Resilience

Ellen Nakashima, Yvonne Wingett Sanchez und Joseph Menn schreiben in »Global hack on Microsoft product hits U.S., state agencies, researchers say« für washingtonpost.com What’s also alarming, researchers said, is that the hackers have gained access to keys that may allow them to regain entry even after a system is patched. Mal wieder wurde eine Sicherheitslücke in Microsofts Software ausgenutzt. Und natürlich gilt: Kein System ist völlig sicher. Aber wenn fast alle dieselbe Software verwenden, wird aus einem Fehler ein flächendeckendes Risiko. Genau das ist bei Microsoft Office, Sharepoint oder Windows der Fall. ...

Benjamin Stiebel und Christiane Rebhan schreiben in »Wo beim NIS-2-Gesetz noch nachgebessert werden soll« für tagesspiegel.de Zwar seien die formulierten Sicherheitsanforderungen relativ gut und ausgewogen, räumt die Abgeordnete ein. „Das Problem ist ein Wirrwarr von Ausnahmeregeln und Intransparenz, insbesondere was den Staat selbst betrifft“. So dürften die meisten Bundesbehörden auf das Risikomanagement verzichten und seien anders als andere Akteure von Bußgeldern befreit. IT-Dienstleister der öffentlichen Hand seien zudem weitgehend ausgenommen, wodurch die IT-Sicherheit insgesamt unterwandert werde. Dass die Verwaltung von Bußgeldern befreit ist, ist üblich. Auch für Datenschutzverstöße müssen Behörden nicht zahlen. ...

Heute habe ich etwas Neues gelernt. CDN-Anbieter können verschlüsselte Verbindungen öffnen. Katharina M. Schwarz schreibt in »Unsere Daten sind ein Koffer – doch wer hat den Schlüssel?« für egovernment.de Damit Content Delivery Networks (CDNs) oder Schutzsysteme für Webapplikationen Angriffe im verschlüsselten Datenverkehr abwehren können, müssen sie die Verschlüsselung temporär aufbrechen. Nur so können die Dienste erkennen, ob eine eingehende Datenanfrage schädlich ist oder nicht. Dafür dekodiert der Anbieter den Datenstrom – mit einem Zertifikatsschlüssel, den er zuvor vom Seitenbetreiber erhalten hat. Dieser Vorgang nennt sich SSL/TLS-Terminierung. ...

Maximilian Voigt schreibt in »Teufel-Entwickler: “Es tut nicht weh, den Schaltplan zu veröffentlichen”« für heise.de Es braucht Mut, um so ein Projekt anzugehen, aber es gibt eigentlich keine Ausreden, es nicht zu tun. Ich würde also mitgeben: Es geht. Es geht von der Haftung, es geht technisch. Und die Ängste, die sonst im Raum stehen, wie vor der Gefahr, dass jemand das Produkt kopieren könnte, denen kann ich nur entgegenstellen: Wenn jemand ein Produkt kopieren möchte, dann geht das auch ohne die offen zugängliche Dokumentation. Reverse Engineering ist weitverbreitet. Es dauert vielleicht etwas länger, aber verhindern kann ich das trotzdem nicht. ...

Während in der öffentlichen Diskussion vor allem der geplante Aufbau eines „Cyberdome“ im Fokus steht, weist der Bundesrechnungshof darauf hin, dass grundlegende Voraussetzungen im Bereich Cybersicherheit derzeit noch nicht erfüllt sind. Das lässt sich vergleichen mit dem Vorhaben, militärisch aufzurüsten, ohne zuvor einen grundlegenden Schutzwall errichtet zu haben. Tagesspiegel Background schreibt in Bundesrechnungshof rügt Cybersicherheit des Bundes Nicht einmal jedes zehnte davon erfülle die Mindestsicherheitsstandards, monieren die Prüfer. Zudem fehlten Georedundanzen: Es sei nicht gewährleistet, dass der Bund kritische Prozesse im Krisenfall aufrechterhalten kann. Der Rechnungshof sieht Bundesinnen- und Digitalministerium hier in der Verantwortung. ...