20 Cybersicherheitskonzepte, die jede Person verstehen sollte

Das Internet wurde nicht mit Sicherheit im Sinn gebaut. Die Protokolle, die E-Mails, Webverkehr und verbundene Geräte übertragen, wurden in einer Zeit entworfen, als das globale Netzwerk klein, akademisch und weitgehend kooperativ war. Die Sicherheit kam später – aufgesetzt, eingepatcht, darüber geschichtet – und diese architektonische Realität ist ein Teil davon, warum Verstöße, Betrügereien und Systemkompromisse auch Jahrzehnte nach Beginn des digitalen Zeitalters so häufig sind.

Die Konsequenzen sind parallel zur Infrastruktur gewachsen. Persönliche Datenlecks aus Gesundheitssystemen, Finanzinstitutionen und sozialen Plattformen betreffen jetzt Hunderte von Millionen Menschen. Ransomware-Angriffe haben Krankenhäuser lahmgelegt und Kraftstoffleitungen gestört. Regierungen führen offensive Cyber-Operationen gegen die kritische Infrastruktur anderer Staaten durch. Gleichzeitig navigiert die durchschnittliche Person in dieser Umgebung mit Werkzeugen, die nicht immer dafür gemacht sind, Sicherheit sichtbar oder intuitiv zu machen.

Cybersicherheit wird oft als Domäne von Spezialisten dargestellt – Netzwerkingenieuren, Penetrationstestern, Vorfallreaktionsteams. Diese Darstellung tut dem praktischen Wissen, das jeder mit einem Smartphone, einem Bankkonto oder einem Arbeitslaptop tatsächlich benötigt, einen schlechten Dienst. Man muss keinen Code schreiben oder Packet-Level-Netzwerke verstehen, um bedeutend bessere Entscheidungen über sein digitales Leben zu treffen. Was man braucht, ist ein funktionierendes Verständnis der Konzepte, die bestimmen, wie Angriffe geschehen, wie Verteidigungen funktionieren und was die Kompromisse sind.

Die 20 Konzepte in dieser Liste sind kein technischer Lehrplan. Es sind die grundlegenden Ideen, die alles andere freischalten. Phishing zu verstehen, macht es weniger wahrscheinlich, dass man dadurch getäuscht wird. Verschlüsselung zu verstehen, hilft einem, Produkte zu bewerten, die behaupten, Ihre Daten zu schützen. Zu verstehen, wie Passwörter gespeichert werden, erklärt, warum die Wiederverwendung desselben Passworts auf verschiedenen Websites wirklich gefährlich ist und nicht nur unbequem zu vermeiden. Jedes Konzept verbindet sich mit Entscheidungen, die Menschen jeden Tag treffen – über die Apps, die sie nutzen, die Links, die sie anklicken, die Netzwerke, mit denen sie sich verbinden, und die Konten, die sie sichern.

Cybersecurity Literacy dreht sich nicht darum, paranoid zu werden. Es geht darum, ein genaues mentales Modell davon zu haben, wie digitale Systeme funktionieren und wo sie versagen können. Die Bedrohungen sind real, gut dokumentiert, und die meisten von ihnen sind nicht so technisch exotisch, wie es die populäre Berichterstattung manchmal suggeriert. Die Grundlagen haben sich nicht so sehr verändert, wie die Schlagzeilen vermuten lassen. Diese 20 Konzepte sind eine Karte.

Credit: RDNE Stock project  / Pexels 

Phishing ist die Praxis, Menschen dazu zu bringen, sensible Informationen preiszugeben – Passwörter, Kreditkartennummern, Kontozugangsdaten – oder eine Handlung auszuführen, die sie sonst nicht tun würden, wie Geld zu überweisen oder Malware zu installieren. Das Wort ist eine absichtliche Falschschreibung von "fishing" (Angeln), um die Idee widerzuspiegeln, dass Angreifer breite Netze auswerfen, in der Hoffnung, dass einige Ziele anbeißen.

Die Grundtechnik existiert seit Mitte der 1990er Jahre, als Angreifer begannen, sich in frühen Chat-Anwendungen als America Online-Kundendienstmitarbeiter auszugeben, um Kontopasswörter zu stehlen. Die Kernmechanik hat sich nicht viel verändert: eine überzeugende falsche Identität schaffen, einen plausiblen Grund für Dringlichkeit erzeugen und das Ziel bitten, etwas zu tun.

Was sich geändert hat, ist Raffinesse und Umfang. Frühe Phishing-E-Mails waren oft leicht zu erkennen – grammatikalisch schlecht, visuell grob, generisch in ihrer Zielausrichtung. Moderne Phishing-Nachrichten sind fast nicht mehr von legitimen Kommunikationsmitteln zu unterscheiden. Sie kopieren das visuelle Design echter Institutionen, fälschen E-Mail-Adressen, die auf den ersten Blick authentisch aussehen, und kommen mit Tracking-Mechanismen, um zu bestätigen, wann eine Nachricht geöffnet wurde.

Spear-Phishing bezieht sich auf gezielte Angriffe auf bestimmte Personen anstelle von Massenempfängern. Ein Angreifer, der einen Geschäftsführer in einem Unternehmen spear-phisht, wird die Rolle dieser Person, deren Kollegen und deren kürzliche Kommunikation recherchieren, bevor er eine Nachricht erstellt. Diese Art von Angriff ist viel effektiver als generisches Massen-Phishing, da es den Kontext ausnutzt, den das Ziel erkennt.

Voice-Phishing, genannt Vishing, beinhaltet Telefonanrufe. Smishing verwendet SMS-Textnachrichten. Beide sind häufiger geworden, da E-Mail-Filter besser darin geworden sind, traditionelle Phishing-Versuche abzufangen.

Die zuverlässigste Verteidigung gegen Phishing ist die Verifizierung über einen separaten Kanal. Wenn eine E-Mail von Ihrer Bank Sie auffordert, auf einen Link zu klicken und Ihre Zugangsdaten einzugeben, verwenden Sie diesen Link nicht – öffnen Sie ein neues Browserfenster, navigieren Sie direkt zur Website der Bank und überprüfen Sie dort Ihr Konto. Wenn ein Kollege eine unerwartete Anfrage zum Überweisen von Geldern oder zum Teilen von Anmeldedaten sendet, rufen Sie ihn unter einer bekannten Telefonnummer an, um dies zu bestätigen. Keine seriöse Institution wird gegen diese Art der externen Verifizierung Einwände haben.

Angreifer verlassen sich auf Dringlichkeit und Angst. Nachrichten, die behaupten, Ihr Konto wird gesperrt, ein Paket könnte nicht zugestellt werden oder ungewöhnliche Aktivitäten wurden festgestellt, sind darauf ausgelegt, Sie schnell handeln zu lassen und die Prüfung zu überspringen. Langsamer vorzugehen ist eine der effektivsten Gegenmaßnahmen, die jedem Ziel zur Verfügung stehen.

Technische Kontrollen helfen, eliminieren das Risiko jedoch nicht. E-Mail-Authentifizierungsprotokolle können das Spoofing von genauen Domain-Namen reduzieren, aber sie können nicht verhindern, dass Angreifer ähnlich aussehende Domains registrieren. Spam-Filter fangen viele Phishing-Nachrichten ab, aber nicht alle. Die menschliche Ebene bleibt entscheidend.

Credit: Jake Walker / Pexels 

Malware ist eine Abkürzung für "bösartige Software" – jedes Programm, das entwickelt wurde, um ein System ohne das Wissen oder die Zustimmung der Person, die es verwendet, zu beschädigen, zu stören oder unbefugten Zugriff darauf zu erlangen. Die Kategorie ist breit genug, um alles von Viren, die sich zwischen Dateien verbreiten, bis hin zu ausgeklügelten Spionagetools zu umfassen, die von Nationalstaaten verwendet werden.

Viren sind eine der ältesten Formen von Malware. Sie hängen ihren Code an legitime Dateien an und führen ihn aus, wenn diese Dateien geöffnet werden, und versuchen dann, sich weiter im System oder auf andere Systeme zu replizieren. Der Begriff wird oft lose verwendet, um jede Art von Malware zu bezeichnen, obwohl er technisch nur Programme mit Selbstreplikationsverhalten beschreibt.

Würmer verbreiten sich, ohne dass Benutzeraktionen erforderlich sind, indem sie Schwachstellen in vernetzten Systemen ausnutzen. Der Slammer-Wurm von 2003 infizierte in etwa 10 Minuten Hunderttausende von Servern, indem er eine bekannte Schwachstelle in Microsoft $MSFT SQL Server ausnutzte. Die Geschwindigkeit war möglich, weil der Wurm keine menschliche Interaktion erforderte – er prüfte einfach IP-Adressen und verbreitete sich automatisch.

Trojaner präsentieren sich als legitime oder nützliche Software und verbergen dabei eine bösartige Nutzlast. Ein Benutzer lädt ein vermeintlich kostenloses Spiel oder ein Dienstprogramm herunter; die Software wird installiert, erfüllt ihre scheinbare Funktion und installiert gleichzeitig eine Hintertür oder sammelt Tastenanschläge.

Spyware sammelt Informationen über einen Benutzer – Surfgewohnheiten, Tastenanschläge, Anmeldeinformationen, Bildschirminhalte – und überträgt sie an eine externe Partei. Stalkerware ist eine Form von Spyware, die oft von missbräuchlichen Partnern auf Mobilgeräten installiert wird, um Standort und Kommunikation zu überwachen.

Ransomware verschlüsselt die Dateien eines Opfers und fordert eine Zahlung – typischerweise in Kryptowährung – im Austausch gegen den Entschlüsselungsschlüssel. Es war in den letzten Jahren eine der wirtschaftlich schädlichsten Kategorien von Malware und zielte gleichermaßen auf Krankenhäuser, lokale Regierungen, Schulen und große Unternehmen ab.

Übertragungsmechanismen variieren. Malware gelangt über bösartige E-Mail-Anhänge, infizierte Download-Links, kompromittierte Websites, die Browser-Schwachstellen ausnutzen, und physische Medien. Drive-by-Downloads können Malware einfach dadurch installieren, dass man eine Seite in einem ungepatchten Browser besucht. USB-Sticks, die auf Parkplätzen gefunden wurden – eine dokumentierte Social-Engineering-Technik – wurden verwendet, um Systeme zu infizieren, wenn Mitarbeiter sie an Arbeitscomputer anschließen.

Verteidigungsschichten umfassen typischerweise Antivirensoftware, Endpoint-Detection-and-Response-Tools, das Patchen von Betriebssystemen und Anwendungen sowie die Einschränkung von Benutzerberechtigungen, sodass Malware, die unter einem Standardkonto ausgeführt wird, keine Software installieren oder Systemdateien ändern kann.

Credit: Markus Spiske / Pexels 

Verschlüsselung wandelt lesbare Informationen – genannt Klartext – in eine unleserliche, verschlüsselte Form namens Chiffretext um, unter Verwendung eines mathematischen Algorithmus und eines Schlüssels. Nur jemand mit dem richtigen Schlüssel kann den Prozess umkehren und die ursprünglichen Daten wiederherstellen. Ohne ihn wären digitale Kommunikation und Speicherung grundlegend unsicher.

Das Konzept ist Jahrtausende älter als Computer. Julius Caesar nutzte eine einfache Ersetzungschiffre, bei der jeder Buchstabe des Alphabets um eine feste Anzahl von Positionen verschoben wurde. Moderne Verschlüsselung verwendet mathematische Operationen einer anderen Komplexitätsordnung – nicht Verschiebungen um 13 Positionen, sondern Algorithmen, die mehr Rechenschritte zum Knacken durch rohe Gewalt erfordern würden, als es Atome im beobachtbaren Universum gibt.

Symmetrische Verschlüsselung verwendet denselben Schlüssel zum Verschlüsseln und Entschlüsseln von Daten. Sie ist schnell und effizient und daher praktisch für die Verschlüsselung großer Datenmengen. Das Problem ist die Schlüsselverteilung: Wenn zwei Parteien sicher kommunizieren wollen, müssen sie den Schlüssel teilen, ohne dass er abgefangen wird – eine echte Herausforderung, wenn sie sich noch nie persönlich getroffen haben.

Asymmetrische Verschlüsselung, auch Public-Key-Kryptographie genannt, löst dieses Problem. Jede Partei generiert ein mathematisch verknüpftes Schlüsselpaar: einen öffentlichen Schlüssel, der offen geteilt werden kann, und einen privaten Schlüssel, der geheim gehalten wird. Daten, die mit einem der Schlüssel im Paar verschlüsselt werden, können nur mit dem anderen entschlüsselt werden. Dies ermöglicht es jedem, eine verschlüsselte Nachricht an einen Empfänger unter Verwendung nur des öffentlichen Schlüssels des Empfängers zu senden, in dem Wissen, dass nur der private Schlüssel des Empfängers sie entschlüsseln kann.

HTTPS – das Vorhängeschloss, das Sie in der Adressleiste eines Browsers sehen – verlässt sich auf asymmetrische Verschlüsselung, um einen sicheren Kanal zu etablieren, und wechselt dann zur symmetrischen Verschlüsselung für den Großteil der Datenübertragung, weil es schneller ist.

Ende-zu-Ende-Verschlüsselung bedeutet, dass Nachrichten auf dem Gerät des Absenders verschlüsselt und nur auf dem Gerät des Empfängers entschlüsselt werden können. Der Dienstanbieter in der Mitte – die Messaging-Plattform, der E-Mail-Dienst – kann den Inhalt nicht lesen, selbst wenn er es wollte oder rechtlich dazu gezwungen wäre.

Verschlüsselung schützt Daten bei der Übertragung, die über Netzwerke reisen, und Daten im Ruhezustand, die auf Geräten oder Servern gespeichert sind. Beides ist wichtig. Ein System, das den Netzwerkverkehr verschlüsselt, aber Daten im Klartext auf der Festplatte speichert, bleibt für jeden, der Zugang zu diesem Speicher erhält, verwundbar.

Credit:  Zulfugar Karimov / Unsplash

Ein Passwort ist die häufigste Form der Authentifizierung — der Prozess, bei dem ein System überprüft, dass Sie derjenige sind, der Sie vorgeben zu sein. Trotz ihrer Allgegenwärtigkeit sind Passwörter eines der schwächsten Glieder in der digitalen Sicherheit, hauptsächlich aufgrund der Art und Weise, wie Menschen sie auswählen und verwalten.

Das Kernproblem ist das menschliche Gedächtnis. Menschen neigen dazu, Passwörter zu erstellen, die kurz, leicht zu merken und für mehrere Konten wiederverwendet werden. Kurze Passwörter sind anfällig für Brute-Force-Angriffe, bei denen automatisierte Tools systematisch Kombinationen ausprobieren, bis sie eine Übereinstimmung finden. Wiederverwendete Passwörter bedeuten, dass ein Verstoß bei einem Dienst — einer Einzelhandelswebsite, einem Forum, einem alten Abonnement — Angreifern Anmeldedaten gibt, die bei wertvolleren Zielen wie E-Mail- oder Bankkonten funktionieren.

Credential Stuffing ist die automatisierte Technik, die Wiederverwendung im großen Maßstab ausnutzt. Angreifer erhalten Listen von geleakten Benutzername-Passwort-Kombinationen aus früheren Verstößen und testen sie automatisch gegen andere Dienste. Da viele Menschen überall dieselbe E-Mail-Adresse und Passwortkombination verwenden, ist die Erfolgsquote erheblich.

Ein Passwort-Manager löst das Wiederverwendungsproblem, indem er lange, zufällige, eindeutige Passwörter für jedes Konto generiert und sie verschlüsselt in einem Tresor speichert, der durch ein einziges Hauptkennwort geschützt ist. Der Benutzer muss sich nur dieses eine Passwort merken. Die vom Manager generierten Passwörter — typischerweise 16 oder mehr zufällige Zeichen — sind keine sinnvollen Wörter und werden nicht wiederverwendet, was Credential Stuffing gegen so geschützte Konten nutzlos macht.

Passwortstärke wird besser als Länge und Zufälligkeit statt als Komplexität verstanden. Eine zufällige Zeichenfolge aus 16 Buchstaben und Zahlen ist sicherer als ein kürzeres Passwort mit einem Sonderzeichen.

Multi-Faktor-Authentifizierung (MFA) fügt eine zweite Schicht der Verifizierung über das Passwort hinaus hinzu — ein einmaliger Code, der per SMS gesendet, von einer Authentifizierungs-App generiert oder durch einen Hardware-Schlüssel erzeugt wird. Selbst wenn ein Angreifer ein korrektes Passwort durch Phishing, Datenverletzung oder Raten erhält, kann er sich ohne den zweiten Faktor nicht anmelden. Authentifizierungs-Apps und Hardware-Schlüssel sind sicherer als SMS-Codes, die durch SIM-Swapping-Angriffe abgefangen werden können.

Credit: RDNE Stock project / Pexels 

Eine Datenverletzung ist ein Vorfall, bei dem unbefugte Parteien Zugang zu Daten erhalten, die nicht für sie bestimmt sind. Verstöße betreffen Einzelpersonen, Unternehmen, Regierungen und Gesundheitsdienstleister. Sie reichen im Umfang von Tausenden von Datensätzen bis zu Milliarden und in der Sensibilität von E-Mail-Adressen bis zu Sozialversicherungsnummern, Krankengeschichten und finanziellen Kontodaten.

Verstöße passieren durch eine Vielzahl von Mechanismen. Angreifer können Software-Schwachstellen ausnutzen, um Zugriff auf eine Datenbank zu erhalten. Sie können einen Mitarbeiter mit administrativen Anmeldeinformationen phishen. Ein Insider — ein aktueller oder ehemaliger Mitarbeiter — kann absichtlich Daten aus finanziellen oder ideologischen Gründen exfiltrieren. Ein falsch konfigurierter Cloud-Speicher-Bucket kann Daten öffentlich zugänglich machen, ohne dass es zu einem aktiven Eindringen kommt.

Der Verstoß von Adobe $ADBE im Jahr 2013 betraf etwa 153 Millionen Datensätze, einschließlich Passwörter, die mit einer veralteten und unzureichenden Methode verschlüsselt worden waren, was sie relativ leicht zu knacken machte. Der Equifax-Verstoß von 2017 legte die persönlichen und finanziellen Informationen von etwa 147 Millionen Amerikanern offen — fast die Hälfte der erwachsenen Bevölkerung der USA — einschließlich Sozialversicherungsnummern, Geburtsdaten, Adressen und in einigen Fällen Führerscheinnummern und Kreditkartendaten.

Was Verstöße dauerhaft schädlich macht, ist, dass exponierte Daten nicht verfallen. Eine Sozialversicherungsnummer, die 2017 geleakt wurde, ist 2024 für einen Identitätsdieb genauso nützlich wie am Tag, an dem sie gestohlen wurde. Gehackte Anmeldeinformationen zirkulieren auf darknet Marktplätzen und werden noch Jahre nach dem ursprünglichen Vorfall in Credential-Stuffing-Angriffen verwendet.

Have I Been Pwned, eine von dem Sicherheitsforscher Troy Hunt betriebene Website, ermöglicht es Menschen zu überprüfen, ob ihre E-Mail-Adresse in bekannten Verletzungsdatensätzen erscheint. Es indexiert Milliarden von Datensätzen aus dokumentierten öffentlichen Verstößen und ist ein praktischer erster Schritt für jeden, der seine Exponiertheit verstehen möchte.

Die Konsequenzen eines Verstoßes hängen stark davon ab, welche Daten offengelegt wurden und wie sie gespeichert wurden. Passwörter, die als richtig gehashte Werte gespeichert werden — unter Verwendung starker Algorithmen wie bcrypt oder Argon2 — sind weitaus schwerer zu knacken als solche, die im Klartext oder mit schwächeren Algorithmen gespeichert werden. Dies ist ein Grund, warum es genauso wichtig ist, wie ein Dienst Ihre Daten speichert, wie ob er verletzt wird.

Credit:  Zulfugar Karimov / Unsplash

Eine Firewall ist eine Sicherheitskontrolle, die den Verkehr überwacht und filtert, der in ein Netzwerk eintritt oder es verlässt, basierend auf einem definierten Satz von Regeln. Der Begriff stammt von der physischen Brandmauer — der Barriere, die in ein Gebäude oder Fahrzeug eingebaut ist, um die Ausbreitung von Feuer zu verhindern. In der Netzwerktechnik schafft eine Firewall eine kontrollierte Grenze zwischen einem vertrauenswürdigen internen Netzwerk und externen Netzwerken, die weniger vertrauenswürdig sind.

Traditionelle Firewalls arbeiteten auf der Netzwerkschicht, untersuchten Pakete — die kleinen Einheiten, in die Daten zur Übertragung aufgeteilt werden — und erlaubten oder blockierten sie basierend auf Quell- und Ziel-IP-Adressen und Ports. Eine Regel könnte es erlauben, dass Webverkehr von jeder Quelle einen Webserver auf Port 443 erreicht, während jeglicher anderer Verkehr zu diesem Server blockiert wird. Diese Art der Filterung ist schnell und effektiv für bekannte Muster von legitimen und bösartigen Verkehr.

Zustandsbehaftete Firewalls verfolgen den Status aktiver Verbindungen, wodurch sie den Kontext verstehen können. Ein Paket, das behauptet, Teil einer bestehenden Verbindung zu sein, kann mit der Zustandstabelle der Firewall verglichen werden. Wenn eine solche Verbindung nicht existiert, kann das Paket abgelehnt werden. Dies schließt bestimmte Arten von Spoofing- und Flooding-Angriffen aus, die einfachere Paketfilter-Firewalls passieren würden.

Firewalls der nächsten Generation untersuchen den Datenverkehr auf einer tieferen Ebene, einschließlich der Inspektion der Anwendungsschicht. Sie können den Datenverkehr anhand der Anwendung identifizieren, die ihn erzeugt – nicht nur anhand der Portnummer – und Regeln entsprechend anwenden. Sie integrieren auch Bedrohungsdaten-Feeds, Eindringungserkennungs- und Präventionssysteme sowie SSL-Inspektion zur Untersuchung verschlüsselten Datenverkehrs.

Persönliche Firewalls arbeiten auf einzelnen Geräten statt an Netzwerkgrenzen. Betriebssysteme wie Windows und macOS werden mit integrierten persönlichen Firewalls geliefert, die eingehende Verbindungen zu Anwendungen blockieren, denen nicht ausdrücklich der Zugriff gewährt wurde.

Eine Firewall ist kein vollständiger Schutz. Sie kann keine Malware stoppen, die durch erlaubten Datenverkehr geliefert wird – zum Beispiel einen bösartigen E-Mail-Anhang, der über einen Mailserver auf einem erlaubten Port passiert. Sie behebt keine Schwachstellen in den Anwendungen, die sie schützt. Sie ist eine Schicht in einer breiteren Verteidigungsstrategie, die effektiv ist, wenn sie richtig konfiguriert und mit anderen Kontrollen kombiniert wird.

Credit: Stefan Coders / Pexels 

Ein VPN oder virtuelles privates Netzwerk erzeugt einen verschlüsselten Tunnel zwischen einem Gerät und einem entfernten Server, der vom VPN-Anbieter betrieben wird. Der Datenverkehr vom Gerät durchläuft diesen Tunnel und wird dann über die IP-Adresse des VPN-Servers ins Internet geleitet, anstatt über die eigene des Nutzers. Aus der Sicht externer Beobachter – Websites, Werbetreibende, ein Internetdienstanbieter – scheint der Datenverkehr vom Standort des VPN-Servers aus zu kommen.

VPNs wurden ursprünglich entwickelt, um Mitarbeitern zu ermöglichen, sicher von entfernten Standorten aus auf Unternehmensnetzwerke zuzugreifen und so den vertrauenswürdigen Netzwerkperimeter über eine ungesicherte Verbindung zu erweitern. Wenn ein Mitglied des Verkaufsteams während einer Reise über ein VPN eine Verbindung zur Zentrale herstellt, verhält sich sein Laptop so, als befände er sich im Büronetzwerk mit Zugriff auf interne Ressourcen, die sonst über das Internet nicht verfügbar wären.

Verbraucher-VPNs werden hauptsächlich aus Datenschutzgründen vermarktet. Das Argument ist, dass der Nutzer durch das Routen des Datenverkehrs über die Server des VPN-Anbieters verhindert, dass sein Internetdienstanbieter sehen kann, welche Seiten er besucht. In einem unverschlüsselten öffentlichen WLAN-Netzwerk – in einem Café oder Hotel – verhindert ein VPN, dass andere Benutzer im selben Netzwerk den Datenverkehr abfangen.

Die Einschränkung besteht darin, dass das Vertrauen sich verschiebt, anstatt zu verschwinden. Bei der Nutzung eines VPN kann der Internetdienstanbieter den Datenverkehr nicht mehr sehen, aber der VPN-Anbieter kann es. Die Datenschutzrichtlinien und Protokollierungspraktiken eines VPN-Anbieters sind von großer Bedeutung, und diese Praktiken sind schwer unabhängig zu überprüfen. Einige Anbieter wurden dabei erwischt, dass sie Benutzeraktivitäten protokollierten, obwohl sie behaupteten, dies nicht zu tun.

VPNs machen einen Benutzer nicht anonym. Sie verbergen eine IP-Adresse vor externen Diensten, verhindern jedoch nicht die Verfolgung durch Cookies, Browser-Fingerprinting oder Kontoanmeldungen. Jemand, der ein VPN verwendet und sich dann bei einem persönlichen Konto anmeldet, hat sich diesem Dienst gegenüber identifiziert.

Um geografische Inhaltsbeschränkungen zu umgehen und eine Schutzschicht in wirklich unzuverlässigen öffentlichen Netzwerken hinzuzufügen, erfüllen VPNs einen echten Zweck. Der von ihnen gebotene Datenschutz gegen entschlossene, gut ausgestattete Gegner ist begrenzter als von einigen Marketingmaßnahmen suggeriert.

Credit: Canva Images

Die Zwei-Faktor-Authentifizierung – oft abgekürzt als 2FA oder austauschbar mit dem breiteren Begriff der Multi-Faktor-Authentifizierung (MFA) verwendet – ist ein Anmeldeprozess, der von einem Benutzer verlangt, zwei unterschiedliche Formen des Nachweises zu erbringen, bevor er auf ein Konto zugreifen kann. Die beiden Faktoren stammen typischerweise aus verschiedenen Kategorien: etwas, das man weiß (ein Passwort), etwas, das man hat (ein Gerät oder Token), oder etwas, das man ist (ein biometrisches Merkmal wie ein Fingerabdruck oder Gesichtsscan).

Die zugrunde liegende Begründung ist, dass das Stehlen oder Erraten eines einzelnen Anmeldedatums schwieriger ist als das Stehlen von zwei unabhängigen. Ein Datenbankverstoß kann Passwörter offenlegen, gibt Angreifern jedoch keinen Zugang zum physischen Gerät in der Tasche eines Ziels. Ein gestohlenes Telefon hilft nicht, wenn der Angreifer das Kontopasswort nicht kennt.

SMS-basierte 2FA sendet einen einmaligen Code per SMS. Es ist besser als kein zweiter Faktor, hat aber eine dokumentierte Schwäche: SIM-Swapping. Bei diesem Angriff überzeugt ein Angreifer einen Mobilfunkanbieter – typischerweise durch Social Engineering oder Identitätsdiebstahl – dazu, die Telefonnummer des Opfers auf eine SIM-Karte zu übertragen, die der Angreifer kontrolliert. Alle Anrufe und Nachrichten, einschließlich 2FA-Codes, gehen dann an den Angreifer. Hochkarätige Ziele mit erheblichen Vermögenswerten in Kryptowährung oder sozialen Medien wurden auf diese Weise angegriffen.

Authentifikator-Apps wie Google $GOOGL Authenticator, Authy und Microsoft $MSFT Authenticator generieren zeitbasierte Einmalpasswörter (TOTP), die sich alle 30 Sekunden ändern. Da diese Codes lokal auf dem Gerät generiert werden und nicht per SMS übertragen werden, sind sie nicht anfällig für SIM-Swapping. Sie sind auch nicht von der Verfügbarkeit des Mobilfunknetzes abhängig.

Hardware-Sicherheitsschlüssel, wie diejenigen, die dem FIDO2/WebAuthn-Standard folgen, bieten den stärksten Schutz. Diese physischen Geräte werden in einen USB-Anschluss gesteckt oder verbinden sich über NFC und führen bei der Authentifizierung eine kryptografische Herausforderung-Antwort durch. Sie sind resistent gegen Phishing, da die Authentifizierung an die Domain der spezifischen Website gebunden ist — eine gefälschte Seite kann keine gültige Antwort vom Schlüssel auslösen.

Das Aktivieren von 2FA auf E-Mail-Konten ist ein vorrangiger Schritt, da E-Mail-Konten typischerweise der Wiederherstellungsmechanismus für alle anderen Konten sind. Ein Angreifer, der Zugriff auf einen E-Mail-Posteingang erhält, kann Passwörter für praktisch jeden verknüpften Dienst zurücksetzen.

Credit: cottonbro studio / Pexels 

Soziale Ingenieurskunst bezieht sich auf den Einsatz von psychologischer Manipulation, um Menschen zu täuschen, damit sie vertrauliche Informationen preisgeben oder Maßnahmen ergreifen, die die Sicherheit gefährden. Während technische Angriffe Software-Schwachstellen ausnutzen, nutzt die soziale Ingenieurskunst menschliche Schwachstellen aus — Vertrauen, Autorität, Angst, Neugier, Hilfsbereitschaft und den Wunsch, Probleme schnell zu lösen.

Der Begriff umfasst eine Vielzahl von Taktiken. Phishing ist sozialer Ingenieurskunst, die digital durchgeführt wird. Vishing erfolgt per Telefon. Pretexting beinhaltet das Konstruieren eines falschen Szenarios — einer erfundenen Hintergrundgeschichte — um eine Anfrage legitim erscheinen zu lassen. Ein Angreifer könnte die IT-Hotline eines Unternehmens anrufen und behaupten, ein Remote-Mitarbeiter zu sein, der von seinem Konto ausgesperrt wurde, wobei er Details verwendet, die von LinkedIn und Unternehmenswebsites gesammelt wurden, um glaubwürdig zu erscheinen.

Ködertechnik nutzt Neugier oder Gier aus. Ein Angreifer lässt USB-Sticks auf dem Parkplatz oder in der Lobby einer Zielorganisation liegen. Einige Mitarbeiter, die die Sticks finden, werden sie aus Neugier oder in der Hoffnung, sie einem Eigentümer zurückzugeben, in Arbeitscomputer stecken. Die Sticks sind mit Malware geladen.

Autorität ist einer der am zuverlässigsten ausgenutzten psychologischen Hebel. Menschen sind darauf konditioniert, Anfragen von Personen in Autoritätspositionen nachzukommen, ohne sie vollständig zu hinterfragen. Ein Anrufer, der behauptet, von der IRS zu sein, oder eine E-Mail, die scheinbar von einem CEO kommt, erzeugt höhere Compliance-Raten als eine Anfrage von einem Kollegen. Angriffe auf Geschäfts-E-Mails umfassen typischerweise das Vortäuschen von Führungskräften, um Finanzmitarbeiter anzuweisen, unbefugte Überweisungen vorzunehmen.

Dringlichkeit ist ein weiterer Hebel. Anfragen, die sofortiges Handeln verlangen — "Ihr Konto wird in 24 Stunden gesperrt," "Sie müssen jetzt antworten oder rechtliche Schritte riskieren" — umgehen die Überlegung und fördern die Einhaltung. Legitime Institutionen operieren normalerweise nicht auf diese Weise, und echte Dringlichkeit ist selten so absolut, wie es ein Angreifer impliziert.

Die effektivste Verteidigung ist eine Kultur, in der das Hinterfragen unerwarteter Anfragen normalisiert ist und Verfahren für eine externe Verifizierung existieren. Kein Mitarbeiter sollte sich schämen, bevor er einer ungewöhnlichen Anweisung nachkommt, den Anforderer unter einer bekannten Nummer zurückzurufen, unabhängig von der scheinbaren Autorität der ursprünglichen Anfrage.

Credit: Canva Images

Ransomware ist eine Kategorie von Malware, die die Dateien eines Opfers verschlüsselt und eine Zahlung – typischerweise in Kryptowährung – im Austausch für den zum Wiederherstellen des Zugriffs benötigten Entschlüsselungsschlüssel fordert. Es ist zu einer der wirtschaftlich zerstörerischsten Formen der Cyberkriminalität geworden und betrifft Organisationen im Gesundheitswesen, in der Regierung, im Bildungswesen, im Finanzwesen und in der kritischen Infrastruktur.

Der Verschlüsselungsmechanismus selbst ist solide. Moderne Ransomware verwendet legitime, starke kryptografische Algorithmen. Ohne den vom Angreifer gehaltenen Entschlüsselungsschlüssel sind von Ransomware verschlüsselte Dateien praktisch nicht wiederherstellbar. Dies macht Ransomware zu einem besonders effektiven Erpressungsinstrument: Der Schaden ist real und technisch, nicht nur eine Drohung.

Die erste weithin anerkannte Ransomware, AIDS Trojan oder PC Cyborg genannt, erschien 1989 und wurde auf Disketten verteilt. Seine Verschlüsselung war schwach und symmetrisch, was es möglich machte, sie ohne Bezahlung rückgängig zu machen. Moderne Ransomware verwendet asymmetrische Verschlüsselung, die diesen Ansatz unmöglich macht.

Das Modell Ransomware-as-a-Service hat die Einstiegshürde für Angreifer gesenkt. Ransomware-Gangs entwickeln und warten die Malware und Infrastruktur und vermieten sie dann an Partner, die die eigentlichen Angriffe durchführen. Der Partner erhält einen Teil jeder Lösegeldzahlung; der Entwickler nimmt den Rest. Dieses Geschäftsmodell hat eine schnelle Verbreitung ermöglicht.

Doppelte Erpressung ist zur Standardpraxis geworden. Angreifer verschlüsseln nicht nur Dateien, sondern exfiltrieren sie zuerst. Wenn sich das Opfer weigert, das Lösegeld zu zahlen, drohen die Angreifer, die gestohlenen Daten öffentlich zu veröffentlichen. Einige Opfer, die sich weigern, das Lösegeld zur Wiederherstellung der Dateien zu zahlen, zahlen dennoch eine separate Forderung, um die Veröffentlichung sensibler Daten zu verhindern.

Backups sind die zuverlässigste technische Verteidigung, aber nur, wenn sie korrekt verwaltet werden. Ein Backup, das während eines Angriffs mit dem Netzwerk verbunden ist, kann selbst verschlüsselt werden. Offline-Backups – gespeichert auf Medien, die physisch getrennt werden, wenn sie nicht verwendet werden – oder unveränderbare Cloud-Backups, die nach der Erstellung nicht geändert oder gelöscht werden können, sind weitaus widerstandsfähiger. Organisationen, die gute Offline-Backups pflegen, können oft den Betrieb wiederherstellen, ohne Lösegeld zu zahlen.

Credit: panumas nikhomkhai / Pexels 

Netzwerksicherheit bezieht sich auf die Praktiken, Technologien und Richtlinien, die zum Schutz der Integrität, Vertraulichkeit und Verfügbarkeit von Computernetzwerken und der durch sie fließenden Daten verwendet werden. Es ist ein breites Feld, das Hardwarekontrollen, Softwarekonfigurationen, Überwachungspraktiken und Zugangsmanagement umfasst.

Jedes verbundene Gerät hat eine IP-Adresse — einen numerischen Bezeichner, der verwendet wird, um den Datenverkehr über Netzwerke zu leiten. Geräte kommunizieren, indem sie Pakete senden, die jeweils eine Quell- und Zieladresse, die übertragenen Daten und Protokollinformationen enthalten, die beschreiben, wie das Paket gehandhabt werden soll. Die Kontrolle darüber, welche Pakete wohin fließen können, und die Überwachung von Anomalien in diesem Fluss sind Kernaufgaben der Netzwerksicherheit.

Netzwerksegmentierung teilt ein größeres Netzwerk in kleinere Zonen mit kontrolliertem Zugriff zwischen ihnen. Ein Krankenhaus könnte sein Verwaltungsnetzwerk von seinen klinischen Systemen trennen, die wiederum von medizinischen Geräten getrennt sind. Wenn ein Angreifer Zugang zu einem Segment erhält — indem er beispielsweise einen Verwaltungsarbeitsplatz kompromittiert — begrenzt die Segmentierung, wie weit sich der Angriff ausbreiten kann. Laterale Bewegung, der Prozess, bei dem Angreifer von einem anfänglichen Standbein zu anderen Systemen in einem Netzwerk wechseln, ist in einer ordnungsgemäß segmentierten Umgebung erheblich erschwert.

Einbruchserkennungssysteme (IDS) überwachen den Netzwerkverkehr und Systemaktivitäten auf Muster, die bekannten Angriffssignaturen oder statistischen Anomalien entsprechen. Ein IDS, das einen vermeintlichen Port-Scan — eine Technik, um zu ermitteln, welche Dienste in einem Netzwerk laufen — erkennt, kann das Sicherheitspersonal alarmieren. Einbruchpräventionssysteme (IPS) gehen noch einen Schritt weiter und blockieren automatisch verdächtigen Verkehr, anstatt nur zu alarmieren.

Netzwerküberwachungsprotokolle sind nach einem Vorfall von unschätzbarem Wert. Das Verständnis des Zeitablaufs und Umfangs eines Verstoßes — welche Systeme wurden zugegriffen, in welcher Reihenfolge und welche Daten wurden exfiltriert — hängt in der Regel davon ab, dass detaillierte, erhaltene Protokolldaten vorliegen. Viele Verstöße werden Wochen oder Monate nach dem anfänglichen Eindringen entdeckt, und Protokolle sind das, was Ermittler in die Lage versetzt, zu rekonstruieren, was passiert ist.

Drahtlose Netzwerke bringen zusätzliche Überlegungen mit sich. Das Verschlüsselungsprotokoll, das in einem Wi-Fi-Netzwerk verwendet wird, ist von erheblicher Bedeutung. WEP, ein älteres Protokoll, hat bekannte Schwächen, die es trivial machen, es zu kompromittieren. WPA2 und WPA3 sind die aktuellen Standards, wobei WPA3 einen stärkeren Schutz gegen Wörterbuchangriffe auf das Passwort bietet.

Credit: Canva Images

Zero Trust ist ein Sicherheitsmodell, das auf dem Prinzip basiert, keinem Benutzer, Gerät oder System automatisch Vertrauen zu gewähren – unabhängig davon, ob sie sich innerhalb oder außerhalb des traditionellen Netzwerkrands befinden. Der Satz „niemals vertrauen, immer überprüfen“ ist die häufigste Kurzform für die Philosophie.

Die traditionelle Netzwerksicherheit basierte auf der Idee eines Perimeters – einem geschützten internen Netzwerk, das von Verteidigungsmechanismen umgeben ist. Geräte und Benutzer innerhalb des Perimeters wurden generell vertraut; die außerhalb nicht. Dies machte Sinn, als die meisten Mitarbeiter im Büro arbeiteten und über ein Firmennetzwerk auf interne Systeme zugriffen. Es machte weit weniger Sinn, als Organisationen begannen, Cloud-Dienste zu nutzen, Remote-Arbeit zu unterstützen und mit der Realität umzugehen, dass Angreifer, die ein einzelnes Gerät innerhalb des Perimeters kompromittieren, sich nach dem Eindringen frei bewegen konnten.

Zero Trust stellt das Konzept des Perimeter-Vertrauens in Frage, indem jede Zugriffsanfrage so behandelt wird, als stamme sie aus einem unzuverlässigen Netzwerk, selbst wenn die Anfrage aus dem Unternehmensnetzwerk kommt. Ein Benutzer, der sich von einem Büroarbeitsplatz anmeldet, unterliegt denselben Überprüfungsanforderungen wie jemand, der sich von zu Hause oder von einem unbekannten Standort aus anmeldet. Ein Gerät, das letzte Woche eine Sicherheitsprüfung bestanden hat, muss heute eine bestehen.

Die Überprüfung im Rahmen von Zero Trust umfasst in der Regel die Bestätigung der Benutzeridentität durch starke Authentifizierung, die Überprüfung, ob das Gerät definierten Sicherheitsstandards entspricht – aktuelle Patches, richtige Konfiguration, kein erkannter Kompromiss – und die Beschränkung des Zugriffs auf nur die spezifischen Ressourcen, die der Benutzer für seine aktuelle Aufgabe benötigt. Dieses Prinzip des geringsten Privilegs stellt sicher, dass ein kompromittiertes Konto oder Gerät nicht auf alles zugreifen kann, sondern nur auf den kleinen Teil der Ressourcen, für die es die Berechtigung hatte.

Mikrosegmentierung ist eine Zero Trust-Implementierungstechnik, die Anwendungen und Dienste in kleine, isolierte Segmente mit streng kontrollierten Zugriffspfaden unterteilt. Selbst innerhalb einer Netzwerkzone kommunizieren einzelne Workloads nur mit den spezifischen anderen Workloads, zu denen sie autorisiert sind, Zugriff zu haben.

Zero Trust ist kein einzelnes Produkt oder eine Technologie. Es ist eine Architektur und eine Philosophie, die eine konsistente Anwendung über Identitätsmanagement, Gerätemanagement, Netzwerkkontrollen und Datenzugriffsrichtlinien erfordert. Die Implementierung ist komplex und inkrementell; die meisten Organisationen, die behaupten, Zero Trust zu übernehmen, befinden sich mitten in einem mehrjährigen Prozess der Änderung der Art und Weise, wie der Zugriff auf ihre Systeme verwaltet wird.

Credit: Canva Images

Die öffentliche Schlüssel-Infrastruktur (PKI) ist das System aus Technologien, Richtlinien und Prozessen, das die Verwendung von Public-Key-Kryptografie im großen Maßstab unterstützt. Es ermöglicht die Verteilung und Überprüfung von öffentlichen Schlüsseln auf eine Weise, die es zwei Parteien, die noch nie zuvor kommuniziert haben, ermöglicht, Vertrauen aufzubauen und verschlüsselte Daten sicher auszutauschen.

Das zentrale Problem, das PKI löst, ist die Authentifizierung von öffentlichen Schlüsseln. Asymmetrische Verschlüsselung erfordert den korrekten öffentlichen Schlüssel der Person oder des Systems, mit dem Sie kommunizieren möchten. Aber wie wissen Sie, dass der öffentliche Schlüssel, den Sie erhalten haben, tatsächlich mit demjenigen verbunden ist, der er vorgibt zu sein? Ohne einen Mechanismus zur Überprüfung könnte ein Angreifer Ihre Anfrage nach jemandes öffentlichem Schlüssel abfangen und seinen eigenen substituieren – dann Ihre Nachrichten lesen und neu verschlüsseln, ohne dass eine der Parteien es weiß. Dies nennt man einen Man-in-the-Middle-Angriff.

PKI löst dies durch digitale Zertifikate. Ein digitales Zertifikat ist eine Datei, die einen öffentlichen Schlüssel an eine Identität bindet – eine Person, Organisation oder Domainname – und von einer vertrauenswürdigen Drittpartei namens Zertifizierungsstelle (CA) digital signiert wird. Wenn Ihr Browser eine Verbindung zu einer Website über HTTPS herstellt, erhält er das Zertifikat der Seite, überprüft, dass es von einer CA signiert wurde, der der Browser vertraut, und überprüft, dass der Domainname auf dem Zertifikat mit dem in der Adressleiste übereinstimmt.

Zertifizierungsstellen sind eine gestufte Hierarchie. Root-CAs – deren Zertifikate bei der Installation in Betriebssysteme und Browser eingebettet sind – signieren Intermediate-CAs, die wiederum End-Entity-Zertifikate für Websites, E-Mail-Server und andere Dienste signieren. Eine Vertrauenskette verbindet jedes Zertifikat mit einem vertrauenswürdigen Root.

Das System hängt davon ab, dass die CAs in diesem Vertrauensspeicher zuverlässig sind. Wenn eine CA kompromittiert wird oder sich schlecht verhält, können die Folgen weitreichend sein. 2011 wurde die niederländische CA DigiNotar kompromittiert und betrügerische Zertifikate für Domains einschließlich google.com wurden ausgestellt, die in Angriffen gegen iranische Internetnutzer verwendet wurden. Nachdem die Kompromittierung entdeckt wurde, wurden die Zertifikate von DigiNotar von Browsern widerrufen, was das Unternehmen effektiv handlungsunfähig machte.

Zertifikat-Transparenzprotokolle, die als Reaktion auf Vorfälle wie DigiNotar eingeführt wurden, erstellen öffentliche, nur anhängbare Aufzeichnungen jedes ausgestellten Zertifikats. Dies erlaubt es Domaininhabern und Sicherheitsforschern, die Ausstellung unautorisierter Zertifikate für ihre Domains zu überwachen.

Credit:   Zulfugar Karimov / Unsplash

Eine Schwachstelle ist eine Schwäche in Software, Hardware oder einer Konfiguration, die von einem Angreifer ausgenutzt werden könnte, um unautorisierten Zugriff zu erlangen, Privilegien zu eskalieren oder Störungen zu verursachen. Schwachstellen sind ein unvermeidbares Produkt der Komplexität moderner Software – selbst gut geschriebener Code, der in einer komplexen Umgebung mit anderer Software betrieben wird, kann Fehler enthalten, die erst nach der Bereitstellung offensichtlich werden.

Der Entdeckungs-zu-Patch-Zyklus funktioniert ungefähr wie folgt: Ein Forscher oder Angreifer entdeckt eine Schwachstelle, entweder durch Analyse des Softwarecodes oder durch Testen. Wenn der Forscher verantwortungsbewusste Offenlegungspraktiken befolgt, meldet er die Schwachstelle dem Anbieter, bevor er sie öffentlich macht, und gibt dem Anbieter Zeit, einen Patch zu entwickeln und zu veröffentlichen. Nachdem der Patch veröffentlicht wurde, oder manchmal vorher, werden Details über die Schwachstelle bekannt, woraufhin ungepatchte Systeme zu Zielen werden.

Patch-Management – die Praxis des systematischen Anwendens von Sicherheitsupdates auf Software und Systeme – ist eine der effektivsten Maßnahmen, die eine Organisation ergreifen kann, um die Angriffsfläche zu reduzieren. Der WannaCry-Ransomware-Angriff im Jahr 2017, der Hunderttausende von Systemen in 150 Ländern betraf, nutzte eine Schwachstelle in Windows-Systemen aus, für die Microsoft $MSFT zwei Monate zuvor einen Patch veröffentlicht hatte. Organisationen, die den Patch nicht angewendet hatten, blieben verwundbar.

Zero-Day-Schwachstellen sind solche, die dem Anbieter unbekannt sind und für die noch kein Patch existiert. Der Name bezieht sich darauf, dass der Anbieter null Tage hatte, um das Problem zu lösen. Zero-Day-Schwachstellen sind in bestimmten Märkten wertvolle Waren – sie werden von Regierungen für Geheimdienstoperationen genutzt und an Broker für erhebliche Summen verkauft –, da Verteidiger nichts patchen können, von dem sie nichts wissen.

Das Common Vulnerabilities and Exposures (CVE)-System weist öffentlich bekannten Schwachstellen standardisierte Identifikatoren zu, was das Verfolgen und Kommunizieren über spezifische Probleme über Tools und Datenbanken hinweg erleichtert. Jeder CVE-Eintrag enthält eine Beschreibung der Schwachstelle, betroffene Softwareversionen und einen Schweregrad.

Patch-Management klingt einfach, beinhaltet aber in großen Umgebungen echte betriebliche Komplexität. Updates müssen vor der breiten Bereitstellung getestet werden, um sicherzustellen, dass sie keine kritischen Anwendungen beeinträchtigen. Einige Altsysteme führen Software aus, die nicht mehr unterstützt wird und keine Patches erhält, was eine anhaltende Herausforderung für Organisationen darstellt, die sie nicht einfach ersetzen können.

Credit:   Zulfugar Karimov / Unsplash

Identitäts- und Zugriffsmanagement (IAM) ist die Disziplin, die sicherstellt, dass die richtigen Personen – und nur die richtigen Personen – zu den richtigen Zeiten aus den richtigen Gründen auf die richtigen Ressourcen zugreifen. Es umfasst die Systeme und Prozesse, die zur Erstellung, Pflege und Entfernung von Benutzerkonten, zur Zuweisung von Berechtigungen und zur Überwachung der Zugriffsweise verwendet werden.

Authentifizierung ist die Überprüfung, dass ein Benutzer derjenige ist, der er vorgibt zu sein. Autorisierung ist die Feststellung, was diesem Benutzer erlaubt ist, zu tun, sobald seine Identität festgestellt wurde. Die beiden sind unterschiedliche Prozesse, obwohl sie eng miteinander verbunden sind. Ein Benutzer könnte sich erfolgreich authentifizieren – seine Identität beweisen – aber dennoch daran gehindert werden, auf bestimmte Daten zuzugreifen oder bestimmte Aktionen auszuführen, weil seine Rolle diese Berechtigung nicht gewährt.

Das Prinzip der minimalen Berechtigung besagt, dass jeder Benutzer, jedes Konto oder jeder Prozess nur die minimalen Berechtigungen haben sollte, die notwendig sind, um seine legitime Funktion auszuführen. In der Praxis bedeutet dies, dass ein Marketinganalyst keinen Zugriff auf die Gehaltsdatenbank benötigt, ein Kundendienstmitarbeiter keine Systemkonfigurationen ändern muss und ein Prozess, der Daten aus einer Datenbank liest, keine Schreibberechtigung haben sollte. Breite Berechtigungen erhöhen das Schadenspotenzial bei einem Kompromiss.

Rollenbasierte Zugriffskontrolle (RBAC) weist Berechtigungen Rollen zu, anstatt einzelnen Benutzern. Ein Benutzer erbt Berechtigungen, indem er einer Rolle zugewiesen wird. Wenn ein Mitarbeiter die Funktion wechselt, wird seine alte Rolle entfernt und eine neue zugewiesen, anstatt individuelle Berechtigungen über Dutzende von Systemen manuell anzupassen.

Privilegiertes Zugriffmanagement (PAM) konzentriert sich speziell auf Konten mit erhöhten Berechtigungen - Systemadministratoren, Datenbankadministratoren und andere, die erhebliche Änderungen an der Infrastruktur vornehmen können. Diese Konten sind wertvolle Ziele für Angreifer und werden typischerweise mit zusätzlichen Kontrollen verwaltet: separate verwaltete Anmeldedaten, zusätzliche Authentifizierungsanforderungen und Sitzungsaufzeichnungen, die alles erfassen, was während einer privilegierten Sitzung gemacht wird.

Zugriffsüberprüfungen sind regelmäßige Prozesse, bei denen eine Organisation prüft, wer auf was Zugriff hat, bestätigt, dass der Zugriff noch angemessen ist, und Berechtigungen widerruft, die nicht mehr benötigt werden. Konten von ehemaligen Mitarbeitern, die nicht ordnungsgemäß deaktiviert wurden, wurden lange nach dem Ausscheiden der Person als Einstiegspunkte für Angriffe genutzt.

Credit:   FlyD / Unsplash

HTTPS ist die sichere Version von HTTP, dem Protokoll, über das Webbrowser Inhalte von Webservern anfordern und empfangen. Das „S“ steht für sicher und die Sicherheit wird durch TLS – Transport Layer Security – ein kryptografisches Protokoll gewährleistet, das Daten während der Übertragung zwischen dem Browser und dem Server verschlüsselt.

Wenn ein Browser über HTTPS eine Verbindung zu einer Website herstellt, beginnt die Verbindung mit einem TLS-Handshake: einer kurzen Verhandlung, bei der sich Browser und Server darauf einigen, welche TLS-Version und welche kryptografischen Algorithmen verwendet werden sollen. Der Server präsentiert sein Zertifikat, um seine Identität zu beweisen, und die beiden Parteien tauschen Informationen aus, um einen gemeinsamen Verschlüsselungsschlüssel für die Sitzung abzuleiten. Sobald der Handshake abgeschlossen ist, fließen alle Daten durch den verschlüsselten Tunnel.

Das Vorhängeschloss-Symbol, das in der Adressleiste eines Browsers erscheint, zeigt an, dass die Verbindung verschlüsselt ist und das Zertifikat des Servers von einer vertrauenswürdigen Zertifizierungsstelle validiert wurde. Es garantiert nicht, dass die Website selbst legitim ist oder dass die Betreiber diejenigen sind, die sie zu sein behaupten. Eine Phishing-Seite kann ein gültiges TLS-Zertifikat erhalten – und viele tun dies – weil Zertifizierungsstellen Zertifikate an jeden ausstellen, der die Kontrolle über eine Domain nachweist, nicht nur an Organisationen, die als vertrauenswürdig verifiziert wurden.

Dies ist ein häufig missverstandener Punkt. Das Vorhängeschloss bedeutet, dass die Verbindung verschlüsselt ist, nicht dass man der Website vertrauen kann. Eine betrügerische Seite bei paypaI.com – mit einem großen I anstelle eines kleinen L in „Pal“ – kann ein völlig gültiges TLS-Zertifikat für ihre Domain haben, weil die Zertifizierungsstelle verifiziert hat, dass der Seiteninhaber diese Domain kontrolliert, nicht dass die Seite PayPal $PYPL ist.

Das ältere SSL-Protokoll, das durch TLS ersetzt wurde, ist der Ursprung des häufig verwendeten Begriffs "SSL-Zertifikat". Technisch gesehen sind aktuelle TLS-Zertifikate keine SSL-Zertifikate — das SSL-Protokoll ist veraltet und unsicher — aber der Begriff hat sich als informelle Abkürzung erhalten.

HTTP Strict Transport Security (HSTS) ist ein Mechanismus, der Browser anweist, immer über HTTPS mit einer Domain zu verbinden, selbst wenn ein Benutzer die Adresse ohne das Schema eingibt oder einem HTTP-Link folgt. Es verhindert bestimmte Down-Grade-Angriffe, die die Verschlüsselung einer Verbindung entfernen könnten.

Credit: Markus Winkler / Pexels 

Das Domain Name System (DNS) ist das Adressbuch des Internets. Wenn Sie eine URL in einen Browser eingeben, übersetzt DNS den menschenlesbaren Domainnamen — wie quartz.com — in eine IP-Adresse, die Router verwenden können, um den Verkehr an den richtigen Server zu leiten. DNS ist eine grundlegende Infrastruktur für nahezu alle Internetkommunikation und seine Sicherheit hat weitreichende Auswirkungen.

DNS-Anfragen und -Antworten werden traditionell im Klartext gesendet. Ein Beobachter im Netzwerk — Ihr Internetdienstanbieter, ein Netzwerkbetreiber oder jeder, der in der Lage ist, Ihren Datenverkehr abzufangen — kann sehen, welche Domainnamen Sie auflösen, was die von Ihnen besuchten Websites enthüllt, selbst wenn der Inhalt Ihrer Verbindungen verschlüsselt ist. DNS über HTTPS (DoH) und DNS über TLS (DoT) sind neuere Protokolle, die DNS-Anfragen verschlüsseln und diese Sichtbarkeit ansprechen.

DNS-Cache-Poisoning, auch DNS-Spoofing genannt, ist ein Angriff, bei dem falsche Informationen in den Cache eines DNS-Resolvers eingespeist werden. Wenn erfolgreich, können Benutzer, deren Anfragen von diesem Resolver bedient werden, zu einer bösartigen IP-Adresse umgeleitet werden, wenn sie eine legitime Domain aufrufen — auf einer von Angreifern kontrollierten Website landen, während die Adressleiste die erwartete URL anzeigt. DNSSEC, eine Reihe von Erweiterungen des DNS-Protokolls, verwendet digitale Signaturen, um die Authentizität von DNS-Einträgen zu überprüfen und diese Art der Vergiftung zu verhindern.

Die Sicherheit der Domainregistrierung ist ein separates Anliegen. Domain-Hijacking tritt auf, wenn ein Angreifer die Kontrolle über die Registrierung einer Domain erlangt, oft durch Kompromittierung des Registrar-Kontos durch Phishing oder Credential Stuffing. Sobald sie die Domainregistrierung kontrollieren, können sie den Datenverkehr umleiten, TLS-Zertifikate erhalten und E-Mails für diese Domain abfangen. Registrar-Konten sollten mit starker Authentifizierung geschützt werden, ebenso wie jedes andere Konto von hohem Wert.

Die Übernahme von Subdomains ist eine Klasse von Schwachstellen, die auftritt, wenn ein DNS-Eintrag auf einen externen Dienst zeigt — einen Cloud-Speicher-Bucket, eine Drittanbieter-Anwendungsplattform —, den die ursprüngliche Organisation nicht mehr nutzt. Wird die externe Ressource gelöscht, aber der DNS-Eintrag bleibt, kann ein Angreifer oft die Ressource auf der externen Plattform beanspruchen und die Kontrolle über die Subdomain übernehmen.

Domain-Squatting und Typosquatting beinhalten die Registrierung von Domains, die echten Domains stark ähneln — mit häufigen Rechtschreibfehlern, vertauschten Zeichen oder unterschiedlichen Top-Level-Domains — um den Verkehr von Benutzern abzufangen, die Eingabefehler machen oder ungenaue Links anklicken.

Credit:   Compagnons / Unsplash

Die Vorfallreaktion ist der organisierte Prozess, mit dem eine Organisation einen Cybersecurity-Vorfall erkennt, eindämmt, untersucht und sich davon erholt. Es handelt sich sowohl um eine Planungs- und Governance-Aktivität als auch um eine technische: Die vor einem Vorfall geleistete Arbeit bestimmt, wie effektiv die Organisation reagiert, wenn ein solcher auftritt.

Das National Institute of Standards and Technology (NIST) beschreibt den Lebenszyklus der Vorfallreaktion in vier Phasen: Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung und Wiederherstellung sowie Aktivitäten nach dem Vorfall. Andere Frameworks verwenden leicht unterschiedliche Strukturen, aber die zugrunde liegende Abfolge ist konsistent.

Die Vorbereitung umfasst die Erstellung eines Vorfallreaktionsplans, die Definition von Rollen und Verantwortlichkeiten, den Aufbau von Kommunikationskanälen und die Sicherstellung, dass Protokollierung und Überwachung vorhanden sind, damit Vorfälle erkannt und untersucht werden können. Eine Organisation, die diese Arbeit nicht vor einem Vorfall erledigt hat, wird in den ersten Stunden einer Krise Entscheidungen treffen müssen, die Monate vorher hätten getroffen werden sollen.

Die Erkennung ist oft die schwierigste Phase. Die durchschnittliche Zeit zwischen dem ersten Eindringen und der Erkennung bei einem ausgeklügelten Angriff wurde historisch in Wochen oder Monaten gemessen — obwohl sich dieses Intervall verkürzt hat, da die Erkennungstools verbessert wurden. Viele Verstöße werden nicht durch interne Überwachung entdeckt, sondern durch Dritte: eine Bank, die verdächtige Transaktionen sieht, ein Sicherheitsforscher, der gestohlene Daten online findet, oder Strafverfolgungsbehörden, die aufgrund von Informationen handeln.

Die Eindämmung konzentriert sich darauf, den Schaden eines aktiven Vorfalls zu begrenzen, ohne Beweise zu vernichten, die für die Untersuchung benötigt werden. Die richtige Eindämmungsstrategie hängt von der Art des Vorfalls ab. Das Trennen eines kompromittierten Systems vom Netzwerk hindert einen Angreifer daran, es zu nutzen, kann ihn jedoch auch auf seine Entdeckung aufmerksam machen und dazu führen, dass er Artefakte beschleunigt oder zerstört. Die forensische Erhaltung flüchtiger Daten — Speicherinhalte, aktive Netzwerkverbindungen — muss oft vor Eindämmungsmaßnahmen erfolgen.

Die Überprüfung nach dem Vorfall, manchmal auch als Nachbesprechung oder Lessons-Learned-Prozess bezeichnet, dient dazu, dauerhafte Verbesserungen aus schwierigen Erfahrungen zu ziehen. Was hat in der Reaktion funktioniert, was nicht und welche Änderungen in Kontrollen, Prozessen oder Tools hätten den Vorfall verhindert oder begrenzt, sind die zentralen Fragen. Organisationen, die diesen Schritt überspringen, wiederholen dieselben Vorfälle.

Credit: Tima Miroshnichenko / Pexels 

Das Dark Web bezieht sich auf Teile des Internets, die nicht von Standard-Suchmaschinen indexiert werden und nur über spezialisierte Software zugänglich sind, am häufigsten der Tor-Browser. Der Begriff wird oft lose verwendet, um sowohl das eigentliche Dark Web als auch das breitere Deep Web zu umfassen, das alle Inhalte einschließt, die für Webcrawler nicht zugänglich sind – passwortgeschützte Seiten, private Datenbanken, interne Unternehmens-Intranets.

Tor, ursprünglich für die US-Marine entwickelt, leitet den Internetverkehr über eine Reihe von freiwillig betriebenen Servern, verschlüsselt die Daten bei jedem Schritt und verbirgt den Ursprung und das Ziel der Kommunikation. Das Design bietet Anonymität sowohl für die Benutzer als auch für die Betreiber von Websites (genannt versteckte Dienste oder Onion-Dienste, benannt nach der .onion-Top-Level-Domain, die zu ihrer Adressierung verwendet wird).

Das Dark Web hostet sowohl legitime als auch schädliche Inhalte. Es wird von Journalisten verwendet, die mit Quellen in repressiven Umgebungen kommunizieren, von politischen Dissidenten, von Menschen in Ländern, in denen der Internetzugang stark zensiert wird, und von Strafverfolgungsbehörden, die Ermittlungen durchführen. Es ist auch Heimat von Marktplätzen, die mit gestohlenen Zugangsdaten, Zahlungskartendaten, Identitätsdokumenten, Malware und anderen illegalen Waren handeln.

Bedrohungsaufklärung ist die Praxis, Informationen über Bedrohungen zu sammeln, zu analysieren und zu verbreiten – wer angreift, wie sie operieren, welche Infrastruktur sie verwenden und welche Ziele sie verfolgen. Es unterscheidet sich von generischen Sicherheitswarnungen; es ist umsetzbare, kontextualisierte Information, die an spezifische Gegner und Kampagnen gebunden ist.

Sicherheitsteams nutzen Bedrohungsaufklärung, um zu priorisieren, welche Schwachstellen dringend gepatcht werden müssen, um Erkennungsregeln für bekannte Angreifer-Tools und -Verhaltensweisen zu konfigurieren und um zu verstehen, ob ihre Organisation aktiv von bestimmten Gruppen angegriffen wird. Intelligenzfeeds von kommerziellen Anbietern, Regierungsbehörden und brancheninternen Informationsaustauschgruppen tragen zu diesem Bild bei.

Indikatoren für Kompromittierung (IoCs) sind spezifische, beobachtbare Artefakte – IP-Adressen, Domainnamen, Dateihashes, E-Mail-Betreffzeilen, Netzwerksignaturen –, die darauf hinweisen, dass ein System möglicherweise an einer bösartigen Aktivität beteiligt war. IoCs werden zwischen Organisationen geteilt, sodass die Erkennung eines Angriffs gegen eine anderen helfen kann, festzustellen, ob sie der gleichen Bedrohung ausgesetzt sind.

Credit: AI25.Studio Studio / Pexels 

Ein Endpunkt ist jedes Gerät, das sich mit einem Netzwerk verbindet und als Ein- oder Austrittspunkt für Daten dient – Laptops, Desktop-Computer, Smartphones, Tablets und zunehmend industrielle Geräte, medizinische Geräte und intelligente Heimhardware, die unter das Internet der Dinge (IoT) fallen. Endpunktsicherheit bezieht sich auf die Kontrollen und Praktiken, die verwendet werden, um diese Geräte vor Kompromittierung zu schützen.

Traditionelle Antivirensoftware arbeitet, indem sie Dateien und Prozesse mit einer Datenbank bekannter Malware-Signaturen vergleicht. Wenn eine Datei mit einer bekannten Signatur übereinstimmt, blockiert oder quarantänisiert die Software sie. Dieser Ansatz ist gegen bekannte Bedrohungen wirksam, aber gegen neue begrenzt – ein Stück Malware, das noch nie zuvor gesehen wurde, stimmt mit keiner Signatur überein und wird nicht erkannt.

Endpoint-Detection-and-Response- (EDR) Tools stellen einen raffinierteren Ansatz dar. Anstatt sich ausschließlich auf Signaturen zu verlassen, überwacht EDR kontinuierlich Geräteaktivitäten – welche Prozesse laufen, welche Dateien werden verändert, welche Netzwerkverbindungen werden hergestellt – und verwendet Verhaltensanalysen, um verdächtige Muster zu identifizieren. Wenn ein normalerweise mit einem Texteditor verknüpfter Prozess versucht, eine Verbindung zu externen Servern herzustellen oder Anmeldeinformationen zu lesen, kann EDR dieses Verhalten kennzeichnen, selbst wenn die zugrunde liegende Malware keine bekannte Signatur hat.

Geräteverschlüsselung schützt Daten, die auf einem Gerät gespeichert sind, wenn es physisch verloren geht oder gestohlen wird. Vollständige Festplattenverschlüsselung bedeutet, dass die Inhalte des Speicherlaufwerks verschlüsselt sind; ohne die richtigen Anmeldedaten zum Entsperren des Geräts sind die Rohdaten auf dem Laufwerk unlesbar. Beide großen Verbraucher-Betriebssysteme – Windows und macOS – enthalten Festplattenverschlüsselungstools (BitLocker bzw. FileVault), die in den Einstellungen aktiviert werden können.

Software zur Verwaltung mobiler Geräte (MDM) ermöglicht es Organisationen, Sicherheitsrichtlinien für die Arbeitsgeräte von Mitarbeitern zu verwalten und anzuwenden – Bildschirmsperranforderungen durchzusetzen, Festplattenverschlüsselung zu verlangen, ein Gerät bei Verlust aus der Ferne zu löschen und zu kontrollieren, welche Anwendungen installiert werden können. Dies ist besonders relevant in Umgebungen, in denen Mitarbeiter persönliche Geräte für die Arbeit verwenden.

IoT-Sicherheit ist eine bedeutende ungelöste Herausforderung. Viele IoT-Geräte – Heimrouter, intelligente Kameras, Thermostate, Industriesensoren – laufen mit eingebetteter Software, die schwer oder unmöglich zu aktualisieren ist, werden mit Standardpasswörtern geliefert, die Benutzer nie ändern, und haben nicht die Hardware-Ressourcen, um herkömmliche Sicherheitssoftware auszuführen. Sie stellen eine große und oft ungesicherte Angriffsfläche dar.