Cybersecurity

Nordkorea greift zunehmend hochwertige Ziele an (wenige Angriffe, riesige Schäden). Diese Angriffe benötigen monatelange Vorbereitung und sehr spezifische Malware, um erfolgreich zu sein. Nur sehr wenige Cyberkriminelle besitzen die notwendigen Ressourcen für solche Angriffe.

Aktiver Schutz bzw. funktionale Sicherheit (eine Person/Sache wird beschützt). Passiver Schutz (engl. auch Safety), d.h. eine Person/Sache ist sicher.

Sicherheit ist ein Zustand, der frei von unvertretbaren Risiken oder als gefahrenfrei angesehen wird. Um Sicherheit über einen Zeitraum zu gewährleisten, sind Prozesse notwendig. In der Cybersecurity geht es um die Sicherung und Sicherheit von sozio-technischen Systemen (Mensch und Maschine sind betroffen).

Ein Risiko (im engeren Sinne) ist ein eventuelles, hinsichtlich seiner Eintrittswahrscheinlichkeit und Auswirkung bewertetes, zukünftiges Ereignis, das einen negativen Einfluss auf eine Organisation und ihre Handlungen hat.

Bedrohungen sind Phänomene in der Cyberwelt, die eine Gefahr für die Cybersicherheit darstellen können. Diese Bedrohungen existieren unabhängig von konkreten Opfern oder Angriffen und können sich potenziell jederzeit in einem konkreten Angriff manifestieren.

Verfügbarkeit – auf Daten und Systeme kann zugegriffen werden. Vertraulichkeit – nur berechtigte Personen haben Zugriff auf Daten. Integrität – die Daten liegen unverfälscht vor und die Systeme funktionieren.

Schutz des Aktenarchivs gegen Diebstahl. Abschließen von Aktenschränken. Schreddern von vertraulichen Dokumenten. Regelungen, dass Besucher nicht ohne Begleitung im Gebäude sein dürfen.

Schutz des Serverraums vor natürlichen Gefahren. Löschanlage im Serverraum. Diebstahlschutz für Laptops. Notstromaggregate für den Serverraum. Physische Zugangskontrollen zum Serverraum.

Cybersecurity ist der Schutz von Netzwerken, Computersystemen und cyber-physischen Systemen vor internen oder externen cybergestützten Angriffen.

Datenschutz schützt Informationen natürlicher Personen vor unbefugtem Zugriff und Missbrauch, um die Privatsphäre zu wahren. Datenschutz sichert die Rechte der Betroffenen, darunter Informations- und Kontrollrechte über ihre Daten.

Ein Angreifer erbeutet die persönlichen Daten der Kunden einer Website. Ein Angreifer liest den Inhalt eines Laptops aus, auf dem sich persönliche Daten befinden. Ein Angreifer findet frei zugängliche persönliche Daten im Internet, lädt diese herunter und verkauft sie im Darknet.

Compliance bedeutet wörtlich die Erfüllung von Anforderungen; im engeren Sinne Rechtskonformität und Einhaltung von Gesetz und Recht durch das Unternehmen und seine Mitarbeiter sowie „Integrität, Redlichkeit und Geschäftsethik“.

DSGVO – Datenschutzgrundverordnung. NIS-2 – Netz- und Informationssicherheit. KRITIS-Dachgesetz – kritische Infrastrukturen. Cyber Resilience Act – Hersteller von Hard- und Software. AI Act – Betrieb und Herstellung von KI-Systemen.

Kein freier Zugriff aus dem Internet bzw. nur für berechtigte Benutzer (Zugriffskontrolle, 2FA). Zugriff nur über gesicherte Kanäle (z.B. VPN). Starke Verschlüsselung der Daten inkl. Verzeichnisstrukturen. Ausreichende Passwortlänge für Zugriff und Verschlüsselung.

Firmware ist Software, die fest („firm“) in elektronische Komponenten eingebettet ist und dort grundlegende Funktionen ermöglicht. Updates sind entweder nicht, auf Hardwareebene (Strom, UV-Licht,…) oder nur mit speziellen Programmen (flashen) möglich.

Ein häufiges Angriffsziel sind Router und Switches. Beim Vorliegen von Schwachstellen können diese ein leichtes Ziel für einen Angreifer sein.

Security Tokens wie RSA + deren Infrastruktur. Smart Cards. Biometrische Erkennungsgeräte wie Fingerabdruckscanner.

Eine Seed-Sequenz (auch Seed-Code oder geheimer Schlüssel) ist das kryptografische Geheimnis, das die Grundlage der 2FA bildet. Sie dient als mathematischer Startwert, mit dem eine Authenticator-App (z.B. Google/Microsoft Authenticator, oder ein Hardware-Token wie RSA) die nur 30 Sekunden gültigen Einmalcodes (TOTP) generiert.

Welches Betriebssystem/Firmware in welcher Version? Gibt es weiterhin Updates und wenn ja, wie lange? Gibt es ein kommuniziertes Ende des Supports (End-of-Life)? Wie sicher ist die Software-Lieferkette?

Speicherverwaltung (Hauptspeicher, Protokollierung). Prozessverwaltung (Erzeugung, Überwachung, Beenden von Prozessen). Geräteverwaltung (Dateisystem, Zuweisung Ein-/Ausgabegeräte). Rechteverwaltung (Authentifizierung/Autorisierung, Rechtevergabe, Trennung User/Kernel).

Identifizieren: Wer bin ich? (Benutzername, Nachname). Authentifizieren: Bin ich, wer ich vorgebe zu sein? (Passwort, Ausweis,…). Autorisierung: Was darf ich? (Rechte, Rollen, Zugang).

Userland: hier laufen Anwendungssoftware und Prozesse der Benutzer (eingeschränkte Rechte oder Admin/Root). Kernel: hier läuft der Kern des Betriebssystems mit den höchsten Rechten.

Tritt ein Prozess in einen undefinierten Zustand ein, kann der Kernel den Prozess beenden. Tritt der Kernel in einen undefinierten Zustand ein, stürzt das System ab (Beispiel: Ping of Death).

Benutzerrechte werden auf Adminrechte erweitert. Der Admin kann dann das System umkonfigurieren bzw. den Kernel angreifen.

Die Darstellung der Struktur und des Verhaltens der IT-Landschaft eines Unternehmens im Verhältnis zu seiner Geschäftsumgebung. Sie spiegelt die aktuelle und zukünftige Nutzung der IT wider und bietet einen Fahrplan zur Erreichung eines zukünftigen Zustands.

Der Adressraum in IPv4 war mit ca. 4,3 Milliarden Adressen zu klein dimensioniert. Mit IPv6 stehen deutlich mehr Adressen zur Verfügung.

10.x / 172.16.x / 192.168.x werden NIE im Internet geroutet!

Eine IPv6-Adresse hat 8 × 16 Bit und wird als 8er-Folge von 4 Hexadezimalzahlen notiert.

Führende Nullen können entfallen. Adressteile nur aus Nullen werden nur mit Doppelpunkt notiert (kein Inhalt), z.B. 2001:db8:85a3::8a2e:370:7334.

2001:db8:85a3::8a2e:370:7334 (Ersetzen der Nullgruppen durch :: und Weglassen führender Nullen).

Ports sind Datenkanäle unterhalb einer IP-Adresse (0–65.535). So kann ein Rechner mehrere Verbindungen zwischen sich und einem Zielrechner unterscheiden.

System Ports (auch Well-known Ports) sind 0 bis 1023, für Netzwerkdienste (z.B. 443 für HTTPS oder 80 für HTTP). Sie sind weltweit standardisiert und sorgen für eine einheitliche Nutzung der Ports.

DNS steht für Domain Name System. Ein DNS-Server wandelt eine Domain in eine IP-Adresse um.

Ein Ping prüft die Erreichbarkeit eines Zielrechners inkl. der Verlustrate und der Geschwindigkeit.

Weil der Ping Auskunft darüber gibt, wie schnell eine Spieleraktion auf den zentralen Spieleserver gelangt.

Das Quellsystem sendet Pakete mit jeweils höherer Lebenszeit (Time to Live) in das Netz. Jede Station zählt die Lebenszeit des Pakets nach unten. Die Station, die das Paket verwirft, sendet eine Nachricht an das Quellsystem. So wird Schritt für Schritt die Route zwischen Quell- und Zielsystem ersichtlich.

HTTP (Port 80): unverschlüsseltes Übertragungsprotokoll. HTTPS (Port 443): Erweiterung mit Verschlüsselung via TLS/SSL für sichere Datenübertragung.

Unter IPv4 haben Endgeräte im internen Netz eine interne IP (z.B. 192.168.x). Da diese nicht im Internet geroutet wird, muss der Router diese Adresse nach außen verstecken und mit der einheitlichen externen IP-Adresse belegen. Der Router nutzt hierfür Ports, um zwischen den Endsystemen im internen Netz zu unterscheiden.

On-demand Self-Service. Broad(band) Network Access. Resource Pooling. Rapid Elasticity. Measured Service.

Infrastructure-as-a-Service. Platform-as-a-Service. Software-as-a-Service. Weitere: Container-, Desktop-, Function-as-a-Service.

Berechtigung/Konfiguration/Daten.

Skalierung, Datensicherheit.

Notstromversorgung lokal und mehrere Netzanschlüsse. Redundante schnelle Internetanbindung. Zugangskontrolle. Wachschutz/Perimeterschutz. Spiegelrechenzentrum in großräumiger Entfernung.

Kombination privater und öffentlicher Cloud für maximale Flexibilität. Optimale Ressourcennutzung und Kostenkontrolle. Erhöhte Datensicherheit durch sensible Daten in der Private Cloud. Skalierbarkeit und elastische Erweiterung über die Public Cloud. Verbesserte Ausfallsicherheit durch Verteilung der IT-Ressourcen. Einheitliche Zugriffskontrolle und Integration über IAM-Plattformen.

Bessere Ressourcenauslastung. Kostenersparnis. Erhöhte Flexibilität und Skalierbarkeit. Verbesserte Ausfallsicherheit und Wiederherstellung. Getrennte, isolierte Umgebungen. Vereinfachtes Management. Schnellere Bereitstellung von IT-Services.

Bei der Betriebssystem-(OS-Level-)Virtualisierung läuft auf einem Hypervisor jeweils ein vollständiges Gastbetriebssystem pro VM (inkl. eigenem Kernel). Bei der Container-Virtualisierung teilen sich alle Container den Kernel des Host-Betriebssystems und werden über eine Container Engine isoliert; verpackt wird nur die Anwendung mit Abhängigkeiten. Container sind dadurch leichter, starten schneller und sind ressourcenschonender als klassische VMs.

Ein Grey Hat Hacker bewegt sich zwischen White Hat (autorisiert, ethisch) und Black Hat (kriminell): Er sucht/nutzt Schwachstellen teils ohne Erlaubnis des Betreibers aus, meldet sie aber i.d.R. anschließend, statt sie böswillig auszunutzen – handelt also unautorisiert, aber i.d.R. ohne kriminelle Absicht.

Crowdstrike ordnet Bedrohungsgruppen anhand von Tiernamen einer vermuteten Herkunft zu – „Panda“ steht für China-Bezug. Google/Mandiant kennzeichnet mit dem Präfix „FIN“ finanziell motivierte Akteure (im Gegensatz zu „APT“ für staatlich gesteuerte Spionagegruppen). Die Bezeichnungen deuten damit auf eine finanziell motivierte, vermutlich China-nahe Gruppierung hin – die Namensgebung folgt je nach Anbieter unterschiedlichen, nicht standardisierten Systemen.

Advanced: Einsatz hochwertiger, oft individuell entwickelter Exploits (z.B. Zero-Days). Persistent: lange, unbemerkte Verweildauer im Zielsystem bis zum finalen Schlag. Threat: zielgerichtete kriminelle bzw. schädigende Handlung, z.B. Datendiebstahl oder Sabotage.

APT-Gruppen verfügen über deutlich mehr Ressourcen (oft staatlich gesponsert), setzen hochentwickelte individuelle Exploits ein und bleiben durch professionelle Tarnung monatelang unentdeckt. Sie verfolgen zudem strategische, langfristige Ziele – der potenzielle Schaden ist damit ungleich größer als bei einem einzelnen, meist opportunistisch agierenden Cyberkriminellen.

Ein Hacktivist ist ein Angreifer, der Cyberangriffe (z.B. Defacements, DDoS, Datenlecks) nicht primär finanziell, sondern ideologisch bzw. politisch motiviert durchführt, um auf gesellschaftliche oder politische Anliegen aufmerksam zu machen (Beispiele: Anonymous, Cyber Partisans, Guacamaya).

Geopolitische Ziele, hybride Kriegsführung, Wahlbeeinflussung und Industriespionage – abhängig vom jeweiligen, meist staatlichen bzw. staatlich gesponserten Angreifer; teils auch finanzielle Interessen.

Ein Script Kiddie (Tier 1) ist ein Angreifer mit geringen technischen Fähigkeiten und geringen Ressourcen, der fertige Tools/Exploits Dritter ohne tieferes Verständnis einsetzt – meist finanziell oder durch Anerkennung in der Szene motiviert.

Motivation sind u.a. legale Bezahlung/Karriere, Anerkennung, Bug-Bounty-Programme sowie ethische Überzeugung und das Vermeiden strafrechtlicher Konsequenzen.

Bei der symmetrischen Verschlüsselung sind Schlüssel zum Ver- und Entschlüsseln identisch; bei der asymmetrischen unterschiedlich (Public Key zum Verschlüsseln, Private Key zum Entschlüsseln).

Schnell, einfach zu implementieren und läuft auch auf schwacher Hardware.

Der Schlüssel muss sicher vom Sender zum Empfänger übertragen werden – über einen unsicheren Kanal ist dieser Schlüsselaustausch ein großes Problem.

Jeder Teilnehmer besitzt ein Schlüsselpaar aus Public Key (öffentlich) und Private Key (geheim). Der Sender verschlüsselt die Nachricht mit dem öffentlichen Schlüssel des Empfängers. Nur der Empfänger kann die Nachricht mit seinem privaten Schlüssel wieder entschlüsseln – der Public Key kann dabei offen über unsichere Netzwerke ausgetauscht werden, ohne die Sicherheit zu gefährden.

Vorteil: Der Schlüssel (Public Key) kann über unsichere Netzwerke ausgetauscht werden, ohne die Sicherheit zu gefährden. Nachteil: Erfordert deutlich mehr Rechenleistung als symmetrische Verschlüsselung.

Der Public Key wird veröffentlicht und dient zum Verschlüsseln von Nachrichten (bzw. Prüfen digitaler Signaturen). Der Private Key bleibt geheim und dient zum Entschlüsseln der mit dem Public Key verschlüsselten Nachrichten (bzw. Erstellen digitaler Signaturen).

Eine Certificate Authority (CA) prüft die Identität eines Antragstellers (anhand einer Certificate Signing Request, CSR) und stellt anschließend ein signiertes digitales Zertifikat aus, das dessen Public Key vertrauenswürdig zuordnet. Damit ermöglicht die CA Dritten, der Authentizität des Zertifikatsinhabers zu vertrauen (Grundlage z.B. für HTTPS/TLS).

Window of Exposure beschreibt die Zeit, in der ein IT-System über eine Schwachstelle angreifbar ist. Also die Zeit, in der ein Programm (Exploit), das die Schwachstelle ausnutzt, verfügbar ist.

Zero Day Exploit bezeichnet ein Schadprogramm, das eine Schwachstelle ausnutzt, die noch nicht vom Hersteller behoben wurde. Nach Veröffentlichung der Korrektur (Patch) durch den Hersteller heißt das Schadprogramm nur noch Exploit.

Die Malware wurde wie ein Virus verbreitet (E-Mail-Anhang). Auf dem Zielrechner verhielt sie sich jedoch wie ein Wurm und griff selbständig weitere Rechner an.

Eine Malware, die als Anhang verteilt wird, jedoch das Zielsystem ohne das Zutun eines Nutzers infiziert. Der Nutzer muss den Anhang nicht öffnen – es genügt, die Nachricht zu empfangen.

Die Ransomware verschlüsselt die eigentlichen Daten selbst mit einem starken symmetrischen Verfahren (schnell, auch für große Datenmengen geeignet). Der dafür verwendete symmetrische Schlüssel wird anschließend mit einem asymmetrischen Verfahren (Public Key der Angreifer) verschlüsselt. Zusammen mit einer Kontaktnachricht/Lösegeldforderung wird dies an das Opfer übermittelt – nur die Angreifer können mit ihrem Private Key den symmetrischen Schlüssel wiederherstellen.

Malware (Kunstwort aus „malicious“ und „Software“) ist Software, die ohne Zustimmung eines IT-Verantwortlichen auf einem System läuft und dort Schäden verursacht, Informationen stiehlt oder unerlaubten Zugriff ermöglicht (Beeinträchtigung von Vertraulichkeit, Verfügbarkeit und/oder Integrität). Unterarten: u.a. Viren, Würmer, Trojaner, Spyware, Adware, Cryptominer, Scareware, Infostealer, Rootkits.

Ein Virus benötigt eine Wirtsdatei (z.B. Makro oder ausführbare Datei) und verbreitet sich, indem er weitere Dateien infiziert – meist ist Nutzerinteraktion (Öffnen der Datei) nötig. Ein Wurm ist eigenständige Software ohne Wirtsdatei und verbreitet sich selbständig von Rechner zu Rechner (z.B. über Portscans/Exploits), ohne dass ein Nutzer aktiv werden muss.

Ein Distributed-Denial-of-Service-Angriff überflutet ein Zielsystem (z.B. einen Server) gleichzeitig von sehr vielen, meist durch Malware gekaperten Rechnern (Botnet) mit Anfragen, sodass das System überlastet wird und für legitime Nutzer nicht mehr verfügbar ist.

Ein Command-and-Control-Center (C2/C&C) ist eine vom Angreifer betriebene Infrastruktur, über die infizierte Geräte (Bots) gesteuert werden – u.a. zum Nachladen von Schadcode, zur Datenexfiltration oder zum Starten weiterer Aktionen wie einer Ransomware-Verschlüsselung. Zur Tarnung nutzen Angreifer z.B. mehrere URLs/IPs, gängige Cloud-Dienste oder Peer-to-Peer-Strukturen.

Klassische Firewalls filtern rein IP-basiert unabhängig vom Nutzer; NGFWs verknüpfen den Datenverkehr mit konkreten Benutzerkonten/Rollen (z.B. Active Directory). Klassische Firewalls basieren nur auf IP-Adressen, Ports und Protokollen; NGFWs nutzen Deep Packet Inspection (DPI) und erkennen den tatsächlichen Inhalt/die Anwendung. Klassische Firewalls arbeiten mit statischen Ja/Nein-Regeln; NGFWs kombinieren dies häufig mit dynamischen Erkennungssystemen (z.B. IDS/IPS).

East-West-Traffic (interner Datenverkehr, z.B. zwischen Servern im internen Netz) und North-South-Traffic (externer Datenverkehr zwischen internem Netz und dem Internet).

Reziprozität (Verpflichtung, eine Gefälligkeit zu erwidern). Obligation (Verpflichtungsgefühl ggü. Autoritäten/Kollegen). Zugeständnis (nach Ablehnen einer großen Bitte wirkt eine kleinere akzeptabler). Verknappung (Zeitdruck/Knappheit erzeugt Handlungsdruck). Autorität (Gehorsam ggü. vermeintlicher Autoritätsperson). Konsistentes Verhalten (Commitment). Gemocht werden (Liking). Gruppendrang (Social Proof).

Der Social Engineer baut gezielt Vertrauen und eine emotionale Bindung zum Opfer auf und nutzt Trigger wie Dringlichkeit, Geheimhaltung/Diskretion und emotionale Erpressung (z.B. Scham, Sunk-Cost-Effekt). Das Opfer wird dadurch dazu gebracht, den Vorfall aus Scham, falscher Loyalität oder Angst vor Bloßstellung zu verschweigen, statt ihn zu melden. Zusätzlich bricht der Social Engineer den Kontakt nicht abrupt ab, sondern hält ihn aufrecht oder beendet die Interaktion langsam (z.B. mit Smalltalk).

Phishing richtet sich unpersonalisiert und breit gestreut an eine große, anonyme Masse an Empfängern (geringe Erfolgsquote, meist unter 1 %). Spear-Phishing ist gezielt auf eine bestimmte Person/Organisation zugeschnitten, basiert auf vorheriger Recherche (z.B. OSINT) und wirkt dadurch deutlich glaubwürdiger (ca. 30 % Erfolgsquote).

TTPs (Tactics, Techniques and Procedures) – „Tough“: Das grundsätzliche Vorgehen eines Angreifers lässt sich nur sehr schwer ändern; sein Vorgehen deckt den eigentlichen Angriff auf. Tools – „Challenging“: Die eingesetzten Angriffswerkzeuge (Malware, Exploits) neu zu entwickeln ist aufwändig, wird durch KI aber zunehmend beschleunigt. Network/Host Artifacts – „Annoying“: Spuren wie offene Ports, Registry-Einträge oder Dateien zwingen den Angreifer, sein Tool umzuprogrammieren.

Surface Web: der über normale Suchmaschinen indexierte, frei zugängliche Teil des Internets (nur ca. 4 %). Deep Web: nicht indexierte, aber über reguläre Kanäle zugängliche Inhalte, die z.B. Logins/Berechtigungen erfordern (u.a. Behördendokumente, wissenschaftliche/finanzielle Datenbanken) – der mit Abstand größte Teil des Internets (~90 %). Dark Web: bewusst verborgener Teil des Deep Web, nur über spezielle Software wie Tor erreichbar, häufig für illegale Inhalte/Handel genutzt (~6 %).

Schritt 1 – Risikoidentifikation: systematische Erfassung möglicher IT-Risiken. Schritt 2 – Risikobewertung: Einschätzung von Eintrittswahrscheinlichkeit und Schadenshöhe. Schritt 3 – Risikosteuerung: Vermeiden, Vermindern, Übertragen (z.B. Versicherung), Akzeptieren. Schritt 4 – Risikoüberwachung: kontinuierliches Monitoring und Reporting.

Rechenschaftspflicht: Unternehmen müssen Compliance nachweisen können. Verzeichnis von Verarbeitungstätigkeiten & organisatorische Maßnahmen. Meldepflicht bei Datenpannen innerhalb von 72 Stunden. Sanktionsrahmen: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.

Recht auf Auskunft. Recht auf Berichtigung. Recht auf Löschung – „Recht auf Vergessenwerden“. Recht auf Datenübertragbarkeit. Widerspruchsrecht, insbesondere gegen Direktwerbung.

„Stand der Technik“ bezeichnet einen dynamischen Rechtsmaßstab zwischen dem aktuellen wissenschaftlichen Kenntnisstand („Stand von Wissenschaft und Technik“) und bereits etablierten, bewährten Verfahren („anerkannte Regeln der Technik“). Er verlangt von Unternehmen den Einsatz am Markt verfügbarer, in der Praxis bewährter technischer und organisatorischer Sicherheitsmaßnahmen entsprechend dem aktuellen Fortschritt (z.B. gefordert in DSGVO Art. 32, BSIG, NIS-2) – ohne dass zwingend die neueste, experimentelle Technologie eingesetzt werden muss.

Einheitlich hohes Cybersicherheitsniveau in der EU, Resilienz kritischer Sektoren stärken.

Risikomanagementmaßnahmen: angemessene technische und organisatorische Maßnahmen zur Risikobeherrschung. Meldepflichten: erhebliche Sicherheitsvorfälle binnen 24 Stunden (Frühwarnung), Folgemeldungen binnen 72 Stunden. Persönliche Verantwortung der Geschäftsleitung für die Umsetzung – inklusive Schulungspflichten. Nachweispflichten: regelmäßige Überprüfung und Dokumentation der Maßnahmen.