Hackerangriffe und die IT-Sicherheit

[DAB+Fan]

Zum Hackerangriff im Fall von Donau 3 FM gab es ja schon eine Diskussion.
Spätestens jetzt, seit dem neuesten Fall von Arabella München (https://www.radioszene.de/207895/hackerangriff-radio-arabella.html), sollte die Frage gestellt werden:

Wie sicher ist die IT in den Medienhäusern, besonders im Bereich Hörfunk?

Welche Maßnahmen können noch getroffen werden, um die Sicherheit zu erhöhen?
Sollte der Rechner mit der Ausspiel- / Sendesoftware (falls möglich) nur offline betrieben werden?
Wird das so evtl. schon umgesetzt?

Vorschläge und eine Diskussion dazu bitte gerne hier in diesem Thread.

 

[Applepie]

Das Problem ist, für Sicherheit will niemand zahlen. Das sind reine Kosten und erst wenn es brennt, macht man sich Gedanken. Das erlebe ich leider tagtäglich und ewig wird an den Kosten diskutiert, Die andere Variante sind dann tolle Systemhäuser, die irre viel Geld für Konzepte, Firewalls etc. verlangen und dann reicht eine läppische Mail mit Anhang und alles ist weg. So war es bei donau3fm und heise-Verlag.

Lernen durch Schmerzen, mein Mitleid hält sich hier echt in Grenzen. Die Kosten einen solchen Ausfalles übersteigen die Kosten für einen guten kleineren Consultant.
Konkrete Maßnahme mag ich hier nicht diskutieren, da ich damit mein Geld verdienen und das eben nicht für lau hergebe.
Die Sicherheit ist dort hoch, wo Firmen gezwungen sind (z.B. durch die Bafin im Bankenbereich oder BSI bei größeren Firmen). Darunter schwimmen soviel Leichen rum, die mag ich schon gar nicht mehr zählen.

Ja Arabella hatte sicher Backups und Firewalls, sonst hätten sie nicht in 2-3 Tagen das wieder hochgezogen. Ohne Details ist das natürlich reine Spekulation. Aber waren die USB Ports geschützt, Systeme gehärtet, GPOs etc.. ach es gibt soviel Stellschrauben, die dann aber auch das Arbeiten etwas anstrengender machen. Oft siegt dann eben die Faulheit bis es mal knallt.
Teilweise werden auch uralte Systeme eingesetzt, für die es keine Updates mehr gibt. Auch dies sind dann Einfallstore die man nutzen kann als Angreifer....

IT Security ist eben wie eine Autoversicherung. Man braucht sie nicht, ist aber froh sie zu haben wenn es knallt. Der Unterschied: die Versicherung ist Pflicht, die IT Security eben nicht....

 

[tchibo]

Ich muss zwar auch immer schmunzeln, wenn ich die Windows 7-Anmeldebildschirme auf den hr-Webcams sehe. Solange diese Systeme in einem getrennten VLAN unterwegs sind, keinen pauschalen Zugang zu anderen Netzen oder dem Internet haben, und die Hardware-Schnittstellen zuverlässig dicht, ist das aber kein riesiges Problem. Du kannst sie halt nicht komplett abschotten - irgendwie müssen die Titelinformationen z. B. raus in die Welt, und irgendwie aktuelle Beiträge rein. Du kannst sie aber zu 99,95% abschotten. Mich wundert eher, dass der hr noch Clients auftreiben kann, für die Win7-Treiber existieren. Vielleicht hat man sich aber auch 50 Altgeräte auf Halde gelegt.

IT Security ist mitnichten freiwillig, wenn dein Unternehmen NIS-2-relevant oder Bestandteil der KRITIS ist. Das BBK Bund sieht das für den Rundfunk durchaus als gegeben. Die kritische Dienstleistungen sind demnach Warnung und Alarmierung, Versorgung mit Informationen und das Herstellen von Öffentlichkeit.

 

[Radiofreak11]

Es ist schon traurig, dass offenbar keiner der angefallenen Sender ein altes, vollanaloges Havariestudio bereithält.
Da war man dann wohl mit dem Verschrotten zu übereilig.
Mittels analogem Mischpult und CD-Playern kann doch eigentlich jederzeit völlig unabhängig von irgendwelchen Festplatten-Playlist-Servern gesendet werden, so lange man das Signal noch aus dem Funkhaus herausbekommt. Das könnte man aber dann auch über einen Havarie-Rechner machen.

Ich muss zwar auch immer schmunzeln, wenn ich die Windows 7-Anmeldebildschirme auf den hr-Webcams sehe.

Ich könnte mir vorstellen, dass die spezielle Radiosoftware nur auf Windows 7 läuft. Das sind ja leider keine Massenprogramme und somit oft auch einzelne Maßanfertigungen. Von daher ist es schon korrekt, dass der hr das Geld für eine neue Sendetechnik spart. Ich denke aber dass die Recherche- und Redaktions-PC's über ein aktuelles Windows verfügen. Es ist ja schon ein Witz mit dem Ablaufdatum von Windows. Unter Linux gibt es so etwas nicht. Aber dafür wird wiederum wohl keine Radio-Software geschrieben.
Es war ja schon früher z.B. beim guten alten "Cutmaster" so, dass dieser nach Windows 2000 verlangte. Schon unter Windows XP war das Programm nutzlos und es musste ein Update erstanden werden.
Sendesysteme wie Zenon, Digas und Co. wird man bestimmt auch nicht einfach auf andere, als die oder das vorgegebene Betriebssystem installieren können.

 

[Applepie]

IT Security ist mitnichten freiwillig, wenn dein Unternehmen NIS-2-relevant oder Bestandteil der KRITIS ist. Das BBK Bund sieht das für den Rundfunk durchaus als gegeben. Die kritische Dienstleistungen sind demnach Warnung und Alarmierung, Versorgung mit Informationen und das Herstellen von Öffentlichkeit.

Naja das gilt für ÖR aber nicht für Arabella sooo wichtig sind die auch nicht...NIS-2 relevant ja, Kritis nein.

Ich könnte mir vorstellen, dass die spezielle Radiosoftware nur auf Windows 7 läuft. Das sind ja leider keine Massenprogramme

Das sind Softwarehesteller die auch neue Version erstellen können. Es ist ja ewig bekannt, dass Windows 7 out ist und es für Windows 10 bald keine Updates mehr gibt.
Tja da hat man eben geschlafen beim Einkauf -> mein Mitleid geht gehen 0 wenn ich solche Argumente höre.

Das soll jetzt echt nicht schadenfroh klingen, aber solche Sender denken, wir sparen und mal den Audit füt 10.000 Euro. Der Ausfall hat locker mehr gekostet.

Wss ist dann die Moral: wir haben es ja hin bekommen, es läuft irgendwie und von Einsicht keine Spur.

Es muss eben mal richtig weh tun, damit man erkennt: IT Security ist wichtig und kostet Geld.

Ich muss zwar auch immer schmunzeln, wenn ich die Windows 7-Anmeldebildschirme auf den hr-Webcams sehe. Solange diese Systeme in einem getrennten VLAN unterwegs sind, keinen pauschalen Zugang zu anderen Netzen oder dem Internet haben, und die Hardware-Schnittstellen zuverlässig dicht, ist das aber kein riesiges Problem. Du kannst sie halt nicht komplett abschotten -

Genau das was du schreibst ist an Blauäugigkeit nicht zu überbieten. Genau das was du schreibst erlebe ich genug bei Firmen. Ich hoffe du hast keine leitende Funktion, denn so eine Aussage wäre ein Kündigungsgrund.Du hast KEINE Ahnung was wichtig ist - tut mir leid es so hart zu sagen. Aber man muss den Leuten die Augen öffnen und solche Aussagen helfen gar nicht. Ja es ist kein riesiges Problem, aber schon EINE Lücke reicht aus. Da bringt es wenig wenn man sagen kann: Oh wir haben fast alles geschlossen und sind zu 99,X %sicher...

Es ist völlig egal. ob es 10.000 oder 100.000 Lücken gibt, EIN Treffer reicht. Leider schaut das Management immer nur auf Zahlen aber man vergisst die Gewichtung der Sicherheitslücken.

Bring mir ein Laptop oder System von deinem Radiosender... in 30 Minuten habe ich alles abgezogen und auch genug Daten ins Netz eingeschleußt um Unsinn anzustellen.

 

[Applepie]

So noch ein kleiner Nachtrag zu Windows XP/7 und bedingt 10...
Wo sind Maus und Tastatur angeschlossen?

Kabellos -> Bluetooth -> Volltreffer
Kabel an USB -> indirekt Volltreffer da es präparierte USB Sticks gibt, die sich als Tastatur ausgeben
Wer schliesst denn heute noch eine Tastatur mit Kabel an und wenn bei legacy Systemen an den PS/2 Port?

Es gibt so ein nettes Spielzeug namens Flipper Zero für ca 230.- und mit der passenden Software kann man genug Unsinn anstellen. Etwas größer und auffälliger wäre ein Raspberry mit dem man aber fast ungeahnte Möglichkeiten hat.

Da reicht es wenn eine Besuchergruppe ins Studio darf Kleines Gerät mit SIM Karte und Bluetooth liegen lassen...

IT Sicherheit hat auch mit physischer Sicherheit zu tun und man prüft ob man in das Gebäude kommt, dort was liegen lassen kann oder ob alle LAN Ports geschützt sind. Ein reiner MAC-Filter reicht da auch nicht aus!.

Also es gibt genug Möglichkeiten alte Systeme anzugreifen, weil die schlicht und einfach nicht mehr zu härten sind.

So nebenbei: Bis vor nicht allzulanger Zeit gab es Geldautomaten, die noch mit XP (!) liefen. Einer davon stand bei einer Bank mit Dos Prompt.... und ja auch da konnte man dann genug Unsinn anstellen. Der Support der Bank wollte das erst nicht glauben hat sich dann aber mittels einer auf C:\temp hinterlegten ich-war-da.txt überzeugen lassen.

Persönlich ist es eine Sauerei was Microsoft mit Windows 10 macht, man zwingt zum Hardwareupgrade indem man einfach keine Updates mehr anbietet. OK das geht noch ein Jahr aber die Uhr tickt. Über kurz oder lang kommt man um Windows 11 nicht rum und muss die alte Hardware wegwerfen. Ausser man trickst bei der Installation auf Windows 11 (funktioniert auch bei nicht offiziell freigegebener Hardware). Alternative wäre eben Linux, aber ich weiß leider nicht ob es dafür Senderautomations-Software gibt.

Dann gibt es noch genügend nicht veröffentlichte Schwachstellen, die am Markt gehandelt werden.

Last but not least: Arabella hatte wenigstens Backups, daran scheitert es auch oft. Entweder nicht vorhanden oder uralte Backups. Noch besser: niemand prüft in einer Notfallübung ob die Backups auch valide sind...

Was ich damit sagen will... es gibt so viele Schwachstellen um die sich niemand kümmert und es geht ja oft gut. Erst wenn es mal richtig kracht, wachen die Verantwortlichen auf und dann zahlt man im Endeffekt viel mehr als man in den Jahren davor eingespart hat.

 

[Rundfunkautist]

Wenn man die mAirList aus Bequemlichkeit ins öffentliche Internet lässt, selber Schuld.

 

[Onairlove]

mAirList

Kein einigermaßen professioneller Sender nutzt diese Software.

 

[Applepie]

Wenn man die mAirList aus Bequemlichkeit ins öffentliche Internet lässt, selber Schuld.

Naja viele Software in dem Bereich will ins Internet bzw. Daten exportieren (z,B, Playlist auf die Webseite). Es gibt aber genug Möglichkeiten dies abzusichern (insbesondere wenn nur was exportiert aber nicht importiert werden muss). Kostet halt Geld was man ungern ausgibt.
Eigenes Netz, keine Anbindung nach aussen, keine default-route.. Export mit Spezialproxy.. alles machbar...

Einfacher ist es, sowas plug and play hinzustellen

Kein einigermaßen professioneller Sender nutzt diese Software.

Ok ich kenne die Software nicht, die Homepage macht einen guten Eindruck. Was ist denn so schlecht an der Software?

 

[Zwerg#8]

Kein einigermaßen professioneller Sender nutzt diese Software.

Eine etwas gewagte Aussage. (Hier kommt bestimmt gleich jemand um die Ecke und fragt genauer nach, welche Gründe zu dieser Einschätzung geführt haben. Eine Lernkurve gibt es überall.)

Referenzen | mAirList Radio Automation

www.mairlist.com

 

[lg74]

Kein einigermaßen professioneller Sender nutzt diese Software.

Doch, aber meist nicht im Live-Sendebetrieb. Hier ist die Referenzliste von Mairlist:

Referenzen | mAirList Radio Automation

www.mairlist.com

Da stehen auch DRadio, ARD-Anstalten und die BBC drauf. Mairlist läuft dort dann vermutlich an örtlich "isolierten" (kleine Lokalredaktion) Redaktionsplätzen oder auf dem Laptop, der zu der "Außenübertragungs-Kiste" gehört, die man schnell mal in einen PKW lädt um irgendwo was live zu machen, vielleicht in einem Ausbildungsstudio etc.

Mir ist ein Einsatzfall aus einer ARD-Anstalt bekannt, wo man aus der Teeküche auf der Etage sendete und nicht aus dem Studio. In der Teeküche war ein Profikoch zugegen und hantierte da live im (Kultur-)Radio an der kleinen Doppelkochplatte. Das ganze via Headset und Rodecaster als Mischpult / Summierung, Mairlist machte die wenige Musik und die Einspieler, via Mupro dann in den Schaltraum und von dort zurück ins Studio. Im richtigen Studio saß aber wer ab, falls das schief geht. Ging jedoch nicht schief.

Was ist denn so schlecht an der Software?

Soweit mir bekannt ist das die beste Software, um für wenig Geld ernsthaft Radio-Playout für den Sendebetrieb machen zu können. Ich wüsste nicht, was daran schlecht wäre. Für die gängigen Profi-Mischpultsysteme (DHD, Lawo etc.) gibt es softwareseitige Anbindung.

@DigiAndi hat Mairlist mit seinem Lawo Crystal laufen (Pult und Software reden miteinander) und hat damit die Technik auf der letzten Mini-München gestellt:

Mini-München 2024: So läuft hier der Redaktionsalltag | BR.de

www.br.de

(wo der komische Grafikfehler herkommt, ist unklar)