Schwerdtfegr (beta)Und nun zu datenschutz und kompjutersicherheit
Tut alles in die klaut, haben sie gesagt. Da sind eure daten und anwendungen sicher und stets verfügbar, haben sie gesagt. Einige werden sogar weltweit verfügbar.
Der CCC hat mal vorsichtig mit dem kleinen hämmerchen auf rostige stellen abgeklopft, bei so einer softwäjhr für anwaltskanzleien, die in der klaut rumlungert, weil ja alles viel vertraulicher, sicherer, datengeschützter und hipper wird, wenn man es ohne dringend erforderlichen grund als dienst im internetz verfügbar macht. Das ergebnis dieser kleinen prüfung war dann auch erwartungsgemäß, und man merkt den genuss der häcker schon beim lesen ihres kleinen textes:
Endlich gibt es in dieser Reihe von Meldungen zu Legal-Tech nicht nur ein technisch langweiliges Einfallstor durch Fehlkonfiguration, sondern einen ganzen Blumenstrauß verschiedener Sicherheitsprobleme. Der Einstieg war simpel: Backups ließen sich frei aus dem Internet herunterladen. Zwar waren diese teilweise verschlüsselt, doch bereits die sichtbaren Ordnerstrukturen und Dateinamen verrieten sensible Informationen wie die Namen von Mandantschaft und ließen Rückschlüsse auf Verfahren zu.
Die eingesetzte Verschlüsselung basiert auf ZipCrypto, einem Verfahren, das seit Jahren als veraltet und unsicher eingestuft wird. Anhand von bekannten Inhalten der verschlüsselten Daten konnten die vollständigen Backup-Archive entschlüsselt werden (sog. Known-Plaintext-Angriff). So wurden beispielsweise Gerichtsakten, interne Aktenvermerke, Adressdaten von Mandantschaft, Gutachten und Schriftwechsel mit Mandantschaft oder Dritten sowie Zugangsdaten zu IMAP-Postfächern oder dem besonderen elektronischen Anwaltspostfach (beA) einsehbar
Nein, damit ist die geschichte nicht zu ende. Obwohl das schon ein trümmerhaufen ist. Der klick lohnt sich.
Na gut, ein appetithäppchen noch:
Über einen Mechanismus, der wahrscheinlich für das Anlegen von Test-Accounts gedacht war, gelang es, Administrator-Accounts anzulegen
Die beiden zum ende verlinkten reports setzen nicht viel technisches verständnis voraus, eher so einfache benutzerkenntnisse. Niemand sollte sich von diesen beiden klicks abhalten lassen.
Der datenschutz beim rechtsanwalt lässt zwei stufen aus. Ditschitäll first, fatalismus second. Wer will denn „hochdruck“ und „bedauern“.
#Anwaltskanzlei #CCC #Cloud #Datenschutz #Epic #Fail #Link #Security
jobo
WDR (inoffiziell)
Peter Schwindling
Don Trueten 
