Für Menschen in Medienberufen sei es „unverantwortlich“, sich nicht um IT-Sicherheit zu kümmern, sagt Keywan Tonekaboni, Redakteur bei der Computerzeitschrift c’t bei #krassmedial. Aber man solle auch nicht zu misstrauisch sein, denn in der Regel reichten Maßnahmen, die einem „guten Fahrradschloss“ entsprechen, das erst nach drei Minuten zu knacken ist. Tonekaboni erläuterte verschiedene Möglichkeiten der Absicherung – wie gute Passwörter, regelmäßige Updates, Verschlüsselung, sichere Software und Apps. Er demonstrierte sie an zahlreichen Beispielen und beantwortete die vielen interessierten Fragen von Workshop-Teilnehmenden.
Ein gutes Password müsse nicht kompliziert sein – aus Buchstaben, Zahlen, Zeichen bestehen. Das könne man sich schwer merken und es ist relativ leicht zu entschlüsseln. Sicherer seien lange Passwörter, die aus vier, fünf Zufallswörtern ohne persönlichen Bezug bestehen. Zum Merken der Passwörter, sind digitale Passwortmanager geeignet, die über den Browser auf jedem Gerät verfügbar sind. Er selbst verwende den kostenfreien Open-Source KeePassXC, sagte der IT-Experte. Noch sicherer sei eine Zwei-Faktor-Authentifizierung, d.h. bei der Anmeldung werde außer dem Passwort ein zweiter Identitätsausweis verwendet – aus Tan-Generator, App oder Sicherheitsschlüssel.
Daten im „digitalen Tresor“
Den Computer solle man auf jeden Fall absichern. Das beginne beim Anmelden – per Passwort oder durch einen anderen Zugangsschutz wie Fingerabdruck oder Gesichtserkennung. Tonekaboni empfahl regelmäßige Updates des Betriebssystems mit sicherer Software aus offiziellen Quellen und die häufige Aktualisierung des Virenscanners. Die Daten auf der Festplatte des Rechners im Büro oder des Laptops könne man zum Beispiel mit dem „digitalen Tresor“ VeraCrypt verschlüsseln – einem Open-Source-Programm, das als Freeware kostenlos heruntergeladen werden kann.
Für Smartphones gelten ähnliche Sicherheitsregeln: Bildschirmsperre, regelmäßige Updates, sichere Software und vor allem sollten die Zugriffsrechte für Apps beschränkt werden, denn „jede Schnittstelle ist ein potenziell offenes Fenster“, warnte Tonekaboni. Wenn man Apps – wie einige google-Apps – nicht deinstallieren könne, solle man sie deaktivieren, auch wenn gewarnt werde, dass andere Funktionen dadurch gefährdet würden. „Die App meldet sich im Zweifelsfall schon wieder und man kann sie neu installieren“, beruhigte der IT-Experte.
Für die Datensicherung seien Backups unerlässlich. Der Heise-Verlag, in dem c’t erscheint, hat einige Tipps zusammengestellt. Vor fast allen Gefahren schützt die 3-2-1-Regel, d. h. von drei Kopien sollten zwei auf externen Datenträgern gespeichert sein – etwa auf einer Festplatte außerhalb des Hauses und in einer Cloud. Nur so könnten Datenverluste durch Viren, Erpressungstrojaner, Fehlbedienungen, Hardwareschäden, Diebstahl, Feuer oder Löschwasser verhindert werden.
Zur Absicherung des Routers sollte man nicht das vom Hersteller vergebene Passwort verwenden, sondern ein eigenes generieren, eventuell ein weiteres für ein Gastnetz. Die beste Wlan-Sicherheitsoption für den Router sei WPA 3, das für eine spezielle und individualisierte Verschlüsselung zwischen einem Benutzergerät und dem Netzwerk sorgt.
Vorsicht bei Anhängen
Beim Surfen seien Websites mit https-Verschlüsselung (Hypertext Transfer Protocol Secure) am sichersten. Auch sollte man prüfen, welche Zusatzprogramme zur Erweiterung der Browserfunktion man brauche und aus Sicherheitsgründen alle nicht benötigten „Add-ons ausmisten“. Fühle man sich im öffentlichen Wlan unsicherer als zuhause, etwa beim Surfen in Bahn oder Hotel, dann könne man einen VPN-Client nutzen. Das sei ein „privater Datentunnel mit virtuellen Netzwerkkabel, das unsichtbar durchs Internet“ laufe und eine verschlüsselte Datenübertragung ermögliche.
Als E-Mailprogramme werden vor allem Outlook von Microsoft oder Thunderbird genutzt. Thunderbird ist eine kostenlose Open-Source-Software, die Plattformübergreifend und etwas sicherer ist, da externe Inhalte wie Bilder und Anhänge nicht automatisch angezeigt werden. „Vorsicht bei Anhängen“, warnte Tonekaboni. Es sei „naiv, sich da auf den Virenscanner zu verlassen“. Zum Überprüfen insbesondere fragwürdiger pdf-Dateien könne man Virustotal von google verwenden, dort solle man aber aus Datenschutzgründen „nichts Vertrauliches reinwerfen“. Eine weitere Vorsichtsmaßnahme sei, Anhänge nicht mit Adobe Acrobat, sondern zum Beispiel mit dem freien Open-Source-Dokumentenbetrachter Sumatra PDF zu öffnen. Meistens helfe der „gesunde Menschenverstand“, um sich vor Phishing-Mails zu schützen. Was tun, wenn die eigene E-Mailadresse für Phishing-Mails missbraucht wird? „Das kann man leider nicht verhindern“, so der IT-Experte. Man könne aber überprüfen, wo die eigene Mailadresse im Netz auftaucht. Auf haveibeenpwned.com kann man zum Beispiel erfahren, ob das Mailkonto geknackt wurde. Mit dem HPI Identity Leak Checker des Hasso-Plattner-Instituts lässt sich per Datenabgleich kontrollieren, ob die eigene E-Mailadresse in Verbindung etwa mit Telefonnummer, Geburtsdatum oder Adresse zu finden ist und missbraucht werden könnte.
Bei der Verwendung von Messengerdiensten solle man auf jeden Fall den Zugriff auf das Adressbuch einschränken. Am sichersten sei Signal, das einem vertraulichen Gespräch im Wohnzimmer gleiche.
Hier ein „Werkzeugkasten“ mit allen in diesem Fokus genannten Tools und deren Links.