Eine verschlüsselte Nachricht kann unlesbar und unterwegs dennoch verändert sein. Verschlüsselung schützt also nicht automatisch die Echtheit – dafür braucht es die digitale Signatur.

Eine Signatur belegt, wer eine Nachricht erzeugt hat und ob sie seither unverändert ist. Das kommt im Alltag überall vor, etwa beim Download signierter Software.

Zuerst berechnet der Absender einen Hashwert der Nachricht. Eine kryptografische Hashfunktion bildet beliebige Daten auf einen Wert fester Länge ab; eine kleine Änderung der Eingabe ergibt einen völlig anderen Wert. Aus dem Hashwert lässt sich die Eingabe praktisch nicht zurückgewinnen.

Dann erzeugt der Absender daraus mit seinem privaten Schlüssel die Signatur. Das ist die Umkehrung des gewohnten Verschlüsselns: Bei asymmetrischen Verfahren wie RSA nutzt man das Schlüsselpaar hier in entgegengesetzter Richtung. Die Nachricht selbst bleibt dabei offen lesbar.

Danach versendet der Absender Nachricht und Signatur zusammen. Der Empfänger berechnet den Hashwert der empfangenen Nachricht selbst und gewinnt aus der Signatur mit dem öffentlichen Schlüssel den zweiten Wert.

Zuletzt vergleicht der Empfänger beide Werte und handelt entsprechend: Stimmen sie überein, stammt die Nachricht vom Schlüsselinhaber und ist unverändert. Beispiel: Softwarehersteller signieren Installationsdateien; das Betriebssystem prüft die Signatur mit dem öffentlichen Schlüssel des Herstellers und warnt, wenn die Datei verändert wurde. Ein häufiger Irrtum: Eine Signatur belegt nicht, wann gesendet wurde. Wurde der private Schlüssel kopiert, kann auch ein anderer signieren.

Eine Signatur macht nichts geheim, sondern macht Herkunft und Unverändertheit nachprüfbar. Geheimhaltung ist die Aufgabe der Verschlüsselung, Echtheit die der Signatur.

📌 Privater Schlüssel · Hashwert · Öffentlicher Schlüssel

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#Cybersicherheit #zerotrust #DigitaleTransformation

Ein Türsteher vor dem Lokal entscheidet nicht selbst, wer hineindarf. Er schaut nur auf eine Entscheidung, die jemand anderes getroffen hat.

Zero Trust funktioniert wie ein Pförtner, der jeden Gast einzeln anklopft. Vor jedem Raum steht ein Wächter, der die Papiere verlangt. Im Hintergrund prüft eine Zentrale Identität, Anlass und Risiken. Erst nach deren Urteil öffnet der Wächter die Tür – für genau einen Raum.

Dieses Sicherheitsparadigma arbeitet so: Zero Trust laut NIST SP 800-207 (2020) implizites Vertrauen wegen Netzposition oder Gerätebesitz abschaffend. Die Zentrale ist der Policy Decision Point (PDP), die logische Instanz, die anhand der geltenden Richtlinie bewertet, ob ein Zugriff erlaubt ist. Der Wächter ist der Policy Enforcement Point (PEP), der technische Kontrollpunkt am Weg zur Ressource, der die Anfrage stoppt und erst nach positiver Entscheidung durchlässt. Die Trennung macht beide Teile unabhängig wartbar: Die Richtlinienlogik liegt zentral, während viele Enforcement Points dieselbe Entscheidung umsetzen.

Konkret: Ein Mitarbeiter ruft das interne Wiki auf. Der Enforcement Point hält die Anfrage an; der Decision Point prüft Identität, Gerätezustand und Kontext und erlaubt nur den Lesezugriff auf genau diese eine Ressource. Die Entscheidung gilt je Sitzung und folgt dem Prinzip der geringsten Rechte – eine einmalige Anmeldung ersetzt die laufende Prüfung nicht.

Das Bild hat eine Grenze: Der Wächter vor einem Raum prüft nur einmalig die Papiere. In Zero Trust wird jede Anfrage neu bewertet, dynamisch und vor jedem Zugriff strikt durchgesetzt.

Der Policy Decision Point heißt nicht Kontrollpunkt, sondern Instanz der Urteilsfindung – durchgesetzt wird am Enforcement Point.

📌 Policy Decision Point · Policy Enforcement Point · Trennung von Prüfung und Durchsetzung

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#zerotrust #Cybersicherheit #architektur

Viele Einsteiger glauben, ein Hashwert sei eine verschlüsselte Datei. Dabei ist das Original aus einem Hash praktisch nie zurückzuholen.

Ein Download-Portal nennt neben der Datei eine kurze Zeichenkette, den Hashwert. Wer die Zeichenkette für die Datei selbst hält und öffnet, sieht nur wirre Buchstaben und Zahlen – und fragt sich, wo der Inhalt geblieben ist.

Eine Hashfunktion ist eine Rechenvorschrift, die aus einer Eingabe beliebiger Länge eine Zeichenkette fester Länge erzeugt, eben den Hashwert. Ob die Eingabe ein Byte oder ein ganzer Film ist, das Ergebnis bleibt gleich lang. Eine kleine Änderung der Eingabe ergibt einen völlig anderen Wert, den sogenannten Lawineneffekt. Und aus dem Wert lässt sich die Eingabe praktisch nicht zurückgewinnen – es ist eine Einbahnstraße.

Ein Vertragstext wird als PDF geprüft. Berechnet man den Hash, dreht ein einzelnes Komma um und berechnet ihn erneut, kommt ein völlig anderer Wert heraus. Genau deshalb gleicht man den Hash einer geladenen Datei mit dem erwarteten Wert ab: Stimmen beide überein, blieb die Datei unverändert. Auch Passwörter werden oft nur als Hash gespeichert, sodass beim Login nur die Werte verglichen werden.

So prüft man es: Vor dem Vergleichen klar benennen, was das Schutzziel ist – Integrität, also Unverändertheit, braucht einen Hash. Vertraulichkeit, also Geheimhaltung, braucht Verschlüsselung mit einem Schlüssel wie AES, denn nur mit dem passenden Schlüssel lässt sich der Inhalt zurückgewinnen.

Ein Hash verbirgt nichts – er vergleicht. Verschlüsselung heißt umkehrbar, Hash heißt Einbahnstraße.

📌 Hashwert · Lawineneffekt · Integrität

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#Cybersicherheit #zerotrust #DigitaleTransformation

Die meisten Nachrichten im Internet laufen über eine einzige, gemeinsame geheime Zahl. Dabei gibt es ein Verfahren, das mit zwei Schlüsseln arbeitet und die älteste Schwäche löst.

Verschlüsselung schützt Vertraulichkeit, eines der drei klassischen Schutzziele der Informationssicherheit neben Integrität und Verfügbarkeit. Wer die richtige Art wählt, entscheidet über Geschwindigkeit und darüber, wie Schlüssel überhaupt verteilt werden.

🔭 Ein gemeinsamer Schlüssel ver- und entschlüsselt dieselbe Nachricht. Das ist symmetrische Verschlüsselung, etwa mit dem Verfahren AES. Sie ist sehr schnell und eignet sich für große Datenmengen wie Festplatten oder Videoströme.

🧪 Ein Schlüsselpaar besteht aus einem öffentlichen und einem privaten Schlüssel. Das ist asymmetrische Verschlüsselung, etwa mit RSA. Der öffentliche Schlüssel darf unbedenklich weitergegeben werden, denn damit kann man nur verschlüsseln, nicht entschlüsseln; nur der private Schlüssel öffnet die Nachricht wieder.

📐 In der Praxis kombiniert man beide, weil jedes seine Schwäche ausgleicht. Das Grundproblem der Symmetrie ist die Schlüsselverteilung: Über einen unsicheren Kanal darf man den geheimen Schlüssel nicht einfach übertragen. Deshalb überträgt man mit dem asymmetrischen Verfahren nur einen kleinen Sitzungsschlüssel, und die eigentlichen Daten laufen dann schnell symmetrisch.

Eine digitale Signatur dreht das Paar um: Sie wird mit dem privaten Schlüssel erzeugt und mit dem öffentlichen geprüft und belegt Herkunft und Unverändertheit.

Symmetrisch heißt nicht veraltet, sondern schnell, aber schwer zu verteilen. Asymmetrisch heißt nicht sicherer, sondern langsam, aber gut verteilbar.

📌 Gemeinsamer Schlüssel · Schlüsselpaar · Schlüsselverteilung

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#Cybersicherheit #zerotrust #postquantum

Wer die Firewall passiert hat, gilt im internen Netz oft als vertrauenswürdig. Genau dieses implizite Vertrauen schafft Zero Trust ab.

Einsteiger begegnen Zero Trust meist bei IT-Sicherheitsprojekten oder in Ausschreibungen. Wer es als Produkt versteht, kauft teure Werkzeuge – und behält die alte Architektur mit allen Lücken.

Zero Trust ist ein Architekturprinzip, kein Produkt: Jeder Zugriff wird einzeln geprüft und bewilligt, egal aus welchem Netz er kommt. Der US-Standard NIST SP 800-207 von 2020 fasst das als Sicherheitsparadigma, das implizites Vertrauen aufgrund der Netzposition oder des bloßen Gerätebesitzes abschafft. Alle Datenquellen und Dienste gelten darin als schützenswerte Ressourcen, und jede Kommunikation wird unabhängig vom Netzstandort gesichert.

Der Zugriff wird je Sitzung gewährt und nach dem Prinzip der geringsten Rechte beschränkt: Wer das interne Wiki aufruft, erhält nur Lesezugriff auf genau diese eine Ressource. Der Policy Enforcement Point stoppt die Anfrage und setzt die Entscheidung durch; der Policy Decision Point prüft Identität, Gerätezustand und Kontext. Dynamische Richtlinien – Regeln, die festlegen, wer mit welchem Gerät unter welchen Bedingungen auf welche Ressource darf – bilden die Grundlage der Entscheidung.

Verwechselt wird Zero Trust gern mit VPN oder Firewall. Ein VPN verschlüsselt nur den Tunnel; hinter dem Tunnel gilt oft weiterhin das alte Vertrauen im internen Netz. Ein Notebook im Büronetz und ein Homeoffice-Gerät stehen in Zero Trust gleichrangig vor der Prüfung.

Zero Trust heißt nicht, das interne Netz zu verteidigen, sondern jeden einzelnen Zugriff zu entscheiden.

📌 Implizites Vertrauen · Je Sitzung · Least Privilege

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#zerotrust #Cybersicherheit #architektur #Regulierung

Viele vergeben Administratorrechte, weil es schnell geht. Dabei macht genau das einen Angriff zum Totalausfall.

Viele Einsteiger denken: Volle Rechte sparen Nachfragen und Fehlermeldungen. Wer alles darf, muss nie darauf warten, dass jemand ein fehlendes Recht nachreicht – das klingt vernünftig.

Tatsächlich gilt das Gegenteil. Das Prinzip der geringsten Rechte (Least Privilege) besagt: Jedes Benutzerkonto, jeder Dienst und jede Programmierschnittstelle (API, also eine definierte Stelle, über die Software Daten austauscht) erhält nur die Rechte, die seine Aufgabe erfordert. Wird ein Konto kompromittiert (also von Angreifern übernommen), kann der Angreifer nur das tun, was das Konto darf. Der Schaden bleibt auf diese Rechte begrenzt.

Der Irrtum entsteht, weil Bequemlichkeit sofort spürbar ist, der Schadensfall nicht. Einmal großzügig vergebene Rechte verschwinden außerdem selten von selbst.

Als Beispiel dient ein Skript, das jede Nacht eine Datensicherung kopieren soll. Es braucht nur Leserechte auf den Quellordner und Schreibrechte auf das Backup-Ziel. Die Administratorenrolle des ganzen Systems ist dafür nicht nötig – sie verwandelt einen kleinen Fehlgriff in eine Katastrophe.

Woran man es erkennt: Rechtevergabe ist kein einmaliger Vorgang, sondern wird regelmäßig geprüft. Jede Rolle muss sich durch eine konkrete, beschriebene Aufgabe begründen lassen; Rechte ohne Begründung werden weggenommen.

Least Privilege heißt nicht, Angriffe zu verhindern. Es heißt, die Schadenshöhe im Ernstfall zu begrenzen – und damit das Risiko zu senken, bevor etwas passiert.

📌 Zugriffsrechte · Rollen · Schadensbegrenzung

📚 Zukunftstechnologien verstehen · Tag 2 von 30
#zerotrust #Cybersicherheit #architektur

Die meisten denken bei IT-Sicherheit zuerst an Verborgenes: Daten, die niemand lesen darf. Dabei ist ein gelöschter Finanzbericht ebenso verloren wie ein offengelegter.

Die Verwechslung ist verständlich: Alle drei Schutzziele klingen nach „sicher“. Doch sie schützen gegen unterschiedliche Schäden, und wer sie verwechselt, wählt die falsche Maßnahme.

Vertraulichkeit heißt: Nur Berechtigte können Informationen lesen. Verletzt wird sie, wenn jemand eine unverschlüsselte E-Mail abfängt oder ein fremdes Dokument öffnet. Dagegen helfen Verschlüsselung, also das Unlesbarmachen mit einem Schlüssel, sowie Zugangsbeschränkungen und Multi-Faktor-Authentifizierung, die außer dem Passwort einen zweiten Nachweis verlangt.

Integrität heißt: Daten bleiben vollständig und unverändert. Verletzt wird sie, wenn ein Überweisungsbetrag heimlich abgeändert oder eine Datei nachträglich manipuliert wird. Dagegen helfen digitale Signaturen, mit dem privaten Schlüssel erzeugt und mit dem öffentlichen geprüft, sowie Prüfsummen aus Hashfunktionen.

Verfügbarkeit heißt: Systeme und Daten sind nutzungsbereit, wenn sie gebraucht werden. Verletzt wird sie durch Ausfall bei Überlastung oder durch Löschung der einzigen Datensicherung. Dagegen helfen Backups und redundante, also mehrfach vorhandene Systeme.

Jede Maßnahme schützt meist nur ein Ziel. Verschlüsselung sichert die Vertraulichkeit, nicht aber die Integrität, denn ein chiffrierter Text kann unlesbar und dennoch unterwegs verändert sein.

Faustregel: Bei jeder Maßnahme zuerst fragen, welches Schutzziel sie schützt – und welches sie senkt, etwa wenn eine harte Sperre die Verfügbarkeit kostet.

Vertraulichkeit, Integrität und Verfügbarkeit sind gleichrangige Schutzziele. Nicht „geheim“ heißt sicher, sondern alle drei zusammen erfüllt.

📚 Zukunftstechnologien verstehen · Tag 2 von 30
#Cybersicherheit #zerotrust #DigitaleTransformation

Zero Trust Network Architecture komplett umgesetzt. Kein implizites Vertrauen mehr, auch nicht innerhalb des Clusters. Jeder Request wird authentifiziert und autorisiert - Service-zu-Service über mTLS, User-Requests über OAuth2-Proxy.

Das hat 4 Monate gedauert und war schmerzhaft. Aber seit der Implementierung hatten wir null laterale Bewegung bei den 3 Penetration-Tests die wir seitdem durchgeführt haben. Security-Audits sind jetzt deutlich entspannter. #zerotrust #security #cloudnative