<kes> Jahresinhaltsverzeichnis 2007

<kes> 2007#1	<kes> 2007#2	<kes> 2007#3
<kes> 2007#4	<kes> 2007#5	<kes> 2007#6

Informationen zum <kes>-Special Mobile Security finden Sie hier.

Bedrohung

Zum Sprung bereit

Sind Viren und Würmer für Handys bereits eine akute Bedrohung oder stellen sie eher eine lauernde Gefahr dar? Ein Resümee über die Entwicklung mobiler Malware und eine aktuelle Risikoanalyse liefert

<kes> 2007^#1, Seite 76

Praktisches Teufelszeug

USB-Sticks sind heute das bevorzugte mobile Speichermedium. Neben unbestreitbaren praktischen Vorteilen bringen sie aber auch deutliche Risiken mit sich – eine Bestandsaufnahme.

<kes> 2007^#1, Seite 80

AJAX, aber sicher!

Was bedeutet die Web-2.0-Technik des Asynchronous Javascript and XML – kurz: AJAX – für die Sicherheit der Client/Server-Umgebung von Web-Anwendungen? Die Antwort gibt

<kes> 2007^#1, Seite 86

Trau, schau, wem

Nicht nur IT-Systeme, sondern auch Menschen stehen im Fokus von Angreifern: Wie Social Engineering funktioniert und was man dagegen machen kann.

<kes> 2007^#1, Seite 92

Gute Dienste, schlechte Dienste

Unsicher konfigurierte Windows-Dienste von Drittanbietern ermöglichen auf vielen Systemen unbefugte Zugriffe über das Netzwerk. Unsere Autoren beschreiben, wie leicht das gehen kann und was sich dagegen tun lässt.

<kes> 2007^#3, Seite 6

Ausdrucksschwach

Mangelhafte Dokumentation ist zumindest ein Ärgernis, oft auch ein Risiko. Das beginnt bereits damit, dass heutzutage häufig nur noch eine CD-ROM statt eines gedruckten Handbuchs mitgeliefert wird.

<kes> 2007^#4, Seite 22

Bloggers beware!

Es wird gebloggt, was das Zeug hält – auch im professionellen Bereich. Neben den neuen Möglichkeiten sollten dabei auch neue Risiken Beachtung finden. Wir liefern Tipps für sicheres Bloggen im Unternehmensumfeld.

<kes> 2007^#5, Seite 11

Footprinting

Vor einer Attacke sammeln Angreifer zunächst Informationen über ihr Ziel. Welche Quellen zur Angriffsvorbereitung Hacker und Cyber-Kriminelle nutzen und was man dagegen machen kann, beschreibt

<kes> 2007^#5, Seite 16

Holzwege

Trojanische Pferde stellen eine enorme Bedrohung dar, die jedoch nicht immer richtig beurteilt wird. Gerade für Erfolg versprechende Gegenmaßnahmen ist ein Blick auf die aktuellen Trojaner-Trends hilfreich.

<kes> 2007^#5, Seite 78

Chiffrierte Risiken

Auch Sicherungsmaßnahmen können die Sicherheit beeinträchtigen: Nicht ganz neu, aber noch immer häufig ungelöst ist die Nicht-Prüfbarkeit verschlüsselter Inhalte am Gateway – ein Überblick über Bedrohung und Gegenmaßnahmen.

<kes> 2007^#5, Seite 84

Gläserne Leitung

Auch Glasfaser-Netzwerke sind nicht per se gegen Abhören gefeit. Das Lauschen am Lichtwellenleiter gestaltet sich – entgegen vielfach verbreiteter Meinung – heute auch nicht schwieriger als an anderen Datenleitungen.

<kes> 2007^#6, Seite 14

• siehe auch Checkliste zur Informations-Sicherheit

Management und Wissen

Fruchtbarer Austausch

Verlässliche Daten über Sicherheitsvorfälle sind Mangelware. Eine EU-Initiative will ergründen, wie sich eine neutrale und länderübergreifende Informationsbasis schaffen lässt.

<kes> 2007^#1, Seite 6

VoIP Compliance

Beim Einsatz von Voice over IP (VoIP) im Unternehmen können unerwartete gesetzliche Pflichten auf den Betreiber zukommen. Was zu beachten ist, beschreibt unser Autor ab

<kes> 2007^#1, Seite 12

Doppelt effizient

Formale Aufgaben des IT-Sicherheitsmanagements ähneln häufig stark denen des IT-Qualitäts-Managements. Gemeinsame Strukturen können hier deutliche Einsparungen bewirken.

<kes> 2007^#1, Seite 18

Provider unter Druck

Serviceorientierte Architekturen (SOA) und durchgehende Geschäftsprozesse benötigen angepasste Angebote durch IT-Dienstleister. Eine Expertenrunde äußert sich zu den erwarteten Veränderungen.

<kes> 2007^#1, Seite 23

Krypto-Konsolidierung

Enterprise Encryption Platforms treten an, um verschiedene Verschlüsselungslösungen im Unternehmen unter gemeinsame Verwaltung zu stellen. Vorzüge und Voraussetzungen diskutiert

<kes> 2007^#2, Seite 6

European Citizen Card

"Eine für alles" soll künftig die europäische Bürgerkarte in Sachen elektronischer Identifizierung sein, sowohl im hoheitlichen als auch im privatwirtschaftlichen Bereich.

<kes> 2007^#2, Seite 10

Revisionssicher ... ach was?!

Alles, so scheint es, will und muss heute revisionssicher sein. Doch halten die Angebote, was das Modewort verspricht? Eine bissige Reflexion über Sinn, Unsinn und Hintersinn des Buzzwords.

<kes> 2007^#2, Seite 14

Tiefergelegt

Was IPsec für TCP/IP, das wird MACSec für die tieferen Netzwerkschichten: Zwei neue IEEE-Standards behandeln Sicherheitsmechanismen auf der Media-Access-Control-(MAC)-Ebene.

<kes> 2007^#2, Seite 18

Grundschutz im Wirkungsnetz

Das hier geschilderte Verfahren zum Risikomanagement auf der Basis von IT-Grundschutz und dem BSI-Standard 100-3 deckt die Anforderungen der ISO 27001 ab und eignet sich auch für höheren Schutzbedarf.

<kes> 2007^#2, Seite 50

Bit, Blatt oder Bild?

Zur langfristigen Aufbewahrung von Akten und Dokumenten gibt es heute eine ganze Reihe von Möglichkeiten, deren Wirtschaftlichkeit sich aber je nach den konkreten Anwender-Erfordernissen deutlich unterscheiden kann. Einen Überblick und Tipps zur Auswahl der richtigen Verwahrungsform für ein Langzeitarchiv gibt

<kes> 2007^#3, Seite 50

Weniger hält länger

Änderungen und Erweiterungen von Features sind in der IT an der Tagesordnung – auch bei Datei-Formaten. Damit man ein gespeichertes Dokument dennoch auch in vielen Jahren – unabhängig von der generierenden und darstellenden Software – "richtig" lesen kann, wurde der ISO-Standard PDF/A definiert.

<kes> 2007^#3, Seite 54

Speicher-Schlüssel

Auch Informationen im "ruhenden Datenverkehr" benötigen Schutz – umso mehr sogar, wenn es sich um sensitive Daten handelt, die über einen langen Zeitraum, möglicherweise revisionssicher, aufzubewahren sind. Ansatzpunkte und Auswahlkriterien für Storage-Verschlüsselung beschreibt der Beitrag ab

<kes> 2007^#3, Seite 58

SOA – das unbekannte Wesen

Alle sprechen von serviceorientierten Architekturen – kurz: SOA. Dass dabei aber nicht jeder dasselbe vor Augen hat, zeigt unsere virtuelle Debatte an der Kaffeetafel.

<kes> 2007^#4, Seite 6

SOA-Security mit ONR 17700

Das Regelwerk 17700 des Österreichischen Normungsinstituts umfasst Vorgaben für die sichere Entwicklung und Beschaffenheit von Web-Applikationen und lässt sich auch auf SOA-Web-Services anwenden.

<kes> 2007^#4, Seite 13

PRONOE

PRONOE steht für Process and Risk Oriented Numerical Outgoings Estimation – und beschreibt eine Methodik zur risikoorientierten Kosten-Nutzen-Balance im Informations-Sicherheits-Management.

<kes> 2007^#4, Seite 44

Bitte bitgenau!

Nach dem Eintritt eines Schadensfalls muss man sorgsam vorgehen, um am "Tatort PC" digitale Beweismittel gerichtsverwertbar zu sichern. Ansonsten droht der Verlust der Beweiskraft.

<kes> 2007^#5, Seite 23

Datenschutz und IT-Grundschutz

Nach vielen Jahren Arbeit ist nunmehr der Baustein "Datenschutz" als Hilfsmittel in die IT-Grundschutz-Kataloge des BSI aufgenommen worden – ein wichtiger Schritt zur Integration von Datenschutz und Sicherheit.

<kes> 2007^#5, Seite 59

Balance statt Blockade

Zeitgemäßer Datenschutz ist heute sowohl gesetzeskonform als auch ökonomisch orientiert und schafft – richtig "gelebt" – erhebliches Synergiepotenzial im Unternehmen.

<kes> 2007^#5, Seite 65

Surf nicht zu den Schmuddelkindern

Auch seriöse Webseiten können ein zweites Gesicht haben und – beispielsweise nach erfolgreichen Angriffen durch Dritte – zur Verbreitung von Viren und Würmern beitragen. Unser Autor plädiert für eine reputationsbasierte Malware-Abwehr als Ergänzung zum klassischen Scanner.

<kes> 2007^#5, Seite 70

Die guten ins Töpfchen...

Da es mittlerweile mehr Malware als legitime Software gibt, stellt sich die Frage, ob die Zukunft des Virenschutzes im Whitelisting steckt. Diese verlockende Idee hat aber auch eine Schattenseite.

<kes> 2007^#5, Seite 75

Alles im Blick

Dieser Beitrag schlägt ein ganzheitliches Informations-Sicherheits-Management-System (ISMS) mit konkreten Kennzahlen und basierend auf anerkannten Standards und Best Practises vor.

<kes> 2007^#5, Seite 86

Kollateralschäden

Der neue "Hacker-Paragraph" im verschärften deutschen Computer-Strafrecht verbietet seit August auch bestimmte Vorbereitungshandlungen. Neben einer weiterhin unklaren Rechtslage bei Sicherheits-Tools befürchtet unser Autor auch Auswirkungen auf das Arbeits- und Wettbewerbsrecht.

<kes> 2007^#6, Seite 6

Am Drehkreuz

Auch die baulich-physische Sicherheit ist ein Dreh- und Angelpunkt der IT-Security. Verschiedene Standards zur Informationssicherheit enthalten daher auch Anforderungen an den Zutrittsschutz – dieser Beitrag gibt einen Überblick über entsprechende Normen und Kontrollziele.

<kes> 2007^#6, Seite 43

Weniger Server braucht mehr Sicherheit

Wenn nach der Server-Konsolidierung weniger physische Systeme dieselbe Leistung erbringen müssen, hat das deutliche Konsequenzen für die physische Sicherheit virtualisierter Server. Tipps für gute Verfügbarkeit trotz höherer Packdichte gibt

<kes> 2007^#6, Seite 48

EBICS

Mit dem Electronic Banking Internet Communication Standard (EBICS) steht seit einiger Zeit ein neues multibankfähiges E-Banking-Verfahren zur Verfügung, das alle deutschen Finanzinstitute ab Januar 2008 unterstützen müssen.

<kes> 2007^#6, Seite 63

Security Champs

Mangelt es Mitarbeitern an Sicherheitsbewusstsein, stellt dies ein deutliches Risiko dar – die Gegenmaßnahme heißt Security-Awareness-Kampagne. Die Fiducia IT AG beschreibt in einem Projektbericht Ablauf und Ziele einer solchen Aktion in ihrem Haus.

<kes> 2007^#6, Seite 68

Wer wars wirklich?

Zur besseren Abwehr von Phishing-Mails sind seit einiger Zeit Verfahren zur Authentifizierung der Absender-(Domains) von E-Mails im Gespräch. Wie DomainKeys Identified Mail (DKIM) funktioniert und was dieses Vorgehen bringen kann, beschreibt

<kes> 2007^#6, Seite 74

• siehe auch Checkliste zur Informations-Sicherheit
• siehe auch Schwerpunkt Business Continuity
• siehe auch Schwerpunkt Identity- und Access-Management
• siehe auch Schwerpunkt Public Key Infrastructures

Systeme und ihr Umfeld

Software Kung-Fu

Sicherheitskomponenten sind naturgemäß auch selbst ein primäres Angriffsziel und sollten daher grundlegende Möglichkeiten zur Selbstverteidigung von Security-Systemen nutzen.

<kes> 2007^#1, Seite 96

Schöne Aussichten

Vista soll das "sicherste Windows aller Zeiten" sein, verspricht Microsoft. Einen Überblick über die Mechanismen, die das umsetzen sollen, gibt

<kes> 2007^#1, Seite 100

Host for Services

Neue Architektur muss nicht neue Hardware bedeuten, meint unser Autor und beschreibt Sicherheit und Performance des Mainframe als Grundlage für serviceorientierte Architekturen (SOA).

<kes> 2007^#4, Seite 16

Forensik bei mobilen Endgeräten

Auch auf Handys, Smartphones und Personal Digital Assistants (PDAs) landen heute wichtige Unternehmensdaten. Welche Möglichkeiten zum Sicherstellen bei internen Ermittlungen oder auch zu Angriffen und Recovery bestehen, beschreibt der Beitrag ab

<kes> 2007^#4, Seite 24

Virtuelle Poststellen

Unsere Marktübersicht informiert über 14 Lösungen zur zentralen Umsetzung von Verschlüsselung und elektronischer Signatur für E-Mails.

<kes> 2007^#4, Seite 69

Bestandsaufnahme Vista Security

Nach neun Monaten auf dem Markt hat unser Autor ergründet, wie es in der Praxis um die neuen Sicherheitsmechanismen von Windows Vista bestellt ist und wie das neue Betriebssystem angenommen wird.

<kes> 2007^#5, Seite 6

Ach wie gut, dass niemand weiß...

The Onion Router – kurz: TOR – ist ein Anonymisierungs-System, das auch für professionelle Anwendungen zunehmend interessant werden könnte. Denn im TOR-Netzwerk ist neben dem unerkannten Zugriff auf Dienste auch das anonyme Bereitstellen von (Web-)Services möglich.

<kes> 2007^#6, Seite 78

CeBIT 2007

Messevorschau

Vom 15. bis 21. März 2007 steht Hannover wieder im Zeichen der CeBIT. Einen Ausblick, was es dort in Sachen Sicherheit zu sehen geben wird, liefert unsere Messevorschau.

<kes> 2007^#1, Seite 28

TeleTrusT-Sonderteil: Trusted Computing für vertrauenswürdige Geschäftsprozesse

Die TeleTrusT-Seiten beleuchten Historie, Anwendungschancen und Zukunftsaussichten für Trusted Computing.

<kes> 2007^#1, Seite 33

CEFIS informiert: IT-Security Meeting @ CeBIT 2007

Auch in diesem Jahr vereint das Centrum für Informationssicherheit (CEFIS) in Halle 7 auf Stand D 22 Anbieter von IT-Security mit der Sonderpräsentation "Das sichere Rechenzentrum".

<kes> 2007^#1, Seite 46

CeBIT 2007

Unsere Messenachlese mit Informationen zu Produkten und Ausstellern in Sachen Sicherheit.

<kes> 2007^#2, Seite 44

SYSTEMS / IT-SecurityArea 2007

Aktionen auf der it-sa

Wenn am 23. Oktober die IT-SecurityArea (it-sa) auf der SYSTEMS ihre Tore öffnet, wird es neben Messeständen zur Informations-Sicherheit auch wieder zwei offene Foren und einige Sonderflächen zu sehen geben. Einen Ausblick liefert

<kes> 2007^#4, Seite 77

Messevorschau

Die IT-SecurityArea (it-sa) zeigt in Halle B3 der SYSTEMS (München, 2007-10-23/26) Produkte und Dienstleistungen zur Informations-Sicherheit. Einen Vorgeschmack auf Produkte und Aussteller gibts ab

<kes> 2007^#5, Seite 38

Messenachlese

Vier Tage im Oktober standen in der Neuen Messe München SYSTEMS und IT-SecurityArea (it-sa) auf der Tagesordnung. Einen Rückblick auf Produkte und Aussteller gibt unsere Messenachlese auf

<kes> 2007^#6, Seite 38

Messen und Kongresse

Innovationsmotor IT-Sicherheit

Ein kleines Jubiläum feiert das BSI im Mai mit dem 10. Deutschen Sicherheitskongress (2007-05-22/24, Bonn). Eine Rückschau auf die Entwicklung dies

<kes> 2007^#2, Seite 24

Stimmen vom 10. BSI-Kongress

Vom 22.–24. Mai fand in Bonn, Bad Godesberg der 10. Deutsche IT-Sicherheitskongress des BSI statt. Einige wichtige Aussagen aus den Eröffnungsvorträgen und der Podiumsdiskussion fasst unsere Nachlese zusammen.

<kes> 2007^#3, Seite 30

Infosecurity Europe 2007

Kurz vor Redaktionsschluss fand in London die diesjährige Infosecurity Europe statt. Ausstellungshighlights zeigt unsere zweite Messenachlese ab

<kes> 2007^#2, Seite 48

<kes>/Microsoft-Sicherheitsstudie 2008

Checkliste zur Informations-Sicherheit

Schlagen Sie mehrere Fliegen mit einer Klappe: Nutzen Sie den Fragebogen zur neuen <kes>/Microsoft-Sicherheitsstudie als Checkliste zur Beurteilung Ihrer eigenen Sicherheitslage und helfen Sie gleichzeitig beim Zusammentragen wertvoller Informationen zu Strategien, Risiken, Angriffen und Gegenmaßnahmen.

<kes> 2007^#6, Seite 17

Schwerpunkt: Business Continuity

Notfall und Normalbetrieb

Business-Continuity-Management (BCM) bietet im Zusammenspiel mit anderen Management-Disziplinen erhebliches Synergiepotenzial. Damit lassen sich oft Kosten sparen und Qualitätssteigerungen erzielen.

<kes> 2007^#2, Seite 54

Griffbereit und nutzbar

Die beste Notfalldokumentation nutzt nichts, wenn sie im Falle eines Falles nicht greifbar ist. Einige Möglichkeiten, die Verfügbarkeit on- wie offline zu verbessern, beschreibt

<kes> 2007^#2, Seite 59

Ausweich-Rechenzentren

Unsere aktualisierte Marktübersicht informiert über die Angebote von 13 Dienstleistern von Backup-RZs und Ausweich-Flächen.

<kes> 2007^#2, Seite 62

Partnersuche fürs RZ

Outsourcing kann sich beim Betrieb hochverfügbarer Rechenzentren (RZ) oft rechnen. Bei der Auswahl des passenden Dienstleisters sollte man jedoch einiges beachten.

<kes> 2007^#2, Seite 67

Wirksam Sparen

Anlagen zur unterbrechungsfreien Stromversorgung (USV) verursachen erhebliche laufende Kosten. Angesichts steigender Energiepreise lohnt es sich, bei der Anschaffung zweimal zu rechnen.

<kes> 2007^#2, Seite 70

Schwerpunkt: Identity- und Access-Management

Identity- und Access-Management

Identity- und Access-Management (IAM) ist mehr als nur die Verwaltung von Zugangskennungen, mehr als nur Technik. Auf dieser Grundlage fasst die Autorin aktuelle Entwicklungen und Ziele des IAM zusammen und gibt Empfehlungen, wie man das Potenzial von IAM für Geschäftsprozesse und -entwicklung erschließen kann.

<kes> 2007^#3, Seite 15

IAM und der K-Fall

Je stärker sich eine Organisation Identity- und Access-Management (IAM) zunutze macht, desto wichtiger wird auch die Gewährleistung der zugehörigen Systeme und Prozesse im Stör- oder Notfall. Daher geht es in diesem Beitrag um die Einbindung von IAM in die Business-Continuity-Strategie.

<kes> 2007^#3, Seite 21

Name gleich Schlüssel

Ohne Public-Key-Infrastruktur, nur mithilfe des Empfängernamens chiffrieren? Theoretisch geht das. Die kryptographische Lösung hierfür heißt identitätsbasierte Verschlüsselung. Welche Möglichkeiten und Grenzen das in der Praxis heute hat, behandelt der Artikel ab

<kes> 2007^#3, Seite 27

Schwerpunkt:
Public Key Infrastructures

Aus Erfahrung ...

Die PKI des Deutschen Forschungsnetzes besteht seit über 10 Jahren. Ihre wichtigsten Erfahrungen hat sie allerdings erst in den letzten Jahren gemacht, in denen eine grundlegende Neuausrichtung zu deutlich gestiegenen Teilnehmerzahlen geführt hat.

<kes> 2007^#4, Seite 50

CAcert – die Community CA

PKI muss nicht teuer sein – als Dienstleistung in einer Community geht es sogar kostenlos! Unser Beitrag beschreibt Chancen, Grenzen und Technik einer gemeinnützigen Certificate Authority.

<kes> 2007^#4, Seite 54

PKI für die Praxis

Wann funktioniert eine PKI wirklich gut? Eine gemeinsame Studie des TeleTrusT und der FH Brandenburg ist Hemmnissen und Erfolgskriterien auf den Grund gegangen.

<kes> 2007^#4, Seite 60

CERT News

Effektiv? Effizient? Oder beides? (1)

Werden Organisationen wirklich aus Erfahrung klug? Eine norwegische Forschungsarbeit will mit Mythen aufräumen und Anregungen für besseren Umgang mit (Miss-)Erfolgen in Sachen Sicherheit geben.

<kes> 2007^#1, Seite 10

Effektiv? Effizient? Oder beides? (2)

Werden Organisationen wirklich aus Erfahrung klug? Eine norwegische Forschungsarbeit will mit Mythen aufräumen und Anregungen für bessere und nachhaltige Ressourcenplanung (nicht nur) im CERT geben.

<kes> 2007^#2, Seite 72

Effektiv? Effizient? Oder beides? (3)

Im dritten Teil der Reihe über Erkenntnisse einer norwegischen Forschungsarbeit berichtet die CERT-Rubrik über langfristige Dynamikschwankungen in der Arbeit von Computer-Notfallteams, die sich aber auch auf andere serviceorientierte Aufgaben übertragen lassen.

<kes> 2007^#3, Seite 12

Terror überall ...

Dass etwas gegen die Bedrohung durch den Terrorismus getan werden muss, ist unstrittig. Bei der Debatte um die Reichweite und Art staatlicher Sicherheitsmaßnahmen in Bezug auf die IT sollten Sicherheitsspezialisten verstärkt ihr Wissen einbringen.

<kes> 2007^#4, Seite 30

Schwachstellen: immer mehr? – eher: immer noch!

Nach anderthalb Jahren nimmt die CERT-Rubrik erneut Sicherheits-Advisories und ihre Hintergründe unter die Lupe.

<kes> 2007^#5, Seite 32

Die perfekte Welle

Auch wenn ein für den 11. November angekündigter Denial-of-Service-Angriff auf westliche Regierungsserver keine nennenswerte Wirkung gezeigt hat: Cyberwar und Netzterrorismus sind durchaus reale Bedrohungen. Gedanken zur Verfügbarkeit unserer IT-Systeme finden Sie auf

<kes> 2007^#6, Seite 36

ISACA informiert

Code-Konventionen (2)

Der zweite Teil des Beitrags zu Revision und Qualitätssicherung von Java-Programmquellen stellt ein Software-Tool zur Prüfung der Code-Konventionen vor.

<kes> 2007^#1, Seite 73

Six Sigma für Sicherheit

In der Industrie verbessert die Methodik Six Sigma vorrangig Produktivität und Qualität von Herstellungsprozessen. Doch sie kann auch bei der Optimierung von Sicherheitsprozessen helfen.

<kes> 2007^#2, Seite 16