IT SECURITY in der GESELLSCHAFT - 8 INTERVIEWFRAGEN |

[@berndbrot7904]

Arbeite auch im Servicebereich einer IT-Firma. Was mich hier Personen anrufen und sagen "Sie wurden von Microsoft angerufen und haben jemanden auf Ihren PC gelassen" kann man sich nicht vorstellen :D

[@Florian.Dalwigk]

Das stimmt allerdings 😂

[@3picHamster]

Zur Frage Nummer 3: Ich stimme da deiner Meinung zu. Generell ist eine 2-Faktor-Authorisierung (oder noch mehr Faktoren) immer ein Vorteil. Aber dabei sehe ich Biometrie als den kritischsten Punkt, da dieser einen großen Nachteil mit sich bringt: Wenn das eigene Passwort geknackt und im Internet veröffentlicht wird, kann man dieses ändern und ist wieder sicher. Bei der Biometrie ist das ganze unmöglich. Der eigene Fingerabrdruck ist einzigartig und kann nicht geändert werden. Und wenn diese biometrischen Daten erst einmal bekannt sind, kann man diese nie wieder zur Authentifizierung verwenden.

[@Flummiification]

Bzw Ein anderer kann dich immer zweifelsfrei identifizieren.

[@someone7826]

@@Flummiification Anonymität ist ja auch ein wichtiges Gut.

[@getoutmore]

In meinen Augen ist es absolut erschreckend, wie wenig selbst ausgebildete Fachkräfte z.B. FIAE, FISI über Cybersec/Infosec sensibilisiert sind.

[@Florian.Dalwigk]

Das stimmt ... Auch bei den Infostudenten

[@kreisligaronaldo3099]

@@Florian.Dalwigk Da hast du recht, gibt zwar mittlerweile einen IT-Cyber Security Studiengang aber im normalen Informatik Studium sollte dieser Teil Pflicht sein! Zumindest ein Modul.

[@Florian.Dalwigk]

Bei uns war ein Teil davon Pflicht.

[@MrLuMax5]

@@kreisligaronaldo3099 Im Studium an einer Universität sollte das nicht Pflicht sein. Höchstens an FHs.

[@iUniversEi]

@@MrLuMax5 Dem würde ich zustimmen, wenn das dafür zu Grunde liegende Argument (Universität = Ausbildungsstätte für Akademiker) wahr wäre. Aber in der Realität ist es nicht so. Viele nutzen die Uni nur als Sprungbrett um ein höheres Einstiegsgehalt in ihrem Beruf fordern zu können. Und haben von diesem Beruf dann aber leider keinen Plan.

[@smilefaxxe2557]

Super Fragen und super Antworten, eine gelungene Einschätzung zum Thema IT Security in der Gesellschaft. Danke für das Video! 🙏

[@Florian.Dalwigk]

Danke für dein Feedback :)

[@soeren7ce]

Wir haben bei unserer Firma jetzt die Erlaubnis bekommen verpflichtende Schulungen und Prüfungen bei allen MitarbeiterInnen durchzuführen😊 Das ist bei manchen dringend notwendig….

[@BlenderDefender]

1:13 Meine persönliche Erfahrung ist da aber, dass viele zwar eiiiiigentlich wüssten, was sie tun sollten, aber trotzdem nichts tun. Die Analysen über die häufigsten Passwörter z.B. unterstützen diese These. Es muss also nicht nur jeder gehört haben, dass IT Security wichtig ist, sondern es sollte auch jeder tatsächlich verstehen.

[@Red_Fox_Miro]

Ist halt fast unmöglich. Ich selbst muss an mir feststellen das ich auch weiß was gut für mich ist (Sport, genügend Schlaf usw. und machs trotzdem nicht) mir fällt da echt nichts ein was man da "leicht" umsetzen könnte

[@MiauRizius]

Ich kann dir da eigentlich zustimmen. War ein interessantes Video

[@Florian.Dalwigk]

Danke dir 🙃

[@HTB-ud4uc]

Joa, sehr interessante Antworten auf diese "Interessanten" Fragen, schön, dass du so mit der Community interagierst.

[@frankhelferichbonn]

In der Antwort zu Frage 3 waren ein paar Aussagen, die nicht ganz zutreffend sind. Die Bedrohung durch Quantencomputer betrifft NICHT die klassische Kennwortspeicherung, sondern insbesondere RSA und ECC Algorithmen, die bei Key-basierten Authentifizierungen genutzt werden. Sehr treffend aber der Hinweis, dass die als Alternative genannte Biometrie eigentlich nur eine (endgerätebezogene) Ergänzung ist. Übrigens gibt es auch bei Kennwortauthentifizierung mehr sicherheitssteigernde Möglichkeiten auf Seiten des Diensteanbieters als nur noch längere Kennworte.

[@Julian-yf2ey]

Könntest du mal ein video machen zum thema biometrische anmelde Verfahren Im besonderen Bezug auf Vorteile Nachteile Sicherheit mit wie mit diesen Daten auf dem Client umgegangen wird? Währe ein echt cooles Thema denke ich

[@Florian.Dalwigk]

Ich setze es mal auf die Themenliste.

[@andrej_sound]

Ich stimme dir voll zu. Sehr interessantes Video.

[@schnuffblubb7968]

Genau über dieses Thema habe ich letztes Jahr eine Präsentation gehalten 😁

[@Florian.Dalwigk]

Cool 😎

[@Florian.Dalwigk]

Wie lief's?

[@schnuffblubb7968]

@@Florian.Dalwigk 1,0 😎

[@Florian.Dalwigk]

Yes 👍

[@alduinfalk3035]

Wie steht Ihr zu dem Thema das Admins welche Updates zum schließen von kritischen Sicherheitslücken ignorieren im Schadensfall zur Haftung gezogen werden können? Mal nen Beispiel: Ihr könnt euch sicher noch dran erinnern wie mal ein Krankenhaus lahmgelegt wurde und deswegen mindestens 1 Person gestorben ist. Damals war es ja so das ein Hacker eine bekannte Sicherheitslücke in einem Cisco Router (oder Firewall evl) ausgenutzt haben soll obwohl es dafür schon Updates gegeben hätte welche aber nicht installiert wurden. Sollte man jetzt Sagen das der Admin durch diese Update Unterlassung einen "fahrlässigen Totschlag" zu verantworten hat oder hatte die Person einfach Pech ?? OODER ist das absichtliche Ignorieren von Sicherheitsupdates überhaupt noch "NUR" fahrlässig oder das absichtliche herbeiführen des Ausfalles einer kritischen Infrastruktur.?

[@rainerroessler8]

Ich wäre dafür, dass z.B. das Fach Religion, ausgetauscht bzw. weniger Aufmerksamkeit erhält. Stattdessen dieses Thema. Dann bräuchten die Schüler:innen nicht noch mehr Informationen reinquetschen, sondern die Infos hätten auch mehr Platz um (schneller) im Verstandeszentrum anzukommen. Sodass es auch zuverlässig angewendet wird.

[@linux3000]

Zu Frage 3: Ich würde die 2 Faktor Authentifizierung verpflichten, denn der Angreifer benötigt dann noch ein mobiles Endgerät, also z.b Handy oder Tablet, welches in den meisten Fällen auch geschützt ist. Dadurch gewinnt man wertvolle Zeit und kann im Notfall sein Passwort ändern

[@schachsommer12]

Dann müssen wir uns nur noch Gedanken zur Anschaffung, Finanzierung und Nutzung mobiler Endgeräte machen.

[@JustPlayerDE]

@@schachsommer12 2 faktor ist nicht limitiert auf smartphones, ein 25€ yubikey würde schon reichen

[@LSGS2012]

Ich bin dafür das der Spruch "Kein Backup kein Mitleid" mehr in die breite Öffentlichkeit getragen wird! Das hat auch nix damit zutun das man im Zweifel den betroffenen nicht helfen sollte sondern nur dafür zusensibilisieren.

[@octagear]

Hat jemand ein Beispiel für Seiens-basierte Auth-Methoden für mich?

[@Florian.Dalwigk]

Naja, Biometrie.

[@octagear]

@@Florian.Dalwigk Ach das beschreibt das also. Okay, danke.

[@Florian.Dalwigk]

Gerne

[@forestcat512]

Das XOR verfahren ist doch Theoretisch Quaten Computer sicher oder? Allerdings auch relativ ineffizient weil der Key ja immer genauso groß ist wie die Datei

[@Florian.Dalwigk]

In der Theorie ja aber nur wenn die Zufallszahlen auch über einen Quantenzuallszahlengenerator erzeugt werden.

[@forestcat512]

@@Florian.Dalwigk Aber wenn man etwas unvorherbestimmbares nimmt wie z.B. eine Lavalampe, Rauschen oder Wellengang etc

[@Florian.Dalwigk]

Das ist auch ein Quantenzufallszahlengenerator. Schau dir am besten meine Videos zu dem Thema an.

[@forestcat512]

@@Florian.Dalwigk Achso, die Videos habe ich schon gesehen zumindest 1-2 wusste mit dem Begriff Quantenzufallsgenerator nichts anzufangen

[@Florian.Dalwigk]

Den Begriff habe ich dort aber erwähnt. Es gibt sogar ein Video dass ich nur mit dem Begriff Quantenzufall befasst.

[@Flummiification]

Alles schön und gut und richtig. Mir scheint aber du unterschätzt ein bisschen, wie wenig der Ottonormalmensch von diesen Dingen Ahnung hat. Um die Cybersicherheit nachhaltig zu fördern bräuchte es wahrscheinlich ein ganzes Schulfach. Außerdem muss es so designed sein, dass es ohne großen Aufwand möglich ist. Ich schließe mich da absolut mit ein und, wenn ich mur mein Umfeld so anschaue ist da auch nicht viel mehr Ahnung vorhanden

[@Florian.Dalwigk]

Ich hoffe, dass die Politik das für die Zukunft auch erkennt.

[@dexter4785]

Ja, stimme da voll und ganz zu. Bin schon lange der Ansicht, dass es ein Schulfach wie "Digitale Bildung" o. ä. braucht, bei dem man u. a. Umgang mit PC und Internet und vor Allem eben grundlegendes über IT-Sicherheit, wie gscheite Passwörter erstellen und verwalten oder Erkennen von Phishing-Mails bzw. allgemein Phishing (man bedenke die vielen Phishing-Nachrichten-Vorfälle auf Discord), lernt.

[@kevink735]

Ich finde das Problem bei der Suche nach Sicherheitslücken unter der Einhaltung bestimmter Regeln ist schwierig. Wenn man z.B. eine System untersuchen soll, jedoch nicht versuchen darf aktive Konten zu knacken kann man es diesbezüglich auch genau so gut lassen. Denn ein böswilliger Angreifer kennt keine Regeln. Das heißt entweder die Konten sind sicher oder nicht. Und wenn das nicht der Fall ist, ist es besser wenn ein Pentester die Sicherheitslücke findet (z.B. ein schwaches Passwort des Users), als ein böswilliger Angreifer...

[@Florian.Dalwigk]

Es geht bei der Suche nach Sicherheitslücken nicht immer nur um Benutzerkonten. Man kann auch Testaccounts erstellen, die nah an der Realität dran sind. Das größere Problem ist in meinen Augen die Definition des Testbereichs.

[@schwingedeshaehers]

Frage vier, Open source bedeutet nicht, das jeder an dem Programm schreiben darf. Selbst das verändert selbst nutzen kann durch die Lizenz verboten sein (auch das selbst nutzen). Damit ist es leichter die Schwachstellen zu finden, und dann zu melden.

[@Leon-rq6nc]

Wie meinst du das?

[@schwingedeshaehers]

@@Leon-rq6nc was genau?

[@Red_Fox_Miro]

Kann sein dass es noch einen anderen weg gibt aber für mich hört sich das bis jetzt so an als würden in der zukunft alle mit einem Chip oder sonstigem herumlaufen auf dem dann ein Private Key gespeichert ist.

[@Florian.Dalwigk]

Das ist aber ein sehr dystopisches Zukunftsszenario. Nein, das glaube ich nicht.

[@schachsommer12]

Ein Ausweisdokument wie z. B. der Personalausweis ist oder hat kein Private Key oder soll es nicht verloren werden können und einen Chip im Arm müsste mir schon jemand rausschneiden, falls ein Auslesen der Daten unmöglich sein sollte?

[@zitronenfaltenderzitronenf2989]

Klassisches Phishing funktioniert leider nach wie vor zu gut

[@Red_Fox_Miro]

Ich hätte es noch cool gefunden wenn du auch in der Videobeschreibung alle Fragen aufgeschriben hättest.

[@Florian.Dalwigk]

Das war eine bewusste Entscheidung.

[@Red_Fox_Miro]

@@Florian.Dalwigk Das man für jede Frage nochmal einen timestamp benuzen muss und so das Video mehr interaktion bekommt? nerfig aber smart

[@Florian.Dalwigk]

Dass man sich nicht nur die Rosinen rauapickt, sondern sich alle Fragen mal anhört ;)

[@schachsommer12]

@@Florian.Dalwigk Geht's um die Art und Weise der Fragen an sich oder den Ort oder Zeitpunkt im Video oder dessen Aufbau und Struktur?

[@schachsommer12]

Wenn dann machen die Fragen in der Videobeschreibung denke ich wenig Sinn, sondern viel mehr in einem angepinnten Kommentar, um darüber diskutieren zu können.

[@patrickFREE.]

können opensource software auch gezielt exploit werden sprich, man findet eine schwachstelle und nutzt sie aus statt diese bescheid zu sagen, ist das nicht gefährlicher?

[@Florian.Dalwigk]

Da kann man sich drüber streiten. Klar kann man in Open Source Software 0 Days finden, doch es schauen eben mehr Leute drauf, wodurch das Risiko geringer sein kann. Demgegenüber steht, dass man eben den gesamten Quellcode sehen kann.

[@derrgbist5078]

bei frage 8 gibt es ein punkt den du nicht beachtest hast, wenn man dass bezahlen von Ransomware verbietet werden potenziele Erpresser viel unwarscheinlischer Erpressen weil das Gesetz die schanze veringert dass das Unternehmen zahlt

[@schwingedeshaehers]

Dann müsste der Angreifer aber wissen in welchem Land er angreift.

[@Florian.Dalwigk]

Und nur weil etwas illegal ist, heißt es nicht, dass es nicht gemacht wird. Schon gar nicht, wenn die wirtschaftliche Existenz eines Unternehmens davon abhängt.

[@derrgbist5078]

@@Florian.Dalwigk ich meine damit das es seltener vorkommt

[@Florian.Dalwigk]

Das können wir nur vermuten ...

[@klulms1092]

Mich würde mal interessieren, wie du z.b. die erste Challenge im HACKcember gemacht hast. Du könntest ja ein Video dazu machen wie du die einzelnen Challenges erstellt hast

[@Florian.Dalwigk]

Das ist aktuell nicht geplant.

[@Inter-Action]

CovPass App und Spongue Bob: War da denn eine Sicherheitslücke in der App verantwortlich?

[@datkeks]

0:44 wannacry? 😅

[@Florian.Dalwigk]

😉

[@ts26252]

Cybersecurity ist auf jeden Fall ein wichtiges Thema, dass viel stärker thematisiert werden muss. Man kann ja wenigstens versuchen, es den Angreifern nicht ganz so leicht zu machen... Ich bin kein Experte, aber meiner Meinung nach wird es nie eine vollkommene Sicherheit im Internet geben weil fast jedes System eine Schwachstelle hat und es gibt immer Leute die es wissen oder herausfinden 😬

[@schachsommer12]

"wird es nie eine vollkommene Sicherheit im Internet geben" Nirgends gibt's eine vollkommene Sicherheit - weder im Internet noch sonstwo. Für meine Begriffe ist Eigenverantwortung ein viel wichtigeres Thema. Was ist Freiheit? Freie Kaufentscheidung, Forschungs- und Entwicklungsfreiheit, Vertriebsfreiheit oder ganz allgemein Vertragsfreiheit.

[@ts26252]

@@schachsommer12 genau das denke ich auch

[@markustieger]

Bei Frage 8: Wenn das bezahlen Illegal wäre, würde es dann nicht weniger Angriffe geben?

[@Florian.Dalwigk]

Wieso? Das ist doch den Angreifern egal.

[@Florian.Dalwigk]

Nur weil etwas illegal ist heiß das nicht, dass es nicht gemacht wird.

[@markustieger]

@@Florian.Dalwigk Ja wieso sollte man jemanden erpressen wenn man weiß das er es einem nicht zahlen kann wegen dem Gesetz

[@markustieger]

@@Florian.Dalwigk Die Zahlung oder das Erpressen?

[@Florian.Dalwigk]

Wie gesagt nur weil etwas illegal ist, heißt es nicht dass es nicht gemacht wird.

[@themasterofdisastr1226]

Das Sprichwort sagt: "Das Problem sitzt zwischen Tastatur und Stuhl." Und das stimmt leider viel zu oft. Zwar wollen alle sicher sein, gleichzeitig darf aber nichts Arbeit machen, selbst der Wechsel von Excel zu Calc ist zu schwer. Und das macht es mir sehr schwer, Antworten zu geben. Und die Newsletter vom RZ unserer Uni scheinen mir da recht zu geben :/.

[@binsitt]

Frage 1: Ich finde auch: Sicherheit ist nicht Endverbraucher-Sache. Die Crux dabei in Antwort zu Frage 2: Die Endpunkte des WWW liegen in privatwirtschaftlich maßgeblich beeinflussten Händen. Und die haben oft nur Interesse an Sicherheit, wenn es Ihnen Geld bringt. Da führt m.E. kein anderer Weg raus als die Obhut über diese (insbes. Hardware, Betriebssysteme und Browser etc.) in Organisationen zu überführen, die garantiert nur den Bürgern und dem guten Leben verpflichtet sind. Frage 4: Logo! Wer kauft schon die Katze im Sack? Open Source kann, muss aber nicht community driven sein, heißt ja nur, dass man den Quellcode ensehen und kompilieren kann. Aus mener Sicht eine der Selbstverständlichkeiten, derer wir bestohlen wurden. Ich find's schlimm, dass heutzutage oft verdunkelt wird, wie wichtige Teile der IT funtionieren.

[@shigshag3111]

Ransomware beschränkt sich heutzutage leider nicht nur auf die Verschlüsselung der Daten, sondern auch auf die Veröffentlichung. Wie würdet ihr sagen, kann man gegen so etwas vorgehen? Bei der Verschlüsselung helfen Backups aber bei der Veröffentlichung fällt mir pauschal nichts ein, wie man auf so eine Androhung reagieren soll, außer das Lösegeld zu bezalen.

[@Florian.Dalwigk]

Die einzige Möglichkeit besteht darin, Daten verschlüsselt zu speichern und die Schlüssel an einem sicheren Ort aufzubewahren.

[@ComputerGuruPaddy]

Alternativ kann man auch jede Menge unsinnige Daten reinschreiben und so Verwirrung stiften sowie den Datenabfluss langsamer machen (Desinformation).

[@schachsommer12]

Was sind die Vertriebswege? Softwarekauf, Softwaredownload, Softwareinstallation sind auch nicht zu unterschätzen. Eine Ransomware oder andere Schadsoftware, die den Nutzer gar nicht erst erreichen könnte, würde wohl auch keinen Schaden verursachen. Heißt es nicht, dass eine Schadsoftware in einer virtuellen Umgebung oder virtuellen Maschine eigentlich keinen Schaden verursachen könnte, also warum nutzen anscheinend Emailprogramme keine oder nicht standardmäßig virtuelle Maschinen zum Herunterladen, Lesen und Öffnen von Emails und Dateianhängen?

[@jensmeier8452]

1&1

[@Florian.Dalwigk]

2&2