1
Q
Was gehört zu den Themen gegen die IT Security kämpft? DIgital vs. analog
A
Digital:
- Digitale Sabotage von Informations- und Produktionssystemen oder Betriebsabläufen
- Digitaler Diebstahl von Geschäftsdaten
- Ausspähen von Kommunikation wie E-Mail, Messenger, Videocall oder ähnlichen…
Analog:
- Diebstahl von IT- oder Telekommunikationsgeräten
- Diebstahl von physischen Dokumenten, Personalakten, Mustern, Maschinen, Bauteilen…
- Abhören von Besprechungen oder Telefonaten vor Ort
- Physische Sabotage von Informations- und Produktionssystemen oder Betriebsabläufen
2
Q
Welche Arten von Cyberangriffen gibt es?
A
- Ransomware
- DDOS Attacken
- Infizierung mit Schadsoftware bzw. Malware
- Phishing-Angriffe
- Angriffe auf Passwörter
- SQL-Injection oder Cross-Site-Scripting
- Spoofing
- Deep Fakes
- Robo Calls
3
Q
Wodurch entstehen Schäden für ein Unternehmen?
A
- Ausfall, Diebstahl oder Schädigung von Informations- und Produktionssystemen
- Kosten für Rechtsstreitigkeiten
- Kosten für Ermittlungen und Ersatzmaßnahmen
- Umsatzeinbußen durch nachgemachte Produkte bzw. Plagiate
- Datenschutzrechtliche Maßnahmen, z.B. durch Behörden
- Umsatzeinbußen durch Verlust von Wettbewerbsvorteilen
- Patentrechtsverletzungen, auch vor Anmeldung
- Imageschaden bei Kunden oder Lieferanten, Negative Medienberichterstattung
- Erpressung mit gestohlenen Daten
- Geldabfluss durch Betrugsversuche
4
Q
Faktor Mensch: Neugier
A
- auf Pop Up Werbung klicken
- potentiell ungesicherte App herunterladen
- fremden Link in Email klicken
…
5
Q
Emerging Threats & „Angriffsvektoren“ – Beispiele
A
- Phishing & Social Engineering
Angreifer gewinnen Zugangsdaten oder verbreiten Malware durch täuschend echte E-Mails oder Telefonanrufe - Ungepatchte Schwachstellen in IT- und OT-Systemen
Fehlende Sicherheitsupdates in Betriebssystemen, SCADA-Software oder Steuerungskomponenten ermöglichen Angriffe - Ransomware
Schadsoftware verschlüsselt Produktionsdaten und erpresst Lösegeld für die Entschlüsselung - Unsichere Fernzugriffslösungen
Exponierte oder schlecht konfigurierte VPNs, RDP-Verbindungen und Fernwartungstools eröffnen Einfallstore - Supply-Chain-Angriffe
Kompromittierte Hardware, Softwarebibliotheken oder Zuliefererdienste infizieren die Produktionsumgebung bereits vor Auslieferung - Insider-Bedrohungen
Mitarbeiter oder Dienstleister mit legitimen Zugangsrechten führen unbeabsichtigt oder absichtlich schädliche Aktionen aus - Industrielle Malware (z B. Industroyer, Triton)
Speziell auf Steuerungssysteme ausgelegte Schadprogramme stören oder sabotieren Fertigungsprozesse - IIoT/IoT-Geräte-Exploits
Schwach abgesicherte Sensoren, Aktoren und Gateways in vernetzten Produktionsanlagen werden für Angriffe missbrauch
6
Q
Was ist IT Security?
A
- bezieht sich auf die Gewährleistung von Sicherheit aller eingesetzten Informationstechniken bzw. -technologien (IT), d.h. aller Hardware- und Softwaresysteme bzw. aller Rechner- und Netzsysteme
- Die Bedeutung der IT-Sicherheit für den Betrieb aller IT-Anwendungssysteme kann gar nicht hoch genug
eingeschätzt werden, da bereits schon geringe Störungen bzw. auch schon kleine Angriffe auf die IT-Infrastruktur hohe Kosten nach sich ziehen könne
7
Q
Wie teuer und gut ist IT Security?
A
IT Security kann kostspielig sein
- Maßnahmen, die Sicherheit schaffen und Risiken reduzieren sollen, sind oftmals mit erheblichen Aufwendungen verbunden
- Wenn andererseits aufgrund von mangelhaften Sicherheitsmaßnahmen Schäden entstehen kann dies jedoch
deutlich teurer werden. Auch verspieltes Vertrauen kann ein irreparabler Schaden sein (bspw. Kundendaten-Leaks).
IT Security ist nie vollkommen
- Eine hundertprozentige Garantie kann es im Bezug auf IT Sicherheit nicht geben
- Es wird kein Anspruch auf Vollständigkeit erhoben, jedoch werden Maßnahmen ergriffen um auch auf nicht direkt bekannte potenzielle Bedrohungen vorbereitet zu sein.
8
Q
Sicherheitsziele für Unternehmens IT
A
- Verfügbarkeit – d.h. die Nutzbarkeit der informationstechnischen Ressourcen und vor allem der
Daten - Integrität – vor allem die Korrektheit und Verständlichkeit der Daten (Datenintegrität)
- Vertraulichkeit – keinen unbefugten Zugriff auf die Daten, und schließlich die Verbindlichkeit, d. h. die
nachweisbare Zurechenbarkeit und Beweisbarkeit (Authentifizierbarkeit) - Verbindlichkeit – dadurch soll sowohl die Einhaltung gesetzlicher oder vertraglicher Anforderungen
und damit Rechtsverbindlichkeit für IT-Systeme sichergestellt werden
9
Q
Palantir Technologies
A
- entwickelt Software zur Analyse großer, komplexer Datenmengen
Warum ist Palantir umstritten?:
- Einsatz bei Polizei, Geheimdiensten, Militär
- Datenschutzbedenken: Zusammenführung vieler personenbezogener Daten → Risiko von Überwachung
- Transparenz: Funktionsweise der Analysen oft schwer nachvollziehbar
- EU-Kontext: Konfliktpotenzial mit DSGVO (v. a. bei US-Anbieter + sensiblen Daten)
Kurz: mächtig in der Analyse, kritisch wegen möglicher Grundrechtseingriffe.
10
Q
Sicherheitsvorkehrungen im Bereich IT-Sicherheit
A
- Firewall/ VPN Zugänge
- Antivirensoftware
- Mitarbeiterschulungen
- Einführung von MFA
- Penetratrion TEsts
- Zero Trust Umgebung
- IDS (Intrusion Detection System)
…
11
Q
Basiselemente der IT-Sicherheit
A
- Updates (Software durch Sicherheitsupdates auf neustem Stand)
- Passwörter (stark & unterschiedlich)
- Zwei Faktor Authentifizierung (2 Schritte)
- Virenschutzprogramm (überprüft gesamten Rechner auf Anzeichen einer Infektion)
- Firewall (schützt vor Angriffen von außen, verhindert, dass Programme, z.B. Spyware Kontakt vom Gerät zum Internet aufnehmen können)
12
Q
Wie funktioniert eine Firewall?
A
- kontrolliert den Netzwerkverkehr und schützt Systeme, indem sie unerlaubte Verbindungen blockiert
- auch wenn Anfrage von Schadservern kommgt (gibt Listen)
13
Q
Wie funktioniert 2-Faktor Authentifizierung?
A
- Login erfordert zwei unabhängige Faktoren statt nur eines Passworts
14
Q
DSGVO
A
- Datenschutz-Grundverordnung
Zentrale Elemente:
- Technische & Organisatorische Maßnahmen: Verschlüsselung & Zugriffsmanagement
- Internationale Datenübermittlung: EU-US Transfer, Standardvertragsklauseln
- Pflichten der Unternehmen: Datenschutz-Folgenabschätzung, Datenschutzbeauftragter, Meldung von Vorfällen
- Sanktionen & Durchsetzung: Hohe Bußgelder
- Betroffenen Rechte: Auskunft & Berichtigung, Löschung & Widerspruch, Datenübertragbarkeit, Beschwerderecht
15
Q
ISO/IEC 27001 – Norm zur IT Sicherheit
A
Gibt Richtlinien, aber keine genauen Anweisungen (siehe Folie & Notizen)
16
Q
NIS 2 - The Network and Information Security (NIS) Directive
A
- regelt die Cyber- und Informationssicherheit bei kritischer Infrastruktur
17
Q
Security Awareness & Schulun
A
- Schulungsformate für IT-Mitarbeiter und Teams aller Fachbereiche
- Phishing-Campaigns, Social Engineering Awareness
- Etablierung einer Security-Kultur im Unternehmen
18
Q
„Trans-Atlantic Data Privacy Framework“ Was ist das?- Welcher Zweck wird verfolgt?- Welchen Vorläufer gab es?- Welche Auswirkungen hat es auf deutsche Unternehmen
A
- Was?: Regelt, wie personenbezogene Daten rechtssicher aus der EU in die USA übertragen werden dürfen
- Zweck: Rechtssichere Datenübermittlung
- Vorläufer: früherer Datenübertragungs-Abkommen, konnten den EU-Standards nicht dauerhaft genügen
19
Q
Persönliche Daten als „Währung
A
Bezahlen mit Ihren Daten
*Ortsinformationen, Konsum- und Bewegungsprofile
Bezahlen mit Daten anderer
* Kontaktdaten, Telefonnummern, Adressen,
- Foto, Instant Messaging, Profilseiten (jeweils privat und beruflich)
- Auftragsdatenverarbeitung
–> Es gibt nichts umsonst!
20
Q
BSI
A
Bundesamt für Sicherheit in der Informationstechnik
- IT-Sicherheitsstandards entwickeln (z. B. BSI-Grundschutz)
- Cyberangriffe erkennen & warnen
- Kritische Infrastrukturen (KRITIS) absichern
- Zertifizierung & Prüfung von IT-Produkten
- Beratung von Behörden, Unternehmen und Bürgern
21
Q
A
IT
flashcards
Decks in class (9)
# Cards
