Security News Folge 13

Hallo und herzlich willkommen! Schön, dass Sie wieder dabei sind!

Kaum ein Thema ist so dynamisch wie Cybersicherheit, auch Folge 13 will Sie dabei unterstützen, aktuelle Entwicklungen im Blick zu behalten. Nutzen Sie dazu auch immer die Links in den Show-Notes.

Jetzt reinhören, abonnieren und mit Sicherheit immer gut informiert sein, in weniger als zehn Minuten!

Beginnen wir mit einer Meldung von Europol zu einer Cyber-Patrouillenwoche:

Zwischen dem 10. und 14. November 2025 organisierte Europol in Zusammenarbeit mit dem Amt der Europäischen Union für geistiges Eigentum und der spanischen Nationalpolizei eine „Cyber-Patrouillenwoche zur Bekämpfung von Cyberkriminalität im Bereich des geistigen Eigentums“. Insgesamt 30 Ermittler nahmen an dieser Operation teil. Dort nutzten sie fortschrittliche Open-Source-Intelligence-Techniken (OSINT) und modernste Online-Ermittlungswerkzeuge, um potenzielle Verletzungen des geistigen Eigentums zu identifizieren.

Die Ermittler spürten dabei Kryptowährungen im Wert von rund 55 Millionen US-Dollar auf, die über verschiedene, mit diesen Diensten verbundene Konten flossen. Gegen einige dieser Dienste wird weiterhin von öffentlichen und privaten Stellen ermittelt.

Die Cyber-Patrol-Woche thematisierte den zunehmenden Trend, dass Kriminelle von traditionellen Zahlungssystemen abkehren und stattdessen auf Kryptowährungszahlungen setzen – eine Methode, die ihnen fälschlicherweise mehr Anonymität verspricht –, wenn sie ihre illegalen Dienste anbieten. Um dem entgegenzuwirken, verfolgten die Teilnehmer der Cyber-Patrol eine neuartige Strategie: Die Ermittler nutzten Kryptowährungen, um Dienstleistungen zu erwerben und so illegale Akteure zu identifizieren. Diese wurden anschließend an Partner, darunter große Krypto-Börsen und spezialisierte Softwareunternehmen, gemeldet.

Nun folgt eine Warnung des BSI jetzt zur Vorweihnachtszeit:

22 Prozent der im Vorjahr von Cyberkriminalität betroffenen Personen haben Betrug beim Onlineshopping erlebt, so der Cybersicherheitsmonitor 2025. Auch im Vorfeld von Weihnachtseinkäufen weist das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf ein deutlich erhöhtes Aufkommen betrügerischer Onlineshop-Angebote hin.

Cyberkriminelle nutzen die starke Nachfrage und den hohen Zeitdruck in diesen hochfrequenten Wochen, um gefälschte Shops, manipulierte Produktseiten oder dubiose Werbeanzeigen zu platzieren. Kundinnen und Kunden werden gezielt mit knappen Countdown-Timern und extremen Rabatten zum Kauf gelockt. Das BSI beobachtet eine zunehmende Professionalisierung: Fake-Shops imitieren Marken-Bildsprache immer überzeugender, zeigen echte Produktfotos, verwenden korrektes Deutsch und kopieren Impressumsangaben existierender Unternehmen.

Mehr Informationen rund um Sicherheit beim Onlineshopping finden sich auf der Webseite des BSI und in den Show-Notes. Mein Tipp: Machen Sie auf die erhöhten Risiken auch in Ihrer Cybersicherheitsschulung aufmerksam, auch B2B-Käufe könnten betroffen sein.

Nun zu neuen Sicherheitsanforderungen an Webmail-Dienste:

E-Mail-Dienste – insbesondere Webmailer (also E-Mail-Dienste, die über einen Webbrowser genutzt werden) – sind ein integraler Bestandteil des Alltagslebens. Sie ermöglichen das Erstellen von E-Mails, ihren Versand an beliebige Kontakte sowie die Verwaltung eines Postfachs. Nicht zuletzt werden E-Mailadressen als Zugang für viele weitere Dienste genutzt. Damit sind sie eine wesentliche Schnittstelle digitaler Kommunikation und Identitätsverwaltung.

Der Schutz der Verbraucherinnen und Verbraucher vor Sicherheitsrisiken, wie zum Beispiel unsicheren Authentisierungsverfahren und Identitätsdiebstahl, ist bei Webmail-Anbietern jedoch mitunter lückenhaft umgesetzt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nun ein Whitepaper veröffentlicht, das Anforderungen an Sicherheit, Transparenz und Benutzerfreundlichkeit von Webmailern festlegt, die die Sicherheit der Verbraucherinnen und Verbraucher systematisch und zukunftsorientiert erhöhen.

Das Whitepaper betrachtet dabei nicht nur technische Sicherheitsfunktionen, sondern auch Usability, Transparenz und Vertrauen als wesentliche Bestandteile digitaler Souveränität.

Marktsichtungen des BSI haben ergeben, dass zahlreiche E-Mail-Dienste in ihrer Standardkonfiguration allein auf Passwörter setzen, um die Zugänge ihrer Kundinnen und Kunden zu schützen – zumeist ohne Zwei-Faktor-Authentisierung. Eine solche müssen Nutzende oftmals erst in den Einstellungen aktivieren. Auch sind nachweislich sichere und praktische Alternativen zum Passwort, wie etwa die passwortlose Anmeldung mittels Passkey, immer noch wenig verbreitet oder werden nicht proaktiv angeboten.

Sie finden den Link zu diesem Whitepaper in den Shownotes.

Jetzt geht es um eine wichtige Entwicklung im Schwachstellenmanagement:

Die Europäische Agentur für Cybersicherheit (ENISA) ist nun eine Common Vulnerabilities and Exposures (CVE) Program-Root und wird damit zu einer zentralen Anlaufstelle innerhalb des CVE-Programms für nationale/EU-Behörden, Mitglieder des EU CSIRTs-Netzwerks und Kooperationspartner, die unter das Mandat der ENISA fallen.

Als Common Vulnerability and Exposure (CVE) Numbering Authority (CNA) ist ENISA berechtigt, CVE-Kennungen (CVE-IDs) zu vergeben und CVE-Einträge für Schwachstellen zu veröffentlichen, die von EU CSIRTs entdeckt oder gemeldet wurden, entsprechend ihrer Koordinierungsrolle seit Januar 2024. Als Root-CNA erweitert ENISA nun ihre Rolle innerhalb des CVE-Programms.

Zu ihren Aufgaben gehören die Identifizierung, Einarbeitung und Unterstützung anderer CNAs (Clinical National Agents) innerhalb ihres Zuständigkeitsbereichs. Darüber hinaus stellen Roots sicher, dass die Richtlinien und Prozesse des CVE-Programms eingehalten werden und dass Verfahren, Richtlinien und Standards für die Vergabe und Verwaltung von CVE-IDs weiterentwickelt werden.

Und nun Sicherheitshinweise zu dem steigenden Drohnen-Risiko:

Die Cybersecurity and Infrastructure Security Agency (CISA) hat drei neue Leitfäden veröffentlicht, die Betreiber kritischer Infrastrukturen dabei unterstützen sollen, die Risiken unbemannter Flugsysteme (UAS) zu verstehen und zu minimieren. Diese Leitfäden sind Teil der CISA-Initiative „Be Air Aware“ und umfassen die Leitfäden „ Leitfaden zur Erkennungstechnologie unbemannter Flugsysteme für kritische Infrastrukturen“, „ Leitfaden zu verdächtigen Aktivitäten unbemannter Flugsysteme für Betreiber kritischer Infrastrukturen“ und „ Überlegungen zum sicheren Umgang mit abgestürzten unbemannten Flugsystemen“.

Mein Tipp: Auch wenn Sie nicht zu den KRITIS-Einrichtungen zählen, ist es sinnvoll, sich mit den Maßnahmen gegen Drohnen-Risiken zu befassen. Die Sicherheitshinweise von CISA könnten eine Hilfe sein.

– Diese Folge wird Ihnen präsentiert von Marktplatz IT-Sicherheit und dem Angebot „5 Minuten IT-Sicherheit“: Kurz und bündig: aktuelle Security Themen von wichtigen IT-Sicherheitsanbietern

Gezeigt werden 5-Minuten-Gespräche mit Experten aus dem Kreis der IT Sicherheit. Hier werden Informationen auf den Punkt gebracht! Aktuelle Insights, Best Practices und Tipps & Tricks zur Cybersicherheit, als Video-Interview.

Sie finden den Link zu diesem Angebot von Marktplatz IT-Sicherheit sowie alle anderen Links zu dieser Folge in den Show-Notes zu diesem Podcast.

Das war es für heute.

Ich freue mich, wenn wir uns bald wieder hören, besuchen Sie den Marktplatz IT-Sicherheit und abonnieren Sie diesen Podcast und die anderen Formate auf dem Marktplatz IT-Sicherheit! Hier werden Sie mit Sicherheit gut informiert! Das war Oliver Schonschek, der News-Analyst vom Marktplatz IT-Sicherheit