[datensicherheit.de, 25.03.2025] Colt Technology Services, globaler Anbieter für digitale Infrastruktur, hat in seinem optischen Wavelength-Netzwerk einen erfolgreichen Test zur quantengesicherten Verschlüsselung durchgeführt. Dafür hat das Unternehmen mit verschiedenen Technologiepartnern zusammengearbeitet, darunter Adtran, Ciena, ID Quantique (IDQ), Nokia und Toshiba, um nach eigenen Angaben zusätzliche Dienstleistungen für globale Unternehmen anzubieten, die sich auf eine quantengesicherte Zukunft vorbereiten.

Colt Quantenverschlüsselung © Colt/Just_Super Secured

Auf Basis des erfolgreichen Tests will Colt nun neue maßgeschneiderte Lösungen entwickeln, die Unternehmen vor den Risiken schützen, die Quantencomputer für die Entschlüsselung klassischer Verschlüsselungsmethoden darstellen. Die neuen quantengesicherten Verschlüsselungslösungen würden entsprechend den individuellen Anforderungen der Colt-Kunden angepasst und installiert. Sie erweiterten und ergänzten das bestehende Portfolio von Colt im Bereich der optischen Verschlüsselung. Zu diesen neuen Lösungen gehören:

• Quantengesicherte Verschlüsselung für Wavelength-Services von Colt in Metro-, nationalen und internationalen Netzwerken
• Quantengesicherte Verschlüsselung für das private Netzwerk eines Kunden in Metro-, nationalen und internationalen Netzwerken

Für Colt ist der Test nach eigenem Bekunden ein bedeutender Schritt zur Erprobung neuer Technologien, um zukünftige Herausforderungen für seine globalen Kunden zu lösen, sowie für die Integration verschiedener Partner. Colt könne somit quantengesicherte Netzwerkfunktionen herstellerunabhängig anbieten. Dadurch erhielten Kunden eine größere Auswahl an Lösungen für ihre aktuellen und künftigen Anforderungen.

Starkes Wachstum im Quantenmarkt von 2023 bis 2035 erwartet

Für den Quantenmarkt wird von 2023 bis 2035 eine jährliche Wachstumsrate (CAGR – Compound Annual Growth Rate) von 23 bis 25 Prozent prognostiziert. Branchen wie Finanzdienstleistungen, Verteidigung und Gesundheitswesen würden zu den ersten gehören, die von dem umfassenden Problemlösungspotenzial der Quantentechnologie profitierten. Gleichzeitig müssten sich Unternehmen vor den Risiken schützen, die von Quantencomputern ausgingen. Dazu gehören der „Jetzt sammeln, später entschlüsseln“-Ansatz, bei dem Angreifer zunächst Daten mit der Absicht zusammentragen und speichern, um sie später zu entschlüsseln, also sobald die Quantentechnologie ausgereift ist. Wichtig sei hierbei auch die Vorbereitung auf den „Q-Day“, also den Zeitpunkt, an dem Quantencomputer voraussichtlich in der Lage sein werden, klassische Verschlüsselungsmethoden zu brechen.

Buddy Bayer, Chief Operating Officer von Colt Technology Services, sagt: „Der Schutz von Daten vor künftigen Risiken ist eine große Herausforderung für Unternehmen. Das gilt besonders für die Bedrohung durch die komplexe und unbekannte Quanten-Technologie. Unser Test hat einige der bekanntesten Partner, fortschrittlichsten Technologien und größten technischen Experten der Branche mit einem einzigen gemeinsamen Ziel zusammengebracht: eine Lösung zu finden, damit unsere Kunden einer Quantenzukunft mit Zuversicht entgegensehen können. Gemeinsam haben wir dieses Ziel erreicht.“

Technischen Spezifikationen des Tests

• Im Rahmen des Tests wurden verschiedene quantengesicherte Verschlüsselungsmethoden für den Datenverkehr über das optische Wavelength-Netz von Colt getestet. Dazu gehörten: Quantum Key Distribution (QKD), Pre-Shared Key (PSK) mit symmetrischer Schlüsselverteilung und Post-Quantum Cryptography (PQC).
• Colt testete diese unterschiedlichen, aber komplementären Quantensicherheitsfunktionen in seinem Netz zwischen London und Frankfurt auf einer Strecke von 1.361 km und in seinem Metro-Netz zwischen zwei Colt Points of Presence (PoPs) in der Londoner City sowie einem PoP in Slough auf einer Strecke von 88 km.
• Der Quantum-Key-Distributionstest fand zwischen London City und Slough in Großbritannien statt. Mehrere Partnerlösungen evaluierten Quantum-Key-Distributionsszenarien sowohl in Point-to-Point- als auch in Trusted-Node-Topologien. Colt testete die Szenarien unter Verwendung von Dual-Fiber-Pair- als auch Single-Fiber-Pair-Netzwerken. Im Single-Fiber-Pair-Szenario transportierte Colt sowohl Quantenkanal- als auch Datendienste auf demselben Faserpaar.

Colt erwartet, dass seine Finanzdienstleistungskunden zu den ersten gehören werden, die von den neuen Lösungen profitieren könnten, da diese Branche bereits Vorreiter beim Einsatz der Quantentechnologie seien. Deloitte Insights geht davon aus, dass die Investitionen der Finanzdienstleistungsbranche in Quantencomputing-Funktionen zwischen 2022 und 2032 mit einer jährlichen Wachstumsrate von 72 Prozent wachsen werden, von 80 Millionen US-Dollar im Jahr 2022 auf 19 Milliarden US-Dollar im Jahr 2032. Zu den Anwendungsfällen in der Branche gehören das Risikomanagement, die Aufdeckung und Eindämmung von Betrug, die Portfolio-Optimierung und Marktanalyse, die Preisgestaltung für komplexe Derivate, der Hochfrequenzhandel und die Sicherung von Finanzgeschäften.

Buddy Bayer ergänzt: „Mit diesem erfolgreichen Test halten wir nicht nur mit der Zukunft der Cyber-Sicherheit Schritt, wir sind sogar führend in der Entwicklung. Unser Engagement für Innovation und Sicherheit versetzt unsere Kunden in die Lage, selbstbewusst durch das Quantenzeitalter zu navigieren und ihre Daten durch die fortschrittlichsten Verschlüsselungstechnologien zu schützen.“

Weitere Informationen zum Thema:

datensicherheit.de, 27.02.2025
AWS stellt Quantencomputer-Chip „Ocelot“ vor

Ein Gastbeitrag von Christoph Volkmer, VP DACH & EE bei Tanium

[datensicherheit.de, 04.09.2020] Die Krise hevorgerufen durch COVID-19 hat viele Unternehmen zum Umdenken gezwungen. Bildeten Home-Office-Praktiken zuvor noch die Ausnahme, mussten viele Organisationen ihre Mitarbeiter im Zuge des Lockdowns kurzfristig und auf unbestimmte Zeit ins Home-Office schicken. Die große Herausforderung bestand oftmals darin, sowohl die Hardware in ausreichender Anzahl als auch funktionierende Zugänge zu Unternehmensressourcen bereitzustellen. Da der Wechsel zur Heimarbeit in vielen Fällen überhastet stattfand, galt es zunächst, die reibungslose Funktion aller Geräte und Dienste zu gewährleisten. Die Sicherheit war deshalb allenfalls von zweitrangiger Wichtigkeit.

Christoph Volkmer, VP DACH & EE bei Tanium, Foto: TANIUM

Die Folgen hieraus sind undurchsichtige IT- und mangelhafte Sicherheitsstrukturen. Hinzu kommt, dass in vielen Organisationen Mitarbeiter auf ihre Privatgeräte zurückgreifen, wenn sie von zuhause aus arbeiten – sei es aus Mangel an bereitgestellten Firmengeräten oder aus Gewohnheit. All dies führt dazu, dass die für die IT-Sicherheit zuständigen Abteilungen in Unternehmen keine Übersicht über die Geräte haben, die auf Unternehmensressourcen zugreifen – mit teils verheerenden Folgen.

In jedem Firmennetzwerk gibt es unerkannte Geräte

Schon vor der Krise war die genaue Anzahl an Endpunkten, die mit dem Netzwerk verbunden waren, eine große Unbekannte. Mitarbeiter verbinden ihre Privatgeräte, etwa ihre Smartphones, Privatlaptops oder gar Spielekonsolen mit dem Firmen-WLAN und das, ohne die IT-Abteilung davon in Kenntnis zu setzen.

Nach einer aktuellen Umfrage unter 1004 CEOs, CIOs und CTOs von Tanium finden 71 Prozent der befragten Unternehmen immer wieder unbekannte Geräte, die sich teilweise schon seit langer Zeit im Netzwerk befinden. Der Wechsel ins Home Office hat diesen Effekt noch verstärkt, sodass ganze 98 Prozent im Zuge der Krise Sicherheitskomplikationen erfahren mussten. Hinzu kam, dass die Anzahl der Angriffe von außen während des Lockdowns zunahm, während firmeninterne IT-Mitarbeiter damit beschäftigt waren, die reibungslose Arbeit und Kommunikation über VPNs und Meeting-Dienste wie Zoom und Slack zu gewährleisten.

Der Blick in die Zukunft ist für die meisten der Befragten deshalb eher negativ: 85 Prozent glauben, die Krise und alle mit ihr einhergegangenen Komplikationen werden ihre Firma auch Monate nach Ende des Ausnahmezustandes noch beeinträchtigen. Darüber hinaus hat der anfängliche Optimismus, die Arbeit in Zukunft vermehrt oder gar gänzlich von zuhause aus erledigen zu können, in der Realität einen Dämpfer erfahren. Und das aus mehreren Gründen. 70 Prozent glauben, Home-Office-Praktiken auf lange Sicht zu etablieren werde eine große Herausforderung. Jeweils ein Viertel führen hierfür Compliance-Fragen (26 Prozent) und IT-Sicherheitsbedenken (25 Prozent) an.

Um diesen Herausforderungen in Zukunft gerüstet begegnen zu können, will knapp die Hälfte (48 Prozent) in die Lösungen für das Endpoint-Management investieren.

Sichtbarkeit bedeutet Sicherheit

Ein durchdachtes Endpoint-Management kann den entscheidenden Beitrag zur Sicherheit von Geräten und damit auch Daten in Firmennetzwerken liefern. Das entscheidende Merkmal einer solchen Software sollte die Art und Weise sein, wie sie Endpunkte in der Firmenumgebung erkennt. Bei vielen dieser Lösungen kann die Installation Wochen, wenn nicht sogar Monate in Anspruch nehmen – ohne dass sie bis dahin auch nur ein Gerät erkannt hat. Die eigentliche Erkennung nimmt danach noch einmal viel Zeit in Anspruch, sodass die Verantwortlichen in der IT-Abteilung lange auf verlässliche Ergebnisse warten müssen. In dieser Zeit bleiben Geräte weiterhin unbekannt und daraus resultierende Sicherheitslücken weiterhin bestehen.

Eine effizientes Endpunkterkennung funktioniert deshalb agentenbasiert, das heißt, die Zeit bis zur Einsatzbereitschaft wird dadurch verkürzt, dass auf jedes mit dem Netzwerk verbundene Gerät ein Agent aufgespielt wird. Dieser sammelt geräte- und sicherheitsspezifische Daten wie etwa Modell- und Seriennummer, Betriebssystem und die Update-Status der auf ihm installierten

Darüber hinaus sucht dieser Agent automatisch in seiner näheren Netzwerkumgebung nach bis dato unbekannten Geräten. Diese werden der IT-Abteilung unmittelbar vermeldet und anschließend mit einem eigenen Agenten versehen. Hat jeder Endpunkt auf diese Weise einen Agenten erhalten, haben IT-Verantwortliche einen umfassenden Überblick darüber, welche Geräte auf Firmennetzwerk und -ressourcen zugreifen.

Plattformen bieten weitere Vorteile

Bestimmte Managementsysteme sind plattformbasiert, das heißt, zusätzlich zur Endpunktvisibilität können weitere Dienste hinzugenommen werden. Einige Anbieter stellen etwa ein einheitliches Patch-Management für alle Endgeräte bereit. Wird beispielsweise ein wichtiges Update für ein Gerät veröffentlicht, sei es das Betriebssystem oder eine andere Applikation, spielt das Patch-Management es an alle Endgeräte aus.

Was bei klassischen Client-Server-Modellen unter Umständen viel Zeit in Anspruch nähme, geht bei agentenbasierten Systemen innerhalb kürzester Zeit vonstatten. Grund hierfür ist die Art, wie ein Patch an die Geräte verteilt wird: Existiert nur ein zentraler Server, der die Aktualisierung bereitstellt, stauen sich die Anfragen aller Endgeräte in einem Flaschenhals zu diesem Server. Die Folgen sind lange Wartezeiten für die Geräte und, im Falle eines System- oder OS-Updates, für die Mitarbeiter, die ohne Aktualisierung ihres Betriebssystems nicht arbeiten können.

Agentenbasierte Modelle bieten hier den Vorteil, dass sie auf den Peer2Peer-Ansatz zurückgreifen. Erhält ein Endpunkt das Update, fungiert er danach gleichzeitig als Quelle für weitere Geräte, die dieselbe Aktualisierung erhalten. Der Traffic zum Server genauso wie die Zeit, die für den Rollout benötigt wird, werden somit auf ein Minimum reduziert. Daruch lässt sich eine kostspielige Downtime verhindern.

Durch die Implementation einer Endpunkt-Management-Lösung erhalten IT-Abteilungen eine unschätzbare Hilfestellung zur zuverlässigen Erfüllung ihrer Kernaufgabe, nämlich die Sicherheit der Unternehmensinfrastruktur zu überwachen und zu schützen.

datensicherheit.de, 29.07.2020
Corona: Telearbeit führte zu Anstieg von Cyber-Angriffen

[datensicherheit.de, 27.08.2020] Laut einer aktuellen Stellungnahme von VECTRA gilt das „Asset Management“ als eine der schwierigsten Herausforderungen, denen sich IT-Abteilungen stellen müssen: „Dank Cloud, IoT und BYOD steigen die Komplexität und die damit verbundenen Sicherheitsherausforderungen stetig.“ In vielen Fällen würden bei der Reaktion auf Vorfälle kompromittierte Assets identifiziert, welche in den Inventaren der Anlagenverwaltung als vor Jahren stillgelegt aufgeführt seien. „Niemand hat den Server jedoch abgeschaltet, er war immer noch eingeschaltet und angeschlossen, wurde nicht gewartet und wurde schließlich vom Angreifer erfolgreich ausgenutzt“, berichtet VECTRA.

Foto: VECTRA

Andreas Müller: Cloud, IoT und BYOD steigernn die Komplexität und damit verbundene Sicherheitsherausforderungen

VECTRA hinterfragt, was genau mit „kritisch“ gemeint ist

Selbst wenn Unternehmen über ein perfektes Inventar all ihrer Systeme verfügten, sei es unwahrscheinlich, dass sie genau wüssten, „welche dieser unzähligen Assets wirklich ,kritisch‘ sind“. Wenn Unternehmen Schwierigkeiten hätten, zu verstehen, welche Systeme im Einsatz sind, wie könne man dann erwarten, „dass sie angeben, welche davon explizit kritisch sind?“
VECTRA wirft die Frage auf, was genau in diesem Zusammenhang mit „kritisch“ gemeint sei: „Handelt es sich um etwas, dessen Daten für Ihr Unternehmen wichtig sind? Diese Definition würde auf so gut wie jedes System in ihrer Umgebung zutreffen.“
Andreas Müller, „Director DACH“ bei VECTRA AI, führt aus: „Betrachten Sie einmal sämtliche Datenlecks, die im Laufe der Jahre allein durch den Verlust von Laptops entstanden sind!“ Sodann hinterfragt er: „Wurden diese Systeme als ,kritisch‘ eingestuft? Oder war das ,nur ein weiterer Laptop‘, den jemand mit nach Hause nahm, um nach dem Ende einer langen Woche seine Arbeit fertigzustellen? Was passiert, wenn ein Entwicklungssystem zur Validierung der Datenverarbeitung aufgestellt, mit sensiblen Daten geladen und dann im Netzwerk gelassen und vergessen wird?“

VECTRA empfiehlt Fokus auf Bandbreite an IoT-Geräten, welche „APT28“ nutzen, um Angriffe durchzuführen

Wenn Unternehmen dächten, „dass ihre Kernnetzwerk-Infrastruktur einen Großteil der kritischen Geräte unterstützt, dann ist der Bericht von FireEye vom März 2020 über APT41 eine Pflichtlektüre“. Dieser Bericht zeige auf, wie „APT41“ die Cisco-Routing-Infrastruktur eines Unternehmens aktiv ausnutze. Wenn Unternehmen das Routing des Datenverkehrs kontrollieren könnten, seien sie in der Lage, Zugriff auf alle ein Gerät durchlaufenden Daten zu erhalten, ohne den kritischen Endpunkt zu gefährden.
IoT- und nicht-kritische Assets würden immer wieder von „APTs“ (Advanced Persistent Threats), also fortgeschrittenen, hartnäckigen Bedrohungen ausgenutzt. Das beste Beispiel hierfür sei „APT28“, auch bekannt als „Fancy Bear“ oder „Strontium“. „Verschiedene Artikel beschreiben ausführlich einen von Microsoft veröffentlichten Bericht hierzu“, berichtet Müller.
Eine wichtige Sache, auf die man sich nach Meinung von VECTRA AI konzentrieren sollte, sei die Bandbreite an IoT-Geräten, welche „APT28“ nutzt, um den Angriff durchzuführen. Hierzu zählten VoIP-Telefone, Drucker und Videodecoder. Dies offenbare den Wunsch Cyber-Krimineller, IoT-Geräte in einem organisierten Angriff auf breiterer Basis einzusetzen. Es zeige, dass sich die Angreifer wenig darum kümmerten, was nach Definition des Unternehmens „kritisch“ sei, sondern sich stattdessen darauf konzentrierten, „alles zu nutzen, was es ihnen ermöglicht, ihre Ziele zu erreichen“.

VECTRA ruft dazu auf, nicht nur ausgewählte Endpunkte zu schützen, sondern ganzheitliche Ansätze zu verfolgen

Der letzte Punkt ist laut Müller folgender: Netzwerkverteidiger sollten nicht gezwungen sein, willkürliche Entscheidungen auf der Grundlage unvollkommener Informationen darüber zu treffen, welche Assets sie mit den verfügbaren Sicherheitskapazitäten verteidigen würden und welche nicht.
„Sicherheitslösungen sollten Sicherheitsteam in die Lage versetzen, Bedrohungen ohne willkürliche Zwänge und mit hoher Zuversicht frühzeitig zu erkennen, unabhängig davon, wo die Angreifer operieren wollen.“
Schließlich gehe es darum, „Ihre gesamte Umgebung zu überwachen und zu schützen, nicht nur einige ausgewählte Endpunkte“. Müller empfiehlt abschließend: „Sie sollten eine Lösung haben, die dieses Ziel unterstützt.“

Weitere Informationen unter vectra.ai

datensicherheit.de, 13.05.2020
Covid-19: Cyberangriffe auf kritische Dienste während der Pandemie / Entscheider müssen das Schutzniveau an die deutlich verschärfte Gefahrenlage anpassen

datensicherheit.de, 12.05.2020
Neue Angriffsmethoden auf kritische Industrie-4.0-Umgebungen / Forschungsbericht skizziert fortgeschrittene Angriffsszenarien und gibt Empfehlungen für OT-Betreiber

datensicherheit.de, 13.01.2020
IT-Sicherheit: Angriffe auf Kritische Infrastrukturen mehren sich / Mangelhafte Kommunikatiion im Unternehmen problematisch

Von unserem Gastautor Jörg Vollmer, General Manager, Field Operations, DACH bei Qualys

[datensicherheit.de, 31.07.2020] Ganz besonders in der heutigen Zeit ist Computerarbeit von zuhause in beinahe jeder Branche und jedem Unternehmen fester Bestandteil. Vor COVID-19 gab es einen geringeren Prozentsatz an Remotearbeitern. Nun ist davon auszugehen, dass auch in der Zukunft ein großer Anteil der Mitarbeiter an den verschiedensten Orten und nicht im eigenen Büro in der Firmenzentrale arbeiten wird. Doch gibt es ein Problem: Die meisten Organisationen verfügen über ein zentrales Patchmanagement-System. Natürlich war dies früher optimal, da ein Administrator die betroffenen Endpunkte sicher updaten konnte. Nun müssten die freigegebenen Patches jedoch via VPN versendet werden. Dadurch wird der gesamte Zugang zum Unternehmensnetzwerk stark belastet, eventuell sogar überlastet, war dieser in der Vergangenheit doch auf einen kleinen Anteil an externen Logins ausgelegt.

Eine Lösung wäre es, die Patchinformationen zentral auf einer Plattform zu verwalten und von dort aus zu entscheiden, welche Geräte zu welchem Zeitpunkt aktualisiert werden sollen. Die Patches selbst werden dann von dem mit dem Internet verbundenen Endpunkt selbst von der Herstellerseite heruntergeladen. Dazu ist kein Versenden großer Datenpakete nötig; ein simpler Befehl an einen auf dem Endpoint installierten Agenten reicht vollkommen aus.

Jörg Vollmer, General Manager Field Operations DACH, Bild: Qualys

Patching von Heimanwendern ohne VPN-Split-Tunneling

Eine Lösung zu finden, welche es ermöglicht, den plötzlichen Zustrom von Tele-Arbeit abzudecken, ohne das VPN zu überfordern, ist besonders in der Zeit von COVID-19 von zentraler Bedeutung. Als die ersten Artikel unter der Verwendung von CMG und Split-Tunneling erschienen, wirkte das für viele wie ein rettender Anker. Es wurden lediglich solche Verbindungen durch den VPN-Tunnel geleitet, die Systeme am anderen Ende des VPN-Tunnels als Ziel haben. Für alle anderen Verbindungen wird er ignoriert. Es liegt auf der Hand, dass diese Lösung lediglich eine kurzfristige war, bis zu dem Zeitpunkt, an dem auch diese eingeschränkte Kommunikation das VPN in ihrer Datenmenge überlastet. Dies ist nicht zuletzt mit Datenpaketen zum Patchen der Fall. Entweder es gibt sehr viele Geräte, welche auf der anderen Seite auf das Paket warten, oder aber der gesamte Vorgang braucht eine lange Zeit, sollten die Geräte nacheinander gepatcht werden. Office-365-Produkte zum Beispiel helfen bereits, bestimmte Vorgänge über einen Cloudzugang abzuwickeln. Dennoch ist auch dies keine langfristige Alternative. Doch auch, wenn man den Benutzern das Patchen direkt über Microsoft ermöglicht, wenngleich hier nicht alle Updates berücksichtigt werden, müssen diese die Berechtigung dazu über das VPN erfragen.

Lösungen zum Schutz von Remote-Benutzern

Krise hin oder her, das Patchen von Endpunkten gegen bekannte und neu auftretende Schwachstellen bleibt eine der größten Herausforderungen für IT-Administratoren. Mit der neuen „Work-from-Home“-Norm als Antwort auf COVID-19 klingt das Patch-Management für viele IT-Administratoren nahezu unmöglich. Wenn die Endpunkte nicht gepatcht werden, kann dies schwerwiegende Auswirkungen auf die Netzwerksicherheit haben, selbst wenn sich die Endpunkte innerhalb eines kontrollierten Unternehmensumfelds befinden. Nun, da die Remote-Benutzer bei der Remote-Arbeit auf das Internet angewiesen sind, ist das Patchen von Rechnern nicht so einfach, oder doch?

Zwangsläufig sollten sich Administratoren die folgenden Fragen stellen:

• Sind Sie in der Lage, einen vollständigen Überblick über eine über die ganze Welt verteilte Remote-Belegschaft zu behalten?
• Wie sieht die Strategie für das Scannen von Assets und Verteilen von Patches an entfernte Benutzer aus, die sich im Netzwerk an- und abmelden?
• Bietet das VPN genügend Bandbreite, um Patches an die Remote-Rechner zu verteilen?
• Was ist, wenn wichtige geschäftliche Anrufe und Besprechungen durch „zu frühe“ Patches behindert werden?
• Haben Sie sichergestellt, dass die Remote-Benutzererfahrung nicht durch wiederholte Warnmeldungen und zufällige Neustarts beeinträchtigt wird?
• Wie installieren Sie einen kritischen Patch, wenn ein Benutzer immer wieder Patch-Updates verweigert?
• Wie sicher ist Ihre Verbindung zwischen dem Patching-Server und Ihrem Remote-Client?

Das Remote-Patch-Management kann tatsächlich ein Kinderspiel sein, wenn die Organisation über die richtigen Werkzeuge verfügt.

Qualys bietet mit Vulnerability Management, Detection and Response (VMDR) eine Möglichkeit, Abhilfe zu schaffen.

Es handelt sich um einen Dienst, welcher in der Lage ist, den gesamten Patch-Management-Prozess von der Erkennung der Schwachstellen, über deren Priorisierung und dessen Patching abzuwickeln: Vom Scannen nach fehlenden Patches bis hin zum Herunterladen, Testen und Verteilen der Patches auf die Zielgeräte kann alles von einer zentralen Konsole aus orchestriert werden. Das Besondere ist, dass die Patches schlussendlich zwar über eine zentrale Plattform verwaltet, jedoch nicht auf den Endpunkt gespielt werden. Die Patches selber werden aus der Cloud durch den Agenten auf das Gerät geladen, sobald dieses eine Verbindung zum Internet besitzt.

Das hebt besonders Standortbeschränkungen auf. VMDR nutzt einen fortschrittlichen, vielseitig einsetzbaren Agenten und bietet die ununterbrochene Transparenz, welche für die Verwaltung von Remote-Laptops, Desktops, Servern und virtuellen Maschinen in der gesamten globalen hybriden IT-Umgebung benötigt wird. Vom Scannen bis zur Bereitstellung wird alles geräuschlos mit Hilfe des Agenten ausgeführt. Dies kann vollkommen automatisiert funktionieren, aber lässt jedoch auch manuelle Anpassungen zu. Die Priorisierung der zu patchenden Systeme könnte beispielsweise durch das Unternehmensziel beeinflusst sein. So sind beispielsweise Produktionsserver schneller zu patchen, als beispielsweise Druckernetzwerke. Durch den Cloud-Agenten stellt VMDR Patches überall dort zur Verfügung, wo dieser installiert wurde, einschließlich Remote-Systemen und öffentlichen Cloud-Ressourcen. Mit VMDR können Betriebssysteme und Anwendungen verschiedener Hersteller von einem zentralen Dashboard aus gepatcht werden. Auf diese Weise müssen die Patches nicht in Silos über mehrere herstellerspezifischen Konsolen verwaltet werden.

Eliminieren von VPN-Einschränkungen

Der Zugriff auf die begrenzte Bandbreite von VPN-Gateways für Remote-Patch-Management-Aktivitäten kann zu Engpässen führen. Stattdessen können Remote-Clients die wesentlichen Patches von vertrauenswürdigen Anbietern direkt herunterladen, unabhängig davon, wo sich das Endgerät befindet. Dies funktioniert rund um die Uhr. Das bedeutet, dass sich Remote-Arbeiter nicht innerhalb der gängigen Arbeitszeiten über VPN am Netzwerk anmelden müssen.

Weitere Informationen zum Thema:

datensicherheit.de, 17.02.2020
Industrie 4.0 braucht ganzheitliche IT-Sicherheit im Wertschöpfungsprozess

[datensicherheit.de, 19.05.2020] AlgoSec, Anbieter von geschäftsorientierten Netzwerksicherheits-Management-Lösungen, verbessert den AlgoBot im Zuge der neuen Security Management Suite (ASMS) A30.10. Auf diese Weise sollen es Unternehmen einfacher haben, die IT-Unterstützung und Netzwerküberwachung zuverlässig aufrecht zu erhalten. Das kann besonders während der Corona-Krise aufgrund der gestiegenen Anzahl von Mitarbeitern im Home-Office nach Angabe des Herstellers zum Vorteil werden.

AlgoSec Algobot 2020, Bild: AlgoSec

In die Überarbeitung flossen vor allem die Rückmeldungen und Anforderungen von Kunden ein. Zu den wichtigsten Neuerungen gehören:

• Einführung der Host-Namen-Funktionalität
  Bislang mussten Benutzer mit dem AlgoBot über IP-Adressen kommunizieren, um den Verkehr im Netzwerk zu identifizieren. Das A30.10-Update akzeptiert nun Befehle, die sich auf Host-Namen beziehen, um die Bedienung deutlich zu vereinfachen. Nutzer können so den Chatbot fragen, ob es sicher ist, den Datenverkehr vom Laptop des Mitarbeiters XY zu akzeptieren.
• Unterstützung für Microsoft Teams
  Online-Kommunikationsmittel werden stetig beliebter, besonders jetzt, da Tele-Arbeit für viele alltäglich wurde. Dabei kommen natürlich viele Fragen auf, die ein Support-Team beantworten muss – oder ein Chatbot, um die Fachleute zu entlasten und die Kommunikation zu beschleunigen. Aus diesem Grund unterstützt der AlgoBot nun, neben Slack und Skype, auch Microsoft Teams.
• Abwärts-kompatibel
  AlgoBot A30.10 ist passend zur neuen Version der AlgoSec Security Management Suite (ASMS) A30.10 entwickelt worden. Außerdem ist der Chatbot kompatibel zu allen früheren Versionen der Automatisierungs-Konsole.

AlgoSecs AlgoBot ermöglicht es Benutzern, alltägliche Aufgaben an den Chatbot zu delegieren, um Firewall- und Netzwerkadministratoren zu entlasten und die Kommunikation zu beschleunigen. Er ist in der Lage, Fragen zu beantworten und bei Änderungsprozessen von Sicherheitsrichtlinien zu helfen – ohne manuelle Eingaben oder zusätzliche Recherche.

Weitere Informationen zum Thema:

Algosec
Mehr zum AlgoBot A30.10

datensicherheit.de, 01.04.2020
Krisenzeiten: Security Operations Center in Betrieb halten

[datensicherheit.de, 23.08.2019] Robert Blank, „DACH Lead – Sales“ bei AlgoSec geht in seiner aktuellen Stellungnahme auf „vier wesentliche Merkmale jeder guten Firewall-Management-Lösung“ ein. Er rät Unternehmen, dass sie einen „vollständigen Überblick aller Geräte und Verbindungen“ in ihren Netzwerken haben sollten. „Dies erleichtert zum einen die Arbeit der IT-Sicherheitsabteilungen, zum anderen hilft es dabei, Compliance-Anforderungen gerecht zu werden“, so Blank.

Foto: AlgoSec

Robert Blank: Vollständigen Überblick auf alle Geräte und Verbindungen im eigenen Netzwerk haben!

Firewall zwingend notwendig – aber nicht hinreichend

Der Einsatz einer Firewall sei angesichts der aktuellen Bedrohungsumgebung zwingend notwendig. Blank: „Sie schützt das Netzwerk vor bösartigem Datenverkehr und verhindert, dass Benutzer sensible Informationen nach außen übertragen.“

Aber der Einsatz einer virtuellen Burgmauer allein reiche nicht aus, um ein Unternehmen zu sichern. Eine Firewall-Management-Lösung helfe, den Schutz eines Netzwerks auch bei Änderungen oder neuen Bedrohungen kontinuierlich aufrechtzuerhalten. Entscheider in Unternehmen sollten besonders auf die folgenden, wesentlichen Merkmale achten, wenn sie eine Firewall-Management-Lösung auswählen:

Transparenz im Sicherheitsnetzwerk

Organisationen profitierten von einer Lösung, „die eine Netzwerk-Topologie-Kartenfunktion an Bord hat“, betont Blank. Diese Funktion eröffne einen vollumfänglichen Blick auf alle Elemente des Netzwerks und zeige, „wie diese miteinander verbunden sind und interagieren“.

Die Funktion gewähre auch Einblick in riskante Richtlinien, die das Netzwerk Angriffen aussetzten, und gebe verschiedene Empfehlungen zur Optimierung und Bereinigung für alle Netzwerkgeräte.

Kontinuierliche Einhaltung von Compliance und Unternehmens-Sicherheitsrichtlinien

Die Lösung sollte die Einhaltung sowohl der branchenspezifischen, regulatorischen Standards als auch der „Best Practices“ und Leitfäden des Unternehmens unterstützen. „Traditionell war die Vorbereitung auf ein Audit ein zeitpunktbezogener und langwieriger Prozess, der Wochen oder gar Monate in Anspruch nahm. In der heutigen, schnelllebigen Welt müssen sich Unternehmen aber um eine kontinuierliche Einhaltung der Vorschriften kümmern.“

Ein gutes Firewall-Management-Tool liefert laut Blank „jederzeit einen detaillierten Bericht über die Einhaltung der Vorschriften“. Die Vorbereitung auf Audits werde dadurch von Wochen oder Monaten auf Sekunden reduziert. Darüber hinaus stelle eine solche Lösung sicher, „dass jede Änderung, die in das Netzwerk implementiert wird, nicht gegen die Compliance verstößt“. Die richtige Lösung sollte auch eine Reihe von definierten Audit- und Konformitätsberichten enthalten, um die langwierige Arbeit weiter zu reduzieren.

Automatisierte Änderungen

Eine hochmoderne Firewall-Management-Lösung sollte auch Change-Management-Prozesse automatisieren. „Netzwerkkonfigurations- und Änderungsprozesse müssen vollständig automatisiert werden, um Rätselraten und fehleranfällige manuelle Eingaben zu vermeiden“, empfiehlt Blank. Ein aktueller CSA- und AlgoSec-Report habe ergeben, dass die Hauptursache für Ausfälle nach wir vor Fehlkonfigurationen aufgrund menschlicher Irrtümer seien. „Moderne Netzwerke bestehen aus lokalen Umgebungen, SDNs und Cloud-Stützpunkten, die jeweils über einzigartige Sicherheitskontrollen verfügen – von konventionellen Firewalls über Firewalls der nächsten Generation (NGFWs) bis zu virtuellen Firewalls und Cloud-Controls.“

Um mit der Geschwindigkeit des Geschäftsalltags Schritt halten zu können, würden sehr oft Änderungen an Netzwerkrichtlinien durchgeführt, um neue Anwendungen bereitzustellen, Änderungen an bestehenden Anwendungen vorzunehmen oder alte Anwendungen stillzulegen. „Sie beziehen viele Interessensgruppen ein und schreiben Dutzende oder sogar Hunderte von Sicherheitskontrollen im gesamten Unternehmensnetzwerk um. Soll die Sicherheit aber die Agilität des Unternehmens nicht beeinträchtigen, so ist die Verwendung von Automatisierung der einzige vernünftige Weg.“ Ein Änderungsprozess sollte laut Blank in vier Schritten folgen, um das Risiko von Fehlern und Fehlkonfigurationen zu vermeiden. In Fällen, in denen die vorgeschlagene Änderung kein Risiko für das Netzwerk darstelle, durchlaufe eine Firewall-Management-Lösung folgenden Prozess automatisch und ohne menschliches Zutun:

1. Eine Änderung planen: Es gilt festzustellen, welche Sicherheitsgeräte sich auf dem Pfad der vorgeschlagenen Änderung befinden und welche Sicherheitsrichtlinien mit ihnen verbunden sind. Dies erfordert vollständige Transparenz im gesamten Netzwerk.
2. Das Risiko verstehen: Kann die Änderung zu einem unangemessenen Sicherheits-, Compliance- oder Geschäftsrisiko für die Netzwerkumgebung oder Anwendung führen? Falls ja, sollte die Änderung neu geplant werden.
3. Die Änderung durchführen: Die IT-Sicherheitsabteilung des Unternehmens muss im Voraus überlegen, wie sie die neue Sicherheitsregel am besten in die aktuelle Richtlinie des Geräts einfügen kann, um Doppelarbeit zu vermeiden. Zum Beispiel: Sollte der aktuellen Richtlinie des Geräts eine neue Regel hinzugefügt oder lieber eine bestehende geändert werden? Anschließend hat es Sinn, die Änderungen automatisch auf die entsprechenden Geräte übertragen und alle Änderungen dokumentieren zu lassen.
4. Änderungen validieren: In diesem Schritt wird geprüft, ob die Änderung wie gewünscht umgesetzt wurde und, ob die Anwendungen oder Dienste so funktionieren, wie sie sollen, ohne riskante Regeln („risky rules“).

Wie Automatisierung die Effizienz im Unternehmen steigert

Auch „Managed Security Service Providern“ (MSSP) biete eine gute Firewall-Management-Lösung viele Vorteile, so Blank. Sie helfe dabei, Konnektivität für Geschäftsanwendungen sicher bereitzustellen, diese zu warten und außer Betrieb zu nehmen. Sie erkenne die Konnektivitäts-Anforderungen für Anwendungen automatisch und ordne sie der zugrundeliegenden Netzwerkinfrastruktur zu.

Die Automatisierung der Firewall-Verwaltung könne eine wesentliche Verbesserung der von Unternehmen erbrachten Dienstleistungen und der betrieblichen Effizienz bewirken. Ein Unternehmen, das bei 150 Firewalls weiterhin manuelle Prozesse für Änderungen an den Richtlinien anwendet, könne höchstens um die 20 Änderungen je Woche verarbeiten. Blank verdeutlicht: „Mithilfe der Automatisierung aber können dieselben Mitarbeiter die Anzahl der Änderungen, die sie jede Woche bearbeiten, um 150 Prozent erhöhen.“

Hohe Erwartungen an MSSP

Von MSSP werde erwartet, „dass sie in Höchstgeschwindigkeit ihre Dienste bei höchster Sicherheit anbieten“. In Anbetracht der Komplexität der heutigen, heterogenen Netzwerke und des allgemeinen Mangels an IT-Sicherheitspersonal sei es wichtig, sich mit dem richtigen Werkzeug auszustatten. „Das Schlagwort lautet Automatisierung und sie sollte im eigenen Unternehmen vorangetrieben werden.“
Eine Firewall-Management-Lösung automatisiere den Prozess der Verwaltung von Netzwerk-Sicherheitsrichtlinien und sorge dafür, dass die verantwortlichen Mitarbeiter das gesamte Netzwerk mithilfe einer zentralen Plattform überwachen könnten. Blank kommentiert: „Das spart Zeit, Geld und mindert vor allem die Fehlerhaftigkeit neuer Konfigurationen und Änderungen an den Richtlinien.“

Weitere Informationen zum Thema:

algosec
Challenges in Managing Security in Native, Hybrid and Multi-Cloud Environments

datensicherheit.de, 12.06.2019
Sicherheit in Public Clouds

datensicherheit.de, 27.03.2019
Schneller sein als die Hacker: IT-Schwachstellen im Unternehmen suchen und finden

datensicherheit.de, 15.01.2019
Wie man einen Mehrwert im Network Security Policy Management schafft

[datensicherheit.de, 23.08.2018] ID4me AISBL ist eine gemeinnützige Organisation in Gründung, die einen offenen, föderierten Standard für digitales Identitätsmanagement im Internet etabliert. Am 14. August 2018 präsentierte die Initiative neue Mitglieder und Unterstützer während des ersten ID4me Summit in Frankfurt am Main.

Jörg Schweiger, DENIC-CEO und ID4me-Gründungsvorstand, eröffnete den ID4me Summit und begrüßte die über 60 teilnehmenden Vertreter regionaler und globaler Internet-Unternehmen und -Organisationen am Unternehmenssitz der DENIC eG.

ID4me-Vorstandsvorsitzender Andreas Gauger, Mitbegründer des ersten Hosting-Unternehmens in Deutschland, stellte die Gründe für seine Unterstützung der ID4me-Initiative vor: „ID4me ist offen, jeder kann mitmachen, und es ist einfach zu implementieren. Die Privatsphäre der Nutzer ist sicher, denn der Nutzer selbst, und nicht ein großer Konzern, ist Eigentümer der Identität.“ Rafael Laguna, CEO von Open-Xchange sowie Gründungsvorstand von ID4me, ergänzte: „Meine Mission ist, das Internet frei und offen zu halten.“

Sven Woltmann, CTO der Fonpit AG / AndroidPIT, demonstrierte in seinem Vortrag „ID4me Implementierungslektion“ in weniger als 30 Minuten eine imposante Live-Umsetzung von ID4me. Alexander Mayrhofer, Leiter F&E von nic.at, bot einen umfassenden Marktüberblick über Blockchains & Identity Management. Thomas Keller, Direktor Domain Services der 1 & 1 Internet SE und Gründungsvorstand von ID4me, beschrieb, warum ID4me die Blockchain-Bewegung sehr genau beobachte. Die derzeitigen Blockchain-Entwicklungen könnten jedoch nicht mit der Skalierbarkeit und den Vorteilen des Domain Name Systems (DNS), dem Adressierungsdienst des Internet, konkurrieren, der als Basistechnologie für ID4me dient.

ID4me freut sich zudem, mit eco, Verband der Internetwirtschaft e.V., einen weiteren offiziellen Unterstützer der Initiative gewonnen zu haben. Mit der Domain Name Association, eco und der Internet Infrastructure Coalition (i2Coalition) unterstützen nun drei der führenden Internetverbände ID4me.

Über ID4me

ID4me AISBL (in Gründung) ist eine Non-Profit-Organisation, die ein offenes, föderiertes Protokoll für das Managen von digitalen Identitäten im Internet aufbaut. Die Gründungsmitglieder von ID4me sind die 1 & 1 Internet SE, die DENIC eG und die Open-Xchange AG. Seit dem Start der Initiative Anfang 2018 haben sich weitere Mitglieder und Unterstützer wie connect2id, die Domain Name Association, dotBerlin, die Internet infrastructure Coalition (i2Coalition), Merge Conference, Nominet, Univention oder XignSys der Initiative angeschlossen.

ID4me steht nach eigenen Angaben für ein offenes Internet durch einen globalen, offenen, föderierten, sicheren und datenschutzfreundlichen Single Sign-On-Standard. ID4me nutzt Domains und das Domain Name System (DNS) als Basis für elektronische Identitäten.

Weitere Informationen zum Thema:

ID4me
One ID for everything, everywhere

datensicherheit.de, 14.08.2018
Digitale Wirtschaft: Identitätsbetrug vermeiden

datensicherheit.de, 25.04.2018
Identitätsdiebstahl: Die unterschätzte Gefahr mit weitreichenden Folgen

datensicherheit.de, 07.02.2017
Digitale Identitäten müssen bewusst geschützt werden

datensicherheit.de, 07.04.2014
Erneuter großangelegter Identitätdiebstahl: BSI informiert Betroffene

[datensicherheit.de, 11.10.2016] Die DeskCenter Solutions AG hat angekündigt, auf der „it-sa 2016“ ihre Lösungen für ein ganzheitliches und sicheres „IT Lifecycle Management“ zu präsentieren. Die „DeskCenter Management Suite“ bietet demnach neben Inventarisierung und Lizenzmanagement ein umfassendes Software- und Patch-Management. Sie weise aktiv auf potenzielle Sicherheitslücken hin und unterstütze bei der Behebung von Software-Schwachstellen.

Abgleich sämtlicher aktuell am Markt verfügbaren Releases und Patches

Durch die zunehmende Verbreitung von Schadsoftware über Firmennetzwerke sind Unternehmen aller Größen stark gefährdet. Eine häufige Schwachstelle der IT-Sicherheit ist hierbei das Patch-Management, denn veraltete Release-Stände oder abgekündigte Versionen sind Einfallstore für Angriffe von außen.
Mit der „DeskCenter Management Suite“ könnten Unternehmen Updates und Sicherheitspatches für Anwendungen und Betriebssysteme managen. Dabei sei es im laufenden Betrieb nicht einfach, den Überblick über alle neuen, von den Herstellern bereitgestellten Patches zu behalten und diese zeitnah einzuspielen. „DeskCenter“ erleichtere deshalb ab dem kommenden Release den Abgleich sämtlicher aktuell am Markt verfügbaren Releases und Patches von über 14.000 Herstellern mit den im Unternehmen installierten Versionsständen.
Bereits die aktuelle Version „DeskCenter Management Suite 10.3.“ erlaube es, Anwendungen und Betriebssysteme nach Bedarf automatisiert auf Desktops und Server zu verteilen. Mittels intelligenter Installationsroutinen ließen sich auf gleichem Wege die aktuellsten Updates oder Patches automatisiert im Netzwerk verteilen und installieren. So stellten Unternehmen stets einen aktuellen Softwarestand sicher und minimierten damit Sicherheitslücken im Netzwerk.

Abgekündigte Software ersetzen!

Zudem soll erkannt werden, auf welchen Geräten abgekündigte Versionen einer Software installiert sind – weil der Hersteller für diese keine Patches mehr liefert, stellen sie eine besondere Sicherheitslücke dar.
Entsprechend könne das betroffene Programm entweder deinstalliert oder auf den nächsten, vom Hersteller noch unterstützten Release-Stand upgegradet werden. Sind ausreichend Lizenzen vorhanden, könnte das Upgrade mittels „DeskCenter“ unmittelbar erfolgen. Durch den hohen Automatisierungsgrad sinke der Arbeitsaufwand für den komplexen Prozess der Softwarebereitstellung und Fehler bei manuellen Eingriffen würden vermieden.

USB-Sticks verwalten und auf zulässige Verwendung überprüfen

Ein weiteres, häufiges Einfallstor für Schadsoftware liefern USB-Sticks. Die „DeskCenter Management Suite“ biete deshalb Schnittstellen zu gängigen Sicherheitslösungen wie „EgoSecure Data Protection“. Damit würden im Unternehmen autorisierte USB-Sticks in der „DeskCenter Management Suite“ komfortabel verwaltet und auf deren zulässige Verwendung überprüft.
Über Schnittstellen zu Spezialanwendungen wie beispielsweise „AuReTo“ könnten sich Unternehmen mit geringem finanziellen und zeitlichen Aufwand ein zertifiziertes „Information Security Management System“ (ISMS) zur Dokumentation von BSI-Grundschutz, ISO-27001- oder VDS-Audits aufbauen.

Präsentation auf der „it-sa 2016“

Interessierte Messebesucher der „it-sa“ vom 18. bis 20. Oktober 2016 in Nürnberg finden den DeskCenter-Stand Nr. 526 in Halle 12.0. Am Mittwoch, dem 19. Oktober 2016 um 12.30 Uhr stellt Christoph A. Harvey in seinem Vortrag „SAM ist tot. Lang lebe Asset Management!“ die Vorteile eines ganzheitlichen „IT Asset Managements“ für IT-Sicherheit und Compliance vor.
Mit der „DeskCenter Management Suite“ verfügten ihre Kunden über eine ganzheitliche Basis für ihr gesamtes „IT Lifecycle Management“. Alle notwendigen Tools seien auf einer Plattform integriert und arbeiteten optimal zusammen. Unternehmen begegneten damit Sicherheitsrisiken effektiv und gewährleisteten zudem die Einhaltung der Compliance, erklärt Harvey, „Chief Executive Officer“ der DeskCenter Solutions AG.

[datensicherheit.de, 13.04.2016] Ob Computer, Smartphone, Geldautomat oder jede Menge Online-Dienste – für zahlreiche IKT-Geräte und Services im Internet müssen sich Nutzer Kennwörter und Zugangsnummern merken. Das macht offensichtlich vielen Menschen zu schaffen, so das Ergebnis einer repräsentativen Umfrage im Auftrag des Digitalverbands bitkom.

Vor allem Ältere brauchen Hilfe

So fühle sich gut ein Drittel (36 Prozent) aller Bundesbürger mit der großen Menge an Passwörtern überfordert. Vor allem ältere Menschen ab 65 Jahre seien mit einem Anteil von 48 Prozent häufiger von der Passwort-Flut genervt als der Durchschnitt.
Für die Organisation vieler sicherer Passwörter kämen zwei Lösungen in Frage – entweder eine Software oder die „gute alte Eselsbrücke“, erläutert bitkom-Sicherheitsexperte Marc Fliehe. Kein Ausweg sei das Ausweichen auf simple Passwörter, die für kriminelle Hacker leicht herauszufinden seien. Laut Umfrage bevorzugten allerdings 40 Prozent der Befragten „einfache Passwörter, die man sich leicht merken“ könne. Je länger und komplexer ein Kennwort sei, desto sicherer sei es, betont Fliehe.

Technische Alternativen in der Diskussion

Viele der Befragten sähen die Lösung in technischen Alternativen zum Passwort. Fast ein Drittel (31 Prozent) stimme der Aussage zu, dass Passwörter durch andere, besser handhabbare Sicherheitsmaßnahmen ersetzt werden sollten. Dazu gehörten zum Beispiel biometrische Merkmale wie der inzwischen bei einer Reihe von Smartphone- und Notebook-Modellen für das Entsperren der Geräte verwendete Fingerabdruck.

Informationsdefizit ermittelt

Die Angaben in der aktuellen bitkom-Stellungnahme basieren nach dessen eigenen Angaben auf einer repräsentativen Umfrage, die Bitkom Research durchgeführt habe: 1.266 Bundesbürger ab 14 Jahren seien befragt worden.
Laut dieser bitkom-Umfrage zeigt sich beim Thema Passwort-Schutz zudem ein Informationsdefizit bei vielen Menschen. Gut ein Viertel der Bundesbürger (27 Prozent) fehle es an Informationen über den richtigen Umgang mit Passwörtern.
Beachteten Nutzer indes einige Hinweise, könnten sie Passwörter besser behalten oder eine technische Lösung für das Management ihrer Kennwörter wählen.

bitkom-Tipps zum Passwort-Management:

1. „Ein Dienst, ein Passwort“: Für jeden Dienst sollte ein eigenes Passwort genutzt werden. Eine Alternative sei es, ein „Grundpasswort“ zu nutzen und dieses für jeden Dienst anzupassen.
2. „Wörterbücher meiden“: Am sichersten seien Passwörter bestehend aus einer zufällig zusammengewürfelten Reihenfolge von Groß- und Kleinbuchstaben sowie Zahlen und Sonderzeichen.
3. „Mehr Zeichen bedeuten weniger Risiko“: Nicht nur die Zusammensetzung des Passworts sei wichtig, sondern auch dessen Länge. Ein sicheres Passwort bestehe aus mindestens acht Zeichen.
4. „Per Eselsbrücke ans Ziel“: Um Passwörter aus einer unzusammenhängenden Anzahl von Buchstaben und Zahlen zu erstellen, könnten die Anfangsbuchstaben aus ausgedachten Sätzen genommen werden, etwa: „Mein Verein gewann das entscheidende Spiel mit 3 zu 2!“ Daraus lasse sich das sichere und gut zu merkende Passwort „MVgdeSm3z2!“ erstellen.
5. „Passwort-Manager als Alternative“: Passwort-Manager erstellten auf dem Computer auf Wunsch zufallsgenerierte Kennwörter und speicherten sie in einer mit einem Master-Passwort gesicherten, verschlüsselten Datenbank ab. Anschließend werde nur noch das Master-Passwort benötigt. Für Smartphones und Tablet-Computer würden häufig passende Apps angeboten – so könnten die sicheren Passwörter auch auf den Mobilgeräten genutzt werden. In diesem Fall sei es aber umso wichtiger, dass das Master-Passwort sicher sei und nicht einfach erraten werden könne.

[datensicherheit.de, 15.10.2011] Die diesjährigen „it security Awards“ wurden am 11. Oktober 2011 auf der „it-sa 2011“ in Nürnberg in drei Kategorien verliehen:
Die hochkarätige Jury habe die besten Projekte auf den Gebieten „Management Security“ und „Identity and Access Management“ sowie die „Produktinnovation des Jahres“ ausgewählt.
Dr. Markus Neumaier von der Deutschen Post AG erhielt die Auszeichnung für das Projekt „Sicherheitskalkulator virtuelle Plattformen“. Für die Einführung eines Identity Management-Systems mit „OMADA“ zeichnete die zehnköpfige Jury Thomas Frenzel, Gesamtprojektleitung, und Thomas Bauditz, Leitung Betriebsorganisation, Vattenfall AG, aus. Als Produktinnovation des Jahres 2011 prämierte die Jury „M86 Secure Web Gateway“.

Weitere Informationen zum Thema:

itdaily, 12.10.2011
it security Awards 2011 verliehen