Viele Teams lesen einen EU-Text und meinen, sofort handeln zu müssen. Dabei gilt längst nicht jedes EU-Recht direkt im eigenen Land.

Das Symptom kennt jede erste Compliance-Analyse: Ein Unternehmen prüft Pflichten aus Brüssel, findet aber im nationalen Recht nichts dazu. Umgekehrt warten andere auf ein deutsches Gesetz, obwohl die EU-Vorgabe schon unmittelbar gilt. Beides kostet Zeit und führt zu falschen Prioritäten.

Der Grundbegriff dahinter ist die Rechtsart. EU-Rechtsakte stehen im Vertrag über die Arbeitsweise der EU in Artikel 288. Eine Verordnung gilt dort unmittelbar in allen Mitgliedstaaten. Eine Richtlinie ist nur hinsichtlich ihres Ziels verbindlich und muss von jedem Mitgliedstaat in nationales Recht umgesetzt werden.

Ein Beispiel: Die KI-Verordnung, Verordnung (EU) 2024/1689, ist eine Verordnung. Ihr Text gilt in allen Mitgliedstaaten unmittelbar und gleich lautend. Dazu gehört die Definition eines KI-Systems als maschinengestütztes System, das aus Eingaben Ausgaben wie Vorhersagen oder Entscheidungen erzeugt. Die NIS2-Richtlinie für Cybersicherheit ist dagegen eine Richtlinie. Die konkreten Pflichten entstehen dort erst durch das nationale Umsetzungsgesetz des Mitgliedstaats.

So prüft man es: Zuerst klären, ob der EU-Rechtsakt eine Verordnung oder eine Richtlinie ist. Bei einer Richtlinie anschließend das nationale Umsetzungsgesetz suchen, denn dort stehen Fristen und Anforderungen.

Verbindlich heißt nicht unmittelbar geltend. Erst die Rechtsart entscheidet, ob der EU-Text selbst gilt oder das nationale Gesetz wartet.

📌 Verordnung · Richtlinie · Umsetzung

📚 Zukunftstechnologien verstehen · Tag 5 von 30
#Regulierung #Cybersicherheit #strategie

Ein Tippfehler im Programm, eine Auszahlung an der falschen Adresse – und niemand kann zurückspulen. Genau das ist bei Smart Contracts Alltag.

Hier geht es um Programme, die auf einer Blockchain laufen und selbstständig handeln, wenn ihre Bedingungen erfüllt sind. Das Prinzip kennt man von Treuhandsystemen: Geld wird digital verwahrt, bis die Lieferung bestätigt ist.

Zuerst liegt der Smart Contract als Code auf der Kette. Die Blockchain ist dabei ein verteiltes, manipulationsresistentes Register, das Transaktionen ohne zentrale Instanz festhält. Der Code ist technisch eine Wenn-dann-Regel: Er prüft Bedingungen und führt dann eine hinterlegte Aktion aus.

Dann trifft eine Transaktion ein, etwa die Meldung „Ware geliefert“. Ein Konsensverfahren, also die Regel, wie sich Teilnehmer auf den nächsten Block einigen, nimmt die Meldung auf. Der Contract wertet sie nach seiner programmierten Logik aus.

Danach führt die Regel die Aktion aus. Bei einer Escrow-Regelung, bei der Käufer und Verkäufer Zahlung und Ware hinterlegen, gibt der Contract die Zahlung erst frei, wenn die Lieferung gemeldet wurde. Das geschieht ohne Prüfung durch einen Menschen.

Zuletzt bleibt alles unveränderlich auf der Kette. Wird ein Block nachträglich verändert, ändert sich sein Hash, also sein digitaler Fingerabdruck, und die Verkettung bricht erkennbar auf. Eine rückgängig gemachte Ausführung wäre also eine sichtbare Manipulation.

Der Name „Contract“ täuscht: Es ist juristisch kein automatisch gültiger Vertrag, sondern exakt ausgeführter Code – samt Fehler. Deshalb gilt: Logik vorher durch Tests und Code-Prüfung absichern, denn die Ausführung lässt sich nicht zurücknehmen.

📌 Wenn-dann-Regel · Unveränderlichkeit · Prüfung vor Veröffentlichung

📚 Zukunftstechnologien verstehen · Tag 5 von 30
#Innovation #architektur #Cybersicherheit

Heute schützen RSA und elliptische Kurven die Verbindungen im Netz. Morgen könnten Quantenrechner genau diese Schutzmechanismen aushebeln.

Beide Begriffe beschreiben asymmetrische Kryptografie, also Verfahren mit einem öffentlichen und einem privaten Schlüssel. Die Verwechslung entsteht, weil beide dieselben Aufgaben lösen: Schlüsselaustausch und digitale Signaturen.

RSA beruht auf der Schwierigkeit, große Zahlen in ihre Primfaktoren zu zerlegen. Klassische Rechner brauchen dafür praktisch untragbar lange, daher gilt RSA als sicher.

Post-Quanten-Kryptografie umfasst Verfahren, die auf mathematischen Problemen beruhen, für die keine effiziente Lösung bekannt ist – auch nicht für Quantencomputer. Statt Primfaktoren setzt sie auf andere Strukturen, etwa Gitter, bei denen Quantenrechner keine bekannte Abkürzung haben. Im August 2024 veröffentlichte das US-Normungsinstitut NIST die ersten drei Standards: FIPS 203 standardisiert ML-KEM für den Schlüsselaustausch, FIPS 204 ML-DSA für Signaturen.

Der entscheidende Unterschied liegt in der Bedrohungsannahme. Heutige Verfahren werden durch einen ausreichend großen Quantencomputer mit Shors Algorithmus gebrochen; hinzu kommt „Harvest now, decrypt later“: heute aufgezeichneter Datenverkehr wird später entschlüsselt.

Faustregel: Wer langlebige Geheimnisse schützt, zum Beispiel Patientendaten einer Klinik, plant den Umstieg jetzt, nicht erst mit dem Quantenrechner. Der erste Schritt ist Krypto-Agilität: ein Inventar aller Verfahren, Schlüssel und Zertifikate, damit der Austausch ohne Neubau von Anwendungen gelingt.

Post-Quanten-Kryptografie heißt also nicht mehr Verschlüsselung, sondern verschärfte Mathematik gegen eine Maschine, die es noch nicht gibt.

📌 Gitter statt Primfaktoren · Harvest now, decrypt later · Krypto-Agilität

📚 Zukunftstechnologien verstehen · Tag 4 von 30
#Quantencomputing #postquantum #Cybersicherheit

Verschlüsselte Daten sind wie ein Brief im Tresor: Solange der Schlüssel geheim bleibt, bleibt der Inhalt sicher. Ein Angreifer kann den Tresor aber stehlen und auf den Schlüssel warten.

Jemand kopiert heute einen verschlossenen Brieftransporter, Koffer für Koffer, ohne ihn zu öffnen. Über Jahre lagern die Koffer unangetastet in einem Lager. Eines Tages öffnet ein neuer Schlüssel alle Schlösser auf einmal.

Der Koffer ist die verschlüsselte Übertragung; asymmetrische Verschlüsselung sichert sie über ein Schlüsselpaar aus öffentlichem und privatem Schlüssel. Der neue Schlüssel ist ein Quantenrechner, der mit Shors Algorithmus Verfahren wie RSA und elliptische Kurven bricht.

Ein Netzwerkknoten zeichnet heute den verschlüsselten Datenverkehr einer Klinik mit. Bleibt die Abhörung unbemerkt, könnte eine spätere Entschlüsselung Patientendaten über Jahrzehnte offenlegen. Betroffen sind langlebige Geheimnisse wie Gesundheitsdaten, Staatsgeheimnisse oder lang laufende Verträge; Kurzlebiges wie Sitzungscookies ist weniger gefährdet.

Das Bild hat eine Grenze: Den Tresorraum lässt sich leer räumen, bevor der Schlüssel auftaucht. Aufgezeichnete Daten bleiben beim Angreifer, und nur heutige Verfahren können ihren Schutz ersetzen.

Wer abhörsensible Daten hat, muss vor dem Quantenrechner starten, nicht mit ihm. Seit August 2024 gibt es mit FIPS 203, 204 und 205 die ersten NIST-Standards für Post-Quanten-Kryptografie; FIPS 203 standardisiert ML-KEM für den Schlüsselaustausch. Hybride Verfahren kombinieren ein klassisches und ein Post-Quanten-Verfahren, sodass die Sicherheit bleibt, solange eines von beiden ungebrochen ist.

Verschlüsselung schützt nur so lange, wie das Geheimnis des Schlüssels. Wer heute verschiebt, schenkt dem Angreifer die Aufzeichnung.

📌 Harvest now, decrypt later · Post-Quanten-Kryptografie · Krypto-Agilität

📚 Zukunftstechnologien verstehen · Tag 4 von 30
#Quantencomputing #postquantum #Cybersicherheit

Eine verschlüsselte Nachricht kann unlesbar und unterwegs dennoch verändert sein. Verschlüsselung schützt also nicht automatisch die Echtheit – dafür braucht es die digitale Signatur.

Eine Signatur belegt, wer eine Nachricht erzeugt hat und ob sie seither unverändert ist. Das kommt im Alltag überall vor, etwa beim Download signierter Software.

Zuerst berechnet der Absender einen Hashwert der Nachricht. Eine kryptografische Hashfunktion bildet beliebige Daten auf einen Wert fester Länge ab; eine kleine Änderung der Eingabe ergibt einen völlig anderen Wert. Aus dem Hashwert lässt sich die Eingabe praktisch nicht zurückgewinnen.

Dann erzeugt der Absender daraus mit seinem privaten Schlüssel die Signatur. Das ist die Umkehrung des gewohnten Verschlüsselns: Bei asymmetrischen Verfahren wie RSA nutzt man das Schlüsselpaar hier in entgegengesetzter Richtung. Die Nachricht selbst bleibt dabei offen lesbar.

Danach versendet der Absender Nachricht und Signatur zusammen. Der Empfänger berechnet den Hashwert der empfangenen Nachricht selbst und gewinnt aus der Signatur mit dem öffentlichen Schlüssel den zweiten Wert.

Zuletzt vergleicht der Empfänger beide Werte und handelt entsprechend: Stimmen sie überein, stammt die Nachricht vom Schlüsselinhaber und ist unverändert. Beispiel: Softwarehersteller signieren Installationsdateien; das Betriebssystem prüft die Signatur mit dem öffentlichen Schlüssel des Herstellers und warnt, wenn die Datei verändert wurde. Ein häufiger Irrtum: Eine Signatur belegt nicht, wann gesendet wurde. Wurde der private Schlüssel kopiert, kann auch ein anderer signieren.

Eine Signatur macht nichts geheim, sondern macht Herkunft und Unverändertheit nachprüfbar. Geheimhaltung ist die Aufgabe der Verschlüsselung, Echtheit die der Signatur.

📌 Privater Schlüssel · Hashwert · Öffentlicher Schlüssel

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#Cybersicherheit #zerotrust #DigitaleTransformation

Eine Checkliste hakt Maßnahmen ab. Ein Managementsystem steuert, welche Maßnahmen nötig sind – dauerhaft.

Die Verwechslung ist naheliegend: Anhang A der ISO/IEC 27001, Fassung 2022, dem internationalen Standard für Informationssicherheit, sieht mit seinen 93 Controls (einzelnen Sicherheitsmaßnahmen) aus wie eine Liste zum Abarbeiten. Doch wer sie einfach abhakt, scheitert im Audit, weil die Norm den begründeten Weg verlangt.

Eine Checkliste ist ein statisches Verzeichnis: Sie nennt Maßnahmen wie Passwortregeln, Zutrittskontrolle oder Datensicherung und lässt sich einmalig durcharbeiten, entscheidet aber nicht über den konkreten Bedarf. Wer jede Rechenzentrums-Kontrolle eines Großkonzerns übernimmt, verschwendet Aufwand im Zwei-Personen-Büro.

Ein Managementsystem nach ISO/IEC 27001 arbeitet dagegen im Kreislauf: Es erfasst Risiken, bewertet sie und leitet daraus die Maßnahmen ab. Ein kleines Unternehmen stuft den Verlust von Kundendaten als hohes Risiko ein, wählt Controls zur Verschlüsselung und Datensicherung und begründet in der Erklärung zur Anwendbarkeit (Statement of Applicability), warum Rechenzentrums-Kontrollen entfallen. Interne Audits und Managementbewertung halten den Prozess in Gang.

Die Checkliste fragt „Was gibt es?“, das Managementsystem fragt „Was brauchen wir, warum, und funktioniert es?“. Das Zertifikat bestätigt ein gelebtes System im definierten Geltungsbereich, kein sicheres Produkt.

Faustregel: Checklisten eignen sich als Stoffsammlung für einzelne Kontrollen. Sobald es um Risikobewertung, Nachweise und Dauerbetrieb geht, führt kein Weg am Managementsystem vorbei.

ISO/IEC 27001 heißt also nicht „alle Maßnahmen erledigt“, sondern „Risiken systematisch behandelt“ – das Zertifikat belegt Prozesse, nicht garantierte Angriffssicherheit.

📌 Risikobewertung · Managementsystem · Statement of Applicability

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#Cybersicherheit #Regulierung #strategie

Ein Türsteher vor dem Lokal entscheidet nicht selbst, wer hineindarf. Er schaut nur auf eine Entscheidung, die jemand anderes getroffen hat.

Zero Trust funktioniert wie ein Pförtner, der jeden Gast einzeln anklopft. Vor jedem Raum steht ein Wächter, der die Papiere verlangt. Im Hintergrund prüft eine Zentrale Identität, Anlass und Risiken. Erst nach deren Urteil öffnet der Wächter die Tür – für genau einen Raum.

Dieses Sicherheitsparadigma arbeitet so: Zero Trust laut NIST SP 800-207 (2020) implizites Vertrauen wegen Netzposition oder Gerätebesitz abschaffend. Die Zentrale ist der Policy Decision Point (PDP), die logische Instanz, die anhand der geltenden Richtlinie bewertet, ob ein Zugriff erlaubt ist. Der Wächter ist der Policy Enforcement Point (PEP), der technische Kontrollpunkt am Weg zur Ressource, der die Anfrage stoppt und erst nach positiver Entscheidung durchlässt. Die Trennung macht beide Teile unabhängig wartbar: Die Richtlinienlogik liegt zentral, während viele Enforcement Points dieselbe Entscheidung umsetzen.

Konkret: Ein Mitarbeiter ruft das interne Wiki auf. Der Enforcement Point hält die Anfrage an; der Decision Point prüft Identität, Gerätezustand und Kontext und erlaubt nur den Lesezugriff auf genau diese eine Ressource. Die Entscheidung gilt je Sitzung und folgt dem Prinzip der geringsten Rechte – eine einmalige Anmeldung ersetzt die laufende Prüfung nicht.

Das Bild hat eine Grenze: Der Wächter vor einem Raum prüft nur einmalig die Papiere. In Zero Trust wird jede Anfrage neu bewertet, dynamisch und vor jedem Zugriff strikt durchgesetzt.

Der Policy Decision Point heißt nicht Kontrollpunkt, sondern Instanz der Urteilsfindung – durchgesetzt wird am Enforcement Point.

📌 Policy Decision Point · Policy Enforcement Point · Trennung von Prüfung und Durchsetzung

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#zerotrust #Cybersicherheit #architektur

Viele Einsteiger glauben, ein Hashwert sei eine verschlüsselte Datei. Dabei ist das Original aus einem Hash praktisch nie zurückzuholen.

Ein Download-Portal nennt neben der Datei eine kurze Zeichenkette, den Hashwert. Wer die Zeichenkette für die Datei selbst hält und öffnet, sieht nur wirre Buchstaben und Zahlen – und fragt sich, wo der Inhalt geblieben ist.

Eine Hashfunktion ist eine Rechenvorschrift, die aus einer Eingabe beliebiger Länge eine Zeichenkette fester Länge erzeugt, eben den Hashwert. Ob die Eingabe ein Byte oder ein ganzer Film ist, das Ergebnis bleibt gleich lang. Eine kleine Änderung der Eingabe ergibt einen völlig anderen Wert, den sogenannten Lawineneffekt. Und aus dem Wert lässt sich die Eingabe praktisch nicht zurückgewinnen – es ist eine Einbahnstraße.

Ein Vertragstext wird als PDF geprüft. Berechnet man den Hash, dreht ein einzelnes Komma um und berechnet ihn erneut, kommt ein völlig anderer Wert heraus. Genau deshalb gleicht man den Hash einer geladenen Datei mit dem erwarteten Wert ab: Stimmen beide überein, blieb die Datei unverändert. Auch Passwörter werden oft nur als Hash gespeichert, sodass beim Login nur die Werte verglichen werden.

So prüft man es: Vor dem Vergleichen klar benennen, was das Schutzziel ist – Integrität, also Unverändertheit, braucht einen Hash. Vertraulichkeit, also Geheimhaltung, braucht Verschlüsselung mit einem Schlüssel wie AES, denn nur mit dem passenden Schlüssel lässt sich der Inhalt zurückgewinnen.

Ein Hash verbirgt nichts – er vergleicht. Verschlüsselung heißt umkehrbar, Hash heißt Einbahnstraße.

📌 Hashwert · Lawineneffekt · Integrität

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#Cybersicherheit #zerotrust #DigitaleTransformation

Die meisten Nachrichten im Internet laufen über eine einzige, gemeinsame geheime Zahl. Dabei gibt es ein Verfahren, das mit zwei Schlüsseln arbeitet und die älteste Schwäche löst.

Verschlüsselung schützt Vertraulichkeit, eines der drei klassischen Schutzziele der Informationssicherheit neben Integrität und Verfügbarkeit. Wer die richtige Art wählt, entscheidet über Geschwindigkeit und darüber, wie Schlüssel überhaupt verteilt werden.

🔭 Ein gemeinsamer Schlüssel ver- und entschlüsselt dieselbe Nachricht. Das ist symmetrische Verschlüsselung, etwa mit dem Verfahren AES. Sie ist sehr schnell und eignet sich für große Datenmengen wie Festplatten oder Videoströme.

🧪 Ein Schlüsselpaar besteht aus einem öffentlichen und einem privaten Schlüssel. Das ist asymmetrische Verschlüsselung, etwa mit RSA. Der öffentliche Schlüssel darf unbedenklich weitergegeben werden, denn damit kann man nur verschlüsseln, nicht entschlüsseln; nur der private Schlüssel öffnet die Nachricht wieder.

📐 In der Praxis kombiniert man beide, weil jedes seine Schwäche ausgleicht. Das Grundproblem der Symmetrie ist die Schlüsselverteilung: Über einen unsicheren Kanal darf man den geheimen Schlüssel nicht einfach übertragen. Deshalb überträgt man mit dem asymmetrischen Verfahren nur einen kleinen Sitzungsschlüssel, und die eigentlichen Daten laufen dann schnell symmetrisch.

Eine digitale Signatur dreht das Paar um: Sie wird mit dem privaten Schlüssel erzeugt und mit dem öffentlichen geprüft und belegt Herkunft und Unverändertheit.

Symmetrisch heißt nicht veraltet, sondern schnell, aber schwer zu verteilen. Asymmetrisch heißt nicht sicherer, sondern langsam, aber gut verteilbar.

📌 Gemeinsamer Schlüssel · Schlüsselpaar · Schlüsselverteilung

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#Cybersicherheit #zerotrust #postquantum

Wer die Firewall passiert hat, gilt im internen Netz oft als vertrauenswürdig. Genau dieses implizite Vertrauen schafft Zero Trust ab.

Einsteiger begegnen Zero Trust meist bei IT-Sicherheitsprojekten oder in Ausschreibungen. Wer es als Produkt versteht, kauft teure Werkzeuge – und behält die alte Architektur mit allen Lücken.

Zero Trust ist ein Architekturprinzip, kein Produkt: Jeder Zugriff wird einzeln geprüft und bewilligt, egal aus welchem Netz er kommt. Der US-Standard NIST SP 800-207 von 2020 fasst das als Sicherheitsparadigma, das implizites Vertrauen aufgrund der Netzposition oder des bloßen Gerätebesitzes abschafft. Alle Datenquellen und Dienste gelten darin als schützenswerte Ressourcen, und jede Kommunikation wird unabhängig vom Netzstandort gesichert.

Der Zugriff wird je Sitzung gewährt und nach dem Prinzip der geringsten Rechte beschränkt: Wer das interne Wiki aufruft, erhält nur Lesezugriff auf genau diese eine Ressource. Der Policy Enforcement Point stoppt die Anfrage und setzt die Entscheidung durch; der Policy Decision Point prüft Identität, Gerätezustand und Kontext. Dynamische Richtlinien – Regeln, die festlegen, wer mit welchem Gerät unter welchen Bedingungen auf welche Ressource darf – bilden die Grundlage der Entscheidung.

Verwechselt wird Zero Trust gern mit VPN oder Firewall. Ein VPN verschlüsselt nur den Tunnel; hinter dem Tunnel gilt oft weiterhin das alte Vertrauen im internen Netz. Ein Notebook im Büronetz und ein Homeoffice-Gerät stehen in Zero Trust gleichrangig vor der Prüfung.

Zero Trust heißt nicht, das interne Netz zu verteidigen, sondern jeden einzelnen Zugriff zu entscheiden.

📌 Implizites Vertrauen · Je Sitzung · Least Privilege

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#zerotrust #Cybersicherheit #architektur #Regulierung

Viele vergeben Administratorrechte, weil es schnell geht. Dabei macht genau das einen Angriff zum Totalausfall.

Viele Einsteiger denken: Volle Rechte sparen Nachfragen und Fehlermeldungen. Wer alles darf, muss nie darauf warten, dass jemand ein fehlendes Recht nachreicht – das klingt vernünftig.

Tatsächlich gilt das Gegenteil. Das Prinzip der geringsten Rechte (Least Privilege) besagt: Jedes Benutzerkonto, jeder Dienst und jede Programmierschnittstelle (API, also eine definierte Stelle, über die Software Daten austauscht) erhält nur die Rechte, die seine Aufgabe erfordert. Wird ein Konto kompromittiert (also von Angreifern übernommen), kann der Angreifer nur das tun, was das Konto darf. Der Schaden bleibt auf diese Rechte begrenzt.

Der Irrtum entsteht, weil Bequemlichkeit sofort spürbar ist, der Schadensfall nicht. Einmal großzügig vergebene Rechte verschwinden außerdem selten von selbst.

Als Beispiel dient ein Skript, das jede Nacht eine Datensicherung kopieren soll. Es braucht nur Leserechte auf den Quellordner und Schreibrechte auf das Backup-Ziel. Die Administratorenrolle des ganzen Systems ist dafür nicht nötig – sie verwandelt einen kleinen Fehlgriff in eine Katastrophe.

Woran man es erkennt: Rechtevergabe ist kein einmaliger Vorgang, sondern wird regelmäßig geprüft. Jede Rolle muss sich durch eine konkrete, beschriebene Aufgabe begründen lassen; Rechte ohne Begründung werden weggenommen.

Least Privilege heißt nicht, Angriffe zu verhindern. Es heißt, die Schadenshöhe im Ernstfall zu begrenzen – und damit das Risiko zu senken, bevor etwas passiert.

📌 Zugriffsrechte · Rollen · Schadensbegrenzung

📚 Zukunftstechnologien verstehen · Tag 2 von 30
#zerotrust #Cybersicherheit #architektur

Die meisten Menschen schätzen Gefahren danach, wie oft sie vorkommen. Dabei entscheidet erst der mögliche Schaden, ob ein Risiko ernst genommen werden muss.

Beim Risiko-Management (dem planmäßigen Umgang mit Gefahren) läuft dieser Gedanke immer gleich ab. Er begegnet einem überall: beim Sicherungskasten zu Hause, beim Fahrradschloss, beim Passwortschutz im Büro.

Zuerst wird ein Schadensereignis benannt. Das ist ein Vorfall, der der Organisation schadet, etwa der Ausfall eines Systems oder der Verlust von Daten. Ein Beispiel: ein Brand im Rechenzentrum, dem Rechenraum mit den Servern.

Dann wird die Eintrittswahrscheinlichkeit geschätzt. Sie sagt, wie oft das Ereignis in einem Zeitraum eintritt. Ein Brand ist sehr unwahrscheinlich, er tritt womöglich einmal in vielen Jahren ein.

Danach wird die Schadenshöhe bestimmt. Sie gibt an, wie groß der Verlust im Schadensfall ist, etwa in Geld, Ausfallzeit oder verlorenen Daten. Beim Brand kann sie maximal sein: Alle Daten sind vernichtet.

Zuletzt werden beide Größen zusammengeführt. In der Praxis multipliziert man sie oft zu einem groben Risikowert und vergleicht ihn mit den Kosten einer Schutzmaßnahme. Eine Maßnahme lohnt sich in der Regel, wenn sie das Risiko stärker senkt, als sie kostet. Genau so arbeitet auch die Norm ISO 27001 für Informationssicherheits-Management: Sie ermittelt Risiken, entscheidet über deren Behandlung und leitet daraus die Maßnahmen ab. Ein seltenes Ereignis mit geringem Schaden bleibt ein kleines Risiko; dasselbe Ereignis mit sehr großem Schaden kann ein hohes Risiko sein.

Ein Risiko heißt nicht „wie oft tritt es ein?“, sondern „wie oft, und was bleibt danach übrig?“. Wer nur die Wahrscheinlichkeit sieht, übersieht die Brandgefahr.

📌 Eintrittswahrscheinlichkeit · Schadenshöhe · Risikowert

📚 Zukunftstechnologien verstehen · Tag 2 von 30
#Cybersicherheit #strategie #DigitaleTransformation

Die meisten denken bei IT-Sicherheit zuerst an Verborgenes: Daten, die niemand lesen darf. Dabei ist ein gelöschter Finanzbericht ebenso verloren wie ein offengelegter.

Die Verwechslung ist verständlich: Alle drei Schutzziele klingen nach „sicher“. Doch sie schützen gegen unterschiedliche Schäden, und wer sie verwechselt, wählt die falsche Maßnahme.

Vertraulichkeit heißt: Nur Berechtigte können Informationen lesen. Verletzt wird sie, wenn jemand eine unverschlüsselte E-Mail abfängt oder ein fremdes Dokument öffnet. Dagegen helfen Verschlüsselung, also das Unlesbarmachen mit einem Schlüssel, sowie Zugangsbeschränkungen und Multi-Faktor-Authentifizierung, die außer dem Passwort einen zweiten Nachweis verlangt.

Integrität heißt: Daten bleiben vollständig und unverändert. Verletzt wird sie, wenn ein Überweisungsbetrag heimlich abgeändert oder eine Datei nachträglich manipuliert wird. Dagegen helfen digitale Signaturen, mit dem privaten Schlüssel erzeugt und mit dem öffentlichen geprüft, sowie Prüfsummen aus Hashfunktionen.

Verfügbarkeit heißt: Systeme und Daten sind nutzungsbereit, wenn sie gebraucht werden. Verletzt wird sie durch Ausfall bei Überlastung oder durch Löschung der einzigen Datensicherung. Dagegen helfen Backups und redundante, also mehrfach vorhandene Systeme.

Jede Maßnahme schützt meist nur ein Ziel. Verschlüsselung sichert die Vertraulichkeit, nicht aber die Integrität, denn ein chiffrierter Text kann unlesbar und dennoch unterwegs verändert sein.

Faustregel: Bei jeder Maßnahme zuerst fragen, welches Schutzziel sie schützt – und welches sie senkt, etwa wenn eine harte Sperre die Verfügbarkeit kostet.

Vertraulichkeit, Integrität und Verfügbarkeit sind gleichrangige Schutzziele. Nicht „geheim“ heißt sicher, sondern alle drei zusammen erfüllt.

📚 Zukunftstechnologien verstehen · Tag 2 von 30
#Cybersicherheit #zerotrust #DigitaleTransformation

Shor bedroht RSA und elliptische Kurven, Grover schwächt AES nur – zwei unterschiedliche Bedrohungsstufen. Shor faktorisiert große Zahlen und löst diskrete Logarithmen effizient, aber nur auf einem ausreichend großen fehlerkorrigierten Quantenrechner. Grover beschleunigt unstrukturierte Suche nur quadratisch; bei AES entspricht das grob einer Halbierung der effektiven Schlüssellänge, weshalb längere Schlüssel empfohlen werden.

Fehlerkorrektur braucht viele physische Qubits je logischem Qubit; Dekohärenz und Gatterfehler begrenzen die zuverlässig ausführbaren Operationen. Ein Quantencomputer ist keine schnellere Allzweckmaschine; Vorteile gibt es nur für bestimmte Problemklassen. Für die Migration zu Post-Quanten-Kryptografie gilt: Schlüsselaustausch und Signaturen zuerst, symmetrische Verfahren über angepasste Schlüssellängen.
#Quantencomputing #postquantum #Cybersicherheit #strategie