Percepticon.de

2011 wurde die erste Cybersicherheitsstrategie veröffentlicht, 2016 die zweite. Nun kommt Aufschlag Nummer drei. Ich habe mir mal die brandneue, 120 Seiten starke, Cybersicherheitsstrategie Deutschlands angeschaut, die seit kurzem im Entwurf vorliegt. Das Innenministerium wünscht sich konkret Kommentare der Zivilgesellschaft dazu, worauf ich gerne eingehe. Ich gehe die Cybersicherheitsstrategie Schritt für Schritt durch und picke mir die Ziele raus die mir sinnvoll und weniger sinnvoll erscheinen und kommentiere dazu. Dann müsst ihr das nicht machen 😉

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed. Apple Podcasts unterstützt gegenwärtig kein HTML mehr, weshalb das hier alles etwas durcheinander ist.

Die KollegInnen Franziska Sandt und Vanessa Vohs von UN-Hörbar und UN-Recht haben angefragt, ob man nicht mal was zum Thema Vereinte Nationen und „Cyber“ machen könnte. Herausgekommen ist diese Kooperationsfolge. Wir sprechen darüber, warum Cyber Konflikte für die UNO nicht ganz einfach lösbar sind, welche Entwicklungen es im Rahmen von UN ExpertInnen, den sogenantnen Governmental Group of Experts in den letzen Jahren gab und was das Völkerrecht zum Thema Cyber Konflikte zu sagen hat.

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

UNO, Cyber Norms, International Law

Cyber-Angreifer müssen nur eine Schwachstelle ausnutzen während die Verteidigung alle Löcher stopfen muss. So lautet eines der Argumente für die These, dass Cyber-Angreifer es leichter haben als die IT-Sicherheit. Um es mit der NSA auszudrücken „the attacker will always come through“. In der Politikwissenschaft ist das ein Argument der „Offense-Defense Theory“. Die besagt, dass wenn Angriffe leichter sind als Verteidigung, das Konflikt- und Eskalationsrisiko steigt. Das ist oftmals eine Frage von Technologie: bestimmte Technologien, so die Theorie, befördern die Offensive zu Lasten der Defensive. Bestimmte Technologien würden also einen offensiven Vorteil bringen. Die Frage ist, ob diese Offence-Defence Balance Theorie auch dafür taugt, Cyber-Konfliktverhalten zu erklären. Sind Cyber-Angriffe wirklich leichter, effizienter oder kostengünstiger als die Verteidigung dagegen? Das gucken wir uns in dieser Folge an.

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

Incident Response, CERT, phishing, awareness, ransomware

Ihr wurdet gehackt! Jemand hat eure Katzenbildersammlung verschlüsselt und verlangt ein Lösegeld von 25 Dogecoins. Ihr seid ratlos! Was tun? Das ist ein Job für Incident Response, also konkret für Computer Emergency Response Teams (CERT). Heute habe ich Detmar zu Gast, der bei einem CERT arbeitet und mal darüber berichtet, wie die Bearbeitung von Cyber-Vorfällen denn so aussieht. Also was macht man eigentlich, wenn man gehackt wurde? Wir reden über die Abwehr und Verteidigung gegen Cyber-Angriffe, über häufige Fehler die Organisationen machen, über beliebte Einfallstore für Hacker und wen man anrufen muss, wenn dann doch mal etwas schief gegangen ist. Wir reden über „awareness“ bei phishing Mails und über die wichtigsten Schutzmaßnahmen, die gegen Cyber-Angriffe helfen. Am Ende ist das alles dann häufig weniger eine technische Frage sondern eher eine von Prozessen, Vorbereitung und gutem Leadership. Eine sehr coole Folge, wie ich finde!

8:00 Was ist ein CERT? Was für CERTS gibt es?

14:30 Großschadensereignisse, Triage

20:00 Worauf muss ich als Kunde/in achten, wenn ich ein CERT anheure?

25:00 Was die Defensive tun kann (wenn sie genügend Zeit dafür hat).

38:00 Was tun wenns brennt?

55:00 Awareness & Top 5 Schutzmaßnahmen gegen Cyber-Angriffe

01:01:06 Automatisierte Angriffe & Patches

01:13:50 Pflichten von Softwareherstellern für einheitliche Patches

1:19:31 Leadership & Sicherheitskultur

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

Incident Response, CERT, phishing, awareness, ransomware

Solarwinds ist der Name für einen Cyber-Angriff gegen eine Netzwerkmanagement Software, der Ende 2020 bemerkt wurde. Der Hack hat globale Implikationen: Hunderttausende Firmen sind davon potenziell betroffen, hunderte Regierungseinrichtungen weltweit und diverse Firmen. Die Implikationen von Solarwinds für IT-Sicherheit und Cyber-Konfliktdynamiken sind vielfältig. Ich plaudere mit Sven Herpig von der Stiftung Neue Verantwortung darüber. Was ist passiert? Was wissen wir? Waren es die Russen? Warum ist der Hack schlecht? Was bedeutet das Thema für die US Cyber-Abwehr von „persistent engagement“ bis hin zu „detetence by denial“? Was bedeutet das für Deutschland? tl;dr: Alle gängigen Annahmen über Cyber-Abwehr haben versagt, sowohl defensive als auch offensive Bemühungen.

1:40 Was ist Orion?

5:30 Backrohr und Tarnmechanismen

15:30 Betroffene Akteure

21:00 Wer wars?

25:00 Warum ist das schlimm?

28:48 CNA/CNE und persistent engagement

37:30 Cyber Abwehr und „deterrence by denial“, Einstein 3

43:20 Neue US Regierung

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

persistent engagement, cyber war, cyber conflit, deterence by denial, persistent engagement, Russland, USA, President Joseph Biden, BND, Deutschland

Liebe Leute, die erste Folge im neuen Jahr eskaliert gleich mal. Haha! Ich spreche über Cyber Eskalation. Genauer gesagt über den aktuellen Forschungsstand zur Frage, eskalieren Cyber-Angriffe? Was heißt Eskalation eigentlich? Folgen darauf Gegenangriffe? Steigt die Intensität einer Auseinandersetzung an, wenn man einen Hackback macht? Dazu gucken wir uns einen Klassiker der Eskalationsforschung an sowie einige neure Forschungspapiere zum Thema Cyber Eskalation.

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

Cyber Eskalation, Cyber Escalation, Eskalationsleiter, Escalation ladder

Was haben der Flash Player und Windows XP gemeinsam…außer, dass ich Anfang der 2000er viel zu viel Zeit mit ihnen verbracht habe….omg Yetisports…? Wo war ich? Ach ja! Sie waren beide extrem populäre, aber auch unsichere Softwareprodukte. Also voller Bugs und IT-Schwachstellen. Beide Produkte wurden nicht nach „security by design“ Prinzipien entwickelt. Das ist ein Problem, weil dann Millionen von Nutzern über Jahre hinweg unsichere Software einsetzen. Warum Software von grund auf sicher gebaut werden sollte, darüber rede ich heute mit Dennis Stolp. Dennis unterrichtet „security by design“  an der FH Aachen und ist Product Owner bei exceet Secure Solutions GmbH. Er hat mich vor einer weile angeschrieben und gefragt, ob wir das Thema nicht mal mehr in den Fokus rücken wollen. Denn, im Informatik-Studium kommt das so nicht unedingt vor. Auch Zeitdruck und Marktfaktoren wie fehlende Nachfrage führen dazu, dass IT „security by design“ in der Softwareentwicklung oft zu kurz kommt. Wie man das in den Griff bekommt, das erfahrt ihr in der Folge!

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

IT-Sicherheit, Security by design, secure software development, Secure development life cycle, Informatikstudium

Cyber War Gaming bringt zwei seltsame Begriffe zusammen, War und Gaming. Auf den ersten Blick scheinen die nicht viel gemeinsam zu haben. Dabei ist Cyber War Gaming ein wichtiges Entscheidungstool für Situationen, in denen man Komplexität kaum überblicken kann. Etwa wenn eine Situation von großer Unsicherheit geprägt ist oder wo man nicht genügend Daten hat. Das gilt für Kriege und Konflikte, etwa des Vietnam Krieges, aber auch für Situationen wie die Beeinflussung der US Wahl 2020 durch fremde Nachrichtendienste.

Ich spreche in der heutigen Folge mit Oberstleutnant Thorsten Kodalle, der bei der Führungsakademie der Bundeswehr und der NATO Cyber War Gaming lehrt. Dabei stellt sich heraus, dass Cyber War Gaming eben nicht nur für Streitkräfte ein hilfreiches Werkzeug ist, sondern auch in Business oder Think Tank Kontexten sehr wertvoll sein kann. Der spielerische Zugang zu komplexen Themen wie Cyber-Security und Cyber War erlaubt es auch EinsteigerInnen, eine Thematik besser zu verstehen. Zudem gibt es jede menge nerdige Spieleempfehlungen zum selber ausprobieren.

Wer beim nächsten Seminar Gamification of Strategic Thinking als Gast partizipieren möchte, der ist herzlich eingeladen (Verbindungsaufnahme mit Oberstleutnant i.G. Kodalle über Twitter oder Linkedin). KickOff ist Anfang November, aber einige wesentliche Anteile des Semianrs starten allerdings Januar. Die Vorbereitung auf das Seminar am 08.-10.03.2020 beinhaltet einige vorbereitende virtuelle Zoom Sitzungen. Und vielleicht möchte ja tatsächlich ein Team von 5 Hörerinnen und Hörern eine Fraktion selber spielen? Wer Interesse hat, wendet sich bitte an Thorsten.

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed.

Cyber War Gaming, Cyber War, Matrix, Gamification, War Games

Liebe Leute, nach der Folge zum ARPANET kommt quasi der informelle, zweite Teil zur Geschichte des Internets. Allerdings wechseln wir die Seiten, setzen eine Fellmütze auf und reisen in die Sowjetunion der 1950er Jahre und schauen uns an, wie die Sowjets beinahe 3x so etwas wie ein Internet erfunden hat. Das OGAS Netzwerk sollte nichts anderes als den elektronischen Sozialismus hervorbringen. Nicht nur das, daneben gab es auch Überlegungen zum Cloud-Computing, digitalem Geld und zur Digitalisierung der Gesellschaft. Es ist eine Geschichte, wie Kybernetiker versucht haben starre und altbackene Bürokratien zu modernisieren, aber letztlich an informellen Machtstrukturen gescheitert sind. Darin enthalten sind ein paar Interessante Lehren für die Digitalisierung in Deutschland. Sa sdorowje!

ARPANET, cybernetics, Kybernetik, Internet history, OGAS, Viktor Glushkov, Sowjetunion, UDSSR, Planwirtschaft, Digitalisierung, cyber, cyber security

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed. Gießkannen sind die neuen Milchkannen, nur falls sich jemand ob des Versprechers wundern sollte.

Liebe Leute, lasst Euch bitte nicht vom Titel in die Irre führen. Es musste „catchy“ klingen damit sich die Suchmaschinen freuen. Ihr wisst ja: sowohl bei „cyber“ als auch bei „Krieg“ immer schön die air quotes mitdenken. Cyber ist kein Krieg, aber Cyber-Angriffe werden zunehmend von Militär in Kriegen oder bewaffneten Konflikten eingesetzt. Ich habe mir mal die öffentliche Literatur dazu angeschaut, was da gemacht wird und wofür das Ganze evtl. taugen mag. Das ist eine eher kritische Betrachtung und man kann das Ganze natürlich auch anders sehen. Vielleicht stellen sich Dinge auch anders da, wenn man Zugang zu geheimen Quellen hat, den ich nicht habe. Insofern, versteht das als einen Gedankenanstoß und nicht als absolute Wahrheit (wie man eigentlich die meisten Dinge im Leben verstehen sollte). Ihr könnte ja einen Kommentar auf percepticon.de dalassen, wenn ihr Dinge anders seht. Das ist also eine Bestandsaufnahme für das Jahr 2020 und kann schon ganz bald ganz anders aussehen. Das soll es mit der „Trigger-Warnung“ gewesen sein und nun viel Spaß damit!

Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed. Die Genderbalance hat etwas gelitten in der Folge, sorry for that! Wenn ihr mehr dieser komplexen, reportagenartigen Beiträge mit Sound-Files und Interviews haben wollt, sagt mir doch bitte Bescheid.