"Der neue BSI IT-Grundschutz"

Die Modernisierung des IT-Grundschutzes des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist erfolgreich abgeschlossen. Das BSI präsentierte den neuen IT-Grundschutz erstmals im Rahmen der IT-Sicherheitsmesse it-sa vom 10. bis 12. Oktober 2017 in Nürnberg. Nach der grundlegenden Überarbeitung der gesamten Methodik bietet der neue IT-Grundschutz Einsteigern und Fortgeschrittenen eine modulare und flexible Methode zur Erhöhung der Informationssicherheit in Behörden und Unternehmen. Neue Angebote adressieren speziell kleine und mittelständische Unternehmen und Behörden.

"Securing the Financial Cloud - Techniken für sicheres Cloud Computing"

Cloud Computing eröffnet viele neue technische und wirtschaftliche Möglichkeiten. Gleichzeitig gefährdet das Cloud Computing die Sicherheit von Nutzer- und Geschäftsdaten sowie die Privatsphäre von Nutzern. Der Vortrag stellt kryptographische Methoden und diese unterstützende Architekturen für ein sicheren Cloud Computing vor. Die Ergebnisse wurden im Rahmen des durch das BMBF geförderten Projekts Securing the Financial Cloud (SFC) erzielt.

Bio

Johannes Blömer leitet nach wissenschaftlichen Stationen in Berlin, Berkeley, Zürich und Frankfurt seit 2000 das Fachgebiet Codes und Kryptographie am Institut für Informatik der Universität Paderborn. Seine Forschungsschwerpunkte liegen in der Kryptographie und Algorithmentheorie. In der Kryptographie entwickelt er kryptographische Verfahren zur Authentisierung und Verschlüsselung von Daten, die die Sicherheit und den Schutz der Privatsphäre in großen, vernetzten und dezentralen Systemen unterstützen können.  Prof. Blömer ist Mitglied im Paderborn Center for Scientific Computing (PaSCo), im Paderborn Institute for Advanced Studies in Computer Science and Engineering (PACE) , im Institut für Industriemathematik (IfIM) sowie im Software Innovation Campus  Paderborn (SICP).

"Kryptografie sicher nutzen mit CogniCrypt"

Aktuelle Studien zeigen, dass leider die große Mehrheit aktueller Softwareapplikationen Kryptografie auf unsicher Art und Weise einsetzen. In meinem Vortrag werde ich das Werkzeug CogniCrypt vorstellen, das es zum Ziel hat Softwareentwickler aktiv bei der sicheren Einbindung kryptografischer Bibliotheken zu unterstützen. CogniCrypt ist im Rahmen des Sonderforschungsbereich CROSSING an der TU Darmstadt entstanden. Das als offizielles Eclipse-Projekt gehostete Werkzeug unterstützt Entwickler aktuell durch die Generierung sicheren Beispielcodes für verschiedene Krypto-Nutzungsszenarien und durch eine statische Codeanalyse, die unsichere Benutzungen in Sekundenschnelle aufzeigt. Mittels einer eigens hierfür entwickelten Konfigurationssprache können Krypto-Experten CogniCrypt einfach und effizient für verschiedene Bibliotheken konfigurieren. In meinem Vortrag werde ich zunächst auf weit verbreitete Fehlbenutzungen von Kryptografie eingehen, werde erklären, wie diese verstehen und werde demonstrieren, wie CogniCrypt Entwickler systematisch dabei unterstützt, solche Fehlbenutzungen zu vermeiden.

Bio

Eric Bodden ist einer der führenden Experten auf dem Gebiet der sicheren Softwareentwicklung, mit einem besonderen Fokus auf der Entwicklung hochpräziser Werkzeuge zur automatischen Programmanalyse. Er ist Professor für Softwaretechnik an der Universität Paderborn und ein Direktor des Fraunhofer IEM. Bei Fraunhofer leitet Eric Bodden eine Attract-Gruppe zum Thema „Secure Software Engineering“. Zusammen mit den führenden nationalen und internationalen Softwareentwicklungsfirmen werden hier Techniken zur automatisieren Schwachstellenanalyse entwickelt. 2016 gewann Prof. Boddens Forschungsgruppe den 1. Platz beim Deutschen IT-Sicherheitspreis. 2014 wurde ihm der Heinz Maier-Leibnitz-Preis durch die DFG verliehen. 2013 wählte ihn der Verband BITKOM in sein Mentorenprogramm BITKOM Management Club.

„Forschungsrichtungen in der IT-Sicherheit“

Unsere digitale Lebenswelt und die Art, wie wir diese nutzen, ändern sich rasant. Dies stellt uns zum einen vor eine Reihe neuer Sicherheits- und Datenschutzherausforderungen und verstärkt zum anderen viele bekannte Probleme. Im Vortrag identifizieren und diskutieren wir einige dieser Herausforderungen. Wir werden dann beurteilen wie und in welchem Umfang es möglich sein wird, diese Herausforderungen heute anzugehen, Lücken zu identifizieren und dann zukünftige Forschungsrichtungen zur Schließung dieser Lücken bereitzustellen.

Bio

Dr. Jan Camenisch ist Principal Research Staff Member bei IBM Research in Zürich und leitet das Forschungsteam „Privacy & Cryptography“. Er ist Mitglied der IBM Academy of Technology und Mitglied der International Association for Cryptologic Research (IACR) sowie des Institute of Electrical and Electronics Engineers (IEEE). Als einer der führenden Wissenschaftler auf dem Gebiet der Geheimhaltung und Kryptographie hat Jan Camenisch über 120 viel zitierte Arbeiten veröffentlicht. Zudem hat er eine Reihe von Auszeichnungen für seine Arbeit erhalten, darunter den herausragenden Innovationspreis 2010 ACM SIGSAC und den technischen Leistungspreis IEEE Computer Society 2013. Jan Camensich ist Miterfinder von „Identity Mixer“, einer einzigartigen kryptografischen Protokoll-Suite zur datenschutzerhaltenden Authentifizierung und Übertragung von zertifizierten Attributen, die derzeit in die Hyperledger-Blockchain integriert wird.

"Ransom – Historie, Hintergrund und Schutz!"

Vor dem Hintergrund der immer häufiger auftretenden Attacken gegen Unternehmen wird der Workshop wesentliche Fragestellungen im Themenfeld diskutieren und exemplarisch beantworten. Woher stammt Ransomware überhaupt? Was ist der Sinn und Zweck solcher Attacken? Wie gehen die Cyberkriminellen dabei vor und wie geraten Unternehmen ins Visier? Was war der ursprüngliche Gedanke eines solchen Angriffs und wie läuft so eine erpresserische Attacke heute? Warum ist der Schutz auch vor dem Hintergrund der EU-DSGVO wichtig? Wie können sich Unternehmen gegen solche Angriffe schützen? Was kann man tun, wenn man Ziel eines solchen Angriffs geworden ist? Welche präventiven Maßnahmen gibt es? Wenn der Fall der Fälle eingetreten ist; was kann man tun um mit möglichst geringem Schaden davonzukommen?

Firmeninformation

Die baramundi software AG bietet effizientes, sicheres und plattformübergreifendes Management von Arbeitsplatzumgebungen. Mehr als 2.500 Kunden aller Branchen und Größen profitieren weltweit von der langjährigen Erfahrung und den ausgezeichneten Produkten des deutschen Herstellers. Diese sind in der baramundi Management Suite nach einem ganzheitlichen, zukunftsorientierten Unified-Endpoint-Management-Ansatz zusammengefasst: Client-Management, Mobile-Device-Management und Endpoint-Security erfolgen über eine gemeinsame Oberfläche, in einer einzigen Datenbank und nach einheitlichen Standards.

"Wer bin ich und wenn ja wie viele – sichere digitale Identitäten"

Im Vortrag stellt Holger Funke sichere digitale Identitäten exemplarisch an hoheitlichen Dokumenten wie dem Personalausweis und dem Reisepass vor. Er zeigt dabei aktuelle Entwicklungen wie eIDAS und deren Sicherheitsanforderungen. Zusätzlich gibt er einen Ausblick wie zukünftige elektronische Identitäten aussehen könnten.

Bio

Holger Funke arbeitet im Bereich der elektronischen Identitäten seit fast 15 Jahren und bekleidet die Rolle des Principals bei der secunet Security Networks AG. In der Division Homeland Security kümmert er sich im Bereich Business Development um die Entwicklung zukünftiger Geschäftsfelder. Er ist der Autor mehrerer Testspezifikationen, die er im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) erstellt hat. Mit mehr als 20 Jahren Erfahrung in der Softwareentwicklung managt er die Weiterentwicklung des GlobalTesters, ein Testwerkzeug zur Prüfung der weltweiten Konformität internationaler eID-Dokumente. Seit 2007 ist er aktives Mitglied in der internationalen Standardisierung von Reispässen und Chipkarten. Holger Funke war darüber hinaus bereits in mehrere eID-Projekte in der EU, im Mittleren Osten und in Afrika involviert.

"0-RTT Schlüsselaustauschprotokolle mit voller Forward Security"

Schlüsselaustauschprotokolle sind ein Eckpfeiler von sicherer Kommunikation im Internet. Zum Beispiel benutzen wir das TLS Handshake Protokolle immer dann, wenn wir eine Internetadresse besuchen, die mit https:// beginnt. Ein wichtiges Designziel moderner Schlüsselaustauschprotokolle ist, die Latenz des Schlüsselaustauschs zu minimieren und dabei gleichzeitig starke Sicherheitseigenschaften zu erreichen, wie zum Beispiel Forward Security. Forward Security erschwert die Massenüberwachung von verschlüsselter Kommunikation im Internet signifikant. Besonders relevant sind hier sogenannte 0-RTT (Zero Round-Trip Time) Protokolle, die in der Lage sind kryptographisch geschützte Daten mit minimaler Latenz in "0-RTT" zu übertragen. Populäre Beispiele für solche Protokolle sind Google's QUIC und der 0-RTT Modus von TLS Version 1.3. Die Hauptschwierigkeit bei der Konstruktion von 0-RTT Protokollen ist, Forward Security auch für die allererste übertragene Nachricht zu erreichen. Es wurde sogar vermutet, dass dies unmöglich ist. Dieser Vortrag wird das erste 0-RTT Protokoll mit voller Forward Security vorstellen. Es wird auch eine neue kryptographische Technik namens Bloom Filter Encryption vorgestellt, die das erste 0-RTT Protokoll ermöglicht, das effizient genug für die Einsatz in der Praxis ist.

"Blockchain im Realitätscheck"

Kryptowährungen wie Bitcoin und Ethereum sind aktuell in aller Munde. Startups und Investoren versprechen sich von ihnen innovative "Fintech" Produkte für die Finanzbranche, welche nicht nur eine effiziente Abwicklung von digitalen monetären Transaktionen erlauben, sondern auch die Abbildung von komplexen Verträgen und sogar ganzen virtuellen Unternehmen "auf der Blockchain" ermöglichen. Gleichzeitig zeichnen sich aktuelle Kryptowährungen jedoch auch durch extreme Kursschwankungen, hohe Transaktionsgebühren und immensen Energieverbrauch bekannt. Diese Faktoren schränken derzeit die Einsatzmöglichkeiten von Kryptowährungen signifikant ein. In diesem Workshop werden die Möglichkeiten von Kryptowährungen sowie die damit verbundenen ökonomischen und ökologischen Risiken und Herausforderungen an Forschung und Entwicklung diskutiert.

Bio

Promotion in 2011 an der Ruhr-Universität in Bochum, Lehrstuhl für Netz- und Datensicherheit (bei Prof. Jörg Schwenk). Von 2011-2012 Wissenschaftlicher Mitarbeiter am Institut für Sicherheit und Kryptographie am Karlsruher Institut für Technologie (KIT). Von 2012-2016 Studienrat im Hochschuldienst an der Ruhr-Universität in Bochum, Lehrstuhl für Netz- und Datensicherheit. Seit Oktober 2016 Professur für IT-Sicherheit an der Universität Paderborn.

„Hast Du was gehört? Datenspionage in mobilen Anwendungen durch Ultraschall“

Mobile Anwendungen für Smartphones erfreuen sich einer großen Beliebtheit, da sie ein breites Spektrum an Funktionalität bieten und immer wieder innovative Konzepte umsetzen. Nicht jede mobile Anwendung ist jedoch vertrauenswürdig und so kommt es leider regelmäßig zu

Sicherheitsproblemen, bei denen Daten von Nutzern ausspioniert werden. Eine interessante Variante dieser Datenspionage sind Anwendungen, die Ultraschallsignale empfangen, um Aktivitäten des Nutzers zu verfolgen, zum Beispiel aus dem Fernsehton oder von Webseiten. Der Vortrag stellt die Fähigkeiten dieser Anwendungen vor und beleuchtet anhand einer Studie für Android das Vorgehen der Angreifer. Der Vortrag schließt mit einer Diskussion von möglichen Gegenmaßnahmen.

Bio

Konrad Rieck ist Professor für Informatik an der Technischen Universität Braunschweig und leitet dort das Institut für Systemsicherheit. Schwerpunkt seiner Forschung ist die Entwicklung von

lernenden Sicherheitssystemen, die helfen Angriffe auf IT-Systeme besser zu erkennen und abzuwehren. Konrad Rieck hat an der Freien Universität Berlin studiert und 2009 eine Promotion am Fraunhofer-Institut FIRST abgeschlossen. Nach Stationen an der TU Berlin und der Universität Göttingen arbeitet er seit 2016 in Braunschweig. Für seine Forschung zu intelligenten Sicherheitssystemen ist er mit dem CAST/GI Promotionspreis (2010), dem Google Faculty

Award (2014) und dem zweiten Platz des deutschen IT-Sicherheitspreises (2016) ausgezeichnet worden. Er ist Mitglied in Programmkomitees renommierter Sicherheitskonferenzen, wie IEEE S&P und ACM CCS.

"Instant Messaging in Gruppen: Schwachstellen trotz sicherer Verschlüsselung" 

Moderne Instant Messenger wie WhatsApp, Threema und Signal setzen zur Absicherung der Kommunikation beweisbar sichere Ende-zu-Ende Verschlüsselung ein. Während sich bisherige Analysen auf die Zwei-Parteien-Kommunikation konzentriert haben, wirft dieser Vortrag ein Licht auf die Sicherheit im Gruppenszenario. Der Vortrag zeigt, dass trotz beweisbar sicherer Verschlüsselung, Schwachstellen durch das Gruppenmanagement entstehen. Abschließend werden mögliche Lösungen skizziert. 

Bio

Paul Rösler ist Doktorand am Lehrstuhl für Netz- und Datensicherheit der Ruhr-Universität Bochum. Beweisbare Sicherheit, Instant-Messaging und Key-Exchange Protokolle mit speziellen Eigenschaften wie Forward- und Future-Secrecy gehören zu seinen Forschungsinteressen. Während seines Studiums hat er für Qabel gearbeitet – eine Cloud Software, die etablierte Protokolle mittels eines lokalen Proxys in einem sicheren Wrapper-Protokoll kapselt.

"Cache Attacks on Intel SGX"

Root-Exploits sind der heilige Gral bei Angreifern, weil sie damit die volle Kontrolle über das angegriffene System übernehmen können. Intel SGX ist eine Erweiterung moderner Intel Prozessoren, die sichere Container (Enclaves) bereitstellt, die selbst Schutz vor Angreifern bieten, die Root- oder sogar Kernel-Level-Privilegien besitzen. Wir untersuchen die Anfälligkeit von Intel SGX gegenüber Cache Timing-Angriffen.

Bio

Prof. Sebastian Schinzel studierte Informatik in Darmstadt, Island und Australien und wurde an der Friedrich-Alexander-Universität Erlangen im Fach Computersicherheit promoviert. Im März 2013 wurde Dr. Schinzel zum Professor für IT-Sicherheit an die Fachhochschule Münster berufen, wo er das Labor für IT-Sicherheit leitet. Er spricht regelmäßig auf internationalen Sicherheitskonferenzen wie dem Chaos Communication Congress (CCC) und der OWASP Germany-Konferenzreihe. Er hat diverse Artikel über Systemsicherheit und angewandte Kryptografie auf akademischen Konferenzreihen publiziert, zuletzt die DROWN-Schwachstelle, über die verschlüsselte Verbindungen zu 33% aller Server im Internet gebrochen werden konnten.

"Stand der Technik und Datenpannen nach der DSGVO"
Die DSGVO fordert Sicherheitsmaßnahmen nach dem Stand der Technik. Aber was genau bedeutet eigentlich Stand der Technik? Was hat es mit den Begriffen Data Protection by Design und Data Protection by Default auf sich? Was ist zu tun, wenn es doch zu einem Verstoß gekommen ist? Wie ist mit einer Datenpanne umzugehen? Dieser Workshop beantwortet unter anderem diese Fragen zur EU-DSGVO und behandelt den aktuellen Diskussionsstand zu den Themen "Stand der Technik" und „Datenpannen“ und gibt wertvolle Tipps für die Praxis.

Bio

• Fachanwältin für Informationstechnologierecht
• Dozentin der Nordakademie
• Lehrbeauftragte der FH Flensburg

Rechtsanwältin Carola Sieling ist Spezialistin auf dem Gebiet des IT- und Internetrechts. Sie beherrscht nicht nur das Handwerkszeug einer Rechtsanwältin, sondern verfügt über ausgezeichnete technische Kenntnisse, die für eine rechtliche Beratung im IT-Recht unablässig sind.

"Holistische Sicherheitskonzepte von Endgeräten bis Clouds"

Wie hat sich die Bedrohungslage in letzter Zeit verändert und welche Technologien für deren Entdeckung werden genutzt? Wie können diese Technologien kombiniert werden und was ist bei der Korrelation der Methoden zu beachten? Angreifer passen sich schnell an und haben auch Methoden gefunden um moderne Verfahren mit künstlicher Intelligenz auszuhebeln. Die Kombination von Methoden sollte sich daher hin zu einer ganzheitlichen und einheitlichen Security-Policy entwickeln, die verteilt über alle „Enforcement Points“ vom Endgerät über Gateways bis hin zu „Cloud Enforcement Points“ ausgeführt werden kann.

Bio

Dipl.-Inform. Martin Stecher, McAfee Fellow, Geschäftsführer McAfee Germany GmbH. Nach seinem Informatikstudium an der Universität Kaiserslautern und ersten Berufserfahrungen im Düsseldorfer Raum, arbeitet Martin Stecher nunmehr seit 18 Jahren in Paderborn, zunächst beim Startup webwasher.com AG, die über eine Reihe von Akquisitionen auch bei Intel intergiert wurde und nun wieder Teil der eigenständigen McAfee LLC ist. In den Jahren hat Herr Stecher erfolgreich die Entwicklung der Web Protection Produkte aufgebaut und technologisch unter anderem das Protokoll ICAP mitentwickelt und zum Industriestandard geführt. Inzwischen ist er als McAfee Fellow und Chief Architect für die systemübergreifende Plattformarchitektur aller Corporate-Produkte von McAfee weltweit verantwortlich. Außerdem fungiert Herr Stecher als Geschäftsführer der McAfee Germany GmbH.

"Wie unterstützt ein ISMS bei der Umsetzung der EU-DSGVO?"

Der Workshop behandelt die Möglichkeiten, wie ein IT-Risikomanagement als Bestandteil eines Informationssicherheitsmanagementsystem (ISMS) nach BSI oder ISO 27001 ein Datenschutzmanagementsystem unterstützen kann. Dazu werden die Anforderungen der EU-DSGVO geklärt und die unterschiedlichen Ansätze der ISMS-Normen bewertet. Ergebnisse der Veranstaltung sind pragmatische Methoden zum IT-Risikomanagement, die in verschiedenen Organisationen angewandt werden können.

Firmeninformation

Die neam IT-Services GmbH ist ein inhabergeführtes, mittelständisches IT-Beratungsunternehmen mit derzeit über 80 zertifizierten, hochqualifizierten Mitarbeitern an den Standorten Paderborn und Berlin. Seit über 20 Jahren berät neam in den Geschäftsbereichen IT-Systemhaus und IT-Sicherheit nationale und internationale Kunden. Kai Wittenburg ist Gesellschafter und Geschäftsführer und verantwortet den Bereich der Informationssicherheit (BSI IT-Grundschutz, ISO 27001, Notfallmanagement, Penetrationstest).

"Das Internet der Dinge: Im Spannungsfeld zwischen Einfachheit und Sicherheit"

Viele Hersteller digitalisieren ihre Traditionsprodukte. Irgendwann kommen sie zu dem Punkt, an dem es um IT-Sicherheit und insbesondere die Etablierung und Beibehaltung von Vertrauen in diese IoT-Produkte geht. Dies ist jedoch selbst heute noch ein wichtiges Forschungsthema, da etablierte Ansätze extrem komplex und Zeitintensiv sind. Wir geben in diesem Vortrag eine Übersicht der etablierten, aber auch der neuen/aus der Forschung kommenden Sicherheitsmechanismen.

Bio

Dr. Christian Zenger ist CEO der PHYSEC GmbH und Dozent an der Ruhr-Universität Bochum. Er entwickelt informations-theoretische und funkkanalbasierte Sicherheitslösungen für das IoT-Ecosystem. Christian Zenger hat über ein Dutzend Veröffentlichungen in referierten Konferenzen, Zeitschriften und Büchern publiziert, hält mehrere Schutzrechte und hat mehr als 25 eingeladene Vorträge und Vorlesungen gehalten, beispielsweise an der Harvard University/MIT, Brown University, TU München, TEDx und dem BSI.