Vorlesungsfolien

Management ist ein Komplex von Steuerungsaufgaben, die bei der Leistungserstellung und -

sicherung in arbeitsteiligen Organisationen erbracht werden müssen. Diese Aufgaben stellen sich ihrer Natur nach als immer wiederkehrende Probleme dar, die im Prinzip von jeder Leitungsposition zu lösen sind, und zwar unabhängig davon, in welchem Ressort, auf

welcher Hierarchieebene und in welcher Organisation sie anfallen.

Drei Managementansätze

1. Handlungsorientiertes Managementkonzept (funktionaler Ansatz): Fokus auf Steuerungsaufgaben.

2. Personenorientiertes Managementkonzept (institutioneller Ansatz): Fokus auf Führungskräfte.

3. Handhabungsorientiertes Managementkonzept: Fokus auf Methoden und Techniken.

Die fünf klassischen Managementfunktionen sind:

1. Planung (Zielsetzung und Strategieentwicklung),

2. Organisation (Strukturierung von Aufgaben und Abläufen),

3. Personaleinsatz (Mitarbeiterführung und -entwicklung),

4. Führung (Motivation und Steuerung von Arbeitsabläufen),

5. Kontrolle (Soll-Ist-Vergleich zur Zielerreichung).

Management besteht nicht aus isolierten Einzelschritten, sondern als kontinuierlicher Zyklus funktioniert.

Hier bspw.:

1. Planung legt die Ziele und Strategien fest.

2. Organisation strukturiert Abläufe und Ressourcen.

3. Personaleinsatz sorgt für die richtige Besetzung der Stellen.

4. Führung steuert und motiviert Mitarbeiter zur Zielerreichung.

5. Kontrolle überprüft, ob die gesetzten Ziele erreicht wurden.

Security is a process, not a product

Informationssicherheit stellt die Vertraulichkeit, Verfügbarkeit und Integrität von Information sicher (in jeder Form). (confidentiality, availability and integrity)

()

Informationssicherheit umfasst die Anwendung und das Management von angemessenen Sicherheitsmaßnahmen.

Diese Maßnahmen müssen festgelegt, umgesetzt, überwacht, überprüft und, wo notwendig, verbessert werden, um sicherzustellen, dass die spezifischen Informationssicherheits- und Geschäftsziele der Organisation erreicht werden.

Infosicherheit -> Schutz von Infos in jeder Form (Papier,…)

IT-Sicherheit -> Schutz von Informationstechnischen Systemen

Infosicherheit umfasst IT-Sicherheit

Die Intrusion Kill Chain beschreibt den typischen Ablauf eines Cyberangriffs in sieben Schritten:

1. Reconnaissance – Zielaufklärung,

2. Weaponization – Angriffswerkzeug erstellen,

3. Delivery – Schadsoftware verbreiten,

4. Exploitation – Sicherheitslücken ausnutzen,

5. Installation – Malware im Zielsystem verankern,

6. Command & Control – Kontrolle über das System erlangen,

7. Actions on Objectives – Angriffsziel erreichen (Daten exfiltrieren, sabotieren).

• Zielsetzung (Wann ist der Angriff ein Erfolg für den Angreifer?)

• Motivationsstärke (Wie wichtig ist dem Angreifer das Erreichen der Zielsetzung?)

• Fokussierung (Muss eine bestimmte Organisation oder ein bestimmtes Individuum angegriffen werden, um die Zielsetzung zu erreichen?)

• Ressourcen (Welche Ressourcen stehen dem Angreifer zur Verfügung?)

Die Zielsetzung eines Angreifers beschreibt, was er mit seinem Angriff erreichen möchte. Typische Ziele sind:

• Zugriff auf Ressourcen (z. B. Netzwerkbandbreite, Rechenkapazität)

• Diebstahl von Informationen (z. B. Zugangsdaten, Finanzdaten, Geschäftsgeheimnisse)

• Manipulation oder Sabotage (z. B. Daten verändern, Zahlungssysteme umleiten)

• Erpressung (z. B. Ransomware-Angriffe)

• Denial of Service (DoS) (z. B. Überlastung von Servern)

Die Motivation gibt an, warum der Angreifer handelt:

• Finanzieller Gewinn (z. B. durch Betrug oder Erpressung)

• Politische oder strategische Ziele (z. B. staatlich unterstützte Cyberangriffe)

• Persönliche Interessen (z. B. Neugier, Ansehen in der Hackerszene)

• Langeweile oder Rache (z. B. unzufriedene Mitarbeiter oder Jugendliche)

Ungezielt: Opfer nicht definiert, massenhafte Angriffe (z. B. Botnetze, Phishing).

Gezielt: Spezifisches Opfer, oft komplex und langfristig (z. B. Stuxnet, CEO-Fraud).

Wie kann man sich gegen ungezielte Angriffe schützen?

• Firewalls und starke Passwörter

• Regelmäßige Updates und Patches

• Security Awareness für Mitarbeiter

• Antiviren- und Anti-Malware-Software

Wie kann man sich gegen gezielte Angriffe schützen?

• Intrusion Detection Systems (IDS) & Firewalls

• Multi-Faktor-Authentifizierung (MFA)

• Strikte Zugriffsrechte (Least Privilege)

• Überwachung und Analyse von verdächtigem Verhalten

1. Personelle: Anzahl, Ausbildung, Organisation.

2. Finanzielle: Budget, Kauf von Exploits, Dauer des Angriffs.

3. Technische: Testlabore, Botnetze, gehackte Systeme.

4. Insiderwissen: Zugang zu internen Systemen und Prozessen.

?

= Eine “Knowledge Base” über bekannte Angriffstechniken, die Cyberangriffe strukturiert analysiert und hilft, Abwehrmaßnahmen zu verbessern.

Anwendungsfälle:

• Gap Analyse (Identifikation fehlender Schutzmaßnahmen)

• Simulation von Angriffen

• Erkennung und Strukturierung von Angriffen

• Einführung einheitlicher Terminologie

Herausforderung: umfangreiches Wissen → wer muss sich um welche

Aspekte kümmern?

Die IT-Sicherheit schützt Unternehmen und deren Werte (Know-how, Kundendaten, Personaldaten) vor:

• Vertraulichkeitsverletzungen

• Manipulationen

• Störungen der Verfügbarkeit

=> wirtschaftliche Schäden vermeiden.

CIA-Triade:

1. Vertraulichkeit (Confidentiality) – Schutz vor unbefugtem Zugriff.

2. Integrität (Integrity) – Schutz vor unautorisierten Änderungen.

3. Verfügbarkeit (Availability) – Sicherstellung der Erreichbarkeit von Systemen

Vertraulichkeit

Ein System gewährleistet Vertraulichkeit, wenn keine unbefugte Informationsgewinnung möglich ist. Technische Maßnahmen:

• Verschlüsselung (z. B. AES, RSA)

• Zugriffskontrollen (z. B. Rollenbasierte Zugriffskontrolle)

Integrität

Ein System gewährleistet Integrität, wenn Daten korrekt und unverändert bleiben. Technische Maßnahmen:

• Digitale Signaturen (z. B. RSA, ECDSA)

• Hashfunktionen (z. B. SHA-256)

• Fehlerkorrekturcodes (z. B. Hamming-Code)

Verfügbarkeit

Ein System gewährleistet Verfügbarkeit, wenn befugte Nutzer jederzeit Zugriff auf Ressourcen haben. Bedrohungen:

• DDoS-Angriffe

• Hardware-Ausfälle

• Sabotage Schutzmaßnahmen:

• Redundanz (Backup-Systeme, Load Balancing)

• DDoS-Schutzmechanismen

Sicherheit, dass eine Entität das ist, was sie vorgibt zu sein. Wird überprüft durch Authentifikation, z. B.:

• What you know (Passwort)

• What you have (Token, Smartcard)

• What you are (Fingerabdruck, Gesichtserkennung)

• Authentizität – Sicherstellen der Echtheit einer Entität.

• Verbindlichkeit (Nichtabstreitbarkeit) – Nachweis, dass eine Aktion stattgefunden hat.

• Datenschutz – Schutz personenbezogener Daten.

• Zurechenbarkeit – Aktionen müssen eindeutig einem Nutzer zugewiesen werden können.

• Unverkettbarkeit – Verhindert, dass verschiedene Aktivitäten einer Person zusammengeführt werden.

Gemeinsamkeiten:

• Oft gleiche Schutzmaßnahmen (z. B. Verschlüsselung).

• Schutz der Vertraulichkeit und Integrität von Daten.

Konflikte:

• Angriffserkennung (Logging) kann Datenschutz verletzen.

• Unternehmen bewerten Datenschutz oft anders als Betroffene (z. B. Nutzertracking).

Return on Security Investment (ROSI)

ROSI bewertet, ob sich eine Sicherheitsmaßnahme wirtschaftlich lohnt.

✔ Wirtschaftliche Bewertung von Sicherheitsmaßnahmen möglich.

✔ Nachvollziehbarer Nutzen von Sicherheitsinvestitionen für das Unternehmen.

✖ Schwierige Bewertung des reduzierten Schadens – Wie misst man vermiedene Angriffe?

✖ Verlust der Effektivität über Zeit – Sicherheitsmaßnahmen müssen regelmäßig aktualisiert werden.

Information Security Management Systems (siehe ISO 27000)

Ein ISMS ist ein systematisches Modell zur Verwaltung der IT-Sicherheit einer Organisation.

Es basiert auf einer Risikobeurteilung und dem Risikoakzeptanzniveau der Organisation und dient dazu, die Risiken wirksam zu behandeln und zu handhaben.

-> Gesamtheit des Managementsapparats (und nicht nur ein technisches System)

Ganzheitlicher Prozess

Risikobeurteilung

Risikoakzeptanz: Zielkonflikt zwischen Risiko und Kosten

Risikomanagement: Aktive Prävention und Neubewertung

Risiko: Auswirkung von Ungewissheit auf Ziele

1. Bereich: Prozessmanagement

2. Bereich: Rolle des Management

3. Bereich:

Die ISO/IEC 27000-Reihe beschreibt Managementsysteme für Informationssicherheit (ISMS) und enthält:

• ISO 27001: Anforderungen an ein ISMS.

• ISO 27002: Maßnahmenkatalog („Best Practices“).

• ISO 27005: Risikomanagement für ISMS.

VIIR (“VIER”)

Welche Phasen hat das Prozessmodell eines ISMS?

1. Identifikation: Identifikation von Informationssicherheitsanforderungen

2. Risikomanagement: Bewertung und Behandlung von Risiken.

3. Implementierung: Umsetzung von Sicherheitsmaßnahmen.

4. Überwachung & Verbesserung: Überwachung der Maßnahmen und Anpassung.

KOPF

Das Management ist verantwortlich für:

• Planung: Festlegung Sicherheitsstrategie Risikoniveau

• Organisation: Bestimmung Verantwortlichkeiten

• Führung: Vermittlung Bedeutung des ISMS

• Kontrolle: Überprüfung

Verbindliche Grundsätze für die IT-Sicherheit:

• Bedeutung: Bedeutung der Sicherheit definieren Absicht des Managements erklären, die Inf.-Sicherheit zu unterstützen

• Zielsetzung: Ziele des Sicherheitsmanagements festlegen

• Strategie: Rahmen für Risikoeinschätzung und Risikomanagement festlegen Berücksichtigung gesetzlicher und vertraglicher Anforderungen

• Organisation: Verantwortlichkeiten festlegen Verweise auf weiterführende Dokumente

1. Verminderung (Mitigation) – Zusätzliche Sicherheitsmaßnahmen.

2. Akzeptanz (Retention) – Risiko bewusst eingehen.

3. Vermeidung (Avoidance) – Die riskante Aktivität vermeiden.

4. Übertragung (Sharing) – Risiko durch Dritte verischern.

(VL 3b)

(Nicht so scientific, aber genau das gleiche: VL 2)

MÜT(z)E

Identifizierten Risiken kann auf verschiedene Art begegnet werden:

a) Behandlung mittels einer Maßnahme (Risikoreduktion)

b) Tolerieren des Risikos durch das Management (Restrisiko)

c) Vermeidung/Eliminieren spezieller Risiken (z.B. durch Untersagen von Aktionen)

d) Übertragen des Risikos auf Dritte (z.B. auf einen Versicherer)

Wird implementiert um Risiko zu reduzieren

-> Maßnahmen müssen für jeden Anwendungsfall individuell gewählt werden

Welche Kategorien von Sicherheitsmaßnahmen gibt es?

1. Organisatorische (z. B. Sicherheitsrichtlinien, Schulungen).

2. Menschliche (z. B. Awareness-Trainings, Zugriffsrechte).

3. Physische (z. B. Zugangskontrollen, Serverraum-Sicherung).

4. Technologische (z. B. Verschlüsselung, Firewalls).

Security Metrics messen die Effektivität von Sicherheitsmaßnahmen.

Beispiele:

• ISMS-Training-Quote (Anteil geschulter Mitarbeiter).

• Passwort-Qualität(Anteil unsicherer Passwörter).

1. Initial – Ad-hoc-Sicherheitsmaßnahmen, keine feste Struktur.

2. Managed – Sicherheitsmaßnahmen sind dokumentiert und gesteuert.

3. Defined – Sicherheitsprozesse sind standardisiert und reproduzierbar.

4. Quantitatively Managed – Sicherheit wird aktiv gemessen und optimiert.

5. Optimizing – Kontinuierliche Verbesserung durch Datenanalyse.

effect of uncertainty on objectives

= Auswirkung von Ungewissheit auf Ziele

?

1. Identifikation von Szenarien, die zu Schaden führen können

2. Analyse des Risiko durch: Bestimmung Schadenspotentials, Eintrittswahrscheinlichkeit, Risikolevel

3. Bewertung durch priorisierte Liste von Risiken

4. Behandlung des Risikos (Vermeidung, Minderung, Akzeptanz, Übertragung).

5. Überwachung & Verbesserung der Maßnahmen.

Zentrale Aspekte: Schadenspotentials, Eintrittswahrscheinlichkeit, Risikolevels

Qualitativ: Risiken werden in Kategorien eingeteilt (z. B. niedrig, mittel, hoch).

Quantitativ: Nutzt numerische Werte (z. B. ROSI, €-Schäden, %-Wahrscheinlichkeiten).

Kombination mehrerer Risiken, da System immer von mehrerern betroffen

Risikoeinordnung:

1. Maximumprinzip: Hohes Risiko eines Faktors bestimmt das Gesamtrisiko.

2. Kumulationsprinzip: Mehrere mittelgroße Risiken können sich summieren.

3. Verteilungsprinzip: Redundanz senkt das Gesamtrisiko.

1. Checklisten: Standardisierte Listen zur Identifikation bekannter Risiken.

2. Risikomatrizen: Bewertung von Risiken nach Schadenspotenzial und Eintrittswahrscheinlichkeit.

3. Delphi-Methode: Expertenbefragung zur Risikoabschätzung.

4. Szenario-Analysen: Modellierung möglicher Angriffsszenarien.

5. Maßnahmen-Analysen: Bow Tie Methode

1. Common Vulnerabilities and Exposures (CVE) Database

-> Ranking mit Common Vulnerability Scoring System (CVSS)

Base, Threat, Environment, Supplemental

1. OWASP Top 10 Application Security Risks

-> Liste der 10 verbreitetsten Schwachstellenkategorien

Das BSI ist die nationale Cybersicherheitsbehörde Deutschlands.

Hauptaufgaben: Schutz der Netze des Bundes, Warnung vor IT-Sicherheitslücken, Zertifizierung und Prüfung von IT-Produkten, Entwicklung von IT-Sicherheitsstandards, Beratung für Behörden, Wirtschaft und Bürger.

Idee: standardisierte Methodik (Empfehlungen) des BSI zur Implementierung von IT-Sicherheitsmaßnahmen (wie ISMS)

Basis-, Standard- und Kern-Absicherung

Schutzbedarfskategorien Idee: bewertet, wie kritisch ein System oder eine Information ist in Kategorien:

• normal: Die Schadensauswirkungen sind begrenzt und überschaubar.

• hoch: Die Schadensauswirkungen können beträchtlich sein. (ergänzende Risikoanalyse ab hier notwendig)

• sehr hoch: Die Schadensauswirkungen können ein existentiell bedrohliches, katastrophales Ausmaß erreichen.

Was sind die Prinzipien der Schutzbedarfsfeststellung?

• Vererbung: Wenn ein System mit hohem Schutzbedarf verknüpft ist, übernimmt es diesen.

• Maximumprinzip, Kumulationseffekt, Verteilungseffekt

European Union Agency for Cybersecurity (ENISA)

regelgerechtes, vorschriftsgemäßes, ethisch korrektes Verhalten

Grundrecht:

Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme

Sicherheitsgesetz:

Verpflichtet Betreiber krit. Infrastrukturen zum Schutz vor Angriffen

Datenschutz – Schutz personenbezogener Daten

Datensicherheit – Technischer und organisatorischer Schutz von (beliebigen) Daten und IT-Systemen entsprechend der IT-Schutzziele

Kerckhoffs’ Prinzip (1883): Die Sicherheit eines Verfahrens soll alleine auf der Geheimhaltung eines Schlüssels beruhen.

1. Auswahl und Einsatz von kryptographischen Verfahren

   -> Verfahren geeignet und sicher

2. Schlüsselmanagement

Parteien:

Facheinheiten, Operative Einheiten, Governance & Compliance -> konsistent zusammenwirken

Begriffe die einem was sagen sollten: Schlüssellänge, Zufall (Klassen: physikalisch, Deterministisch, nicht phy. nicht det., hybrid), Seitenkanal, Besonders geschützte Ausführungsumgebungen

Ein Verfahren zum sicheren Austausch eines geheimen Schlüssels über einen unsicheren Kanal. Sicherheit basiert auf der Schwierigkeit des diskreten Logarithmusproblems.

Probleme:

• Er bietet keine Authentifizierung, Angreifer können sich dazwischenschalten (Man-in-the-Middle).

Weit verbreitetes Protokoll zum Management symmetrischer Schlüssel

Probleme, wenn über mehrere Domänengrenzen hinweg kommuniziert werden soll

Bindung und Verteilung öffentlicher Schlüssel

1. Eine Zertifizierungsstelle (CA) bestätigt die Zuordnung eines öffentlichen Schlüssels zu einer Identität.

2. Nutzer können mithilfe dieser Zertifikate sichere Kommunikation aufbauen.

3. Überprüfung durch digitale Signaturen und Zertifikatsprüfungen.

Schutz von CAs extrem wichtig, um Vertrauen in ausgestellte Zertifikate zu erhalten

Durch Hierachisierung und Vertrauensketten sehr gut über Domänengrenzen hinweg

verwendbar

Die Sicherheit fast aller vernetzten IT-Systeme basiert auf der Sicherheit derartiger kryptographischer Verfahren.

Unsicher falls 𝑃 = 𝑁𝑃

Quantencomputing!

=> Kryptoagilität: kryptografischen Mechanismen möglichst flexibel zu gestalten

Identitäts- und Berechtigungsmanagement (Englisch: Identity and Access Management)

1. Identitätsmanagement: Verwaltung von Benutzerinformationen und Identitäten.

2. Berechtigungsmanagement: Verwaltung der Zugriffsrechte für Identitäten.

Zugangskontrolle umfasst die Maßnahmen zur Identifikation und Authentifizierung von Benutzern, um unbefugten Zugriff auf Systeme oder Daten zu verhindern.

digitale Repräsentation einer Entität

Identifikator -> eindeutige Identifizierung

Nutzerkonto -> Dartsellung einer Digitalen Identität in einem System

1. Wissen („What you know“), z. B. PINs

2. Besitz („What you have“), z. B. Ausweis

3. Biometrie („What you are“), z. B. Fingerabdruck

Adaptiv:

Info der Anfrage (IP, HTTP Header) werden basierend auf Historie verifiziert

Kontinuierlich:

Authentifizierungsvorgang für eine „Sitzung“

Angriffe durch:

• Brute-Force-Angriff (systematisches Durchprobieren von Passwörtern)

• Wörterbuchangriff (Vergleich mit bekannten Passwörtern)

• Regenbogentabelle (vorgefertigte Hash-Tabellen für Passwortentschlüsselung)

• Shoulder Surfing (Ausspähen von Passwörtern durch Beobachtung) -> Hardware Token

• Phishing (Manipulative Täuschung durch Eingabemaske, Live, Delayed)

• Pharming/DNS-Spoofing (Manipulation der Namensauflösung zur Umleitung durch falschen Server)

• Device Tracking (Wiedererkennung eines Geräts zur Nutzerverfolgung)

Einmal-Passwort-Verfahren können als spezielle Form von Challenge-Response-Verfahren aufgefasst werden

FIDO (Fast Identity Online) ist ein Authentifizierungsstandard, der sichere, passwortlose Anmeldungen durch biometrische Merkmale oder Hardware-Token ermöglicht.

Bei Phising

Bei Spoofing:

Bei Device-Tracking:

Policy Enforcement Point (PEP): the point where the policy decisions are actually enforced

Policy Decision Point (PDP): the point where policy decision are made

Policy Information Point (PIP) : information against which policy conditions are evaluated

Policy Administration Point (PAP): retrieves the policies from a repository

DAC/MAC -> RBAC -> ABAC

LDAP: Lightweight Directory Access Protocol!

Jede Anfrage beginnt an der Wurzel (Root) und geht dann weiter durch die Ebenen, bis die gesuchten Daten gefunden werden.

Ein Verzeichnisdienst speichert und verwaltet Identitäten und Berechtigungen zentral, z. B. über LDAP (Lightweight Directory Access Protocol).

Ein Virtual Directory stellt eine einheitliche Sicht auf Identitätsdaten aus verschiedenen Quellen bereit, ohne die Daten selbst zu speichern. Es aggregiert Identitätsinformationen in Echtzeit und erlaubt flexiblen Zugriff auf verteilte Identitätsquellen.

Ein Meta Directory synchronisiert Identitätsdaten aus mehreren Verzeichnisdiensten und speichert sie zentral. Im Gegensatz zu einem Virtual Directory speichert es eine lokale Kopie der Daten und hält diese über regelmäßige Updates aktuell.

Ein Provisioning-System automatisiert die Erstellung, Verwaltung und Löschung von Benutzerkonten und Berechtigungen in einer Organisation. Es sorgt dafür, dass neue Mitarbeiter schnell Zugang zu benötigten Systemen erhalten und ehemalige Mitarbeiter keinen Zugriff mehr haben.

Methoden für IAM zwischen Organisationen

einmal anmelden -> Zugriff. Bsp: Kerberos

Erlaubnis von Besitzer -> Vorgang in seinem Namen durchführen. Bps: OAuth 2.0

Security Assertion Markup Language (SAML), Bsp. für Orgaübergreifende AAI

-> föderierte Authentifizierung, bei der sich Nutzer bei einem Identity Provider (IdP) anmelden und dann ohne erneute Anmeldung auf Dienste anderer Organisationen zugreifen können.

OAuth 2.0 ist ein Autorisierungsprotokoll, das einem Dienst oder einer Anwendung Zugriff auf Ressourcen eines Nutzers gibt, ohne dass dieser sein Passwort preisgeben muss. Stattdessen werden Zugriffstokens genutzt.

OpenID Connect (OIDC) ist eine Erweiterung von OAuth 2.0, die Authentifizierung ermöglicht. Damit kann eine Anwendung nicht nur prüfen, ob ein Nutzer Zugriff hat, sondern auch wer der Nutzer ist.

Ein Ansatz, bei dem Nutzer ihre eigene digitale Identität verwalten und nicht von zentralen Identitätsanbietern abhängig sind.

Technologien: Self-Sovereign Identity (SSI), Blockchain-basierte Identitätsverwaltung, Verifiable Credentials

Daten sollen ausgelagert werden können, ohne dass Unbefugte auf sie zugreifen können. Dies wird durch Verschlüsselung, Datenaufteilung und Zugriffskontrollen erreicht.

• Kryptographische Maßnahmen

• Aufteilung der Daten

Ausgangssituation: Sicheres Auslagern von Daten

Problem: Vollständige Verschlüsselung der Daten lassen sich nur schwer effizient verarbeiten

Indextabellen ermöglichen gezielte Anfragen auf verschlüsselten Daten, ohne dass der gesamte Klartext offengelegt wird. Sie müssen jedoch so gestaltet sein, dass sie keine Informationslecks erzeugen.

1. Deterministische Verschlüsselung: Gleicher Klartext ergibt immer das gleiche Chiffrat, erlaubt exakte Suche, aber anfällig für Mustererkennung.

2. Probabilistische Verschlüsselung: Verschlüsselt denselben Klartext immer unterschiedlich, bietet höhere Sicherheit, aber keine direkte Suchfunktion.

3. Ordnungserhaltende Verschlüsselung: Bewahrt die Reihenfolge der Werte, ermöglicht Bereichsabfragen, aber Muster können analysiert werden.

4. Homomorphe Verschlüsselung: Erlaubt Berechnungen auf verschlüsselten Daten, ohne sie zu entschlüsseln, ist aber sehr rechenintensiv. Da Encryption und Decryption

Wenn Daten auf mehrere unabhängige Provider verteilt werden, kann kein einzelner Provider alle Informationen rekonstruieren. Dadurch werden Zusammenhänge verschleiert.

Der Securus-Ansatz ist ein automatisiertes System zur Auswahl passender Sicherheitsmaßnahmen, um ausgelagerte Daten sowohl sicher als auch effizient nutzbar zu machen.

Access Policy (AP): spezifiziert eine Menge von Anfragen, die effizient* Daten ausführbar sein sollen.

Confidentiality Constraints (CCs): Eine Untermenge an Attributen deren Kombination als vertraulich gilt

Inference Constraints (ICs): Es wird angenommen, dass Angreifer kein Wissen aus deterministischen Chiffraten des entsprechenden Attributs gewinnen können.

1. Securus Latin (Sprache) wird verwendet, um mittels Access Policies (APs) (erlaubte Abfragen), Confidentiality Constraints (CCs) (Schutzanforderungen für sensible Daten) und Inference Constraints (ICs) (Verhinderung von Rückschlüssen durch Mustererkennung) ein Policy Profile zu erstellen.

2. Das Policy-Profile wird in ein Integer Linear Programming (ILP)-Problem übersetzt unter Verwendung von Index Tabellen

3. Das ILP-Problem wird gelöst, um die optimale Kombination von Sicherheitsmaßnahmen zu berechnen. Das Ergebnis gibt an, welche Verschlüsselungsmethoden oder Schutzmechanismen für welche Datenfelder angewendet werden.

4. Die ILP-Lösung wird in eine praktische Sicherheitsstrategie zurückübersetzt. Die Lösung ordnet Datenfelder bestimmten Verschlüsselungs- oder Schutzmechanismen zu.

5. Die berechneten Schutzmechanismen werden auf die Daten angewendet. Die Daten werden anschließend in der sicheren Umgebung oder Cloud gespeichert.

=> Bei Erfolreichem Angriff: Reichweiten Multiplikator! Deswegen lukratives Ziel

Software Supply Chains „fächern“ in beide Richtungen auf:

• Target Artifact → Dependencies:

  • Jede Software basiert auf externen Bibliotheken, Frameworks und Tools, die potenzielle Sicherheitsrisiken darstellen.

  • Je mehr Abhängigkeiten, desto größer die Angriffsfläche.

• Source Artifact → Dependents:

  • Wenn eine Software kompromittiert wird, betrifft das alle abhängigen Systeme und Organisationen, die diese Software nutzen.

  • Ein Angriff auf eine zentrale Software-Komponente kann also viele nachgelagerte Systeme gefährden.

• Angriffsfläche durch Abhängigkeiten:

  • Unternehmen und Entwickler nutzen oft Drittanbieter-Software ohne vollständige Kontrolle oder Prüfung.

  • Ein kompromittiertes Abhängigkeitsmodul kann schädlichen Code in ein sicheres System einschleusen.

• Potenzielle Ziele durch Verbreitung:

  • Eine manipulierte Software wird an viele Nutzer verteilt, wodurch eine einzelne Schwachstelle riesige Auswirkungen haben kann.

• 
  

Eine Software Supply Chain umfasst alle Komponenten, die an der Entwicklung / Wartung von Software-Artefakten beteiligt sind.

Software (in der SCC) mit einer digitalen Signatur versehen, um ihre Authentizität und Integrität sicherzustellen. Dadurch kann überprüft werden, dass der Code unverändert und von einer vertrauenswürdigen Quelle stammt.

Hilfreich, aber ungenügend

Schwächen:

Unzuverlässiger Widerruf

Supply Chain Attack

Diebstahl von privaten Schlüsseln

=> Software Bills of Materials: Aufschluss über Code & mögliche Schwachstellen

Software Bill of Materials (SBOM)

=> Aufschluss über Code und bekannte Schwachstellen

Kernanforderungen:

• universelles Datenformat

• Automatisierung (Erzeugung)

• Praktiken und Prozesse (sollen in Lieferkette integriert werden)

CycloneDX Object Model ist eine standardisierte Struktur zur Darstellung einer Software Bill of Materials (SBOM)

Supply-Chain Levels for Software Artifacts

Eine Reihe von schrittweise übernehmbaren Richtlinien zur Absicherung von Software Supply Chains, die als Konsens der Industrie entwickelt wurden.

Es beschreibt verschiedene Vertrauensstufen (Levels 1–4).

Ziel: Erkennung/Verhinderung Manipulationen während des Build- und Distributionsprozesses

Mehrere Parteien sollen in der Lage sein, unabhängig voneinander einen bestimmten Build durchzuführen und exakt bit-identische Ergebnisse zu erhalten.

Software-Komponenten eindeutig identifizierbar

• SBOM

• SLSA Build Attestierungen

Idee: SupplyChain miteinander authentisch kommunizieren (z.B. für Austausch von SBOMs)

Nutzen Decentralized Identifiers (DIDs): Identität verknüpft einen persistenten Identifier (DID) mit einem veränderbaren DID-Dokument, in dem die o.g. Daten abgelegt werden

Monitoring ist ein Überbegriff für alle Arten der unmittelbaren

systematischen Erfassung (Protokollierung) mit wiederholter regelmäßiger Durchführung

Warum?

Lagebild erhalten, Angriffe erkennen

Erfassungsort: Am Netzwerkrand (Edge) oder im Netzwerkkern (Core). Vor oder hinter der Firewall? (Grundrauschen vermeiden?)

Asymmetrisches Routing: Pakete einer Verbindung können unterschiedliche Wege nehmen, was die Analyse erschwert.

Netzwerkverkehr abstrahieren: also mit Deep Packet Inspection (DPI) dekodieren und abstrahieren (zusammengefasst)

DPI verlangt rechtzeitige and präzise Protokollidentifikation

Beispiel Zeek

Offensive Research: Monitor wird angegriffen

• Puffer überlastet (absichtlich große Datenmengen senden, um den Monitor zu überfordern und ihn zum Droppen von Paketen zu zwingen

• Mehrdeutige Signaturen (verschleiern Angriffe)

Network Intrusion Detection (NID) bezeichnet Systeme, die den Netzwerkverkehr analysieren, um verdächtige Aktivitäten oder Angriffe zu erkennen.

1. Der Netzwerk-Traffic (Paketfluss) wird an einer zentralen Stelle abgegriffen. NSM zeichnet auf und Alerted ggf.

2. Das NIDS empfängt den Datenstrom. NIDS erkennt Angriffe, blockiert aber nicht, sondern meldet diese an das SOC oder ein Intrusion Prevention System (NIPS).

3. Das NIPS (Network Intrusion Prevention System) kann daraufhin aktiv eingreifen, indem es verdächtige Verbindungen blockiert oder umleitet.

Missbrauch: Erkennung von definierten (Angriffs-) Muster

Anomalie: Erkennung von Abweichungen

Angreifer versuchen, NSM anzugreifen um zu täuschen oder lahmzulegen

2 Möglichkeiten: DPD mit mehrdeutigen Signaturen täuschen oder Ressourcen des Monitors erschöpfen (Deferred Start Attack)

Evasion:

Der Angreifer möchte seinen Datenverkehr vor der Erkennung durch NSM verbergen.

Angriffe über DPD:

Problem: Monitor setzen DPI ein: Deep Packet Inspection (DPI)

Vss DPI:

DPI verlangt rechtzeitige and präzise Protokollidentifikation

-> Einsatz DPD Dynamic Protocol Detection (Inhaltbasierte Identifikation)

!Angreifer kann mehrere Angriffssignaturen verwenden (ungwöhnliche Protokolle, falsch deklarierte Pakete)

Deferred Start Attack:

Durch viele leere HTTP-Zeilen (CRLF Stuffing) wird der Puffer des Monitors überlastet/geflutet.

Vermeidung von Rückverfolgbarkeit. -> Daten so verändern, dass die betroffene Person nicht mehr identifizierbar ist.

Pseudonymisierung (schwächer):

Daten werden mit einer Zuordnungsvorschrift verschlüsselt.

Senderanonymität (Beobachter kann nicht erkennen, wer sendet).

Empfängeranonymität (Beobachter kann nicht erkennen, wer empfängt).

Einfacher Ansatz: Proxy-Server vermittelt zwischen Sender und Empfänger.

Problem: Proxy kennt beide Seiten, daher kein perfekter Schutz.

=> Mix Kaskaden (Onion Encryption)

Nachrichten durchlaufen mehrere verschlüsselte Mix-Server. Jeder Mix entfernt eine Verschlüsselungsschicht und gibt die Nachricht weiter.

Schutzvoraussetzung: Mindestens ein Mix darf nicht kompromittiert sein.

-> Global Passive Adversary: Ein globaler Angreifer könnte die gesamte Netzwerkkommunikation überwachen.

Maßnahmen: Padding der Nachrichtengröße, Reihenfolge, Zeitlich Korrelation erschweren

-> Anstieg der Latenz um zeitliche Korrelation zu erschweren

-> Dummy Nachrichten zur Reduzierung der Latenz

Anonyme Kommunikation mit geringer Latenz

Tor = dynamisches Mix-Netzwerk mit geringer Latenz.

Tor-Nodes mischen Verkehr zufällig (nichtdeterministisch), um Anonymität zu gewährleisten.

Circuit-Aufbau (Datenfluss)

1. Tor-Client wählt zufällig 3 Knoten (Entry → Middle → Exit).

2. Daten werden mehrfach verschlüsselt (Onion Encryption).

3. Jeder Knoten entfernt eine Schicht und leitet weiter.

4. Exit-Node entschlüsselt letzte Schicht und sendet die Anfrage ans Ziel.

Notfallmanagement

1. Schutz vor Unterbrechungen von Geschäftsaktivitäten.

2. Sicherstellen, dass kritische Prozesse trotz Krisen (zu Mindestniveau) weiterlaufen.

• ISMS (Informationssicherheitsmanagementsystem) → Absicherung des Normalbetriebs.

• IT-Service Continuity Management → IT-spezifischer Fokus auf Notfallmaßnahmen.

• Business Continuity (BC) → Maßnahmen zur Vermeidung & Bewältigung von Geschäftsausfällen.

• BCM → Organisatorische, technische & personelle Maßnahmen zur Schadensbegrenzung.

• Störungen → Können im Normalbetrieb behoben werden.

• Notfälle → Unterbrechen kritische Geschäftsprozesse, Wiederherstellung durch Notfallpläne.

• Krisen → Haben große Auswirkungen, oft keine vorhandenen Notfallpläne.

Begriff BAO (Besondere Aufbauorganisation):

• Wird für Krisenfälle eingerichtet, um handlungsfähig zu bleiben.

1. CERT (Computer Emergency Response Team)

   • Zuständig für Sicherheitsvorfälle & Bedrohungen.

   • Fokus: Incident Handling statt nur „Emergency Response“.

Ein Vorfall, dessen Auswirkungen eine Gefahr für ein Computersystem, -netzwerk oder deren Nutzer darstellen und

die händisch beseitigt werden müssen.

Bekannte PDCA-Methode (Plan-Do-Check-Act) als Grundlage für BCM.

Drei BCM-Stufen:

1. Standard (langfristig angestrebt)

2. Aufbau (Übergangsstufe)

3. Reaktiv (schnelle Notfalllösung)

• Wiederanlauf: Erreichen Notrbetriebsniveau

• Wiederherstellung: Erreichen Normalbetriebsniveau

1. Schutz vor Unterbrechungen von Geschäftsaktivitäten.

2. Sicherstellen, dass kritische Prozesse trotz Krisen (zu Mindestniveau) weiterlaufen.

Fahrzeug besteht aus Sensoren, Steuergeräten (ECUs) und Kommunikationskomponenten.

Backendsysteme sind oft Teil der IT-Infrastruktur (z. B. Cloud-Dienste).

Beispiele von Kommunikationsstandards

• CAN (Controller Area Network) für interne Kommunikation.

• LIN (Local Interconnect Network) für Sensoren und Aktuatoren.

• MOST (Media Oriented Systems Transport) für Infotainment.

Automotive Safety Integrity Level (ASIL)

• Bewertung von Sicherheitsrisiken nach ISO 26262:

  • Severity (S): Schwere der Auswirkung.

  • Exposure (E): Häufigkeit der Situation.

  • Controllability (C): Kontrollierbarkeit der Gefahr.

• ASIL-Klassen: A (niedrig) bis D (höchste Sicherheitsanforderung)

UNECE Regulation 155 & 156:

CSMS (Cyber Security Management System)

• System zur Identifikation, Bewertung & Behandlung von Cybersecurity-Risiken in Fahrzeugen.

SUMS (Software Update Management System)

• Software-Identitätsmanagement!!! -> Software Identification Numbers!

• Regelt & sichert Software-Updates in Fahrzeugen.

ISO-Standard für Fahrzeug-IT-Sicherheit.

• Beinhaltet:

  • Projektmanagement & Risikobewertung.

  • Sicherheitsmaßnahmen für Zulieferer & Hersteller.

  • Permanente Schwachstellenüberwachung.

Threat Analysis & Risk Assessment (TARA)

Verfügbarkeit = Zugriff & Nutzung von Ressourcen bei Bedarf.

Intelligente Störungen (gezielte Angriffe) vs. nicht-intelligente Störungen (Unfälle, Fehler).

Absichtlich herbeigeführte Überlastung

Schutz:

1. Rate Limiting:

   • Begrenzung von Anfragen pro Nutzer (z. B. Ticket-Verkäufe).

   • Nachteil: Kann auch legitime Nutzer beeinträchtigen.

2. Load Balancing:

   • Verteilung des Traffics auf mehrere Server.

   • Ziel: Systemausfälle durch Überlastung verhindern.

Resilienz = unter Angriff funktionsfähig + Erholung in angemessener Zeit

“Resilienz durch Redudanz”

Redundanz & Replikation (RAID, Cluster, verteilte Systeme).

-> bspw. RAID, Backups

-> mehrfache Speicherung!

Redundant Array of Independent Disks (RAID)

1. RAID 0: Mehr Geschwindigkeit, aber keine Redundanz.

2. RAID 1: Daten werden gespiegelt (hohe Sicherheit).

3. RAID 5: Kombination aus Geschwindigkeit & Ausfallsicherheit.

Dezentrale Systeme = höhere Verfügbarkeit.

• State Machine Replication (SMR): Verteilen der Aufgaben eines Servers auf mehrere Server: Anwendung: Ethereum

  => Mehrere Computer (Nodes) speichern denselben Zustand und führen dieselben Befehle aus, um immer das gleiche Ergebnis zu haben

• Ceph: Verteiltes Dateisystem ohne Single Point of Failure.

• Redundante Datenbanken: PostgreSQL Automatische Replikation für Hochverfügbarkeit.

1. Netflix Chaos Monkey -> Chaos Engineering

   Idee: Konstant mit Ausfällen konfrontiert zu sein, soll resiliente Systeme erschaffen

2. Festlegen von Prozessabläufen (BMC)

Ethereum als „Weltcomputer“, dezentralen State Machine Replication

• Dezentrale Plattform für Smart Contracts & DApps (Distributed Applications).

• Jeder Knoten speichert die Blockchain → Kein Single Point of Failure.

Proof-of-Stake (PoS) für Konsens

• Validatoren setzen „Stake“ ein & wählen neue Blöcke per Zufallsprinzip.

Hohe Verfügbarkeit & Resilienz

• Blockchain bleibt online, auch wenn einzelne Knoten ausfallen.

• Smart Contracts laufen unverändert weiter → Keine zentrale Kontrolle.

Softmaßnahmen

NuK (Not und Krisenkommunikation)

Name, Gültigkeit, Widerrufen?, Vertrauenskette zur CA?

Widerruf:

Certificate Revocation Lists (CRL)

OCSP: Online Certificate Status Protocol (RFC 2560)

1. Schlüsselerstellung:

   • Empfänger hat öffentlichen Schlüssel g^a.

   • Sender wählt zufälliges b und berechnet g^b (ephemerer Schlüssel).

2. Schlüsselaustausch & Ableitung:

   • Sender berechnet gemeinsamen Geheimwert g^{ab}.

   • Hash-Funktion erzeugt:

     • encKey für Verschlüsselung

     • macKey für Authentifizierung

3. Verschlüsselung & Authentifizierung (beide kennen encKey und macKey):

   • Nachricht M wird mit encKey verschlüsselt → encM.

   • MAC (Message Authentication Code) mit macKey → tag.

4. Gesendete Daten (Ciphertext):

   • g^b (ephemerer Schlüssel)

   • encM (verschlüsselte Nachricht)

   • tag (Authentifizierungswert)

5. Entschlüsselung beim Empfänger:

   • Empfänger berechnet g^{ab} mit seinem privaten Schlüssel a.

   • Empfänger schaut ob sein errechneter Tag mit dem Tag den er erhalten hat übereinstimmt.