2.0 dcon2020 2020-02-07 2020-02-08 2 00:05 https://www.defensivecon.org/dcon2020/schedule/ 2020-02-07T10:15:00+01:00 10:15 00:30 Mainhall dcon2020-12-keynote-ethik-und-defensive-statt-offensive https://cfp.defensivecon.org/dcon2020/talk/VCK9GT/ false Keynote de Offensive Möglichkeiten im Cyber- und Informationsraum eröffnen neue Wege und Herausforderungen für Sicherheitsbehörden und staatliche Akteuere. Aber müssen wir jeden Weg gehen, um ihn kennen zu lernen? In Zeiten von Emotet und sich weltweit auf zehntausende Institutionen auswirkende VPN-Schwachstellen riskieren wir, die Resilienz unserer digitalen Gesellschaft und unserer Kritischen Infrastrukturen zu unterwandern, um Sicherheitsbehörden und staatlichen Akteuren durch HackBack und zurückgehaltenen Schwachstellen im Rahmen von Vulnerabilities Equities Prozessen den Weg frei zu machen, aber zu was? Mehr Sicherheit im Cyber- und Informationsraum? Mehr Staatstrojaner? Mehr digitale Souveränität? Oder müssen wir uns doch intensiver mit einer defensiven Cybersicherheitstrategie auseinandersetzen und das im Kontext der Verantwortung und Ethik näher betrachten? Warum es eine DefensiveCon für den zugehörigen Diskurs dieser Themenkomplexe erfordert... ####Aufzeichnung: [**hier**](https://youtu.be/NlAWF_nrX3I) ####Folien: [**hier**](https://www.defensivecon.org/slides/20200207_DefensiveCon_v2_Keynote_HonkHase.pdf) Manuel (HonkHase) Atug 2020-02-07T10:55:00+01:00 10:55 01:00 Mainhall dcon2020-32-vorfallsuntersttzung-durch-das-bsi https://cfp.defensivecon.org/dcon2020/talk/SNQUTM/ false Vortrag de Der Vortrag gibt einen Überblick über das Incident Response Portfolio des BSI über alle Phasen des Incident Response Life Cycles. Angefangen bei grundsätzlichen Empfehlungen, über Einzelfallberatungen bis hin zu einem Mobile Incident Response Team (MIRT) Einsatz beim Betroffenen bietet das BSI, je nach Zielgruppe, eine Reihe an Unterstützungsmöglichkeiten an, die beim Vortrag im einzelnen vorgestellt werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die nationale Cyber-Sicherheitsbehörde des Bundes. Das BSI ist verantwortlich für den Schutz der Regierungsnetze und ein Hauptakteur für die Cyber-Sicherheit bei Kritischen Infrastrukturen, insbesondere im Rahmen der NIS-Richtlinie der Europäischen Union. Der Vortrag gibt einen Überblick über das Incident Response Portfolio des BSI über alle Phasen des Incident Response Life Cycles: Preparation, Detection & Analysis, Containment / Eradication & Recovery and Post-Incident activity. Angefangen bei grundsätzlichen Empfehlungen, über Einzelfallberatungen bis hin zu einem Mobile Incident Response Team (MIRT) Einsatz beim Betroffenen bietet das BSI, je nach Zielgruppe, eine Reihe an Unterstützungsmöglichkeiten an, die beim Vortrag im einzelnen vorgestellt werden. Dabei werden die Aktivitäten durch eine ganze Reihe an Bereichen im BSI unterstützt und der Vortrag zeigt, warum eine breit aufgestellte Cyber-Sicherheitsbehörde ein essenzieller Faktor für Incident Response Fähigkeiten auf nationaler Ebene ist. ####Aufzeichnung: [**hier**](https://youtu.be/la7zh_zEvHM) ####Folien: [**hier**](https://www.defensivecon.org/slides/BSI_Vorfallsunterstützung_Dwucet.pdf) /media/dcon2020/images/SNQUTM/logo.png Michael Dwucet 2020-02-07T12:05:00+01:00 12:05 01:00 Mainhall dcon2020-18-cyberhilfswerk-konzeption-fr-eine-cyberwehr-2-0 https://cfp.defensivecon.org/dcon2020/talk/77KJJQ/ false Vortrag de Nachdem das Konzept einer Cyberwehr seitens des BSI aus verschiedenen Gründen gescheitert ist, stellt die AG KRITIS hier das selbstentwickelte Konzept eines CyberHilfsWerk (CHW) zur Vergrößerung der Bewältigungskapazitäten bei Großschadenslagen aus Cybervorfällen in kritischer Infrastruktur vor Um in entsprechenden Schadenslagen schnelle Hilfe zur Wiederherstellung der kritischen Dienstleistungen und Infrastrukturen bereitstellen zu können, müssen sich zivile Helfer organisieren und ihre Kräfte bündeln, analog zu den bereits existierenden Hilfsorganisationen auf anderen Gebieten. Die Arbeitsgemeinschaft Kritische Infrastrukturen strebt dafür die Gründung eines im bisherigen Entwurf so genannten Cyber-Hilfswerks (Arbeitstitel CHW) an. Hauptaufgabe ist die Organisierung ziviler Helfer und Spezialisten verschiedener Fachbereiche sowie die Bereitstellung von Verfahren und Rahmenbedingungen, um hauptamtliche Kräfte in (Groß-)Schadenslagen zu unterstützen. Es soll sich also um eine Organisation aus Freiwilligen und Ehrenamtlichen handeln, die bei einer digitalen Großschadenslage die bestehenden, derzeit aber geringen Bewältigungskapazitäten sinnvoll ergänzt und kritische Versorgungsdienstleistungen im KRITIS Umfeld wieder herstellt. Als schnelle Einsatzgruppe soll das CHW in der Lage sein kurzfristig auf Krisenszenarien zu reagieren und vor Ort an relevanten IT- sowie OT-Systemen der betroffenen Infrastruktur Hilfe zu leisten. Primäre Zielsetzung ist dabei immer der Schutz der Bevölkerung vor den Auswirkungen von Ausfällen oder Verschlimmerung der kritischen Infrastruktur. ####Aufzeichnung: [**hier**](https://youtu.be/63Uf3QwNXMY) ####Folien: [**hier**](https://www.defensivecon.org/slides/AG_KRITIS-CHW_Konzept_DefensiveCon2020_ijon.pdf) Johannes (ijon) Rundfeldt 2020-02-07T14:45:00+01:00 14:45 01:00 Mainhall dcon2020-19-warum-angriff-nicht-die-beste-verteidigung-ist https://cfp.defensivecon.org/dcon2020/talk/HTVNTG/ false Vortrag de Cyberangriffen begegnet man, indem man ihnen keine Einfallstore bietet. Das geht nur mit höchsten Standards und der höchsten Priorität von IT-Sicherheit. Hierauf muss das Augenmerk der Bundesregierung liegen. Wenn Bürger:innen tagelang im Dunkeln sitzen, Chaos im Verkehr ausbricht und Menschen auf Intensivstationen nur noch mit Notstromaggregaten behandelt werden können, werden sie nicht fragen: “Warum habt ihr nicht zurück gehackt?” sondern “warum habt ihr uns nicht geschützt?”. ####Aufzeichnung: [**hier**](https://youtu.be/JP86QU2eW54) ####Folien: [**hier**](https://www.defensivecon.org/slides/20200207_DefensiveCon_DefensiveCyberabwehr_Riedel.pdf) Ann-Cathrin Riedel 2020-02-07T16:00:00+01:00 16:00 01:30 Mainhall dcon2020-7-panel-zum-it-sicherheitsgesetz-v2-0 https://cfp.defensivecon.org/dcon2020/talk/V8MJUG/ false Podiumsdiskussion de Panel zu IT-Sicherheitsgesetz v2.0 mit Teresa Ritter vom Bitkom e.V. , Dr. Gerhard Schabhüser vom BSI und Thorsten Schröder vom CCC e.V. ####Aufzeichnung: [**hier**](https://youtu.be/S48AiHyOc8M) ####Folien: [**hier**](https://www.defensivecon.org/slides/Panel zum IT-Sicherheitsgesetz v2_Bitkom_BSI_CCC.pdf) Teresa RitterDr. Gerhard SchabhüserThorsten Schröder 2020-02-07T17:45:00+01:00 17:45 01:00 Mainhall dcon2020-30-hackback-in-deutschland-wer-was-wie-und-warum- https://cfp.defensivecon.org/dcon2020/talk/STUJM3/ false Vortrag de Warum wird der Hackback aktuell politisch überhaupt diskutiert? Wer könnte einen Hackback durchführen? Und wer darf das rechtlich überhaupt? ####Aufzeichnung: [**hier**](https://youtu.be/WTV3MIn_9NA ) ####Folien: [**hier**](https://www.defensivecon.org/slides/Dennis-Kenji Kipker Hackback DefensiveCon 2020.pdf) /media/dcon2020/images/STUJM3/DK_2019_grey.jpg Dennis-Kenji Kipker 2020-02-07T19:00:00+01:00 19:00 01:00 Mainhall dcon2020-27--public-money-public-code-wie-freie-software-fr-mehr-sicherheit-sorgt https://cfp.defensivecon.org/dcon2020/talk/CKMALW/ false Vortrag de Freie Software gibt allen das Recht, Programme für jeden Zweck zu verwenden, zu verstehen, zu verbreiten und zu verbessern. In diesem Vortrag wird erklärt, warum Verwaltungen und Staaten auf Freie Software setzen müssen und wie sich durch den Einsatz Freier Software digitale Souveränität und IT-Sicherheit erreichen lässt. Die von unseren öffentlichen Verwaltungen angebotenen und genutzten digitalen Dienste sind die kritische Infrastruktur demokratischer Staaten des 21. Jahrhunderts. Um vertrauenswürdige Systeme zu etablieren, müssen öffentliche Stellen sicherstellen, dass sie die vollständige Kontrolle über die Software und die Computersysteme im Kern unserer staatlichen digitalen Infrastruktur haben. Doch im Moment ist dies aufgrund restriktiver Softwarelizenzen nur selten der Fall. In dem Vortrag werde ich den status quo erläutern und wie sich dieser verändern lässt. Vom Bug-Bounty Programm der EU Kommission bishin zum Parteitagsbeschluss der CDU zum Einsatz Freier Software möchte ich aufzeigen, was uns in den nächsten Jahren erwartet und worauf man beim Einsatz Freier Software achten muss. ####Aufzeichnung: [**hier**](https://youtu.be/kfNyPqvSuLk) ####Folien: [**hier**](https://www.defensivecon.org/slides/PMPC_Security_070220_FSFE_Sander.pdf) /media/dcon2020/images/CKMALW/sander-400px.jpg Alexander Sander 2020-02-08T10:15:00+01:00 10:15 01:00 Mainhall dcon2020-13-von-glashusern-und-steinewerfen-strategische-rechtliche-und-politische-berlegungen-vor-dem-zurck-hacken https://cfp.defensivecon.org/dcon2020/talk/9E7MLJ/ false Vortrag de Es ist unklar, inwiefern hackbacks tatsächlich zur Erreichung politischer Ziele, nämlich dass Angriffen aufhören oder verhindert werden, taugen. Neben der Frage der Effektivität, stellen sich eine ganze Menge strategischer, politischer und rechtlicher Fragen, bevor ein Gegenangriff initialisiert wird. Der Talk wirft genau diese Fragen auf, die sich politische Entscheidungsträger stellen wollten, bevor sie vorschnell zum Mittel des Hackbacks greifen. Die Anzahl jährlicher Cyber-Angriffe steigt wie gewohnt und immer mehr Staaten nutzen digitale Fähigkeiten immer offensiver: Russland zur Beeinflussung von Öffentlichkeiten und des Informationsumfeldes, China zur wirtschaftlichen Spionage und zum technologischen leap-frogging, Nord-Korea zum Umgehen von Sanktionen und zur Aufbesserung der Staatskasse und die USA zur weltweiten Machtprojektion und politischen Spionage. In die Cyber-Offensive werden viel Zeit, Energie und Geld gesteckt. Dagegen ist innerhalb der meisten Staaten vollkommen ungeklärt, wie man auf Cyber-Angriffe zu reagieren habe. Eindrücklich zeigt sich dies etwa an Vorfällen wie dem Sony Hack 2014, oder der Beeinflussung der US Wahl 2016, wo die größte Cyber-Macht der Welt, relativ ratlos dastand. Auch in kleineren Staaten wie Deutschland und Frankreich herrscht allgemeine Rat- und vor allem Strategielosigkeit, wie man politisch auf Cyber-Angriffe reagieren soll. Es scheint nur schlechte Optionen zu geben: internationale Anklageschriften haben nur symbolischen, aber keinen operativen Effekt auf Angreifer. Wirtschaftliche Sanktionen sind ungenau und oftmals ebenso wenig effektiv. Abschreckung funktioniert im Digitalen nicht. Rüstungskontrollregime sind nicht in Sicht. Aufgrund dieser Ratlosigkeit experimentieren immer mehr Staaten mit digitalen Gegenreaktionen, „hack backs“ oder euphemistisch, aktive Cyber-Verteidigung genannt. Dabei ist die Wirksamkeit von „hack backs“ umstritten. Inwiefern taugt das Mittel zur Erreichung politischer Ziele? Hören danach Angriffe wirklich auf? Was sind etwa die geostrategischen Implikationen, wenn man gegen russische oder iranische APT zurückschlägt? Wie sieht die Eskalationsleiter aus und wer hat die Eskalations-Dominanz? Wo sind eigene rote Linien? Neben diesen strategischen Fragen stellen sich für die Zivilmacht Deutschland auch völkerrechtliche Fragen. Nicht auf jeden Hack darf nach dem Völkerrecht reagiert werden, insbesondere wenn die Attribution unklar ist. Gegenreaktionen müssen völkerrechtlich proportional und zeitnah geschehen, was operativ nicht trivial zu realisieren ist. In Deutschland stellen sich aber auch konkrete verfassungsrechtliche Hürden, die verhindern, dass Deutschland in Friedenszeiten Schäden in fremden Territorien anrichtet. Der Talk wirft Fragen auf, die sich politische Entscheidungsträger stellen sollten, bevor sie zum Mittel des Hackbacks greifen. ####Aufzeichnung: [**hier**](https://youtu.be/Z1qQieYd7SY) ####Folien: [**hier**](https://prezi.com/view/VpI0fsChveMp1i7dO2OS) Matthias Schulze 2020-02-08T11:25:00+01:00 11:25 01:00 Mainhall dcon2020-31-erfahrungen-eines-cyberkrisenmanagers https://cfp.defensivecon.org/dcon2020/talk/SDSEBX/ false Vortrag de Erfahrungen eines Cyber-Krisenmanagers, insbesondere im Umgang mit Behörden und sogenannten Experten. Durch mehr als 20 Krisenmanagement Einsätzen in Umfeld von Cybercrime, Spionage und Sabotage, haben sich Strukturen abgezeichnet, die ein fachliches Muster erkennen lassen und bei der Bearbeitung von Sicherheitsvorfällen extreme Verzögerungen erzeugen. Die technische und organisatorische Komplexität in der Bekämpfung von internationalen Cyberbanden stellt, Opfer, Strafverfolgung und die IT Industrie vor fast unlösbare Aufgaben. Der Vortrag zeigt die Strukturen, Probleme und Lösungsmöglichkeiten auf. ####Aufzeichnung: [**hier**](https://youtu.be/SbCmLQP18NQ) Michael Bartsch 2020-02-08T12:35:00+01:00 12:35 01:00 Mainhall dcon2020-22-race-to-the-bottom-die-entwicklung-der-bedrohungslage-industrieller-steuerungssysteme-und-wie-dies-die-notwendigkeit-zur-regulierung-im-cyber-warfare-verndert https://cfp.defensivecon.org/dcon2020/talk/JL7WVG/ false Vortrag de Die Bedrohungslage industrieller Steuerungssysteme hat sich in den letzten Jahren dramatisch gewandelt. In diesem Vortrag wird die Entwicklung von ICS Exploits und Taktiken ausgezeigt, um den anhaltenden „Race-to-the-bottom“ zwischen ICS Bedrohungsakteuren und Verteidigern zu verdeutlichen. Darüber hinaus wird das Verhältnis zwischen Informationssicherheit und Arbeitsschutz (Safety) aufgezeigt, als auch inwiefern aktuelle Cyber-Bedrohungen traditionelle Entscheidungen zum Safety Design unterwandern und die Schutzfunktionen von Safety-Systemen beeinträchtigen können. Anschließend wird diskutiert, welche Ressourcen zum Abwenden von humanitären Krisen erforderlich sind, die aufgrund eines Ausfalls von kritischen Infrastrukturen hervorgerufen werden. Industrielle Steuerungssysteme (ICS) sind spezielle Informationssysteme, die zur Steuerung physischer Prozesse wie z.B. bei der Energieerzeugung oder in Produktionsanlagen eingesetzt werden. Angriffe auf diese Systeme werden oftmals als „cyber-physische“ Angriffe bezeichnet. Verschiedene Industrieprozesse sind gesetzlich als kritische Infrastrukturen klassifiziert worden, da das gesellschaftliche Wohlergehen auf deren Funktionsfähigkeit beruht. Hierbei wurde dem Schutz kritischer Infrastrukturen im letzten Jahrzehnt eine hohe Relevanz zugesprochen, da zum einen die Industrie inzwischen durch die Nutzung des Internets als auch durch den Einsatz von Standard Hard- und Software Sicherheitsbedrohungen ausgesetzt ist, von denen sie Historisch gesehen isoliert waren. Und zum anderen, da die potentiellen Auswirkungen von Angriffes auf kritische Infrastrukturen nicht länger ignoriert werden können. Die Bedrohungslage industrieller Steuerungssysteme hat sich in den letzten Jahren dramatisch gewandelt. Neue Gefährdungen sind aufgekommen, wobei der Einsatz von Stuxnet, eine Malware, die 2010 zur Zerstörung des iranischen Atomprogramms genutzt wurde, eine Verschärfung der globalen Besorgnis bewirkt hat. In diesem Vortrag wird die Entwicklung von ICS Exploits und Taktiken ausgezeigt, um den anhaltenden „Race-to-the-bottom“ zwischen ICS Bedrohungsakteuren und Verteidigern zu verdeutlichen. Darüber hinaus wird das Verhältnis zwischen Informationssicherheit und Arbeitsschutz (Safety) aufgezeigt, als auch inwiefern aktuelle Cyber-Bedrohungen traditionelle Entscheidungen zum Safety Design unterwandern und die Schutzfunktionen von Safety-Systemen beeinträchtigen können. Anschließend wird diskutiert, welche Ressourcen zum Abwenden von humanitären Krisen erforderlich sind, die aufgrund eines Ausfalls von kritischen Infrastrukturen hervorgerufen werden. Das Ziel dieses Vortrags umfasst zwei Themen: (1) Zuhörern wird die Konzeption eines fortgeschrittenen Angriffs mit dem Ziel der physischen Zerstörung einer kritischen Infrastruktur aus Sicht des Angreifers aufgezeigt, (2) Anregung zur Diskussion, wie der Einsatz von cyber-physischen Angriffen idealer Weise reguliert werden kann. Durch die potentiellen kinetischen Auswirkungen bei cyber-physischen Angriffen und insbesondere deren Möglichkeit, menschliche Opfer zu verursachen, ist es für die nationalen und internationalen Gemeinschaften von IT-Sicherheitsexperten, Regierungen und humanitären Anwälten dringend erforderlich, Diskussionen zu diesem Thema anzuregen. ####Aufzeichnung: [**hier**](https://youtu.be/z_UPM5WVIuA) ####Folien: [**hier**](https://www.defensivecon.org/slides/DefensiveCon_2020_Krotofil.pdf) Marina Krotofil 2020-02-08T14:30:00+01:00 14:30 01:00 Mainhall dcon2020-9-hacking-back-aus-vlkerrechtlicher-perspektive https://cfp.defensivecon.org/dcon2020/talk/KEQTPT/ false Vortrag de Dieser Vortrag befasst mich mit dem Recht auf Gegenmaßen. Beleuchtet wird insbesondere die Frage, ob Hacking-Back Operationen völkerrechtlich legitim als Maßnahmen auf Angriffe unterhalb der Schwelle von bewaffneten Konflikten sind. ####Aufzeichnung: [**hier**](https://youtu.be/dYMTO-Mjhzk) ####Folien: [**hier**](https://www.defensivecon.org/slides/DefensiveCon-Hackback_aus_voelkerrechtlicher_Perspektive-Janine_Schmoldt.pdf) Janine Schmoldt 2020-02-08T15:40:00+01:00 15:40 01:00 Mainhall dcon2020-8-machtpolitik-im-informationsraum-strategie-taktik-und-verteidigung https://cfp.defensivecon.org/dcon2020/talk/HLX3RA/ false Vortrag de Eine geopolitische Betrachtung von Digitalisierung mit Fokus auf Informations"krieg" sowie einige Vorschläge zur digitalen Verteidigung. Über die Machtposition eines Staates wird in Zukunft auch seine "digitale Situation" entscheiden. Digitale Strategien flankieren die unterschiedlichen geopolitischen Ansätze der Großmächte USA, China und Russland, digitale Mittel werden auch von kleineren Staaten als strategische Ressource eingesetzt. Vormals zivile Bereiche bekommen vor dem Hintergrund weltweiter Vernetzung und digitaler Verletzlichkeit einen stärker sicherheitspolitischen Aspekt. Am Beispiel Informationskrieg soll gezeigt werden, -dass IT-Sicherheit/KRITIS-Sicherheit auch über Kampagnen gefährdet werden kann, -dass die "Versicherheitlichung" ehemals ziviler Räume daher so verstörend wie nachvollziehbar ist, -wie man zwischen einzelnen "Angriffen" unterscheiden kann -dass aber die bisher zu ihrer Verteidigung entwickelten Strategien umgekehrt nur althergebrachte Verantwortlichkeiten berücksichtigen und -dass zumindest im Informationsraum Angriff durchaus nicht die beste Verteidigung ist. Aufgefrischt wird der Vortrag mit der AfD Kommunikationstaktik, der Verteidigungsstruktur des Baltikums und einer neuen Initiative von Reportern ohne Grenzen. ####Aufzeichnung: [**hier**](https://youtu.be/Fx_dX8CnzNk) ####Folien: [**hier**](https://www.defensivecon.org/slides/Machtpolitik_Defense_05_vonFranque.pdf) Friederike von Franqué 2020-02-08T16:50:00+01:00 16:50 01:00 Mainhall dcon2020-21-assume-trauma-resilienz-und-coping-mechanismen-bei-kritischen-infrastrukturen https://cfp.defensivecon.org/dcon2020/talk/FTJDCL/ false Vortrag de Resilienz ist weit mehr als Verfügbarkeit und wurzelt in Disziplinen wie Ökonomie, Psychologie und Philosophie. Der Vortrag trägt die verschiedenen Konzepte zusammen und hält diese gegen aktuelle Konzepte wie Chaosengineering, BeyondProd, Shift Left und Defend Forward, um die Frage zu beantworten, welche Eigenschaften Systeme wie kritische Infrastrukturen tatsächlich resilienter machen. *Resilienz* hat sich längst zum zentralen Buzzword entwickelt, wenn es um den Schutz der Versorgungssicherheit in kritischen Infrastrukturen (KRITIS) geht. Passend zum Paradigma "Assume Breach" geht man auch bei der Verfügbarkeit inzwischen nicht mehr davon aus, dass diese in jeder Situation aufrechterhalten werden kann, sondern versucht, Systeme so zu designen, dass sie nach einer Schädigung (griech. *Trauma* - auch der Begriff der Resilienz stammt ursprünglich aus der Psychologie) möglichst bald und idealerweise selbstständig wieder in den Normalbetrieb "zurückspringen" (lat. *resilire*). Der Vortrag trägt Theorien und Ansätze aus der Systemtheorie (*Antifragilität*), Biologie (*Autopoiesis*), Psychologie (*Stress*- und *Trauma*therapie sowie *Coping*-Mechanismen) zusammen, um die Frage zu beantworten, welche Eigenschaften und Umgebungsparameter Systeme resilient(er) machen und gleicht diese mit aktuellen Ansätzen wie *Chaosengineering*, *BeyondProd*, *Shift Left* und *Defend Forward* ab um diese daraufhin abzuklopfen, was wirklich eine Chance hat, schnelle Wiederanlaufzeiten zu garantieren. ####Aufzeichnung: [**hier**](https://youtu.be/eUT23j7GQgI) ####Folien: [**hier**](https://www.defensivecon.org/slides/2020-02 DefensiveCon - David Fuhr - Assume Trauma v1.0.pdf) /media/dcon2020/images/FTJDCL/David_Fuhr_LotteOstermann_ORIGINAL_2019_-_cut.jpg David Fuhr 2020-02-08T18:00:00+01:00 18:00 01:00 Mainhall dcon2020-4-strategieunfhig-deutschland-braucht-eine-resilienzstrategie-2020 https://cfp.defensivecon.org/dcon2020/talk/MAMR8K/ false Vortrag de In den letzten Jahren wurde schmerzhaft deutlich was viele bereits vermutet haben: Deutschland hat keine kohärente Strategie wie es die IT-Systeme und Infrastrukturen des Landes wirklich gegen Angriffe auf deren Verfügbarkeit, Integrität und Vertraulichkeit schützen will - Deutschland ist strategieunfähig und das muss geändert werden. Die erste Cybersicherheitsstrategie Deutschlands stammt aus dem Jahre 2010. Es handelte sich damals um ein Produkt des Innenministeriums was dazu eingelegt war die groben Strukturen für mehr Cybersicherheit in Deutschland zu schaffen. Hierunter fiel unter anderem der Aufbau des Cyber-Abwehrzentrums und des Cyber-Sicherheitsrates. Jedoch war diese Strategie sehr eng gefasst und brachte keine Vision hervor, wie inhaltlich oder mit der Architektur der deutschen Cybersicherheitsbehörden langfristig umgegangen werden soll. Die Hoffnungen waren groß, als die Bundesregierung ihre ressortübergreifende ("whole-of-government approach") Cybersicherheitsstrategie 2016 angekündigte. Leider wurde aller Optimismus schnell von der Realität eingefangen. Es handelt sich bei der Cybersicherheitsstrategie nicht um eine Strategie, sondern um ein Sammelsurium an Maßnahmen, welche die verschiedenen Behörden seit Jahren in der Schublade hatten. Ohne Analyse oder Evaulierung ob dies überhaupt notwendig oder zeitgemäß war. Hinzu kommt, dass die Strategie wieder keinen Masterplan für die behördliche Struktur hatte, über keinen hinterlegten Haushalt verfügte und die Belange der Industrie, Wissenschaft und Zivilgesellschaft absichtlich ignorierte. Auch ein Nachhalten des Umsetzungsstandes und eine Evaluation der Effektivität waren nicht vorgesehen. Interessant ist auch, dass beide Strategien als Reaktion auf geopolitische Ereignisse verstanden werden können: die 2010er als Antwort auf Stuxnet und die 2016er als Antwort auf die Snowden-Enthüllungen im Untersuchungsausschuss und den Angriff auf den Bundestag. Jedoch vermieden beide Strategien ein klares Bekenntnis zu IT-Sicherheit und Resilienz statt offensiver Cyberoperationen. Aktuell gibt es in der Welt zwei dominante strategische Ausrichtungen in der Cybersicherheitspolitik: 1. Die Nutzung von offensiven Cyberoperationen zur Abschreckung besserem Schutz der eigenen Systeme in Ergänzung zu defensiven Maßnahmen (z. B. USA/Israel) 2. Die Nutzung von offensiven Cyberoperationen zum Schaden des Gegners und der Überwachung der eigenen Bevölkerung ohne besonderen Fokus auf defensive Maßnahmen (u. a. China, Russland, VAE) Was hier fehlt ist eine Strategie die komplett ohne offensive Maßnahmen auskommt, bei defensiven Maßnahmen aber zusätzlich zu IT-Sicherheitsmechanismen verstärkt auf digitale und analoge Resilienz setzt. Auf europäischer Ebene nimmt das Thema Resilienz im Cyberraum gerade wieder Fahrt auf. Deutschland kann und muss eine treibende Kraft hinter dieser Initiative werden und einen dritten Weg anbieten; einen der komplett auf offensive Cyberoperationen verzichtet und diese lediglich für forensische Zwecke und Sicherheitsmaßnahmen wie Penetration Tests zulässt. Deutschland braucht eine Cybersicherheitsstrategie 2020 mit folgenden Kriterien: - Fokus auf Resilienz (digital/analog) als Vision - Evaluation der bisherigen Maßnahmen - Nachhalten und Beurteilung der Effektivität neuer Maßnahmen - Hinterlegung mit Finanzmitteln - Einbeziehung aller relevanten Sektoren ("whole-of-society approach") - Masterplan zur Architektur der Sicherheitsbehörden ####Aufzeichnung: [**hier**](https://youtu.be/qTRmKHoRSZo) ####Folien: [**hier**](https://www.defensivecon.org/slides/HERPIG-Resilienzstrategie für Deutschland.pdf) /media/dcon2020/images/MAMR8K/sven_herpig_480x600.jpg Sven Herpig