Fachartikel
Veröffentlichungen und Interviews
Impulspapiere Wissenschaftliche AG Nationale Cyber-Sicherheit
Die ständige Wissenschaftliche Arbeitsgruppe unterstützt den Nationalen Cyber-Sicherheitsrat der Bundesregierung. Der Institutsleiter des Fraunhofer SIT, Prof. Dr. Michael Waidner, ist Mitglied der Wissenschaftlichen Arbeitsgruppe. Die Wissenschaftliche Arbeitsgruppe erstellt in regelmäßigen Abständen Impulspapiere, die ausgewählte Themen zur Cybersicherheit aus einer Forschungsperspektive beleuchten. Diese können kostenlos heruntergeladen werden.
Datenschutzkonformes Löschen bei Datenschutz- und Informationssicherheitsvorfällen
Louisa Rudolph, Dr. Annika Selzer, Dr. Ulrich Pordesch
BvD-News 2/2021
In diesem Beitrag wird erörtert, wann personenbezogene Daten, die im Rahmen einer Dokumentation von Datenschutz- und Sicherheitsvorfällen anfallen, entsprechend der Vorgaben der DSGO zu löschen sind und wie eine Löschregel zur Vorfalldokumentation für einen Löschregelkatalog gebildet werden kann.
White Paper "IT/OT Security bei Internet of Railway Things"
Herausgeber: AG CYSIS
Heute sind Sensoren bei Bahnanwendungen nicht mehr weg zu denken. Sie ermitteln kontinuierlich Daten zur Optimierung von Verkehr, Reisendenstrom-Lenkung, Energie- und Instandhaltungseffizienz. Damit wird einerseits der hohe Verfügbarkeits- und Sicherheitsaspekt unterstützt, andererseits fördern die möglichen Analysen die Steigerung der Verkehrsleistungen effektiv. Die weite Verbreitung der Sensoren und ihre Vernetzung als Internet of Railway Things (IoRT) rufen jedoch auch neue Angriffsvektoren hervor, denen effizient und unter Beachtung der Normen, Gesetze und Regeln im Eisenbahnverkehr begegnet werden muss.
Das White Paper "IT/OT Security bei Internet of Railway Things (IoRT)" erläutert Anwendungen von IoRT-Geräten und mögliche IT-Sicherheitsstrategien, die gleichzeitig die Nutzung der Daten, den Betrieb der Geräte und die Adaptionsfähigkeit an die Anforderungen der IT-Sicherheit im Blick behält. Das White Paper ist im Rahmen der Arbeitsgruppe Cybersecurity (AG CYSIS) entstanden, einer Innovationsallianz der TU Darmstadt und der DB Netz AG.
Das White Paper wurde gemeinsam mit den Kooperationspartnern Fraunhofer SIT, CISCO, ÖBB und INCYDE erarbeitet und ist entstanden im Rahmen des Projekts "Haselnuss" - IT-Sicherheit für die Bahn.
Datenschutzkonformes Löschen personenbezogener Daten in Kundenbeziehungsmanagementsystemen
Tugba Koc Macit, Annika Selzer
BvD-News, Ausgabe 1/2020
Die DSGVO schreibt eine Löschpflicht personenbezogener Daten vor, nachdem der Zweck der Aufbewahrung der Daten erloschen ist. Dieser Aufsatz beschreibt Vorgehensweisen, wie diese Löschpflicht in Kundenbeziehungsmanagementsystemen (CRM) umgesetzt werden kann.
Das Löschen nach der DSGVO - Eine Diskussion der datenschutzkonformen Umsetzung bei E-Mails
Erdem Durmus, Annika Selzer, Dr. Ulrich Pordesch
DuD, Heft 12, 2019
Die DSGVO schreibt Verantwortlichen vor, personenbezogene Daten nach Erreichung des Zwecks ihrer Verarbeitung zu löschen. Einer Löschpflicht stehen häufig zahlreiche (spezial-) gesetzliche Aufbewahrungspflichten gegenüber. In der betrieblichen Praxis ist die E-Mail eines der wichtigsten Kommunikationsmittel, das gezielte Bewerten und Löschen von tausenden E-Mails stellt jedoch eine komplexe Herausforderung dar. Der Beitrag diskutiert verschiedene Lösungsmöglichkeiten, diese Herausforderung zu meistern.
Verschlüsselung in der Cloud
Michael Herfert, Benjamin Lange, Dominik Spychalski
Digma, Ausgabe 3/2019
Bei Cloud-Diensten bietet sich Verschlüsselung als Schutzmaßnahme an. Nur: Was meint "Verschlüsselung"? Welchen Schutz bringen die verschiedenen Verschlüsselungslösungen? Was taugen neue Ansätze wie Hardware-basierte sichere Ausführungsumgebungen oder homomorphe Verschlüsselung? Und wie steht es mit der Langzeitverschlüsselung?
Kryptografie-Experte Michael Herfert zur "Volksverschlüsselung"
Michael Herfert und Jürgen Hartz
BvD-News, Ausgabe 2/2019
Fehlende sichere Verschlüsselung ist immer noch eine große Schwachstelle der elektronischen Kommunikation, nicht nur im privaten Bereich, sondern auch im geschäftlichen. Viele Unternehmen versenden vertrauliche Informationen als offene E-Mail oder Dokumente, selbst mit sensiblen geschäftlichen oder gar Gesundheitsdaten, als unverschlüsselte Anlage. Die Volksverschlüsselung will hier Abhilfe schaffen und Verschlüsselung so einfach machen, dass sie flächendeckend eingesetzt wird.
Datenschutz und Datenanalyse
Von Martin Steinebach, Erik Krempel, Christian Jung und Mario Hoffmann
DuD, Heft 7, 2016
Eine der großen Chancen von Big Data sind neue Erkenntnisse, die sich durch die schnelle und flexible Analyse großer Datenmengen ergeben. Um diese Analyse aber rechtskonform durchzuführen, bedarf es der Beachtung des Datenschutzes, sobald auf personenbezogene Daten zugegriffen wird. Mittlerweile existieren verschiedene Ansätze und Konzepte, wie Datenschutz und Datenanalyse vereint werden können.
Laientaugliche Schlüsselgenerierung für die Ende-zu-Ende-Verschlüsselung
Von Michael Herfert, Annika Selzer und Ulrich Waldmann
DuD, Heft 5, 2016 BibTeX)
Mehr als dreißig Jahre sind seit der Erfindung asymmetrischer Verschlüsselungsverfahren vergangen, und noch immer finden jene kryptographischen Verfahren längst nicht überall dort Anwendung, wo sie z. B. vor Massenüberwachung schützen könnten. Wichtige Ursachen dafür sind insbesondere Schwierigkeiten bei der Verbreitung von Verschlüsselungsschlüsseln sowie die fehlende Benutzerfreundlichkeit existierender Lösungen. Vor diesem Hintergrund stellt dieser Beitrag die Volksverschlüsselung vor, die eine laientaugliche und sichere Schlüsselgenerierung, Zertifizierung und automatische Integration der Schlüssel in die Anwendungen vorsieht.
Die teilautomatisierte Verifizierung der getrennten Verarbeitung in der Cloud
Von Bernd Jäger, Reiner Kraft, Annika Selzer und Ulrich Waldmann
DuD, Heft 5, 2016 BibTeX)
Automatisiert mess- und auswertbarer Datenschutz in Cloud-Umgebungen kann potenziellen Cloud-Nutzern Datenschutzbedenken nehmen. Doch für jede Messung müssen vorab geeignete Datenquellen gefunden und sinnvoll kombiniert werden, um sich einer automatisierten Verifikation von Datenschutzzielen anzunähern. Der Beitrag schlägt ein solches Vorgehen für das Datenschutzziel der getrennten Verarbeitung vor.
Die Kontrolle des Umsetzungsgrades des Zugangs- und Zugriffsschutzes
Von Bernd Jäger, Reiner Kraft, Annika Selzer und Ulrich Waldmann
DuD, Heft 4, 2016 BibTeX)
Weit verbreitete Datenschutzbedenken gegen Cloud-Dienste hemmen deren Nutzung. Der Beitrag beleuchtet, wie man mit automatisierten Datenschutzkontrollen, die dem Nutzer den Umsetzungsgrad von Datenschutzzielen anzeigen, dieser Barriere begegnen kann.
Die Gretchenfrage: Wie halten Sie’s mit der App-Sicherheit?
Von Jens Heider
DuD, Heft 1, 2014
Durch die immer stärkere Integration von Smartphones und Tablets in den Arbeitsalltag basiert die Sicherheit von Unternehmensdaten nicht mehr nur auf der Absicherung auf Netzwerk-und Endgeräteebene. Die Vertrauenswürdigkeit und Sicherheitsqualität der Flut von Apps für die Anforderungen von Unternehmen sicherzustellen, erfordern auch einen kritischen Umgang mit der Software. Mit den Ergebnissen von App-Massentests werden Beispiele dieser Herausforderung aufgezeigt und Strategien im Umgang mit den Risiken diskutiert.
Die Kontrollpflicht nach § 11 Abs. 2 Satz 4 BDSG im Zeitalter des Cloud Computing
Von Annika Selzer
DuD, Heft 4, 2013
Nutzt ein Unternehmen etwa für die Verwaltung von Kunden- bzw. Mitarbeiterdaten einen Cloud Computing Service, so handelt es sich in der Regel um eine Auftragsdatenverarbeitung nach § 11 BDSG. Das Unternehmen ist als Auftraggeber dazu verpflichtet den Auftragnehmer vor Beginn der Datenverarbeitung und sodann regelmäßig im Hinblick auf die Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu kontrollieren und das Ergebnis zu dokumentieren. Eine Vor-Ort-Kontrolle scheint im Zeitalter des Cloud Computing nicht realistisch umsetzbar. Der Aufsatz beschäftigt sich daher mit Alternativen zur Vor-Ort-Kontrolle.
Geht Ihr Smartphone fremd?
Von Jens Heider und Rachid El Khayari
DuD, Heft 3, 2012
Smartphones haben sich längst als praktische Alleskönner durchgesetzt und sind aus dem Unternehmensalltag nicht mehr wegzudenken. Genauso unerlässlich wie das allgegenwärtige Nutzen ihrer vielfältigen Funktionen ist aber auch ihre Absicherung geworden. Der Beitrag stellt die wichtigsten Angriffsvektoren vor, die für eine Unternehmensabsicherung berücksichtigt werden sollten, um die Kontrolle über die genutzten Informationen zu behalten.