SATW Informationssicherheit Backup 2017-10-04

 

 

Die Schweizerische Akademie der Technischen Wissenschaften SATW ist das grösste Expertennetzwerk im Bereich Technikwissenschaften in der Schweiz. Eines der Ziele der SATW ist es der Bevölkerung technische Themen welchen sie im Alltag begegnen näher zu bringen.

 

Dieses Quiz soll einerseits der SATW helfen herauszufinden was Kinder und Jugendliche wie du bereits Wissen zum Thema Informationssicherheit, andererseits möchten wir dir auch gleich einige Informationen und Tips mit auf dem Weg geben.

 

Mit deiner Teilnahme an diesem Testlauf hilfst du uns das Quiz zu erweitern und zu verbessern. Oft findest du in der Fragestellung Links zu Seiten oder Videos, welche dir helfen Informationen zu finden um die richtigen Antworten zu finden. Folge diesen Links und kehre später zum Quiz zurück um die Frage zu beantworten. Bei anderen Fragen gibt es im Voraus keine Hilfestellung. Beantworte diese Fragen einfach so, wie du es für richtig hältst. Nachdem du eine Frage beantwortet hast, kannst du mit der Back-Schaltfläche zurückspringen um dir deine Antworten nochmals anzusehen.

 

Wenn du eine Frage falsch beantwortest ist das nicht schlimm, es gibt auch keine Abzüge dafür. Es geht in diesem Quiz nicht darum möglichst viele Punkte zu sammeln, sondern dir etwas beizubringen. So sehen wir, bei welchen Themen wir dir in einem nächsten Durchlauf mehr Informationen zur Verfügung stellen müssen, damit du die Fragen korrekt beantworten kannst. Tausche dich deswegen also nicht mit deinen Nachbarn aus.

 

 

Überall im Netz wo du dich einloggen möchtest brauchst du Passwörter. Bei deinem E-Mail-Anbieter, bei Facebook, bei der Website deines Sportvereins etc. Es ist allerdings nicht einfach gute Passwörter zu wählen und noch schwieriger kann es sein, sich diese zu merken.

 

Leistungsfähige Computer können heute abertausende von Passwörtern pro Sekunde ausprobieren und können so in sehr kurzer Zeit viele Passwörter einfach durch erraten knacken.

Noch viel gefährlicher für deine Passwörter ist allerdings, dass regelmässig Anbieter von Websites gehackt werden auf denen du dein Passwort verwendest und dadurch dein Passwort in falsche Hände geraten kann.

Das einzig effektive Mittel um einen Computer vom Erraten deines Passworts abzuhalten ist ein möglichst langes Passwort zu wählen. Sonderzeichen und Zahlen machen dir das Merken deines Passworts viel schwerer, halten einen Computer aber nicht lange auf.

 

Eine einfach Möglichkeit relativ sichere Passwörter zu finden, ist das verwenden von sogenannten Passsätzen. Ein möglicher Passsatz wäre:

 

 

So hast du ein Passwort mit 43 Zeichen, das du dir erst noch noch leicht merken kannst. Es ist deutlich sicherer als ein kürzeres Passwort mit Sonderzeichen und Zahlen. Du musst natürlich darauf achten, dass der Passsatz persönlich ist und nicht etwa ein Filmzitat oder etwas das jemand der dich kennt leicht erraten kann.

Ein Passwortmanager ist ein Programm oder eine Website, die dir hilft für jeden Dienst den du benutzt ein eigenes Passwort zu verwenden. Dafür erstellt der Passwortmanager für jede Website für die du ein Passwort brauchst ein zufälliges langes Passwort und speichert es für dich.

Deine Passwörter schützt du dann mit deinem langen Master-Passwort. So brauchst du dir nur ein sicheres Passwort zu merken und hast trotzdem für jede Website ein einzigartiges sicheres Passwort.

 

Eine Auswahl an Passwortmanagern sind:

KeePass (offline, gratis)

Clipperz (online, gratis)

SecureSafe (online, App, gratis bis 50 Passwörter)

LastPass (online, App, gratis ohne Premium-Features)

1password.com (App, kostenpflichtig)

Um noch mehr Sicherheit zu erreichen als mit einem langen, zufälligen Passwort bieten viele Dienste mittlerweile eine Zwei-Faktor-Authentifizierung an. Damit wird nicht nur geprüft, dass du etwas persönliches weisst (dein Passwort) sondern auch etwas persönliches besitzt (z.B. dein Handy).

 

Vor was schützt dich diese Zwei-Faktor-Authentifizierung?

Weiterführenden Informationen und eine Anleitung wie du die Zwei-Faktor-Authentifizierung für einige beliebte Dienste aktivierst findest du unter folgendem Link:

 

 

Whatsapp ist eine der populärsten Apps auf Smartphones, deswegen nehmen wir es hier als Beispiel, stellvertretend für beliebiege Apps mit grossem Funktionsumfang.

 

Wie kannst du feststellen, welche Berechtigungen (z.B. Kamerazugriff, Kontakte lesen, Anrufe tätigen usw.) Whatsapp benötigt, um auf deinem Smartphone zu laufen?

Auf dem Screenshot siehst du, welche Berechtigungen Whatsapp benötigt.

 

 

Indem du Whatsapp erlaubst, dein Mikrofon zu aktivieren und deaktivieren, kann die App theoretisch sämmtliche Konversationen aufzeichen. Es gibt momentan allerdings keinen Grund zur Annahme, dass Whatsapp dies tatsächlich macht, da dies auch nicht im Interesse der Firma Whatsapp liegt. Das Mikrofon wird lediglich für das Versenden von Sprachnachrichten und die Telefoniefunktion verwendet.

 

Bei Apps von unbekannten Herstellern oder solchen die nicht aus dem App- oder Playstore bezogen werden muss hier allerdings mehr Vorsicht geboten werden.

Gibt es eine Möglichkeit, wie du die Berechtigungen einer App wie Whatsapp einschränken kannst?

Informationen dazu wie du die Berechtigungen auf neueren Androidgeräten einschränken kannst, findest du unter folgendem Link:

 

 

Auf iPhones und anderen Geräten von Apple kann man die Berechtigungen auch einschränken. Siehe dazu folgende Anleitung:

 

 

Wie du bei den Berechtigungen von Whatsapp gesehen hast, können auch In-App-Käufe getätigt werden. Diese Kosten werden von der im Store hinterlegten Kredigkarte abgebucht.

 

Wie kann eine App sonst noch hohe Kosten auf deiner Telefonrechnung generieren?

Bei Android sieht man schon beim Installieren einer App, ob zusätzliche Kosten anfallen können.

 

 

 

Sei vorsichtig beim Installieren von eher unbekannten, neuen Apps und installiere Apps auschliesslich aus dem App-Store (iOS) bzw. Play-Store (Android).

 

 

 

Smartphone-Betriebssysteme (wie Android oder iOS) sind mittlerweile mindestens so komplex wie klassische Betriebssysteme für Desktop-Rechner (wie z.B. Windows). Das führt dazu, dass auch bei Smartphones regelmässig Sicherheitslücken auftauchen, die nur mittels Software-Update geschlossen werden können.

 

Wie oft solltest du anstehende Software-Updates für dein Smartphone durchführen?

Was kannst du tun, wenn dein Smartphone vom Hersteller keine Software-Updates mehr erhält?

 

 

Wenn du mit deinem Computer oder Smartphone im Internet surfst, hinterlässt du auf verschiedensten Websites Spuren deiner Aktivität. Das sind im Normalfall unbedeutende Informationsschnipsel die kaum etwas über dich aussagen.

Wenn es jedoch jemanden gelingt all diese Informationsschnippsel zusammenzutragen und dir zuzuordnen, kann ein sehr detailliertes Bild über dich, deine Freunde, deine Interessen, Träume und Ängste zustanden kommen.

 

Das kann im harmlosesten Fall dazu genutzt werden, dir Werbung anzuzeigen, welche deinen Interessen entspricht. In einem weniger günstigen Fall, kann jemand mit bösen Absichten diese Informationen aber auch gegen dich verwenden, um dich zu manipulieren oder gar zu erpressen. 

 

 

Für was verwenden Webseiten Cookies?

Cookies können beim Besuch einer Webseite im Browser gespeichert werden. Wie können Cookies verwendet werden um Dich zu tracken?

Alle modernen Browser besitzen heute eine sogenannten privaten Modus. Solange du in diesem Modus surfst, werden alle Cookies und dein Browserverlauf sofort nach dem Schliessen des Browsers gelöscht. Wenn du diesen Modus konsequent für alle Websites benutzt, bei denen du nicht angemeldet bist (also Nachrichtenwebsites und ähnliches), wird es deutlich schwieriger dich im Netz zu verfolgen.

Bei Seiten bei denen du sowieso eingeloggt bist (wie z.B. bei Faceboook) nützt dies hingegen nichts, da du dich mit dem Einloggen gegenüber der Website identifizierst.

 

Welchen Nebeneffekt hat der allgegenwärtige Like & Share-Button von Facebook (oder Twitter, Google) auf diversen nicht von Facebook betriebenen Dritt-Webseiten?

 

Unter dem Begriff Phishing versteht man Versuche, über gefälschte Webseiten, E-Mails oder Kurznachrichten an persönliche Daten eines Internet-Benutzers zu gelangen und damit Identitätsdiebstahl zu begehen. Du wirst also dazu verleitet auf einer Webseite die du fälschlicherweise für vertrauenswürdig hältst Daten einzugeben, welche dann von einer Fremden Person dazu benutzt werden, sich als dich auszugeben.

 

Einführungsvideo: 

 

Hier siehst du ein Beispiel einer Phishing-Email welche im letzten Jahr im Namen der SBB versendet wurde:

 

 

Im untenstehenden Bild siehst du, wie eine Betrügerwebsite (hilfeservice.com) vorzugaukeln versucht sie sei Paypal (paypal.com). Achte darauf, dass die Adresse direkt vor dem dritten Querstrich (/) immer mit dem richtigen Namen aufhört!

In diesem Fall also mit https://<irgendetwas>.paypal.com/

 

 

 

Wenn du im Internet eine Webseite aufrufst kann dies in zwei verschiedenen Modi passieren: Unverschlüsselt (http://) oder verschlüsselt (https://). Bei einer unverschlüsselte Verbindung gehen alle Inhalte die zwischen dir und der Webseite ausgetauscht werden im Klartext durchs Netz. Damit kann prinzipiell jeder alles mitlesen was du mit dem Server austauscht, solange er sich im selben Netzwerk wie du befindet, oder sich irgendwo im Internet zwischen dich und die Webseite schalten kann. Zusätzlich kann er Daten nicht nur mitlesen, sondern sogar verändern, ohne das dies technisch detektiert werden kann.

 

Um das Mitlesen und Datenmanipulation zu verhindern werden Verbindungen heute immer öfter verschlüsselt aufgebaut. Die Technologie dafür nennt sich TLS (Transport Layer Security), auch bekannt unter dem veralteten Namen SSL. Eine Verbindung die auf diese Weise aufgebaut wird, kann also weder von einer anderen Person mitgelesen noch verändert werden.

Welche Sicherheit gibt mir ein grünes Schloss in der Adresszeile

Verschiedene Anbieter von Messaging-Apps (z.B. WhatsApp, Threema, Signal etc.) werben für ihren Dienst damit, dass sie den Nutzern eine Ende-zu-Ende-Verschlüsselung (End-to-End Encryption) bieten.

 

Was bedeutet die Verwendung einer Ende-zu-Ende Verschlüsselung?