Angriffsfläche
Die Angriffsfläche umfasst alle möglichen Eintrittspunkte, über die ein Unbefugter Zugriff auf ein System erlangen und Daten abziehen könnte.
Glossar
CRA- und Sicherheitsbegriffe erklärt
A
API-Sicherheit
API-Sicherheit umfasst den Schutz von Programmierschnittstellen vor Angriffen, unbefugtem Zugriff und Datenschutzverletzungen über ihren gesamten Lebenszyklus.
Authentifizierung
Authentifizierung ist der Prozess, die Identität eines Nutzers, Geräts oder Systems zu überprüfen, bevor Zugriff auf Ressourcen gewährt wird.
Autorisierung
Autorisierung legt fest, welche Aktionen ein authentifizierter Nutzer oder ein authentifiziertes System in einer Anwendung oder einem System ausführen darf.
B
Bedrohungsmodellierung
Die Bedrohungsmodellierung erkennt potenzielle Sicherheitsbedrohungen und Schwachstellen in der Designphase, um Risiken früh zu verringern.
Blue Team
Das Blue Team besteht aus Sicherheitsfachleuten, die Systeme verteidigen, indem sie Sicherheitsmaßnahmen umsetzen und auf Bedrohungen reagieren.
Bug Bounty
Bug-Bounty-Programme belohnen Sicherheitsforscher dafür, Schwachstellen in Software oder Systemen zu entdecken und zu melden.
C
CI/CD-Pipeline
Eine CI/CD-Pipeline ist ein automatisierter Workflow, der Softwareänderungen kontinuierlich baut, testet und bereitstellt, sodass Teams Code schneller und zuverlässiger ausliefern können.
Common Criteria
Common Criteria ist ein internationaler Standard für die Sicherheitszertifizierung von Computersystemen, der sicherstellt, dass Produkte bestimmte Sicherheitsanforderungen erfüllen.
Compliance-Audit
Ein Compliance-Audit bewertet, ob eine Organisation regulatorische Anforderungen, Standards und interne Richtlinien einhält.
CRA
Der Cyber Resilience Act (CRA) ist eine Verordnung der Europäischen Union, die Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt.
D
Datenverschlüsselung
Datenverschlüsselung wandelt Informationen in ein sicheres Format um, das nur Berechtigte mit dem Entschlüsselungsschlüssel lesen können.
Defense in Depth
Defense in Depth ist eine Sicherheitsstrategie, die mehrere Schichten von Sicherheitskontrollen einsetzt, um Systeme und Daten zu schützen.
DevSecOps
DevSecOps integriert Sicherheitspraktiken in den DevOps-Prozess und macht Sicherheit zu einer gemeinsamen Verantwortung über den gesamten Entwicklungslebenszyklus.
Digitale Signatur
Eine digitale Signatur ist ein kryptografischer Mechanismus, der die Authentizität und Integrität digitaler Dokumente oder Nachrichten überprüft.
Disaster Recovery
Disaster Recovery umfasst Pläne und Verfahren, um Systeme und Daten nach katastrophalen Ereignissen oder Cyberangriffen wiederherzustellen.
DSGVO
Die Datenschutz-Grundverordnung (DSGVO) ist eine EU-Rechtsvorschrift zum Schutz der Vertraulichkeit und Sicherheit personenbezogener Daten.
E
End-of-Life
End-of-Life (EOL) bezeichnet den Zeitpunkt, ab dem ein Produkt keine Updates oder keinen Support mehr erhält, wodurch die weitere Nutzung Sicherheitsrisiken birgt.
Exploit
Ein Exploit ist Code oder eine Technik, die eine Schwachstelle ausnutzt, um ein System oder eine Anwendung zu kompromittieren.
F
I
Identity and Access Management
Systeme für Identity and Access Management (IAM) steuern, wer auf Ressourcen zugreifen kann und welche Aktionen diese Personen ausführen dürfen.
Intrusion Detection System
Ein Intrusion Detection System (IDS) überwacht Netzwerkverkehr und Systemaktivitäten auf bösartiges Verhalten und Sicherheitsbedrohungen.
ISO 27001
ISO 27001 ist ein internationaler Standard für Informationssicherheits-Managementsysteme, der einen Rahmen für den Schutz von Daten bietet.
K
L
M
Malware
Malware ist Schadsoftware, die Computersysteme beschädigen, stören oder sich unbefugten Zugriff auf sie verschaffen soll.
Multi-Faktor-Authentifizierung
Die Multi-Faktor-Authentifizierung (MFA) verlangt mehrere Nachweise, um die Identität eines Nutzers zu bestätigen, bevor Zugriff gewährt wird.
N
O
P
Penetrationstests
Penetrationstests simulieren Cyberangriffe, um Schwachstellen und Sicherheitslücken in Systemen zu erkennen, bevor Angreifer sie ausnutzen.
Personenbezogene Daten
Personenbezogene Daten sind alle Informationen über eine identifizierte oder identifizierbare Person, die nach Datenschutzvorschriften geschützt werden müssen.
Phishing
Phishing ist eine Cyberangriffstechnik, die Nutzer mit täuschender Kommunikation dazu bringt, sensible Informationen oder Zugangsdaten preiszugeben.
Privacy by Design
Privacy by Design verankert Datenschutz und Privatsphäre von den frühesten Phasen an in der Produktentwicklung.
Public Key Infrastructure
Eine Public Key Infrastructure (PKI) verwaltet digitale Zertifikate und Public-Key-Verschlüsselung für sichere elektronische Kommunikation.
R
Ransomware
Ransomware ist Schadsoftware, die Daten verschlüsselt und für ihre Freigabe eine Zahlung fordert, wodurch der Geschäftsbetrieb gestört wird.
Red Team
Die Sicherheitsfachleute eines Red Teams simulieren reale Angriffe, um die Abwehr einer Organisation zu testen und Schwachstellen zu erkennen.
Regulatorische Compliance
Regulatorische Compliance stellt sicher, dass Organisationen die Gesetze, Vorschriften und Branchenstandards für ihren Betrieb und ihre Produkte einhalten.
Remote Code Execution
Remote Code Execution (RCE) ist eine Schwachstellenklasse, die es einem Angreifer ermöglicht, über ein Netzwerk beliebigen Code auf einem Zielsystem auszuführen, ohne physischen Zugriff zu benötigen.
S
Schwachstellenmanagement
Schwachstellenmanagement ist der kontinuierliche Prozess, Sicherheitsschwachstellen zu erkennen, zu bewerten, zu priorisieren und zu beheben.
Secure Boot
Secure Boot stellt sicher, dass Geräte nur mit vom Hersteller als vertrauenswürdig eingestufter Software starten, und verhindert so die Ausführung unautorisierten Codes.
Sicherheitspatch
Ein Sicherheitspatch ist ein Software-Update, das gezielt Schwachstellen und Sicherheitsmängel in bestehenden Systemen behebt.
Sicherheitstests
Sicherheitstests bewerten Systeme, um Schwachstellen, Schwächen und potenzielle Sicherheitsrisiken vor dem Deployment zu erkennen.
SIEM
Systeme für Security Information and Event Management (SIEM) sammeln, analysieren und korrelieren Sicherheitsdaten, um Bedrohungen zu erkennen.
T
Threat Intelligence
Threat Intelligence liefert Wissen über bestehende und neue Cybersicherheitsbedrohungen, das in Verteidigungsstrategien einfließt.
Token-Exfiltration
Token-Exfiltration ist das unbefugte Abziehen von Authentifizierungstokens wie API-Schlüsseln, Zugriffstokens oder Sitzungstokens, mit denen sich Angreifer als legitime Nutzer oder Dienste ausgeben können.
V
Z
Zero Trust
Zero Trust ist ein Sicherheitsmodell, das jede Zugriffsanfrage überprüft, unabhängig davon, ob sie von innerhalb oder außerhalb des Netzwerks kommt.
Zertifizierungsstelle
Eine Zertifizierungsstelle (Certificate Authority, CA) ist eine vertrauenswürdige Instanz, die digitale Zertifikate ausstellt, um die Identität von Organisationen und Personen zu bestätigen.
Zwei-Faktor-Authentifizierung
Die Zwei-Faktor-Authentifizierung (2FA) verlangt zwei verschiedene Authentifizierungsfaktoren, um die Identität eines Nutzers zu überprüfen und die Sicherheit zu erhöhen.