Ein starkes Duo: Cyber Security und Privacy

2
Share.

 «Um die Themen Cyber Security und Privacy kommt heute kein Unternehmen mehr herum», sagen Prof. Armand Portmann und Prof. Dr. Maurizio Tuccillo. Wir haben mit den Studienleitern über die zunehmende Cyber-Bedrohung, den Datenschutz und ihre neuen Lehrgänge in der Weiterbildung gesprochen.

Informatik-Blog: Herr Portmann und Herr Tuccillo, wie schätzen Sie die aktuelle Bedrohung aus dem Cyberspace ein?

Prof. Armand Portmann: Die Bedrohung von Unternehmen durch Cyberattacken hat stark zugenommen. Das belegen viele Umfragen und Gespräche mit Firmenvertretern. Es ist kein Hype, sondern Tatsache.

Dr. Maurizio Tuccillo: Nicht nur die Häufigkeit von Cyberattacken, auch das Schadensmass ist gewachsen und Cyber-Kriminalität ist ein Business-Modell geworden. Im Darknet kann beispielsweise «Cybercrime as a Service» bestellt werden, um gezielte Angriffe auf Mitbewerber zu starten.

«Cyber-Kriminalität ist ein Business-Modell geworden.»
Prof. Dr. Maurizio Tuccillo

Portmann: Die Verschärfung spiegelt sich auch in der Nachfrage nach unseren Kursen wieder. Sie hat in den letzten 12 bis 24 Monaten stark zugenommen. Wir wurden in dieser Zeit auch immer wieder nach einem Angebot mit explizitem Fokus auf Cyber Security gefragt. Einen solchen Lehrgang hatten wir bisher nicht im Programm.

I-Blog: Jetzt haben Sie zwei neue MAS-Programme jeweils mit einer Vertiefung in Cyber Security und Privacy lanciert.

Portmann: Genau. Aufgrund der veränderten Nachfrage haben wir den bestehenden MAS Information Security aufgesplittet und gleichzeitig die Profile geschärft. Beide Programme bauen auf einem gemeinsamen Sockel auf, der Grundlagen der Informationssicherheit in den Bereichen Technik und Management vermittelt.

I-Blog: Sprechen wir zuerst über die Cyber Security: Wie definieren Sie diese?

Portmann: Cyber-Sicherheit beschäftigt sich mit dem Schutz moderner Infrastrukturen (Stichworte Industrie 4.0, cyber-physische Systeme, aber auch Cloud). Vor allem die kritischen Infrastrukturen (Energieversorgung usw.) wurden in den vergangenen Jahren immer verwundbarer, da deren Systeme immer öfters auch mit dem Internet verbunden sind. Gleichzeitig wurden Schutzmassnahmen entwickelt, um den neuen Bedrohungen zu begegnen – dies ist die Disziplin der Cyber Security.

Tuccillo: Kritische Infrastrukturen sind das eine, neue Anwendungen wie beispielsweise IoT das andere. Der Begriff «Cyber» ist zurzeit sehr aktuell und er wird so schnell nicht mehr verschwinden.

I-Blog: Mit welcher Art von Bedrohungen aus dem Cyberspace haben es Schweizer Firmen zu tun?

Portmann: Immer noch verbreitet sind Erpressungen mithilfe von Ransomware, die Daten verschlüsselt und dadurch dem Zugriff durch den Besitzer entzieht. Die Opfer erhalten den Zugriff erst wieder nach einer Lösegeldzahlung – wenn überhaupt. Eine weitere, oft anzutreffende Betrugsmasche ist die des Chefbetrugs, auf Englisch CEO Fraud, bei der versucht wird, die Finanzabteilung zur Bezahlung einer falschen Rechnung zu veranlassen.

Tuccillo: In der Finanzindustrie ist zwar viel Wert vorhanden, jedoch sind die Hürden für gezielte Angriffe höher. Eine Alternative ist es, Ransomware breit zu streuen. Dies gibt im Einzelfall weniger her, dafür ist die Erfolgschance höher. Die Attacke auf die britischen Spitäler beispielsweise war nicht gezielt, sondern breit gestreut.

«Manchmal geht es auch nicht ‹nur› um die Privatsphäre, sondern um das eigene Leben.»
Prof. Armand Portmann

Portmann: Ebenfalls im Trend ist Extortionware, auch Doxware genannt. Es handelt sich dabei um Malware, die private Informationen wie Bilder, Chat-Verläufe usw. von Handys exfiltriert. Der Angreifer bedroht das Opfer daraufhin, sämtliche gestohlenen Informationen an alle Einträge im Adressbuch zu schicken, wenn nicht das geforderte Lösegeld bezahlt wird. Manchmal geht es auch nicht «nur» um die Privatsphäre, sondern um das eigene Leben. Gemeint sind angedrohte Mord- oder Säureanschläge, die durch eine Lösegeldzahlung verhindert werden könnten – das macht vielen Leuten wirklich Angst!

I-Blog: Wie sollte man sich im Falle einer solchen Androhung verhalten?

Tuccillo: Auf keinen Fall antworten, sonst bestätigt man, eine potenzielle Zielscheibe zu sein. Wer unsicher ist, meldet den Vorfall der Polizei. Diese kann beurteilen, ob es sich dabei um einen Einzelfall oder einen Massenangriff handelt.

I-Blog: Sind KMU und Grossunternehmen von anderen Gefahren bedroht?

Portmann: Grundsätzlich sind es dieselben Gefahren. Tendenziell sind in kleineren Firmen aber die Schutzmassnahmen weniger ausgreift als in grösseren Firmen. Dies betrifft sowohl technische als auch organisatorische Massnahmen, wie etwa die Bewusstseinsbildung für die modernen Bedrohungen.

I-Blog: Wie können Unternehmen vorsorgen?

Portmann: Hier gibt es keine kurze Antwort. In unseren Weiterbildungen bekommen die Teilnehmenden das Rüstzeug, um technisch und organisatorisch vorzusorgen. Darüber hinaus bekommen sie aber auch Wissen, um den vielfältigen rechtlichen Anforderungen gerecht zu werden.

«In der Security-Branche sind in den vergangenen Jahren viele neue Berufsbilder entstanden.»
Prof. Armand Portmann

I-Blog: Welche Berufsaussichten haben Absolvierende des MAS Information & Cyber Security?

Portmann: In der Security-Branche sind in den vergangenen Jahren viele neue Berufsbilder entstanden. Wir befähigen die Absolvierenden in unterschiedlichsten Tätigkeitsfeldern zu arbeiten. Ich denke hier an Informationssicherheitsbeauftragte, Chief Information Security Officers, Security Engineers, SOC (Security Operations Center) Managers, Incident Responders und so weiter. Da spielen natürlich auch die eigenen Berufserfahrungen eine wichtige Rolle und selbstverständlich auch die Karrierepläne.

I-Blog: Wie sehen Sie die Zukunft der Cyber-Kriminalität? 

Portmann: Da wir zunehmend vernetzt sind, werden wir auch immer verwundbarer – das Thema wird weiter an Bedeutung gewinnen.

Tuccillo: Weil wir bisherige analoge Tätigkeiten mehr und mehr digitalisieren und ins Internet verlagern, wird sich auch die Kriminalität diesem Trend folgen. Ein Beispiel: Wer eine Bank überfallen will, muss heute nicht mehr mit Waffen in eine Schalterhalle eindringen. Das geht im Cyberspace gefahrloser, wenn auch technisch schwieriger.

I-Blog: Kommen wir nun zum Thema Privacy: Die neue Datenschutz-Grundverordnung der Europäischen Union (EU-DSGVO) ist seit dem 25. Mai 2018 in Kraft. Was hat sich seither für Schweizer Unternehmen verändert?

Tuccillo: Obwohl wir nicht in der EU sind, sind zahlreiche Schweizer Firmen vom Marktortprinzip und dem Niederlassungsprinzip der DSGVO (mehr dazu) betroffen. Für diese bedeutet die DSGVO zweifellos einen gewissen Mehraufwand. Dieser wäre jedoch höher, würde man eine Busse aufgrund von Datenschutzverletzungen riskieren. Die Schweiz arbeitet zudem aktuell an der Revision ihres eigenen Datenschutz-Gesetzes (DSG) aus dem Jahr 1992. Diese wird uns dann direkt beschäftigen.

I-Blog: Was kommt mit dem neuen DSG auf uns zu?

Tuccillo: Das neue DSG wird der DSGVO sehr ähnlich sein. Die grössten Unterschiede werden bei den Sanktionen liegen, welche im Vergleich milder ausfallen werden. Wann genau das neue DSG kommt, ist noch offen. Wir wissen hingegen, dass zuerst der öffentliche Bereich und dann die Wirtschaft datenschutzkonform gemacht wird.

I-Blog: Die DSGVO verlangt einen Datenschutzbeauftragten. Wäre das ein mögliches Berufsprofil nach dem MAS Information Security & Privacy?

Tuccillo: Ja durchaus. Wobei wir für das spezifische Profil des Datenschutzbeauftragten das CAS Data Privacy Officer konzipiert haben. Dieses ist Teil des MAS Information Security & Privacy. Das MAS geht aber im Bereich Informationssicherheit viel weiter.

I-Blog: Genügt es, wenn ein Unternehmen eine Person in der Funktion des Datenschutzbeauftragten einstellt?

Tuccillo: Je nachdem wie die Person ihren Job macht (schmunzelt). Das hängt natürlich von der Grösse und der Art des Unternehmens ab. Die Person muss auch nicht alle Aufgaben selbst ausführen, jedoch diese koordinieren. Wenn sie dies ernst nimmt, wird sie dafür sorgen, dass es genügt.

I-Blog: Wie sehen Sie die Zukunft des Datenschutzes?

Tuccillo: Wichtig bei dieser Frage ist zu verstehen, dass der Datenschutz nicht die Daten an sich schützt, sondern die Personen, denen diese zugeordnet sind. Durch die Digitalisierung exponieren wir unsere Persönlichkeit immer stärker und so wird sich auch die Kriminalität und die Wirtschaft weiter für die Persönlichkeiten hinter den Daten interessieren.

I-Blog: Vielen Dank für das Interview!

👉🏻 Mehr aus der Reihe im Gespräch mit

Aus- und Weiterbildungen zum Thema Information & Cyber Security | Privacy

Bachelor in Information & Cyber Security
Erwerben Sie mit dem Studium Information & Cyber Security das notwendige Fachwissen, um Unternehmen und Verwaltungen vor Hacker-Angriffen zu schützen und mit einer sicheren IT-Infrastruktur auszustatten. Die Security-Studierenden können wählen zwischen: Information Security Management, Information Security Technologie und einer Free Choice Richtung (Softwareentwicklung, Robotics, AI, Machine Learning usw.).

Fachkurs Informations- und Cyber-Sicherheit in kleinen Unternehmen
CAS Information Security – Technology
CAS Information Security – Management
CAS Information Security – Advanced
CAS Cyber Security Defence & Response
MAS Information & Cyber Security
MAS Information Security & Privacy

Über den Informatik-Blog
Hier erhalten Sie Tipps und Neuigkeiten aus der Welt der IT. Wir porträtieren Menschen und schreiben über Technologien, welche die Hochschule Luzern – Informatik mitprägen. Abonnieren Sie jetzt unseren Blog und bleiben Sie informiert.

Share.

2 Kommentare

  1. Action – not more words!
    I understand – to a certain extent – that these blogs are useful to promote new courses.
    BUT as a univeristy with (hopefully) international reputation LUASA should NOT remix courses around hype terms like …ware! The basic concepts of the threats mentioned in this blog entry have changed as little as the Swiss criminal code over the past 10 yeras (I hope that Swiss authorities won’t turn the criminal code into a wiki, soon, just to introduce new terms for old threats like extorsion).
    There are hundreds of courses which describe and discuss threats and awareness. From a top university the Swiss tax payer expects solutions, not warnings! It’s definitely useful to teach students how „whatsapp-type“ software sucks address data from every device it ‚invades‘ and forwards the findings to its „parents“ – companies in which 90% of this planet’s population seem to trust more than in their government. This is where your efforts should point to! You already have everything: brain power, infrastructure (SWITCH operated), and tens of thousands of well-registered students and faculty (millions if you think of eduroam). Now just answer the questions the interviewer was not able or willing to ask: where is the GDPR-compliant messaging app for academia? why is it not built? for the same reasons why it would never be built in the Silicon Valley? I leave this last puzzle to the reader!
    Thanks for reading and publishing
    Indiana Jones

    • I agree – at least to a certain extent me too 😉 – with Indiana Jones. Would be desirable if universities could act beyond the limits of economic reason. But can the role of the university be to build a GDPR-compliant messaging app no one is willing to use and even worse to pay for? I myself should be happy if first and foremost I could teach students in my courses why at all they should want to have a GDPR-compliant messaging app.

Leave A Reply