In Hamburg hat die 22. DFN-Konferenz begonnen, die sich dem Thema “Sicherheit in vernetzten Systemen” widmet. Die überwiegend aus Universitäten und Behörden kommenden IT-ler haben Redebedarf zum Thema.
So merkten nach einem Vortrag zum Thema, jetzt kommts, Internetsicherheitsmanagementsysteme (ISMS), einige Anwesende an, sie würden an ihren Institutionen (meist Universitäten und Hochschulen) gern Sicherheitsrichtlinien und -konzepte einführen, doch würden diese schlicht kein Geld dafür locker machen. Die Vortragenden, Andreas Lorenz und Christian Paulsen, konnten nur dazu raten, den Entscheidern detaillierte Kostenaufstellungen zu präsentieren, die zeigen, welche finanziellen Folgen Security-Zwischenfälle haben können.
Neben einzelnen Unternehmen wie Airbus, Bombardier, E-Plus oder T-Systems sind auf der Konferenz vor allem IT-Verantwortliche von Universitäten, Fachhochschulen, Forschungseinrichtungen und Behörden vertreten. Doch nicht alle Vortragsthemen sind so trocken wie ISMS. Während Klaus-Peter Kossakowski vom Veranstalter DFN-Cert zur Begrüßung autonome Systeme als ungeklärte Sicherheitsrisiken darstellte, stellte Ephraim Zimmer von der Universität Hamburg einen interessanten Ansatz vor, die IPSec-Verschlüsselung gegen Quantenkryptografie abzusichern.
Die Keynote von Stevens Le Blond widmete sich hingegen Targeted Attacks: Der Mitarbeiter des Max-Planck-Instituts hat solche extrem aufwändigen Angriffe auf Organisationen untersucht und gab Tipps, woran sie sich erkennen lassen (wenn überhaupt) und welche Möglichkeiten der Gegenwehr es gebe. In eine ähnliche Kerbe haute Sven Übelacker, der in einem Kurzvortrag Social-Engineering-Angriffe analysierte.
Tobias Straub, Stefan Baust und Wladislaw Mitzel schauten, was von den zahlreichen neuen Systemen zur E-Mail-Verschlüsselung übrig bleibt, wenn man einen intensiveren Blick darauf riskiert. Die Antwort: (noch) nicht viel. Am Schluss dieses ersten Tages informierten schließlich Joerg Heidrich vom Heise-Verlag und Christoph Wegener von der Ruhr-Universität Bochum über die rechtlichen und technischen Anforderungen an die Protokollierung von Nutzdaten. Hier zeigte sich, dass klare Reglungen noch immer fehlen und nicht selten die technischen mit den rechtlichen Anforderungen kollidieren.
