News Microsoft: Kundendaten von 65.000 Unternehmen frei einsehbar

[paxtn]

Tja das ist das Problem wenn man keine Ende-zu-Ende-Verschlüsselung für Selene Dienste anbietet.

 

[Silencium]

Ist denn on Prem echt sicherer?
Ich wage das doch sehr stark zu bezweifeln!

Wenn ich z.B. Forschungsdaten bei mir on Prem habe und die ordentlich hinter einer Firewall mit vernünftigem Zugangsberechtigungsmodel lagere, dann muss man mich schon sehr gezielt angreifen. Ein solcher Angriff ist stets eine Wirtschaftlich orientierte Unternehmung. Der Fehler den hier viele machen ist nur einen Teil des großen Ganzen zu betrachten.

Natürlich ist die kleine Filiale in der Provinz ein einfacheres Ziel als die in der Großstadt. Doch wenn ich große Beute wollte plane ich das große Ding, wo die Arbeit und damit der Zeitaufwand deutlich besser im Verhältnis zum erbeuteten Gut steht.

Ja, on Prem ist und bleibt in vielen Fällen besser.

 

[Painkiller72]

Mein alter verstorbener Herr Vater hat mal vor ein paar Jahren gesagt, das die zunehmende Abhängigkeit der Menschheit von der Technik diese vor große Probleme stellen könnte. Mitterweile bin ich 50 Jahre alt und muss dem alten Herren recht geben.

So faszinierend der technische Fortschritt auch sein mag, man muss ihn immer von zwei Seiten betrachten und vor allem sollte man sich nicht jeder technischen Neuheit bedingungslos aussetzen.

Weniger heist auch hier eventuell mehr ? Das wird nicht jedes Unternehmen so sehen. Es wird hier wohl noch sehr viel Zeit vergehen, bis ein Umdenken stattfinden wird. Vorerst kann man nur bei sich selber ansetzen.

Und wenn man noch einfacher denkt, was wird passieren, wenn wirklich Stromausfälle zu erwarten sind ? Was ist dann noch sicher ? Gestohlene oder frei einsehbare Datensätze werden dann ein geringes Problem dar stellen.

 

[Rubbiator]

Wir sind leider betroffen, wurden aber nicht von Microsoft informiert. Ich bin gespannt ob und wie wir da an Infos kommen.

 

[FuSiOnPaiNz]

Microsoft ist schon immer für mich ein Dorn im Auge. Leider empfinde ich es so, dass bei Microsoft zwar Schwachstellen gefunden werden, aber es wird viel zu viel Zeit benötigt, diese zu beheben. Cloud-Lösungen sind eine tolle Sache, leider bringen die auch ziemlich viele mögliche Schwachstellen mit sich. Deswegen laufen bei mir auf der Arbeit, Anwendungen so wenig wie möglich auf einem Windows Betriebssystem.

 

[riloka]

Die Zahl der betroffenen Unternehmen, die Art der Dokumente und eine von mir durchgeführte Stichprobe (mal ein paar deutsche IT-Dienstleister probieren, z.B. Bechtle, Cancom und auch kleinere, sowie DAX-Konzerne) lassen vermuten, dass es sich um eine Anwendung handelt, mit der Microsoft bestimmte B2B-Dienstleistungsverträge managt, oder noch wahrscheinlicher ein Incentive-Programm für Partner, bei dem diese für B2B-Dienstleistungsverträge vergütet werden - also z.B. Partner macht eine Migration von 1.000 VMs bei einem DAX-Konzern, Projekt kostet 200k, Microsoft bezuschusst mit 60k. Diese Verträge werden dann z.B. in so einem Portal hochgeladen, und wenn bestimmte Anforderungen erfüllt sind, fließt der Zuschuss an den Partner.

Ich sehe größere und kleine Internetprovider wie Vodafone und Telekom da drin. Ich tippe daher eher auf Office365, AD und Exchange als auf Incentive Programme

Ergänzung (21. Oktober 2022)

Ist denn on Prem echt sicherer?
Ich wage das doch sehr stark zu bezweifeln!

Es kommt drauf an ob du das Geld für gute interne Leute ausgeben magst und kannst.
Bevor da jemand , sagen wir mal der Klischee erfüllende Mathelehrer, für die Schule die Administration nebenbei macht ist es sicher besser dass dem Dienstleister zu überantworten.
Je mehr Sachen an einem Fleck sind desdo lohnender wird das Ziel und desdo größer ist der Schaden falls was schief geht.
Abgesehen davon finde ich sollte man sich ab einer gewissen Größe der Firma und einem gewissen Umsatz schon leisten Wissen im Konzern zu haben und seine eigene Infrastruktur zu betreiben, gell Telekom?

 

[NephTis]

Azure ist ein malignes Krebsgeschwür. Niemand, der alle Tassen im Schrank hat, befürwortet diesen Dreck. Ich kenne Systemhäuser, die inzwischen 100% auf Azure setzen und das ihren Kunden auch noch andrehen.

Was ein großer Unsinn. Viel Meinung und wenig Ahnung von der Materie an sich. Datenpannen können immer mal wieder passieren aber alleine Microsoft steckt so viel Geld und Know-How in Cybersecurity das man mit seinem On-Prem Netzwerk fast gar nicht mithalten kann.

Schon mal mit Azure intensiv gearbeitet? Wahrscheinlich nein.

Will man moderne Anwendungen entwickeln und mit der Zeit gehen wird man an der Technologie in den nächsten Jahren/Jahrzehnten nicht vorbei kommen.
Es sagt ja auch keiner "Also Computer nutze ich nicht, die Schreibmaschine ist für Textdokumente viel sicherer".

 

[crispychips]

Was war doch gleich immer das Argument für die Cloud? Da kümmern sich Profis drum damit alles sicher läuft.

Das mag auch so sein. Das Problem bei Cloud ist aber, wenn da denn doch mal was schief geht ist das immer gleich ein immenser Schaden. Und wie oft hatten wir das jetzt schon das Daten "wegkommen" oder ein ausgefallender Cloud-Dienst zig andere Dienste mit in den Abgrund reißt.

Das ist genauso wie beim manuellen Konfigurieren von Geräten oder bei Automatisierung durch Scripting.
Entweder Du hast den Gau durch einen Fehler an zentraler Stelle oder durch die Geschwindigkeit der Automatisierung.

Es ist wirklich die Gretchen-Frage, was unkritisch ist, auf Cloud Dienste ausgelagert zu werden ...

Aber wenn erstmal alle Daten weltweit offen sind, dann braucht man ja auch nichts mehr zu verbergen.
Dann wird auch Security einfacher und preiswerter :-)

 

[ZeusTheGod]

Bin ich der Einzige, der von der angehängten Mail maximal verwirrt ist? Wer hat denn da wem geschrieben? Und warum ist das Datum der 17.07.2018?

 

[Clausewitz]

Ich sehe größere und kleine Internetprovider wie Vodafone und Telekom da drin. Ich tippe daher eher auf Office365, AD und Exchange als auf Incentive Programme

Ergänzung (21. Oktober 2022)

Incentive Programme bin ich ziemlich sicher, weil dabei ganz regelmäßig Partner + Endkunden Dokumente mit SOWs (statement of work, relevant beim Anbieten eines Projekts) oder POEs (proof of execution, Endkunde bestätigt, dass ein Gewerk erledigt ist) an Hersteller schicken. Jaaaa.... ganz vielleicht noch als Voraussetzungen für irgendwelche Partner-Kompetenzen, um nötige Referenzen zu dokumentieren, aber da passt ein SOW schon nicht mehr dazu.

Vodafone und DTAG führen auch Cloud-Migrationsprojekte durch und nehmen entsprechend an solchen Incentives teil.

Oder hast Du eine Idee was das für E-Mails sein könnten? Und welchen kleineren ISP hast Du gefunden?

Microsoft in ihrem Statement:

The business transaction data included names, email addresses, email content, company name, and phone numbers, and may have included attached files relating to business between a customer and Microsoft or an authorized Microsoft partner. The issue was caused by an unintentional misconfiguration on an endpoint that is not in use across the Microsoft ecosystem and was not the result of a security vulnerability.  We are working to improve our processes to further prevent this type of misconfiguration and performing additional due diligence to investigate and ensure the security of all Microsoft endpoints.

 

[Unnu]

Man kann z.B. auf Azure Stack zurückgreifen, dann sind die Daten lokal gehostet.

Ahja. Danke. Wieder was gelernt. Aber wenn die dann lokal liegen, dann muss „ICH“ mich da ja wieder drum kümmern, oder? Also ohne Personal nicht stemmbar, oder?

Ergänzung (22. Oktober 2022)

Sobald es um ernsthafte Themen geht, wird brav ignoriert.

Das tangiert die (meisten) Menschen nicht direkt, liegt außerhalb ihres Erfahrungshorizonts und wird deswegen konsequent ausgeblendet. Ist so.
Der Mensch bewegt sich nur, wenn es die eigene Bequemlichkeit tangiert.
… das wird uns auch demnächst das Genick brechen.

 

[tomgit]

Ahja. Danke. Wieder was gelernt. Aber wenn die dann lokal liegen, dann muss „ICH“ mich da ja wieder drum kümmern, oder? Also ohne Personal nicht stemmbar, oder?

Das ist halt die Abwägung zwischen Cloud und On-Prem. Cloud hast du (potenziell) weniger Kosten für Personal, Wartung, Hardware, Energie, Räumlichkeiten, Kühlung, etc., bist dafür vom Anbieter abhängig.
On-Prem hast höhere Kosten für Hardware, Energie und Räume, dafür hast halt deine Sachen bei dir.

Ob man weniger Personalkosten hat, ist halt so ne Frage, weil die Cloud-Teile müssen trotzdem irgendwo verwaltet werden, wenn man nicht auf ein reines SaaS-Modell zurückgreift. Und selbst da brauchst zumindest jemanden, der die Ressourcen und Nutzerkonten verwaltet (oder Freigaben absegnet).
Aber du hast halt die Wahl und kannst auch schauen, ob du eben auf einen Anbieter zurückgreifen kannst, der alles in deiner gewählten Region abhandelt, sodass zumindest möglichst wenig PII auf nicht-EU-Server kommen.

 

[SI Sun]

@Unnu
Man könnte auch sagen, dass der Mensch nie lernt.
Die Geschichte wiederholt sich unendlich oft.

Die Naiven geben ihre Stimme/Macht ab, diese wird gegen sie ausgenutzt, es gibt Krieg/Tod/Zerstörung und wieder von vorne. Und das über zehntausende von Jahren.

Wenn unsterbliche Außerirdische uns zusehen sollten, dann würde es mich nicht wundern, wenn die kein Interesse an einem kurzlebigen, ignoranten Virus haben.
Wenn wir uns nicht durch eine vielfache intelligentere KI selbst abschaffen, sterben wir mittel- oder kurzfristig wie jeder andere Virus oder Bakterienkultur einfach durch die Vernichtung des eigenen Lebensraumes aus.

 

[Unnu]

@tomgit : Ja, ok. Diese restlichen Überlegungen kenne ich nur viel zu gut.
Und wenn Du dann Lambdas von AWS nutzt und nich höllisch aufpasst, dann ist sowohl der Kostenvorteil als auch die Sicherheit flöten. 🤪
Und in der cloud ist es bei US-Anbietern eben so, dass der US-Gesetzgeber Zugriff verlangt, völlig egal wo deren Server stehen. Das ist ja einer der (kleineren) Gründe warum auch der Nachfolger von Safe Harbour vom EUGH kassiert wurde.

Kurz: Unter GDPR ist es für EU-Unternehmen schlicht illegal irgendetwas was auch nur nach PII „riecht“ auf Rechner der großen Amerikanischen Anbieter zu schieben. Das wird halt großteils ignoriert.