Connect with us

Künstliche Intelligenz

Das heise-security-Webinar zu NTLM & Kerberos


Das Active Directory (AD) bildet das Herzstück fast jeder Unternehmens-IT. Doch dessen Sicherheit fußt auf zwei überalterten und deshalb unsicheren Techniken: der Authentifizierung via NTLM und Kerberos. Wer hier nicht gezielt nachbessert, wird bestraft, denn Kriminelle nutzen diese Schwachstellen routinemäßig, um sich Zugang zu höheren Rechten und wichtigen Daten im Firmennetz zu verschaffen. Unser Webinar zeigt, wo die Probleme liegen, und was Sie dagegen machen können; noch bis zum 31. Januar können Sie Ihr Ticket zum reduzierten Frühbuchertarif buchen.

Weiterlesen nach der Anzeige

Obwohl Microsoft das Ende von Net-NTLM (kurz NTLM) bereits angekündigt hat, bleibt das veraltete Protokoll im Alltag allgegenwärtig – und wird Administratoren wohl noch Jahrzehnte begleiten. Da es sich leicht angreifen lässt, spielt NTLM bei Sicherheitsvorfällen oft eine entscheidende Rolle. Doch auch Kerberos, das eigentlich als sicher gilt, ist von Schwachstellen geplagt. Wegen des von Microsoft eingesetzten, veralteten Verschlüsselungsverfahrens RC4 lassen sich schwache Passwörter damit in kürzester Zeit offline knacken.

Administratoren müssen daher genau verstehen, wo die Schwachstellen beider Protokolle liegen, welche Risiken sie für das eigene Netzwerk bedeuten und wie sie die Gefahren minimieren. Dieses dreistündige heise-security-Webinar erklärt Ihnen nicht nur, warum Kerberos und NTLM weiterhin Probleme bereiten. Referent Frank Ully demonstriert praxisnah, wie Angreifer im AD nicht nur die Kommunikation kapern (Attacker-in-the-Middle, AitM), sondern gezielt Anmeldeversuche erzwingen (Coercion). Er zeigt die verheerenden Folgen von Relaying-Angriffen auf Dateiserver, Domänencontroller und Zertifikatsdienste.

Anschließend erläutert Ully die bewährten Konzepte, um sich schrittweise aus der Gefahrenzone zu bringen. Dazu präsentiert er die notwendigen Gegenmaßnahmen und erklärt, warum deren Umsetzung in der Praxis oft hakt. Das mündet in ein Konzept, mit dem Sie Ihr eigenes Netz schrittweise absichern und verbleibende Restrisiken weitestmöglich einschränken. Ob erfahrener Sicherheitsexperte oder Administrator einer gewachsenen Domäne: Nach diesem Webinar verstehen Sie die Risiken der AD-Authentifizierung und wissen, wie Sie die Lücken effizient schließen.

Das Webinar findet statt am 26. Februar und dauert insgesamt etwa drei Stunden, in denen auch viel Raum für Fragen der Teilnehmer vorgesehen ist. Wie bei allen heise security Events ist die Veranstaltung komplett werbefrei und unabhängig. Sie richtet sich an Administratoren und Sicherheitsverantwortliche in Unternehmen und Behörden aller Größen, die ein AD betreiben. Die Teilnahme kostet aktuell 195 Euro; ab dem 1. Februar erhöht sich der Preis auf 225 Euro. Mitglieder von heise security PRO können natürlich kostenlos daran teilnehmen (ihr erhaltet die Informationen dazu wie üblich über den exklusiven Security-Newsletter am Donnerstag und im PRO-Forum).

Weitere Informationen zum Webinar und die Möglichkeit, sich anzumelden gibt es auf der Webseite zu:

Weiterlesen nach der Anzeige

Die Mitgliedschaft bei heise security PRO umfasst übrigens die kostenlose Teilnahme an allen heise security Webinaren und die alljährliche heise security Tour. Mehr Informationen zu heise security PRO finden Sie hier:


heise Security Pro

heise Security Pro


(ju)



Source link

Künstliche Intelligenz

Tauziehen um Behörden-Cloud: Google verzögert deutsche Souveränitätspläne


Der Plan der Bundesregierung, die digitale Infrastruktur der Verwaltung zu modernisieren und unabhängiger von US-Giganten zu gestalten, droht zu stocken. Eigentlich sollten die Größen SAP und Deutsche Telekom den Zuschlag für den Aufbau einer souveränen Cloud-Lösung nebst einer Bürger-App erhalten. Doch laut der FAZ hat ein Konsortium um den Suchmaschinenriesen Google in letzter Minute Beschwerde dagegen eingelegt.

Weiterlesen nach der Anzeige

Damit steht ein prestigeträchtiges Projekt mit einem Gesamtvolumen von rund 250 Millionen Euro über vier Jahre vor einer juristischen Pause. Für Digitalminister Karsten Wildberger (CDU) ist das ein Rückschlag. Seit seinem Amtsantritt forciert der Ex-Manager eine einheitliche Struktur für digitale Anwendungen in Bund, Ländern und Kommunen, um das staatliche Vernetzungsproblem zu lösen.

Bisher gleicht die deutsche IT-Landschaft einem Flickenteppich. Viele Behörden verwalten Daten auf Servern in Kellern der Rathäuser, statt Cloud-Systeme zu nutzen. Wildberger schwebt eine professionelle und vor allem geopolitisch belastbare Infrastruktur vor, die auch bei internationalen Krisen voll funktionsfähig bleibt.

Dass Google bei dem Großauftrag zunächst leer ausgegangen ist, lag der FAZ zufolge wohl an formalen Hürden. Demnach durfte das Angebot des Konsortiums, dem auch der Dortmunder IT-Dienstleister Adesso angehört, aufgrund von Fehlern von der unabhängigen Vergabestelle nicht in die engere Auswahl genommen werden. Dies soll nun die Vergabekammer im Rahmen eines Eilverfahrens prüfen. Google selbst hält sich bedeckt und verweist auf seine Partner.

Der Vorstoß sorgt für Unruhe. Das Verfahren könnte sich durch den Streit monatelang verzögern. Im Falle weiterer Klagen droht jahrelanger Stillstand.

Die Regierung sorgt sich zunehmend wegen der Abhängigkeit von US-Riesen wie Microsoft, Amazon und Google. Der deutsche Staat könnte handlungsunfähig werden, sollten diese gezwungen sein, Dienste abzuschalten oder Daten herauszugeben. Um das Risiko zu minimieren, setzt Wildberger auf Redundanzen vor Ort. So sollen auch die Firmen SVA und Schwarz Digits zu 30 Prozent an dem Auftrag beteiligt werden.

Weiterlesen nach der Anzeige

Dabei geht es nicht um Abschottung, sondern Kontrolle. Wie ein solcher Spagat aussehen könnte, will die Bundeswehr zeigen, die Google-Dienste unter Auflagen nutzt. In einem „Air-Gapped“-System betreibt das Militär private Cloud-Instanzen in eigenen Rechenzentren, die physisch vom offenen Internet getrennt sind.

Beim aktuellen Auftrag floss der Aspekt Souveränität erstmals stärker in die Vergabe ein, während der Preis weniger gewichtet wurde. Das erschwert es finanzstarken US-Konzernen, Konkurrenten über Kosten auszustechen.

Die neue Cloud-Struktur soll die Basis für eine Reihe von Anwendungen bilden, die den Alltag erleichtern. Ab Januar ist die Einführung einer digitalen Brieftasche auf Basis der EUDI-Wallet geplant, in der Ausweis und Führerschein auf dem Smartphone gespeichert werden können.

Deutschland ist mit dem Streben nach digitaler Eigenständigkeit nicht allein. In Frankreich existiert mit dem Siegel SecNumCloud ein Standard für sensible Daten. Er soll sicherstellen, dass Informationen nur in der EU verarbeitet werden und vor Gesetzen wie dem US Cloud Act geschützt sind. Kooperationen mit Hyperscalern sind trotzdem nicht ausgeschlossen. So betreiben SAP und der französische Konzern Thales eine von Google gestützte, aber unter europäischer Aufsicht stehende Cloud.


(wpl)



Source link

Weiterlesen

Künstliche Intelligenz

Mehrheit will die EUDI-Wallet, kaum jemand erfüllt die Voraussetzungen


Die Mehrheit der Bundesbürger interessiert sich laut einer Umfrage des Digitalverbands Bitkom für die geplante Identitätswallet der EU (EUDI). Demnach wollen mehr als die Hälfte der Befragten (54 Prozent) die EUDI-Wallet verwenden, sobald sie ab 2. Januar 2027 verfügbar ist. 39 Prozent hingegen zeigen sich an der digitalen Brieftasche nicht interessiert, 6 Prozent sind unentschlossen.

Weiterlesen nach der Anzeige

Die Umfrage ergab außerdem, dass die meisten Bürger die digitale Brieftasche aber noch gar nicht verwenden könnten, weil dafür die aktivierte Online-Funktion des deutschen Personalausweises (eID) nötig ist. Laut Bitkom haben derzeit nur 18 Prozent die eID aktiviert und kennen ihre dazugehörige PIN. Weitere 21 Prozent haben zwar die Online-Funktion freischalten lassen, kennen ihre PIN aber nicht oder nicht mehr. Mit 57 Prozent hat mehr als die Hälfte die Online-Funktion noch nicht aktiviert, weitere 5 Prozent wissen es nicht oder wollen keine Angaben machen.

„Wer seine eID nicht aktiviert hat oder seine PIN nicht mehr kennt, steht am Starttag vor verschlossenen Türen. Die Bundesregierung sollte gemeinsam mit den Verwaltungen vor Ort eine breit angelegte Aktivierungs- und Informationskampagne zum elektronischen Personalausweis starten.“, kommentierte Bitkom-Präsident Ralf Wintergerst die Ergebnisse. Er forderte, dass die Aktivierung der eID und die PIN-Rücksetzung so einfach und so digital wie möglich sein müsse.

Häufigstes Einsatzgebiet (61 Prozent) ist für alle an der Nutzung Interessierten die Möglichkeit, Ausweis, Führerschein oder ähnliche Karten künftig digital auf dem Smartphone bei sich zu tragen. 57 Prozent der Interessierten wollen damit Verträge oder Rechnungen digital unterzeichnen und genauso viele die eigene Identität digital nachweisen, etwa bei Behördenangelegenheiten oder der Online-Eröffnung eines Bankkontos. 52 Prozent bevorzugen dabei klar Wallet-Apps von staatlichen Stellen wie dem Bund. Voraussichtlich ab 2028 sollen auch möglich sein.

Für die Umfrage wurden 1004 Personen ab 16 Jahren in Deutschland telefonisch befragt, das Ergebnis ist laut Bitkomangaben repräsentativ. Erst kürzlich hatte eine andere Bitkomumfrage noch ergeben, dass mit 52 Prozent der Bevölkerung eine deutliche Mehrheit überhaupt noch nie von der digitalen Brieftasche gehört hat. Damit die Einführung in Deutschland ein Erfolg werden kann, dürfte also noch staatliche Aufklärungsarbeit nötig sein.


(axk)



Source link

Weiterlesen

Künstliche Intelligenz

Team hinter „Magic: The Gathering Arena“ will eine Gewerkschaft gründen


Beschäftigte der Hasbro-Tochtergesellschaft Wizards of the Coast haben am Montag angekündigt, sich gewerkschaftlich organisieren zu wollen. Wizards of the Coast entwickelt und vertreibt unter anderem das Sammelkartenspiel „Magic: The Gathering“ und dessen digitalen Ableger „Magic: The Gathering Arena“ sowie das Pen-&-Paper-Rollenspiel „Dungeons & Dragons“.

Weiterlesen nach der Anzeige

Die Gruppe nennt sich „United Wizards of the Coast“ und hat einen offenen Brief an die Geschäftsführung geschickt, in dem sie die Anerkennung ihrer Gewerkschaft fordert. Laut dem Guardian handelt es sich um mehr als hundert Beschäftigte des Teams, das „Magic: The Gathering Arena“ entwickelt. Im Brief heißt es, eine große Mehrheit des Teams stehe hinter den Gewerkschaftsbemühungen.

Die Beschäftigten wollen eine eigene Einheit unter dem Dach der Communications Workers of America (CWA) gründen, einer großen US-Gewerkschaft, die Beschäftigte aus Branchen wie Telekommunikation, Medien und zunehmend auch der Tech- und Spieleindustrie vertritt.

Die Gruppe fordert eine Anerkennung durch die Unternehmensführung bis zum 1. Mai und hat zugleich eine Wahlpetition beim National Labor Relations Board (NLRB) eingereicht, der in den USA für Gewerkschaftswahlen und die Durchsetzung von Arbeitsrechten zuständigen Bundesbehörde.

Die Petition dient als Druckmittel: Sie soll sicherstellen, dass die Anerkennung der Gewerkschaft zeitnah geklärt wird, und dient als rechtlich verbindliche Absicherung, falls das Unternehmen sie nicht anerkennt. Kommt es zu einer freiwilligen Anerkennung, will die Gruppe die Petition zurückziehen.

Die Gruppe fordert in ihrem Brief unter anderem besseren Schutz vor Entlassungen, klare Leitplanken für den Einsatz generativer KI, sowie Maßnahmen gegen verpflichtende Crunch-Phasen. Laut dem Bericht des Guardian sind die aktuellen Bestrebungen auch eine Reaktion auf eine geplante Büropflicht: Remote-Beschäftigte wurden demnach aufgefordert, zum Hauptsitz nach Washington umzuziehen, andernfalls drohe ihnen die Kündigung.

Weiterlesen nach der Anzeige

Die Gewerkschaftsbemühungen finden vor dem Hintergrund einer angespannten Lage in der Spieleindustrie statt, die von Entlassungswellen und wachsender Unsicherheit geprägt ist. Parallel dazu ist auch die Bundesbehörde NLRB, die in den USA für Gewerkschaftswahlen und die Durchsetzung von Arbeitsrechten zuständig ist, unter der Trump-Regierung unter politischen Druck geraten. Die CWA setzt deshalb neben klassischen Betriebsgewerkschaften auf andere Organisationsformen.

Mit United Videogame Workers-CWA hat sie seit 2025 eine Struktur speziell für Videospielentwickler aufgebaut, der Beschäftigte direkt beitreten können, auch wenn ihr Arbeitgeber die Gewerkschaft nicht anerkannt hat. Sie hat inzwischen fast 600 Mitglieder in den USA und Kanada. Das Modell ersetzt kein rechtlich anerkanntes Tarifmandat, soll aber Organisationsmacht aufbauen, ohne allein von Verfahren über das NLRB abhängig zu sein.


(tobe)



Source link

Weiterlesen

Beliebt