Ein Montagmorgen im Onlineshop
Sie starten im Support eines Onlineshops. Um 8 Uhr melden drei Personen etwas Seltsames.
Eine Kundin sieht fremde Bestellungen in ihrem Konto. Ein Kollege findet eine Rechnung mit anderem Betrag. Die Webseite ist für zehn Minuten nicht erreichbar.
Das sind drei verschiedene Probleme. In dieser Lektion lernen Sie, sie zu unterscheiden.
Am Ende dieser Lektion
Notiz
Ich kann sagen, was eine angreifende Person will und was wir schützen.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Vertraulichkeit | Nur berechtigte Personen dürfen die Daten lesen. | Kundenliste |
| Integrität | Daten bleiben richtig und werden nicht heimlich verändert. | Rechnungsbetrag |
| Verfügbarkeit | Ein System ist da, wenn man es braucht. | Onlineshop |
| Bedrohung | Etwas, das Schaden anrichten kann. | Schadprogramm |
| Schwachstelle | Eine Lücke, durch die eine Bedrohung wirken kann. | |
| Risiko | Wie wahrscheinlich ein Schaden ist, mal wie groß er wäre. |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Drei Dinge, die wir schützen
Ein Sicherheitsteam schützt vor allem drei Eigenschaften von Daten und Systemen. Zusammen heißen sie oft CIA-Triade (englisch: confidentiality, integrity, availability).
Vertraulichkeit: Nur wer es darf, liest die Daten.
Integrität: Die Daten stimmen und niemand ändert sie heimlich.
Verfügbarkeit: Das System läuft, wenn Menschen es brauchen.
Was Angreifer wollen
Die meisten Angreifenden wollen etwas Einfaches: Geld.
Manche verkaufen gestohlene Daten. Manche sperren Dateien und verlangen Lösegeld. Manche nutzen fremde Rechner für eigene Zwecke. Andere wollen nur Aufmerksamkeit oder Schaden anrichten.
Auch Unfälle zählen. Ein vergessener Laptop oder eine gelöschte Datei können genauso viel kosten.
Bedrohung, Schwachstelle, Risiko
Drei Wörter, die oft verwechselt werden.
Eine Bedrohung ist, was Schaden anrichten kann, zum Beispiel ein Schadprogramm.
Eine Schwachstelle ist die Lücke, zum Beispiel ein altes Programm ohne Update.
Das Risiko sagt vereinfacht, wie ernst es ist: Wahrscheinlichkeit mal Schaden.
Ein Beispiel aus dem Büro
| Begriff | Im Beispiel |
|---|---|
| Bedrohung | Eine Person verschickt Schadsoftware per E-Mail |
| Schwachstelle | Der Büro-PC hat seit einem Jahr kein Update bekommen |
| Risiko | Die Wahrscheinlichkeit ist mittel, der Schaden wäre groß |
| Gegenmaßnahme | Updates einspielen und Anhänge nur von Bekannten öffnen |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Probieren Sie es aus: drei Risiken bewerten
# Wahrscheinlichkeit und Schaden jeweils von 1 (gering) bis 5 (sehr hoch)
risiken = [
["Laptop im Zug vergessen", 4, 3],
["Server fällt aus", 2, 5],
["Kundenliste per Mail an falsche Person", 3, 4],
]
for eintrag in risiken:
name = eintrag[0]
punkte = eintrag[1] * eintrag[2]
print(name, "->", punkte)
# Ändern Sie die Wahrscheinlichkeit des Serverausfalls auf 4. Welcher Eintrag hat nun die meisten Punkte?
Ein häufiger Fehler
Warnung
Viele denken, Sicherheit heiße: alles verbieten. Ein System, das niemand benutzen kann, ist nicht sicher, sondern nutzlos. Gute Sicherheit wägt Risiko und Nutzen ab, denn Verfügbarkeit gehört auch zum Schutz.
Im Berufsalltag
Tipp
Ein Team erwartet von Neuen kein Expertenwissen. Es erwartet, dass Sie ungewöhnliche Dinge melden und die drei Begriffe der Triade benennen können. Das hilft, wenn jemand im Team fragt: „Was genau ist hier passiert?“