Fachartikel

Veröffentlichungen und Interviews

Impulspapiere Wissenschaftliche AG Nationale Cyber-Sicherheit

Die ständige Wissenschaftliche Arbeitsgruppe unterstützt den Nationalen Cyber-Sicherheitsrat der Bundesregierung. Der Institutsleiter des Fraunhofer SIT, Prof. Dr. Michael Waidner, ist Mitglied der Wissenschaftlichen Arbeitsgruppe. Die Wissenschaftliche Arbeitsgruppe erstellt in regelmäßigen Abständen Impulspapiere, die ausgewählte Themen zur Cybersicherheit aus einer Forschungsperspektive beleuchten. Diese können kostenlos heruntergeladen werden.

Datenschutzkonformes Löschen bei Datenschutz- und Informationssicherheitsvorfällen

Louisa Rudolph, Dr. Annika Selzer, Dr. Ulrich Pordesch

BvD-News 2/2021

In diesem Beitrag wird erörtert, wann personenbezogene Daten, die im Rahmen einer Dokumentation von Datenschutz- und Sicherheitsvorfällen anfallen, entsprechend der Vorgaben der DSGO zu löschen sind und wie eine Löschregel zur Vorfalldokumentation für einen Löschregelkatalog gebildet werden kann.

zum Beitrag


White Paper "IT/OT Security bei Internet of Railway Things"

Herausgeber: AG CYSIS

Heute sind Sensoren bei Bahnanwendungen nicht mehr weg zu denken. Sie ermitteln kontinuierlich Daten zur Optimierung von Verkehr, Reisendenstrom-Lenkung, Energie- und Instandhaltungseffizienz. Damit wird einerseits der hohe Verfügbarkeits- und Sicherheitsaspekt unterstützt, andererseits fördern die möglichen Analysen die Steigerung der Verkehrsleistungen effektiv. Die weite Verbreitung der Sensoren und ihre Vernetzung als Internet of Railway Things (IoRT) rufen jedoch auch neue Angriffsvektoren hervor, denen effizient und unter Beachtung der Normen, Gesetze und Regeln im Eisenbahnverkehr begegnet werden muss.

Das White Paper "IT/OT Security bei Internet of Railway Things (IoRT)" erläutert Anwendungen von IoRT-Geräten und mögliche IT-Sicherheitsstrategien, die gleichzeitig die Nutzung der Daten, den Betrieb der Geräte und die Adaptionsfähigkeit an die Anforderungen der IT-Sicherheit im Blick behält. Das White Paper ist im Rahmen der Arbeitsgruppe Cybersecurity (AG CYSIS) entstanden, einer Innovationsallianz der TU Darmstadt und der DB Netz AG.

Das White Paper wurde gemeinsam mit den Kooperationspartnern Fraunhofer SIT, CISCO, ÖBB und INCYDE erarbeitet und ist entstanden im Rahmen des Projekts "Haselnuss" - IT-Sicherheit für die Bahn.

Zum White Paper

English Version of the White Paper


Datenschutzkonformes Löschen personenbezogener Daten in Kundenbeziehungsmanagementsystemen

Tugba Koc Macit, Annika Selzer

BvD-News, Ausgabe 1/2020

Die DSGVO schreibt eine Löschpflicht personenbezogener Daten vor, nachdem der Zweck der Aufbewahrung der Daten erloschen ist. Dieser Aufsatz beschreibt Vorgehensweisen, wie diese Löschpflicht in Kundenbeziehungsmanagementsystemen (CRM) umgesetzt werden kann.

Zum Beitrag


Das Löschen nach der DSGVO - Eine Diskussion der datenschutzkonformen Umsetzung bei E-Mails

Erdem Durmus, Annika Selzer, Dr. Ulrich Pordesch

DuD, Heft 12, 2019

Die DSGVO schreibt Verantwortlichen vor, personenbezogene Daten nach Erreichung des Zwecks ihrer Verarbeitung zu löschen. Einer Löschpflicht stehen häufig zahlreiche (spezial-) gesetzliche Aufbewahrungspflichten gegenüber. In der betrieblichen Praxis ist die E-Mail eines der wichtigsten Kommunikationsmittel, das gezielte Bewerten und Löschen von tausenden E-Mails stellt jedoch eine komplexe Herausforderung dar. Der Beitrag diskutiert verschiedene Lösungsmöglichkeiten, diese Herausforderung zu meistern.

Zum Beitrag


Verschlüsselung in der Cloud

Michael Herfert, Benjamin Lange, Dominik Spychalski

Digma, Ausgabe 3/2019

Bei Cloud-Diensten bietet sich Verschlüsselung als Schutzmaßnahme an. Nur: Was meint "Verschlüsselung"? Welchen Schutz bringen die verschiedenen Verschlüsselungslösungen? Was taugen neue Ansätze wie Hardware-basierte sichere Ausführungsumgebungen oder homomorphe Verschlüsselung? Und wie steht es mit der Langzeitverschlüsselung?

Zum Beitrag


Kryptografie-Experte Michael Herfert zur "Volksverschlüsselung"

Michael Herfert und Jürgen Hartz

BvD-News, Ausgabe 2/2019

Fehlende sichere Verschlüsselung ist immer noch eine große Schwachstelle der elektronischen Kommunikation, nicht nur im privaten Bereich, sondern auch im geschäftlichen. Viele Unternehmen versenden vertrauliche Informationen als offene E-Mail oder Dokumente, selbst mit sensiblen geschäftlichen oder gar Gesundheitsdaten, als unverschlüsselte Anlage. Die Volksverschlüsselung will hier Abhilfe schaffen und Verschlüsselung so einfach machen, dass sie flächendeckend eingesetzt wird.

Zum Beitrag


Datenschutz und Datenanalyse

Von Martin Steinebach, Erik Krempel, Christian Jung und Mario Hoffmann

DuD, Heft 7, 2016

Eine der großen Chancen von Big Data sind neue Erkenntnisse, die sich durch die schnelle und flexible Analyse großer Datenmengen ergeben. Um diese Analyse aber rechtskonform durchzuführen, bedarf es der Beachtung des Datenschutzes, sobald auf personenbezogene Daten zugegriffen wird. Mittlerweile existieren verschiedene Ansätze und Konzepte, wie Datenschutz und Datenanalyse vereint werden können.

Zum Beitrag


Laientaugliche Schlüsselgenerierung für die Ende-zu-Ende-Verschlüsselung

Von Michael Herfert, Annika Selzer und Ulrich Waldmann

DuD, Heft 5, 2016 BibTeX)

Mehr als dreißig Jahre sind seit der Erfindung asymmetrischer Verschlüsselungsverfahren vergangen, und noch immer finden jene kryptographischen Verfahren längst nicht überall dort Anwendung, wo sie z. B. vor Massenüberwachung schützen könnten. Wichtige Ursachen dafür sind insbesondere Schwierigkeiten bei der Verbreitung von Verschlüsselungsschlüsseln sowie die fehlende Benutzerfreundlichkeit existierender Lösungen. Vor diesem Hintergrund stellt dieser Beitrag die Volksverschlüsselung vor, die eine laientaugliche und sichere Schlüsselgenerierung, Zertifizierung und automatische Integration der Schlüssel in die Anwendungen vorsieht.

Zum Beitrag


Die teilautomatisierte Verifizierung der getrennten Verarbeitung in der Cloud

Von Bernd Jäger, Reiner Kraft, Annika Selzer und Ulrich Waldmann

DuD, Heft 5, 2016 BibTeX)

Automatisiert mess- und auswertbarer Datenschutz in Cloud-Umgebungen kann potenziellen Cloud-Nutzern Datenschutzbedenken nehmen. Doch für jede Messung müssen vorab geeignete Datenquellen gefunden und sinnvoll kombiniert werden, um sich einer automatisierten Verifikation von Datenschutzzielen anzunähern. Der Beitrag schlägt ein solches Vorgehen für das Datenschutzziel der getrennten Verarbeitung vor.

Zum Beitrag


Die Kontrolle des Umsetzungsgrades des Zugangs- und Zugriffsschutzes

Von Bernd Jäger, Reiner Kraft, Annika Selzer und Ulrich Waldmann

DuD, Heft 4, 2016 BibTeX)

Weit verbreitete Datenschutzbedenken gegen Cloud-Dienste hemmen deren Nutzung. Der Beitrag beleuchtet, wie man mit automatisierten Datenschutzkontrollen, die dem Nutzer den Umsetzungsgrad von Datenschutzzielen anzeigen, dieser Barriere begegnen kann.

Zum Beitrag


Die Gretchenfrage: Wie halten Sie’s mit der App-Sicherheit?

Von Jens Heider

DuD, Heft 1, 2014

Durch die immer stärkere Integration von Smartphones und Tablets in den Arbeitsalltag basiert die Sicherheit von Unternehmensdaten nicht mehr nur auf der Absicherung auf Netzwerk-und Endgeräteebene. Die Vertrauenswürdigkeit und Sicherheitsqualität der Flut von Apps für die Anforderungen von Unternehmen sicherzustellen, erfordern auch einen kritischen Umgang mit der Software. Mit den Ergebnissen von App-Massentests werden Beispiele dieser Herausforderung aufgezeigt und Strategien im Umgang mit den Risiken diskutiert.

Zum Beitrag


Die Kontrollpflicht nach § 11 Abs. 2 Satz 4 BDSG im Zeitalter des Cloud Computing

Von Annika Selzer

DuD, Heft 4, 2013

Nutzt ein Unternehmen etwa für die Verwaltung von Kunden- bzw. Mitarbeiterdaten einen Cloud Computing Service, so handelt es sich in der Regel um eine Auftragsdatenverarbeitung nach § 11 BDSG. Das Unternehmen ist als Auftraggeber dazu verpflichtet den Auftragnehmer vor Beginn der Datenverarbeitung und sodann regelmäßig im Hinblick auf die Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu kontrollieren und das Ergebnis zu dokumentieren. Eine Vor-Ort-Kontrolle scheint im Zeitalter des Cloud Computing nicht realistisch umsetzbar. Der Aufsatz beschäftigt sich daher mit Alternativen zur Vor-Ort-Kontrolle.

Zum Beitrag


Geht Ihr Smartphone fremd?

Von Jens Heider und Rachid El Khayari

DuD, Heft 3, 2012

Smartphones haben sich längst als praktische Alleskönner durchgesetzt und sind aus dem Unternehmensalltag nicht mehr wegzudenken. Genauso unerlässlich wie das allgegenwärtige Nutzen ihrer vielfältigen Funktionen ist aber auch ihre Absicherung geworden. Der Beitrag stellt die wichtigsten Angriffsvektoren vor, die für eine Unternehmensabsicherung berücksichtigt werden sollten, um die Kontrolle über die genutzten Informationen zu behalten.

Zum Beitrag