Sicherheit Architektur
OWASP
Die Open Web Application Security Project Foundation – definiert die wichtigsten Web-Sicherheitsrisiken und Best Practices für sichere Entwicklung.
Einfach erklärt
IT-Sicherheit (englisch Security) umfasst alle technischen und organisatorischen Maßnahmen, die Systeme, Daten und Anwendungen vor unbefugtem Zugriff, Manipulation, Diebstahl und Ausfall schützen. Das Ziel ist nicht absolute Sicherheit – die gibt es nicht –, sondern ein angemessenes Schutzniveau, das das Risiko auf ein akzeptables Maß senkt.
Im Zentrum stehen drei Schutzziele, die sogenannte CIA-Triade:
- Vertraulichkeit (Confidentiality): Daten sind nur für Berechtigte zugänglich.
- Integrität (Integrity): Daten können nicht unbemerkt verändert werden.
- Verfügbarkeit (Availability): Systeme und Daten sind dann verfügbar, wenn sie gebraucht werden.
Technischer Deep Dive
Defense in Depth
Moderne Sicherheit setzt auf mehrere, voneinander unabhängige Schichten. Versagt eine, fängt die nächste auf:
| Schicht | Beispiel-Maßnahmen |
|---|---|
| Netzwerk | Firewall, Segmentierung, VPN |
| Identität | Authentifizierung, MFA, Single Sign-On |
| Anwendung | Input-Validierung, Schutz vor OWASP-Top-10-Risiken |
| Daten | Verschlüsselung at rest und in transit |
| Betrieb | Audit-Logging, Monitoring, Incident Response |
Häufige Bedrohungen
- Phishing & Social Engineering – Angriff auf den Menschen, nicht die Technik
- Malware & Ransomware – Schadsoftware, oft mit Erpressung
- Injection-Angriffe – z. B. SQL-Injection durch unsaubere Eingabeverarbeitung
- Fehlkonfiguration – offene Ports, Standardpasswörter, zu weite Berechtigungen
Sicherheit als Prozess
IT-Sicherheit ist kein Zustand, sondern ein fortlaufender Kreislauf aus Risikoanalyse, Maßnahmen, Überwachung und Verbesserung. Standards wie ISO 27001 oder SOC 2 strukturieren diesen Prozess und machen ihn nachweisbar.