News Microsoft bestätigt Cyberangriff: Hacker griffen wochenlang auf interne E-Mails zu

[Miuwa]

Aber hier kommt was anderen zum Tragen: warum ist die Testumgebung, auf der garantiert immer viele verwaiste Accounts eben zu Testzwecken rumexistieren und nicht gewartet werden mit 2Faktor oder starken Passwörtern, überhaupt mit dem Produktivsystemen verbunden? Nur wegen der Accountverwaltung? Man KANN dies anderes lösen! Nur sind das extra Kosten und etwas mehr Aufwand, warscheinlich der Ausschlaggebende Faktor, warum man die Sicherheit so vernachlässigt.

Heißt für mich, man wollte hier an Infrastruktur sparen. Ganz Grober Schnitzer!

Glaubst du wirklich, wir können aus ner newsmeldumg sinnvolle Rückschlüsse darauf ziehen, wie MS seine IT Strukturiert hat und warum? Für mich klingt das sehr nach Kaffeesatzleserei.

 

[jotecklen]

Klar, ich breche also in dein Haus ein und raube dich aus und du bist der Schuldige weil dein Zaun nicht hoch genug ist. Ich bin unschuldig und gehöre natürlich nicht bestraft.

Ich finde eine bessere Analogie wäre Fahrrad ohne Schloß am Bahnhof stehen lassen und sich beschweren, dass es gestohlen wird.

 

[bensen]

@jotecklen
Weil du nicht objektiv bist. Das Fahrrad kann jeder Mensch mitnehmen ohne irgendwelches nötige Wissen und bis zu dem Zeitpunkt des Mitnehmens, ohne gegen Gesetze und Regeln verstoßen zu haben.
Die Analogie ist also komplett für'n....

Uns selbst wenn das Fahrrad nicht abgeschlossen ist, gehört der Dieb dafür bestraft und ist der Hauptschuldige.

Da wo ich momentan wohne, schließt kaum einer sein Fahrrad ab. Werden trotzdem nicht geklaut. Es grenzt schon an Täter Opfer Umkehr, wenn man die Angriffsziele und nicht die Hacker als Schuldige sieht.

Natürlich gehören Daten vernünftig geschützt und Unternehmen gehören bestraft, wenn sie mit Daten Dritter fahrlässig umgeht. Es nimmt aber keinerlei Schuld von den Tätern. Das sind Kriminelle.

 

[Boimler]

Ich finde eine bessere Analogie wäre Fahrrad ohne Schloß am Bahnhof stehen lassen und sich beschweren, dass es gestohlen wird.

Klebst du deinen Hausstand zu Hause fest oder dürfen sich deine Freunde einfach mitnehmen, was sie möchten, weil es nicht angeschlossen ist? Ein Dieb ist ein Dieb, egal wie leicht er es bei der Tat hatte.
Es lohnt sich hierfür mal in andere Länder in Urlaub zu fahren, wo weder Tür noch Zaun verschlossen sind, weil man sich einfach vertraut.

 

[bad_sign]

Seit gestern funktioniert mein IMAP Donnervogel und K9 Mailclients nicht mehr, Authentification error, @Live.de-Email-Adresse.
Passwort funktioniert über Weblogin. Auch nach ändern des Passworts sagen beide noch den selben Fehler.

Beide Clients up to date

 

[Whitehorse1979]

Naja nicht so schlimm. Wer täglich in fremden Daten schnüffelt darf auch gerne mal infiltriert werden. Sicherheit scheint generell eher nebensächlich zu sein. Hauptsache Daten abgreifen und die Kunden anlügen.

 

[Kommando]

Zu dem Schuldigen, ich hab schon lange aufgehört von einem westlichen Konzern zu glauben das es ein chinesischer / russischer Hacker war und andersherum. Nichts davon können wir nachweisen oder nachvollziehen.
Das wäre nur mit der Analyse des Schadcodes und vergleich der vorgehensweise und Codebeispiele / Verhalten einzelner Hackergruppen durch eine unabhängige dritte Partei möglich.

Dann gestehe Dir aber auch ein, dass Du Dir selbst die Welt so baust, wie sie Dir gefällt.
😉

 

[Spassmuskel]

Seit gestern funktioniert mein IMAP Donnervogel und K9 Mailclients nicht mehr, Authentification error, @Live.de-Email-Adresse.
Passwort funktioniert über Weblogin. Auch nach ändern des Passworts sagen beide noch den selben Fehler.

Beide Clients up to date

@bad_sign hatte ich vor paar Tagen mit Aquamail auch. Hab auf OAuth (jetzt auch bei Thunderbird) zur Authentifizierung gewechselt. Seitdem hab ich keine Probleme mehr. Wusste nicht mal, dass so eine Anmeldung mittlerweile funktioniert...

 

[Discovery_1]

Deswegen bin ich froh, dass es die Hacker gibt. Anders würden solche gravierenden Schwachstellen und/oder grob fahrlässiges Handeln bestimmter Personen wohl niemals publik werden. Meist sitzt das Hauptproblem nämlich direkt vor dem Bildschirm, egal ob zu Hause oder auf der Arbeit.

 

[Biedermeyer]

Aha, 'wochenlang'...
Ein Begriff der YP - hat denn die CB neue Redakteure? Ein serioese Berichterstattung gefaellt mir immer besser. Bitte dabei bleiben!

 

[Kommando]

Ist „wochenlang“ kein Wort, oder was ist die Kritik?

 

[Skycrumb]

Ich finde eine bessere Analogie wäre Fahrrad ohne Schloß am Bahnhof stehen lassen und sich beschweren, dass es gestohlen wird.

Das ist aber eine schwierige Aussage, also ist stehlen ok wenn es nicht hinreichend gesichert ist?
Also angenommen Ein Fahrrad auf dem eigenen Grundstück was da rumsteht? Die Mülltonnen die nicht fest sind und nachts von Jungendlichen weggezogen werden? Blümenkübel/Pflanzen? Etcetc.
Das nenn ich mal Wange hinhalten! Respekt

 

[Sebbi]

Glaubst du wirklich, wir können aus ner newsmeldumg sinnvolle Rückschlüsse darauf ziehen, wie MS seine IT Strukturiert hat und warum?

bei entsprechenden Sicherheitsmaßnahmen wie eben der beschriebenen Isolation, wäre das nicht passiert. Aber aus Bequemlichkeit ist es eben bei 95 % aller Firmen IT Infrasturkturen so, da kritische Systeme nur unzureichend isoliert werden, genauso wie "HoneyPots" (also öffentliche Infrastruktur) oft nicht isoliert von den internen ProduktivSystem ist.

Das ist leider harte Wirklichkeit. Weil richtige Isolierung auch gesonderte Infrastruktur bedeutet und damit Kosten verursacht.

 

[Zanza]

Sorry. Ich kann nicht nachvollziehen, wie man hier russische Hacker in Schutz nimmt?

Natürlich hat Russland großes Interesse westlichen Firmen zu schaden.
Hacker Gruppen werden staatlich finanziert, natürlich auf Beiden Seiten...

Das hat nichts mit der Fantasie, ein einzelner Hacker der im Keller hockt und den großen
Firmen zeigt was Sache ist, zu tun...

Immer das USA Bashing, wenn es in der EU zum Konflikt käme und Ihr müsstet Euch ein Ticket aussuchen Russland oder USA? Würdet ehrlich das Ticket nach Russland nehmen?

Wer hat das Handy von Frau Merkel angezapft? Ein Tipp, das waren nicht die Russen!

 

[Boimler]

Wer hat das Handy von Frau Merkel angezapft?

Ich werde nie verstehen, welche Logik das sein soll. Weder technisch noch intentionell haben beide Sachen auch nur irgendwas miteinander zu tun. Als würde man kein deutsches E-Auto kaufen, weil einem mal ein japanischer Diesel liegengeblieben ist.

 

[Zanza]

@Boimler

Es geht darum, sobald westliche Firmen von Hackern angegriffen werden, ist in Medien die Rede von russischen Hackern. Man vergisst aber oder will nicht glauben, dass die USA seit 60er-Jahren alle Netze infiltrieren, ausspioniert und das sogar das Handy von Frau Merkel.

NSA lässt grüßen

Die USA spionieren ihre Freude mehr als ihre Feinde, weil es einfacher ist. Und nutzen es zu ihrem Vorteil.

Wie kommst du jetzt auf ein E-Auto oder Diesel aus Japan ??????????????

 

[Mensch_lein]

Vor allem, seit wann bleiben Japaner liegen? Das sind eher die Europäischen Autos, die liegenbleiben.

Alles in allem, MS bekleckert sich gerade NICHT mit Ruhm.

 

[Nowareeng]

Wird ihnen egal sein .....weil an den Schulen werden die Kids eh mit MS Produkten (BS , Teams ,Office) groß gezogen .....................finds z.Kotzen......
sorry

 

[Makkaroni]

Zitat von Sebbi:
Aber hier kommt was anderen zum Tragen: warum ist die Testumgebung, auf der garantiert immer viele verwaiste Accounts eben zu Testzwecken rumexistieren und nicht gewartet werden mit 2Faktor oder starken Passwörtern, überhaupt mit dem Produktivsystemen verbunden? Nur wegen der Accountverwaltung? Man KANN dies anderes lösen! Nur sind das extra Kosten und etwas mehr Aufwand, warscheinlich der Ausschlaggebende Faktor, warum man die Sicherheit so vernachlässigt.

Heißt für mich, man wollte hier an Infrastruktur sparen. Ganz Grober Schnitzer!

Glaubst du wirklich, wir können aus ner newsmeldumg sinnvolle Rückschlüsse darauf ziehen, wie MS seine IT Strukturiert hat und warum? Für mich klingt das sehr nach Kaffeesatzleserei.

Sehe ich genauso wie @Miuwa. Wir kennen die Umgebung nicht! Lasst uns mal annehmen: Da soll bei MS etwas entwickelt werden, wo Emailzugriff und Versendung erforderlich sind. Messaging ist aber nur ein "Nebenkriegsschauplatz", der keine grosse Rolle für die neu zu entwickelnde Applikation spielt. Die eigentliche Entwicklungsumgebung ist "sauber" von der Produktivumgebung getrennt, aber der "Email-Bereich" (Messaging) ist es nicht!
In solch einem Szenario ist es - nach meiner Erfahrung - aufwändig für die Testumgebung den "Messaging-Part" zu spiegeln.
Ja, das hängt u.a. mit der Accountverwaltung zusammen! Ja, man kann das anders lösen! Ja, der Aufwand kann Kosten erzeugen (Zeitverlust durch Koordination), die das neue Projekt gefährden können. D.h. die "Sicherheit" in der Testumgebung könnte den Tod des Projektes bedeuten. Weil es einfach viele IT-Instanzen benötigt, eine perfekte und sichere Testumgebung zu erstellen!
Ja, da müssen innerhalb eines Projektes zwischengeschaltene Netzwerkadministratoren und Emailadministratoren in ihrem Alltag eine Entscheidung treffen, weil sie eine Anforderung bekommen haben. Ist es für dich (@Sebbi) so unvorstellbar, dass diese Leute keine Hintergrundrecherche betreiben? Dazu haben sie keine Zeit!

@Sebbi:
Meckern ist einfach! Alles richtig zu machen ist sehr schwer!

 

[Sebbi]

D.h. die "Sicherheit" in der Testumgebung könnte den Tod des Projektes bedeuten.

Das meine ich mit Kosten - wer aber diesen massiv mehr Priorität als der Sicherheit einräumt, gehört nicht in ein Unternehmen und sollte asap entfernt werden

Ja, da müssen innerhalb eines Projektes zwischengeschaltene Netzwerkadministratoren und Emailadministratoren in ihrem Alltag eine Entscheidung treffen, weil sie eine Anforderung bekommen haben. Ist es für dich (@Sebbi) so unvorstellbar, dass diese Leute keine Hintergrundrecherche betreiben? Dazu haben sie keine Zeit!

dann sind diese nicht geeignet, genauso wie dann die gesammte Organisationsstruktur in Frage gestellt werden. Und auch die Eignung der Manager und Entscheider darüber, das dafür keine Zeit vorhanden ist.
Spätestens der Datenschutzbeauftragte des Unternehmens, und MS sollte nicht nur einen haben, müsste aufschreien, wenn die Systeme so verbunden werden.
Denn jeder der über EDV etwas Bescheid weiß, das Testumgebungen idR stark vernachlässigt werden und sicherheitstechnisch problematisch sind.

Meckern ist einfach! Alles richtig zu machen ist sehr schwer!

Stimmt, darum nimmt man auch immer den Worstcase an - das beseitigt schon einen Großteil der Sicherheitsprobleme.
Nur das Management mag es nicht aufgrund der erhöhten Kosten, will aber dann im Ernstfall nicht verantwortlich sein. Und wenn die versuchen ihre Ansicht durchzudrücken, muss man eben zum Whistleblower werden und zum Datenschutzbeauftragten gehen.