​

Heute gibt's mal einen etwas abstrakteren Beitrag von mir. Ich zeig dir, wie ich alle Entscheidungen zum Thema Cybersecurity treffe. Ich mache sie nicht an Technologien, Hersteller-Versprechen oder aktuellen Trends fest. Nein, ich kalkuliere sie einfach. Ja, ganz eiskalt – aber mit viel Leidenschaft. ❤️

Was ist Security überhaupt?

Bevor ich näher darauf eingehe, möchte ich aber einen kurzen Exkurs darüber machen, was Security überhaupt ist.

Das ist auf den ersten Blick gar nicht so einfach zu verstehen, aber im Wesentlichen eine universelle Wahrheit. Es beschreibt das Konzept von Security-Architekturen, wie zum Beispiel einer Zertifikats-Infrastruktur. Ich vertraue meiner PKI (Public Key Infrastructure) sehr, borge mir von ihr ein ausgestelltes Zertifikat und verleihe es einem Server, dem ich nicht so sehr vertrauen kann, aber mehr vertrauen möchte, um darauf eine Anwendung zu hosten.

Die Bezeichnung "Zero-Trust" ist deshalb etwas irreführend. Denn eigentlich ändert sich nichts an der Tatsache, dass man einem zentralen System vertraut.

Was ist es noch?

Es gibt Tausende Möglichkeiten, Systeme und Informationen abzusichern. Die Methoden und Mechanismen sind unterschiedlich und verursachen auch unterschiedliche Kosten. Und damit komme ich zur zweiten Definition von Security:

Auf Deutsch: Ist es billiger, wenn es "Bumm" macht, oder wenn wir verhindern, dass es nicht "Bumm" macht? 🤷‍♂️

Das nennt man dann Security-Risiko-Management. Damit kannst du herausfinden, welche Abwehrmaßnahmen sich lohnen, wo die Gefahren liegen und welche Verluste du potenziell haben kannst.

Auf Deutsch: Wenn es "Bumm" macht, was ist dann kaputt? Kennt jeder meinen Browser-Verlauf? Sind alle meine Server down? Wurden meine Daten verschlüsselt? Hat jemand unter meinem Namen Sexspielzeug auf Amazon bestellt? Oder fährt mich der Tesla autonom die Klippe runter? 💀

Wie wende ich Security-Risiko-Management an?

Alle diese Risiken kann man berechnen, also mit einem finanziellen Wert versehen, auch Menschenleben. Grotesk? Ja, vielleicht, aber Versicherungen saugen sich die Prämien ihrer Lebensversicherungen auch nicht aus den Fingern. Mhmm okay, ja, manchmal mag es den Anschein haben, dass es doch so ist, aber Algorithmen sind auf Dauer dann doch günstiger als saugende Finger.

Ich nehme ein abstraktes Beispiel: Sissi ist in Franz verliebt. Sie schreibt ihm einen Brief und gesteht ihre Liebe. Außerdem lädt sie ihn nächsten Freitag zu einem romantischen Dinner in den Bergkurort Caux ein.

Sissi verschickt den Brief per Post. Dadurch vertraut sie der Post, dass er in unversehrtem und unverändertem Zustand, prompt und pünktlich bei Franz ankommt. Ja … der Post vertrauen … ich weiß … daher habe ich oben auch "abstrakt" geschrieben. 😅

Genau das Gefühl, das du jetzt hast, habe ich jedes Mal, wenn ein Kunde mit einem Projekt zu mir kommt und sagt: "Er/sie möchte nur die Anwendung XYZ deployen, da kann es doch keine Sicherheitsbedenken geben." Ich maskiere dann mein diabolisches Grinsen mit einem verschmitzten Lächeln und male mir in Gedanken bereits alle Horrorszenarien aus, die passieren könnten. 😈 😏

Was könnte in unserem Beispiel passieren?

Gefährdungsszenarien

• Szenario 1 (Vertraulichkeit): Der Brief gelangt in falsche Hände. Ihr Vater liest den Inhalt und verbietet die Liebschaft. 😵
• Szenario 2 (Integrität): Der Brief wird unterwegs abgefangen. Das Kuvert wird von Sissis geheimer Widersacherin Katharina unversehrt geöffnet, die Nachricht ausgetauscht und das Kuvert wieder verschlossen. Franz erhält von "Sissi" nun die Nachricht, dass er sich zum Teufel scheren kann. 👺
• Szenario 3 (Verfügbarkeit): Der Brief kommt nie an. Franz weiß nicht, dass Sissi ihn liebt und er kommt auch nicht zu ihrem Dinner nach Caux. 💔
• Szenario 4 (Authentizität): Der Brief wird wieder unterwegs abgefangen. Die Nachricht wird in ein neues Kuvert gesteckt und der Brief kommt auf einmal von Katharina. Jetzt liebt Franz die Falsche. 😑
• Szenario 5 (Sicherheit): Schon wieder wird der Brief abgefangen. Hallo Post?? … Schon wieder?? … Echt jetzt?? Der Inhalt wird von Sissi's Feind Luigi gelesen. Auf dem Weg zum Bergkurort lauert er Sissi auf und ermordet sie. ☠️

Ähnlichkeiten mit tatsächlichen Begebenheiten oder mit lebenden oder verstorbenen Personen sind rein zufällig. 🤥

Und was können wir konkret dagegen tun? Es gibt zwei Wege, um die Risiken zu verringern: Wir können die Eintrittswahrscheinlichkeit reduzieren oder das Schadensausmaß minimieren.

Auf Deutsch: Was kann ich tun, dass es nicht zweimal am Tag "Bumm" macht, sondern vielleicht nur einmal im Jahr? Wenn es dann trotzdem noch "Bumm" macht, was kann ich tun, dass nur der Fingernagel weg ist, nicht gleich der ganze Kopf?

Risikoreduktion

• Reduktion 1 (Schadensausmaß): Sissi bittet ihren Vertrauensarzt, den Brief zu schreiben, damit ihn niemand lesen kann, nicht mal ihr Vater. Franz lässt ihn dann von seinem Arzt vorlesen, um den Text zu entschlüsseln.
• Reduktion 2 (Schadensausmaß): Sissi versiegelt das Kuvert mit ihrem allgemein bekannten Familienwappen. Franz kann sich nun sicher sein, dass die Nachricht von ihr stammt.
• Reduktion 3 (Eintrittswahrscheinlichkeit): Sissi investiert 6,50 Gulden und schickt einen Boten zu Franz, der den Brief persönlich übergibt.

Die Reduktionen können, wie im Beispiel oben, auch auf mehrere Bereiche wirken. Wenn ein persönlicher Bote den Brief direkt von Sissi zu Franz bringt, dann ist die Wahrscheinlichkeit auch geringer, dass er unterwegs von Fremden gelesen wird. Natürlich könnte auch der Bote angehalten, bedroht und bestochen werden, was wieder neue Risiken hervorruft.

Das Risiko-Spiel kann man ewig weit und unendlich tief spielen, und das sollte man auch. Man muss nur aufpassen, dass man dabei nicht paranoid wird. Spätestens, wenn Aliens und Quantencomputer darin vorkommen, sollte man vielleicht professionelle Hilfe aufsuchen. ⛓️👨‍⚕️

Geld ist auch ein Faktor, der schnell ins Gewicht fällt. Wenn die Kosten für die Risikoverminderung höher sind als der Schutzbedarf, wird die Maßnahme überflüssig. Man wird "zur Sicherheit" ja auch nicht seine Werbeflyer in verschweißten Stahlboxen per Fahrradkurier persönlich zustellen lassen oder unternehmenskritische Daten ohne Backup einfach so auf seinem Laptop speichern. Das macht schließlich auch niemand … 🙄

Es gibt auch professionelle Lösungen, die vorgefertigte Risiko-Kataloge haben, an denen kannst du dich orientieren kannst. Für die ersten Denkübungen und Ansätze, brauchst du die aber noch nicht. Erst, wenn du ein unternehmensweites Security-Risiko-Management implementierst, kann es eine sinnvolle Unterstützung sein.

Fazit

Security ist Kunst! – Kunst kommt aber nicht vom Künsteln, sondern vom Können. Und jedes Können, kann man auch erlernen. Frag dich einfach, wem du deine Daten anvertrauen kannst, was für potenzielle Gefahren du dadurch hast, und wie wahrscheinlich es ist, dass sie auch eintreten.

Jeder Mensch und jedes Unternehmen hat andere Gefährdungsszenarien. Richte dich hier nicht nach anderen, sondern nach deinen eigenen. Jeder hat schließlich seine eigene Sissi, oder seinen eigenen Franz. 🥰

Auf Deutsch: BUMM! 💥