05.03.2024

Teamviewer Fernwartung nicht sicher?

Zum Thema Homeoffice haben wir folgende Fachbeiträge und eine Übersicht mit Tipps und Hinweisen für Unternehmen und Mitarbeiter und was dabei zu beachten ist.

Update 04.03.2024

Update für CVE-2024-0819 schnellstmöglich installieren! Teamviewer-Sicherheitslücke ermöglicht Admin-Zugriff

Update 22.01.2024

Hacker starten Ransomware-Attacken per Teamviewer

Update 24.12.2023

Anydesk, Teamviewer & Co.: Durch unbemerkten Fernzugriff Datendiebstahl und unberechtigte Überweisungen.

Update 11.02.2021

FBI warnt vor TeamViewer

Update 15.08.2019

Team Viewer ist zum x-ten Mal Einfallstor für Schadprogramme, die die Remote Code Execution Funktion ausnutzen.

Update 17.05.2019

TeamViewer war 2016 Opfer eines Cyber-Angriffs

Update 07.12.2017

Sicherheitsupdates: Angreifer könnten TeamViewer-Sessions entern

In der Software TeamViewer wurde eine Sicherheitslücke entdeckt.

Update 17.06.2016

Unsupported TeamViewer Versions Exploited For Backdoors, Keylogging

Update 10.06.2016

Teamviewer Anzahl betroffener Konten „signifikant“!

Update 04.06.2016

Teamviewer führte neue Accountsicherungen ein

Wenige Tage nach zahlreichen Nutzerbeschwerden über gehackte Accounts reagiert Teamviewer mit einem vorgezogenen Sicherheitsupdate. Wir haben mit dem Unternehmen darüber gesprochen.

Update 01.06.2016

ZDNet: Backdoor-Trojaner missbraucht Fernwartungssoftware Teamviewer

Viele öffentliche und nicht-öffentliche Stellen in Mecklenburg-Vorpommern lassen ihre Informationssysteme von Dienstleistern fernwarten. Davon sind auch hoch schutzbedürftige Verfahren im kommunalen und im medizinischen Bereich betroffen. Im Berichtszeitraum haben wir erfahren, dass einige Stellen dazu die Software TeamViewer verwenden.

„Wir hatten deshalb zu prüfen, ob dies datenschutzrechtlich zulässig ist.“

Nach den Veröffentlichungen des Herstellers dieser Lösung werden Fernwartungsverbindungen mit TeamViewer kryptographisch gesichert. Im Einzelnen werden folgende Sicherheitsmechanismen verwendet: Die Verbindung zwischen dem Kundenrechner und dem Rechner des Dienstleisters werden mit einem hybriden Verfahren aus RSA-2048 und AES-256 gesichert. Zu Beginn der Verbindung werden dabei die öffentlichen Teile dieser Schlüssel über einen vom Hersteller betriebenen Masterserver ausgetauscht. Die Nachrichten für diesen Schlüsselaustausch werden vom Masterserver signiert. Der zur Prüfung dieser Nachrichten nötige öffentliche Schlüssel des Masterservers wird bei der Installation des Fernwartungsprogramms mit installiert. Der geheime Teil des Kundenschlüssels und des Dienstleisterschlüssels verlassen dabei nicht die Rechner von Kunden und Dienstleister. Außerdem prüfen Kunde und Dienstleister zu Verbindungsbeginn mithilfe ihrer Software ein gemeinsames Passwort.

In den uns vorliegenden Fällen wird dieses Passwort beim Kunden angezeigt und muss telefonisch dem Dienstleister mitgeteilt und dort eingegeben werden. Dieses Passwort wird mit einem Protokoll namens Secure Remote Password Protocol (SRP) geprüft. Ist zwischen den Rechnern von Kunden und Dienstleistern keine direkte Verbindung möglich, so läuft auch der nachfolgende Datenaustausch verschlüsselt über eine vom Hersteller bereitgestellte Infrastruktur. Ferner wird SRP auch bei der Anmeldung an Konten von Dienstleistern und Kunden in der Infrastruktur des Herstellers genutzt. Zur Anmeldung an solche Konten kann zusätzlich eine Zwei-Faktor-Authentisierung genutzt werden. Darüber hinausgehende Informationen haben wir von den Anwendern nicht erhalten. Beim Einsatz kryptographischer Verfahren kommt es nicht nur auf die richtigen

Algorithmen und Parameter wie Schlüssellängen an, sondern auch auf deren korrekte Implementation oder technische Umsetzung einschließlich einer sinnvollen Kombination verschiedener Verfahren sowie auf die Schlüsselverwaltung. In jedem dieser Bereiche können Fehler dazu führen, dass die Gesamtlösung als unsicher zu betrachten ist. Die kryptographischen Verfahren RSA-2048, AES-256 und SRP entsprechen jedes für sich genommen dem Stand der Technik. In den uns vorliegenden Unterlagen ist jedoch nicht beschrieben, wie sichergestellt wird, dass der vom Masterserver übermittelte öffentliche Schlüssel tatsächlich zum vermuteten Kunden oder Dienstleister gehört. Dienstleister und Kunde können dies nämlich nicht anhand weiterer Informationen, beispielsweise mit Zertifikaten von unabhängigen Stellen, prüfen. Sie sind in diesem Punkt vollständig auf den Hersteller von TeamViewer angewiesen. Bei Anwendungen mit hohem Schutzbedarf ist dies nicht hinnehmbar. Es entspricht nicht dem Stand der Technik. Kunde und Dienstleister müssten sich von der Echtheit der übermittelten öffentlichen Schlüssel überzeugen können, ohne auf den Hersteller angewiesen zu sein. In Betracht kommen hierzu beispielsweise der manuelle Vergleich von sogenannten Fingerprints (dies sind geeignete Prüfdaten der Schlüssel) oder die Nutzung einer eigenen oder selbst gewählten Public-Key-Infrastruktur. Diese Sicherheitslücke könnte durch das Protokoll SRP geschlossen werden. Damit kann der Kunde prüfen, ob der Dienstleister im Besitz eines vorher vereinbarten Passwortes ist. Gleichzeitig entsteht bei beiden Teilnehmern weiteres Schlüsselmaterial, welches sie beispielsweise zur Verbindungsverschlüsselung nutzen könnten. Den uns vorliegenden Unterlagen ist jedoch nicht zu entnehmen, dass TeamViewer das mit SRP produzierte Schlüsselmaterial zur Absicherung der Fernwartungsverbindung nutzt. Außerdem genügt die telefonische Übermittlung von Passwörtern nicht dem hohen Schutzbedarf der geprüften Anwendungen. Unter diesen Bedingungen kann auch SRP das beschriebene Problem nicht lösen. Die oben genannte Zwei-Faktor-Authentisierung hat keinen Einfluss auf die Sicherheit der Fernwartungsverbindung selbst und wurde deshalb nicht weiter betrachtet. Rechtlich ist eine datenverarbeitende Stelle, die Wartungsleistungen für ihre Informationstechnik in Anspruch nimmt, Betroffenen gegenüber für die datenschutzgerechte Ausführung dieser Leistungen verantwortlich. Es handelt sich hierbei um Datenverarbeitung im Auftrag (§ 4 DSG M-V, § 11 BDSG).

Die Stelle muss insbesondere sicherstellen, dass bei der Fernwartung keine Unbefugten auf personenbezogene Daten zugreifen können (§ 21 DSG M-V, § 9 BDSG). Dabei haftet die Stelle auch für Datenschutzverstöße der von ihnen beauftragten Stelle einschließlich eventueller Fehlentscheidungen bei der Auswahl von Fernwartungslösungen. Die vom Hersteller der Fernwartungslösung TeamViewer bereitgestellten Sicherheitsmechanismen erfüllen nach derzeitigem Kenntnisstand nicht die bestehenden datenschutzrechtlichen Anforderungen für hoch schutzbedürftige Verfahren zur Verarbeitung personenbezogener Daten. Solche Verfahren dürfen mit diesem Produkt nur dann ferngewartet werden, wenn die dazu genutzten Verbindungen ausreichend gesichert sind, beispielsweise mit einem kryptographischen Virtual Private Network (VPN).

Quelle: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks