Am 12. September wird der Data Act der EU wirksam. Es steht zu befürchten, dass viele Unternehmen darauf kaum vorbereitet sind. In Episode 142 des c’t-Datenschutz-Podcasts diskutieren Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich mit Carolin Loy vom Bayerischen Landesamt für Datenschutzaufsicht über die weitreichenden Folgen der neuen Verordnung.

Der Data Act soll Datensilos aufbrechen und Nutzern Zugang zu Daten verschaffen, die bei der Verwendung vernetzter Geräte entstehen, vom Auto über die Kaffeemaschine bis zur Solaranlage. Bisher kontrollieren viele Hersteller diese Daten exklusiv. Künftig müssen sie sie auf Verlangen herausgeben, auch an Dritte. Die EU-Kommission erhofft sich davon jährlich mehr als 200 Milliarden Euro zusätzliches Wirtschaftswachstum durch neue datenbasierte Geschäftsmodelle.

Dilemma in der Praxis

Die praktische Umsetzung stellt Unternehmen vor massive Probleme. Sie müssen ab sofort Datenlizenzverträge mit Nutzern schließen und Schnittstellen zur Datenherausgabe schaffen. Die von der EU-Kommission versprochenen Mustervertragsklauseln existieren zehn Tage vor dem Stichtag nur als Entwurf. „Das schadet vor allem denjenigen, die das Gesetz anwenden müssen“, kritisiert Loy die mangelhafte Vorbereitung.

Besonders komplex stellt sich die Abgrenzung von personenbezogenen und nicht-personenbezogenen Daten dar. Bei personenbezogenen Daten greift weiterhin die DSGVO mit Vorrang. Das heißt, Unternehmen benötigen eine Rechtsgrundlage für die Herausgabe. Dies führt zu einem Dilemma: Verweigern sie die Herausgabe mangels Rechtsgrundlage, verstoßen sie möglicherweise gegen den Data Act. Geben sie Daten ohne Rechtsgrundlage heraus, verletzen sie die DSGVO.

Fehlende Aufsicht

Weitere Unsicherheit schafft die fehlende Aufsichtsstruktur. Deutschland hat noch keine zuständige Behörde für nicht-personenbezogene Daten benannt. Ein Referentenentwurf vom Jahresanfang sah die Bundesnetzagentur vor, für personenbezogene Daten sollte die Bundesbeauftragte für Datenschutz zentral zuständig sein, was die föderale Aufsichtsstruktur der Datenschutzaufsicht aushebeln würde. Nach der vorgezogenen Bundestagswahl im Februar wurde der Entwurf der damaligen Ampelkoalition obsolet, ein neuer liegt noch nicht vor.

Expertin Loy empfiehlt Unternehmen dringend, ihre Datenbestände zu analysieren und zwischen personenbezogenen und anderen Daten zu trennen. Sie müssen Informationspflichten nach dem Data Act erfüllen und Verträge vorbereiten. Im Zweifel rät sie, vom Personenbezug auszugehen und Herausgabeanfragen zunächst kritisch zu prüfen.

Während die Diskutanten die Grundidee des Data Acts – mehr Datenzugang und Wettbewerb – durchaus begrüßen, kritisieren sie die Umsetzung. Gerade der Mittelstand sei mit der Flut neuer Digitalgesetze völlig überfordert, moniert Heidrich. Die komplexe Verzahnung mit der DSGVO schaffe mehr Rechtsunsicherheit als Klarheit.

Episode 142:

Hier geht es zu allen bisherigen Folgen:

(hob)

Sicherheitsforscher weisen auf eine Kampagne offenbar nordkoreanischen Ursprungs hin, die das Ziel hat, an neuen Jobs interessierten Personen Kryptowährung zu stehlen. Dabei kontaktieren falsche Personalvermittler Beschäftigte der Kryptobranche, etwa auf der Plattform LinkedIn, und bieten diesen neue Stellen an. Doch es geht nur darum, Zugang zu den PCs der Interessenten zu erlangen, um diese um digitale Güter zu erleichtern.

Nordkorea wird schon seit Langem vorgeworfen, mit dem Diebstahl von Kryptowährung sein sanktioniertes Waffenprogramm zu finanzieren. Die Regierung in Pyongyang bestreitet dies jedoch regelmäßig. Überwiegend wird Nordkorea beschuldigt, dass Agenten des Landes als falsche IT-Fachkräfte in zahlreichen US-Firmen per Homeoffice arbeiten, um mit ihren Gehältern Einnahmen für die nordkoreanische Regierung zu generieren. Diese Kampagne wurde offenbar auch auf Europa ausgeweitet. Im Herbst letzten Jahres warnte der Verfassungsschutz deutsche Firmen vor angeblichen Freelancern aus Nordkorea.

Betrug an Jobsuchenden

Jetzt berichtet Reuters von einer anderen Kampagne Nordkoreas zur Finanzierung des Landes. Durch „Social Engineering“ werden potenziell wechselwillige Mitarbeiter von vermeintlichen Personalvermittlern angesprochen, die ihnen neue Jobs anbieten. Ziele sind vorrangig in der Kryptobranche beschäftigte Personen, sodass es sich oft um Stellen mit Bezug zur Blockchain handelt. Oft wird ein Kontakt über Netzwerke wie LinkedIn oder auch Telegram hergestellt.

Betroffene beschreiben den Prozess nach der ersten Kontaktaufnahme als zunächst typischen Austausch über Einzelheiten zur Tätigkeit und der Vergütung. Dann aber versucht der vermeintliche Personalvermittler, den Bewerber auf eine obskure Webseite zu leiten, um dort einen Eignungstest durchzuführen und ein Video aufzuzeichnen. Vielen Interessenten kam dies verdächtig vor. Warum kein Bewerbungsgespräch auf einer bekannten Videoplattform wie Teams oder Zoom?

Während die meisten der Betroffenen den Kontakt an dieser Stelle abgebrochen haben, berichtet ein Produktmanager einer US-Kryptofirma, der anonym bleiben wollte, dass er den Anweisungen des angeblichen Personalvermittlers gefolgt ist und das Video aufgenommen hat. Am Abend desselben Tages stellte er jedoch fest, dass seiner digitalen Wallet, die er auf seinem Computer speichert, Ethereum und Solana im Wert von rund 1000 US-Dollar fehlten. Das LinkedIn-Profil des angeblich bei der Blockchainfirma Ripple Labs beschäftigten Personalvermittlers war ebenfalls verschwunden.

„Contagious Interview“ ist keine neue Kampagne

Ripple Labs hat sich nicht zu dem Fall geäußert, aber das ebenfalls für diese Zwecke genutzte Finanzunternehmen Robinhood erklärte auf Anfrage, dass es sich „einer Kampagne Anfang des Jahres bewusst ist, bei der versucht wurde, sich als mehrere Krypto-Unternehmen auszugeben, darunter Robinhood“. Die Firma hat bereits verschiedene Domains abschalten lassen, die für diese Betrugsversuche genutzt wurden. LinkedIn schreibt in einer Stellungnahme, dass die bislang bekannten Profile der vermeintlichen Personalvermittler zuvor bereits gelöscht worden waren.

Die Idee dieser Kampagne ist allerdings nicht neu. Schon im November 2023 entdeckten die Sicherheitsforscher der Unit 42 der Palo Alto Networks eine als „Contagious Interview“ bezeichnete Kampagne. Dabei hatten sich böswillige Akteure als Arbeitgeber ausgegeben, zumeist anonym oder mit vager Identität, um Softwareentwickler im Rahmen des Bewerbungsprozesses zur Installation von Malware zu verleiten. Dadurch konnten Angreifer verschiedene Daten oder eben auch Kryptowährung stehlen. Schon damals waren sich die Sicherheitsforscher relativ sicher, dass Contagious Interview von einem staatlich unterstützten Akteur Nordkoreas betrieben wurde.

(fds)

Cyberkriminelle und staatliche Angreifer setzen immer häufiger auf KI zur Unterstützung ihrer digitalen Attacken. Wie sehr ihnen Veröffentlichungen von Sicherheitsforschern dabei die Arbeit erleichtern, haben nun Sicherheitsforscher von Trend Micro untersucht. Sie spannten unbeschränkte Large Language Models (LLMs) ein, um anhand eigener Blog-Beiträge Malware zu schreiben.

Dass sich Schadsoftware-Autoren Inspiration bei ihren Gegenspielern in Sicherheitsunternehmen holen, ist bekannt, etwa aus den Conti-Leaks. Die Befürchtung: Mit KI-Unterstützung müssen Cyberkriminelle mittlerweile weder lesen noch programmieren können. Sie verfüttern einfach detaillierte Sicherheitsanalysen an ein LLM und lassen sich Schadsoftware schreiben. Ob das klappt, untersuchten Mitarbeiter der Securityfirma Trend Micro.

Dazu nahmen sie die Softwaresammlung einer in Asien und Lateinamerika aktiven Cyberbedrohung namens „Earth Alux“ als Vorbild für eine Nachahmer-Malware. In ihrem Experiment nutzten die Forscher LLMs, die keine Beschränkungen (Guardrails) gegen die Erstellung maliziöser Programme enthalten. Die mussten sie mitnichten in dunklen Ecken besorgen – sie stehen auf Hugging Face zum Download zur Verfügung. Der resultierende Quellcode benötigte jedoch noch etwas Nacharbeit, die kriminelle Karriere bedarf also nach wie vor etwas Fachwissens. Doch ähnelte der Schadsoftware-Klon seinem Vorbild in jedem veröffentlichten Detail.

Trittbrettfahren leichtgemacht

Attraktiv scheint dieses „Nachahmer-Vibecoding“ also nicht vorrangig für Einsteiger ins digitale Verbrechen, sondern eher für Gruppierungen, die Ermittler auf falsche Fährten locken wollen. So könnten sie Angriffe mittels nachgeahmter Taktiken, Techniken und Prozeduren (TTPs) einer feindlichen Gruppe unterschieben, was die ohnehin oft wacklige und chaotische Attributierung weiter erschwert.

Schon heute bedienen sich Angreifergruppen derlei Taktiken, mutmaßliche Nordkoreaner streuen etwa russische Codeschnipsel in ihre Schadsoftware ein. Doch Vibe Coding anhand von Security-Artikeln erlaubt ihnen eine präzisere und vor allem effizientere Nachahmung, so die Trend-Micro-Analyse.

Kein Grund für Maulkörbe

Doch die Autoren des Blog-Artikels warnen vor voreiligen Reaktionen und betonen, man dürfe nicht aufhören, über Sicherheitsbedrohungen zu sprechen und schreiben. Es sei wichtiger denn je, Informationen über Angriffe und Bedrohungen zu veröffentlichen, man müsse jedoch der Gefahren gewahr sein. Herausgeber von Sicherheitsmeldungen oder -analysen müssten untersuchen, ob die veröffentlichten Details zum Vorgehen der Angreifer eine KI-gestützte Nachahmung ermöglichten. Zudem erschwere Vibe Coding die Zuordnung von Angriffen zu Angreifergruppen weiter.

(cku)