Das Notfallmanagement, auch Business Continuity Management (BCM) genannt, ist nicht nur seit vielen Jahren fester Bestandteil des IT-Grundschutzes, sondern aufgrund aktueller Herausforderungen und Neuerungen auch ein Thema, mit dem sich Unternehmen und Organisationen beschäftigen sollten. Im Folgenden erfahren Sie mehr zum neuen BSI-Standard 200-4 und welche Synergien Sie bei der Weiterentwicklung Ihres Notfallmanagements nutzen können. […]
Informationssicherheit
Informationssicherheit
223 Milliarden Euro Schaden durch Cyberangriffe
Die deutsche Wirtschaft ist aktuell mehr denn je von Cyberangriffen betroffen. Insgesamt 223 Milliarden Euro beträgt der wirtschaftliche Schaden, welcher im vorangegangenen Jahr durch Cyberattacken in Deutschland verursacht wurde. Dies geht aus einer Studie des Digitalverbands Bitkom hervor, für die mehr als 1000 Unternehmen aus unterschiedlichen Branchen befragt wurden. Mittelstand gerät zunehmend in das Visier […]
OWASP Top 10 – A6 – Sicherheitsrelevante Fehlkonfiguration
Dieser Blogbeitrag aus unserer Reihe zur OWASP Top 10, den zehn häufigsten Sicherheitslücken in Webapplikationen, behandelt sicherheitsrelevante Fehlkonfigurationen. Sicherheitsrelevante Fehlkonfigurationen umfassen einen großen Bereich an Sicherheitslücken, die sowohl bei der Installation und Konfiguration als auch bei Administration und Wartung einer Webapplikation entstehen können. Dabei können alle Ebenen der Anwendung inklusive der zugrundeliegenden Web- und Datenbankserver […]
BNetzA ändert Ausnahmeregelung für Netzbetreiber ohne eigene Betriebsführung
Bereits am 19.01.2021 hatte die Bundesnetzagentur eine Mitteilung zur „Zertifizierung nach dem IT-Sicherheitskatalog § 11 Abs. 1a EnWG im Falle der Betriebsführung durch Dritte“ veröffentlicht. Wir wollen diese Mitteilung nun noch mal in Erinnerung rufen, da die betroffenen Strom- und Gasnetzbetreiber für die Einhaltung der Umsetzungsfrist zum 30.11.2022 rechtzeitig mit der Einführung ihres ISMS gemäß […]
Die Tücken der Transportverschlüsselung in TOMs
Im Zusammenhang mit geeigneten technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 Abs. 1 lit. a und lit. b DSGVO wird regelmäßig die Transportverschlüsselung eingesetzt. Dieser Artikel beleuchtet aus der Perspektive der Informationssicherheit, was darunter zu verstehen ist und wo die Tücken in der datenschutzrechtlichen Bewertung liegen. Vertraulichkeit und Integrität: Schutzziele der Informationssicherheit Informationssicherheit hat […]
Krankenhäuser im Fokus von Cyberkriminellen – B3S-KH als Basis für Maßnahmen
Krankenhäuser werden immer häufiger zum Ziel von Hackerangriffen. In Corona-Zeiten ein besonders perfides Unterfangen, dort anzugreifen, wo es um Menschenleben geht und das Pflegepersonal sowie Ärzte schon am Limit arbeiten. „Cyberkriminelle passen sich schnell gesellschaftlichen Notlagen an und nutzen diese gekonnt für ihre Zwecke aus“, heißt es dazu im Bundeslagebild des Bundeskriminalamts (BKA). Sie griffen […]
VdS 10000 – Informationssicherheits-Managementsystem für KMU
Für kleine und mittlere Unternehmen (KMU) sind die omnipräsenten Standards der Informationssicherheit ISO/IEC 27001 oder BSI IT-Grundschutz oft prozessual und monetär nicht zu stemmen. Um KMU dahingehend nicht zu überfordern, hat sich eine weitere, speziell auf KMU angepasste Norm in Deutschland etabliert: die VdS 10000. Inhalt der Norm Die Richtlinie wurde von der VdS Schadenverhütung […]
Have I Been Pwned erhält Unterstützung vom FBI
Datendiebstahl ist leider allgegenwärtig. Für Sie und mich als Benutzer von Internetdiensten, Webseiten u. ä. stellt sich quasi täglich die Frage, ob ein persönlicher Account von einem Hack betroffen ist. Genau für diese Fälle bietet Troy Hunt die Webseite Have I Been Pwned (HIBP) unter https://haveibeenpwned.com/ an. Auf der Webseite werden Daten zu Hacks gesammelt […]
OWASP Top 10 – A5 – Fehler in der Zugriffskontrolle
Dieser Beitrag aus unserer Reihe zur OWASP Top 10, den zehn häufigsten Sicherheitslücken in Webapplikationen, beschäftigt sich mit Fehlern in der Zugriffskontrolle und der damit verbundenen horizontalen oder vertikalen Rechteausweitung. Zugriffsrechte für authentifizierte Nutzer werden in Webapplikationen häufig nicht korrekt um- bzw. durchgesetzt. Dieser Umstand ermöglicht es schließlich Angreifern, auf Funktionen oder Daten zuzugreifen, für […]
Optimierung der Informationssicherheit im Krankenhaus – Ein Überblick
Das Thema Digitalisierung und Informationssicherheit wird in Krankenhäusern dieser Tage großgeschrieben. Denn es gibt ein vom Gesetzgeber vorgegebenes Datum, den 1. Januar 2022, zu dem Informationssicherheits-Anforderungen umzusetzen sind. Vor dem Hintergrund der derzeitig erschwerten Bedingungen und personellen Belastungen, auch hervorgerufen durch Corona, müssen nun finanzielle Mittel des Krankenhauszukunftsgesetzes sinnvoll für die eigene Infrastruktur eingesetzt werden. […]
Was ist ein Penetrationstest?
Das etwas sperrige Wort Penetrationstest (abgekürzt als Pentest) bezeichnet die legitimierte Überprüfung der Sicherheit eines IT-Systems aus der Perspektive eines Angreifers (umgangssprachlich oft als Hacker bezeichnet). Bei einem solchen Test werden ähnliche oder sogar die gleichen Methoden und Tools eingesetzt, die sich auch Hacker zunutze machen. Ein Penetrationstest stellt dabei immer nur eine Momentaufnahme dar. […]
Sicheres Cloud Computing für Unternehmen
Für die sichere Cloud-Nutzung sollte Informationssicherheit beginnend bei der IT-Strategie bis zum letztendlichen Vertragsabschluss berücksichtig werden. Dazu kann sich z. B. an der Vorgehensweise der Veröffentlichung „Sichere Nutzung von Cloud-Diensten“ des Bundesamtes für Sicherheit in der Informationstechnik (BSI) orientiert werden. Ähnlich wie die Verankerung der Informationssicherheit in einem Unternehmen, bspw. durch die Etablierung eines ISMS […]
OWASP Top 10 – A4 – XML External Entities (XXE)
Dieser Beitrag aus unserer Reihe zur OWASP Top 10, den zehn häufigsten Sicherheitslücken in Webapplikationen, beschäftigt sich mit „XML External Entities“ (kurz XXE, zu Deutsch „Externe XML-Entitäten“). XML-Prozessoren, die veraltet oder einfach nur schlecht konfiguriert sind, verarbeiten ungefilterte Referenzen auf externe Entitäten innerhalb von XML-Dokumenten. Solche externen Entitäten können dann dazu eingesetzt werden, um externen […]
OWASP Top 10 – A3 – Verlust der Vertraulichkeit sensibler Daten
Dieser Blogbeitrag aus unserer Reihe zur OWASP Top 10, den zehn häufigsten Sicherheitslücken in Webapplikationen, erläutert die Gefahr der Preisgabe von sensiblen Daten und wie Sie Ihre Anwendung sowie deren Benutzer davor schützen können. Bei sensiblen Daten handelt es sich beispielsweise um Gesundheits-, Kreditkarten- oder auch Zugangsdaten, deren Vertraulichkeit sowohl bei der Speicherung als auch […]
Hacker-Angriff auf Microsoft Exchange-Installationen – ProxyLogon
Am 2. März hat Microsoft in seinem Security-Blogbeitrag „HAFNIUM targeting Exchange Servers with 0-day exploits“ bekannt gegeben, dass vier gravierende Schwachstellen in Microsoft Exchange-Servern aktiv ausgenutzt werden und daraufhin Updates bereitgestellt. Tätern ermöglicht die Kombination der vier Schwachstellen (CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, CVE-2021-27065) zielgerichtete Angriffe auf die weitverbreitete Groupware, um Daten abzugreifen und weitere Schadsoftware zu […]