Finanzämter in Norddeutschland waren und sind von IT-Panne betroffen
In Norddeutschland kommt es seit gestern in den Finanzämtern zu einer technischen Panne, diese soll in Niedersachsen und Bremen vermutlich noch bis Freitag dauern. Der Zeitpunkt ist natürlich ungünstig, denn Ende Mai läuft die Frist für die Abgabe ... mehr...
Diese Nachricht vollständig anzeigen.
Kommentar abgeben
Netiquette beachten!
Neueste Downloads
Video-Empfehlungen
Beliebt im Preisvergleich
- cat swsec_av:
Neue Nachrichten
Beliebte Nachrichten
Videos
❤ WinFuture unterstützen
Sie wollen online einkaufen?
Dann nutzen Sie bitte einen der folgenden Links,
um WinFuture zu unterstützen:
Vielen Dank!
Amazon
https://www.finanztip.de/steuererklaerung/steuererklaerung-frist/
Aus IT Sicht bin ich voll bei dir, aber mit dem Vorschlag brauchste garnicht erst ankommen :D
Allerdings sollte man den Kunden bei einer nicht angenommenen Mail, die einen Office-Anhang trug (und deshalb abgelehnt wurde) einen NDR zurücksenden, in dem drinsteht, warum seine Mail nicht angenommen wurde und daß er stattdessen ein PDF senden soll.
Zumindest ist das der sicherste Weg, die Verschlüsselungstrojaner, die per Mail kommen können, immer erfolgreich abzuwehren. Jede auch diesbezüglich noch so ausgeklügelte (und ggf. teure) Sicherheitssoftware ist dagegen nur zweite Wahl.
https://www.cvedetails.com/vulnerability-list/vendor_id-53/product_id-497/Adobe-Acrobat-Reader.html
Btw. Heartbleed war ein Schweregrad 5 Exploit auf dieser Skala, nur Information disclosure. Nur um der Skala etwas Kontext zu geben.
Nicht unmöglich, aber nicht sonderlich realistisch.
Hundertprozentige Sicherheit gibt es einfach nicht, sondern bloß eine "bis zu"-Sicherheit. Wer wirklich böses will, und sich dazu auf ein Ziel einschießt, der schafft es auch, egal was ich vorher vielleicht dagegen tun könnte.
Wir werden jedenfalls bei unserer Office-Anlagensperre bei Mails von extern bleiben, das ist in jedem Fall besser, als gar nichts zu tun und sich ansonsten nur blind auf eine Sicherheitssuite zu verlassen.
Nee nee, ich gehe davon aus, daß trotz der Sicherheitslücken im PDF-Format ansich UND der immer wieder auftretenden Sicherheitslücken im Adobe Reader die Lösung, nur noch PDFs anzunehmen, dennoch um ein vielfaches sicherer ist, als Office-Dateien von extern zu erlauben. Und ganz ehrlich: Ich habe noch nie von einer Malware/Virus/Verschlüsselungstrojaner gehört, der mit einer PDF ins Haus kam. Wenn das wirklich möglich ist, dann doch wohl eher bislang nur theoretisch oder bislang nur extremst selten.
Aber wie Du schreibst, kann man auch nicht gar nichts mehr annehmen. Wir lassen bei unseren Kunden Office- und auch PDF-Files zu. Office hat inzwischen halbwegs brauchbare Mechanismen zum Schutz (z.B. .docx enthält keine Makros, .docm schon). Leider sind die DAUs vor dem Rechner so kreativ, dass sie immer einen Weg finden sich zu blamieren/infizieren/korrumpieren/ruinieren.
CSV und Markdown sind relativ gute Formate zum Informationsaustausch. Mir fällt kein Anliegen ein, dass ich dem Finanzamt vortragen will, dass sich in einem PDF wesentlich besser als in CSV und Markdown vortragen lässt.
PS: Das ist ja noch viel schlimmer als ich gedacht hätte:
https://www.cvedetails.com/vulnerability-list/vendor_id-53/product_id-497/Adobe-Acrobat-Reader.html
Erklärung zu den Farben: Rot ist eine Warnfarbe.
Und Adobe Reader ist nicht der einzige PDF Reader, als darf nicht nur auf den schließen.
https://m.youtube.com/watch?v=4F2xMw3987I&list=PLAEC70812B824A2FE&index=2&t=0s
...
... PDF ...
...
https://www.cvedetails.com/vulnerability-list/vendor_id-53/product_id-497/Adobe-Acrobat-Reader.html
...
Ich habe da einen relativ radikalen Standpunkt:
- Zum Informationsaustausch genügt Text in deutscher Sprache (das wird von den meisten Finanzamtmitarbeitern sogar flüssig gesprochen) in ISO-8859-15 (kann von vielen Anwendungen sogar ohne Code-Execution-Vulnerabilities geparst werden)
- zur Formatierung genügen ein paar Ebenen Überschriften, Hervorhebung durch Fett- oder Kursivdruck, das genügt für einen formatierten Text
- Zahlen lassen sich relativ gut mit CSV-Dateien strukturieren.
Eine Anwendung für dieses Datenaustauschformat lässt sich in ein paar 100 Zeilen schreiben, das kriegt man sogar Bug-frei hin.
Einen bugfreien Viewer für Formate wie DOC, XLS, PDF und andere Standards deren ausgedruckter Umfang in kg Papier anschaulicher als in DIN A4 Seiten bemessen werden kann, wird es in absehbarer Zeit nicht geben.
Bis dahin werden Erna Klotz und Lieschen Müller weiterhin munter Word- und Excel-Dateien per Mail versenden. Und solange bleiben diese Dateitypen bei uns für den Maileingang von extern gesperrt. PDF kann ich nicht auch noch sperren, dann würden wir ja gar nichts mehr annehmen. Obwohl, JPG, BMP und TIFF vielleicht noch. Aber auch dazu wirst Du mich sicherlich mit Links versorgen, daß diese Formate auch gefährlich sein können.
Ganz ehrlich, dann kann man E-Mail auch komplett abschaffen. Oder nur noch Mails ohne Anlagen, also nur den Textkörper der Mail annehmen. Aber auch da besteht doch eine Gefahr bei HTML-Mails?
Ich nehme an, Du bist kein Admin in einer Firma oder Behörde? Denn wenn, müßte Dir klar sein, daß Deine Auslassungen zwar theoretisch richtig sein mögen, aber lächerlich praxisfremd, sorry.
- kein SSH-Login per Passwort (nur public-private-key)
- kein Root-Login (auch nicht in die DB)
- keine Webseiten ohne SSL-Zwang (und keine SSL-Zertifikate, die sich nicht in unseren automatischen Renewal-Mechanismus eingliedern)
- keine Webanwendungen (CMS, eCommerce-Systeme, usw.), die nicht un unserem automatischen Update-Workflow geupdatet werden
- keine unsicheren Dienste (z.B. FTP)
- keine Dienste, die nicht automatisch neustarten können
- keine schwachen Passwörter, wo Passwörter nötig sind (Nutzung von Passwortmanagern, wenn man sich keine 40 zufälligen Zeichen merken kann)
- wer kein Admin ist, kann sich nur ins chroot-Jail einloggen
usw.
Man kann schon ein ziemlich hohes Maß an Sicherheit erreichen, wenn man die Einhaltung von Best-Practices erzwingt. Wichtig ist, es dem Nutzer schwer zu machen, sich in den Fuß zu schießen und leicht, das richtige zu tun. Wenn die User keine Webdeveloper/-designer sind, ist es umso wichtiger, den richtigen Weg leicht zu machen und den schweren Weg zu verwehren.
Ich habe schon gehört, dass ActiveX-Steuerelemente für interne Webanwendungen unverzichtbar seien, wo ist ActiveX heute?
Wer hätte vor 5 Jahren gedacht, dass mal eine der ganz großen Certificate Authorities für seine Schlamperei zur Rechenschaft gezogen wird? Seitdem wurde dem Symantec Root Zertifikat das Vertrauen entzogen.
Ich sage dir nicht, dass du dich schon morgen am E-Mail-Server festketten sollst. Ich sage, dass wenn die Gefahren durch E-Mail-Anhänge langfristig in den Griff gekriegt werden sollen, dann wird man sich auf nicht-wahnsinnige Formate reduzieren müssen. Es ist schon vorstellbar, dass sich auf lange Sicht etwas wie Markdown für den Versand strukturierter Texte etabliert, dafür müsste es natürlich gute Unterstützung bei Enduser-Tools wie Word oder LibreWriter haben. Dass so eine Unterstützung kommt, ist nicht so unrealistisch, sogar Microsoft ist bekannt, dass Markdown ein vernünftiges Format für Informationsaustausch ist ( https://docs.microsoft.com/de-de/contribute/how-to-write-use-markdown ). Natürlich sind andere Lösungen für das DOC/PDF-Problem denkbar.
Lächerlich praxisfremd (sorry), ist die Idee, dass PDF etwas mit Sicherheit zu tun hätte. Hat es nicht. Das Format ist eine unfassbare Frankensteinkreation, und darüber nachzunkden ob Word oder Adobe Reader mehr Sicherheitslücken hat, ob Word nur häufiger angegriffen weil Adobe Reader (noch) das weniger lohnenswerte Ziel ist oder nicht, ist müßig. Das sind beides Scheunentore. Mit einem Wechsel von DOCX zu PDF macht man einen Schritt aus der Schusslinie, aber man steht immer auf freiem Feld und wenn der Rest folgt, werden die Schützen nachjustieren, das ist so sicher wie das Amen in der Kirche.
Ein einzelner Admin kann es vielleicht seinen Usern nicht verbieten, bevor eine Alternative der Allgemeinheit leicht zugänglich gemacht wurde, das ändert aber nichts an der Faktenlage, die empirisch anhand von Sicherheitsdaten belegbar ist.
Genauso lächerlich praxisfremd (sorry) ist die Behauptung, dass ja alles irgendwie unsicher wäre, wenn dabei impliziert werden soll, dass es Willkür wäre, was man gestattet und was nicht. Du hast ja die Beispiele angeführt und ich nehme sie gerne auf. BMP, JPEG und TIFF sind allesamt lange nicht so wahnsinnig wie XLS, DOC oder PDF. Das sieht man daran, dass Implementierungen der nötigen Verfahren für die Nutzung dieser Formate möglich sind, ohne dass die entsprechenden Bibliotheken endlos unsicher sind:
https://www.cvedetails.com/product/3881/Libtiff-Libtiff.html?vendor_id=2224
https://www.cvedetails.com/vulnerability-list/vendor_id-17990/product_id-46165/IJG-Libjpeg.html
https://www.cvedetails.com/vulnerability-list/vendor_id-17075/product_id-40849/Libjpeg-turbo-Libjpeg-turbo.html
(BMP ist sowieso ein triviales Format)