News Office 365: Nutzer-Überwachung mit Hilfe geheimer API möglich

[areiland]

@x-ares-x
Es ist ausserdem doch nur vernünftig, wenn ein Administrator im Falle eines Falles nachvollziehen kann, wie z.B. ein Verschlüsselungstrojaner ins Netzwerk eindringen und sein schändliches Werk verrichten konnte. Die Administration muss ja was an der Hand haben, das sie in die Lage versetzt, das entsprechende Einfallstor zu schliessen.

 

[x-ares-x]

@x-ares-x
Es ist ausserdem doch nur vernünftig, wenn ein Administrator im Falle eines Falles nachvollziehen kann, wie z.B. ein Verschlüsselungstrojaner ins Netzwerk eindringen und sein schändliches Werk verrichten konnte. Die Administration muss ja was an der Hand haben, das sie in die Lage versetzt, das entsprechende Einfallstor zu schliessen.

Jein... klar ist es schön, wenn man das weiss, aber bringen tuts dann doch nicht so viel...
Es wird nur Probleme aufdecken die man eh schon wissen sollte... User mit Adminrechten, Signaturbasierten Virenschutz, AV ohne RAM Überprüfung, etc...

 

[new Account()]

Die Auslesung der Aktivitätsprotokolle soll nur Administratoren von Office 365 zugänglich sein und ausschließlich nach der Einholung für spezielle Rechte des Ziel-Mail-Kontos freigeschaltet werden.

Was heißt Administratoren von Office 365 genau?

Ergänzung (6. Juli 2018)

Es wird nur Probleme aufdecken die man eh schon wissen sollte... User mit Adminrechten, Signaturbasierten Virenschutz, AV ohne RAM Überprüfung, etc...

Und wenn man sich um vermeintlich alle Probleme gekümmert hat, passierts trotzdem, und dann hilft es tdm.

 

[areiland]

...Es wird nur Probleme aufdecken die man eh schon wissen sollte... User mit Adminrechten, Signaturbasierten Virenschutz, AV ohne RAM Überprüfung, etc...

Und eben Nutzer, die jeden Anhang öffnen, der sich ihnen anbietet. Ausserdem kann man das Aktivitätenprotokoll ja durchaus auch vor einer Infektion durchforsten und beim Sicherheitskonzept gegebenenfalls nachsteuern. Denn man kann auch mal was übersehen und sowas hilft dabei, das zu erkennen.

 

[DonnyDepp]

Als Admin in einer Firma sollte man alles nachvollziehen und lesen dürfen.
Private Emails haben dort eh nichts zu suchen.
Und für vertrauliche Emails gibts eine extra Kategorie.

 

[new Account()]

Ist es denn auf Admins in einer Firma beschränkt?

 

[<jACKtHErIPPER>]

"Weder Administratoren noch Nutzer wussten, dass es über das E-Mail-Programm von Office 365 es möglich ist, die genauen Schritte eines Nutzers über eine API auszulesen. "

 

[TheRealSutefan]

Verstehe die Aufregung nicht.
https://msdn.microsoft.com/en-us/office-365/office-365-management-activity-api-reference

Hier ist doch klar kommuniziert was wie wo.

So Geheim das es seit Januar 2018 in der Dokumentation steht.

 

[Facepalm]

Oh Wunder. Wer jetzt darüber erstaunt ist.

 

[nciht]

Die API soll vor allem von Sicherheitsfirmen verwendet werden, um nach einem Hack-Angriff genauere Details über einen Angriff sammeln zu können.

Die Vorratsdatenspeicherung will man ja auch nur zur Verbrechensbekämpfung nutzen. Und VW hat die Abgasvorrichtung eingebaut, damit die Umwelt sauberer wird (wurde ja vor der Affäre noch als der sauberste Diesel umworben).

 

[M-X]

Ich bin ja auch ein Verfechter des Datenschutzes aber hier wurde völlig unnötig Panik gemacht.

Was denkt ihr was der Admin bei euch in der Firma alles lesen kann? Der kann sich sogar den INHALT der emails anschauen. Das gehört zum Job eines Admins.

In dem Falle von MS können die Admins nicht mal Inhalte lesen.

Die ganzen Hobby ITler hier sollten sich mal dem Thema "logfiles" auseinandersetzen, dann tickt ihr komplett aus.

Hauptsache mit dem Google Spyphone rumlaufen aber über MS haten...

 

[OTM-Offline]

Lieber Aljoscha, entschuldige bitte folgende journalistische Lehrstunde:

Deine Schlagzeile inkl. Anreißer lautet:

“OFFICE 365Nutzer-Überwachung mit Hilfe geheimer API möglich
Das E-Mail-Programm von Office 365 hat eine eingebaute API, welche die komplette Überwachung der Nutzer ermöglichen soll.“

Wenn du im Anreißer eine komplette Überwachung erwähnst, diese im Artikel aber dann wieder relativierst bzw. nicht mehr erwähnst/erklärst etc. dann ist das journalistisch falsch.
Dieses Stilmittel wird gerne von unseriösen Boulevardzeitungen eingesetzt (z.B. BILD) um Auflage zu erzeugen bzw. von unseriösen Onlinemedien um die Klickzahl zu erhöhen.

Zurück zum Inhalt:
Wenn man die Mails und Anhänge nicht lesen kann, dann ist eine komplette Überwachung nicht zutreffend.

 

[andr_gin]

Das Traurige ist, dass viele das Prinzip der Cloud immer noch nicht verstanden haben. Hier ist Microsoft der Administrator des Mailservers und hat somit vollständigen Zugriff darauf. Genauso verhält es sich mit Online Betriebssystemen wie Android IOS und Windows 10. Ob jetzt eine API existiert oder nicht spielt doch keine Rolle. MS kann jederzeit alle Postfächer exportieren und sich den gesamten Inhalt ansehen.:

 

[Autokiller677]

@andr_gin
Das muss nicht zutreffen. Je nach Cloud-Anbieter sind deine Userdaten mit deinem Passwort auf dem Server verschlüsselt, d.h. ohne Passwort kommt keiner an die Daten. Ob ein Anbieter diese Funktion verwendet, kann man aber leicht abschätzen, indem man schaut, ob es einen Passwort-Zurücksetzen Button gibt. Wenn es den gibt, sind die Daten eher nicht verschlüsselt, da das Zurücksetzen des Passworts sonst die Daten unbrauchbar macht.

Wieso allerdings die Betriebssysteme "Online" sein sollen und damit für den Hersteller komplett lesbar erschließt sich mir nicht. Weder mein iPhone noch mein Windows PC speichern irgendwas bei Apple oder MS. Die Nutzung der Cloud ist komplett optional.

 

[Wilhelm14]

Wie kann man nur immer wieder irgendwelche Großunternehmen in Schutz nehmen?

Logisch, wenn du als Administrator eures Unternehmens Betreffzeilen lesen kannst ist das sicherlich vergleichbar damit, dass Google, Microsoft & Co. in Millionen von E-Mail Accounts herumwühlen.

Punkt 1: Manche gehen sogar so weit, beim Konsumkauf ihr Geld lieber Milliardenunternehmen X "zur Unterstützung" statt Milliardenunternehmen Y geben.

Punkt 2: Microsoft wühlt hier in diesem Fall in gar nichts herum. Als Beispiel bietet die Software Microsoft Exchange als Mailserver dem Administrator Möglichkeiten, was lange nicht heißt, dass Microsoft auf dem Exchange Server herum schnüffelt. Office 365 ist nun eine weitere Software, wo es dem Administrator ebenso möglich ist - nicht Microsoft. Der "Skandal" ist, dass diese Möglichkeit der Überwachung (durch einen Admin, nicht MS) nicht dokumentiert wurde.

Edit @DerJapaner: Aha, das ist sogar dokumentiert!

 

[DieRenteEnte]

Microsoft war leider noch nie zu trauen. Auch die Zusammenarbeit mit der NSA, die zuerst eine Verschwörungstheorie war, hat sich im Laufe der Jahre als immer wahrscheinlicher herausgestellt. Als ich hörte in der Beta von Win10 wären Keylocker etc. eingebaut und man würde in der Eula dieser Überwachung auch noch zustimmen müssen, war das OS für mich gestorben, auch weil nie klar war ob diese Option nicht einfach in der Endversion wieder eingeschaltet werden könnte.

Und wen interessiert es? Wahrscheinlich nicht mal 1% der Nutzer.

Bestes Beispiel ist Android:
Was Android nicht von sich aus kann/tut, wird vom Nutzer durch Apps fahrlässig gestattet.
Eine Taschenlampen App mit Zugriff auf Kontakte, GPS und Speicher? Kein Problem...
Eine Google Services App, die man nicht deinstallieren kann und alle Berechtigungen verlangt? Kein Problem... schließlich spammt Android einem sonst im Minuten Takt mit der Warnung voll, dass die App nicht funktioniert und ignorieren oder deaktivieren kann man das leider nicht. Mit ROMs aber ohne Funktionseinschränkung trotzdem möglich...

 

[M-X]

@andr_gin
Ob ein Anbieter diese Funktion verwendet, kann man aber leicht abschätzen, indem man schaut, ob es einen Passwort-Zurücksetzen Button gibt. Wenn es den gibt, sind die Daten eher nicht verschlüsselt, da das Zurücksetzen des Passworts sonst die Daten unbrauchbar macht.

Sorry aber das ist totaler quatsch. Eine passwort reset hat nichts mit der Userdaten Verschlüsselung zu tun, so gar nicht...

 

[Autokiller677]

@M-X

Lies bitte was ich geschrieben hab. Mir ging es explizit um Verschlüsselung mit dem User Kennwort - d.h. so, dass auch der Server Admin nicht an die Daten kann, weil er den Key nicht hat.

Wenn ich mein Passwort zurücksetzen kann und meine Daten trotzdem noch da sind, heißt das, dass der Key für eine etwaige Verschlüsselung auch irgendwo beim Anbieter ist.

 

[smart-]

Ich möchte hier mal noch einen wichtigen Punkt in die Thematik rein bringen:

Leider darf ich zwar keine Details nennen, aber diverse große Konzerne in Deutschland planen gerade die völlige Umstellung genau auf diese Systeme. Ich verstehe nicht, warum man sich überhaupt von einem Hersteller abhängig machen sollte und dann auch noch mit so etwas. Kosten hin oder her. Ich sehe da einiges an Problemen in der Zukunft. Für mich sind diese Entscheidungen sehr problematisch und diese News hier nur die Bestätigung. Mal wieder.

 

[Wilhelm14]

Kosten sind aber genau der Punkt, der entscheidet. Sachen von der Stange, die weit verbreitet sind, kann jeder bedienen, also sind die Bediener austauschbar. Wenn etwas selbst auf die Beine gestellt wird, steigen da häufig nur die Ersteller durch. Neue Mitarbeiter müssten sich in das custom-made Ding einarbeiten, was teils unmöglich ist. Ob das alles richtig, falsch, gut, schlecht ist, kommt ja immer auf die Blickrichtung an. Manche Unternehmen sehen das eben anders.