Kategorie: Foundation

Warum der Blast Radius einer Schwachstelle eine Eigenschaft des Graphen ist UND nicht des Scanners Im Manifest habe ich behauptet, dass in der Sicherheit selten das teuerste System den größten Schaden trägt, sondern das am besten vernetzte. Das ist eine hübsche These. Aber eine These bleibt eine Behauptung, solange bis man sie an einem konkreten…

Warum Cyber-Risikobewertungen systematisch verzerrt sind und was die Forschung über Trainierbarkeit weiß. Wenn in der Cybersecurity vom „Human Factor“ die Rede ist, denken die meisten an Phishing, schwache Passwörter und das berüchtigte Post-it am Monitor. Das ist nicht falsch, aber es greift dramatisch zu kurz. Der folgenreichste menschliche Faktor sitzt nicht beim Endbenutzer, der einen…

„Wir haben dieses Quartal 1,2 Millionen Angriffe blockiert.“ Der CISO präsentiert stolz seine Zahlen. Der Vorstand nickt. Alle sind zufrieden. Aber was sagt diese Zahl eigentlich wirklich aus? Ist 1,2 Millionen viel oder wenig? Wären es ohne die neuen Tools 2 Millionen gewesen oder doch nur 1,1 Millionen? Und waren das überhaupt echte Angriffe oder…

„Mehrere Schichten sind besser als eine.“ Das ist die Absicht hinter Defense in Depth. Aber eine gute Absicht ist nicht genug, wenn du einem CFO erklären musst, warum du Geld für eine dritte Kontrolle ausgeben willst, obwohl du schon zwei hast. Die gute Nachricht: Die Mathematik ist auf deiner Seite. Und sie ist einfacher, als…

„Never trust, always verify.“ Das ist der Slogan von Zero Trust. Jeder kennt ihn. Jeder nickt, wenn er fällt. Aber was bedeutet er eigentlich wirklich? Und, warum ist dieses Konzept nicht nur ein Marketing-Buzzword, sondern mathematisch fundiert? Lass mich dir zeigen, warum Zero Trust keine Modeerscheinung ist, sondern die logische Konsequenz aus dem, was wir…

Cybersecurity ist kein Naturphänomen. Es regnet nicht Angriffe, wie es Wasser regnet. Auf der anderen Seite sitzen Menschen oder zunehmend Maschinen, die von Menschen programmiert wurden und die Entscheidungen treffen. Rationale Entscheidungen, meistens. Zumindest aus ihrer Perspektive aus gesehen. Wenn wir verstehen wollen, wie Angreifer denken und handeln, brauchen wir ein Werkzeug, das genau dafür…

Stell dir vor, du sollst einem Vorstand erklären, warum und wie gerade dieser eine Server der irgendwo in einem Rechenzentrum steht und von dem niemand wusste, dass er überhaupt existiert, dafür gesorgt hat, dass Angreifer bis zu den Unternehmens-Kronjuwelen vorgedrungen sind. Da hilft dir bei der Antwort ein Konzept, das Mathematiker seit dem 18. Jahrhundert…

„Das Risiko ist hoch.“ Wie oft hast du diesen Satz schon gehört? Und wie oft hast du dich gefragt: Hoch im Vergleich wozu? Hoch bedeutet was genau? Sind 100.000 Euro Schaden hoch oder 10 Millionen? Einmal pro Jahr oder einmal pro Jahrzehnt?Die traditionelle Risikobewertung in der IT-Security ist voll von solchen schwammigen Aussagen. Wir arbeiten…

Es gibt Konzepte in der Cybersecurity, die so allgegenwärtig sind, dass wir sie nicht mehr hinterfragen. Das CIA-Triangle gehört dazu. Confidentiality, Integrity, Availability (Vertraulichkeit, Integrität, Verfügbarkeit). Jede Security-Ausbildung beginnt damit. Jedes Framework baut darauf auf. Es ist das ABC unserer Branche.Allerdings ist es unvollständig.Nicht falsch, wohlgemerkt. Das CIA-Triangle ist ein sehr solides Fundament. Aber ein…

Stell dir vor, du sitzt im Meeting mit der Geschäftsführung. Das Thema: Budget für Cybersecurity. Du präsentierst deinen Vorschlag für eine neue Security-Lösung, und dann kommt die unvermeidliche Frage: „Warum brauchen wir das? Wie hoch ist das Risiko wirklich?“Und jetzt passiert etwas Interessantes. Die meisten Security-Verantwortlichen greifen in diesem Moment zu Begriffen wie „hoch“, „mittel“…