Angriff & Abwehr on .kais blog

Einmal quantensicher

Wed, 02 Sep 2026 07:35:00 +0200

🔍 Was beobachte ich?

In den meisten Organisationen ist Post-Quanten-Kryptografie kein Vorhaben, sondern ein Buzzword aus der Fachpresse. Wo doch ein Migrationsplan existiert, enthält er ein Zieldatum und einen Zielalgorithmus: Bis 2030 oder 2035 soll umgestellt sein, danach gilt die Sache als erledigt. Wie die Organisation den neuen Algorithmus wieder loswird, falls er schwächer ist als erhofft, steht in keinem dieser Pläne.

🎯 Was soll eigentlich erreicht werden?

Zwei Ziele auf einmal: der Kryptokalypse zuvorkommen, ohne die Sicherheit von heute preiszugeben. Das BSI hat im Februar 2026 erstmals Fristen gesetzt: Ende 2031 sollen klassische Verfahren nicht mehr allein verschlüsseln, für Signaturen gilt Ende 2035 – der NIST-Entwurf IR 8547 zielt auf denselben Zeitraum.

Das Netz am selben Haken

Wed, 19 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe saubere Sicherungskonzepte: zweiter Standort, eigene Appliance, Kopie in der Cloud. Dann frage ich, wer darauf zugreifen darf. Meist dieselbe Administration, dieselbe Domäne, dieselben Konten – und in der Cloud dieselbe Control-Plane, die auch die Produktivdaten verwaltet.

🎯 Was soll eigentlich erreicht werden?

Das Backup ist das letzte Netz. ISO 27001 A.8.13 verlangt Sicherungen, ihren Schutz und regelmäßige Tests.

Wenn jedes Blut als infektiös gilt

Mon, 10 Aug 2026 07:35:00 +0200

🌍 Das vertraute Bild

Mitte der achtziger Jahre stand die Medizin vor einem Problem, das sie nicht lösen konnte: Man sah niemandem an, ob das Blut HIV trug. Anamnese und Untersuchung reichten nicht aus. Die CDC zog daraus einen radikalen Schluss und empfahl 1987 die universellen Vorsichtsmaßnahmen. Seither gilt das Blut jedes Menschen als potenziell infektiös – nicht weil alle infiziert wären, sondern weil niemand die eine Ausnahme zuverlässig erkennt.

Sichtbar, aber blind

Fri, 17 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe, wie Organisationen Monitoring einrichten und das Problem der Erkennung damit für gelöst halten. SIEM steht, Logs fließen, Alarme sind konfiguriert. Die Frage, wie lange ein echter Angriff unentdeckt bliebe, stellt niemand.

🎯 Was soll eigentlich erreicht werden?

Zeitnahe Erkennung. Wer angreift, soll auffallen, bevor großer Schaden entsteht. Das BSI fordert für KRITIS genau das – ein System zur Angriffserkennung aus Protokollierung, Detektion und Reaktion.

Der leere Stuhl

Wed, 17 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Stakeholder-Analysen listen Kundschaft, Regulatoren, Beschäftigte, Lieferanten. Lauter wohlgesonnene Parteien. Wer der Organisation schaden will, steht auf keiner dieser Listen. Sein Stuhl am Tisch bleibt leer.

🎯 Was soll eigentlich erreicht werden?

Die Analyse soll erfassen, wer die Organisation beeinflusst und was diese Parteien von ihr erwarten. ISO 27001 nennt das „interessierte Parteien".

⚠️ Warum funktioniert das nicht?

Niemand ist stärker am Ergebnis interessiert als die Angreifenden. Sie verfolgen ein Interesse, nur ein feindliches. Fehlen sie auf der Karte, leiten wir Maßnahmen aus freundlichen Erwartungen und Checklisten ab. Die Frage „Cui bono?" – wem nützt unser Schaden? – stellt niemand. So verteidigen wir gegen eine abstrakte Bedrohung statt gegen eine Ransomware-Gruppe mit Motiv, Fähigkeit und Absicht.

Der kognitive Exploit

Fri, 01 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Russland greift Abgeordnete im Deutschen Bundestag via Signal an – nicht die App, sondern die Nutzenden. Gefälschte Support-Nachrichten fordern PIN oder QR-Code-Scan. MFA-Prompt-Bombing funktioniert genauso: dreißig Anfragen, eine falsch bestätigt. Kein technischer Exploit. Ein Verständnisexploit.

🎯 Was soll eigentlich erreicht werden?

Vertrauliche Kommunikation soll vertraulich bleiben, Zugänge vor Übernahme geschützt sein. Ende-zu-Ende-Verschlüsselung, MFA und sichere Messenger erfüllen genau diesen Zweck – technisch einwandfrei.

Gespeichert heute, entschlüsselt morgen

Mon, 13 Apr 2026 07:35:00 +0200

📌 Die beruhigende Überzeugung

Quantencomputer, die heutige Verschlüsselung brechen können, sind noch Jahre entfernt. Diese Aussage stimmt wahrscheinlich – aber sie führt zur falschen Schlussfolgerung. Viele Sicherheitsverantwortliche verschieben das Thema auf morgen, weil die Bedrohung noch nicht wirksam ist. Dabei haben sie die Frage falsch gestellt: Nicht „Wann können Quantencomputer entschlüsseln?" ist entscheidend, sondern „Wann haben die Angreifer begonnen zu sammeln?"

⚡ Was heute bereits geschieht

NSA, CISA, das UK National Cyber Security Centre und die ENISA warnen übereinstimmend: Staatliche Angreifer sammeln bereits heute verschlüsselte Kommunikation – systematisch, in Masse, ohne sofortige Verwertungsabsicht. Die Strategie trägt einen Namen: „Harvest now, decrypt later". Abfangen jetzt, entschlüsseln, sobald Quantencomputer es erlauben. Kein beschädigtes System, kein Alarm, keine Spur. Der Einbruch hinterlässt nichts – weil er kein Einbruch im klassischen Sinn ist.

Die Auferstehung

Mon, 06 Apr 2026 07:35:00 +0200

🟡 Der erste Riss

SQL-Injection wurde 1998 dokumentiert. Sie steht seit mehr als 20 Jahren in den OWASP Top 10. MITRE nennt 15 Schwachstellen, die seit vielen Jahren in jeder CWE-Top-25 auftauchen, “Stubborn Weaknesses” – hartnäckige Schwachstellen. SQL-Injection (CWE-89) gehört dazu. Alle warnen davor. Und trotzdem ist sie Jahr für Jahr unter den häufigsten Schwachstellen in produktiven Systemen. Nicht weil niemand es weiß. Sondern weil Wissen nicht dasselbe ist wie Ausrotten.