Am 18.03.2020 hat die Zeitschrift CHEManager den Gastbeitrag von Dipl.-Ing. Thomas Käfer, M.Sc. veröffentlicht: Digitalisierung in der Industrie – aber sicher (doch)

Die Digitalisierung durchdringt alles: Früher isolierte Systeme werden vernetzt und gleichzeitig werden Angriffe auf IT-Systeme zu einer immer realeren und schwerwiegenderen Bedrohung.

Also sollte man davon am besten die Finger lassen, lieber weiterhin auf isolierte und vollständig abgeschottete Systeme setzen und sie durch geheime, eigenentwickelte Sicherheitsmaßnahmen so schützen, dass niemand sie (unbefugt) nutzen kann? „Digitalisierung“ ist auch nur so eine Modeerscheinung! Dann wäre man Unterlasser und nicht Unternehmer.

[hier weiterlesen]: https://www.chemanager-online.com/themen/anlagenbau-komponenten/digitalisierung-der-industrie-aber-sicher-doch

ABSAGE: Der Versicherungstag 2020 muss wegen der Corona Krise leider in diesem Jahr entfallen, ist aber für 2021 mit gleichem Programm geplant.

Versicherungstag 2020

Am 2. April 2020 findet der 12. gemeinsame Versicherungstag der IHK Koblenz zusammen mit der IHK Trier, dem BVK Koblenz-Trier e.V. und dem BWV Koblenz e.V. statt.

Der Versicherungstag beginnt um 09:30 Uhr und findet statt in der Stadt- und Kongresshalle Vallendar, Hellenstraße 67, in 56179 Vallendar.

Wir freuen uns auf aktuelle Vorträge und einen anregenden Erfahrungsaustausch.

Näheres entnehmen Sie bitte dem Flyer zum Versicherungstag.

Gerne können Sie sich bis zum 26.03.2020 hier anmelden.

Weitere Informationen:

www.ihk-koblenz.de (Dok.-Nr. 3639074)

www.ihk-trier.de (Dok.-Nr. V-20068)

Die Teilnahme an der Veranstaltung ist für die IHK-, BVK-und BWV-Mitglieder sowie deren Mitarbeiter kostenfrei

PROGRAMM

9:30 - 10:00 Uhr Get together

10:00 - 10:10 Uhr: Ralf Löhmar, Vizepräsident der IHK Koblenz - Begrüßung

10:15 - 11:15 Uhr: Prof. Dr. Florian Elert, HSBA Hamburg School of Business Administration  - Auswirkungen der digitalen Trans-formation auf das Versicherungsgeschäft

• Veränderungen durch die Digitalisierung für die Produktangebote und Absatzkonzepte
• Auswirkungen der Entstehung von Plattformen und Ökosystemen auf das Versicherungsgeschäft
• Grundlagen zu den Themen Digitalisierung, Plattformen und Ökosystemen, insbesondere für Versicherungsvermittler
• Herausforderungen und Chancen für Vermittler und Versicherer

11:25 - 13:00 Uhr: Dipl. Ing. Thomas Käfer, M.Sc.  - IT-Sicherheit – Datenschutz – Pen Testing im Fokus des Versicherungsvertriebs

• Problematisierung von IT-Sicherung und Datenschutz
• Was ist digitale Forensik
• Beratungsansatz, Gefahrenabwehr und Absicherung des Restrisikos (Cyberversicherung)
• Umsetzung im Versicherungsvertrieb

13:00 - 14:00 Uhr: Mittagsimbiss

14:00 - 16:00 Uhr:  Samuel Koch, Autor - Steh auf Mensch!

16:00 Uhr: Ende der Veranstaltung

Referenten

Prof. Dr. Florian Elert

Prof. Dr. Florian Elert verantwortet die praxisorientierte Lehre und Forschung im Bereich Versicherungsmanagement an der HSBA Hamburg School of Business Administration und ist Leiter des Bachelorstudiengangs Versicherungsmanagement. Zusätzlich zu seiner Lehr-tätigkeit führt er Workshops, Seminare, Einzeltrainings für Entscheider sowie Studien für die Versicherungswirt­schaft an der HSBA durch und referiert regelmäßig auf Branchenveranstaltungen. Seine Forschungsschwerpunkte umfassen die Themen: Auswirkungen der Digitalisierung auf die Geschäftsmodelle in der Versicherungswirtschaft, digitale Transformation von Versicherungsunternehmen und Vertrieben sowie Geschäftsmodellinnovation in der Assekuranz.

Dipl. Ing. Thomas Käfer M.Sc.

Dipl.-Ing. Thomas Käfer, M.Sc. ist öffentlich bestellter und vereidigter Sachverständiger für Systeme und Anwen­dungen der Informationsverarbeitung und beschäftigt sich seit 1990 u. a. mit seinem IT-Systemhaus neben klassischen Aufgabenstellungen aus der PC-, Netzwerk-und Portal-Technik vor allem mit Fragen der IT-Sicherheit und der digitalen Forensik. Im Sommer 2015 hat er den berufsbegleitenden Master-Studiengang „Digitale Foren­sik“ erfolgreich abgeschlossen und in diesem Kontext u.a. eine Forschungsarbeit zum Thema Digitale KFZ-Forensik erstellt, die seither fortgeführt wird. Als Fachautor und Speaker auf zahlreichen IT-Security-Events tritt er zum Thema Cyber-Security in Erscheinung.

Samuel Koch

„Steh auf Mensch!“ – der Titel seines Vortrags passt auf kaum einen anderen so sehr wie auf Samuel Koch. Wer nach einem Schicksalsschlag wie dem Unfall bei „Wetten, dass..?“ nicht den Lebensmut verliert, muss wohl das Geheimnis der Resilienz kennen – der inneren Wider­standsfähigkeit, die gerade in aller Munde ist. Vor dem Hintergrund seiner eigenen Erfahrungen und unzähligen Gesprächen mit Todkranken und Topmanagern, Flüchtlin­gen und Häftlingen wirft Samuel Koch spannende Fragen auf: Was gibt Menschen wirklich die Kraft, immer wieder aufzustehen? Kann man Resilienz lernen und wenn ja, braucht es dazu vielleicht andere Ansätze als bisher gedacht? In seinem Vortrag „Steh auf Mensch!“ wird Samuel Koch diese Fragen thematisieren und von seinen eigenen Erfahrungen berichten.

UPDATE: Wegen Corona ist die Veranstaltung auf unbestimmte Zeit verschoben. Ein neuer Termin wird noch bekanntgegeben.

Am Freitag 20. März 2020 veranstaltet das Institut für Digitalisierung Aachen (IDA) von 8:30 bis 15:30 Uhr in der FH Aachen Gebäude D - Eupener Strasse 70 die erste Fachtagung zum Thema "Digitalisierung aus eigener Kraft". Mit von der Partie ist u.a. Thomas Käfer als Redner zum Thema IT-Security "Digitalisierung aber sicher (doch) - Keine Digitalisierung ohne IT-Security".

Hier geht es zur Anmeldung:

Hier können Sie den Flyer mit dem Programm herunterladen:

Das WDR Fernsehen mit dem Team von Bettina Staubitz war heute wieder einmal gerngesehener Gast und hat mich zu meiner Meinung zu dem Cyber-Angriff auf die Uni Maastricht und die Lösegeldzahlung befragt.

Die Story:

Zur Weihnachtszeit 2019/2020 hat es die Universität Maastricht erwischt. Ein Mitarbeiter hatte offenbar Wochen vor dem eigentlichen Angriff eine Mail mit Schad-Software geöffnet und so konnte sich eine Hackergruppe anschließend tief in das IT-System der Hochschule einnisten. Als sie genügend Ressourcen für die Attacke offenbar unbemerkt übernommen hatten, schlugen sie in einer konzentrierten Aktion zu und legten nach Uni-Angaben mehrere Hundert Rechner durch Verschlüsselung der Daten und Systeme lahm.

Die Uni Maastricht hat nach eigenen Angaben 30 Bitcoins (umgerechnet ca. 197.000 €) als Lösegeld bezahlt und im Gegenzug den Schlüssel zum Entschlüsseln der Systeme bekommen. Glück gehabt, denn das war wahrscheinlich wirtschaftlich die beste Entscheidung.

Ein funktionierendes Backup und ein vorher ausgearbeiteter Incident Response Plan hätte die Folgen vermutlich besser mildern können. Und natürlich, die Systeme besser gegen Schad-Software abzusichern und die Mitarbeiter zu schulen. Nachher ist man schlauer…

Die Sendung wird am 06.02.2020 ab 19:30 in der WDR Lokalzeit Aachen ausgestrahlt.

Beitrag in der Mediathek (zeitlich begrenzt): https://www1.wdr.de/mediathek/video/sendungen/lokalzeit-aachen/video-lokalzeit-aus-aachen---540.html

Da stehen dem IT-Sicherheitsexperten die Haare zu Berge

BSI verabschiedet sich von der Empfehlung zum regelmäßigen Passwortwechsel

Das BSI erklärt laut WDR2, dass das ständige Ändern von Passwörtern die Sicherheit verschlechtert. Das ist nur die halbe Wahrheit. Man sollte schon mal zwischen 1234, 12345 und 123456 wechseln...

... und im Ernst: Passwörter nie zu ändern, wäre genauso schlecht.

Im aktuellen IT Grundschutzkompendium 2020 des BSI verabschiedet sich das BSI von der bisherigen Empfehlung, Passwörter regelmäßig zu ändern: IT-Systeme oder Anwendungen SOLLTEN NUR mit einem validen Grund zum Wechsel des Passworts auffordern. Reine zeitgesteuerte Wechsel SOLLTEN vermieden werden.

Richtig ist: Das regelmäßige Ändern von Passwörtern in zu kurz bemessenen Zeitabständen (z.B. jedes Quartal) ist tatsächlich kontraproduktiv, denn User neigen dazu, die Passwörter nur geringfügig abzuändern, damit sie sich diese merken können und produzieren damit meist eine gewisse Systematik (Passwort2019, Passwort2020, Passwort 2021 etc.). Oder sie können sich das neue Passwort nicht merken und kleben es per Haftzettel an den Monitor. Am Ende nervt die Pflicht zum ständigen Wechsel und die Akzeptanz von IT-Sicherheit leidet.

Falsch ist: Passwörter muss man nun gar nicht mehr ändern oder kann sie jahrelang benutzen (wenn sie ausreichend lang und komplex sind) bzw. die Passwortlänge von mindestens 8 Zeichen wird nicht mehr explizit gefordert. Auf diese Schlussfolgerung kommen die Medien, wie u.a. der WDR2 in seinem Beitrag am 05.02.2020 im Hörfunk durch eine medientypische Verkürzung der Sachlage.

Wenn es den Verdacht gibt, dass Passwort könnte kompromittiert worden sein, dann muss es sofort geändert werden. Und auch eine Mindestlänge muss es nach wie vor haben. Für Passwörter bis zu 8 Zeichen existieren sogenannte Rainbow-Tabellen mit vorberechneten Hash-Werten. Damit kann man ein verschlüsselt (gehasht) abgelegtes Passwort im Klartext durch Nachschlagen in der Rainbow-Datenbank ermitteln, wenn man einen Hash-Wert (oder gar eine ganze gehashte Passwortliste) erbeutet hat. Und: Mit entsprechender Rechenleistung kann man Passwörter auch systematisch durchprobieren (Brute Force Attacke). Beides funktioniert aber nur mit Passwörtern bis etwa zur Länge von 8 Zeichen. Darüber wird der Rechenaufwand bzw. der benötigte Speicherplatz so groß, dass er i.d.R. nicht mehr handhabbar ist (wächst exponentiell mit Anzahl der möglichen Zeichen und Stellen). Daher bleibt die Empfehlung, Passwörter möglichst lang zu wählen (z.B. größer 10 Zeichen). Das geht ganz einfach mit einem persönlichen Merksatz, von dem man die ersten beiden Zeichen jedes Wortes in Gross-Kleinschreibung incl. Satzzeichen und Ziffernaustausch als Passwort nimmt. Beispiel: „Heute ist ein schöner Tag, um sich ins Freibad zu legen.“ ergibt das sehr sichere Passwort „Heis1scTa,umsiinFrzule.“ (bitte diesen Satz jetzt nicht verwenden…)

Benutzer sollten ihre Passwörter in angemessener Zeit (entsprechend dem persönlichen Schutzbedarf) dennoch ändern, da mit der Zeit die Gefahr steigt, dass ihr Passwort in einer (schlecht gesicherten) geleakten bzw. kompromittierten Passwortdatenbank aufgetaucht ist und damit Einzug in eine Wörterbuchattacke hält oder gezielt in Verbindung mit dem ebenfalls erbeuteten Benutzernamen zu einem konkreten Angriff benutzt wird (Erbeutetes Mail-Passwort des Benutzers wird z.B. in Amazon oder Ebay als Login versucht).

Und es gibt einen weiteren gewichtigen Grund, warum Betreiber von IT-Systemen an einem regelmäßigen Passwortwechsel festhalten sollten. Passwörter werden gerade bei Funktions-Accounts oft von mehreren Personen benutzt bzw. sind den Kollegen bekannt. Scheidet ein Mitarbeiter aus dem Unternehmen aus, so hat er oft mit den alten - nie gewechselten - Passwörtern auch anschließend noch lange Zeit Zugriff auf die Daten und Systeme. Oder man denke an Situationen, wo Passwörter für einen externen Zugang geleakt worden sind, weil ihn mehrere Menschen kennen. So funktionieren dann Zugriffe auf eigentliche geschützte Bereiche dauerhaft mit nicht geänderten Passwörtern. Sollte alles nicht so sein – ist aber in der Praxis oft so.

Die Realität ist also meist etwas komplexer, als in einem 3 min – Beitrag oder ein paar Sätzen erklärbar (und auch als dieser Beitrag beschrieben kann). Man sollte sich dadurch also nicht zu falschen, voreiligen Schlüssen verleiten lassen. Man kann ja „zur Not“ jemanden Fragen, der sich damit auskennt…

Fazit: Passwörter ausreichend lang und komplex wählen, geheim halten und bei Verdacht sofort und ansonsten in angemessenem Zeitraum (z.B. alle 1-2 Jahre) ändern. Bei Funktions-Accounts, die ggf. von mehreren Benutzern genutzt werden (wenn sich das nicht vermeiden lässt) sollte der Zeitraum kürzer sein bzw. der Wechsel muss initiiert werden, wenn ein Benutzer aus der Runde ausscheidet.

Quellen der Berichterstattung u.a.

Heise:

https://www.heise.de/security/meldung/Passwoerter-BSI-verabschiedet-sich-vom-praeventiven-Passwort-Wechsel-4652481.html

WDR:

https://www1.wdr.de/nachrichten/rheinland/bsi-it-grundschutz-kompendium-100.html

BSI IT Grundschutz Kompendium 2020

https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/IT_Grundschutz_Kompendium_Edition2020.html

Neues aus der Rubrik "Der Schuster hat die schlechtesten Schuhe " bzw. "da kotzt der Security-Experte": Symantec verschickt Virenschutz-Lizenzen bzw. Infos zu der Vertragsverlängerung als HTML-Anhang per E-Mail incl. jeder Menge Links im Body-Text.

Wir Security-Experten werden nicht müde, unseren Kunden zu vermitteln, dass sie bei E-Mail-Anahängen extrem vorsichtig sein sollen und vor allem keine HTML-Dateien als Anhang anklicken sollen. Das ist gerade wieder einmal eine beliebte Masche von Spammern und Angreifern, um ihre Phishing-Attacken loszuwerden und Schad-Code nachzuladen, wenn man die HTML-Dateien im Browser öffnet. Das Symantec bzw. der neue Besitzer Broadcom genau auf diesem Weg die Abonnement-Verlängerungen für den Viren-Schutz an Kunden verschicken, ist schon ein starkes Stück von Inkompetenz. Oder steckt da gar Absicht dahinter. Damit kann man ja dann prima beweisen, dass der Virenscanner funktioniert, oder. Dazu gibt es in Aachen ein Karnevalslied: Der Glaser tritt die Scheiben ein und sagt, da müssen neue rein. Dem Fass den Boden schlägt es dann aus, dass die Mails auch noch von einer "no-reply"-Adresse verschickt werden. Beschweren kann man sich also auch noch nicht einmal... Und wofür der ganze Mist? Wenn man dann die HTML-Datei in gesicherter Umgebung in einem Editor öffnet, sieht man, dass sie lediglich eine Tabelle mit den Bestellinformationen enthält. Also vollkommen ohne Mehrwert und Könner schaffen es, so etwas direkt in einer PDF zu schreiben. Setzen. Sechs.

Am 16.12.2019 findet in der IHK Aachen ein Austausch mit rund 30-40 Schülern der allgemein- und berufsbildenden Schulen zum Thema Digitalisierung und den Herausforderungen im späteren Arbeitsleben statt. Das Ganze geht auf eine Initiative des Berufsbildungsausschuss der IHK Aachen und dort des Arbeitskreises Digitalisierung zurück.

Wir wollen herausfinden, wie die Digitalisierung in Schule, Ausbildung und Beruf das Lernen (und Leben) wirklich verbessern kann und wo Schüler, Schulen und Betriebe noch enger zueinanderfinden können. Denn die Anforderungen, die sich in Ausbildung und Studium und später im Arbeitsalltag stellen, sind durch die Digitalisierung nicht weniger geworden - sie haben sich vor allem verändert. Damit knüpfen wir an zwei bereits sehr erfolgreich verlaufene Veranstaltungen zunächst mit den Mitgliedern des Berufsbildungsausschusses und dann mit Lehren der allgemeinbildenden Schulen und Berufsschulen in Form eines "World Cafés" an. Die Ergebnisse des dritten Teils mit den Schülern sollen dann in konkrete Handlungsempfehlungen münden, wie wir die Jugendlichen vielleicht noch ein bisschen besser auf die neue digitale Welt vorbereiten und wie moderne Lern- und Ausbildungsmethoden in Schulen und Betrieb Einzug halten können.

Und so ganz "nebenbei" möchten wir mit den Schülern ins Gespräch kommen, ob und wann eine betriebliche Ausbildung die bessere persönliche Alternative zu einem Studium ist. Denn wie viele andere müssen wir feststellen, dass nach wie vor zu viele Schüler das Studium einer Ausbildung vorziehen (und dann ggf. scheitern), obwohl viele Gründe bei objektiver Betrachtung eher für eine Berufsausbildung sprechen würde. Offenbar gibt es vielfach einen Automatismus, dass die Kinder bevorzugt auf das Gymnasium gehen sollen und dann automatisch studieren. Das liegt mit Sicherheit auch daran, dass in der Gesellschaft - getrieben auch durch eine jahrzehntelange verfehlte politische Orientierung zu immer mehr Hochschulabschlüssen - die duale (betriebliche) Ausbildung in ihrer Wertigkeit immer mehr zurückgedrängt wurde. Sprüche wie „Wenn Du das Abitur nicht schaffst, musst Du eben eine Ausbildung machen.“ sind genauso falsch wie kontraproduktiv wie Entscheidungen der Eltern über die Köpfe der Kinder hinweg à la „Der Junge wird Jurist!“. Die betriebliche Ausbildung und die daraus entstehenden Fachkräfte sind eine ebenso wichtige Stütze unserer Wirtschaft und Gesellschaft wie die Ausbildung an FH’s und TH’s. Und die Karrierechancen und Verdienstmöglichkeiten sind vielfach mindestens genauso gut.

Es wird Zeit, dass wir - so wie mittlerweile auch die Bunderegierung - die duale Ausbildung (um die uns das Ausland übrigens beneidet) wieder im Ansehen und Wertigkeit einem Studium gleich stellen und den Schülern echte Alternativen und Auswahlmöglichkeiten für das künftige Berufsleben vorstellen.

Ich freue mich auf den Austausch. Und übrigens: So bringt Ehrenamt allen etwas.

Thomas Käfer

Seminar Cyber Security von Anlagen und Maschinen

Die Absage von der Absage: Wegen der Corona-Krise muss das Kolloquium der Weyer-Gruppe "Cyber Security von Anlagen und Maschinen" als Präsenzveranstaltung leider abgesagt werden. Aber es gibt einen Ersatz: Wir machen das einfach digital:

Der IT Security-Experte Dipl.-Ing. Thomas Käfer, M.Sc. moderiert das Koloquium 2020 und darf im Namen des Gastgebers - weyer gruppe - hochkarätige Referenten begrüßen.

Unser Programm:

10:00 Uhr | Klaus Weyer - Ihr Gastgeber

10:30 Uhr | Stephan Gebhard - KAS 51 und Co - Anforderungen und Auswirkungen der aktuellen Regelwerke

11:15 Uhr | Markus Ahorner - Integrierte Cybersicherheit für Produktionsstandorte

12:00 Uhr | Martin Wundram - Live-Hacking „Stein zu Sand AG“ + Goldene Tipps als Gegenmaßnahmen

12:45 Uhr | Gerhard Klein – Erfahrungsbericht eines Angriffsopfers

13:30 Uhr | Onnen Siems, Thomas Budzyn und Tommy Berg - Chancen und Herausforderungen einer Cyber-Industrieversicherung

Weitere Fragen beantwortet Ihnen:
Frau Stefanie Moschkau
Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!
+49 (0) 2421 69 09 22 86

Wir laden Sie herzlich zu diesem spannenden und kostenlosen Branchenaustausch ein und freuen uns über Ihre Anmeldung bis zum 8. Juni 2020 unter
Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!

Wir freuen uns auf Sie!

Aus eigener leidvoller und aktueller Erfahrung kann ich nur raten: Backups machen!

Aus der Idee „mal schnell die Website aktualisieren“ wurde ein Mega-Desaster. Zunächst verschwand nur ein Menü. Dann noch eins. Und dann war auf einmal die ganze Website zerschossen. Guter Rat teuer!

Okay. Irgendwann kommt man an den Punkt, dass ein Weitersuchen nach der Ursache keinen Quick-Win bringt. Also einfach ein Backup einspielen. Upps, wie war das noch? Das Backup für das man gerade keine Zeit hat, ist das, welches man am dringendsten braucht. Und so war es dann auch bei mir. Ein vollständiges aktuelles Backup hatte ich vor den Änderungen nicht gemacht. Zum Glück gab es da noch ein paar Fall-Back-Szenarien. U.a. beim Provider lagen noch automatische Sicherungen vom Vortag (die ich erst einmal nicht auf dem Schirm gehabt hatte). Und dann stolperte ich sogar noch über eine interne Backup-Funktion, die mir immerhin ein einen Monat altes Backup offerierte. Glück gehabt. Und obendrein fand ich dann auch die Ursache des eigentlichen Fehlers. ein veraltetes Plug-In, welches nicht in den automatischen Updates enthalten war und mir die Menüleiste zerschossen hatte. Also alles wieder gut. Sorgfältige Analyse und ein wenig Fachkompetenz haben mich dann gerettet. Und das Backup.

Wann haben Sie Ihr Backup zum letzten Mal gemacht und kontrolliert?