteren erforderlichen Faktoren dafür nicht besitzen.

Da MFA die Sicherheit enorm verbessert, kann sie als Ergänzung anderer Sicherheitslösungen wie etwa Passwort-Management zu einer Vergünstigung der Versicherungspolice führen.
<h3>Mit LastPass die Sicherheit verbessern und Geld sparen</h3>
MFA ist unter anderem deshalb so attraktiv, weil sie vergleichsweise einfach einzurichten und zu nutzen ist. Moderne MFA-Lösungen funktionieren zentral und sind skalierbar, komfortabel, sicher und diskret. Die meisten Menschen sind inzwischen mit SMS-Einmalcodes oder Authenticator-Apps vertraut. Das leistet der Akzeptanz von MFA in Unternehmen Vorschub. Sollte ein Unternehmen MFA einführen, gibt ein Smartphone, das heutzutage quasi jeder hat, den Mitarbeitern einen schnellen nahtlosen Zugriff auf ihre Arbeit.

In LastPass Business ist MFA für bis zu drei Anwendungen enthalten. Weitere Anwendungen schützen können Sie mit dem Add-on MFA Advanced. Unternehmen, die eine verwaltungs- und benutzerfreundliche Lösung für die Passwortverwaltung plus MFA bereitstellen, geben ihren Mitarbeitern leichten Zugang zu Systemen und verschaffen ihrer IT-Abteilung mehr Kontrolle und Transparenz.

Welche Anforderungen haben Cyberversicherungen? Wie können Sie Ihre Cyberversicherungspolice senken? Unsere Infografik gibt Antwort auf diese Fragen. Sie können sie <a href="https://www.lastpass.com//-/media/e0ed3309ffd54dd894aad8eaf95e2c74.pdf" target="_blank" rel="noopener"><u>hier</u></a> herunterladen.

[INFOGRAPHIC] Cyberversicherungskosten senken mit LastPass

Umsatzverluste, Abwanderung von Kunden, Bußgeldzahlungen: Datenschutzverletzungen können für Unternehmen verheerend sein. Eine Cyberversicherung hilft ihnen, <a href="https://blog.lastpass.com/2022/02[..]

Die Pandemie mag Unternehmen vor noch nie dagewesene Herausforderungen gestellt haben, hat Arbeitskräften aber gleichzeitig neue Chancen eröffnet. Im Homeoffice genießen viele von ihnen ein bisher ungekanntes Maß an Flexibilität, das sie jetzt nicht mehr missen möchten. Laut einer neuen <a href="https://blog.logmeininc.com/forrester-remote-2021/?lang=en" target="_blank" rel="noopener">Studie von Forrester, die von GoTo in Auftrag gegeben wurde</a>, möchten nahezu drei Drittel der Beschäftigten in Zukunft mobil arbeiten. 62 Prozent gaben an, im Homeoffice zufriedener zu sein.

Wenn Ihr Unternehmen mit dem mobilen Arbeiten Erfolg haben will, müssen Sie an den richtigen Stellen investieren. Dies geschieht nicht über Nacht, ist die Mühe aber auf jeden Fall wert. Mit den richtigen Technologien und Compliance-Maßnahmen lässt sich ein flexibles Arbeitsmodell erfolgreich umsetzen. Unternehmen können produktive und zufriedene Arbeitskräfte gewinnen und halten und ihre Belegschaft diversifizieren.

Sehen wir uns nun an, warum Technologie und Compliance in der mobilen Arbeitswelt der Zukunft das A und O sind und wie Unternehmen in diesen Bereichen Fortschritte machen können.

<strong>So wählen Sie die richtigen Technologien für Ihre Remote-Work-Strategie</strong>

Wie die <a href="https://www.logmein.com/work-from-home-remote-access/forrester-work-from-anywhere-trends" target="_blank" rel="noopener">Forrester-Studie</a> belegt, ist die Technik ein ausschlaggebender Faktor für den Erfolg oder Misserfolg jeder Remote-Work-Strategie. Unternehmen, die ihre mobil arbeitende Belegschaft mit den richtigen Technologien unterstützen, haben viel eher zufriedene Arbeitskräfte als jene, die das nicht tun. Beim Übergang in eine neue Normalität nach der Pandemie wollen einige von ihnen nun vielleicht ihre Kosten senken, übersehen dabei aber möglicherweise den ROI, den sie durch engagiertere und produktivere Mitarbeiter gewinnen können.

Den Studienergebnissen von Forrester zufolge finden IT-Entscheidungsträger den Support von Mitarbeitern im Homeoffice schwieriger. Das liegt aber oft daran, dass ihnen die richtigen Technologien fehlen, um angenehme Arbeitsbedingungen zu schaffen. Wie können sie auf diese Herausforderung eingehen? Indem sie beispielsweise die Mitarbeiter selbst um ihren Input bitten. 89 Prozent der Beschäftigten, die sich in der Umfrage als sehr zufrieden zeigten, werden von ihrem Arbeitgeber nach ihren Erfahrungen mit der genutzten Technik sowie nach Verbesserungsvorschlägen gefragt. Für Unternehmen kann es außerdem von Vorteil sein, bei der Evaluierung potenzieller technologischer Investitionen Empfehlungen des IT-Teams und der Personalabteilung gleichermaßen zu berücksichtigen. 82 Prozent der befragten Entscheidungsträger bezeichnen relativ ausgewogenen Input von IT und HR als die ideale Basis für Kaufentscheidungen, aber nur 51 Prozent der Unternehmen treffen ihre Entscheidungen derzeit auf diese Weise. Die Rückmeldungen der Arbeitnehmer legen eine ähnliche Lücke offen: 84 Prozent der sehr zufriedenen Beschäftigten geben an, die Geschäftsführung würde bei der Anschaffung neuer Technologien die beste Option für die Belegschaft wählen und nicht bloß die kostengünstigste; unter den weniger zufriedenen Beschäftigten waren das nur 61 Prozent.

In Bezug auf die Technik selbst sollten Unternehmen Collaboration-Tools den Vorrang geben, da diese großen Einfluss auf die Zufriedenheit der Mitarbeiter im Homeoffice haben. <a href="https://blog.lastpass.com/2020/11/when-working-remotely-security-and-collaboration-are-better-together/" target="_blank" rel="noopener">Security und Collaboration sind ein starkes Team:</a> Angestellte profitieren von allen Vorteilen eines kollaborativen Arbeitsumfeldes, während Unternehmen gleichzeitig die Sicherheitsrisiken minimieren. Lösungen für die Passwortverwaltung können dazu beitragen – sie automatisieren wichtige IT-Prozesse und geben IT-Teams den nötigen Einblick in mögliche Sicherheitsbedrohungen. Mit Funktionen wie Single Sign-On (SSO) kann ein Passwort-Manager den Mitarbeitern gleichzeitig den Zugriff auf die Firmensysteme erleichtern und ihre Produktivität erhöhen.

<strong>Wie eine starke Compliance das mobile Arbeiten fördert</strong>

Um mit einem flexiblen Arbeitsmodell Erfolg zu haben, müssen die geltenden Vorgaben und Richtlinien unbedingt eingehalten werden. In vielen Unternehmen gibt es in diesem Bereich jedoch noch Verbesserungspotenzial. Obwohl 81 Prozent der Entscheidungsträger angeben, ihr Unternehmen würde die Privatsphäre der Beschäftigten im Homeoffice und im Büro effektiv schützen, sind derzeit nur 58 Prozent der befragten Mitarbeiter mit den Maßnahmen ihres Arbeitgebers zufrieden. Und obwohl 76 Prozent der IT-Entscheidungsträger der Meinung sind, gute Technologien für das ortsungebundene Arbeiten würden die Compliance fördern, denken nur 58 Prozent, dass ihrer Lösungssuite das derzeit gelingt.

Eine Möglichkeit, die Einhaltung der Vorgaben zu verbessern, besteht in der Einführung wirksamer Compliance-Richtlinien. Unternehmen scheinen das zu verstehen; 38 Prozent der befragten Entscheidungsträger nennen präzisere Richtlinien als eine ihrer obersten Prioritäten für das kommende Jahr. Es lässt sich gar nicht oft genug betonen, welch wichtige <a href="https://blog.lastpass.com/2021/03/the-role-of-password-security-in-the-work-from-anywhere-world/" target="_blank" rel="noopener">Rolle der Passwortsicherheit</a> in der mobilen Arbeitswelt zukommt. Ohne eine gute Passwortverwaltung können Mitarbeiter und das Unternehmen selbst Opfer von Datenschutzverletzungen werden. Erwägen Sie daher, bei der Überprüfung Ihrer Compliance-Maßnahmen auch Ihre Passwortrichtlinien unter die Lupe zu nehmen.

Viele Unternehmen verlangen beispielsweise von ihren Angestellten, für jedes Online-Konto ein anderes, sicheres Passwort anzulegen und dieses regelmäßig zu aktualisieren. Bei manchen Mitarbeitern klafft zwischen Theorie und Praxis jedoch nach wie vor eine große Kluft: Laut dem Bericht <a href="https://www.lastpass.com/resources/psychology-of-passwords-2020" target="_blank" rel="noopener">Psychologie der Passwörter 2020</a> verwenden 44 Prozent der Beschäftigten dasselbe oder ein ähnliches Passwort für mehrere Konten – obwohl sie wissen, dass dies ihre Sicherheit im Internet gefährdet. Ein Passwort-Manager kann hier Abhilfe schaffen: Er erstellt für jedes Konto automatisch ein starkes neues Passwort und speichert es in einem sicheren Online-Vault. Beim Anmelden auf einer Website oder in einer App gibt er die Zugangsdaten automatisch für den Benutzer ein. Darüber hinaus kann der Passwort-Manager Mitarbeiter warnen, wenn Daten von ihnen im Darkweb offengelegt wurden. So können sie unverzüglich Maßnahmen ergreifen, bevor andere Konten kompromittiert werden.

Gute Informationsarbeit ist ein weiterer wichtiger Faktor für eine bessere Compliance. Obwohl Beschäftigte wissen, dass die <a href="https://blog.lastpass.com/2021/01/repeat-after-me-7-cybersecurity-mantras-for-2021/" target="_blank" rel="noopener">Anzahl der Cyberangriffe zunimmt</a>, unterschätzen sie oft ihr individuelles Risiko. 41 Prozent der Personen, die für den Bericht zur Psychologie der Passwörter 2020 befragt wurden, meinen, dass Hacker an ihren Konten kein Interesse hätten. Das stimmt nicht. Darüber hinaus sind sie sich vielleicht nicht aller Konsequenzen ihres Handelns bewusst. Ein Datenleck kann große Schäden anrichten – wenn sie unsichere Passwörter verwenden oder Zugangsdaten an Kollegen weitergeben, setzen sie sowohl sich selbst als auch ihren Arbeitgeber Gefahren aus.

Diese weit verbreiteten Ansichten sind ein Risiko für jedes Unternehmen, können aber für Firmen und Organisationen in streng regulierten Branchen besonders schwerwiegende rechtliche Folgen und Imageschäden nach sich ziehen. Wenn Sie regelmäßig Schulungen anbieten, in denen Sie Ihre Mitarbeiter über gute Passwortgewohnheiten und deren praktische Umsetzung aufklären, können Sie die allgemeine Compliance in Ihrem Unternehmen verbessern.

<strong>So entwickeln Sie eine effektive und rentable Remote-Work-Strategie</strong>

Die <a href="https://blog.lastpass.com/2020/06/the-future-of-remote-work/" target="_blank" rel="noopener">Zukunft des mobilen Arbeitens</a> sieht rosig aus; es bietet sowohl den Beschäftigten als auch den Unternehmen große Vorteile. Wie der Forrester-Bericht anmerkt, profitieren Unternehmen mit einer ausgereiften Remote-Work-Strategie von engagierteren Mitarbeitern, einer höheren Produktivität, gestiegenen Umsätzen und geringeren Kosten. Bei der Umstellung auf ein flexibles Arbeitsmodell liegt der Schlüssel zum Erfolg jedoch in einer hohen IT-Sicherheit der Belegschaft und einer effektiven Verwaltung. Unternehmen, die die richtigen Technologien auswählen und strenge Maßnahmen zu ihrer Einhaltung umsetzen, werden aus dem ortsungebundenen Arbeiten besonders großen Nutzen ziehen.

Finden Sie heraus, wie LastPass das mobile Arbeiten durch eine <a href="https://www.lastpass.com/products/enterprise-password-management-and-sso" target="_blank" rel="noopener">zentralisierte und sichere Zugriffsverwaltung</a> unterstützt.

Die Arbeitswelt der Zukunft ist mobil. Sind Sie bereit?

Die Pandemie mag Unternehmen vor noch nie dagewesene Herausforderungen gestellt haben, hat Arbeitskräften aber gleichzeitig neue Chancen eröffnet. Im Homeoffice genießen viele von ihnen ein bisher ung[..]

Unternehmen sind von der fortdauernden Pandemie und immer neuen Cyberbedrohungen gefordert. Unsere neue globale Umfrage zur Identitäts- und Zugriffsverwaltung zeigt: Bei der Identität ist eine gute Balance zwischen Sicherheit und Benutzerfreundlichkeit für Unternehmen die größte Herausforderung.

Die neue Umfrage von IDC im Auftrag von LastPass, <em>Die Zukunft der Arbeit mit EPM, Identitätsverwaltung und Zugriffssteuerung</em> zeigt, wie Unternehmen die Anforderungen bewältigen und welche Risiken ihnen die heutigen Arbeitsumgebungen in puncto Identitätsmanagement und Zugriffsverwaltung bescheren. Befragt wurden insgesamt 700 IT- und Sicherheitsfachleute. Wie können Unternehmen mit unternehmensweitem Passwortmanagement (EPM) und einer Identitäts- und Zugriffssteuerung auch unter den neuen Vorzeichen ein sicheres Arbeiten ermöglichen? Lesen Sie hier die wichtigsten Umfrageergebnisse.
<h3><strong>Immer noch viel Selbstgestricktes </strong></h3>
Eines der Ergebnisse unserer Umfrage: Viele Unternehmen setzen weiter auf das, was sich lange bewährt zu haben scheint. Dies allerdings birgt oft gefährliche Sicherheitslücken. Eine manuelle Passwortverwaltung etwa setzt ein Unternehmen dem Risiko einer Datenschutzverletzung aus. In 83 % der Unternehmen, in denen es bereits zu Datenschutzverletzungen gekommen ist, haben die Angreifer Methoden genutzt, die auf Zugangsdaten setzen, wie das Phishing. Dieses Umfrageergebnis zeigt eines sehr deutlich: Unternehmen brauchen dringend Lösungen, die die Identitäts- und Zugriffsverwaltung auf den Endbenutzer ausrichten, und sie müssen ein gutes Sicherheitsverhalten fördern. Mögen die alten Methoden auch nicht immer ersetzbar sein, so kann die IT doch Sicherheitslücken schnell und wirksam schließen.
<h3><strong>Sicher und komfortabel: EPMs </strong></h3>
Für Unternehmen, die ohne Abstriche beim Benutzerkomfort weitere Sicherheitsebenen einziehen möchten, ist ein unternehmensweiter Passwortmanager (EPM) ein sinnvoller Baustein. 45 % der befragten Betriebe nutzen EPMs; sie sind damit die weitestverbreitete Lösung für die Identitäts- und Zugriffsverwaltung.
<h3><strong>Kostengünstig plus einfach? Auf EPMs trifft das zu. </strong></h3>
Unternehmen möchten vor allem kostengünstige, einfache Lösungen, die auch in hybriden Arbeitsumgebungen zuverlässige Sicherheit bieten und auf einem unternehmensweiten Passwortmanagement beruhen.

45 % der befragten Unternehmen, die Organisationen mit 10-999 Mitarbeitern abdeckte, sagen, dass sie komplexere Identitätslösungen wie SSO und MFA durchaus gerne einführen würden, ihnen aktuell aber das Budget und die Ressourcen dafür fehlen. Ein unternehmensweites Passwortmanagement schließt grundlegende Sicherheitslücken, ohne der IT-Abteilung zuviel zuzumuten.
<h3><strong>Remote-Arbeit und Sicherheitsanforderungen </strong></h3>
98 % der Befragten fühlen sich von der Remote-Arbeit sicherheitstechnisch stark gefordert. Als größte Probleme wurden genannt: unzulänglich abgesicherte Heimnetzwerke, gezielte Cyberangriffe auf Remote-Arbeiter, der Zugriff von Mitarbeitern auf Unternehmensdaten oder -anwendungen über nicht ausreichend geschützte Geräte und schlechte Passwortgewohnheiten.

Mit einer zügigen Entwicklung und Einführung von Anwendungen und Diensten können Unternehmen sowohl ihre Sicherheit verbessern als auch ein komfortables Arbeiten ermöglichen. Ein Passwortmanager ist eine universelle und benutzerfreundliche Lösung, die Mitarbeitern sicheren Zugriff auf die Tools und Ressourcen gibt, die sie bei der Arbeit brauchen.

<a href="https://www.lastpass.com/de/resources/reports/2022-idc-enabling-future-of-work-with-epm?utm_source=blog&amp;utm_medium=web&amp;utm_campaign=ITBuyer&amp;sfdcid=7014P000001rwmeQAA" target="_blank" rel="noopener">Laden Sie</a> den Kurzbericht herunter, wie Unternehmen Anforderungen rund um Passwortmanagement, Identität und Zugriffskontrolle bewältigen – und wie Ihr eigenes Unternehmen sich auf die Zukunft der Arbeit vorbereiten kann.

Die Arbeitswelt der Zukunft: sicher und komfortabel zugleich

Unternehmen sind von der fortdauernden Pandemie und immer neuen Cyberbedrohungen gefordert. Unsere neue globale Umfrage zur Identitäts- und Zugriffsverwaltung zeigt: Bei der Identität ist eine gute Ba[..]

Eine Cyberversicherung soll Unternehmen im Fall eines Hackerangriffs vor finanziellen Schäden schützen. Dem IBM-Security-Bericht <a href="https://www.ibm.com/security/data-breach" target="_blank" rel="noopener">Cost of a Data Breach Report</a> zufolge „sind die durchschnittlichen Kosten einer Datenschutzverletzung gegenüber dem Vorjahr um 10 % gestiegen – der höchste Wert in den letzten sieben Jahren.“ Cyberversicherungen können Unternehmen vor den Kosten bewahren, die ein Hackerangriff verursachen kann.

In den letzten Monaten haben Versicherer darauf gedrängt, dass Unternehmen die Multifaktor-Authentifizierung einrichten sollten, um Versicherungsansprüche geltend machen zu können. Cyberangriffe haben im letzten Jahr in Zahl und Schwere zugenommen. Die Versicherer setzen sich nun dafür ein, dass Versicherungsnehmer bestimmte Mindestmaßnahmen zur Verhütung von Angriffen ergreifen müssen.

<em>Multifaktor-Authentifizierung senkt das Risiko</em>

Multifaktor-Authentifizierung, kurz MFA, erweitert den Anmeldeprozess um weitere Sicherheitsprüfungen. Mit MFA kann ein Benutzer erst dann auf etwas Bestimmtes zugreifen, wenn er seine Identität durch ergänzende Informationen bestätigt. Dank dieser genaueren Prüfung bei der Anmeldung kann Ihr Unternehmen die Identität einer Person besser nachweisen und macht es Angreifern gleichzeitig viel schwerer, die Sicherheitsmaßnahmen zu durchbrechen.

Multifaktor-Authentifizierung schützt Konten mit:
<ul>
 	<li>einem „Wissensfaktor“ – ein Passwort</li>
 	<li>einem „Eigentumsfaktor“ – ein Telefon oder ein Sicherheitsschüssel</li>
 	<li>einem „Eigenschaftsfaktor“ – biometrische Daten</li>
</ul>
Selbst wenn Angreifer ein Passwort stehlen, können sie ohne alle erforderlichen Faktoren nicht auf ein Konto zugreifen.

<em>Versicherungsbedingungen erfüllen mit LastPass</em>

Mit Advanced MFA bietet LastPass eine Multifaktor-Authentifizierung der nächsten Generation, die jeden Zugriffspunkt im Unternehmen schützt. Cloud-Apps oder ältere Apps, VPN oder Workstations: LastPass MFA gibt passwortfreien Zugriff und sorgt für maximale Sicherheit durch anpassbare Sicherheitsrichtlinien und adaptive Authentifizierung.

LastPass Advanced MFA ist ein Angebot, das unseren Passwortmanager ergänzt. Unternehmen, die eine verwaltungs- und benutzerfreundliche Lösung für Passwortverwaltung plus MFA bereitstellen, bieten ihren Mitarbeitern ein reibungsloses Nutzungserlebnis und verschaffen ihrer IT-Abteilung mehr Kontrolle und Transparenz.

Mehr Informationen über unser Angebot zur Multifaktor-Authentifizierung finden Sie <a href="https://www.lastpass.com/products/multifactor-authentication" target="_blank" rel="noopener">hier</a>.

Cyberversicherungsanbieter fordern Multifaktor-Authentifizierung (MFA)

Eine Cyberversicherung soll Unternehmen im Fall eines Hackerangriffs vor finanziellen Schäden schützen. Dem IBM-Security-Bericht <a href="https://www.ibm.com/security/data-breach" target="_blank" rel=[..]

Die Zahl der Ransomware-Angriffe im Gesundheitswesen ist im vergangenen Jahr sprunghaft angestiegen. Dem <a href="https://www.aha.org/system/files/media/file/2021/05/fbi-tlp-white-report-conti-ransomware-attacks-impact-healthcare-and-first-responder-networks-5-20-21.pdf" target="_blank" rel="noopener">FBI</a> zufolge hat die Ransomware-Hackergang Conti alleine in den USA mindestens 16 Angriffe auf Gesundheits- und Ersthelfernetzwerke verübt; die Lösegeldforderungen lagen in einigen Fällen bei sage und schreibe 25 Millionen US-Dollar.

Auch in Deutschland kam es in den letzten fünf Jahren zu <a href="https://www.reuters.com/world/europe/german-cyber-security-chief-fears-hackers-could-target-hospitals-2021-05-22/" target="_blank" rel="noopener">zahlreichen Angriffen</a>, und in Zeiten von Corona hat sich die Bedrohungslage noch verschärft. Die Zahl der Vorfälle bei Gesundheitsdienstleistern hat sich <a href="https://www.heise.de/news/Bundesregierung-Deutlich-mehr-Cyberangriffe-auf-Kliniken-und-Versorger-4971283.html" target="_blank" rel="noopener">in knapp einem Jahr mehr als verdoppelt</a>. Eine Düsseldorfer Klinik wurde im September 2020 Opfer eines <a href="https://www.handelsblatt.com/technik/sicherheit-im-netz/cyberkriminalitaet-todesfall-nach-hackerangriff-auf-uni-klinik-duesseldorf/26198688.html?ticket=ST-685818-GpayhLYPfAUZvZNjNF4k-ap2" target="_blank" rel="noopener">Ransomware-Angriffs</a>, der 30 Server infizierte und das gesamte Computersystem lahmlegte.

Warum genau haben Ransomware-Angriffe im Gesundheitswesen während der Pandemie so zugenommen? Wir erläutern Zusammenhänge und nennen Tipps des FBI, die Sie gegen Ransomware-Angriffe wappnen.
<h3><strong>Ransomware: eine wachsende Gefahr für die Gesundheitsversorgung</strong></h3>
In der Pandemie hat sich gezeigt, wie angreifbar Gesundheitsdienstleister sind, denn die globalen Gesundheitssysteme waren einer unvorhersehbaren Belastung ausgesetzt, der sie nur mit Mühe oder gar nicht standhielten. Kriminelle Hackergruppen wie Conti erkannten in dieser Lage eine Chance auf lukrative Geschäfte durch Ransomware-Angriffe und nutzten sie. Viele Kliniken zahlten einen hohen Preis: Sie wurden finanziell geschädigt und zudem an ihrer medizinischen und pflegerischen Arbeit gehindert.

Bei einem typischen Ransomware-Angriff werden Daten verschlüsselt und solange in Geiselhaft genommen, bis das geforderte Lösegeld gezahlt wird – in der Regel in Bitcoin, denn dies erleichtert die Geldwäsche. Der Betrieb bricht zusammen, finanzielle Einbußen drohen, und die Geschäftsleitung muss zügig die Vor- und Nachteile der möglichen Reaktionsszenarien abwägen: So sieht das Szenario in Wirtschaftsunternehmen aus. Trifft ein solcher Angriff aber ein Krankenhaus, so stehen zu alledem noch das Leben und Wohlbefinden von Menschen auf dem Spiel.

So musste die oben erwähnte Düsseldorfer Klinik wegen ihrer zusammengebrochenen IT-Systeme einen Rettungswagen mit einer akut schwerkranken Patientin zum nächstgelegenen Krankenhaus 30 Kilometer entfernt verweisen. <a href="https://www.handelsblatt.com/technik/sicherheit-im-netz/cyberkriminalitaet-todesfall-nach-hackerangriff-auf-uni-klinik-duesseldorf/26198688.html?ticket=ST-685818-GpayhLYPfAUZvZNjNF4k-ap2" target="_blank" rel="noopener">Die Patientin verstarb</a>; wegen fahrlässiger Tötung wurden Ermittlungen gegen Unbekannt aufgenommen.

Das Risiko von Angriffen auf Krankenhäuser und Kliniken ist in der Corona-Pandemie leider besonders angestiegen. Überforderte und abgelenkte Belegschaften, eine hohe Wahrscheinlichkeit, dass wichtige Maßnahmen zur Stärkung der Cybersicherheit erst einmal verschoben werden, bis der Betrieb sich wieder beruhigt hat – all das ist für Cyberkriminelle ein gefundenes Fressen. Auch fällt im Gesundheitswesen das Cybersicherheitsbudget in der Regel kleiner aus als in anderen Wirtschaftssektoren.

<span lang="de">Die eingesetzten </span><span lang="de"><a href="https://www.pwc.de/de/gesundheitswesen-und-pharma/interview-krankenhaeuser-muessen-jetzt-in-cyber-sicherheit-investieren.html" target="_blank" rel="noopener noreferrer" data-auth="NotApplicable" data-linkindex="2">IT-Systeme sind oft veraltet und IT-Abteilungen leiden an Ressourcendefiziten</a></span><span lang="de">.</span>

Hinzu kommt, dass im Gesundheitswesen sensible Patientendaten anfallen. Die lassen sich von Kriminellen im Darkweb hervorragend zu Geld machen.

All diese Faktoren lassen den Schluss zu, dass auch nach der Pandemie Krankenhäuser und Kliniken im Fadenkreuz von Ransomware-Hackern bleiben werden. Die gute Nachricht: Mit entsprechend wirksamen Maßnahmen können Sie sich gegen das Missgeschick gut wappnen.
<h3><strong>Tipps des FBI zur Verhinderung von Ransomware-Angriffen</strong></h3>
Mit den folgenden Best Practices des FBI beugen Sie Ransomware-Angriffen vor und verbessern Ihren Sicherheitsstatus allgemein:
<ul>
 	<li><strong>Regelmäßige Datensicherung</strong>: Durch den regelmäßigen Backup Ihrer wichtigsten Daten bessert sich Ihre Lage im Fall eines Ransomware-Angriffs. Testen Sie die angelegten Backups regelmäßig, um sicherzustellen, dass sie im Bedarfsfall erwartungsgemäß funktionieren.</li>
 	<li><strong>Passwortschutz für Backups</strong>: Versehen Sie Ihre Backups mit Passwortschutz. Er macht es Unbefugten schwerer, an ihren Inhalt zu gelangen.</li>
 	<li><strong>Air-Gap-Schutz für Backups</strong>: Eine Air-Gap-Konfiguration isoliert Ihre Backups vom Netzwerk. So können sie nicht in die Hände Krimineller geraten, die in Ihr Netzwerk eingedrungen sind. Bewahren Sie Backups immer auch offline auf, damit Sie stets unveränderte Kopien Ihrer wichtigsten Daten parat haben.</li>
 	<li><strong>Starke Passwörter</strong>: Wenn Sie schwache oder einfach zu erratende Passwörter nutzen, können sich Hacker Zugang zu einem oder mehreren Ihrer Online-Konten verschaffen und Ihre Systeme auf diesem Weg mit Ransomware angreifen. Verwenden Sie nur starke Passwörter und tauschen Sie diese regelmäßig durch neue aus. Ein starkes Passwort hat mindestens 16 Zeichen und besteht aus einer zufälligen Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.</li>
 	<li><strong>Einmalige Passwörter</strong>: Die Wiederverwendung von Passwörtern steigert das Risiko für Sie und Ihre Klinik, Opfer eines Hackerangriffs zu werden, sollten die entsprechenden Passwörter geleakt werden. <a href="https://blog.lastpass.com/2021/03/150000-security-cameras-hacked-because-of-one-password/" target="_blank" rel="noopener">Über ein einziges Passwort konnten 150.000 Überwachungskameras gehackt werden</a> – so etwas sollte zu denken geben. Verwenden Sie für jedes Online-Konto ein eigenes Passwort.</li>
 	<li><strong>Multifaktor-Authentifizierung</strong>: Aktivieren Sie MFA, wenn Sie <a href="https://blog.lastpass.com/2021/05/worried-about-ransomware-turn-on-mfa/" target="_blank" rel="noopener">Ransomware-Angriffe fürchten</a>. MFA macht Benutzerzugriffe sicherer, da die Methode beim Login einen weiteren Authentifizierungsfaktor fordert, etwa den Fingerabdruck oder die Nutzung eines vertrauenswürdigen Geräts.</li>
</ul>
<h3><strong>Daten vor Cyberkriminellen schützen – LastPass hilft</strong></h3>
Auch der Einsatz von LastPass bringt Ihren Daten Schutz:
<ul>
 	<li><strong>Alle Passwörter sicher verwahrt</strong>: LastPass speichert Ihre Passwörter in einem verschlüsselten Vault, auf den Sie von überall aus zugreifen können. Sie können damit Passwörter bei Bedarf auch gezielt an Kollegen freigeben.</li>
 	<li><strong>Komfortabler Zugriff mit SSO</strong>: Wenn Sie Ihren Mitarbeitern SSO zur Verfügung stellen, können diese nach einem einzigen Login auf alle benötigten Anwendungen zugreifen und ersparen sich das Eingeben der jeweiligen Zugangsdaten dafür.</li>
 	<li><strong>Lückenlose Sicherheit durch MFA</strong>: Meldet sich jemand mit Ihren Zugangsdaten bei einem System an, werden Sie darüber benachrichtigt und können den Zugriffsversuch entweder bestätigen oder Ihre IT-Abteilung zu der verdächtigen Aktion im Zusammenhang mit Ihrem Konto informieren.</li>
 	<li><strong>Darkweb-Überwachung</strong>: Tauchen Ihre Zugangsdaten in einem Datenleak auf, ist es gut, wenn Sie davon schnell erfahren, damit Sie die Passwörter der betroffenen Konten austauschen können. Die Darkweb-Überwachung benachrichtigt Sie in einem solchen Fall sofort, sodass Sie die Sicherheitslücke sofort schließen können.</li>
</ul>
<h3><strong>Sensible Daten vor Ransomware schützen</strong></h3>
Hackergangs wie Conti wittern beim Angriff auf Gesundheitsdienstleister das große Geschäft und gefährden mit ihrem Treiben die Patientenversorgung und auch Impfkampagnen im globalen Kampf gegen die Corona-Pandemie. Diese Entwicklung ist durchaus besorgniserregend, doch Ihre Klinik kann ihre wertvollen Daten schützen: durch robuste Datenbackups, eine gute Passworthygiene sowie die Nutzung von MFA und Darkweb-Überwachung. Damit nehmen Sie Ihre Klinik aus der Schusslinie Krimineller, die sich wahrscheinlich bald andere, in ihren Augen lohnendere Ziele suchen werden.

Erfahren Sie, wie Sie mit <a href="https://www.lastpass.com/products/multifactor-authentication" target="_blank" rel="noopener">LastPass-MFA</a> Ihre Institution besser schützen können.

Ransomware-Angriffe auf Gesundheitsdienstleister: Der Corona-Effekt

Die Zahl der Ransomware-Angriffe im Gesundheitswesen ist im vergangenen Jahr sprunghaft angestiegen. Dem <a href="https://www.aha.org/system/files/media/file/2021/05/fbi-tlp-white-report-conti-ransomw[..]

Wieder einmal machen Ransomware-Angriffe <a href="https://www.nytimes.com/2021/05/09/us/politics/biden-cyberattack-response.html?action=click&amp;module=Top%20Stories&amp;pgtype=Homepage" target="_blank" rel="noopener">Schlagzeilen</a>, und viele Unternehmen fragen sich, wie sie ihr eigenes Risiko eindämmen können. Mit einer mehrschichtigen Schutzstrategie, die auf starke Authentifizierung setzt, kann jedes Unternehmen seine Angriffsfläche verringern und seine Zugriffspunkte besser schützen. Ein wirksamer Baustein bei der Abwehr von Ransomware-Angriffen ist die Multifaktor-Authentifizierung, zumal wenn sie mit einer sauber verwalteten Passwortsicherheit einher geht.

Bei einem Ransomware-Angriff lädt das Opfer eine Malware herunter, welche die Daten auf seinem Computer verschlüsselt und so lange in Geiselhaft nimmt, bis das für die Datenfreigabe geforderte Lösegeld gezahlt wird. Diese Erpressungsmasche hat während der Corona-Pandemie stark zugenommen: <a href="https://cisomag.eccouncil.org/growth-of-ransomware-2020/#:~:text=Based%20on%20the%20analysis%20of,twofold%20and%20amounted%20to%20%24170%2C000.#:~:text=Based%20on%20the%20analysis%20of,twofold%20and%20amounted%20to%20%24170%2C000." target="_blank" rel="noopener">Es kam zu schätzungsweise 150 % mehr Ransomware-Angriffen, </a>die Höhe der geforderten Lösegelder hat sich 2020 durchschnittlich verdoppelt.

Jüngere Angriffe auf Unternehmen wie <a href="https://blog.lastpass.com/2020/12/security-notification-solarwinds-supply-chain-attack/" target="_blank" rel="noopener">SolarWinds</a> und die US-amerikanische Benzin-Pipeline Colonial zeigen die desaströsen Konsequenzen von Ransomware, die vom finanziellen Verlust bis zum Imageschaden reichen. SolarWinds bezifferte die Kosten zur Behebung des erlittenen Schadens auf <a href="https://www.reuters.com/technology/solarwinds-says-dealing-with-hack-fallout-cost-least-18-million-2021-04-13/" target="_blank" rel="noopener">über <strong>18 Millionen US-Dollar</strong></a>. Der Angriff auf die Pipeline Colonial führte im Osten der USA aufgrund befürchteter Versorgungsengpässe zu Panikkäufen, obwohl das Unternehmen sich zu einer Lösegeldzahlung von <a href="https://www.nbcnews.com/tech/security/colonial-pipeline-paid-ransomware-hackers-5-million-u-s-official-n1267286">5 Millionen US-Dollar</a> entschlossen hatte.

In Reaktion auf diese und andere Angriffe unterzeichnete US-Präsident Biden jüngst ein Dekret zu strengerer Cybersicherheit, das unter anderem den Einsatz von Multifaktor-Authentifizierung beim Zugriff auf staatliche Netzwerke vorschreibt.
<h3><strong>Warum ist Multifaktor-Authentifizierung wichtig?</strong></h3>
<a href="https://www.lastpass.com/products/multifactor-authentication" target="_blank" rel="noopener">Multifaktor-Authentifizierung (MFA)</a> fordert beim Systemzugriff abgesehen vom Benutzernamen und Passwort weitere Informationen. Durch Bereitstellung von zwei oder mehr „Faktoren“ – etwa einem Fingerabdruck und der Nutzung eines vertrauenswürdigen Geräts – lässt sich die angebliche Identität eines Benutzers zweifelsfrei nachweisen. Moderne MFA-Lösungen nutzen außerdem Kontextdaten, anhand derer sie ungewöhnliche Aktivitäten erkennen und die Login-Anforderungen bei riskanten oder verdächtig wirkenden Anmeldeversuchen verschärfen können.

Deshalb ist MFA äußerst nützlich, um einen Ransomware-Angriff abzuwehren oder wenigstens auszubremsen. Ein Ransomware-Angriff beginnt damit, sich Zugang zum Netzwerk oder zu bestimmten Konten (etwa E-Mail) des betreffenden Unternehmens zu verschaffen. Sobald dies geglückt ist, können die Angreifer entweder die Ransomware direkt auf einem Computer installieren oder Mitarbeiter leichter dazu bringen, auf einen Schadlink zu klicken, der die Malware dann herunterlädt.

Wird für den Netzwerkzugriff oder die Anmeldung bei Unternehmenskonten MFA gefordert, ist es für Kriminelle viel schwerer, einzudringen, denn Mitarbeiter und IT-Administratoren werden ja auf ihre Anmeldeversuche aufmerksam, sobald eine Bestätigung der Zugriffsberechtigung per MFA angefordert wird. Angriffe auf Systeme, die per MFA geschützt sind, kosten kriminelle Hacker mehr Aufwand und Zeit. So steigt die Wahrscheinlichkeit, dass sie sich einfachere Ziele suchen.

Bei Verbraucherservices ist die Zweifaktor-Authentifizierung inzwischen stark verbreitet. Diese Entwicklung hat <a href="https://blog.lastpass.com/2020/03/the-importance-of-mfa-in-a-remote-workforce/" target="_blank" rel="noopener">MFA-Lösungen auch am Arbeitsplatz </a> komfortabler gemacht. Auf „Bestätigen“ tippen, den Fingerabdruck hinterlassen, 6-stellige PIN-Codes eingeben: Das sind inzwischen übliche Sicherheitsmaßnahmen, auszuführen auf einem Gerät, das man sowieso immer dabei hat – das eigene Smartphone. Nutzt die MFA also Technik und Verhaltensweisen, die Mitarbeitern bereits vertraut sind, kann sie für lückenlose Sicherheit im Arbeitsalltag sorgen. Ein reibungsloser Authentifizierungsvorgang gepaart mit einem starken Schutz im Hintergrund geben der IT-Abteilung die Sicherheit, dass Mitarbeiter Vorgaben einhalten und das Risiko von Ransomware-Angriffen sinkt.

MFA ist nur ein Element einer wirksamen Cybersicherheitsstrategie, allerdings ein sehr wichtiges. Zur Absicherung jedes Zugriffspunkts im Unternehmen bedarf es des Zusammenspiels von MFA mit einer <a href="https://blog.lastpass.com/2021/05/how-a-business-password-manager-protects-your-smb/" target="_blank" rel="noopener">Passwortverwaltungslösung</a>. Eine IT, die in der Lage ist, den Einsatz zufällig generierter Passwörter per Richtlinie durchzusetzen, und Einblick in die Zugriffe der Mitarbeiter hat, kann ihr Sicherheitskonzept strategischer und wirksamer umsetzen.

Auch wenn sich die Angriffsmaschen immer weiterentwickeln, sind Unternehmen gut beraten, den Zugriff auf ihre Systeme zu regeln und die Authentifizierung ihrer Mitarbeiter bei der täglichen Arbeit abzusichern. Wer sich jetzt darum kümmert, wird in Zukunft besser gerüstet sein.

Angst vor Ransomware? Aktivieren Sie MFA.

Wieder einmal machen Ransomware-Angriffe <a href="https://www.nytimes.com/2021/05/09/us/politics/biden-cyberattack-response.html?action=click&amp;module=Top%20Stories&amp;pgtype=Homepage" target="_bla[..]

Wie bereits in unserem neuen Bericht <a href="https://www.lastpass.com/solutions/passwordless-access/from-passwords-to-passwordless">Weg von Passwörtern</a> erwähnt, spielen Passwörter beim Dateizugriff für Beschäftigte noch immer eine wichtige Rolle.

Passwörter bereiten dabei allerdings IT-Technikern und Mitarbeitern gleichermaßen ziemliche Kopfschmerzen. Die IT verbringt immer mehr Zeit mit der Verwaltung von Passwörtern und Zugangsdaten, und die Passwortpraktiken der Benutzer stellen oft ein erhebliches Sicherheitsrisiko dar.

Weder IT noch Mitarbeiter sind also glücklich mit Passwörtern, aber aus sehr unterschiedlichen Gründen. Die IT schlägt sich mit schlechten Passwortpraktiken und der Behebung daraus entstehender Probleme herum, während die Mitarbeiter von langwierigen, umständlichen Anmeldeverfahren genervt sind.

Die <a href="https://www.lastpass.com/solutions/passwordless-access">passwortfreie Authentifizierung</a> bietet sich als perfekte Lösung geradezu an. Passwortfreie Technologien wie Single Sign-On, Verbundanmeldung und biometrische Authentifizierung versprechen ein Ende der traditionellen Anmeldung mit Benutzernamen und Passwort. Für die IT bringt die passwortfreie Authentifizierung mehr Sicherheit, Transparenz und Kontrolle mit sich, und die Mitarbeiter erhoffen sich ein angenehmeres, unkompliziertes Benutzererlebnis.
<h3>Aber ist die passwortfreie Authentifizierung wirklich die Lösung, auf die Unternehmen gewartet haben?</h3>
85 % der IT- und Sicherheitsexperten sind der Meinung, dass Passwörter nicht ganz abgeschafft werden können, und ebenso viele glauben auch, dass die beste Lösung eine Kombination aus passwortfreier Authentifizierung und Passwortverwaltung sei.

Es stimmt schon, dass eine passwortfreie Authentifizierungslösung die Anzahl der täglich verwendeten Passwörter im Unternehmen verringert. Der Anmeldevorgang wird damit für die Benutzer komfortabler, während gleichzeitig die Sicherheit im gesamten Unternehmen erhöht wird.

Passwörter werden aber bis auf Weiteres nicht komplett verschwinden; die ideale Lösung ist also eine Kombination aus passwortfreier Authentifizierung und Passwortverwaltung. Werden diese zwei Methoden zusammen eingesetzt, können Unternehmen endlich ihre Passwortprobleme in den Griff bekommen.

Die große Mehrheit der Befragten (92 %) sieht in einer passwortfreien Benutzerumgebung durchaus die Zukunft für ihr Unternehmen. Unkomplizierte, sichere Authentifizierungsmethoden nehmen an Bedeutung zu, vor allem auch angesichts des verstärkten Arbeitens im Homeoffice: Unternehmen, die parallel zur Passwortverwaltung auch die passwortfreie Authentifizierung implementieren, sind besser für ortsunabhängige Arbeitsmodelle gewappnet und können deren Vorteile voll ausschöpfen.

Für die Mitarbeiter zählt der rasche und einfache Zugriff auf ihre Arbeit, und die IT benötigt einen umfassenden Überblick, um maximale Sicherheit zu gewährleisten. Ist beides gegeben, sorgt das für Zeiteinsparungen, weniger Frust und letztendlich für höhere Produktivität und mehr Sicherheit im gesamten Unternehmen.
<h3>LastPass Premium – mehr als nur Passwortverwaltung</h3>
Schützen Sie Ihr gesamtes digitales Leben mit <a href="https://www.lastpass.com/pricing">LastPass Premium</a> für nur 3 $/Monat bei jährlicher Abrechnung (36 $ pro Jahr). <a href="https://lastpass.com/create-account.php?premium=1">Starten Sie Ihren kostenlosen 30-Tage-Test.</a>

Passwortgebunden oder passwortfrei? Gedanken zur Authentifizierung

Wie bereits in unserem neuen Bericht <a href="https://www.lastpass.com/solutions/passwordless-access/from-passwords-to-passwordless">Weg von Passwörtern</a> erwähnt, spielen Passwörter beim Dateizugri[..]

Mit der Verbreitung des Coronavirus, das weltweit Auswirkungen auf unsere Gesundheit, unseren Lebensstil und unsere Wirtschaft hat, werden auch Cyberkriminelle auf neue Betrugsmaschen aufmerksam. Unternehmen rund um den Globus vermelden leichte Anstiege bei den Cyberbedrohungen; manche sogar eine Zunahme der <a href="https://www.cnbc.com/2020/03/20/phishing-spam-spike-as-hackers-use-coronavirus-to-hit-remote-work.html">gezielten Phishing-Angriffe oder Internet-Scams um bis zu 40 Prozent</a> seit Beginn der Coronakrise.

Der Grund dafür ist, dass Cyberkriminelle Schwachstellen in unserer neuen Arbeitsumgebung – dem Homeoffice – und unserem Informationsinteresse ausnutzen.

Viele Beschäftigte haben bereits auf andere Arbeitsweisen umgestellt: Unternehmen mussten Bürogebäude von heute auf morgen schließen, und IT-Teams müssen nun Infrastrukturen implementieren, die ein sicheres und produktives Arbeiten im Homeoffice möglich machen. Für viele Arbeitnehmer wiederum ist Teleworking komplett neu, und ihr Heimnetzwerk ist weniger stark gesichert als eine typische Büroumgebung.

Dazu kommt zum bereits bekannten Stress und der Ablenkung ein Interesse an Informationen, und schon lassen viele Mitarbeiter nicht die gewohnte Vorsicht walten. Wir sind anfälliger für Phishing-Angriffe, wenn die versprochenen Informationen relevant zu sein scheinen, vor allem in unsicheren Zeiten wie diesen.

Cyberkriminelle haben nicht lange gebraucht, um darauf aufmerksam zu werden, und greifen nun sowohl Unternehmen als auch Einzelpersonen gezielt an.

In letzter Zeit häufen sich Cyberangriffe in Form von E-Mails zum Thema Coronavirus. Bei einem dieser <a href="https://www.wired.com/story/coronavirus-phishing-scams/">Phishing-Scams</a> versprachen die Angreifer Informationen dazu, wie man sich vor einer Ausbreitung der Krankheit schützen könne. Die Nachrichten klingen oft dringlich oder sind aufgebauscht formuliert, um Empfänger zum schnellen Handeln zu bewegen. Sobald jemand auf einen schädlichen Link klickt oder einen Anhang herunterlädt und seine Zugangsdaten eingibt, sind sein Computer und Netzwerk kompromittiert.

Darüber hinaus verwenden manche Cyberkriminelle bekannte E-Mail-Adressen oder Domains, um während der Pandemie auf bestimmte Gruppen abzuzielen. Sie könnten etwa eine E-Mail versenden, die wie eine Nachricht von der Personalabteilung aussieht, aber Mitarbeiter statt zu wichtigen Informationen auf eine schädliche Website führt. Im Homeoffice ist es darüber hinaus nicht so leicht, schnell bei einem Kollegen nachzufragen, ob dieser eine E-Mail für legitim hält.

Um Ihr Unternehmen vor böswilligen Phishing-Angriffen zu schützen, müssen Sie als Arbeitgeber dafür sorgen, dass die Cybersicherheit selbst in Zeiten großer Umstellungen eine Priorität bleibt und dass alle auf der Hut sind.

Wenn Sie mehr darüber erfahren möchten, wie Sie sich bei der Telearbeit schützen können, lesen Sie bitte unsere <a href="https://blog.lastpass.com/de/2020/04/sechs-tipps-fuer-ein-sicheres-arbeiten-im-homeoffice.html/">sechs Tipps für ein sicheres Arbeiten im Homeoffice</a>.

Phishing-Angriffe häufen sich: So schützen Sie Ihr Unternehmen

Mit der Verbreitung des Coronavirus, das weltweit Auswirkungen auf unsere Gesundheit, unseren Lebensstil und unsere Wirtschaft hat, werden auch Cyberkriminelle auf neue Betrugsmaschen aufmerksam. Unte[..]

<div>
<h4 data-usually-unique-id="992734018312391">Update March 25, 2017 (5:00pm): <em>Our team is currently investigating a new report by Tavis Ormandy and will update our community when we have more details. Thank you.</em></h4>
<h2><strong>Incident-Report: 22. März 2017 (14:30 Uhr)</strong></h2>
Wir möchten unsere Nutzergemeinde über die kürzlich von Tavis Ormandy, einem Sicherheitsforscher aus Googles Project-Zero-Team, gemeldeten Sicherheitslücken auf dem Laufenden halten.

Dieser Beitrag ist relativ lange; die Zusammenfassung informiert Sie über die wichtigsten Punkte, während die darauffolgende ausführliche Beschreibung näher ins Detail geht.
<h2><strong>Zusammenfassung</strong></h2>
<ul>
 	<li>Vor kurzem wurden von Sicherheitsforscher Tavis Ormandy zwei Schwachstellen identifiziert.</li>
 	<li>Unsere bisherigen Ermittlungen geben keinen Hinweis darauf, dass vertrauliche Benutzerdaten verloren gingen oder kompromittiert wurden.</li>
 	<li>Alle Browsererweiterungen wurden mit Patches versehen und als neue Versionen zur Veröffentlichung eingereicht.</li>
 	<li>Unsere mobilen Apps für Android und iOS waren nicht betroffen.</li>
 	<li>Es ist keine Änderung Ihres Master-Passworts erforderlich.</li>
 	<li>Es sind keine Änderungen von Website-Zugangsdaten erforderlich.</li>
 	<li>Bitte stellen Sie sicher, dass Sie die neuesten Versionen verwenden:
<ul>
 	<li>Die meisten User nutzen wahrscheinlich die automatischen Updates; die neuesten Versionen stehen aber auch unter <a href="https://lastpass.com/download">com/download</a> zum Download zur Verfügung.</li>
 	<li>Bitte überprüfen Sie Ihre Version, indem Sie auf das LastPass-Symbol klicken und dann auf Weitere Optionen &gt; Über LastPass.
<ul>
 	<li>Firefox: 4.1.36</li>
 	<li>Chrome: 4.1.43.82</li>
 	<li>Edge: 4.1.30 (Genehmigung von Microsoft noch ausstehend)</li>
 	<li>Opera: 4.1.28 (Genehmigung von Opera noch ausstehend)</li>
</ul>
</li>
</ul>
</li>
</ul>
<h2><strong>Was ist passiert?</strong></h2>
Tavis Ormandy, ein Forscher aus Googles Project-Zero-Team, informierte unser Team in der letzten Woche über <a href="https://twitter.com/taviso/status/843965519371812864">zwei</a> <a href="https://twitter.com/taviso/status/842205051082821632">Sicherheitslücken</a>, die viele LastPass-Browsererweiterungen betrafen. Die gemeldeten Probleme betrafen sowohl Privat- als auch Geschäftsanwender.

Um die entdeckten Schwachstellen auszunutzen, müsste ein Angreifer den Benutzer erst auf eine präparierte Website locken. Sobald der User auf dieser schädlichen Website ist, könnte der Angreifer – wie von Ormandy gezeigt – LastPass-API-Aufrufe machen oder in machen Fällen willkürlichen Code ausführen, während er sich als vertrauenswürdige Partei ausgibt. Auf diese Weise könnte es dem Angreifer gelingen, Informationen wie Zugangsdaten aus dem LastPass-Konto des Benutzers abzurufen und offenzulegen.
<h2><strong>Fehler im Firefox-Add-on 3.3.2, der ein Abfangen von Nachrichten möglich machte</strong></h2>
<strong>Gemeldetes Problem:</strong>
Aufgrund unseres URL-Parsing-Prozesses im Firefox-Add-on 3.3.2 konnten sich schädliche Websites als legitim ausgeben und das LastPass-Add-on dazu bringen, die Zugangsdaten des Benutzers für diese Website einzugeben.

Dieser Fehler wurde <a href="https://blog.lastpass.com/2016/07/lastpass-security-updates.html/">unserem Team letztes Jahr gemeldet</a> und zu diesem Zeitpunkt behoben. Die Korrektur wurde jedoch nicht in unseren veralteten Versionszweig 3.3.x übertragen, der im April 2017 offiziell aus dem Verkehr gezogen wird.

<strong>Was Sie wissen müssen:</strong>
<ul>
 	<li>Wir haben vor kurzem und noch vor dieser Meldung <a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/">die Einstellung des Versionszweiges 3.x des Firefox-Add-ons angekündigt</a>.</li>
 	<li>Wir empfehlen Ihnen dringend, über <a href="https://lastpass.com/download">com/download</a> ein Update auf das Firefox-Add-on 4.1.36 vorzunehmen. Sie können auch ein Update auf das Firefox-Add-on 3.3.4 vornehmen; wie zuvor erwähnt, wird Version 3.x von LastPass jedoch in den nächsten Wochen aus dem Verkehr gezogen.</li>
</ul>
<h2><strong>Website-Connector-Fehler</strong></h2>
<strong>Gemeldetes Problem:</strong>
Ein <a href="https://twitter.com/taviso/status/843965519371812864">Problem</a> mit der Architektur einer Benutzer-Onboarding-Funktion betraf Clients, in denen dieser Code zum Einsatz kam (Chrome, Firefox, Edge). Schädliche Websites konnten LastPass täuschen, indem sie sich als vertrauenswürdige Partei ausgaben, und Website-Zugangsdaten stehlen. User, die die Binärkomponente verwenden (weniger als zehn Prozent aller LastPass-Benutzer) konnten außerdem Opfer eines Remote-Exploits werden, wenn sie auf eine präparierte Website gelockt wurden.

Dieser Fehler schlich sich im August 2016 bei der Veröffentlichung unserer experimentellen Onboarding-Funktion für Benutzer ein. Der Code ist jedoch in allen LastPass-Clients für Chrome, Firefox und Edge präsent.

Nach Bekanntwerden der Sicherheitslücke deaktivierte das LastPass-Team den gefährdeten Dienst sofort und begann mit der Aktualisierung aller betroffenen Clients.

Während wir mit der clientseitigen Korrekturmaßnahme beschäftigt waren, berichtete Ormandy auf <a href="https://twitter.com/taviso/status/844312124541186048">Twitter</a> über ein weiteres Problem (die Nachricht wurde inzwischen gelöscht). Dabei handelte es sich um dasselbe Problem, allerdings in einem anderen Browser. Dies führte zu Verwirrungen bezüglich des Ausmaßes der Sicherheitslücke und des Status der Fehlerkorrekturen.

<strong>Was Sie wissen müssen:</strong>
<ul>
 	<li>Wir haben Updates für alle betroffenen Clients zur Veröffentlichung eingereicht, die diese Schwachstelle komplett beseitigen.</li>
 	<li>Die Chrome- und Firefox-Clients wurden bereits veröffentlicht; für Edge und Opera ist die Genehmigung der App Stores noch ausstehend.</li>
 	<li>Im Rahmen dieses Prozesses führten wir eine eingehende Analyse aller anderen Erweiterungen (sowie unserer Installationsprogramme) durch, in denen dieser Code zum Einsatz kommt.</li>
</ul>
<h2><strong>Vollständiger zeitlicher Überblick (Eastern Time, US-Ostküste):</strong></h2>
<strong>Fehler im Firefox-Add-on 3.3.2, der ein Abfangen von Nachrichten möglich machte</strong>
<ul>
 	<li>März: LastPass gibt offizielle Einstellung der Versionen 3.3.x des Firefox-Add-ons bekannt</li>
 	<li>März, 22:45 Uhr: Schwachstelle im Firefox-Add-on 3.3.2, die ein Abfangen von Nachrichten möglich machte, wird bekannt</li>
 	<li>März, 22:48 Uhr: LastPass erhält Details zum Fehler im Firefox-Add-on 3.3.2 und leitet eine Untersuchung ein</li>
 	<li>März, 8:43 Uhr: LastPass reicht mit Firefox-Add-on 3.3.4 einen Patch bei Mozilla ein</li>
</ul>
<strong>Website-Connector-Fehler</strong>
<ul>
 	<li>März, 19:20 Uhr: Website-Connector-Fehler in Chrome-Erweiterung 4.1.42 wird bekannt</li>
 	<li>März, 19:36 Uhr: LastPass leitet eine funktionsübergreifende Sicherheitsuntersuchung ein</li>
 	<li>März, 0:15 Uhr: LastPass deaktiviert den fehlerhaften Dienst auf Serverseite</li>
 	<li>März, 7:04 Uhr: LastPass meldet, dass ein serverseitiges Workaround verfügbar ist, während der Code eingehend analysiert wird und Probleme auf Clientseite vollständig behoben werden</li>
 	<li>März, 0:10 Uhr: LastPass veröffentlicht Firefox-Add-on 4.1.36 mit einer Fehlerkorrektur</li>
 	<li>März, 12:07 Uhr: LastPass veröffentlicht Chrome-Erweiterung 4.1.43.82 mit einer Fehlerkorrektur</li>
 	<li>März, 13:55 Uhr: LastPass reicht Edge-Erweiterung 4.1.30 zur Veröffentlichung ein</li>
 	<li>März, 14:49 Uhr: LastPass veröffentlicht Opera-Erweiterung 4.1.28 inklusive Fehlerkorrektur auf <a href="https://lastpass.com/download">LastPass.com/download</a>; Veröffentlichung im Store noch ausstehend</li>
</ul>
<strong>Zur Erinnerung: bewährte Vorgehensweisen für Ihre persönliche Sicherheit</strong>

Wir wissen, dass LastPass-User stets den „Best Practices“ zu folgen versuchen, wenn es um die Passwortsicherheit geht. Hier finden Sie zur Erinnerung einige hilfreiche Strategien, um Ihre Geräte und Daten bestmöglich zu schützen:
<ul>
 	<li>Nehmen Sie sich vor Phishing-Angriffen in Acht. Klicken Sie auf keine Links von Unbekannten und auch auf keine verdächtig erscheinenden Links von Kontakten und Unternehmen, denen Sie normalerweise vertrauen.</li>
 	<li>Verwenden Sie für jeden Online-Account ein anderes Passwort, das es nur einmal gibt.</li>
 	<li>Verwenden Sie für Ihr LastPass-Konto ein starkes und sicheres Master-Passwort und teilen Sie es niemandem mit; auch nicht uns.</li>
 	<li>Aktivieren Sie die Zwei-Faktor-Authentifizierung für LastPass und andere Dienste wie Ihr Online-Banking, Ihren E-Mail-Account, Twitter, Facebook usw.</li>
 	<li>Schützen Sie Ihren Computer vor Bedrohungen, indem Sie einen Virenscan machen und Ihre Software stets auf dem neuesten Stand halten.</li>
</ul>
<h2><strong>Blick in die Zukunft</strong></h2>
Um derartige Probleme in Zukunft zu vermeiden, überarbeiten und verbessern wir unsere derzeit gültigen Codeüberprüfungs- und Sicherheitsprozesse; insbesondere rund um neue und experimentelle Funktionen.

Es versteht sich von selbst, dass die Sicherheit für LastPass das A und O ist. Wir möchten mit maximaler Transparenz auf diese Probleme reagieren und schätzen die Arbeit, die Tavis Ormandy, Project Zero und andere White-Hat-Forscher leisten, sehr. Wir alle profitieren davon, wenn dieses Sicherheitsmodell für die verantwortungsbewusste Meldung von Fehlern funktioniert, und sind überzeugt, dass uns die dadurch auf LastPass gelenkte Aufmerksamkeit stärker macht. Wir begrüßen es jedes Mal, wenn ein Forscher im Rahmen unseres Bug-Bounty-Programms unter <a href="https://bugcrowd.com/lastpass">https://bugcrowd.com/lastpass</a> einen Beitrag leistet.

———-
<ol start="22">
 	<li><strong>März 2017 (11:12 Uhr)</strong></li>
</ol>
In der vergangenen Woche haben wir gemeinsam mit Google-Sicherheitsforscher Tavis Ormandy an der Untersuchung und Behebung der gemeldeten Schwachstellen gearbeitet. Bitte entschuldigen Sie die verzögerte Rückmeldung – wir haben diese Meldungen eingehend analysiert, um Ihnen so viele Details wie möglich mitteilen zu können. Wir werden in Kürze eine Post-mortem-Analyse veröffentlichen, wollten unserer Nutzergemeinde aber bereits jetzt eine kurze Übersicht geben.

<strong>Was ist passiert?</strong>
Am Abend des 20. März wurde uns ein Problem mit unserer Chrome-Erweiterung 4.1.42.80 gemeldet. Wir haben es sofort untersucht und innerhalb weniger Stunden ein serverseitiges Workaround veröffentlicht. Der Exploit betraf alle LastPass-Clients – Chrome, Firefox, Edge –, in denen eine experimentelle Benutzer-Onboarding-Funktion eingeführt wurde.

Später, am 21. März, wurde uns ein weiteres Problem betreffend das Firefox-Add-on 4.1.35a gemeldet. Diese Schwachstelle ist in Wirklichkeit nahezu identisch mit der am Vortag gemeldeten Sicherheitslücke, betraf in diesem Fall aber das Firefox-Add-on 4.x. Das Problem wäre mit der vollständigen Fehlerkorrektur, die auf das Workaround folgte, behoben gewesen; wir erhielten die Meldung jedoch, bevor wir die Fehlerkorrektur veröffentlichen konnten. Heute um etwa 0:15 Uhr ET wurde ein Update – Firefox-Add-on 4.1.36a – veröffentlicht, das speziell auf diese Fehlermeldung eingeht.

Diese Fehlerkorrekturen werden an alle Benutzer gepusht und die meisten Add-ons sollten automatisch aktualisiert werden.

Es gibt keinerlei Hinweise darauf, dass die gemeldeten Sicherheitslücken tatsächlich ausgenutzt wurden. Wir führen derzeit aber eine eingehende Überprüfung durch, um dies zu bestätigen. Wir werden in Kürze eine detailliertere Beschreibung der Ereignisse mit allem, was unsere Nutzergemeinde wissen muss, veröffentlichen. Derzeit besteht keine Notwendigkeit, Ihr Passwort zu ändern
<h2 data-usually-unique-id="992734018312391"></h2>
</div>

Important Security Updates for Our Users

<div>
<h4 data-usually-unique-id="992734018312391">Update March 25, 2017 (5:00pm): <em>Our team is currently investigating a new report by Tavis Ormandy and will update our community when we have more[..]

<span >"Cloudbleed" macht Ihnen Sorgen? Der LastPass-Sicherheitstest kann nun vielbesuchte Websites (in den Top 10.000 des Alexa-Rankings), die von der vor kurzem entdeckten Cloudflare-Sicherheitslücke betroffen sein könnten, identifizieren. LastPass macht Sie auf diese gefährdeten Websites aufmerksam, sodass Sie diese Passwörter als Erstes aktualisieren können. Rufen Sie einfach links in Ihrem LastPass-Vault den Sicherheitstest auf oder starten Sie ihn jetzt, um Ihre Passwörter sicherer zu machen:</span>
<p ><span ><a href="https://lastpass.com/challenge" target="_blank"><button>Launch the Security Challenge</button></a>  </span></p>
<b>Was ist bei Cloudflare passiert?</b>

Der Dienstanbieter Cloudflare, der die Sicherheit und Leistung von mehr als 5,5 Millionen Websites optimiert, <a href="https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/">warnte seine Kunden letzte Woche</a>, dass ein Fehler vertrauliche Benutzerdaten offengelegt haben könnte. Zu den betroffenen Daten zählen Passwörter, Cookies und Tokens zur Authentifizierung von Benutzern. Im <a href="https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/">Blogbeitrag von Cloudflare</a> finden Sie nähere Informationen dazu.

<strong>Müssen Sie sich Sorgen machen?</strong>

Da so viele Websites mit Cloudflare arbeiten – darunter bekannte Websites wie Medium, Namecheap und Change.org –, war der Fehler äußerst weitreichend. Den Angaben von Cloudflare zufolge hielten sich die Auswirkungen jedoch in Grenzen, was bedeutet, dass das Risiko für einzelne Datensätze relativ gering ist. Die Sicherheitslücke wurde mittlerweile behoben, bestand allerdings bereits seit September 2016. Da manche Daten seitdem von Suchmaschinen zwischengespeichert wurden, könnten vertrauliche Informationen nach wie vor öffentlich zugänglich sein.

Da es keine Gewissheit gibt, dass <em>Ihre</em> Daten nicht an die Öffentlichkeit gelangt sind, werden Sie wahrscheinlich wie viele andere sicherheitsbewusste LastPass-User auf Nummer sicher gehen wollen. Wir empfehlen Ihnen, dieses Datenleck zum Anlass zu nehmen, alle als potentiell gefährdet eingestuften Passwörter zu ändern.

<strong>Einfache Passwortänderung mit LastPass</strong>

Der LastPass-Sicherheitstest überprüft nun auch vielbesuchte Websites (in den Top 10.000 des Alexa-Rankings), die von „Cloudbleed“ betroffen sind. Wenn Sie die Zwei-Faktor-Authentifizierung auf einer betroffenen Website verwenden, empfehlen wir Ihnen, sie zu deaktivieren und dann erneut zu aktivieren.

Der Sicherheitstest erkennt schwache, mehrmals verwendete, alte und potentiell gefährdete Zugangsdaten in Ihrem Vault. Sollten eine Website in Ihrem Vault in der Liste der von der Cloudflare-Sicherheitslücke betroffenen Websites enthalten sein, so werden Sie nun ebenfalls darauf aufmerksam gemacht.

LastPass erleichtert Ihnen das Ändern Ihrer Passwörter, indem es sofort ein neues, langes und zufälliges Passwort für Sie generiert. Anschließend speichert LastPass das Passwort in Ihrem Vault und gibt es beim nächsten Login automatisch für Sie ein. Falls Sie irgendwelche Passwörter, die geändert werden müssen, für andere freigegeben haben, synchronisiert LastPass die Änderung automatisch hinter den Kulissen, sodass alle über das neueste Passwort verfügen.

Mit Hilfe der automatischen Passwortänderung lassen sich sogar viele Passwörter auf einmal aktualisieren: Mit nur einem Klick kann LastPass die Passwörter für etwa 100 Websites automatisch für Sie ändern. Diese Funktion ist unter Umständen auch für manche Cloudflare-Websites verfügbar – machen Sie also davon Gebrauch.

&nbsp;
<p ><span ><a href="https://lastpass.com/challenge" target="_blank"><button>Launch the Security Challenge</button></a> </span></p>

LastPass-Sicherheitstest warnt nun vor Cloudflare-Websites

<span >"Cloudbleed" macht Ihnen Sorgen? Der LastPass-Sicherheitstest kann nun vielbesuchte Websites (in den Top 10.000 des Alexa-Rankings), die von der vor kurzem entdeckten Cloudflare-Sicherheitslück[..]

Das Einzige, worauf man sich in Sachen Sicherheit verlassen kann, ist, dass es dauernd Änderungen gibt. Die Technik entwickelt sich laufend weiter, und LastPass arbeitet intensiv daran, zum Schutz Ihrer Daten stets einen Schritt voraus zu sein. Vor kurzem wurden zwei Zwischenfälle bekannt, die vielen Mitgliedern unserer Community Sorgen bereiten könnten. An dieser Stelle möchten wir daher alle Fragen beantworten, die Sie als LastPass-User haben könnten.

<b>Cloudflare</b>

<strong>Zusammenfassung: LastPass arbeitet nicht mit Cloudflare und ist von der </strong><a href="https://arstechnica.com/security/2017/02/serious-cloudflare-bug-exposed-a-potpourri-of-secret-customer-data/"><strong>vor kurzem bekanntgewordenen Sicherheitslücke</strong></a><strong> nicht betroffen.</strong>

Was ist passiert? Der SaaS-Anbieter Cloudflare hilft Unternehmen, die Sicherheit und Leistung ihrer Websites zu optimieren. Am 23. Februar 2017 setzte Cloudflare seine Kunden über eine soeben behobene Schwachstelle in Kenntnis (die von Google-Sicherheitsforscher Tavis Ormandy entdeckt wurde). Durch diese Sicherheitslücke könnten vertrauliche Daten an die Öffentlichkeit gelangt sein. LastPass arbeitet jedoch nicht mit Cloudflare und ist daher nicht betroffen.

<span >LastPass-User könnten allerdings Konten auf Websites haben, die Cloudflare sehr wohl nutzen. Wenn von Ihnen verwendete Dienste also als betroffen gemeldet wurden, sollten Sie Ihr Passwort aktualisieren. Das Risiko, dass Ihr Konto gefährdet ist, ist minimal; es ist jedoch immer besser, auf Nummer sicher zu gehen</span>

<strong>SHA-1-Kollisionsangriff</strong>

<b><strong>Zusammenfassung: LastPass-User können beruhigt sein – unsere Hashfunktion und unsere Website sind sicher. LastPass verwendet zur Erstellung von Passwort-Hashes das sogenannte „Iterated Hashing“ mit mindestens SHA-256 oder einer noch besseren Hashkomponente. Unsere HTTPS-Zertifikate nutzen für die Digestauthentifizierung mindestens SHA-256.</strong> <strong>Wie vom Google-Sicherheitsteam bestätigt, bietet die kryptographische Hashfunktion SHA-256 mehr Sicherheit.</strong></b>

Was ist passiert? Das Google-Sicherheitsteam <a href="https://security.googleblog.com/2017/02/announcing-first-sha1-collision.html?m=1">meldete vor kurzem</a> den ersten bekannten praktischen Angriff auf SHA-1. SHA-1 (Secure Hash Algorithm 1) ist eine im Jahr 1995 erstmals veröffentlichte Hashfunktion. Hashing, auch Streuwertfunktion genannt, ist im Prinzip eine Einwegfunktion (d. h. nicht umkehrbar) zum Verschleiern und Speichern von Daten. Es geht über die reine Verschlüsselung von Daten hinaus. SHA-1 wird allgemein zum Schutz von Software verwendet, um die Manipulation von Software-Updates zu verhindern und Verbindungen zwischen Websites und Usern abzusichern. Es ist jedoch seit mindestens 2005 bekannt, dass ein theoretischer Angriff auf SHA-1 möglich ist, und Google fordert Entwickler schon seit mehreren Jahren zur Verwendung anderer Algorithmen auf.

Der am 23. Februar 2017 veröffentlichte Bericht beschreibt, wie Sicherheitsforschern der erste echte Kollisionsangriff auf die Hashfunktion SHA-1 gelungen ist. Das bedeutet, dass zwei komplett unterschiedliche Dateien (in diesem Fall PDF-Dateien) dazu gebracht wurden, dieselbe SHA-1-Signatur zu generieren. Dies dürfte nicht passieren: Jede Datei sollte eine individuelle SHA-1-Signatur erzeugen; andernfalls könnte eine „falsche“ Datei als „echte“, vertrauenswürdige Datei durchgehen.

Wie oben erwähnt, generiert LastPass seine Authentifizierungshashes mittels PBKDF2 (Password-Based Key Derivation Function 2) und SHA-256, nicht SHA-1. Unsere Websiteverbindung auf LastPass.com ist ebenfalls sicher, da unser HTTPS-Zertifikat SHA-256 und nicht SHA-1 nutzt.

Um jegliches Restrisiko aus dem Weg zu räumen, werden wir SHA-1 in Zukunft auch für keine anderen Zwecke wie die Signierung von Binärdateien mehr verwenden. Die Gefahr ist äußerst gering, und angesichts dieser Kollisionsmeldung haben wir der Entfernung von SHA-1 eine höhere Priorität eingeräumt und werden sie schneller als ursprünglich geplant durchführen.

Wie immer werden wir unsere Nutzergemeinde über alle neuen Entwicklungen auf dem Laufenden halten.

Vielen Dank!

Ihr LastPass-Team

&nbsp;

Zwei Sicherheitsbulletins: SHA-1-Kollisionsangriff und Cloudflare-Sicherheitslücke

Das Einzige, worauf man sich in Sachen Sicherheit verlassen kann, ist, dass es dauernd Änderungen gibt. Die Technik entwickelt sich laufend weiter, und LastPass arbeitet intensiv daran, zum Schutz Ihr[..]

Blog

Blog

Jüngste Artikel

Branchennews

LastPass für Admins

LastPass Labs

Produktupdates

Tipps und Tricks

Sicherheitsnews