Admins und Entwickler lieben SSH! Und natürlich verwenden sie meist SSH-Benutzerschlüssel für den Zugriff, installiert auf den Zielsystemen als sogenannte "authorized keys". Allerdings verleiten viele gut gemeinte Anleitungen im Internet zu einer bequemen, aus Sicherheitssicht aber fragwürdigen Nutzung von SSH-Schlüsseln.

Wie werden private Schlüssel sicher gespeichert? Passphrase? Smartcard? Nutzung auf mehreren Clients und Gateways? Und wie wird die Authentizität der öffentlichen Schlüssel gewährleistet? Wie werden zuverlässig obsolete Schlüssel wieder von Zielsystemen entfernt?

Eine Lösungsmöglichkeit stellt die Nutzung von nur kurzzeitig gültigen SSH-Schlüsselzertifikaten dar, die einem Benutzer nach erfolgreicher Mehrfaktor-Authentifizierung ausgestellt werden. Eine entsprechende Implementierung für einen Hosting-Provider wird im Vortrag vorgestellt.

Dabei wird insbesondere auch erläutert, warum eine Nutzung von Smartcards in diesem Anwendungsfall nicht geeignet war.

In dieser Präsentation werden einige der am häufigsten verwendeten Eigenschaften von Cyberwaffen diskutiert - wie sie manipuliert und ihre Erkennung ermöglicht werden kann. Erkennung ermöglicht Verteidigung, Prävention alleine reicht nicht mehr aus.

Je nach Zählart gibt es bis zu einer Millionen neuer Malware Samples pro Tag. Sie sind jedoch meist wiederverwendete Codefragmente und Neuzusammenstellungen alter Angriffsvektoren. Ein Beispiel hierfür ist NotPetya, das es zu einiger Bekanntheit gebracht hat. Der Vortrag soll beleuchten, warum und wie Malwarecode wiederverwendet wird und welche Möglichkeiten bestehen, Malware anhand des wiederverwendeten Codes zu entdecken. Darüber hinaus werden die einzelnen Verfahren hinsichtlich ihrer Zuverlässigkeit bewertet sowie Wege aufgezeigt, wie mit dieser Bedrohung umgegangen werden kann und wie man diese Angriffe zuverlässig erkennen und beenden kann.

• Ein häufiger Fallstrick beim Messen von Awareness ist die Aussagekraft der Ergebnisse. Es haben beispielsweise 9 % der Mitarbeiter eines Unternehmens auf eine simulierte Phishing-E-Mail geklickt. Was aber heißt das nun? Das Unternehmen ist vielleicht besser als der Branchendurchschnitt bei dieser E-Mail, aber ist es sicher? Wie sieht es bei anderen, also realen Angriffen aus?
• Ein weiterer Fallstrick ist das Thema Betriebsrat. Mit solchen Simulationen bewegt man sich an der Grenze zur Mitarbeiterüberwachung. Wie sollte man vorgehen, um den Betriebsrat als Motivator zu gewinnen, und ihm nicht als Gegner gegenüberzustehen?
• Ein weiteres wichtiges Thema ist die Mitarbeiter-Zufriedenheit. Wie lässt sich also eine solche Simulation in die Unternehmenskultur einbinden?

Non-Profit-Initiative ID4me: Eine ID für alles.

Es handelt sich dabei um eine sichere, unabhängige und open-source-basierte Single-Sign-On Möglichkeit für User. Eine Alternative zu Facebook und Co, bei der User die Datenhoheit behalten.

ID4me soll Nutzern ein einfaches Tool an die Hand geben, mit dem sie festlegen können, welchen Online-Unternehmen sie etwa ihre vollständigen persönlichen Daten anvertrauen wollen, wem sie die Postadresse nicht geben, weil diese nicht benötigt wird und wem gegenüber sie nur mit Pseudonym auftreten wollen. Die Zugriffsberechtigungen lassen sich auch nachträglich ändern oder widerrufen.

Neben Unabhängigkeit von ID4me und Datenhoheit der Benutzer gibt es eine weitere sicherheitsrelevante Differenzierung zu den gängigen Single-Sign-Ons: Es findet eine Trennung zwischen "Identity Authority" und "Identity Agent" statt, also Passwort und Userdaten werden bei getrennten Anbietern abgefragt und damit ein weitaus höherer Schutz bei Angriffen geboten.

Einführend erläutert der Vortrag den Kontext des Themas Anonymität zur DSGVO sowie ihrer Bedeutung als Teil der Privatsphäre. Es erfolgt zunächst eine Erläuterung von Anonymität im regulatorischen Sinne. Dann werden die Begriffe Anonymisierung und Pseudonymisierung voneinander abgegrenzt und beispielhaft (technische) Methoden der Anonymisierung vorgestellt.

Einer Übersicht über gängige Praktiken der Datenauswertung folgend, wird veranschaulicht, dass die Verknüpfung von Daten mit immer größeren Datenmengen auch einen höheren Aufwand bei der Anonymisierung notwendig macht.

Anhand eines Beispiels wird vermittelt, wie verschiedene Datenquellen verwendet werden können, um eine Anonymisierung rückgängig zu machen. Erkenntnisse aus jüngeren Fällen von Datenpannen, Ausblicke auf Geschäftsmodelle mit personenbezogenen Daten und Vorschläge für Anforderungen an Anonymisierungsmaßnahmen zur effektiven Gewährleistung des Datenschutzes runden den Vortrag ab.