Die mangelhafte Verwaltung von Zugriffsrechten stellt eines der größten IT-Sicherheitsrisiken dar. Häufig werden einmal vergebene Rechte nicht wieder entzogen, selbst wenn sich die Rolle des Mitarbeiters ändert oder er gar das Unternehmen verlassen hat. Das klassische Beispiel sind Auszubildende, die im Rahmen ihrer Ausbildung verschiedene Abteilungen durchlaufen und in jeder entsprechende Zugriffsrechte enthalten. Am Ende der Ausbildung haben diese Accounts oft mehr Rechte als ein Geschäftsführer.
In diesem heise-Whitepaper erläutere ich, wie sich solche Risiken minimieren lassen. Es zeigt auf, welche konkreten Gefahren durch ein nachlässiges Rechtemanagement entstehen können, erklärt verschiedene Konzepte (Policies, Rollen) für die Rechteverwaltung, stellt deren Vor- und Nachteile dar und gibt Hilfestellungen für den Aufbau eines auf Zero-Trust-Prinzipien basierenden Zugriffsmanagements.
Archiv der Kategorie: Redaktion
NIS-2-Umsetzung in der EU: Chaos und Bummelei
Nur in vier Ländern der EU wurde die Sicherheitsrichtlinie NIS 2 fristgerecht umgesetzt. Das wäre schon schlimm genug, noch schwerer wiegt jedoch der große Interpretationsspielraum, den sich die Länder bei der Umsetzung genehmigt haben. So wird das erklärte Ziel, ein einheitliches Cybersicherheitsniveau in der Europäischen Union zu gewährleisten, kaum erreicht werden. Meine Analyse der aktuellen Situation auf Golem.
Whitepaper: Der Cyber Resilience Act (CRA) und seine Umsetzung
Am 10. Dezember 2024 trat der Cyber Resilience Act (CRA) in Kraft. Die neue EU-Verordnung ist Teil der Cybersicherheitsstrategie der Europäischen Union, die Verbraucher und Unternehmen besser vor Cyberangriffen schützen soll. Der CRA gilt für alle Produkte, die digitale Komponenten enthalten, sofern sie nicht bereits durch andere Gesetze reguliert werden. Wer solche Produkte herstellt oder in der Europäischen Union in den Verkehr bringt, muss bei der Entwicklung und Produktion bestimmte Sicherheitsstandards einhalten, Updates und Security-Patches über dem gesamten Lebenszyklus zur Verfügung stellen und Verbraucher über die potenziellen Sicherheitsrisiken digitaler Komponenten informieren.
In diesem Whitepaper, das ich im Auftrag von heise geschrieben habe, stelle ich die Anforderungen des CRA und dessen Auswirkungen auf Hersteller, Verkäufer und Nutzer von Produkten mit digitalen Elementen dar und zeige, welche Produkte unter die neue Gesetzgebung fallen, wie Hersteller die geforderten Sicherheitselemente integrieren und wie sie die Konformität ihrer Produkte nachweisen können.
Hightech-Dystopie an der Grenze
Grenzen sind zum Testlabor für die Hightech-Industrie geworden, Verletzungen der Menschenrechte an der Tagesordnung, wie das Buch The Walls Have Eyes zeigt. Für meinen Artikel auf Golem habe ich mit der Autorin, Petra Molnar darüber gesprochen, welche Erfahrungen sie in den Grenzgebieten der Welt gemacht hat – von den EU-Außengrenzen in Griechenland und Polen, über die Mauer an der Grenze zwischen USA und Mexiko bis zu den Grenzgebieten im Nahen Osten.
Whitepaper: Betriebsumgebungen vor Cyberattacken schützen
Die Zeiten, in denen Informationstechnik (IT) und Betriebstechnik (Operational Technology, OT) strikt voneinander getrennt waren, sind längst vorbei. Fertigungsstraßen, Maschinen, Werkzeuge – alles ist vernetzt und wird über Computersysteme gesteuert. Konzepte wie Smart Factory oder Digital Twin sind überhaupt nur realisierbar, wenn IT- und OT-Systeme miteinander kommunizieren und Daten austauschen können.
Diese Offenheit birgt jedoch auch neue Risiken. Die Protokolle und Schnittstellen der OT-Welt sind für geschlossene Betriebsumgebungen konzipiert, nicht für das offene Internet. Ohne zusätzliche Schutzmaßnahmen haben Angreifer daher leichtes Spiel.
Mein Whitepaper, das ich im Auftrag von heise erstellt habe, zeigt, welche Folgen ein unzureichender Schutz von OT-Systemen haben kann und welche Sicherheitsvorkehrungen Unternehmen treffen müssen, um OT-Umgebungen vor Cyberangriffen zu schützen. Es stellt außerdem ein mehrstufiges Konzept vor, mit dem sich Betriebsumgebungen effizient absichern lassen.
Interview mit Prof. Dr. Volker Quaschning
Prof. Dr. Volker Quaschning ist einer der wichtigsten und prominentesten Experten für Erneuerbare Energien in Deutschland. Für meinen Artikel über Green IT habe ich mit ihm über nachhaltige Strategien in der IT-Beschaffung gesprochen. Lesen Sie hier das Interview mit Prof. Quaschning. Den gesamten Artikel finden Sie unter diesem Link.
Alle reden über ChatGPT – ich auch
Seit OpenAI im vergangenen Jahr das generative Sprachmodell „ChatGPT“ öffentlich zugänglich gemacht hat, reißt die Diskussion über den Einsatz von KI nicht mehr ab. Immer mehr Texte, aber auch Bilder oder Computerprogramme werden zumindest teilweise maschinell erzeugt.
In meinem Artikel für com! professional gehe ich der Frage nach, wie Unternehmen ChatGPT und andere KI-Lösung sinnvoll einsetzen können und wo die Grenzen liegen.
Welchen Wert hat Privatsphäre?
Sogenannte datenschutzfreundliche Technologien (Privacy-Enhancing Technologies) sind seit gut 25 Jahren bekannt, werden aber kaum angewandt. Warum das so ist, und warum das Marktforschungsunternehmen Gartner ausgerechnet jetzt eine Renaissance dieser Technologien vorhersagt, beleuchte ich in der aktuellen com! professional.
Wie ernst nehmen Unternehmen Datenschutz und Compliance?
„Corporate Responsibility Report“, „Nachhaltigkeitsbericht“, „Unsere soziale Verantwortung“ – kaum ein größeres Unternehmen kommt heute noch ohne solche Berichte aus. Die blumigen Worte verschleiern allerdings allzu häufig, wie es wirklich um Datenschutz und Compliance steht. Der Fall Wirecard ist dabei nur die Spitze des Eisbergs, wie ich in meinem Artikel „Wie Datenschutz zum Erfolg beiträgt“ zeige, der im IT-Magazin com! professional erschienen ist.
Wie Datenschützer die Lage drei Jahre nach Wirksamwerden der Europäischen Datenschutzgrundverordnung (DSGVO) bewerten und wie deutsche Unternehmen rechtliche Risiken bei Datenschutz und Compliance minimieren können, lesen Sie ebenfalls in meinem Beitrag.
Wie dumm ist Künstliche Intelligenz?
Für meinen Artikel KI-Hype zwischen Erfolg und enttäuschter Hoffnung, der in com! professional erschienen ist, habe ich mir die Leistungsfähigkeit von KI-basierten Anwendungen und Systemen einmal genauer angeschaut. Das Ergebnis war ernüchternd. In vielen Anwendungsbereichen steckt nicht viel mehr als heiße Luft und Marketing-Blabla hinter den Versprechungen, in einigen greifen die von KI-Systemen getroffenen oder vorbereiteten Entscheidungen sogar massiv in die Freiheit der Betroffenen ein.