Kategorie: Grundlagen

„Wir haben dieses Quartal 1,2 Millionen Angriffe blockiert.“ Der CISO präsentiert stolz seine Zahlen. Der Vorstand nickt. Alle sind zufrieden. Aber was sagt diese Zahl eigentlich wirklich aus? Ist 1,2 Millionen viel oder wenig? Wären es ohne die neuen Tools 2 Millionen gewesen oder doch nur 1,1 Millionen? Und waren das überhaupt echte Angriffe oder…

„Mehrere Schichten sind besser als eine.“ Das ist die Absicht hinter Defense in Depth. Aber eine gute Absicht ist nicht genug, wenn du einem CFO erklären musst, warum du Geld für eine dritte Kontrolle ausgeben willst, obwohl du schon zwei hast. Die gute Nachricht: Die Mathematik ist auf deiner Seite. Und sie ist einfacher, als…

„Never trust, always verify.“ Das ist der Slogan von Zero Trust. Jeder kennt ihn. Jeder nickt, wenn er fällt. Aber was bedeutet er eigentlich wirklich? Und, warum ist dieses Konzept nicht nur ein Marketing-Buzzword, sondern mathematisch fundiert? Lass mich dir zeigen, warum Zero Trust keine Modeerscheinung ist, sondern die logische Konsequenz aus dem, was wir…

Cybersecurity ist kein Naturphänomen. Es regnet nicht Angriffe, wie es Wasser regnet. Auf der anderen Seite sitzen Menschen oder zunehmend Maschinen, die von Menschen programmiert wurden und die Entscheidungen treffen. Rationale Entscheidungen, meistens. Zumindest aus ihrer Perspektive aus gesehen. Wenn wir verstehen wollen, wie Angreifer denken und handeln, brauchen wir ein Werkzeug, das genau dafür…

Stell dir vor, du sollst einem Vorstand erklären, warum und wie gerade dieser eine Server der irgendwo in einem Rechenzentrum steht und von dem niemand wusste, dass er überhaupt existiert, dafür gesorgt hat, dass Angreifer bis zu den Unternehmens-Kronjuwelen vorgedrungen sind. Da hilft dir bei der Antwort ein Konzept, das Mathematiker seit dem 18. Jahrhundert…

„Das Risiko ist hoch.“ Wie oft hast du diesen Satz schon gehört? Und wie oft hast du dich gefragt: Hoch im Vergleich wozu? Hoch bedeutet was genau? Sind 100.000 Euro Schaden hoch oder 10 Millionen? Einmal pro Jahr oder einmal pro Jahrzehnt?Die traditionelle Risikobewertung in der IT-Security ist voll von solchen schwammigen Aussagen. Wir arbeiten…

Es gibt Konzepte in der Cybersecurity, die so allgegenwärtig sind, dass wir sie nicht mehr hinterfragen. Das CIA-Triangle gehört dazu. Confidentiality, Integrity, Availability (Vertraulichkeit, Integrität, Verfügbarkeit). Jede Security-Ausbildung beginnt damit. Jedes Framework baut darauf auf. Es ist das ABC unserer Branche.Allerdings ist es unvollständig.Nicht falsch, wohlgemerkt. Das CIA-Triangle ist ein sehr solides Fundament. Aber ein…

Stell dir vor, du sitzt im Meeting mit der Geschäftsführung. Das Thema: Budget für Cybersecurity. Du präsentierst deinen Vorschlag für eine neue Security-Lösung, und dann kommt die unvermeidliche Frage: „Warum brauchen wir das? Wie hoch ist das Risiko wirklich?“Und jetzt passiert etwas Interessantes. Die meisten Security-Verantwortlichen greifen in diesem Moment zu Begriffen wie „hoch“, „mittel“…