Potenzialkrypt

WHITEPAPERLEGITIMEREINSATZVONCRYPTO-MININGHerausgeber:eco–VerbandderInternetwirtschafte.
V.
Autoren:RalfBenzmüller(GDATA),MichaelHausding(SWITCH),PatrickKoetter(sys4AG),PeterMeyer(eyeo)EINLEITUNGCrypto-Miningknntesichalsneues,alternativesGeschftsmodellzurFinanzierungvonOnlinedienstenimInternetetablieren.
LeideristCrypto-Miningdurchdenhufi-gen,kriminellenMissbrauchinVerrufgeraten.
DiesesWhitepapergibtEmpfehlungenfürdenlegitimenEinsatzvonCrypto-MiningaufWebseitenundin(mobilen)Apps.
DieEmpfehlungensteheneinerseitsimEinklangmitdenInteressenderInternetnutzerundberücksichtigenandererseitsdiekommerziellenInteressenvonAnbietern.
Crypto-MiningfindetaufdenRechnernoderSmartphonesvonNutzernstatt.
Esbie-tetWebseitenbetreibern,alternativoderkumulativzurOnlinewerbungdieMglichkeit,Geldzuverdienen.
App-EntwicklererhaltendamiteinezustzlicheMglichkeit,Ent-wicklungundBereitstellungihrerDienstleistungenzufinanzieren.
DieNutzungiststatthaft,solangesiemitEinwilligungderNutzerstattfindet.
WennGe-rtejedochohnedieEinwilligungderjeweiligenEigentümerzumSchürfenvonKryp-towhrungengenutztwerden,wirddarausMissbraucheinerfremdenRessource.
DiemissbruchlicheundunerwünschteNutzungüberwiegtdielegaleNutzunggegenwr-tigsostark,dassvieleCrypto-Mining-Dienstepauschalgeblocktwerden.
BetreibervonApp-StoreshabendeshalbbereitsihreRichtlinienangepasstundMining-AppsausdenStoresverbannt.
eco–VerbandderInternetwirtschafte.
V.
2CRYPTO-MININGVS.
CRYPTO-JACKINGKryptowhrungenwieBitcoin,Ethereum,MonerooderDashbasierendarauf,dassTeil-nehmerihreGertekomplizierteRechenaufgaben(BerechnungeinerBlockchain)lsenlassen.
ImAustauschdafürerhaltenTeilnehmereineBelohnung,meistinFormvonCoins(Münzen)derjeweiligenWhrung.
DiesenVorgangnenntmanMining"oderzuDeutschSchürfen".
EslsstsichmitjedemComputeroderSmartphone/Tabletdurch-führen.
Crypto-MiningkostetGeld,denndieBerechnungenlastendieProzessorenderGerteausunddieseverbrauchendafürmehrStrom.
FüretablierteKryptowhrungenwieBitcoinoderEthereumistdasSchürfenmitgewhnlichenPCsaufgrundderdafürnotwendigenhohenRechenleistungunddervergleichsweisegeringenVergütungun-rentabel.
UmdennochGeldmitdemCrypto-Miningzuverdienen,führenprofessionelleMinerdienotwendigenBerechnungeningroenRechenzentrenmitspeziellerHardwareinRegionenmitgünstigemStromdurch.
NursoknnensiedieKostendeckenundGe-winnerwirtschaften.
AndereKryptowhrungen,wiezumBeispielMonero,gestattenmithandelsüblichenRechnern,NotebooksundsogarSmartphoneseffektivesSchürfen.
AberauchhierschmlerndieStromkostendenerrechnetenGewinnmageblich.
DieStromkostenfallenweg,wenndieBerechnungenvonfremdenGerten,z.
B.
denRech-nernvonWebseitenbesuchernbeziehungsweiseNutzernvonSoftwareundAppsaus-geführtwerden.
DanntragendieEigentümerderGertedieStromkosen.
GeschiehtdiesmitWissenundZustimmungderNutzer,istdaslegitim.
DieserAnsatzhatdasPotenzial,Internetangebote,aberauchApps,aufSmartphoneszufinanzieren.
AuchCyberkriminellehabenerkannt,dassimEinsatzfremderGertefürdasCrypto-Mi-ningeinerheblichesErtragspotenzialliegt.
MitSchadprogrammenundimVerborgenenlaufendenSkriptensorgensiedafür,dassRechnerunbemerktvomNutzerzumSchür-fenvonKryptogeldeingesetztwerden.
IhreSchadprogrammeundSkripteverteilensieüberWebsitesoderApp-Stores.
SiemissbraucheninfizierteSmartphonesundingroemeco–VerbandderInternetwirtschafte.
V.
3UmfanggekaperteRechner,Rechnernetzwerke,WiFi-HotspotsundsogarRechenzent-renzumMining.
DiedadurcherzieltenErlseflieenindieTaschenderCyberkriminellen.
DieseArtdesCrypto-MiningwirdCrypto-Jacking(vonengl.
Hija-cking,entführen)genannt.
Crypto-Jackingstehtfürdenunrechtmigen,missbruch-lichenEinsatzvonMining-Skripten,whrendCrypto-MiningdielegitimeNutzungvonMining-Skriptenbezeichnet.
MiningkannaufvieleArtendurchgeführtwerden.
Indie-semDokumentbeziehtsichCrypto-MiningaufdieAnwendungsflleWebseite"sowiealsergnzendeFunktionalitteiner(mobilen)App.
WIEFUNKTIONIERTCRYPTO-MININGJavaScriptaufeinerWebseiteJavaScriptisteineProgrammiersprache,dieaufdemGerteinesNutzersausgeführtwerdenkann.
WebseitenbesitzerknneneininJavaScriptgeschriebenesSkriptinihrWebangebotintegrieren.
DerBrowserldtesaufderWebsiteundeswirdaufdemGertdesWebseitenbesuchersausgeführt.
AufgrunddieserFunktionalittbietenCrypto-Mi-ning-DienstleisterwiezumBeispielCoinhive,CoinImpoderCrypto-LootinJavaScriptgeschriebeneMining-Skriptean.
SiewerdenüberWebsitesandieGertederWebsite-besucherverteilt.
DasausgelieferteSkriptstartetimBrowserdieRechenoperationen,diezumSchürfenvonKryptogeldnotwendigsindundliefertdieErgebnisseandenBetrei-berzurück.
DersoerwirtschafteteGewinnflietandenregistriertenKundendesCryp-to-Mining-Dienstleisters–abzüglicheinerProvisionfürdenDienstleister.
KundekannderrechtmigeBetreibereinerWebseitesein,dersoseineAngebotefinanziert.
Ande-rerseitsknnteesaberaucheinkriminellerAngreifersein,dersichZugriffzumWebser-ververschaffthatunddiesennunfürsicharbeitenlsst.
DerbeschriebeneMissbrauchistdeutlichhufigerderFall.
eco–VerbandderInternetwirtschafte.
V.
4AppsaufdemPCundSmartphoneDieCrypto-Mining-FunktionenknnenzudemdirektindiejeweiligeAppintegriertseinundwerdenbeiderNutzungderAppimHintergrundausgeführt.
InvielenFllenver-breitensichdieseAppsauchaufandereRechnerimNetzwerk.
CRYPTO-MININGAUSSICHTDERVERBRAUCHERCrypto-Miningbzw.
Crypto-JackingerfolgthufigohnedieZustimmungoderdasWis-sendesNutzers.
EsverursachtdurchdenzustzlichenStromverbrauchinersterLinieKostenundmin-derthufigdieArbeitsgeschwindigkeiteinesGerts.
Dasgehtteilweisesoweit,dassvonCrypto-JackingbetroffeneGertenurnocheingeschrnktoderüberhauptnichtmehrgenutztwerdenknnen.
AufmobilenGertenreduziertCrypto-MiningsignifikantdieDauerdesBatteriebetriebs.
EsführtinmanchenFllenzurberhitzungoderzuirreparablenSchdenamGert.
Crypto-MiningverletztzudemeventuellSoftwarerechteundffnetmglicheHintertü-renfürdiebermittlungvonSchadcode.
ProblematischistCrypto-MiningauchaufFremdgerten,zumBeispielinUnterneh-mensnetzen,wennhiernichtdieeigenenRessourcendesMitarbeitersgenutztwerden,sonderndieDritter–ohnederenZustimmung.
DerBesucheinerWebseiteoderdieNut-zungeinerAppmitCrypto-MiningversttmglicherweisegegendieUnternehmens-richtlinien.
AufgrunddieserteilsmassivenKonsequenzenistesnotwendig,dassNutzerüberdenrichtigenundrechtmigenEinsatzvonCrypto-MininginformiertundihnenmglicheKonsequenzenaufgezeigtwerden.
eco–VerbandderInternetwirtschafte.
V.
5CRYPTO-MININGAUSSICHTEINESWEBSEITENBETREIBERSODERAPP-HERSTELLERSCrypto-MiningaufeinerWebseiteoderalsTeileinerAppeinzusetzen,istfürdenBetrei-bermiteinemRisikoverbunden.
DerEinsatzkannschnelldazuführen,dassdieWebseitevonBrowsern,SchutzsoftwareundWerbeblockerngesperrtwird.
AppsmitMining-Funktionenwerdenausdengngi-genApp-Storesentfernt.
ImschlimmstenFallwerdensmtlicheAngeboteeinesHerstel-lersausdemApp-Storeverbannt,selbigeskannaucheinemWebseitenbetreiberwider-fahren.
InbeidenFllendrohenBetreibernUmsatzeinbuen,daihrAngebotnichtmehrerreichbaroderverfügbarist.
DeshalbistesfürBetreibererforderlich,dasssiesichaneinesaubereImplementierunghalten,umeinenEintragaufeinerBlacklistodereinEntfernenihresAngebotszuver-meiden.
FürdenlegitimenEinsatzvonCrypto-MiningsolltenalsoSpielregelngelten.
eco–VerbandderInternetwirtschafte.
V.
6EMPFEHLUNGENFRDENLEGITIMENEINSATZVONCRYPTO-MINING1.
BetreibereinerWebseiteoderHerstellereinerAppmüssendenNutzerexplizitdaraufhinweisen,dassdieWebseiteoderdieAppCrypto-MiningdurchführtunddabeiaufdieRessourcendesNutzerszugreift.
2.
DerNutzermussfürdenEinsatzvonCrypto-MiningexplizitperOpt-inseineEinverstndniserklrunggeben.
3.
DerNutzermussdenCrypto-Mining-Prozessjederzeitbeendenknnen.
4.
DerHinweis,dieEinverstndniserklrungunddasBeendendesCrypto-MiningsmüssenfürdenNutzerklarerkennbar(AccessibilityGuidelines")undzweifelsfreibedienbarsein.
5.
DerHinweis,dieEinverstndniserklrungunddasBeendendesCrypto-MiningserfolgenanhandgeltenderInterface-Standards.
6.
DasRisiko,Schadcodezuübermitteln,istgeringstmglichzuhalten.
DabeisolltedereingesetzteCodenichtvonderStandardkonfigurationdeseingesetztenCrypto-Mining-Toolsabweichen,umeinemglicheVerschleierungvonSchadsoftwareauszuschlieen.
BeiAppsdienthierderBSI-StandardalsGrundlage.
7.
DereingesetzteCodedarfausschlielichfürCrypto-Miningverwendetwerden.
EineandereNutzung–zumBeispielalsBundle/PaketmitFunktionenwieWerbungoderTracking–mussexplizitausgeschlossenwerden.
8.
DereingesetzteCodemussjederzeitmaschinenlesbarsein.
DieVerschleierungvonURLsundJavaScript-Codesollteunterbleiben.
9.
BeimEinsatzvonCrypto-Miningmusssichergestelltwerden,dassdieRessourcendesgenutztenGertsnichtüberbeanspruchtwerden.
DieregulreNutzungseitensdesNutzersdarfnichtbeeintrchtigtwerdenunddasGertdarfdurchdasMiningkeinenphysischenSchadenerleiden.
IdealerweisekanneinNutzerdiemaximaleCPU-Lastbegrenzen.
10.
DerBetreibereinerWebseitemusssicherstellen,dassdieNutzungvonCrypto-MininggegenüberdenWebseitenbesucherntransparenterfolgtundermusssmtlichedatenschutzrelevantenInformationenbereitstellen.
eco–VerbandderInternetwirtschafte.
V.
8SCHLUSSWORTCrypto-MiningknntesichzukünftigalseinealternativeMglichkeitzurFinanzierungvonWebsitesetablieren.
NebenderOnlinewerbunghttenBetreibervonInternetan-gebotendamiteineweitereMglichkeit,hochwertigenContentoderandereInhaltezufinanzieren.
DieAutorenschlagenmitdiesemDokumentRahmenbedingungenvor,diealsGrundla-gefüreinenfairenEinsatzvonCrypto-Miningdienensollen.
Dabeihabensieversucht,dieInteressenallerStakeholderzuberücksichtigen–sowohldieSichtderBetreibervonWebseitenangebotenalsauchdiederBesucher.
DadurchsollendieSpielregelnaufge-stelltwerden,dieesermglichen,dassCrypto-MiningsichkünftigalsGeschftsmodellfürWebseitenbetreiberundApp-Entwickleretablierenkann.
DieAutorenempfehleninternationalenGremienbeziehungsweiseOrganisationen,aufderGrundlagederIdeenindiesemDokumenttechnischeStandardsfürdasCrypto-Miningzudefinieren.
eco–VerbandderInternetwirtschafte.
V.
8BERDIEAUTORENRalfBenzmüllerUnterderLeitungvonRalfBenzmüllerentstandeninBochumseit2004dieGDATASecurityLabs.
DortwarerverantwortlichfürdieEntwicklungvoneffizientenAnalyseverfahrenunddieIntegrationvonproaktivenSchutztechnologiengegenMalware-Bedrohungen.
RalfBenzmülleristAutorzahlreicherFachartikelüberOn-line-Bedrohungen.
Eristu.
a.
MitglieddesBSI-ExpertenkreisCyber-Sicherheit,derecoKompetenzgruppeSicherheitsowieDozentanmehrerenHochschulen.
MichaelHausdingMichaelHausdingverantwortetbeiSWITCH,derRegis-trierungstellefür.
chund.
liDomain-Namen,denCom-petenceLeadDNS&DomainAbuse.
AuerdemisterIn-cidentHandlerbeiSWITCH-CERTundTrainerfürIncidentResponsebeiFIRST,demweltweitenForumofIncidentResponseandSecurityTeams.
ErengagiertsichferneralsVorstandsmitgliedimISOCSwitzerlandChaptersowieinderSwissInternetSecurityAlliance.
MichaelHausdinghatInformatikanderTechnischenUniversittDarmstadtstudiertundeinenMASinManagement,TechnologyandEconomicsvonderETHZürich.
eco–VerbandderInternetwirtschafte.
V.
9PatrickKoetterPatrickKoetteristCEOdersys4AG,ExpertefürE-Mail-Si-cherheitundLeiterderecoKompetenzgruppenAnti-Ab-useundE-Mail.
ErbertBehrdenundUnternehmenbeiPlanung,AufbauundBetriebsichererE-Mail-Plattformen.
InInternet-StandardisierungsgremiumIETFwirkteraktivanderSchaffungneuerSicherheitstechnologienfürE-MailundandereDienstemit.
PeterMeyerPeterMeyeristbeidereyeoGmbHalsProjektmanagerIT-Sicherheitttig.
EristReferentundFachautorzahlrei-cherVerffentlichungenmitdenSchwerpunktenITSecu-rityAwareness(Phishing,Botnetze,MalvertisingundOn-line-Betrug).
ZudemisterMitglieddesExpertBoardsbeimEU-ProjektCyberwiser.
euunddesKlnerSecurityStartupsSoSafe.
DarüberhinausisterindenArbeitsgruppenAn-ti-AbuseundSicherheitbeimecoVerbandaktiv,woerdieProjekteBotfrei,SIWECOSunddasEU-ProjektACDCgelei-tethat.
eco–VerbandderInternetwirtschafte.
V.
10