Nudging für eine bessere IT-Sicherheit

Präsentation zum Thema: "Nudging für eine bessere IT-Sicherheit"—  Präsentation transkript:

1 Nudging für eine bessere IT-Sicherheit
Dr. Ulf Buermeyer, LL.M. (Columbia) Gesellschaft für Freiheitsrechte e.V. 12. For..Net Symposium, 28. April 2017

2 Passau, we have a problem.
„IT-Security“ klingt wie „schwarzer Schimmel“ Aus dem Bundestag fließen Daten ab Mindestens Telekom-Router down Twitter unerreichbar wg. DDOS-Attacke auf Dyn.com Demokratische Partei im Wahlkampf gehackt 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

3 Bisher im Fokus der IT-Sicherheit
Bisherige Ansätze verfehlt Bisher im Fokus der IT-Sicherheit Angreifer / „Hacker“ Anwender 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

4 Angreifer: nicht greifbar
„Cybercrime“ ist nur in Glücksfällen zu bekämpfen Täter meist im Ausland ineffiziente Rechtshilfe Tatbegehung verschleiert hochprofessionell (teils staatlich) 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

5 Anwender: überfordert
haben nur begrenzten Einfluss auf ihre Systeme sind Menschen und machen Fehler Phishing Malware als -Anhang ... 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

6 Wir setzen an den falschen Stellen an
Kassensturz Zwischenbilanz Wir setzen an den falschen Stellen an Nur: welche sind vielversprechend? 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

7 Die Hersteller* von IT spielen die zentrale Rolle
Elephant in the Room: die Hersteller Die Hersteller* von IT spielen die zentrale Rolle treffen sicherheitsrelevante Design-Entscheidungen bieten Updates an – oder auch nicht *über die Definition muss man reden! 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

8 Problem: Anreizstrukturen
Hersteller haben typischerweise nur wenig Anreize, in Sicherheit zu investieren Features muss man bauen – Sicherheit kann man behaupten Kosten von Sicherheitslücken treffen meist andere 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

9 Lösung: Anreize kann man ändern
Hersteller würden mehr in Sicherheit investieren, wenn es sich lohnen würde Sicherheit als Wettbewerbsvorteil Sicherheitsmängel als Kosten-Risiko 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

10 Wettbewerbsvorteile durch messbare Sicherheit
Sicherheit als Wettbewerbsvorteil Wettbewerbsvorteile durch messbare Sicherheit obligatorisches „Mindesthaltbarkeitsdatum“ wie lange gibt es Updates? Mindeststandards für IT-Security 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

11 Sicherheit durch Innovationen
Blockchains statt zentraler Datenbanken Tor hidden services statt offener Ports 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

12 Sicherheit durch Innovation: Blockchain
Kette von Transaktionen, die kryptografisch aufeinander aufbauen keine zentrale Datenbank, kein single point of failure konzeptuell kaum zu hacken 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

13 Sicherheit durch Innovation: tor
tor hidden service bisher: Home Automation setzt oft auf „offene Ports“ Problem: Portscans + unsichere IoT-Geräte stattdessen ek55xbedpam7wn6a.onion + zufälliger Port 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

14 „Todsünden“ der IT-Security
Beispiele für Mindeststandards „Todsünden“ der IT-Security Default-Passwörter Unverschlüsselte Verbindungen (HTTPS ...) Fehlende Upgrade-Pfade Undokumentierte Zugangswege 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

15 Sicherheitslücken als Kosten-Risiko
Allokation der finanziellen Risiken beim Verantwortlichen Beispiel Produkthaftungsgesetz „Hersteller“ ist, wer baut oder vertreibt ggf. Regress entlang der Lieferkette Regress nicht Problem der Kunden 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

16 Haftung für Sicherheitslücken
Zugegeben: Haftung ist im Detail komplex Open Source Haftungsmaßstab? Nachweis von Sorgfaltswidrigkeit Bezifferung von Schäden im B2C-Bereich– pauschalierte Schäden? 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

17 Für eine Kultur der IT-Sicherheit
Sicherheit muss sich für diejenigen lohnen, die sie in der Hand haben – die Hersteller Best Practices / Mindeststandards Wettbewerbsvorteile Haftung 12. For..Net Symposium, 28. April 2017 Dr. Ulf Buermeyer, LL.M. –

18 Vielen Dank! Dr. Ulf Buermeyer, LL.M. (Columbia)
Gesellschaft für Freiheitsrechte e.V. @vieuxrenard 12. For..Net Symposium, 28. April 2017