IT-Defense 2025

Breiter Überblick

Von aktuellen Problemen der IT-Sicherheit bis zu speziellen Anwendungsfragen reichten die Vorträge bei der IT-Defense 2025 in Leipzig.

Die IT Defense 2025 fand vom 12. bis zum 14. Februar 2025 in Leipzig statt. Sie wurde von der IT-Sicherheits- und Beratungsfirma Cirosec, Heilbronn, veranstaltet. Unter den rund 300 Teilnehmern aus den Bereichen Behörden, Polizei und Militär waren auch viele Vertreter von Unternehmen in Deutschland und Österreich. Der Geschäftsführer des Unternehmens, Stefan Strobel, gab einen Überblick über die bisherigen Veranstaltungen, die jeweils in verschiedenen Städten Deutschlands stattfanden und über die IT-Sicherheitsexperten, die bisher als Referenten aufgetreten waren, wie etwa Bruce Schneier, Mikko Hypponen, Eugene Kasperski oder Kevin Mitnick.

Deepfakes.

Zum Kreis dieser Experten zählt auch die IT-Sicherheitsexpertin Paula Januskiewicz, Gründerin des IT-Beratungsunternehmens CQURE, die die größten, 2025 zu erwartenden Cyber-Risiken darstellte. Durch Datenlecks sind, wie sie ausführte, im globalen Durchschnitt 2024 pro Fall Schäden von 4,8 Millionen Dollar entstanden. 68 Prozent der Fälle hängen mit Fehlern von Menschen zusammen und es dauert im Schnitt 292 Tage, bis die Schäden wiederhergestellt sind. Verstärkt wird Social Engineering eingesetzt, wobei diese Praktik zunehmend von der KI unterstützt wird. Mittels KI produzierte Deepfakes können Texte betreffen, lippensynchrone Videos erzeugen, Gesichter verändern, Stimmen generieren und letztlich auch Bilder von Menschen. Von den biometrischen Identifikationsmerkmalen kann die KI die Gesichtserkennung am leichtesten überwinden, bereits schwerer gelingt dies bei der Stimmerkennung, und am wenigsten bei Fingerabdrücken.
Um Deepfakes zu generieren, benötigt man entsprechendes Video/Audio-Material. Deepfakes können innerhalb von Sekunden erstellt werden; es kann aber auch Monate dauern. Das Internet kann damit rasch geflutet und Desinformation und Chaos verbreitet werden. Mit persönlichen Bild- und Audiodaten sollte wegen der Gefahr des Missbrauchs sorgsam umgegangen werden. Mitarbeiterinnen und Mitarbeiter eines Unternehmens müssen für Sicherheitsinteressen gewonnen werden, forderte Cybersecurity-Experte Jayson Street. Sicherheitsmaßnahmen müssten erklärt und geübt werden.

Desinformation.

Das Metaversum, die Verschmelzung von digitalem und physischem Raum, bezeichnete Cybersecurity-Experte Winn Schwartau als die mächtigste und fesselndste Realitätsverzerrungsmaschine, die jemals entwickelt worden sei, denn sie sei in der Lage, künftiges Verhalten zu beeinflussen. Ausgangspunkt für die Mechanismen, durch die über die digitale Welt des Metaversums unser Denken beeinflusst, grundlegend verändert und manipuliert werde, seien, so Schwartau, als tiefgreifend empfundene Erlebnisse oder Erfahrungen, aus denen ein in sich Sinn machendes, aber die Realität verzerrendes Narrativ erstellt wird. „Diejenigen, die die Technologie beherrschen, kontrollieren auch die Narrative, die die Weltsicht und die Überzeugungen der Betroffenen manipulieren und verändern. Digitale Opioide – wiederkehrende Bestätigungen des Narrativs – erzeugen in der Folge ein Suchtverhalten, dem Narrativ weiter zu folgen und an der Verbreitung mitzuwirken. Letztlich wird eine unverrückbare Überzeugung erreicht“, erklärte Schwartau. „Mythomanie, die Sucht, unwahre Geschichten zu erzählen, ist ansteckend. Der Mensch wurde zum Überleben geschaffen, aber nicht gegen die Technik. Um mit dieser koexistieren zu können, müssen die kognitiven Immunsysteme der Menschen gestärkt werden.“ Vernunft und Emotion seien inkompatibel. Suchtverhalten und die Furcht, etwas zu versäumen (Fear of missing out – FOMO) seien aktuelle Stressfaktoren. Allem, was Aufmerksamkeit erregt, solle man gelassen begegnen. Wenn man die Mechanismen zur Verzerrung der Fakten erklärt, könnten die Menschen gegen Desinformation „geimpft“ werden. Hierin sieht Schwartau eine Aufgabe für die Cyber-Sicherheits-Community. Präventiv würde auch wirken, eine Desinformationslinie zu entlarven, indem ein Bericht über diese Desinformation zusammen mit einer gleichzeitigen Widerlegung veröffentlicht wird (Gerüchtekontrolle).

Vishing.

Das Phishing, also das Bemühen, sich über gefälschte E-Mails als vertrauenswürdiger Kommunikationspartner auszugeben, um sich Zugangsdaten von Internetnutzern zu erschleichen, wird, wie Hagen Molzer, leitender Berater bei Cirosec, ausführte, für den Angreifer immer schwieriger. Einerseits wurden technische Maßnahmen entwickelt, Phishing-Mails schon vor dem Posteingang zu sperren, und es greifen auch die Maßnahmen zur Sensibilisierung der Mitarbeiter. Wurde ein Phish enttarnt, muss der Angreifer unter hohem Aufwand seine Kampagne abändern.
Phishing-Angriffe über E-Mail sind „Schüsse ins Blaue“ und setzen auf Masse und Zufall. Vishing (Voice-Phishing) hingegen setzt, als Angriff über Telefon, direkt beim Opfer an. Gegenüber betrügerischen Telefonanrufen sind die Mitarbeiter noch nicht so sensibilisiert wie gegenüber Phishing-Attacken; die Abwehrhaltung ist noch nicht so hoch. Zudem bekommt der Angreifer, anders als beim Phishing, ein direktes Feedback, wie sein Opfer reagiert und auf sein Vorbringen eingeht. Eventuellem Misstrauen kann mit Techniken des Social Engineering begegnet werden, oder es kann ein Telefonat letztlich unter einem unverfänglichen Vorwand abgebrochen werden. Auf die im Display aufscheinende Rufnummer des Anrufenden kann man sich nicht verlassen. Sie kann auf einen VoIP-Anbieter zurückgehen, der es ermöglicht, die Absendernummer frei zu wählen (Caller-ID Spoofing).
Um im Telefonat vertrauenswürdig zu erscheinen, muss sich der Angreifer vorbereiten und offen verfügbare Informationen einholen sowie die technischen Angriffsflächen (verwendete Programme usw.) erkunden. Beim anschließenden Social-Engineering-Angriff geht es darum, eine Vertrauensbasis zum Opfer herzustellen und dieses soweit zu bringen, dass es den Wünschen des Angreifers nachkommt – und möglichst nicht kritisch zu hinterfragen beginnt. Dabei wird ausgenützt, dass die meisten Menschen grundsätzlich zu Hilfsbereitschaft und Kooperation bereit sind, etwaigen Anweisungen einer Autorität Folge leisten und Konflikte vermeiden wollen. Hier setzen die Täter an. Der Anrufer täuscht Autorität vor, nicht nur aus dem Arbeitsverhältnis als angeblicher Vorgesetzter, sondern etwa auch als vorgetäuschtes Kontrollorgan oder Experte.
Der anfänglichen Abwehrhaltung gegenüber Anrufen Unbekannter kann begegnet werden, indem man als Angreifer die in einem solchen Fall zu erwartenden Fragen gleich selbst zügig vorwegnimmt, nämlich, wer man ist, was man will, dass man keine Gefahr darstellt und wie lange es dauern wird. Vertrauen kann hergestellt werden durch das beiläufige Erwähnen interner, zuvor erlangter Informationen. Weil Menschen dazu neigen, einen eingeschlagenen Gesprächsweg weiter zu verfolgen, sich also „konsistent“ verhalten, kann die Technik des weiteren Nachfragens eingesetzt werden, um zu den gewünschten Informationen (Benutzername, Passwort u. a.) zu gelangen.
Sollte sich das Opfer zögerlich zeigen, eine gewünschte Aktion zu setzen, kann man ihm auch unangenehme Alternativen anbieten, etwa, dass ein Verschieben der Aktion später mit größerem Zeit- oder Arbeitsaufwand verbunden wäre. Eine typische Antwort wäre: „Dann machen wir‘s doch gleich“. Mitarbeiter sollten für die wichtigsten Social-Engineering-Techniken sensibilisiert werden. Darüber hinaus sei es aber nach wie vor unerlässlich, für die technische Sicherheit der IT-Systeme zu sorgen und das interne Netzwerk abzusichern.

Bias sind unbewusste Voreinstellungen bzw. Verzerrungen der Wahrnehmung, die entstehen, weil unser Gehirn so gebaut ist, dass es eine Menge komplexer Eingangsdaten in einfache Kategorien sortiert, führte Martin Korte von der TU Braunschweig aus, und untermauerte dies durch neurologische Erkenntnisse über die Informationsverarbeitung im Gehirn. Diese Voreinstellungen limitieren unsere Aufmerksamkeitssysteme, führen zu mentalen Abkürzungen (plötzliche Eingebungen – Intuition) und sind mit individueller Motivation, Gruppendruck und Emotionen verbunden, ohne dass wir uns dessen bewusst werden. Die Tendenz, Menschen schnell in Kategorien einzuordnen, zählt dazu. Diese Verzerrungen werden erlernt durch Kultur und Erfahrung und sind kontextabhängig, was bedeutet, dass sie durch rationale Vorgehensweisen auch geändert bzw. überwunden werden können. Um dies zu erreichen, solle man sich für Entscheidungen Zeit nehmen, denn Stress verstärkt Vorurteile. Wahrnehmungen und Einschätzungen sollten reflektiert werden. Der Referent trat für eine Fehlerkultur ein, die Lernbereitschaft stärker belohnt als vorhandene Kenntnisse. Fehler seien entscheidende Bausteine für neues Wissen. Immer so zu denken, wie man immer gedacht hat, bedeute, auch wieder nur dasselbe zu erhalten, was man immer erhalten hat.
Peter Wimmer, CISO der Firma Traton SE, schilderte, wie mit mathematisch-statistischen Verfahren an Cyber-Risiken herangegangen werden kann, etwa als Grundlage für Investitionen oder für Versicherungsverträge. Mit Hilfe des Rechenverfahrens der Monte-Carlo-Simulation, durch die in einer Vielzahl von Rechendurchläufen Wahrscheinlichkeiten ermittelt werden, kann die Häufigkeit und Höhe möglicher Schäden in Diagrammen dargestellt werden.

Cyber-Sicherheit.

Linus Neumann vom Chaos Computer Club (CCC) zeigte Probleme des Datenschutzes auf, die sich in Deutschland bei der Einführung des elektronischen Patientenakts oder bei Wahlen ergeben hätten. In einem Schadensfall komme es wesentlich mehr auf die Fähigkeit zum Wiederanlauf (Recovery) und die Wiederherstellung des Business an als auf die Wiederherstellung des gesamten Datenvolumens aus einem Back-up. Die tatsächlich wichtigen Daten würden nur einen Bruchteil des gesamten Datenvolumens ausmachen.
Auch wenn die nationalen Gesetze zur Umsetzung der NIS-2-Richtlinie der EU sowie zum Cyber-Resilience-Act (CRA) sowohl in Deutschland als auch in Österreich zum Zeitpunkt des Referats noch nicht vorgelegen haben, sollte man sich doch mit den Bestimmungen dieser Rechtsakte vertraut machen, sagte Christoph Wegener. Die bereits in Kraft getretenen Rechtsakte geben immerhin bereits den Rahmen vor, in dem sich die innerstaatliche Gesetzgebung bewegen müsse.
Weitere, spezialisierte Vorträge haben die Cyber-Sicherheit von SAP-Anwendungen betroffen; Vulnerabilitäten im TETRA-Netzwerk und kritische Auseinandersetzungen mit KI-Programmen wie Copilot oder, am Beispiel Windows Hello, über passwortlose Authentifizierungsmethoden.
Die nächste IT-Defense wird vom 4. bis 6. Februar 2026 in Würzburg stattfinden.

Kurt Hickisch

it-defense.de  

---

Öffentliche Sicherheit, Ausgabe 5-6/2025

 Druckversion des Artikels (pdf, 499 kB)