Security

Security-Trends 2019

Das sind die wichtigsten Sicherheitstrends für 2019

Der Datenklau von zahlreichen Prominenten und Politikern durch einen 20-jährigen Hacker zeigt zweierlei: Dass es erstens mit dem Datenschutz und der Datensicherheit hierzulande immer noch recht trübe aussieht. Und dass zweitens viele Anwender für das Thema IT-Security nach wie vor nicht ausreichend sensibilisiert scheinen.

Daher folgt an dieser Stelle meine bescheidene Einschätzung, welche Sicherheitsthemen in diesem Jahr ganz weit oben stehen werden auf den Agenden der CSO und Security-Experten dieser Welt. Diese Liste erhebt keinen Anspruch auf Vollständigkeit.

Trend #1: Neue und bekannte Kennwort-Alternativen

Wie das eingangs erwähnte Beispiel des 20-jährigen Hackers zeigt, gehen vor allem Online-Anwender immer noch viel zu sorglos mit dem Schutz ihrer Webkonten um. Für viele ist es offenkundig einfach zu lästig, sich zumindest ein sicheres Kennwort auszudenken und anzuwenden. Dabei gibt es doch schon heute recht einfache Mittel, wie zum Beispiel die Zwei-Faktor-Authentifizierung. Daher wird ein wichtiger Trend das Implementieren neuer Mechanismen sein, mit denen sich Facebook, Twitter und Co. einfacher und zuverlässiger als bisher gegen Hacker absichern lassen.

Trend #2: Mit IoT-Botnetzen nach Cybergold schürfen

Kryptowährungen sind nicht nur für Erpressungsversuche à la Locky und Co. von großem Interesse für Hacker. Und was macht man, um an dieses virtuelle Geld mit geringem Aufwand heranzukommen? Genau, man lässt es sich von anderen für sich scheffeln, also ganz wie im richtigen Leben. Da gleichzeitig unsichere IoT-Geräte wie Pilze aus dem Boden schießen, werden sich findige Hacker genau diesen Umstand zu nutze machen. Und so werden IoT-Botnetze wie die Schwammerl (bayerisch für: Pilze) sprießen, um auf diesem illegalen Weg die Rechenleistung vieler Onlinerechner für das Schürfen von Cybergold zu missbrauchen. Daher wird der Absicherung von IoT-Gerätschaften und -Netzwerken eine wichtige Rolle zukommen. Was sich als echte Herkulesaufgabe herausstellen wird.

Trend #3: Online-Käufer geraten zunehmend in das Visier von Hackern

Dass das Onlineshoppen bei Amazon und Co. schon lange kein Trend mehr ist, hat sich ja herumgesprochen. Auch bei Hackern, die diesen Umstand für sich zunutze machen, indem sie das Internet nach unsicheren Onlineshops durchforsten, die beispielsweise eine Schwäche beim Kaufprozess aufweisen. Wenn auf solchen Seiten kontinuierlich dutzende von Transaktionen abgewickelt werden, bei denen Anwender ihre Zahlungsdaten hinterlassen, können diese one den richtigen Schutz relativ leicht abgefangen und zu unrechtmäßigen Zwecken genutzt werden. Das Beispiel Ticketmaster vom letzten Jahr hat gezeigt, wie einfach das manchmal ist.

Trend #4: Soundlogger werden Keylogger ablösen

Keylogger kennt man ja. Das sind diese kleinen, fiesen Programme, die Hacker auf einem Rechner installieren, um dann sämtliche Tastasturaktivitäten aufzeichnen zu können. Auf diesem Weg lassen sich allerlei Daten wie Kennwörter, Kreditkartennummer und anderes recht einfach stehlen. Allerdings weist mittlerweile nahezu jedes Anti-Malware-Programm ein Anti-Keylogger-Tool auf, sodass Hacker immer häufiger mit einer Variante aufwarten, die sich Soundlogger nennt. Damit können die Tippgeräusche der Tastatur aufgezeichnet und somit die zugehörigen Daten mittels Anschlagsfrequenz und Lautstärke identifiziert werden. Und das abzuwehren, ist nicht mehr ganz so trivial.

Trend #5: KI modifiziert bestehende Malware selbstständig

Die Künstliche Intelligenz ermöglicht viele nützliche Anwendungen. Allerdings kennen auch Hacker das Potenzial der zugrundeliegenden Technologien und werden sich diese vermehrt zunutze machen. So ist es beispielsweise teilweise schon möglich, dass sich Malware unter Zuhilfenahme von KI-Algorithmen eigenständig und in Echtzeit verändert, was die Identifikation und Eliminierung von schadhafter Software enorm erschwert.

Denkbar sind aber auch andere Ansätze, wie dies IBM im letzten Jahr erfolgreich demonstrieren konnte. Unter dem Namen „Deeplocker“ hat „Big Blue“ eine Schadsoftware entwickelt, die mithilfe von Wannacry über ein Firmennetzwerk verbreitet werden konnte. Das Perfide dabei: Erst, wenn eine bestimmte Bedingung wie die Anwesenheit eines Anwenders erfüllt wurde, hat sich Deeplocker“ eigenständig aktiviert. Auch hier kam die KI zum Einsatz.

Trend #6: Verschlüsselte Cloud-Infrastrukturen

Die DSGVO macht auch vor Cloud-Infrastrukturen halt. Leider herrscht unter vielen IT-Entscheidern immer noch der Irrglaube vor, die Daten auf ihrer Cloud-Plattform – und sei es die eigene, also private Cloud-Umgebung – sind dort vollkommen sicher. Dass dem nicht so ist, liegt eigentlich auf der Hand. Eigentlich. Und so kommt der Absicherung von Cloud-Daten eine immer wichtigere Rolle bei. Unternehmen wie Uniscon, eperi und Delphix haben hierfür die passenden Lösungsansätze in petto, wenn es um das Verschlüsseln und Verschleiern von sensiblen Daten auf Cloud-Plattformen geht.

Trend #7: DSGVO verstärkt im Fokus der Datenschützer

Ein gutes halbes Jahr ist es gerade einmal her, dass die Datenschutzgrundverordnung (DSGVO) in Kraft getreten ist. Bisher wurden meines Wissens bis auf eine Ausnahme noch keine gravierenden Verstöße gemeldet und drastisch sanktioniert. Allerdings werden die Datenschützer dieser Republik die DSGVO weiterhin ernst nehmen, sodass damit zu rechnen ist, dass es nicht bei dem Fall „Knuddels“ bleiben wird. Daher sollten Unternehmen und Unternehmer das Thema Datenschutz weiterhin sehr ernst nehmen und ihre DSGVO-Hausaufgaben machen. Das Ganze zu ignorieren, wird kein probates Mittel sein.

Bilder des Jahres 2018

Das alles fand 2018 auf dem IT-techBlog statt

Der Jahreswechsel ist stets ein beliebter Anlass, Rückschau abzuhalten. Daher folgt an dieser Stelle ein Rückblick auf mein vergangenes Jahr aus IT-techBlog-Sicht. Viel Spaß beim Schmökern.

Januar 2018: IBM-Cloud und ein Intel-CPU-GAU

Vor ungefähr einem Jahr beherrschte ein ziemlicher Intel-Aufreger die Nachrichten und Gazetten, indem schlaue Menschen zwei CPU-Schwachstellen aufgetan haben. Unter den Bezeichnungen „Spectre“ und „Meltdown“ sollte es damit möglich sein, eine Besonderheit vieler Prozessoren zu kriminellen Zwecken auszunutzen.

Für alle, die auf der Suche nach Infos rund um die bekannten Dateisysteme FAT und NTFS sind, habe ich die wichtigsten Fakten in einem Blogbeitrag zusammengetragen.

Und gegen Ende des Monats war ich auf einer IBM-Presseveranstaltung, wo ich zwei Interviews führen durfte zum Thema IBM-Cloud. Yasser Eissa sprach unter anderem über die DSGVO und Datensicherheit, und Patrick Palacin von der Firma Teleclinic verriet mir, was die IBM-Cloud mit der Digitalisierung der Ärzte-Branche zu tun hat.

Februar 2018: Künstliche Intelligenz, mit TenAsys auf der Embedded World

Der zweite Monat des vergangenen Jahres brachte mich intensiv mit dem Thema Künstliche Intelligenz (KI) zusammen. So wollte ich wissen, was die KI mit uns Menschen zu tun hat, wieviel Rechenleistung für KI-Anwendungen erforderlich ist, in welcher Beziehung der Turing Test mit der KI steht und was meine Leser über Machine Learning wissen sollten.

Darüber hinaus warfen die IBM Spectrum Scale Strategy Days erste Schatten voraus, und für meinen Kunden TenAsys war ich in Nürnberg auf der Embedded World.

März 2018: IBM Spectrum Scale Strategy Days, IoT und Machine Learning

Wie im Februar angekündigt, war ich im März für IBM auf deren Spectrum Scale Strategy Days. Im weitesten Sinne drehte sich dort alles rund um das Thema virtualisierte Speicherlandschaften, und genau dazu habe ich Videointerviews samt Blogbeiträgen verfasst.

So habe ich mit Dirk Thometzek von Rohde & Schwarz über deren Spycer-Boxen gesprochen, die auf Basis der IBM Spectrum Scale-Technik Fernsehanstalten und andere Anbieter von Videoinhalten beim ruckel- und störungsfreien Ausstrahlen von Bewegtbildern unterstützen. Aber auch ein IBM-Kunde kam zu Wort, nämlich Alf Wachsmann vom Max Delbrück Centrum für molekulare Medizin, der sich ganz begeistert zeigte von der Veranstaltung – und von Spectrum Scale.

Neben dieser Highend-IBM-Technik hat mich auch das Thema Internet of Things (IoT) im März beschäftigt. So war ich auf einer IDC-Veranstaltung, auf der eine groß angelegte Studie zum Thema IoT veröffentlicht wurde. Dazu habe ich Mark Alexander Schulte, der sich für die Befragung der IT-Entscheider verantwortlich zeichnete, vor der Videokamera befragt. 

Doch nicht nur mit ihm, sondern auch mit Oliver Edinger von der Software AG habe ich über das Internet der Dinge im Allgemeinen und deren Cumulocity-Plattform im Speziellen gesprochen.

Natürlich durfte auch die Künstliche Intelligenz nicht fehlen, und so habe ich im März den zweiten Teil des Machine Learning-Specials verfasst und zudem darüber gebloggt, wie die Europäische Union unseren Kontinent fit für die KI machen will.

April 2018: IBM Spectrum Scale, Hannover-Messe-Vorschau und IBM Mainframe-Roadshow

Die im März stattgefundene IBM Spectrum Scale-Veranstaltung beschäftigte mich auch noch im April, und zwar in Form zweier weiterer Videointerviews. Das eine habe ich mit Peter Ratuschni von der Deutschen Nationalbibliothek geführt, der vor allem wegen der wichtigen Infos und der guten Gespräche auf dem IBM-Event zugegen war. Und im anderen sprach Piyush Chaudhary von IBM über die Kombination Spectrum Scale/Hadoop.

Im April fand auch die Hannover-Messe statt, und so kam ich nicht umhin, erste News darüber online zu stellen. So kündigte die Software AG diverse Themen an, die das Unternehmen auf der Industriemesse zeigen wollte. Aber auch Dassault Systèmes und ihre geplanten Neuheiten rund um das Thema Simulation war mir einen Blogbeitrag wert.

Für IBM war ich im April gleich zweimal unterwegs: Zunächst ging es nach Frankfurt, einer Mainframe-Roadshow wegen, und dann fuhr ich auf die Hannover-Messe (dazu gibt es im Mai-Rückblick mehr Infos). Das Mainframe-Event stellte neue Z-Maschinen in den Vordergrund, genauer gesagt die IBM z14 ZR1 sowie den Linux-Server IBM LinuxOne Rockhopper II. Auf der Veranstaltung habe ich vier Interviews geführt, allesamt mit IBM-Experten. Das waren konkret:

Wer noch mehr Infos dazu haben möchte, dem empfehle ich den ersten und den zweiten Teil meiner ausführlichen Z-Roadshow-Rückschau.

Mai 2018: IBM auf der Hannover-Messe 2018 und ein IDC-KI-Event

Wie bereits angekündigt, folgte im Mai meine Videoblogserie für IBM, die auf der Hannover-Messe mit einem großen eigenen Stand waren. Dort durfte ich zahlreiche Interviews führen. Im einzelnen waren das:

Daneben habe ich noch auf der Messe mit Florian Jurecka von Dassault Systèmes über das Thema Digital Twins zu Simulationszwecken gesprochen. Auch ein sehr spannendes Thema.

Im Mai fand dann wieder einer der zahlreichen IDC-Presseevents statt, dieses Mal zum Thema Künstliche Intelligenz. Dort durfte ich mit Jürgen Wirtgen über die KI aus Microsoft-Sicht sprechen und mit Konstantin Greger von Tableau Software ebenfalls ein Videogespräch führen.

Juni 2018: Software-AG IoT-Roadshow, Lenovo-Interviews und CEBIT 2018

Zwar begann die IoT-Roadshow der Software AG bereits im Mai, die Videointerviews samt der zugehörigen Blogbeiträge habe ich aber erst im Juni veröffentlicht. Im einzelnen waren das:

Zudem habe ich noch eine ganz persönliche Rückschau der IoT Innovation Tour 2018 veröffentlicht, mit zahlreichen Tweets und weiteren Interviews.

Zum ersten – und leider gleichzeitig letzten – Mal fand die renovierte und reformierte CEBIT im Juni statt, und klar, dass ich dabei war. Wenn ich gewusst hätte, dass es die letzte Veranstaltung ihrer Art war, wäre ich noch ein bisschen länger geblieben. So sind es genau drei Interviews geworden, die die „Ehre“ hatten, meine finalen CEBIT-Videogespräche auf dem IT-techBlog zu sein.

Das eine habe ich mit Matthias Hartmann, dem deutschen Geschäftsführer von IBM, über die digitale Transformation geführt. Das zweite brachte mich mit dem werten Gero Dieckmann von der SVA GmbH zusammen, der in gewohnt souveräner Art über den CEBIT-Auftritt seiner Firma referierte. Die SVA wäre sehr gerne ein weiteres Mal auf der runderneuerten IT-Messe gewesen. Tja, und das dritte folgt dann im Juni-Rückblick.

Juli 2018: CEBIT, TRIAX A/S und Lenovo auf der ISC 18

Im Juni veröffentlichte ich das letzte von insgesamt drei CEBIT-Interviews, und zwar das mit Dominic Gaspary von der Volkswagen AG über VW We Experience. Darin spricht er über Machine Learning-Algorithmen, die verstärkt in Autos zum Einsatz kommen sollen, und was das alles mit IBM zu tun hat.

Für die Firma TRIAX war ich Anfang Juni in Köln auf einer großen Messe rund um das Thema Videolösungen. Dort zeigte das dänische Unternehmen, was es in diesem Kontext alles in petto hat. Herausgekommen sind folgende Videogespräche:

Für Lenovo war ich ebenfalls wieder einmal unterwegs, und zwar auf der International Supercomputing Conference 2018. Dort habe ich insgesamt vier Interviews geführt:

Daneben war ich erneut auf einem IDC-Event, auf dem eine Studie zum Thema IT-Sicherheit vorgestellt wurde. Im Anschluss an die Präsentationen habe ich wie immer Interviews geführt, und zwar mit Udo Schneider von Trend Micro über die aktuelle IT-Sicherheitslage sowie mit Sergej Schlotthauer über Matrix42, EgoSecure und aktuelle Sicherheitsthemen.

Und klar, dass das Thema Künstliche Intelligenz nicht außen vor blieb im Juli. So durfte ich mit Dagmar Schuller vom Startup-Unternehmen audEERING über deren Sprachsoftware sprechen, mit der Audio-Emotionen „sichtbar“ gemacht werden können.

August 2018: audEERING, Cloud-Daten verschlüsseln und Lenovo auf der IFA

Der August ist zwar traditionell mein Urlaubsmonat, trotzdem war ich ein wenig aktiv. So ging der zweite Teil des Videointerviews mit Dagmar Schuller von audEERING online, in dem sie über ihre Software-Lösungen openSMILE und sensAI spricht.

Darüber hinaus habe ich für luckycloud aus Berlin aufgeschrieben, wie man effizient seine Cloud-Daten verschlüsselt. Und finally war ich mit Lenovo auf der IFA in Berlin, wo ich all die neuen Notebooks begutachten durfte.

September 2018: IFA-Interviews, Android-Handy, SuperMUC-NG, IDC-Cloud-Event und IBM Storage Strategy Days

Der September war ziemlich voll, so rückblickend betrachtet. Er begann damit, dass ich zwei IFA-Interviews nachreichte, und zwar das mit Mirco Krebs von Lenovo über KI in Notebooks sowie mein Gespräch mit Poppy Szkiler von der britischen Firma Quiet Mark zum Thema geräuscharme Gerätschaften.

Apropos IFA: Dort hatte ich das erste Mal Kontakt mit einem Motorola-Android-Smartphone, das mich als langjährigen iPhone-Anwender derart überzeugt hat, dass ich es immer noch nutze – und darüber gebloggt habe.

Wenn ein Supercomputer wie der SuperMUC-NG quasi vor der Haustür eingeweiht wird, bin ich mit meiner Videokamera nicht weit. Und so durfte ich mit einem der Verantwortlichen des LRZ Garching ein Interview führen.

Was im September ebenfalls stattfand war ein IDC-Event, dieses Mal zum Thema Multi-Cloud. Herausgekommen sind drei Interviews:

Um den September so richtig voll zu machen, war ich dann noch für IBM in Ehningen, und zwar auf den Storage Strategy Days, wo ich wieder in typischer Manier meine Videoblogposts produziert habe.

Oktober 2018: it-sa, it-sa, it-sa

Falls ich angenommen haben sollte, dass der September voll war, wusste ich noch nicht, was im Oktober auf mich wartete. Der stand nämlich ganz und gar im Zeichen der Security-Messe it-sa in Nürnberg. Dort habe ich an drei Tagen etwa 20 Videos gedreht, von denen viele auf meinem Blog landeten. Das waren im einzelnen:

Daneben habe ich noch die Zeit gefunden, auf Einladung der Firma OVH nach Paris zu reisen, um mit deren CTO ein Videogespräch zum Thema Cloud-Plattform zu führen und mit dem CEO Michel Paulin über die Open-Source-Strategie von OVH zu sprechen.

Den Abschluss des zehnten Monats des Jahres bildete ein Interview zum Thema Unified Collaboration & Communications, das ich mit Philipp Bohn von der Firma Unify/Atos führen durfte.

November 2018: Sumo Logic, Delphix, Fujitsu Forum & IoT Security Kongress

Der November startete mit einem sehr entspannten Interview mit dem Gründer der US-amerikanischen Firma Sumo Logic, Christian Beedgen. Darin spricht er über die Monitoring Services seines Unternehmens und warum diese wichtig sind für Online-Dienste wie AirBnB, die zu den Kunden von Sumo Logic gehören.

Am gleichen Tag veröffentlichte ich ein Videointerview, das in den Räumen von T-Systems entstanden ist. Sein Thema: Maskierungstechniken, mit denen sich sensible Daten unkenntlich machen lassen. Das wird in Zeiten von DSGVO und Cloud-Anwendungen immer wichtiger.

Im November fand auch das Fujitsu Forum statt, also jene „Hausmesse“, die alljährlich mehrere tausende Menschen in die Münchner Messehallen lockt. Dort durfte ich vier sehr interessante Interviews zu den Themen Künstliche Intelligenz, Storage und Multi-Cloud führen.

Zum Abschluss des vorletzten Monats des Jahres 2018 begab ich mich noch auf eine IoT-Veranstaltung, die die Uniscon GmbH gemeinsam mit dem TÜV Süd veranstaltet hatte. Auch dort konnte ich interessante Gesprächspartner vor die Kamera locken:

„Mit LUCON lassen sich kritische von unkritischen Daten a priori unterscheiden“

„Der IoT Security Kongress soll das Projekt car-bits.de bekannter machen“

Dezember 2018: Dassault Systèmes Anwenderkonferenz

Den Abschluss des Jahres 2018 bildete eine Reise nach Hanau, wohin es mich wegen eines Fachartikels zum Thema Model-based Systems Engineering verschlug. Da ich aber schon mal dort war, habe ich mit meinem Interviewpartner auch noch ein Videogespräch geführt, in dem er kurz und knapp Wissenswertes zu dem Thema und zu der Akquisition der Firma No Magic erzählt hat.

Und klar, dass ich kurz nach Bekanntwerden des Aus‘ für die CEBIT meine Gedanken darüber in meinen Blog gekippt habe. Wofür betreibe ich diese Plattform schließlich…

Chris Cook, President und CEO von Delphix

Videoblog: „Mit unserer Masking-Technik sind sensible Daten DSGVO-konform“

Chris Cook ist seit 2016 President & CEO des Sicherheitsexperten Delphix aus dem schönen Redwood City, Kalifornien, USA. Mit ihm durfte ich dieses Videointerview führen, dass „DataOps“ zum Thema hatte und wie Delphix seinen Kunden in Zeiten von DSGVO & Co. hilft, so sicher, gesetzeskonform und simpel wie möglich ihre Daten vor ungebetenen Zugriffen zu schützen.

„DataOps“ steht für automatisierte, wertvolle und sichere Daten

Datenbank-Administratoren und Datenbank-Anwender fechten jeden Tag aufs Neue ihre teilweise kontroversen Ansprüche an die Technik aus: Die einen (die Admins) müssen aus Gründen der Gesetzeskonformität auf sichere Daten achten, und die anderen (die Benutzer) wollen schnell und unkompliziert darauf zugreifen. Im „normalen“ IT-Alltag ist das ein Dilemma, das sich nur schwer auflösen lässt. Und genau an dieser Stelle kommt der Begriff „DataOps“ ins Spiel.

Mit DataOps-Ansätzen und -Konzepten soll vor allem die digitale Transformation beschleunigt werden, wie die folgende Infografik belegt:

Infografik DataOps von Delphix

Die Grafik zeigt vor allem eins: Mit neuen DataOps-Konzepten gelingt die Bereitstellung von Daten schneller (und zwar im Rechenzentrum UND in der Cloud), steigt die Qualität der Daten, nimmt die Sicherheit zu und gleichzeitig nehmen die Speicherkosten ab, da Daten komprimiert und virtualisiert abgelegt werden.

Delphix Dynamic Data Platform maskiert Daten für mehr Sicherheit und mehr Agilität

Doch die neuen DataOps-Ansätze erfordern aufgrund ihrer hohen Verknüpfungen zwischen allen Beteiligten zusätzliche Anforderungen an die Sicherheit. Diese stellt Delphix mithilfe einer Technik her, die sich „Masking“ nennt. Hierbei werden vor allem die sicherheitskritischen Teile eines Datensatzes für Außenstehende unkenntlich gemacht. Damit können sie nur von den Anwendern genutzt werden, die legalen Zugriff auf die Delphix Dynamic Data Plattform (DDDP) haben. So stellt Delphix beispielsweise für die DSGVO spezielle Discovery-Templates zur Verfügung, mit deren Hilfe ausschließlich personenbezogene Daten maskiert und damit für Unbefugte unleserlich gemacht werden.

Die Maskierungstechnik von Delphix kommt oft in Nicht-Produktivumgebungen zum Einsatz, also überall dort, wo Analysten, Software-Entwickler und ähnliche Anwendergruppen ihre Daten ablegen und diese relativ ungesichert handhaben, da für sie Agilität vor Sicherheit geht. Damit stellen vor allem diese IT-Umgebungen aus Datenschützersicht eine besondere Herausforderung dar. Und genau dort werden die bestehenden Daten auf ihre Sensibilität hin untersucht und derart maskiert, dass Außenstehende damit nichts anfangen können, selbst wenn sie unrechtmäßig Zugriff darauf erlangten.

Unternehmen wie T-Systems setzen auf die Delphix Dynamic Data Platform

T-Systems und andere namhafte Unternehmen setzen bereits seit Jahren auf die Sicherheit der Delphix Dynamic Data Platform. Dazu sagt beispielsweise Bernd Wagner, seines Zeichens SVP Sales Germany bei T-Systems:

Die Zusammenarbeit mit Delphix resp. der Einsatz der DDDP fußt auf drei Säulen: Zum einen arbeitet T-Systems damit vollkommen DSGVO-konform, zum anderen ermöglichen wir aufgrund des hohen Automatisierungsgrads unseren Kunden, ihre eigenen Entwicklungsumgebungen zu implementieren. Und drittens können wir damit erhebliche Infrastrukturkosten einsparen und Prozesse deutlich beschleunigen.

 

Und warum ist das für T-Systems und andere große Firmen so unternehmensentscheidend? Nun, auch hierzu hat Herr Wagner eine klare Meinung:

Wir sehen aktuell einen Trend weg von SAP-Installationen hin zu HANA-Umgebungen. Auch an dieser Stelle kommt Delphix mit seiner Dynamic Data Platform zum Zug, indem sie uns und unseren Kunden helfen, innerhalb kürzester Zeit von SAP auf die HANA-Plattform zu migrieren, und das völlig gesetzeskonform. Das erlaubt uns beispielsweise, aufwändige Softwaretests außerhalb der EU durchführen zu lassen, ohne die DSGVO-Regeln oder andere Bestimmungen zu verletzten.

Das vollständige Interview mit Chris Cook und Bernd Wagner

Disclaimer: Dieser Videoblogbeitrag ist in Zusammenarbeit mit Akima Media entstanden.

Udo Schneider von Trend Micro auf der it-sa 2018

Videoblog: „Apex One ist eine Oberfläche für alle Tools“

Dieses Interview habe ich mit Udo Schneider von Trend Micro auf der it-sa 2018 geführt. Darin stellt er die brandneue Security-Lösung Apex One vor, zählt auf, was Trend Micro anders macht als andere Sicherheitsfirmen und nennt seine persönlichen Top-3-Tipps in Sachen Endpoint-Security.

Apex One von Trend Micro: EIN Tool für alle Sicherheitsmaßnahmen

Mit Apex One hat Trend Micro seine neue EDR-Lösungen vorgestellt (EDR steht für Endpoint Detection and Response). In diesem neuen Produkt sind alle Endpoint-Techniken von Trend Micro eingeflossen, was vor allem für den Endanwender den großen Vorteil bringt, sämtliche Sicherheitsmerkmale über eine einzige Bedieneroberfläche abrufen und steuern zu können.

Das Aggregieren der vorhandenen Security-Tools innerhalb des Unternehmens auf Basis von Apex One bedeutet aber auch das Aggregieren sämtlicher Daten, die dort zusammenlaufen. Und das bedeutet wiederum bessere Vorhersagen hinsichtlich möglicher Angriffsszenarien und bessere Automatisierungsmöglichkeiten. Das betrifft sowohl die Integration in ein SOC als auch die Integration einer Third-Party-Lösung in Apex One.

Damit unterscheidet sich Trend Micro von seinen Mitbewerbern

30 Jahre Security-Erfahrung, das macht natürlich eine Menge aus, wenn man den Markt ingesamt betrachtet. Ob das die Erfahrung der Mitarbeiter betrifft oder die zum Einsatz kommenden Technologien oder das Wissen rund um das Thema IT-Sicherheit – vor allem damit steht Trend Micro ganz weit vorne.

Darüber hinaus werden Logdateien so ausgewertet und aufbereitet, dass auch der eher unbedarfte Anwender auf einen Blick sehen kann, wo es klemmt oder wo gerade mögliche Angriffsziele lauern – und wie sich die zugehörigen Lücken und Schwachstellen schließen lassen. Aber auch mit der bereits erwähnten Integration eigener Security-Lösungen in Applikationen von externen Anbietern unterscheidet Trend Micro von anderen Anbietern.

Drei Tipps in Sachen Endpoint-Sicherheit

Geradezu banal mutet der erste Tipp an: Regelmäßig sämtliche Endpoint-Systeme patchen, und das entweder direkt am System selbst oder in Form eines virtuellen Abwehrschilds.

Der zweite Tipp ist weniger trivial. Hierbei geht es um das Identifizieren sogenannter Einfallsvektoren, also sämtlicher Bedrohungsszenarien von außen (und innen) und wie man sich dagegen wirksam schützen kann.

Darauf setzt auch der dritte Tipp auf: Sämtliche Endpoints sind regelmäßig zu überwachen, nur so kann ich sie auch bestmöglich schützen. Damit lässt sich zuverlässig feststellen, was zum „Grundrauschen“ gehört und was tatsächlich einen Cyberangriff darstellt.

Das komplette Interview mit Udo Schneider

Disclaimer: Für diesen Videoblogbeitrag hat mich Trend Micro beauftragt. Bei der Ausgestaltung der Inhalte hatte ich nahezu freie Hand.

Rüdiger Frank von Arcserve auf der it-sa 2018

Videoblog: „Die Zusammenarbeit mit dem Channel ist essentiell für Arcserve“

Dieses Interview habe ich mit Rüdiger Frank von der Firma Arcserve auf der it-sa 2018 geführt. Darin spricht er über die Rolle der Arcserve Channel Partner und über die Maßnahmen seitens Arcserve, die deutschsprachige Region weiter zu stärken.

Arcserve Channel Partner sind ein immens wichtiger Baustein

Wenn ein Unternehmen wie Arcserve zu 100 Prozent auf den Channel als Vertriebskanal setzt, spielen die Business Partner, die darin involviert sind, eine zentrale Rolle. Denn sie übernehmen gemeinsam mit Arcserve vielseitige Aufgaben, die im Fokus des Arcserve’schen Geschäftsmodells stehen. Dazu gehören Dinge wie die Akquise neuer Kunden und neuer Projekte sowie die intensive Beratung der Kunden bis hin zur Implementierung der gewählten Lösung beim Kunden selbst.

Damit kommt der Qualität der Zusammenarbeit ein entscheidender Faktor bei. Dazu gehört eine adäquate Betreuung der Channel Partner, aber auch die Güte der Gewinnspannen, die für Business Partner entsprechend lukrativ sein sollten. Und das sind sie im Falle von Arcserve, was ich auf der it-sa so gehört habe.

Arcserve stärkt die DACH-Region mit lukrativen Maßnahmen

Um eine möglichst lückenlose und sehr gute Betreuung der Channel Partner gewährleisten zu können, ergreift Arcserve aktuell diverse Maßnahmen. Dazu gehören beispielsweise zwei neue Field Sales-Mitarbeiter für den Außendienst, die sich vor Ort um die Geschäftspartner kümmern sollen. Aber auch ein Pre-Sales-Consultant ist neu an Bord, der das Vertriebsteam entsprechend unterstützt.

Darüber hinaus verstärkt Arcserve den deutschsprachigen Telefonsupport für den Channel, und das in Form von vier neuen Supportmitarbeitern, die sich intensiv um die technischen Belange der Arcserve Business Partner kümmern.

Daneben sucht Arcserve mit ausgewählten Vertriebsaktionen neue und bessere Anreize für mehr Absatz zu schaffen. Dazu zählt beispielsweise eine Promotionsaktion, bei der es zu jeder Hardware-Appliance für Endkunden eine zweite Maschine dazu gibt, und das ohne weitere Kosten. Hinzu kommt ein kostenfreier Wartungsvertrag, der auf drei Jahre angelegt ist. Kein Wunder, dass Arcserve mit diesem Angebot eine Menge Aufmerksamkeit am Markt und sehr gute Umsätze erzielen kann.

Das komplette Interview mit Rüdiger Frank

Disclaimer: Diesen Videoblogbeitrag habe ich im Auftrag von Arcservce verfasst.

Thomas Ehrlich, Varonis Systems

Videopost: „Mit uns machen Sie Ihre IT-Umgebung ein gutes Stück sicherer“

Dieses Videointerview habe ich mit Thomas Ehrlich von Varonis Systems auf der it-sa 2018 geführt. Darin spricht er über den notwendigen Schutz hybrider Cloud-Infrastrukturen, über den Einsatz von IBM QRadar und wie Varonis seinen Kunden bei der Umsetzung der DSGVO hilft.

Identische Rechtevergabe On-Prem und On-Cloud

Heterogene IT-Infrastrukturen sind vor allem eins: Über die Zeit gewachsen und weisen damit in vielen Fällen eine „chaotische“ Grundordnung auf. Das wirkt sich auf verschiedene Bereiche wie zum Beispiel die vergebenen Rechte aus, was sich mittel- oder unmittelbar auf die Sicherheit der IT-Umgebung auswirken kann. Soll diese „gewachsene“ Infrastruktur in eine Hybrid-Cloud migriert werden, ist es immanent wichtig, die gesamte Rechtestruktur und die dazu gehörigen Berechtigungen vor dem geplanten Umzug in die Cloud vollständig zu überprüfen und gegebenenfalls anzupassen – für eine höchstmögliche Sicherheit von Anfang an.

Falls man dies nicht selber erledigen will, kann man sich an Firmen wie Varonis Systems wenden, die sich mit der Rechtevergabe On-Premise und On-Cloud bestens auskennt.

IBM QRadar und Varonis: ein ergänzendes Gespann

Varonis-Kunden, die SIEM-Systeme wie IBM QRadar einsetzen,  importieren die Alerts und Benachrichtigungen, die Varonis im Kontext der strukturierten und unstrukturierten Kundendaten erstellt, in das QRadar-System und können damit ihr gesamtes Nachrichtensystem im großen Zusammenhang betrachten und auswerten.

Interessant an dieser Stelle ist auch die Möglichkeit, mithilfe des Varonis-Systems Alarmsignale in Echtzeit abzurufen, da diese auch in Echzeit erstellt und verschickt werden. Damit lassen sich jedwede Bedrohungen wie Ransomware & Co. schneller lokalisieren und dagegen vorgehen.

Varonis hilft seinen Kunden in Sachen DSGVO

Varonis hilft ihren Kunden, bestimmte DSGVO-Forderungen bestmöglich umzusetzen. Dazu gehört beispielsweise das obligatorische Erstellen eines Verarbeitungsverzeichnisses, das in Artikel 30 geregelt wird. Das soll sämtliche Aufgaben auflisten, die während der elektronischen Verarbeitung personenbezogener Daten anfallen. Dieser nicht ganz triviale Aufwand erfolgt am ehesten über die sogenannten Log-Dateien, die speziell im Windows-Server-Umfeld anfallen. Diese Dateien sind sehr umfangreich und müssen daher mit geeigneten Mitteln und möglichst geringem Aufwand analysiert und nach personenbezogenen Daten durchforstet werden können.

Auch hier wird Varonis für ihre Kunden aktiv, indem sie genau diese Logging-Dateien permanent analysiert und überwacht. Auf dieser Basis sind zahlreiche Erkenntnisse und Aktionen möglich, wie das Ableiten von Benutzerverhalten oder unternehmensweite Suchabfragen. Und das stets vor dem Hintergrund DSGVO-relevanter Daten und Dateien.

Das Interview mit Thomas Ehrlich auf der it-sa 2018

Disclaimer: Diesen Videoblogpost habe ich im Auftrag von Varonis Systems erstellt. Bei der Ausgestaltung der Inhalte hatte ich nahezu freie Hand.

 

Marcel Mock von der totemo AG über E-Mail-Verschlüselung

Videoblog: „E-Mail-Verschlüsselung ist wichtig und simpel“

Während der it-sa 2018 habe ich dieses Videointerview mit Marcel Mock von der Schweizer Firma totemo geführt. Darin spricht er über die Neuheiten von totemomail 7.0 und welche drei Irrtümer in Sachen E-Mail-Verschlüsselung sich hartnäckig halten.

totemomail 7.0 bietet zahlreiche nützliche Features

Wesentlichste und offensichtlichste Neuerung von totemomail 7 ist die vollständig überarbeitete Bedieneroberfläche. Damit soll vor allem eine bessere Usability erreicht werden, aber auch bestimmte Prozesse und Abläufe lassen sich vereinfachen. Darüber hinaus ist es mit der aktuellen Version möglich, Microsoft Rights Management-Features innerhalb des totemo-Gateways zu nutzen. So können E-Mail-Nachrichten und angehängte Dokumente mittels Microsoft AD RMS und Azure Information Protection geschützt werden.

Zudem bietet totemomail 7 eine eigene Rechteverwaltung, sodass IT-Administratoren auch außerhalb des Microsoft’schen E-Mail-Universums ihren Mailserver mit entsprechenden Rechten versehen können.

totemomail im Einsatz

Die Top-3-Irrtümer in Sachen E-Mail-Verschlüsselung

Noch immer halten sich bestimmte Annahmen äußerst hartnäckig, was das Verschlüsseln von E-Mails betrifft – und das meist völlig zu unrecht. Der wichtigste Irrtum lautet vermutlich: Das brauchen wir nicht! Richtig? Falsch, schauen Sie sich hierzu einmal Artikel 32 der DSGVO an. Dort wird das Verschlüsseln personenbezogener Daten explizit erwähnt.

Damit hat auch unmittelbar Irrtum Nummer 2 zu tun, der da lautet: Das ist alles viel zu teuer. Das stimmt zum einen nicht, und was zum anderen so richtig teuer wird, wenn Sie auf Basis der DSGVO belangt werden, weil Sie die sensible E-Mail-Daten nicht verschlüsselt haben. Und zum dritten Vorurteil, dass man es alleine nicht schaffen kann, sollten Sie sich diese Blogpostserie etwas genauer ansehen.

Das Interview mit Marcel Mock von der it-sa 2018

Disclaimer: Dieser Videoblogbeitrag ist in Zusammenarbeit mit Akima Media entstanden.

Dr. Hubert Jäger von Uniscon über BYOK-Irrtümer

Videoblog: „BYOK ist leider kein Cloud-Daten-Allheilmittel“

Dieses Videogespräch habe ich mit Dr. Hubert Jäger von der Firma Uniscon geführt. Dabei geht es um vorherrschende BYOK-Irrtümer (Bring Your Own Key) und wie die Sealed Plattform seiner Firma helfen kann, Cloud Computing ein gutes Stück sicherer zu machen.

Life-Hacking auf der it-sa: So unsicher sind Cloud-Daten

Die Cloud kämpft nach wie vor mit einer Reihe von Vorurteilen, darunter auch mit der Annahme, dass Daten innerhalb einer Cloud-Umgebung nur dann sicher seien, wenn man die eigenen Schlüssel mitbringt. Dieser Grundsatz (der auch unter dem Akronym BYOK (Bring Your Own Key) bekannt ist) weist allerdings eine erhebliche Schwachstelle auf: Man kann mit relativ geringem Aufwand an die für das Entschlüsseln der Daten notwendigen Schlüssel herankommen. Hierfür muss lediglich ein sogenannter „Memory Dump“ erstellt werden, der es erlaubt, mit etwas technischem Verständnis und den richtigen Tools die Schlüssel zu extrahieren und zu missbrauchen.

Die Uniscon Sealed Plattform schützt Cloud-Daten vor fremden Zugriffen

Sieht man sich die DSGVO genauer an, so fällt unter anderem Artikel 5 auf, der unter dem Punkt 1c das Prinzip der Datenminimierung genauer beschreibt. Die Forderung hierbei lautet, dass die Erhebung und Verarbeitung personenbezogener Daten stets zweckgebunden sein muss. Gewährt man einem IT-Admin von Cloud-Servern allerdings weitergehende Rechte, als diese für das Erfüllen seiner Aufgaben notwendig sind (wie zum Beispiel das Erstellen eines Memory Dump), verstößt man nicht nur gegen die DSGVO, sondern ermöglicht auch ein unsicheres Einfallstor in die Cloud-Umgebung.

Genau an dieser Stelle kommt die Sealed Plattform ins Spiel. Auf Basis dieser Uniscon-Lösung kann man den IT-Administrator einer Cloud-Infrastruktur in seinen Rechten so weit einschränken, dass das Prinzip der Datenminimierung eingehalten werden kann.

So funktioniert die Sealed Plattform im Falle eines versuchten Datenklaus

Sollte trotz eingeschränkter Adminrechte und sonstiger Sicherheitsmaßnahmen ein Angriffsversuch auf die Cloud-Daten initiiert werden, sucht die Uniscon Sealed Plattform mit vier geeigneten Maßnahmen, diesen unliebsamen Hacking-Versuch zu unterbinden und die Daten zu schützen:

Mit dem Data Clean-Up werden im Falle eines Angriffs die Daten innerhalb einer sogenanten Data Clean-Up Area präventiv gelöscht. Dort befinden sich auch die Schlüssel, womit auch diese im Angriffsfall gelöscht werden, sodass die Daten erst gar nicht entschlüsselt werden können. Mit der Filterung wird der IT-Admin von diesem Bereich ferngehalten, da dies seine Kompetenzen übersteigen würde. Und schließlich findet ein Audit statt, der sicherstellt, dass der gesamte Data Cleanup-Prozess genau den Vereinbarungen entsprochen hat und damit die Daten weiterhin als sicher gelten.

Das vollständige Interview mit Dr. Hubert Jäger auf der it-sa 2018

Disclaimer: Für diesen Videoblogeintrag hat mich die Firma Uniscon beauftragt. Bei der Ausgestaltung der Inhalte hatte ich völlig freie Hand.

Dirk Schrader von Greenbone über Sustainable Cyber Resilience

Videblog: „Nachhaltige Widerstandsfähigkeit ist die neue IT-Sicherheit“

Dieses Interview habe ich mit Dirk Schrader von Greenbone Networks auf der it-sa 2018 zum Thema Sustainable Cyber Resilience geführt. Darin spricht er unter anderem darüber, warum das Thema gerade für KRITIS-Unternehmen immer wichtiger wird.

Sustainable Cyber Resilience ist mehr als ein Buzzword

Unter dem Begriff „Sustainable Cyber Resilience“ (SCR) versteht man eine neue Herangehensweise in Sachen Informationssicherheit. Hierbei steht weniger das Gesamtkonstrukt und dessen Absicherung gegen Angriff im Vordergrund, sondern mehr die einzelnen „Assets“, die involviert sind. Das können Server und Router sein, aber Applikationen und Dienste werden hierfür betrachet. Daran verknüpft ist vor allem die Frage, welche Rolle diese einzelnen IT-Faktoren innerhalb der Geschäftsprozesse einer Firma besetzen.

Die richtigen Antworten daraus ergeben entsprechende Risikofaktoren und die passenden Maßnahmen, die sich davon ableiten lassen. Daraus resultiert eine nachhaltige Widerstandsfähigkeit, die sich für jedes einzelne Gerät oder jeden einzelnen Dienst genau bestimmen lässt. Damit wissen IT-Verantwortliche jederzeit, in welchem Ausmaß ein angegriffener Server oder ein anderes Asset zur Stabilität oder Instabilität des großen Ganzen beiträgt.

Ein weiterer Aspekt dabei: Dieses permanente Bewerten von Risikofaktoren und dem damit verbundenen Herstellen von Widerstandsfähigkeit sorgt dafür, dass die Sicherheit des gesamten Systems besser und besser wird.

SCR betrifft vor allem KRITIS-Unternehmen

Kritische Unternehmensstrukturen – also die der Energieversorger, der Gesundheitsversorger, etc. – weisen vor allem eine wesentliche Eigenschaft auf: Sie leisten einen immens wichtigen Beitrag zum gesellschaftlichen Leben und Miteinander. Obendrein sind sie hochgradig miteinander vernetzt, denn ohne Strom gibt es keine medizinische Versorgung, und so fort.

Daher kommt der Widerstandsfähigkeit der gesamten Infrastruktur dieser sogenannten KRITIS-Betriebe und -Unternehmen eine ganz besondere Rolle zu. Denn in diesen Fällen ist nicht nur die IT-Infrastruktur einem besonderen Risiko ausgesetzt, sondern auch die OT (Operational Technology). So sind zB in einem Wasserkraftwerk nicht nur die Server mögliche Angriffsziele von Hackern, sondern auch die Versorgungsanlage und deren Assets selbst. Damit muss jederzeit sichergestellt werden, dass sowohl die IT als auch die OT so widerstandsfähig wie möglich sind.

Das komplette Interview mit Dirk Schrader auf der it-sa 2018

 

Disclaimer: Dieser Videoblogbeitrag ist in Zusammenarbeit mit Akima Media entstanden.

Dr. Matthias Pankert von Utimaco über eIDAS und passende Lösungen

Videoblog: „Mit dem CryptoServer CP5 werden digitale Geschäfte sicherer“

Während der it-sa 2018 habe ich dieses Interview mit Dr. Matthias Pankert von der Utimaco GmbH geführt. Darin spricht er über die zunehmende Wichtigkeit von eIDAS und über die passenden HW-Lösungen seiner Firma.

Unter Mitwirkung des BSI (Bundesamt für Sicherheit in der Informationstechnik) ist Mitte 2016 eine EU- und europaweite Verordnung mit der Nummer 910/2014 in Kraft getreten. Besser bekannt ist diese EU-Regelung unter der Abkürzung eIDAS (englisch für electronic IDentification, Authentication and trust Services), die einheitliche Spielregeln in den Bereichen „Elektronische Identifizierung“ und „Elektronische Vertrauensdienste“ schaffen soll.

eIDAS spielt im Unternehmensumfeld eine immer größere Rolle

Damit soll vor allem die digitale Wirtschaft im Kontext vertrauenswürdiger Geschäftsprozesse gefördert werden. Im Kern geht es darum, digitale Geschäfte auf einheitliche Art und Weise abwickeln zu können. Hierfür kommen unter anderem digitale Signaturen zum Einsatz, was wiederum die passenden Gerätschaften erfordert. Und genau in diesem Umfeld bewegt sich die Utimaco GmbH.

Utimaco CryptoServer ermöglichen eIDAS-konforme Geschäfte

Mit einer ganzen Reihe an eIDAS-konformen Hardware-Lösungen will Utimaco in diesem vor allem für größere Unternehmen immer wichtigeren Geschäftsbereich sichere Möglichkeiten für digitale Signaturen und andere Sicherheitsmaßnahmen an die Hand geben.

Im ersten Schritt wurde hierfür der CryptoServer CP5 entwickelt. Dabei handelt es sich um ein eIDAS-konformes Hardware-Modul, das entweder als 1U-Server in einem 19-Zoll-Rack oder als PCIe-Einsteckkarte direkt in einem Rechner verbaut werden kann. Es lässt sich zudem per Mietmodell via Cloud nutzen.

Das CP5 kommt vor allem für digitale Fernsignaturen zum Einsatz. Darüber hinaus lassen sich damit qualifizierte Zertifikate und andere Sicherheitsmaßnahmen erstellen. Er wird also überall dort benötigt, wo Schlüsselautorisierungsfunktionen erforderlich sind.

Das Interview mit Matthias Pankert auf der it-sa 2018 in voller Länge

Disclaimer: Dieser Videoblogbeitrag ist in Zusammenarbeit mit Akima Media entstanden.