Backup & Security – Page 5

Sonos: Zwei-Faktor-Authentifizierung lässt weiter auf sich warten

Wer Sonos nutzt, schaut beim Thema Kontosicherheit momentan in die Röhre. Konkret geht es darum, dass Sonos bisher keine Zwei-Faktor-Authentifizierung (2FA) anbietet und Nutzer nach einer Passwortänderung nicht automatisch auf allen Geräten abgemeldet werden. Das ist nicht nur wegen des Sonos-Kontos als solchem interessant. Schließlich forciert man eine Web-App zur Steuerung des Systems.

Die Einführung der 2FA gestalte sich laut Sonos schwierig, da das System eng mit Drittanbietern verzahnt sei. Man befürchtet wohl, dass durch die zusätzliche Sicherheitsebene bestehende Integrationen von Musikdiensten oder Smart-Home-Partnern vor die Hunde gehen. Im Hintergrund wird zwar an einer Lösung gefummelt, aber ein Termin steht in den Sternen. Man suche noch nach der Balance zwischen Schutz und Bequemlichkeit.

Immerhin gibt es bei den aktiven Sitzungen eine kleine Neuerung, wie ich im Konto sehen konnte. Anstatt Nutzer bei einer Passwortänderung direkt überall rauszukegeln, setzt Sonos auf Eigeninitiative. Wer seine Verbindungen kappen möchte, findet unter den Kontoeinstellungen im Bereich für Drittanbieter-Verbindungen nun eine Option zum manuellen Abmelden.

Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.

BitUnlocker: Sicherheitsforscher umgehen BitLocker-Schutz

BitLocker sorgt mal wieder für Gesprächsstoff in der Sicherheitscommunity. Wer glaubt, mit den Microsoft-Patches vom Juli 2025 sei das Thema vom Tisch, irrt sich. Das Team von Microsoft STORM hatte damals einen Angriffsweg über die Windows-Wiederherstellungsumgebung WinRE aufgezeigt. Dabei wird der Bootmanager ausgetrickst: Er prüft ein legitimes Abbild, startet aber ein manipuliertes zweites Abbild, in dem eine Shell mit Zugriff auf das entschlüsselte Laufwerk wartet.

Sicherheitsforscher berichten davon, wie sie mit einem aktualisierten Tool namens BitUnlocker alles umgehen können. Das Problem liegt im Secure Boot begraben. Dieser Mechanismus prüft zwar die Signatur einer Datei, aber nicht deren Alter. Ein alter Bootmanager von vor dem Patchday im Juli 2025 besitzt ein gültiges Zertifikat und wird vom System anstandslos akzeptiert. Da Microsoft das alte Zertifikat aus praktischen Gründen nicht flächendeckend für ungültig erklärt hat, lässt sich so ein Downgrade-Angriff durchführen. Ein Proof of concept findet sich hier.

In der Praxis muss allerdings physischer Zugriff auf den Rechner gegeben sein. Ein Angreifer schiebt dem System über USB oder das Netzwerk den alten, anfälligen Bootmanager und eine manipulierte Konfigurationsdatei unter. Da das Zertifikat noch in der Datenbank des Mainboards hinterlegt ist, rückt der TPM-Chip den BitLocker-Schlüssel ganz normal heraus. Innerhalb weniger Minuten öffnet sich eine Kommandozeile mit vollem Zugriff auf die Daten.

Wer sich schützen will, kommt um eine PIN beim Systemstart nicht herum. Das bleibt die einzig wirklich verlässliche Methode gegen solche physischen Angriffe, wie die Forscher ausführen. Microsoft bietet allerdings einen Weg an, auf neuere Zertifikate zu migrieren und alte Versionen über eine Secure Version Number zu sperren.

BKA-Lagebild: Cyberkriminalität bleibt eine Dauerbaustelle

Obligatorisches Hackerbild

Das Thema Internetkriminalität ist und bleibt ein dickes Brett, das Innenminister Alexander Dobrindt und BKA-Vizepräsidentin Martina Link mit dem Bundeslagebild Cybercrime 2025 vorgelegt haben. Die nackten Zahlen sprechen eine deutliche Sprache, denn rund 334.000 Fälle wurden offiziell registriert. Dass die Dunkelziffer bei digitalen Angriffen deutlich höher liegt, dürfte jedem klar sein, der sich ein bisschen mit der Materie befasst.

Ein großer Faktor ist mittlerweile der Einsatz von künstlicher Intelligenz. Angreifer nutzen die Technik, um ihre Schadsoftware und Betrugsversuche schneller und professioneller zu gestalten. Auf der anderen Seite hilft KI zwar auch bei der Abwehr, aber das Wettrüsten ist in vollem Gange. Bei Ransomware gab es einen Anstieg um zehn Prozent auf 1.041 angezeigte Fälle. Die Kriminellen forderten dabei Summen, die sich insgesamt auf etwa 15,5 Millionen US-Dollar (14,3 Millionen Euro) beliefen. Immerhin scheint die Vorsorge in den Betrieben besser zu greifen, da seltener gezahlt wurde als früher.

Massiv zugenommen haben die sogenannten DDoS-Attacken. Hier gab es ein Plus von 25 Prozent auf über 36.700 Vorfälle. Vor allem Behörden und Logistikfirmen standen im Visier von Hacktivisten, die Systeme durch Überlastung lahmlegen wollten. Beim klassischen Phishing ist die Kurve zwar leicht rückläufig, aber mit über 382.000 gemeldeten Mails bei der Verbraucherzentrale NRW bleibt das Risiko für Nutzer weiterhin hoch. Es zeigt sich einmal mehr, dass man im Netz ständig die Augen offenhalten muss, da die Methoden der Täter immer ausgefeilter werden.

Android: Mehr Sicherheit gegen Scam und Diebstahl

Google schraubt weiter an der Sicherheit von Android und hat für 2026 ein Paket geschnürt, worüber man aktuell in der Android Show informierte. Ein großes Thema sind manipulierte Bankanrufe, das sogenannte Spoofing. Künftig arbeitet das System direkt mit Banken zusammen, um eingehende Anrufe zu verifizieren. Wenn eine Nummer vorgaukelt, von der Hausbank zu kommen, das Finanzinstitut den Anruf im Hintergrund aber nicht bestätigt, bricht Android die Verbindung sofort ab. Das Ganze startet demnächst bei Revolut sowie Nubank und setzt mindestens Android 11 voraus.

Auch bei der Erkennung von Bedrohungen in Echtzeit legt Google nach. Die Live Threat Detection nutzt KI auf dem Gerät, um verdächtiges App-Verhalten aufzuspüren. Neu ist die Warnung vor Apps, die SMS heimlich weiterleiten oder das System überlagern, um Nutzer zu Fehlklicks zu verleiten. Unter Android 17 kommt ein dynamisches Monitoring hinzu, das merkt, wenn Apps plötzlich ihre Icons verstecken oder im Hintergrund die Barrierefreiheitsdienste missbrauchen. Chrome bekommt ebenfalls ein Upgrade und scannt APK-Dateien schon beim Download auf Malware, sofern das sichere Surfen aktiviert ist.

Der Diebstahlschutz wird in Android 17 ebenfalls griffiger. Wer sein Handy über das Find Hub als verloren markiert, kann den Zugriff nun zusätzlich per Biometrie absichern. Das hilft, wenn der Dieb den PIN-Code ausgespäht hat, denn ohne Fingerabdruck oder Gesichtsscan kommt er nicht weiter. Zudem werden Schnelleinstellungen ausgeblendet und neue Funkverbindungen unterbunden. In vielen Ländern werden diese Schutzfunktionen künftig standardmäßig aktiv sein. Um die Wiederbeschaffung zu erleichtern, lässt sich die IMEI bei Geräten ab Android 12 nun direkt über den Sperrbildschirm anzeigen, was der Polizei bei der Identifizierung hilft.

In Sachen Datenschutz gibt es unter Android 17 mehr Transparenz. Ein neuer Standort-Button erlaubt es, die genaue Position nur einmalig und temporär für eine bestimmte Aufgabe freizugeben, etwa für die Suche nach einem Café. Sobald die App geschlossen wird, erlischt der Zugriff. Ein Indikator am oberen Bildschirmrand zeigt zudem laufend an, wenn der Standort abgefragt wird. Ähnlich läuft es bei den Kontakten: Statt das komplette Adressbuch freizugeben, können Apps gezielt nur nach einzelnen Kontakten fragen.

Für die technische Basis führt Google die Betriebssystem-Verifizierung ein, die zunächst auf Pixel-Geräten startet. Damit lässt sich sicherstellen, dass eine offizielle Version von Android läuft und keine manipulierte Software untergeschoben wurde. Ein öffentliches Verzeichnis dient dabei als Beleg für die Echtheit der Google-Apps. Zudem schützt das System Einmalpasswörter in SMS, indem es diese für drei Stunden vor anderen Apps verbirgt. Auch der alte 2G-Standard kann künftig von Mobilfunkbetreibern standardmäßig deaktiviert werden, um Sicherheitslücken in veralteten Netzen zu schließen. Selbst gegen künftige Bedrohungen durch Quantencomputer rüstet man sich bereits mit neuer Kryptografie. Mal schauen, wie das dann alles im realen Leben aussieht und was genau davon wann in Deutschland startet.