Archiv für den Monat: Juni 2017

23 06, 2017

Der dümmste Täuschungsversuch

von |23. Juni 2017|HDA, Vorlesung|1 Kommentar|

Überrascht. Schockiert. Entsetzt: Wir haben im WPF Penetration Testing an der HDA einen besonders dreisten Täuschungsversuch erlebt. Der Abschlussbericht für das Praktikum wurde 1:1 von einem Team des Vorjahres kopiert. Also gut, die Namen wurden geändert und Bilder entfernt. Wow. Design ändern? Texte ändern? Wohl zu aufwendig.

Ich weiß ja nicht, wie aktuell in der Schule und im Studium kopiert und geschummelt wird, aber offensichtlich scheint die Kreativität bei manchen Studenten doch deutlich nachgelassen zu haben. Also wir haben – ich natürlich nicht … – damals die Werke anderer als „Vorlage“ genommen: Die Texte umformuliert. Vielleicht um 1-2 andere Aspekte ergänzt oder besonders kreativ – etwas falsches hinzugefügt. Und insbesondere haben wir nicht ganze Word-Designs von anderen übernommen. Selbst Guttenberg hat seine Doktorarbeit nicht exakt 1:1 von jemand anderem kopiert.

Sorry, echt, aber eine 5.0 und durchgefallen reicht dafür gar nicht. Studenten, die sich durch besonders dumme Täuschungsversuche auszeichnen, sollten einen besonderen Darwin Award für Plagiate bekommen…

20 06, 2017

Vorlesung „IT-Sicherheitsmanagement und Compliance“ als Master-WPF an der Hochschule Darmstadt

von |20. Juni 2017|HDA, Vorlesung|0 Kommentare|

Ab dem Wintersemester 2017/18 wird an der Hochschule Darmstadt das Master-Wahlpflichtfach „IT-Sicherheitsmanagement und Compliance“ angeboten und ich freue mich sehr darauf, diese Vorlesung übernehmen zu dürfen.

Ehemals wurde das Fach angeboten als „Compliance und IT-Sicherheit“, aber nicht mehr gehalten:

https://obs.fbi.h-da.de/mhb/modul.php?nr=41.4828

Ich persönlich fand die Zusammenführung von Compliance-Themen und (technische) IT-Sicherheit als unglücklich: MaRisk und Ethical Hacking in einer Vorlesung passen thematisch nicht zusammen. Als Ergebnis hat sich der Schwerpunkt des Moduls in die Mitte verlagert: „IT-Sicherheitsmanagement und Compliance“..

https://obs.fbi.h-da.de/mhb/modul.php?nr=41.5020&sem=20172

..mit folgenden Lerninhalten:

  • Management Systeme & Standards (ISO 2700x, BSI Grundschutz, etc.)
  • Risikoanalysen (quantitativ, qualitativ)
  • Aufbau und Struktur IT-Sicherheitsorganisation
  • Rechtliche und regulatorische Themen (BDSG, MaRisk, PCI DSS, etc.)
  • Sicherheitsrichtlinien und -standards im Unternehmen
  • Wirtschaftliche Überlegungen zur Maßnahmenauswahl
  • konkrete IT-Sicherheitsprozesse (wie z.B. Berechtigungsmanagement, Notfallvorsorge, Security Incident Management, etc.)
  • Personenzertifizierungen (CISSP, CISM, CISA, etc.)
  • Vermittlung praktischer Erfahrungen.

Das Fach wird als Blockveranstaltung angeboten werden. An der konzeptionellen Umsetzung arbeite ich noch. Sicher ist nur: Es gibt keinen Frontalunterricht, die offizielle Arbeitsform ist „Seminaristische Vorlesung (Gruppenarbeit und Praktikum integriert)“.

10 06, 2017

Ergebnis Lehrveranstaltungsevaluation Penetration Testing (SS17) HDA

von |10. Juni 2017|HDA, Vorlesung|0 Kommentare|

Wie im Wintersemester 2016/17 hatten wir (primär Dominik Sauer) auch im Sommersemester 2017 an der HDA (Hochschule Darmstadt) die Vorlesung Penetration Testing gehalten. Die Evaluation fand relativ früh statt. Die Note zum Gesamteindruck war letztes Semester 1,2 – Link zum Blogeintrag Evaluation WS16/17. Das Ergebnis war zwar damals schon sehr sehr gut, aber man findet immer Verbesserungspotential. Ein wenig Feinschliff an der Konzeptumsetzung hat nun folgendes Gesamtergebnis gebracht:

Note zum Gesamteindruck der Vorlesung: 1,06
Note zum Gesamteindruck des Praktikums: 1,0

Ich freue mich sehr über das Ergebnis. Die Bewertung hätte kaum besser sein können. Die etwas komplexeren Auswertungen im Detail:

Download PDF 1/4: SS17_Online-Penetration_Testing_(FbI_SS17_30.2572_V_SauerD)
Download PDF 2/4: SS17_Online-Penetration_Testing_(FbI_SS17_30.2572_V_SauerP)
Download PDF 3/4: SS17_Online-Penetration_Testing_(FbI_SS17_30.2572_P_SauerD)
Download PDF 4/4: SS17_Online-Penetration_Testing_(FbI_SS17_30.2572_P_SauerP)

Das WPF „Penetration Testing“ wird im Wintersemester 2017/18 nicht angeboten werden, zumindest nicht als reguläre Präsenzveranstaltung. Sowohl Dominik Sauer als auch ich werden uns im kommenden Semester in der Lehre auf andere Themen konzentrieren.

8 06, 2017

Alumi-Treffen am 8.7.2017 des Master-Studiengangs Security Management

von |8. Juni 2017|SecMan|0 Kommentare|

Nach dem ersten Alumni-Treffen 2016 ist es auch 2017 wieder soweit. Am Samstag, den 8. Juli 2017 ab 12 Uhr treffen sich die Ehemaligen des Studiengangs Security Management der Technischen Hochschule Brandenburg (ehemals Fachhochschule Brandenburg).

Für das leibliche Wohl ist gesorgt. Kernbestandteil ist wieder ein spannendes Vortragsprogramm – mit mehr als genug Zeit zum Socializing! Ich bin 2017 mit dem Vortrag „Ohne Sicherheit wachsen – Informationssicherheit im Unternehmenslebenszyklus“ vertreten.

Mehr Infos & Anmeldung gibt es unter: https://www.security-management.de/alumni-tag-2017/

1 06, 2017

EU-Datenschutz-Grundverordnung zeigt Wirkung

von |1. Juni 2017|Datenschutz|1 Kommentar|

Das deutsche BDSG bzw. die alte EU-Datenschutzrichtlinie 95/46/EG war mehr ein Papiertiger. Die Bußgeldvorschriften nach §43 BSDG relativ harmlos. Eine sehr große Zahl von kleinen und mittelständischen Unternehmen schafft es heute noch, das BDSG relativ gut ignorieren zu können. Selbst große Unternehmen „leben“ ganz gut mit dem BDSG – sofern sie keinen hochmotivierten Datenschutzbeauftragten bestellt haben.

Die Datenschutz-Grundverordnung (DSGVO) der EU trat am 24. Mai 2016 in Kraft, wobei sie erst am 25. Mai 2018 angewendet wird. Es bleibt also noch knapp ein Jahr. Ich hätte ehrlich gesagt erwartet, dass sich die meisten Unternehmen nicht sonderlich mit dem Thema befassen. Das Gegenteil ist der Fall.

Es herrscht Unsicherheit. Teilweise sogar Nervosität.

Man kann die DSGVO kritisieren. Alleine die Tatsache, dass sie eigentlich mehr ein Zwitter zwischen EU-Verordnung und EU-Richtlinie als eine richtige EU-Verordnung ist, kann man als großen Fehlgriff von politischer und juristischer Schwachsinnigkeit bezeichnen. Manche meinen, dass die DSGVO die schlechteste Gesetzgebung der EU überhaupt ist. Auch inhaltlich gibt es Kritikpunkte. Ich stimme den meisten zu. Aber: Der Zweck heiligt die Mittel und es scheint zu funktionieren.

Warum?

Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist [..]

Artikel 83, DSGVO Absatz 4

Aber da geht noch mehr oder? Ja da geht noch mehr..

Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist [..]

Artikel 83, DSGVO Absatz 5

Je nach Sachverhalt 2% oder 4% des weltweiten Konzernumsatzes ist schmerzhaft. Wirklich schmerzhaft. Da können auch hartgesottene Geschäftsführer und Vorstände nervös werden, zumal sie bei bewusster Missachtung der DSGVO bzw. bei grober Vernachlässigung ihrer Pflichten für entstehende finanziellen Schäden selbst haftbar gemacht werden können.

Man wird in den nächsten Jahren oder besser Jahrzehnten sehen müssen, wie hoch die Bußgelder in der Praxis ausfallen und wie Gerichte dazu entscheiden werden. Unabhängig davon, zeigt die Datenschutz-Grundverordnung allein durch die theoretischen, sehr hohen Bußgelder bereits Wirkung.