Bin ich paranoid geworden mit den Jahren?

[Blackhorse79]

Es gibt gleich mehrere international agierende Spywareunternehmen, die sich auf Smartphonebetriebssysteme spezialisiert haben.

Diese Dienstleistungen werden international primär an Behörden bzw. Staaten verkauft. Manche verkaufen auch an Privatleute.

Diese Trojaner zu entdecken und zu entfernen ist nur ausgebildeten Fachkräften möglich, da die mobilen, üblichen Betriebssysteme auf Nutzerebene gelocked (fehlende Rootrechte) sind. Da die Trojaner trotzdem erhöhte Rechte haben, können diese vor dem Nutzer daher komplett unbemerkt agieren.

Unter Linux hast Du als Benutzer Vollzugriffsmöglichkeiten auf das System via Root und kannst auch ohne VPN Werkzeuge (Android) den gesamten Netzwerkverkehr des Rechners somit einsehen. Damit ist ungewöhnlicher Datenverkehr sichtbar.

Unter Android (auf Standardnutzerebene) läuft besonderer Traffic am notwendigen VPN-Trick vorbei, was Analysen auf Nutzerebene extrem erschwert bis unmöglich macht. Pegasus kann man so nur durch einen speziell präparierten Hotspot, in den sich das potentiell infizierte Gerät anmelden muss, genau analysieren und aufdecken als Beispiel.

Bekannteste Firma für den Spywarehandel, die NSO Group.

 

[Dr. Chaos]

Es gibt gleich mehrere international agierende Spywareunternehmen, die sich auf Smartphonebetriebssysteme spezialisiert haben.

Diese Dienstleistungen werden international primär an Behörden bzw. Staaten verkauft. Manche verkaufen auch an Privatleute.

Was genau juckt mich das?
Weder Staaten noch Behörden interessieren sich für mein Bankkonto und die üblichen Scammer haben keinen Zugriff auf solche Software.

Bekannteste Firma für den Spywarehandel, die NSO Group.

Schön, aber ich schätze wir sind beide keine Multimillionäre und agieren auch ansonsten nicht international.
Ich bin auch kein Journalist oder an der Spitze eines Milliardenunternehmen.

 

[andy_m4]

Was genau juckt mich das?

Solche "Bad Tools" oder auch Infpormationen über Sicherheitslücken (die benutzt werden, um in Systeme einzubrechen) können ja auch mal abhanden kommen und sind dann in der Hand von gewöhnlichen Kriminellen gelangen.
Ein Beispiel dafür ist EternalBlue.

Ohne jetzt zu bewerten, wie wahrscheinlich es ist, ob man davon (heutzutage) betroffen sein kann, muss man sagen das die Annahme "Der Scammer von nebenan hat da sowieso kein Zugriff drauf" schlicht durch die Realität widerlegt ist.

Gleiches gilt für Überwachungsschnittstellen. Häufig haben staatliche Stellen einen privilegierten Zugang zu Diensten und ähnlichem. Auch diese können natürlich gehackt werden und sind somit dann auch Kriminellen zugänglich.
Ein Beispiel dafür ist der Salt Typhoon Hack

Und das Argument "wer soll sich für mich interessieren" zieht auch nicht wirklich. Gerade die Ransomware-Attacken haben ja gezeigt, das selbst wenns nur wenig zu holen gibt, sich dann jemand findet. Und selbst wenn die kein Profit draus schlagen können, hast Du trotzdem erst mal den Schaden.

Hinzu kommt heutzutage auch noch KI, was Angriffe noch mal deutlich billiger macht.

Von mir aus kann man ja immer noch darüber streiten, wie sehr man das aufbauscht oder nicht.

Aber so zu tun als gäbe es kein Problem, passt halt auch nicht so wirklich.

 

[Dr. Chaos]

Sorry aber das ist nichts als schwurbel.
Genau so kann mir morgen ein Ziegel auf den Kopf fallen, trotzdem tragen ich keinen Helm.

Es ging darum das Bank Apps angeblich unsicher wären.
Ransomware-Attacken haben ja nichts mit Sicherheit zu tun.

Werder der Staat noch Behörden haben Interesse mir mein Geld zu stehlen, und scammer kommen in der Regel auch nicht von nebenan sondern aus Afrika und Asien.
99,90% der betroffenen verlieren auch kein Geld weil Ihr System unsicher ist sondern weil sie auf E-Mails, Anrufe oder ähnliches reinfallen und dort Passwörter weiter geben.

Außerdem habe ich den Vorteil das sämtliche Zahlungen mit meiner KK die nicht durch Pin abgesichert ist per App bestätigt werden muss.

 

[andy_m4]

Sorry aber das ist nichts als schwurbel.

Aha. Ich bin mir nicht sicher, ob Du mein Posting überhaupt verstanden hast.

Werder der Staat noch Behörden haben Interesse mir mein Geld zu stehlen

Darum ging es ja auch gar nicht.

und scammer kommen in der Regel auch nicht von nebenan sondern aus Afrika und Asien.

WTF? Wen interessiert, woher die kommen?
Was zählt: Kann dir ein Schaden entstehen oder nicht.

99,90% der betroffenen verlieren auch kein Geld weil Ihr System unsicher ist sondern weil sie auf E-Mails, Anrufe oder ähnliches reinfallen und dort Passwörter weiter geben.

Wie gesagt. Man kann darüber reden, wie groß die Wahrscheinlichkeit ist. Das hast Du aber halt nicht gemacht, sondern behauptet, das gäbe es schlicht nicht was ich ja durch Beispiele widerlegt habe.

Insgesamt zeigt Dein Posting nur, das Du mein Posting gar nicht gelesen/verstanden hast.
Aber gut. Ist ja nicht verboten sich selbst zum "Pfosten" zu machen.

 

[Dr. Chaos]

Insgesamt zeigt Dein Posting nur, das Du mein Posting gar nicht gelesen/verstanden hast.
Aber gut. Ist ja nicht verboten sich selbst zum "Pfosten" zu machen.

Nein ich lese deine Postings und verstehe diese auch!
Nur wurde nun mal behauptet es wäre unsicher Banking per App zu tätigen. Meine Aussage war, es ist nicht unsicher.

Banking Apps und Android bzw iOS sind grundsätzlich sehr sicher und die Wahrscheinlichkeit das jemand Zugriff auf mein System bekommt ohne das es sich um einen Staat oder eine Behörde handelt ist so gering das es keinen Sinn macht sich darüber Gedanken zu machen.

Die Frage wer sich hier zum Pfosten macht lass ich mal offen...

Der jenige welcher eine Bank App benutzt, welche per Passwort, Fingerabdruck und SMS Code geschützt ist und zum Zahlen nur noch virtuelle Karten dabei hat

Oder die Person welche für jedes Bankgeschäft eine Live Linux Version am Heim PC starten muss und wahrscheinlich noch mit einer Giro Card hantieren weil er Kreditkarten nicht traut.

Wie oft ich Arbeitskollegen oder Freunden mal unterwegs schnell 20€ überweise weil wir das Mittagessen teilen. Ohne Smartphone Banking und Sofortüberweisung wäre das nicht möglich.

 

[Blackhorse79]

@Dr. Chaos

Du vermittelst hier eine trügerische Scheinsicherheit, die es in der Realität nicht gibt und auch nie gab und Du lässt Dich nicht mal durch direkte Fakten widerlegen. Ich sagte ja bereits, Desinformationen, Mainstreamgequatsche...

Aber so viel noch an dieser Stelle. Es gibt einen Grund, warum bei sensiblen Sitzungen oder entsprechenden Meetings in Politik, Wirtschaft, hier besonders der Jounalismus genannt, häufig Smartphones vor Teilnahme abgegeben werden müssen.

Smartphones können sehr wohl ein echtes Sicherheitsrisiko darstellen. Insbesondere aus dem zuvor bereits ausführlich beschriebenen Grund der Intransparenz und fehlenden Wartbarkeit / Erkennungsmöglichkeiten der besagten Spyware innerhalb der gängigen mobilen Betriebssysteme auf Nutzerebene.

Und wenn der wütende Ehemann seine Frau stalken möchte, reicht auch sowas wie mSpy aus. Von wegen nicht wichtig usw. Schwarz bekommt man natürlich auch noch gutes, brauchbares Zeugs, wenn man ein Ziel hat.

Schönen Tag noch...

 

[Dr. Chaos]

@Dr. Chaos
Ich sagte ja bereits, Desinformationen, Mainstreamgequatsche...

Das sagt der richtige...
Wo sind die ganzen Menschen die täglich Ihr Geld verlieren?
Es müsste ja abertausende Menschen geben, die Zeitungen müssten voll damit sein, weil alle Leute Ihr Geld verlieren.
Die Zeitungen sind aber nicht voll damit, weil niemand sein Geld verlieren, außer jenen die per Email, Telefon oder wie auch immer gescammt wurden.

Aber so viel noch an dieser Stelle. Es gibt einen Grund, warum bei sensiblen Sitzungen oder entsprechenden Meetings in Politik, Wirtschaft, hier besonders der Jounalismus genannt, häufig Smartphones vor Teilnahme abgegeben werden müssen.

Genau, weil dort gibt es auch etwas zu holen, Informationen!
Aber niemand wird dort wegen 50.000€ auf seinem Bankkonto gehackt.

Smartphones können sehr wohl ein echtes Sicherheitsrisiko darstellen. Insbesondere aus dem zuvor bereits ausführlich beschriebenen Grund der Intransparenz und fehlenden Wartbarkeit / Erkennungsmöglichkeiten der besagten Spyware innerhalb der gängigen mobilen Betriebssysteme auf Nutzerebene.

Ja das kann ein Smartphone, genau wie mir ein Dachziegel auf den Kopf fallen kann.
Alle anderen Computersysteme egal ob Windows, Mac oder Linux sind ebenfalls gefährdet und können mit den richtigen Tools gehackt werden ohne das es der Anwender merkt.
Der Unterschied macht doch nur die Wahrscheinlichkeit und die ist in allen Fällen so gering das sich der Mehraufwand einfach nicht lohnt. Außer man ist eine der Personen die bereits genannt wurden, Politik, Wirtschaft, Journalismus etc.

 

[BeBur]

Aber so viel noch an dieser Stelle. Es gibt einen Grund, warum bei sensiblen Sitzungen oder entsprechenden Meetings in Politik, Wirtschaft, hier besonders der Jounalismus genannt, häufig Smartphones vor Teilnahme abgegeben werden müssen.

Staatliche Akteure sind halt nicht Teil des Thread Models eines durchschnittlichen Zentraleuropäers. Als Minderheit in China (z.B. Uiguren) sieht schnell anders aus. Auch bei beruflichen Reisen in solche Länder werden üblicherweise Vorkehrungen getroffen, weil Wirtschaftsspionage da regelmäßig vorkommt.
Das hat aber alles nichts mehr mit Banking zu tun.

Zum "einige Tage liegen" lassen habe ich hier schonmal geschrieben, so ein "package cooldown" das ist eine gängige Methode und heute ganz normal im professionellen Kontext. Die selbe Argumentation macht das grundsätzlich auch für Privatpersonen sinnvoll. Für meine Docker container mache ich das z.B. auch so.

 

[andy_m4]

Nein ich lese deine Postings und verstehe diese auch!

Dann verstehe ich Deine Antworten nicht, die ja zum Großteil am Geschriebenen vorbei gehen.

Meine Aussage war, es ist nicht unsicher.

Deine Aussage war aber eben auch, das staatliche Überwachungsdinge nicht in die Hand von gewöhnlichen Kriminellen fallen können. Und das ist eben schlicht nicht richtig, da durch die Realität widerlegt.

Wie gesagt: Wie hoch die Gefahr für den Normalsterblichen ist oder nicht ist, darüber kann man ja von mir aus streiten.
Aber die Sache ansich lässt sich eben nicht bestreiten.

Ist doch jetzt nicht so schwer zu verstehen.
Aber vielleicht hat das jetzt ja beim dritten Mal geklappt. Ich gebe ja jedem 'ne faire Chance.

 

[Dr. Chaos]

Dann verstehe ich Deine Antworten nicht,

Ich glaube das ist hier auch viel mehr das Problem, du verstehst so einiges hier nicht.
Es ging nicht drum Banking am Linux System schlecht zu reden.

Aber ich habe einfach mal eine KI gefragt was die so denkt.

Zitat Gemini KI:

Ranking

Platz 1: Smartphone-App (mit Push-TAN / Biometrie) – Höchste Isolation durch Sandboxing und Hardware-Sicherheitselemente.

Platz 2: Linux-PC mit externem Tan-Generator / Push-TAN auf separatem Gerät – Sehr gutes System-Sicherheitsniveau.

Platz 3: Windows-PC mit Browser-Banking – Das höchste Risiko für Malware und Phishing.

Deine Aussage war aber eben auch, das staatliche Überwachungsdinge nicht in die Hand von gewöhnlichen Kriminellen fallen können. Und das ist eben schlicht nicht richtig, da durch die Realität widerlegt.

Dann sind aber eben nicht nur Smartphone sondern alle Computer betroffen.

Ist doch jetzt nicht so schwer zu verstehen.
Aber vielleicht hat das jetzt ja beim dritten Mal geklappt. Ich gebe ja jedem 'ne faire Chance.

Mach mal nicht so einen auf Überheblich, du hast absolut keinen Grund dafür.

 

[andy_m4]

Ich glaube das ist hier auch viel mehr das Problem, du verstehst so einiges hier nicht.

Wie gesagt. Ich habs klar aufgezeigt.
Wenn Du meinst das da was nicht stimmt, zeige es anhand dessen. Und rede nicht von irgendwas anderem.

Dann sind aber eben nicht nur Smartphone sondern alle Computer betroffen.

WTF?
Hab auch nie was anderes behauptet.

Mach mal nicht so einen auf Überheblich, du hast absolut keinen Grund dafür.

Und Du sei vielleicht mal ein bisschen einsichtiger statt dieser kindischen Rechthaberei.

 

[BeBur]

Wie gesagt: Wie hoch die Gefahr für den Normalsterblichen ist oder nicht ist, darüber kann man ja von mir aus streiten.
Aber die Sache ansich lässt sich eben nicht bestreiten.

Das ist aber nicht zielführend. Wenn jemand fragt: "Bin ich paranoid wenn ich Angst vor dem Auto fahren habe?" dann ist es richtig zu sagen, dass es eine gewisse Gefahr gibt. Aber es ist nicht zielführend, weil die Gefahr vergleichsweise klein ist und die Alternativen auch nicht gefahrlos. Fakten muss man immer im Kontext betrachten und das wurde hier schon korrekt gemacht:

Die Zeitungen sind aber nicht voll damit, weil niemand sein Geld verlieren, außer jenen die per Email, Telefon oder wie auch immer gescammt wurden.

Ergänzung (Mittwoch um 20:29)

Platz 2: Linux-PC mit externem Tan-Generator / Push-TAN auf separatem Gerät – Sehr gutes System-Sicherheitsniveau.

Um hier noch ein wenig mehr Kontroverse reinzubringen :
Übliche Linux Desktop PCs an sich tragen nicht zu einem guten Sicherheitsniveau bei. Desktop-Linux hatte bisher 'Glück', dass sich Malware dafür nicht gelohnt hat weil so viel verschiedene Software eingesetzt wird und weil sich durch 2FA bei Banking grundsätzlich nur Skalierungseffekte lohnen. Das ändert sich durch KI aktuell aber auch ein stückweit, soweit ich das mitbekommen habe.

TAN-Generator / Push-TAN sind aber natürlich Top. Freigabe per Smartphone dürfte aber aus praktischer Sicht aber effektiv ebenso sicher sein. Man muss halt in beiden Fällen kurz lesen, was für eine Überweisung man da denn bestätigt.

 

[andy_m4]

Aber es ist nicht zielführend, weil die Gefahr vergleichsweise klein ist und die Alternativen auch nicht gefahrlos. Fakten muss man immer im Kontext betrachten und das wurde hier schon korrekt gemacht

Naja. Er hat schon eine absolute Aussage getroffen. Und das kann man ja auch mal richtig stellen.
Ich weiß gar nicht, wo das Problem liegt.
Wie gesagt: Wie hoch man das hängt, dazu will ich mich an der Stelle nicht äußern und ist auch gar nicht mein Punkt.

Mal abgesehen davon, das ein stumpfes "Bisher ist doch nicht viel passiert" ohnehin in eher schwaches Argument in dem Kontext ist.
Für die Gefahr beim Autofahren kannst Du das besser vorhersagen. Sowas wie Unfallzahlen sind halt bekannt und auch deren Entwicklung über die Zeit und man kann daraus ein Risiko ableiten.

Der IT-Bereich ist aber sehr dynamisch. Es können sich sehr schnell Dinge ändern. Vorfälle sind auch oft nicht gut dokumentiert. Man kann von einer hohen Dunkelziffer ausgehen. Das ein Autocrash unbemerkt vorkommt, dürfte dagegen eher selten sein.
Zudem ist das Problem global. Ein Hacker auf der anderen Seite der Welt kann in Deinen Computer eindringen. Ein Autofahrer auf der anderen Seite der Welt wird Dich hier aber nicht überfahren können.

Diese Autovergleiche hinken also.

Übliche Linux Desktop PCs an sich tragen nicht zu einem guten Sicherheitsniveau bei.

Ja. Aber immerhin kann man daran drehen. Auf den meisten proprietären Systemen sind die praktischen Möglichkeiten zur Härtung oft recht begrenzt.

 

[BeBur]

Mal abgesehen davon, das ein stumpfes "Bisher ist doch nicht viel passiert" ohnehin in eher schwaches Argument in dem Kontext ist.
Für die Gefahr beim Autofahren kannst Du das besser vorhersagen. Sowas wie Unfallzahlen sind halt bekannt und auch deren Entwicklung über die Zeit und man kann daraus ein Risiko ableiten.

Man muss unterscheiden zwischen "es ist unsicher, aber es ist noch nichts passiert, daher ist es mir egal" und "ich bemesse die Qualität des Mechanismus daran, wie viel bisher passiert ist". Zweiteres machen wir alle fast immer. Niemand (oder jedenfalls fast niemand) hier ist ein Experte für die Sicherheitsarchitektur von Smartphones, wir leiten die Qualität des Sandboxing daraus ab, wie oft es vorkommt, dass die erfolgreich umgangen wird. Ist natürlich nicht die einzige Quelle, sondern wir lesen auch, was andere dazu schreiben.
Sind alles gefühlte Wahrheiten, weil wir keine Zahlen dazu haben im Gegensatz zu Unfallzahlen.

Das Problem mit Statistiken ist, dass sie ohne Kontext wenig Wert haben. Die allgemeinen Unfallzahlen bringen mir nicht wirklich etwas um das eigene Risiko abzuschätzen. Wann passieren Unfälle meistens, wo passieren sie, warum passieren sie, etc.. selbst wenn die Zahlen vorliegen (was ich mir in diesem konkreten Fall gut vorstellen kann) bleibt am Ende die qualitative Einschätzung "es ist sehr unwahrscheinlich, dass ich in einen gefährlichen Unfall verwickelt sein werde".

Die letztendliche Einschätzung des Risikos kommt auch hier von der subjektiven Wahrnehmung, wie oft solche Unfälle offenbar passieren.

Das heißt btw. nicht, dass Statistiken keinen Wert haben. Sie sind gut, um qualitative Aussagen treffen zu können wie "Anzahl der Unfälle geht immer weiter zurück". Wenn die Anzahl der Unfälle steigen sollte, dann muss man untersuchen warum das so ist. Darüber hinaus werden Statistiken erhoben, um konkrete Fragestellungen oder Hypothesen zu untersuchen. Solche Statistiken sind dann für den konkreten Kontext sehr wertvoll und maßgeblich, aber man muss stark aufpassen, wenn man versucht, sie außerhalb des originären Kontextes zu interpretieren.

Welt kompliziert und so .

 

[andy_m4]

Sind alles gefühlte Wahrheiten, weil wir keine Zahlen dazu haben im Gegensatz zu Unfallzahlen.

Genau.
Deshalb gebe ich ja auch keine Bewertung ab.
Und deshalb finde ich das Autobeispiel nicht ganz passend. Auch wenn ich natürlich verstehe, worauf Du damit hinaus wolltest.

Das Problem mit Statistiken ist, dass sie ohne Kontext wenig Wert haben. Die allgemeinen Unfallzahlen bringen mir nicht wirklich etwas um das eigene Risiko abzuschätzen.

Ja. Das eigene Risiko ist eh schwer abzuschätzen weil offizielle Zahlen ja immer über all drüber gehen ohne aber individuelle Situationen zu berücksichtigen.
Wenn ich häufiger stark befahrene Straßen benutze ist das Risiko höher als wenn ich irgendwie jwd über nen Feldweg fahre.

Welt kompliziert und so .

Leider.
Oder zum Glück.
Je nachdem, aus welcher Richtung man guckt.