Connect with us

Datenschutz & Sicherheit

Phishing-Opfer geht leer aus: Versicherung lehnt SMS-Betrug ab


Das Landgericht Bielefeld hat in einem Betrugsfall einer Bankkundin, die per SMS auf eine gefälschte Website gelockt wurde, die engen Grenzen des Versicherungsschutzes bei digitalen Betrugsmaschen verdeutlicht. Im Kern geht es darum, dass eine Hausratversicherung mit „Internetzschutz“, die explizit das Phishing durch gefälschte E-Mails abdeckt, keine Schäden reguliert, die durch SMS-Phishing entstehen. Das geht aus einem Hinweisbeschluss der Bielefelder Richter vom 25. September hervor (Az.: 22 S 81/25), über den der IT-Rechtler Jens Ferner und Beck Aktuell berichten.

Weiterlesen nach der Anzeige

Die Volksbank-Kundin hatte eine täuschend echte SMS erhalten, die sie zur Verlängerung der Registrierung ihrer App fürs Online-Banking, der Anwendung VR-SecureGO Plus, aufforderte und sie auf eine gefälschte Login-Seite weiterleitete. Dort gab die Betroffene ihre Zugangsdaten ein und autorisierte so über ihre Legitimations-App unwissentlich die Erstellung einer digitalen Girocard durch die Betrüger, die diese anschließend für Einkäufe in Höhe von fast 5000 Euro nutzten.

Nachdem die Bank eine Erstattung wegen grober Fahrlässigkeit abgelehnt hatte, scheiterte die Klage gegen die Versicherung nicht nur vor dem Amtsgericht Halle/Westfalen. Auch die Berufung vor dem Landgericht ist laut dessen Beschluss aussichtslos, da sie „offensichtlich keine Aussicht auf Erfolg“ habe.

Eine SMS ist keine E-Mail

Den Bielefelder Richtern zufolge differenzieren die Allgemeinen Versicherungsbedingungen (AVB) der Police, die den Schutz regeln, klar zwischen SMS und E-Mail. Demnach ist eine mobile Kurznachricht „keinesfalls gleichartig“ zu einer E-Mail. Das Landgericht betont, dass SMS im Gegensatz zu E-Mails durch ihren Textumfang begrenzt seien und vor allem die Absenderadresse bei einer E-Post Rückschlüsse auf den Absender zulasse. Eine Rufnummer biete diese Möglichkeit bei der SMS nicht.

Lesen Sie auch

Die Argumentation der Kundin, „E-Mail“ sei als Oberbegriff für elektronische Nachrichten zu verstehen, wies die höhere Instanz zurück. Vielmehr fungiere „elektronische Nachricht“ als Oberbegriff für E-Mails, SMS und Messenger-Nachrichten. Damit habe der klare Wortlaut der Bedingungen einen Phishing-Angriff, der per SMS begann, vom Versicherungsschutz ausgeschlossen.

Zudem scheiterte die Klägerin mit dem Versuch, den Vorfall unter den versicherten Begriff des Pharming zu fassen. Eine solche Manipulation der DNS-Anfragen von Webbrowsern setzt laut der 22. Zivilkammer des Landgerichts voraus, dass die Kundin oder der Kunde im Glauben an die Echtheit einer gefälschten Bank-Webseite einen unmittelbaren Zahlungsvorgang ausführen. Die klagende Kundin hatte aber lediglich das Erstellen einer digitalen Girocard autorisiert. Die späteren Schäden seien so nur mittelbar entstanden.

Weiterlesen nach der Anzeige

Das Kleingedruckte ist entscheidend

Auch technisch liegt dem Beschluss nach kein Pharming vor, da dabei der korrekte Aufruf einer Website etwa durch Beeinflussung der Hosts-Datei oder des DNS-Servers umgeleitet werde. Die Kundin sei hier aber durch einen verfälschten Link zur Weitergabe ihrer Daten verleitet worden, was technisch als Phishing zu werten sei.

Die Entscheidung des Landgerichts zeigt, wie eng die Versicherungsbedingungen ausgelegt werden und dass die Versicherer ihre Haftung durch präzise Definitionen der Betrugsmaschen begrenzen. Der Jurist Ferner sieht darin einen wichtigen Hinweis an Verbraucher: Mit dem Fall werde erneut deutlich, „wie wichtig es ist, die Versicherungsbedingungen genau zu lesen“. Viele Kunden gingen angesichts allgemeiner Beschreibungen wie „Internet-Schutz“ davon aus, dass ihre Police sie umfassend vor Betrug im digitalen Zahlungsverkehr schütze. Doch bereits kleine Unterschiede in der Art des Angriffs könnten darüber entscheiden, ob ein Schaden erstattet wird oder nicht.

Ferner zeigt sich damit ein großes Dilemma: Versicherte schließen einen einschlägigen Vertrag ab, um im Schadensfall eine Leistung zu erhalten. Die andere Seite lebe davon, nicht zu zahlen. Die Konsequenz sei, dass Versicherungsnehmer ihre Policen kritisch auf alle relevanten Angriffsvektoren prüfen und nicht nur auf deren Preis achten müssten. Ansonsten bestehe im Schadensfall möglicherweise keine Deckung. Generell fasste der Bundesgerichtshof die Möglichkeiten für Schadenersatz für Phishing-Opfer schon 2012 sehr eng.


(afl)



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Schadcode- und Passwortlücken bedrohen Dell ControlVault3


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Verschiedene Dell-Computer, auf denen ControlVault 3 installiert ist, sind angreifbar. Um möglichen Attacken vorzubeugen, sollten Admins die Anwendung zeitnah auf den aktuellen Stand bringen.

Weiterlesen nach der Anzeige

Sicherheitspatch installieren

Dell ControVault3 ist eine hardwarebasierte Sicherheitslösung, die Zugangsdaten wie Passwörter und biometrische Daten speichert. Nun könnten Angreifer nach erfolgreichen Attacken auf diese Daten zugreifen.

In einer Warnmeldung listet der Computerhersteller insgesamt sieben Sicherheitslücken auf. Diese stecken in der Broadcom-Firmware und den -Treibern. In dem Beitrag finde sich auch die bedrohten Laptopmodelle wie Latitude 7330, Precision 7780 und Pro 13 Plus PB13250. Die Entwickler versichern, ControlVault3 6.2.36.47 abgesichert zu haben. Alle vorigen Versionen seien verwundbar.

Am gefährlichsten gelten zwei Lücken (CVE-2025-36553 „hoch„, CVE-2025-32089 „hoch„), an der Angreifer mit einem präparierten ControlVault-API-Call an die CvManager-Funktionalität ansetzen können. Das führt zu einem Speicherfehler (Buffer overflow) und darüber kann Schadcode auf Systeme gelangen. Danach gelten Computer in der Regel als vollständig kompromittiert.

Eine weitere Schwachstelle (CVE-2025-31649) mit dem Bedrohungsgrad „hoch“ kann unerlaubte Zugriffe ermöglichen. Der Grund dafür ist ein hartkodiertes Passwort. Weiterhin können sich Angreifer höhere Rechte verschaffen (CVE-2025-31361 „hoch„).

Bislang gibt es keine Berichte, dass Angreifer die Lücken bereits ausnutzen. Weil ein Passwortspeicher ein äußerst lohnendes Ziel für Cyberkriminelle ist, sollten Admins das Sicherheitsupdate zügig installieren. Andernfalls können sich Angreifer nach einer erfolgreichen Attacke weitreichenden Zugriff auf Firmen-PCs verschaffen.

Weiterlesen nach der Anzeige

Erst kürzlich haben Dells Entwickler Sicherheitslücken in Alienware Command Center geschlossen.


(des)



Source link

Weiterlesen

Datenschutz & Sicherheit

Windows 10: Out-of-Band-Update behebt Probleme mit erstem ESU-Update


Im November stand das erste monatliche Sicherheitsupdate nach dem offiziellen Windows-10-Support-Ende an, das im Rahmen des erweiterten Supports erhältlich ist. Allerdings läuft das nicht rund, sodass Microsoft sich zur Veröffentlichung eines weiteren Updates außer der Reihe genötigt sieht.

Weiterlesen nach der Anzeige

Im Windows Message Center erklärt Microsoft, dass einige Windows-10-22H2-Installationen im kommerziellen Bereich, die für die Extended Security Updates (ESU) angemeldet sind, Probleme bei der Installation des Sicherheitsupdates für den November haben. Am November-Patchday hat Microsoft vor einer Woche für Windows 10 das Update mit der KB-Nummer KB5068781 veröffentlicht, das diverse Sicherheitslücken im Betriebssystem schließt.

Bei der Installation kann in den beobachteten Fällen die Fehlermeldung „0x800f0922 (CBS_E_INSTALLERS_FAILED)“ erscheinen und der Vorgang abbrechen. „Das Problem ist begrenzt auf Maschinen, deren Windows-Betriebssystemlizenzen mittels Windows Subscription Activation im Microsoft 365 Admin Center aktiviert wurden“, erklärt Microsoft weiter. „Betroffene Einrichtungen können das Problem lösen, indem sie das Update KB5072653 ‚Extended Security Updates (ESU) Licensing Preparation Package for Windows 10‘ installieren, das am 17. November veröffentlicht wurde“, erörtern die Redmonder, „nachdem Sie das Vorbereitungspaket (KB5072653) installiert haben, sind Sie in der Lage, das Sicherheitsupdate aus dem November 2025 (KB5068781) zu verteilen“.

Nicht die ersten Probleme mit dem erweiterten Windows-10-Support

Für Organisationen, die anhand von .cab-Dateien Compliance-Prüfungen vornehmen, will Microsoft in Kürze ein neues „Scan Cab“ bereitstellen. Es handelt sich bei dem jetzt gemeldeten Problem mit der Installation des November-Sicherheitsupdates nicht um die ersten Zipperlein mit dem erweiterten Support für Windows 10.

In der vergangenen Woche hatte Microsoft bereits ein Update außerhalb der Reihe für Windows 10 22H2 veröffentlicht. Es korrigiert ein Problem auf Rechnern mit Windows-Home- und -Pro-Lizenzen. Bei denen konnte zuvor der Einrichtungsprozess für den erweiterten Support fehlschlagen. Auf Rechnern, bei denen das der Fall war, bietet Microsoft daher das Out-of-Band-Update KB5071959 an, nach dessen Installation sich die Support-Verlängerung für ein Jahr einrichten lässt.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Google Chrome: Angriffe auf Sicherheitslücke laufen, jetzt aktualisieren


Im populären Webbrowser Chrome attackieren bösartige Akteure eine hochriskante Sicherheitslücke. Google stellt ein Update außer der Reihe bereit, das die Schwachstelle ausbessert. Chrome-Nutzerinnen und -Nutzer sollten die Aktualisierung zügig installieren.

Weiterlesen nach der Anzeige

Davor warnt Google in der Meldung des Updates. Details nennt das Unternehmen wie üblich nicht, lediglich die grobe Beschreibung, dass es sich um eine Schwachstelle der Art „Type Confusion“ in der Javascript-Engine V8 handelt (CVE-2025-13223). Bei einer Type-Confusion passen die genutzten Datentypen nicht zueinander, was zu Speicherzugriffen außerhalb vorgesehener Grenzen führen kann. Laut Schwachstellenbeschreibung können Angreifer mit sorgsam präparierten Webseiten heap-basierte Störungen provozieren, was in diesem Fall offensichtlich zur Ausführung von eingeschleustem Code führt. Ein Angriffsvektor steht ebenfalls bereit: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Er führt zu einem CVSS-Wert von 8.8, was dem Risiko „hoch“ entspricht und nur ganz knapp die Bewertung „kritisch“ verpasst. Wie die Angriffe aussehen und in welchem Umfang sie auftreten, erörtert Google nicht.

Die aktualisierte Browser-Fassung stopft noch ein weiteres Sicherheitsleck. Es handelt sich um eine weitere Type-Confusion-Schwachstelle in der V8-Javascript-Engine. Der Angriffsvektor ist identisch zur bereits angegriffenen Lücke und führt für CVE-2025-13224 zu einem CVSS-Wert von 8.8, Risiko „hoch„.

Aktualisierte Brwoserversion stopft Sicherheitslecks

Google beseitigt die Sicherheitslücken in den Chrome-Versionen 142.0.7444.175 für Linux, 142.0.7444.176 für macOS und 142.0.7444.175/.176 für Windows. Ob sie bereits installiert sind, lässt sich über den Versionsdialog herausfinden.

Den erreicht man durch Öffnen des Browser-Einstellungsmenüs durch Klick auf die drei übereinandergestapelten Punkte rechts der Adressleiste. Dort geht es weiter zu „Hilfe“ und schließlich zu „Über Google Chrome“. Das zeigt die aktuell laufende Version an und startet den Update-Prozess, sofern eine aktuellere Fassung vorliegt. Unter Linux ist die Softwareverwaltung der Distribution für Updates verantwortlich und sollte zur Suche nach Aktualisierungen aufgerufen werden.

Andere Webbrowser, die den Chromium-Code verwenden, dürften in Kürze ebenfalls mit einem Update ausgestattet werden, da die Schwachstelle wahrscheinlich auch darin vorhanden ist. Daher sollten diejenigen, die etwa Microsoft Edge einsetzen, auch regelmäßig den Versionsdialog aufrufen und schauen, ob ein Update bereitsteht.

Weiterlesen nach der Anzeige

Zuletzt hatte Google eine bereits aktiv angegriffene Schwachstelle in Chrome Mitte September des Jahres ausbessern müssen. Auch da fand sich eine Lücke in der Javascript-Engine V8.


(dmk)



Source link

Weiterlesen

Beliebt