"Jetzt ist guter Rat teuer" - Hilfestellung bei Mailintegration dringend gesucht

[#1]

Guten Tag !

Freiwillig gehe ich ja nicht im Urlaub an den Computer, ABER:

Zwei Kanzleien hat es  "erwischt", via "Outlook" ist ein Erpressungstrojaner "hereingekommen".

Ein "vertrauensvolles Systemhaus" hat auch die perfekte Datensicherung installiert, in einem Fall ein "NAS" und im anderen Fall ein USB-Laufwerk.

Beides hat der Trojaner gleich mitverschlüsselt, Daten und Backup sind unwiederbringlich verloren.

Eine der Kanzleien hat 30 Mitarbeiter, das ist ja schon recht groß.   Die Daten liegen aus Kostengründen nicht bei der DATEV.  Es sind etwa 2.500 Mandanten betroffen.

GOTTSEIDANK habe ich nur insofern damit zu tun, als ich durch eine von mir betreute Kanzlei auf die oben beschriebenen Umstände aufmerksam gemacht wurde.

... verbunden natürlich mit der Frage, "kann uns das auch passieren ?"

Tja, bis vor einem Jahr hatten wir auf "Outlook", "Virenscanner" und Internetzugriff für Windows verzichtet und die Mail den Benutzern per "optischer Firewall" präsentiert, durch Einblenden eines Unix-Fensters.

Bloß die Integration in die "Dok-Org" und die Datenübernahme waren sehr aufwendig.

Seit einem Jahr also "Outlook", zwar mit einigen Schwierigkeiten und grottenschlechter Performance ("VIWAS" läßt grüßen), aber immerhin sind die Benutzer zufrieden mit dem "Komfort".

Aber wir wissen auch:

- Schon die "Dokumentenvorschau" kann kompromittiert werden (Font-Schnittstelle)

- Unsere vollends korrunmpierte Bundesregierung kauft "Zero Day" - Schwachstellen auf anstatt Unternehmen darüber zu informieren

- Die Angriffe werden immer ausgefeilter

- "Virenschuz" richtet mehr Schaden an als daß es Nutzen bereitet

- Haftungsrechtlch befindet sich ein Steuerberater beim Einsatz von Exchande/Outlook bereits im Bereich "grobe Fahlässigkeit", von einer "ordnungsgemäßen Buchführung" kann man nicht mehr sprechen

- Der katastrophale Zustand ist hinlänglich auch weiten Teilen der Öffentlichkeit bekannt.

Also:  Exchange und Outlook müssen weg.

Was kann ich als benutzerfreundliche Alternative anbieten ?

Hat jemand eine Idee, die weiterentwickelt werden könnte ?

Das muß übrigens auch nicht umsonst sein.

Eine der betroffenen Kanzleien will jetzt die DATEV verklagen, weil jene NUR für "Outlook" die Integration anbietet und damit eine "Garantenstellung" (was immer das sein mag) einnimmt.  Aber das wird ausgehen wie das Hornberger Schießen resp. Schrems II.

Aber vielleicht hat doch jemand eine Idee ?

[#2]

---

@Koppelfeld schrieb:

"kann uns das auch passieren ?"

---

Ja, immer und überall und egal mit welchen Systemen. 

---

@Koppelfeld schrieb:

Also:  Exchange und Outlook müssen weg.

---

Weil andere Software fehlerfrei und lückenlos ist 🤔? Es macht für Angreifer nur keinen wirtschaftlichen Sinn Ziele anzugreifen, die von z.B. 0,1% der Menschheit genutzt werden, weil keiner zahlen wird. Wie bei Apple: Mag sein, dass die Systeme an sich etwas sicherer sind aber weil eben nahezu alle Windows nutzen, zumindest die Mehrheit, ist da mehr zu holen. Würden alle Linux nutzen, würde es auch vermehrt dort Angriffe geben. 

Angebot und Nachfrage beeinflussen sich. Wenn im Darknet mehr Schadprogramme für Linux und Co. angeboten werden, sinkt auch der Kaufpreis. Würde DATEV OpenOffice und Konsorten einsetzen, müssten alle Genossen halt OpenOffice einsetzen. Also min. +40.000 Anwender und schon lohnt sich wieder ein gezielter StB Angriff. 

---

@Koppelfeld schrieb:

Eine der betroffenen Kanzleien will jetzt die DATEV verklagen

---

Was für eine Zeit und Kostenverschwendung, die man 100x besser in jegliche andere Dinge investieren könnte: Schulungen, IT-Tests, mehr Awareness schaffen, Überprüfung der IT-Systeme und eine bessere Absicherung, Überlegung & Verbesserung der E-Mail Richtlinie, Überlegungen E-Mails zu minimieren dank anderer Systeme, TBC, ... 

Hauptsache, derjenige wird nicht an den Pranger gestellt oder entlassen. Das bringt nämlich nichts, weil es auch gut alle anderen hätten sein können. Zusammen einen Plan machen und gestärkt aus der Krise heraus. 

Good Luck ☘️ - I'm out ⤵️ - just my 2 Cents. 

[#3]

puhh 30 mitarbeiter….

was spricht dagegen outlook. mit exchange (oder einem Drittanbieter) hinter datevnet zu packen, den edv-betreuer zu wechseln oder direkt zu datev asp zu gehen?

100% sicherheit gibt es nicht..

[#4]

---

@metalposaunist  schrieb:

---

@Koppelfeld schrieb:

"kann uns das auch passieren ?"

---

Ja, immer und überall und egal mit welchen Systemen. 

---

@Koppelfeld schrieb:

Also:  Exchange und Outlook müssen weg.

---

Weil andere Software fehlerfrei und lückenlos ist 🤔? Es macht für Angreifer nur keinen wirtschaftlichen Sinn Ziele anzugreifen, die von z.B. 0,1% der Menschheit genutzt werden, weil keiner zahlen wird.

Bei "Outlook" hat man sich einfach zu viel vorgenommen.  Wem nützt denn "HTML-Mail" ?   Die war aus gutem Grund lange Zeit verpönt und ist es unter UNIX-sprechenden Menschen bis heute.  Wer schöne Fonts, Farben oder Signets will, meinetwegen auch animierte GIFs oder "Emoticons", sehr gerne:  Als Anhang.

Wenn aber schon während einer "Vorschau" ein HTML-Parser angeschmissen wird, dann ist die Büchse der Pandora offen.  Sie kennen natürlich die Lücke in der Adobe-Fontbibliothek ...

Unter "Outlook" ist ein Anhang schneller geöffnet als man gucken kann.

Wie bei Apple: Mag sein, dass die Systeme an sich etwas sicherer sind aber weil eben nahezu alle Windows nutzen, zumindest die Mehrheit, ist da mehr zu holen. Würden alle Linux nutzen, würde es auch vermehrt dort Angriffe geben.

Was ich mir schon sehr wünschen würde ist die Trennung der Systeme "Mailclient" und "WTS/Applikation".  Wenn es dann einmal knallt, dann knallt es lokal.

Ein "Flächenbrand", der von einem WTS auf den anderen und dann auf File- und Backupserver übergreift, ist der Super-GAU.

Angebot und Nachfrage beeinflussen sich. Wenn im Darknet mehr Schadprogramme für Linux und Co. angeboten werden, sinkt auch der Kaufpreis. Würde DATEV OpenOffice und Konsorten einsetzen, müssten alle Genossen halt OpenOffice einsetzen. Also min. +40.000 Anwender und schon lohnt sich wieder ein gezielter StB Angriff.

Anstatt spezielle RPCs zu bauen, hätte DATEV Lösungen bauen können, die beliebige Mail- und Officepakete integrieren.

---

@Koppelfeld schrieb:

Eine der betroffenen Kanzleien will jetzt die DATEV verklagen

Was für eine Zeit und Kostenverschwendung, die man 100x besser in jegliche andere Dinge investieren könnte:

Die haben da 5 Berufsträger und 2 Rechtsanwälte.  Die wollen ihre Probleme mit ihrem "Handwerkszeug" lösen.  Es geht wohl auch um die Abwendung der Haftung.

Hauptsache, derjenige wird nicht an den Pranger gestellt oder entlassen. Das bringt nämlich nichts, weil es auch gut alle anderen hätten sein können. Zusammen einen Plan machen und gestärkt aus der Krise heraus.

Die Mandanten sind nicht amüsiert und entlassen sich selbst.  Mir tun die Damen in dem Laden leid, das sind zwar keine Schönheiten, aber nette und intelligente Wesen hat es da.  Und die landen jetzt auf der Straße.

Aus dem Urlaub heraus habe ich empfohlen, zuallererst alle LUNs auszuhängen und von allen virtuellen Datenträgern forensische Kopieen zu machen.  Aber nein, sie haben schon Geisterjäger mit "Toolz" drangelassen.   Wenigstens hätte man nachgucken können, ob die Datenbankdateien noch einen Lock gehabt haben -- dann nämlich hätte der Trojaner nicht darauf zugreifen können.

Per P.N. habe ich einen interessanten Lösungsansatz bekommen, da werde ich hoffentlich berichten dürfen.   Aber zunächst bringe ich die letzten Tage meines Urlaubs zuende.  Denn gottseidank sind die armen Teufel nicht unsere Kunden.

[#5]

Gerade heute Abend - Jetzt: Ich sitz aktuell dabei und migriere einen Mailserver ( ca. 450 GB Mailbestand - alleine das ist schon Schwachsinn in Potenz) und lese diesen Post und ärgere mich, weil mir klar ist, was die kommenden Tage passiert.

Das übliche "Geschrei" in der Kanzlei...

a) 50.000 SPAM-Mails werden aussortiert und drei "echte" fallen dem SPAM-Filter zum Opfer. Der Versender steht in allen möglichen Blacklists und die Kanzlei wird nicht verstehen warum diese 3 Mails nicht ankommen sind. Ok - Ich bin Schuld.

b) Excel-Anänge mit Makros sind generell im Filter gesperrt => Kanzlei wird meckern: "Geht gar nicht, wir sind darauf angewiesen, DATEV-Kasse blah blah...". OK - Ich bin Schuld.

c) Limit der Mails vielleicht 25 MB => Reicht natürlich vorne und hinten nicht => Ok, ich bin Schuld

d) Konstrukte wie: Alle Mails (eingehend/ausgehend) von allen Konten müssen zentral von Person XYZ mitgelesen werden => Möchte ich nicht realisieren (DSGVO) => Ich bin Schuld

e) Weiterleitung der Mails bei Abwesenenheit von Person (A) nach (B), nach (D) und zurück nach (A), wir blähen uns den ganzen Mist um zig GB auf da immer Kopien erstellt werden sollen => Ein Responder "Bin im Urlaub, bitte wenden sie sich an"... Zu Umständlich für Mitarbeiter => Ich bin Schuld

f) Gelöschte Elemente beim Umzug nicht mitgenommen. Geht natürlich gar nicht, dass ist ja das Langzeit-DMS der Kanzlei => Hab ich nicht bedacht, bin ich halt wieder Schuld.

---

Dieser Zirkus um Mail & Co. und vor allem die zig Wünsche daran  "kotzen" mich inzwischen sowas von an... Nutzung von (Next)Cloud? Um Gottes Willen, wie Umständlich, sonst konnt ich ja direkt aus der Dok-Org Mailen. Cloud wollen wir nicht. Weg von Outlook => No Way, keine Chance.

Und bitte die Fahnen in Outlook an die Mails in benutzerdefinierter Farbe, Schei-Egal obs DATEV steht, hauptsache Outlook läuft.

Dann frag ich mich immer:

- Warte ich den ganzen Tag am Briefkasten bis der Postbote kommt? Hauptsache Outlook bleibt immer offen stehen.

- Werfe ich meine Vertragsunterlagen in meinen Papierkorb unter dem Schreibtisch? Aber der Outlook-Papierkorb ist heilig.

- Will ich einen gewissen Schutz oder muss wirklich jeder bekloppte Mail-Anhang durchgelassen werden?

---

Zum Thema: (Bitte nicht als  Werbung verstehen, hab daraus echt keinen Vorteil) Wenns simpel und recht sicher sein soll aber trotzdem was kosten darf... Vielleicht mal den Intra2Net angucken. SPAM-Filter und Virenschutz machen einen guten Job. Einrichtung ist an sich einfach. Lizenzkosten "fair". Also als typisches Produkt für Kanzlei mit max. 30 Mitarbeiter etc. wenns im Haus sein soll. Proxy und VPN von dem Produkt nutz ich nie... Da gibts schönerer als Firewall (NethServer).

Datensicherung: Ich schwöre auf ein Medium, welches man wegnehmen kann => z.B. RDX. Der Datenträger, der nicht im Laufwerk steckt, kann nicht verschlüsselt werden.

Virenschutz mach ich inzwischen immer zweigleisig. Auf dem MailServer Produkt X, am Terminal-(Server) Produkt Y - natürlich beide mit verschiedener Engine. Nehm gern Ikarus/SecurePoint (ist das gleiche) am Client.

Genug gemeckert... Weiter Migrieren und die kommenden Tage nachbessern...

[#6]

---

@Gelöschter Nutzer  schrieb:

puhh 30 mitarbeiter….

was spricht dagegen outlook. mit exchange (oder einem Drittanbieter) hinter datevnet zu packen, den edv-betreuer zu wechseln oder direkt zu datev asp zu gehen?

100% sicherheit gibt es nicht..

---

Das ist wie mit den Atomkraftwerken:

Jeder weiß:  Reaktordruckgefäße und Druckleitungen aus austenitischem Stahl sind unter dem extremen Neutronenbeschuß nicht dauerfest.

Jeder weiß auch:  Wenn das Reaktordruckgefäß platzt, dann hält auch die äußere Hülle nicht stand.

Deswegen haben intelligente Leute einen sicheren Reaktor entworfen

- mit einem inerten Gas als Kühlmittel

- Graphit als Reaktorcore, das bis zu 2.500°C standhält

- Negativer Wärme/Reaktionskoeffizient, d.h., ab 1.300°C kommt die Reaktion zum Erliegen

- sechs unabhängige Kühlsysteme

War ein tolles Ding, nannte sich THTR und stand in Hamm.  War aber zu teuer und hatte auch noch ein paar technische Probleme.

Aber die haben wir nicht angefaßt, sondern weiterhin Leichtwasserreaktoren gebaut.

Übertragen auf ein Mailsystem ist "Outlook" aber ein ganz spezieller Leichtwasserreaktor, und zwar der Typ WWER, welcher nicht nur in Tschernobyl, sondern auch im bulgarischen Kosloduj zum Einsatz kommt.

Der hat genau soviel "Entfaltungspotential" für eine "spontane Leistungsexkursion" wie ein "Outlook-Client".

Die DATEV-Leute sind doch nicht auf der Brennsuppe dahergeschwommen.  Die hätten dich z.B. ihren eigenen Mailclient schreiben können.

[#7]

Nur 450 GB ????

Wimp.

Wir haben es schon auf 21 TB gebracht.  Damit hätten wir "Pornhub" neu befüllen  können.   OK, es ist ein kunststoffverarbeitender Betrieb.

Und die Leute speichern keine Dateien mehr, sondern mailen sich die zu:

ping - pong - ping - pong ...

Ansonsten kann ich alle Ihre Punkte vollinhaltlich bestätigen, inklusive der "Langzeitarchivierung" qua "Papierkorb".

Ich habe mich vor 10 Jahren auch 'mal "erleichtert",

https://www.if-blog.de/guestauthor/weihnachtsgrus-an-alle-sysadmins/

Viel Erfolg weiterhin und ein dickes Fell!

[#8]

😉Bei einem Medizintechnik-Betrieb hatte ich auch mal den Fall mit mehrern TB-Datenbestand für Mails , da wurden lustig ISO Dateien und Acronis-Archive (der auszuliefernden Maschinen) per Mail im Haus, untereinander versand.

der Weg mit dem USB Stick wäre 2,50m weit gewesen - aber einmal aufstehen und gehen, das ist wohl zu viel verlangt. Dann lieber 8 Stunden sitzen und Rücken kaputt.

Im Ernst, sorry... Bei so einem Schwachsinn bekomm ich das kalte Kot... Die Möglichkeit einen Anhang an eine Mail zu packen, war im Nachgang wohl ein dramatischer Fehler der Geschichte.

In der wichtigsten Sache hat der @metalposaunist natürlich komplett recht => Schulung!!! Es wird absolut jeder Mist an Mails geöffnet ohne sein Hirn zu benutzen. Ein Blick auf den echten Absender, einmal mit der Maus auf den Link fahren und sich den Link angucken ohne zu klicken - nur diese zwei Dinge und wir hätten 99% weniger Probleme.

Loslösung der Mail vom Client: Es gibt so "schöne" Webbasierte "Mail-Clients" also Webinterfaces wie Kopano, WebTop & Co.. Wenn man wenigstens sowas in der Kanzlei an den Start bringen könnte - aber nein, es muss ja immer Outlook sein.

Das Einrichten der Outlook-Profile dauert inzwischen ja wesentlich länger, als ein gesamter DATEV-Umzug...

... und wehe die NK2 Geschichte der Autovervollständig der Empfängeradressen wurde nicht mitgenommen => Totsünde!

[#9]

@Koppelfeld 

Ist das denn neulich erst passiert? Hab vor einigen Wochen von einer ähnlichen Tragödie gehört.. inkl. NAS verschlüsselt.

Wir haben nur eMails max. 2 Jahre alt im laufenden System.. der Rest wird gelöscht (sind natürlich archiviert).  Ältere Mails werden auch nur ganz selten vermisst..

Liesst der Trojaner eigentlich die Zugangsdaten aus der Backupsoftware aus oder wie kommt der ans NAS?

[#10]

Mein untechnischer Kommentar zum Sachverhalt:

Dann hat der kompetente Systempartner keine gesonderte und abgekoppelte Datensicherung gemacht, sondern eher eine "Spiegelung"

+ 

"Die Daten liegen aus Kostengründen nicht bei der DATEV", aua und herzlichen Glückwunsch. Das ist der Kardinalsfehler schlechthin, habe davon auch schon von anderen gehört. War der wirtschaftliche Untergang.

Ernsthaft? Da spart man sich die 3 Euro pro Mandant pro Monat obwohl man Millionen an den Mandanten verdient?

Cyberangriffe kann jeden treffen, fakt! Aber dieser Fall ist wohl in erster Linie eine "Gier frisst Gehirn" oder "Geiz ist geil" Mentalität, die einfach bestraft gehört.

Und jetzt DATEV verklagen wollen obwohl seitens von DATEV immer zum Speichern der Daten im Rechenzentrum rät?

Und jetzt die technische Alternative (absolute Laienmeinung, könnte der größte Schwachsinn sein):

Alt1 

Einen vollkommen autarken PC hinstellen, Outlook drauf. Mails ausdrucken und zu den Mitarbeitern per Papier verteilen (da kann ggf. "ersetzend" eingescannt werden). Wie früher, "Das Geheimnis meines Erfolgs".

Da man sich bei diesen hochintelligenten Kanzleien die DATEV-RZ Kosten spart, kann man sich einen kanzleiinternen Postmaster (einen Menschen wie Michael J. Fox) einstellen, der den ganzen Tag nichts anderes tut. 

Alt2
Wie 1, eine eigen Abteilung einrichten, die Daten erst nach intensiver Prüfung weitergibt (auch eine alte Methode) (Da man sich bei diesen hochintelligenten Kanzleien die DATEV-RZ Kosten spart, kann man sich diese wohl ebenfalls leisten).

Alt3
Die Daten im RZ speichern, ggf. per ASP/SmartIT, zudem eine "echte" Datensicherung, die täglich auch vom System abgekoppelt wird dann ist zumindest der Schaden begrenzbar. Aber Achtung, das kostet natürlich wieder Kohle.... 

[#11]

@Neu_hier 

wenn ich rewe speichere, aber lohn, dokumente, erklärungen usw. verliere bringt das auch nur bedingt was... die datev dasi online gibt es ja nicht mehr.

[#12]

Liesst der Trojaner eigentlich die Zugangsdaten aus der Backupsoftware aus oder wie kommt der ans NAS?

Freigabe "public"... Schreib-/Lesezugriff für jeden ohne Benutzer & Kennwort. So stehen die Dinger zu tausenden in den Firmen&/Kanzleien. Admin/Systempartner hatte keinen Bock wenigstens eine Kennwortgeschützte Freigabe einzurichten... Auch der ausgeschiedene Mitarbeiter kann gerne mal ein paar Backups rasieren.

[#13]

@Koppelfeld 

Keine Idee was so auf einem der so gelobten Großrechner in der Cloud läuft?

Nein?

Dann gibt es so einige Groupwareserver, die Exchange ersetzen, auch in der Geschmacksrichtung Cloud - selbstverständlich auch in der Kanzlei einsetzbar, aber leider unter diesem komischen Betriebssystem Linux.

Die üblichen Verdächtigen sind:

1. Kerio connect - Leider an GFI verkauft, da kommt nicht mehr viel. Wird abgemolken und das war es dann, leider.
2. Kopano, kann ich nicht beurteilen.
3. Zafara mit verschiedenen Clonen. Scheint sich etwas zerfasert zu haben.
4. Zimbra.
5. Intra2net.
6. Grommunio, der neue Stern am Himmel?
7. u. v. m.

Kerio Connect läuft gut, fraglich wie lange noch. In Verbindung mit SEPPmail werden Schadmails gut "entsorgt", es bleibt aber noch genügend "Freiraum" für die Daten.

Da die meisten bösen Sachen schon sehr gut abgestimmt sind kommen diese auch durch, hier hilft wirklich nur die Schulung der Mitarbeiter auf entsprechende Inhalte zu achten und natürlich Makros so weit wie möglich in Office zu unterbinden. Denn eins ist sicher, der Groupware Server kann nicht zwischen guten und schlechten Makros unterscheiden. Es hat allerdings einen Vorteil, gespoofte Mailadressen werden aufgelöst und nicht die gefakte Adresse angezeigt.

[#14]

@münster

gfi hat das lizenzmodell umgestellt.. ich glaube nicht, dass die so schnell verschwinden werden.

Das letzte Update bringt sowas hier:

• Two-factor authentication (2FA)
• “Let’s Encrypt” integration
• Implementation of Log4j 2.17.0
• Added TLS options in GUI

und auf log4j haben sie auch schnell reagiert.

tot sind die noch nicht..

@LS4B 

freigabe public.. LOL

haben Sie das echt schon gesehen?

[#15]

Kerio connect - Leider an GFI verkauft, da kommt nicht mehr viel. Wird abgemolken und das war es dann, leider.

Stimmt absolut. War ein Top Produkt, auch weil der Outlook-Connector richtig klasse ist: Mails, Kalender, Termine, Kontakte, Freigaben vorwärts/rückwärts alles TipTop.

Allerdings hab ich den KerioConnect ab dem Zeitpunkt nicht mehr so beachtet, als die iphones zwnigend ein gültiges Zertifikat (nicht selbstsigniert) brauchten. LetsEncrypt und Kerio => das ging bei anderen wesentlich einfacher - Aber keine Ahnung ob sich das heute verbessert hat.

Alle genannten Produkte funktionieren an sich auch "naja", wenn nur die "Frikel-Anbindung" an Outlook nicht wäre. Aber: Es muss ja Outlook sein, damit hab ich mit abgefunden.

Intra2net hat nen ganz guten Client...

[#16]

Dafür aber unter (zumindest unter) SmartIT die volle, garantiere und automatische Datensicherung bei DATEV

+ Sicherung der PC´s auf denen SmartIT läuft (nehme ich an)
+ Sicherung von Lohn, Rewe (hier eigentlich keine Sicherung, aber Vorläufe im RZ) und den Steueranwendungen im RZ (bei teilweisen Datenverlusten oder -löschungen in den entsprechenden Programmen ideal für eine partielle Wiederherstellung).

Besser kann ich es mir nicht vorstellen und, wenn DATEV was verbockt, löffeln die die Suppe für mich aus.

[#17]

@Neu_hier 

Besser kann ich es mir nicht vorstellen und, wenn DATEV was verbockt, löffeln die die Suppe für mich aus.

Ist das immer so? Ist damit auch "grobe Fahrlässigkeit" abgedeckt? Kenne die Verträge nicht...

[#18]

@Gelöschter Nutzer 

schnell nicht, aber schleichend. Im englischsprachigem Forum ist viel Frust und Abwanderung gerade wegen des neuen Lizenzmodells. Brainworks versucht ja auch das Positive zu zeigen. Die Neuerungen der 9.4 mussten ja kommen weil es sicherheitstechnisch notwendig war. "Let's Encrypt" will auch nur unter bestimmten "Schönheits"voraussetzungen, CentOS als Basis ist auch tot, die 9.4 AD Integration ist auch ein wenig buggy und die Dokumentation hängt teilweise noch in der Version 7 fest.

@LS4B 

Der Outlook Connector hat sich mit den Jahren ganz ordentlich entwickelt.

Die Sache mit den Rechten ist ein wenig komplizierter, die Angreifer nutzen keine Konten sondern die ausgestellten Kerberos Tickets und hangeln sich damit langsam "nach oben", es nützt zur Sicherheit nur ein Pulldienst der nicht aus dem Netz erreichbar ist.

Ein kleiner Einstieg ist hier zu finden: https://www.msxfaq.de/konzepte/adminrechte.htm 

Womit dann das bisherige Konzept des produktiven DC töter ist als tot. (Sorry für das Verhunzen der Sprache, aber das machen andere auch).

[#19]

"Schreib-/Lesezugriff für jeden" ist natürlich grob fahrlässig.

Sind die Verschlüsselungstrojaner auch so "intelligent" zu erkennen, dass das NAS nur nachts angeht, die Daten sichert, und vor dem produktiven Arbeitsbeginn wieder runterfährt?

Dh. der Trojaner müsste sich auf dem Server einnisten und abwarten, bis sich das NAS zur Sicherung anmeldet, um  dann das NAS zu verschlüsseln.

Wie realistisch ist diese Szenario?

Dann wären auch Sicherungen auf mobilen Sicherungsplatten von einem "schlafenden" Verschlüsselungstrojaner bedroht. Gibt es da schon Erfahrungen zu?

[#20]

@witte 

Es ist immer eine Frage wo die Credentials verwaltet werden und wie der Zugriff auf das NAS gestaltet ist.

In der Regel werden die meisten NAS unter Linux betrieben, der Zugriff wird dann unter Linux mittels Samba erledigt, das Protokoll spielt eine untergeornete Rolle. Interessant ist das Wie unter Windows. Wird einfach ein Mapping mittels

net use LW: \\Pfad /user:123 Passwort

gemacht und während der Sicherung dauerhaft gehalten ist die Wahrscheinlichkeit eines erfolgreichen Angriffs sehr hoch, die Schreib- und Leserechte wurden einem AD Member erteilt.

Anders sieht es aus, wenn die Appliance oder der Agent sich diese Rechte während der Sicherung holt, die Erteilung der Credentials liegt dann auf Seiten des Samba Servers (Dienst und Rechteverwaltung auf dem NAS). Liegt der Agent dann noch auf dem ESXi kennt Windows den Vorgang noch nicht einmal.

[#21]

was ist denn, wenn das nas nicht mitglied der domäne ist?

[#22]

Am Ende wird sich jeder wehren, Idealzustände können nicht und niemals erreicht werden, es gibt keine 100%ige Sicherheit, nur annähernd.  

[#23]

---

@Gelöschter Nutzer  schrieb:

@Koppelfeld 

Ist das denn neulich erst passiert? Hab vor einigen Wochen von einer ähnlichen Tragödie gehört.. inkl. NAS verschlüsselt.

Ist jetzt ganz frisch, wurde wohl am Montag dieser Woche bemerkt.  So hatte der Trojaner viiiiiiiiiiel Zeit.

Liesst der Trojaner eigentlich die Zugangsdaten aus der Backupsoftware aus oder wie kommt der ans NAS?

Ich werfe solche Kisten immer hinaus und zerquetsche sie unter einer Hydraulikpresse, um zukünftigen Mißbrauch von Technik zu vermeiden.

Soweit ich weiß, erfolgt der Austausch über SMB und die "Shares" werden beim Anmelden des Benutzers automatisch "angehängt".

Gotteseidank nicht mein Kunde, sonst stünde dort weder ein "NAS" noch irgendetwas von "Dell".

---

[#24]

---

@Neu_hier  schrieb:

"Die Daten liegen aus Kostengründen nicht bei der DATEV", aua und herzlichen Glückwunsch. Das ist der Kardinalsfehler schlechthin, habe davon auch schon von anderen gehört. War der wirtschaftliche Untergang.

Ernsthaft? Da spart man sich die 3 Euro pro Mandant pro Monat obwohl man Millionen an den Mandanten verdient?
Cyberangriffe kann jeden treffen, fakt! Aber dieser Fall ist wohl in erster Linie eine "Gier frisst Gehirn" oder "Geiz ist geil" Mentalität, die einfach bestraft gehört.

Tja.  So ist es.  "Kaufmännisches Rechnen":

3 Euro pro Monat mal 12 Monate mal 10 Jahre mal 2.000 Mandanten macht 720.000,-- und dafür gibt es schon eine passable Yacht.

Und jetzt DATEV verklagen wollen obwohl seitens von DATEV immer zum Speichern der Daten im Rechenzentrum rät?

DATEV rät aber auch zu "Outlook".

Das mit der "Garantenstellung" finde ich so blöd nicht.  Es ist ja eine Art von Veruntreuung, wenn man schutzbedürftige Daten Dritter einem kompromittierten "Windows" - Rechner anvertraut.  Wenn DATEV das als "best practise" empfiehlt, dann sollte sie haften.

Und jetzt die technische Alternative (absolute Laienmeinung, könnte der größte Schwachsinn sein):

Alt1 

Einen vollkommen autarken PC hinstellen, Outlook drauf. Mails ausdrucken und zu den Mitarbeitern per Papier verteilen (da kann ggf. "ersetzend" eingescannt werden). Wie früher, "Das Geheimnis meines Erfolgs".

So macht es das Finanzamt Osnabrück.   Und so dumm ist das nicht.

Alt3
Die Daten im RZ speichern, ggf. per ASP/SmartIT, zudem eine "echte" Datensicherung, die täglich auch vom System abgekoppelt wird dann ist zumindest der Schaden begrenzbar. Aber Achtung, das kostet natürlich wieder Kohle.... 

---

So ist es.  Und es gibt keinen Berufsstand, der größeren Trennungsschmerz von seiner Kohle empfindet wie der des steuerberatenden Berufes.

Deswegen arbeiten wir ja vorzugsweise für die Industrie und auch da nicht in der Verwaltung, sondern da, wo es "krachbumm" macht.

[#25]

Kausaler Zusammenhang von Schaden und Schuld sowie das richterlich gelebte "Teilen" von Verantwortung und Schuld. Wer die Empfehlung der DATEV an der einen Stelle (aus meiner Sicht grob fahrlässig) in den Wind schlägt, kann auf der anderen Seite nicht ohne Einschränkung fordern.... und dann wäre da ja auch noch der "Systemspezialist". Ich denke, der beißende wird dabei im Wesentlichen nur seine schönen Zähne verlieren. 

Die armen Mandanten, bei denen wird noch ne Menge Stress und Kosten auflaufen. Mit den Worten der besten Band der Welt: "Was wird das Finanzamt sagen...".

Immerhin werden diese sich wohl an einen anderen Steuerberater wenden (nehme ich an), dabei haben die meisten Berater Aufnahme-Stopp wegen Überlastung. 

Ansonsten reelle aber schmerzhafte Wahrheiten über zu gierige Menschen, die sich den gesunden Menschenverstand mit EURONEN verschleiern lassen .... bei geschätzten 90 Mio. Umsätzen bei 2000 Mandanten hätte sich der Einkauf bei DATEV mit 750K allemal gerechnet und es wären einige Yachten dabei abgefallen.   

Immerhin hat es sich mit der tollen Yacht wohl für eine Weile erledigt, wie traurig (aber nicht für mich 😎) und es gibt natürlich noch die Versicherung. Hoffentlich hat man da nicht auch nur sparen wollen....

[#26]

Wenigstens am "NAS" (nehme aber keine  - Kaufgeräte - wie bereits an anderer Stelle gesagt) sollte ein "losgelöster" User eingerichtet sein. Meinetwegen "backupadmin" + Password. Das NAS bzw. die Freigabe wird nicht, also gar nicht gemappt - sonst machts ja keinen Sinn.

Lediglich die Backupsoftware bekommt den Usernamen und das Kennwort. Das simple Teil R-Drive z.B. mapped bei Sicherung zumindest kein Laufwerk.

Wie auch immer - sinnvoller würde ich Konstrukt dieser Art bauen => MO-FR auf NAS, SA auf RDX und den RDX-Datenträger zyklisch tauschen. Also wenigstens - also mindestens so. Ich hab im Verschlüsselungsfall lieber eine Woche Daten-Ausfall, wie komplett alles weg. Ferner gehts ja auch um Brandschutz / räumliche Trennung der Sicherung.

Wo es geht besser: 2x Sicherung pro Nacht: 1x NAS, 1x RDX und RDX täglichen tauschen, meinetwegen 5 Datenträger im Wechsel, MO-FR. USB-Platten nehm ich nicht so gerne, da die Anschlüsse beim täglichen Tausch der Platte ev. "ausjuckeln".

[#27]

---

@münster  schrieb:

@Koppelfeld 

Keine Idee was so auf einem der so gelobten Großrechner in der Cloud läuft?

Nein?

Doch.   Nix mit x86, amd64, Windows.   Großrechnerprozessoren haben einen von den Spielzeugservern völlig abweichende Architektur.   Anderer Befehlssatz, anderes Speicherkonzept, selbst die Endianness ist anders.  Kommunizieren tun die ganz gerne noch über ESCON rep. FICON.

Der entscheidende Unterschied ist der, daß die großen Eisen immer gefühlt etwas langsam sind, aber auch unter Vollast nie in die Knie gehen, will heißen:   Wenn eine Z9 85% Prozessirauslastung annzeigt, dann haben Sie noch echte 15%.

Wenn Sie wenig Streß haben wollen, dann installieren Sie einen exim4 und einen dovecot in einer LPAR auf dem Großrechner, sinnvollerweise unter AIX als Gastbetriebssystem.  Dann ist Ruhe.

Dann gibt es so einige Groupwareserver, die Exchange ersetzen, auch in der Geschmacksrichtung Cloud - selbstverständlich auch in der Kanzlei einsetzbar, aber leider unter diesem komischen Betriebssystem Linux

Die üblichen Verdächtigen sind

1. Kerio connect - Leider an GFI verkauft, da kommt nicht mehr viel. Wird abgemolken und das war es dann, leider.
2. Kopano, kann ich nicht beurteilen.
3. Zafara mit verschiedenen Clonen. Scheint sich etwas zerfasert zu haben.
4. Zimbra.
5. Intra2net.
6. Grommunio, der neue Stern am Himmel?
7. u. v. m

Einige davon kenne ich.  Anruf beim Zarafa-Support: "Da können wir Ihnen nicht helfen, unsere Leute sind alle auf dem Summercamp".

Na, da will man dann nicht stören.

Die Probleme sind:

1. Webserver.   Braucht kein Mensch.

2. JAVA.  Der Garant für Abstürze, Lahmheit und mangelnde Portabilität.

3. Krankhafte "Outlook" - Kompatibilität.   Daran ist schon das "Limux"-Projekt erbärmlich gescheitert.   Wenn man Microsoft-Produkte nachbaut, dann erntet man Microsoft-Probleme.

Denn eins ist sicher, der Groupware Server kann nicht zwischen guten und schlechten Makros unterscheiden. Es hat allerdings einen Vorteil, gespoofte Mailadressen werden aufgelöst und nicht die gefakte Adresse angezeigt.

Und dennoch:  Anhänge dürfen nicht "ausgeführt" werden können und HTML - Inhalt muß abgewesen werden.

---

[#28]

---

@Koppelfeld  schrieb:

---

@münster  schrieb:

@Koppelfeld 

Keine Idee was so auf einem der so gelobten Großrechner in der Cloud läuft?

Nein?

Doch.   Nix mit x86, amd64, Windows.   Großrechnerprozessoren haben einen von den Spielzeugservern völlig abweichende Architektur.   Anderer Befehlssatz, anderes Speicherkonzept, selbst die Endianness ist anders.  Kommunizieren tun die ganz gerne noch über ESCON rep. FICON.

Der entscheidende Unterschied ist der, daß die großen Eisen immer gefühlt etwas langsam sind, aber auch unter Vollast nie in die Knie gehen, will heißen:   Wenn eine Z9 85% Prozessirauslastung annzeigt, dann haben Sie noch echte 15%.

Wenn Sie wenig Streß haben wollen, dann installieren Sie einen exim4 und einen dovecot in einer LPAR auf dem Großrechner, sinnvollerweise unter AIX als Gastbetriebssystem.  Dann ist Ruhe.

---

Dann schlage ich vor, dass Sie dies Ihrem Kunden verkaufen und Ruhe ist.

[#29]

@LS4B 

ich mach jede nacht cloud, nas und rdx backup.. zusätzlich spiegelt ein zweites nas das erste mit unterschiedlichen jobs.

das machen die beiden unter sich.. kein windoof. und überschrieben werden kann so auch nur eine alte sicherung.

und das eine is qnap, das andere synology.. die kein internet-zugang haben und verschlüsselt sind.

zusätzlich die backups, klar, auch noch verschlüsselt…

so.. übertrieben..? 😂

[#30]

---

@Gelöschter Nutzer  schrieb:

so.. übertrieben..? 😂

---

Vorbildlich. 👍 So mache ich es ebenfalls.

Ansonsten ein spannender Thread.

Wurde kein Lösegeld verlangt? Ist evtl. am Ende des Tages die günstigste Lösung.