mirror of
https://github.com/theoleuthardt/hwr-notes.git
synced 2026-06-06 03:21:07 +00:00
121 lines
8 KiB
Markdown
121 lines
8 KiB
Markdown
# IT-Sicherheit – Vorlesungszusammenfassung Foliensätze 1-3
|
||
**Vorlesung von Gerrit Kalkbrenner | HWR Berlin | 2026**
|
||
|
||
---
|
||
## 1. Einleitung
|
||
|
||
### Warum IT-Sicherheit wichtig ist
|
||
|
||
IT-Sicherheit ist ein zentrales Thema der modernen Informationstechnologie. Fast täglich berichten Medien über Daten-Diebstahl, Spionage und Sabotage. Die Kernprobleme dabei: Ausgespähte Daten haben einen erheblichen finanziellen Wert, und viele Daten werden per Funk übertragen – und sind damit prinzipiell öffentlich zugänglich.
|
||
|
||
### Warum IT-Sicherheit so schwierig ist
|
||
|
||
IT-Sicherheit muss **vollständig** sein. Es gilt das Prinzip der Kette: Das schwächste Glied bestimmt die Gesamtsicherheit. Hinzu kommt das Problem fehlerhafter Software – die Zahl der veröffentlichten Sicherheitslücken ist von 4.383 im Jahr 2011 auf über 11.000 im Jahr 2017 gestiegen (Quelle: Hasso Plattner Institut).
|
||
|
||
### Die 3 (+1) Ziele der Datensicherheit
|
||
|
||
1. **Vertraulichkeit (Geheimhaltung)** – Nur Befugte dürfen Daten einsehen.
|
||
2. **Integrität (Unversehrtheit)** – Daten dürfen nicht unbefugt verändert werden.
|
||
3. **Verbindlichkeit (Nichtabstreitbarkeit)** – Vorgänge sind nachvollziehbar und verifizierbar.
|
||
4. **Verfügbarkeit** – Befugten ist der Zugriff jederzeit gewährleistet.
|
||
|
||
### Angreifer und ihre Motivation
|
||
|
||
Motivationen für Angriffe reichen von Spaß an der Technik, Neugierde und Herausforderung über Zerstörungswut und Geld bis hin zu nationaler Sicherheit. Zu den Angreifergruppen zählen Hacker, Unternehmens-Cracker, IT-Spione, IT-Terroristen, professionelle Kriminelle, Vandalen und sogar Behörden.
|
||
|
||
### Telekommunikation und ihre Geschichte
|
||
|
||
Kommunikation hat sich von Rauchzeichen, Signalfahnen und Lichtzeichen über die Telegraphie (das „viktorianische Internet") bis hin zu modernen Computernetzwerken entwickelt. Schon bei der Telegraphie war Abhörbarkeit ein Problem – sowohl auf Verbindungswegen als auch in Vermittlungsstationen. Als Gegenmaßnahmen wurden Beteiligte verbeamtet, Kabel regelmäßig geprüft und spezielle Projekte wie Polykom (verteiltes Regieren Berlin/Bonn mit evakuierten Glasfaserröhren) realisiert.
|
||
|
||
### Standards und Schichtenmodell
|
||
|
||
Wichtige Standards umfassen das ISO-OSI-7-Schichtenmodell, ITU-Standards (ehemals CCITT) sowie Internet-Standards (RFCs, Drafts, Internet Standards). Das OSI-Modell gliedert sich in sieben Schichten: Physical, Data Link, Network, Transport, Session, Presentation und Application.
|
||
|
||
### Netzwerktypen
|
||
|
||
Netzwerke werden nach Reichweite klassifiziert: von VLAN/PAN auf wenigen Metern über LAN (Raum/Gebäude/Campus) und MAN (Stadt) bis hin zu WAN (Land/Kontinent) und dem globalen Internet (GAN).
|
||
|
||
---
|
||
## 2. Kryptographische Primitiven
|
||
|
||
### Grundprinzip
|
||
|
||
Kryptographische Funktionen schaffen nicht per se Sicherheit – aber mit ihrer Hilfe kann ein sicheres System konstruiert werden. Sie bilden den „Baukasten" für alle Sicherheitsmechanismen.
|
||
|
||
### Vertrauliche Nachrichten – Symmetrische Verschlüsselung
|
||
|
||
Um Nachrichten vertraulich zu halten, wird ein **symmetrischer Verschlüsselungsalgorithmus (Chiffre)** verwendet. Dabei gibt es zwei zentrale Funktionen: **Encrypt** (Verschlüsseln) und **Decrypt** (Entschlüsseln). Beide Seiten verwenden denselben geheimen Schlüssel.
|
||
|
||
### Authentische Nachrichten – MAC
|
||
|
||
Ein **Message Authentication Code (MAC)** stellt sicher, dass eine Nachricht tatsächlich vom angegebenen Absender stammt. Dabei wird die Nachricht im Klartext zusammen mit einem chiffrierten Fingerabdruck übertragen. Der Empfänger kann mit dem gemeinsamen Schlüssel prüfen, ob die Nachricht authentisch ist.
|
||
|
||
### Schlüsselaustausch – Diffie-Hellman
|
||
|
||
Das zentrale Problem: Wie gelangen zwei Parteien zu einem gemeinsamen geheimen Schlüssel? Dieses Problem war lange ungelöst, bis in den 1970er Jahren die **asymmetrische Kryptografie** erfunden wurde. Beim **Diffie-Hellman-Verfahren** erzeugen Alice und Bob jeweils private Schlüssel, tauschen öffentliche Schlüssel aus und berechnen daraus ein gemeinsames Geheimnis – ohne dass ein Lauscher dieses rekonstruieren kann.
|
||
|
||
### RSA – Asymmetrische Verschlüsselung
|
||
|
||
Aufbauend auf Diffie-Hellman wurde **RSA** (Ron Rivest, Adi Shamir, Leonard Adelman) entwickelt. RSA arbeitet mit einem Schlüsselpaar und bietet zwei Funktionen:
|
||
|
||
- **Verschlüsseln / Entschlüsseln** – Der Sender verschlüsselt mit dem öffentlichen Schlüssel des Empfängers; nur der Empfänger kann mit seinem privaten Schlüssel entschlüsseln.
|
||
- **Signieren / Signatur prüfen** – Der Sender signiert mit seinem privaten Schlüssel; jeder kann die Signatur mit dem öffentlichen Schlüssel des Senders verifizieren.
|
||
|
||
### Kryptographische Hash-Funktionen
|
||
|
||
Hash-Funktionen erzeugen einen digitalen „Fingerabdruck" einer Nachricht beliebiger Länge. Über eine **One-Way-Hashfunktion** wird eine kryptografische Prüfsumme berechnet, mit der die Integrität einer Nachricht überprüft werden kann.
|
||
|
||
**Fazit:** Symmetrische Verschlüsselung, asymmetrische Verschlüsselung (RSA), MAC und Hash-Funktionen – mehr kryptographische Grundbausteine braucht man nicht.
|
||
|
||
---
|
||
## 3. Sicherheitsunterweisung – Praxisbeispiel Forschungszentrum Jülich
|
||
|
||
### Motivation
|
||
|
||
IT-Sicherheitsmaßnahmen werden oft als lästig und kontraproduktiv empfunden. Die Analogie zu Sicherheitsgurten im Auto zeigt jedoch: Auch wenn sie unbequem sind, schützen sie im Ernstfall.
|
||
|
||
### Häufige Gegenargumente und Antworten
|
||
|
||
- *„Ich surfe selten im Internet"* → Angriffe benötigen oft keine aktive Mitwirkung des Nutzers.
|
||
- *„Auf meinem Rechner ist kaum etwas drauf"* → Übernommene Systeme können als Sprungbrett für weitere Angriffe dienen.
|
||
- *„Meine Forschung wird ohnehin veröffentlicht"* → Unveröffentlichte Erkenntnisse, Forschungsmethoden und persönliche Daten sind dennoch schützenswert.
|
||
|
||
### Grundwerte und Bedrohungen
|
||
|
||
Die vier Grundwerte von IT-Ressourcen (Vertraulichkeit, Integrität, Verfügbarkeit, Verbindlichkeit) können durch verschiedene Bedrohungen gefährdet werden: vorsätzliche Manipulation, technisches Versagen, menschliches Fehlverhalten, personelle/organisatorische Mängel und Naturkatastrophen.
|
||
|
||
### Risikobewertung
|
||
|
||
Das Risiko R ergibt sich aus der Formel **R = S × W** (Schadenshöhe × Eintrittswahrscheinlichkeit). IT-Sicherheitsmaßnahmen zielen darauf ab, das Risiko auf ein tragbares Niveau zu reduzieren. Was als „tragbar" gilt, definiert der Eigentümer der Ressource.
|
||
|
||
### BSI IT-Grundschutz
|
||
|
||
Der IT-Grundschutzkatalog des BSI (Ausgabe 2011) umfasst 4.068 Seiten mit 583 Gefährdungen, 1.327 Maßnahmen und 85 Bausteinen. Die Kernidee: Standard-Sicherheitsmaßnahmen für standardisierte Systeme, wodurch für ca. 80 % der Systeme mit normalem Schutzbedarf keine aufwändige individuelle Risikoanalyse nötig ist.
|
||
|
||
### Schutzklassen
|
||
|
||
- **Sehr hoch:** Ausfallzeit unter 1 Stunde nicht tolerabel, finanzielle Schäden über 10 Mio. €
|
||
- **Hoch:** Erhebliche Beeinträchtigungen, Ausfallzeit 1–24 h, Schäden über 2 Mio. €
|
||
- **Normal:** Beeinträchtigungen tolerabel, Ausfallzeit über 24 h akzeptabel
|
||
|
||
### IT-Grundschutzregeln im FZJ
|
||
|
||
Das FZJ nutzt ein dreistufiges Konzept (IT-Sicherheitsrichtlinie → Grundschutzregeln → spezielle Regeln) mit 25 Regeln in sieben Kategorien: Infrastruktur, Organisation, Personal, Daten, Hardware/Software, Kommunikation und Notfallvorsorge.
|
||
|
||
---
|
||
## Themenübersicht der Veranstaltung
|
||
|
||
Die Vorlesung behandelt insgesamt folgende Themen: Sichtweisen auf Cyber-Sicherheit, Kryptographie, Hardware- und Sicherheitsmodule, digitale Signaturen und Zertifikate, Identifikation und Authentifikation, Trusted Computing, Cyber-Sicherheit Frühwarnung, Firewall-Systeme, IPSec, TLS/SSL, DDoS-Angriffe, Email-Sicherheit, Blockchain, KI und Cyber-Sicherheit, Social Web Sicherheit sowie Wirtschaftlichkeit.
|
||
|
||
## Bewertung
|
||
|
||
- Klausur: 80 %
|
||
- Hausaufgaben: 10 % (z. B. Public-Private-Schlüsselpaar generieren)
|
||
- Kurzvortrag: 10 % (Bericht über einen Sicherheitsvorfall)
|
||
|
||
## Literatur
|
||
|
||
- David Wong: *Kryptografie in der Praxis* (dpunkt)
|
||
- Norbert Pohlmann: *Cyber-Sicherheit* (Springer)
|
||
- Claudia Eckert: *IT-Sicherheit* (De Gruyter)
|
||
- c't Magazin (regelmäßige Berichte, c't Security, c't DSGVO)
|