IT-Sicherheitsmanagement

Sicherheitslücken, Cyberkriminalität, Schadsoftware, Ausspähen, Datenklau: IT-Sicherheit, Cyber Security bzw. IT-Security-Management gewinnt in Unternehmen und Behörden immer mehr an Bedeutung. Gefragt sind professionelle Schutzkonzepte, kontinuierliche Betreuung und entsprechend ausgebildetes Personal. IT-Sicherheitsbeauftragte benötigen Fachwissen zur Definition und Durchsetzung organisatorischer, personeller und technischer Maßnahmen zur Sicherung der Informations- und Kommunikationsinfrastruktur. 

 

Ziel der Cyber Security Weiterbildung ist es, praktisches Wissen mit theoretischen Grundlagen zu vermitteln und eigene Praxiserfahrungen der Teilnehmenden zu festigen und auszubauen.

• Einführung in das IT-Sicherheitsmanagement ITSM (Grundbegriffe und Einordnung)
• Ansätze des Risikomanagements (Identifikation, Bewertung, Steuerung, Überwachung)
• BSI IT-Grundschutz und ISO 2700x (Gemeinsamkeiten, Unterschiede, Konvergenz)
• Einordnung Sicherheitsmanagement in die Kriterienlandschaft (technisch/organisatorisch vs. Architekturebene)
• Vorgehensweise für die Erstellung eines Sicherheitskonzepts nach IT-Grundschutz (Theorie)
• Einführung eines Fallbeispiels (Praxis)

• Erstellung eines Sicherheitskonzepts nach BSI-Grundschutz (schrittweises Vorgehen in Kleingruppen)
• Praktische Erarbeitung an einem Fallbeispiel (Szenario-orientierte Methodik)
• Netzplan erstellen, Prozesse definieren (wichtige Assets bestimmen und Abläufe verstehen)
• Schutzbedarfsanalyse durchführen (Vertraulichkeit, Integrität, Verfügbarkeit)
• Modellierung nach IT-Grundschutz  (Maßnahmen festlegen und priorisieren)
• Gruppenarbeit und Diskussion der Ergebnisse  (inkl. Feedbackrunden)

Grundlagen der Kryptographie

•  Buffer Overflows und Gegenmaßnahmen
•  Malware und Botnetze
•  Web-Angriffe: SQL-Injection und Cross-Site-Scripting
•  Sichere Software-Entwicklung

•  Datenschutz
                  - Datenschutz in Kommunikationsnetzen mit Fokus auf die EU-DSGVO
                  - Betroffenenrechte
                  - Datenschutzgrundsätze
                  - Technische und Organisatorische Maßnahmen
                  - Privacy Design Strategien
• Technische Grundlagen
                  - Klassische Schutzziele der IT-Sicherheit
                  - Hybride Kryptosysteme
                  - Verbindungsverschlüsselung vs. Ende-zu-Ende-Verschlüsselung
• Sichere E-Mail-Verschlüsselung
                  - Grundlagen der E-Mail-Kommunikation
                  - Standard-Sicherheitsfunktionen
                  - Zertifizierungsmodelle
                  - Pretty Good Privacy vs. S/MIME
• Schutz in Cloud-Umgebungen
                  - Standard-Sicherheitsfunktionen
                  - Verschlüsselte Cloud-Speicher
                  - Vertrauen in Cloud-Anbieter
• Privacy Enhancing Technologies
                  - Tracking im Internet
                  - Theoretische Techniken zur Anonymität und Unbeobachtbarkeit in Kommunikationsnetzen
                  - Mix-Nets
                  - Tor und Jondonym zum Anonymen Surfen im Internet
• Strafrechtliche Aspekte
                  - IT-Sicherheit aus strafrechtlicher Sicht
                  - Cybercrime Convention

• Penetrationtests
• Security-Scanner
• Intrusion-Detection-Systeme
• Praktische Sicherheit
• Sniffing und Spoofing
• Schwachstellen bei der Verwendung von HTTPS

Wissenschaftliche Programmleitung
Prof. Dr. Hannes Federrath

 

Lehrende
Die Weiterbildung wird von im Team zusammenarbeitenden und forschenden Dozenten des Arbeitsbereiches “Security & Privacy“ des Fachbereiches Informatik der Universität Hamburg durchgeführt:

 

Die berufsbegleitende Weiterbildung richtet sich an Fachkräfte sowie Entscheidungsträgerinnen und Entscheidungsträger, die für die IT-Sicherheit im Unternehmen oder in einer Behörde zuständig sind oder diese Verantwortung übernehmen wollen.

 

Eine einschlägige Berufsausbildung oder ein Studium der Informatik ist nicht Voraussetzung, angesprochen sind ausdrücklich auch Quereinsteiger:innen.

 

17. bis 21.03.2025 – Präsenzseminar
Termine in Planung

09:00 bis 10:30 Uhr
11:00 bis 12:30 Uhr
13:30 bis 15:00 Uhr
15:30 bis 17:00 Uhr

Der Fokus unserer Seminarorganisation liegt auf der Bereitstellung guter Lehre zu aktuellen Themen. Unterrichtet wird mit einem jeweils didaktisch und inhaltlich passenden Mix aus Online- und Präsenzveranstaltungen. In allen  Weiterbildungskursen werden digitale Lernplattformen für die Bereitstellung von Studienmaterialien und die Vernetzung der Teilnehmenden untereinander genutzt. Die Teilnehmenden erhalten dafür eine Kennung der Universität Hamburg, die mit einer Zwei-Faktor-Authentifizierung verbunden ist.

 

Unsere Präsenzseminare finden in den Räumen des Zentrums für Weiterbildung in der Jungiusstr. 9 oder 11 statt. Dies sind Räume der Universität Hamburg, die teilweise exklusiv vom Zentrum für Weiterbildung genutzt werden.

 

Ein Teil der Seminare findet live-online über Zoom statt. Für die Live-Online-Lehre nutzen wir in der Regel die bedienungsfreundliche Meeting-Software Zoom UHH. Diese läuft über die Server der Universität Hamburg, so dass ein hohes Maß an Datenschutz gewährt wird.

 

Beratung zur Weiterbildung
Dr. Michaela Tzankoff berät Sie gerne zu allen Fragen rund um die Weiterbildung. 

Michaela Tzankoff
Tel.: +49 40 42838-9715
E-Mail: michaela.tzankoff"AT"uni-hamburg.de

 

Bitte reichen Sie die folgenden Unterlagen ein, bevorzugt per E-Mail, oder postalisch:

• Anmeldeformular für den Präsenzkurs 17.-21.03.2025 (PDF) – am besten mit Adobe Acrobat ausfüllen
• tabellarischer Lebenslauf
• Nachweis der abgeschlossenen Berufsausbildung oder des abgeschlossenen Hochschulabschlusses (Kopie)
• Nachweis über eine mindestens einjährige Berufstätigkeit (z. B. formlose, einzeilige Bestätigung des Arbeitgebers, oder auch Arbeitszeugnis, Zwischenzeugnis, Gewerbeanmeldung ö. ä.)

Bei erfüllten Zugangsvoraussetzungen werden die Plätze in der Reihenfolge des Anmeldungseingangs vergeben. Max. 15 Teilnahmeplätze.

Flyer IT-Security-Management (PDF zum Druck)
Alle Informationen zu dieser Weiterbildung erhalten Sie barrierefrei auf dieser Seite.

 

Warum Hackerangriffe auch in Hamburg häufiger werden
Interview mit Prof. Dr. Hannes Federrath, Hamburger Abendblatt, 28.01.2023

 

Es vergeht eigentlich kein Tag, an dem in den Fachmedien nicht über Sicherheitsprobleme berichtet wird. Gerade die immer stärkere Vernetzung von Industrieanlagen, das Smart Home und die verstärkte Nutzung von eingebetteten Systemen in nahezu allen Bereichen der Wirtschaft führt zu Verletzlichkeiten, die möglicherweise zunächst nicht bemerkt werden, dann aber massive Schäden verursachen können. Darüber hinaus gelten inzwischen teils strenge gesetzliche Anforderungen, sowohl was den Schutz persönlicher Daten betrifft, als auch den Schutz von kritischen Infrastrukturen. Sicherheits- und Datenschutzkonzepte sollen überprüfbar und vorausschauend die Risiken erfassen und Abwehrmaßnahmen definieren.

Hat sich die Gesamtsituation für Cyber Security und Datenschutz durch die vielen Home-Office Arbeitsplätze verändert?
Im Home-Office kann die IT-Abteilung eines Unternehmens viel schlechter bis gar nicht kontrollieren, welche Geräte sich noch im lokalen Netz befinden. Gerade die smarten Haushaltsgeräte werden häufig auf schicke Funktionalität getrimmt, während die Sicherheit zunächst keinen zusätzlichen Nutzwert bringt. In privaten Heimnetzen lassen sich die Sicherheitsrichtlinien eines Unternehmens viel schlechter durchsetzen: Etwa ist die Kommunikation der Geräte untereinander im Heimnetz erlaubt, manchmal sogar nötig. Das eröffnet Schadsoftware gute Verbreitungsmöglichkeiten. Wird etwa auf dem privaten PC auch Berufliches erledigt, dann ist der Industriespionage Tür und Tor geöffnet.

Ist die Datenschutzgrundverordnung auch für die IT-Sicherheit relevant?
Die Datenschutzgrundverordnung verpflichtet nahezu alle in Europa tätigen Unternehmen, den Schutz von Kunden- und Beschäftigtendaten sehr ernst zu nehmen. Hierfür sind entsprechende technische und organisatorische Maßnahmen vorzusehen. Wer sich auf technischer Ebene mit Datenschutz beschäftigt, kommt an der IT-Sicherheit nicht vorbei. Security by Design ist das Schlagwort: Datenschutzgerechte IT muss den Schutz von persönlichen Daten implementieren. So schreibt es die Datenschutzgrundverordnung (DGSVO) vor. Zugleich hat ein Unternehmen natürlich ein inhärentes Schutzinteresse, was Betriebs- und Geschäftsgeheimnisse betrifft. Und die Mechanismen für guten Datenschutz und gleichzeitigen Schutz von Betriebs- und Geschäftsgeheimnissen sind sich sehr ähnlich.

Worin sehen Sie die größten Gefährdungspotentiale für die Sicherheit der IT?
Einerseits geben viele Unternehmen ihre technologische Souveränität zugunsten einer Kostenersparnis durch Monokultur auf. Die Vielfalt an Software- und Hardware-Anbietern schützt vor Kumulationsschäden, denn sie macht es Hackern schwer, Schwachstellen in der IT durchgängig auszunutzen. Industriespionage wird leicht gemacht, wenn man eine homogene IT „aus einer Hand“ betreibt. Andererseits wird noch viel zu wenig für die Softwaresicherheit unternommen. Open Source wäre hier ein wichtiger Baustein, jedoch setzen viele Unternehmen nach wie vor noch auf Closed Source – zumindest bei Anwendungssystemen – und hoffen bei Sicherheitsproblemen auf schnelle Unterstützung der Softwarefirmen.

In welchen Bereichen gibt bei Unternehmen häufig noch Verbesserungspotential mit Blick auf IT-Security bzw. Datenschutz? Was wird zu sehr vernachlässigt?
Insbesondere der Schutz vor sogenannten Insider-Angriffen wird noch zu wenig ernst genommen. Die größte Gefahr geht vom Menschen aus, wobei nicht immer böser Wille im Spiel sein muss. Regelmäßige Sensibilisierung für die IT-Sicherheit und den Datenschutz sind ein wichtiger Baustein. Wer die Risiken kennt, kann sich besser vor Gefahren schützen. Unsere Weiterbildungsangebote zur IT-Sicherheit und zum Datenschutzmanagement sind daher auch so angelegt, dass in praktischen Teilen mit Workshop-Charakter die Gefahren vom Abstrakten ins Konkrete übergehen und somit der Blick für die Gefahren schärfer wird.

Was zeichnet die Weiterbildungen „IT-Sicherheitsmanagement“ bzw. „Datenschutzmanagement“ der Universität Hamburg aus?
Die Kurse sind produktneutral angelegt. Es findet Strukturbildung statt. Wem der grundsätzliche Aufbau eines Schutzsystems bekannt ist, wird diese in konkreten Produkten wiederfinden und ist somit auch für neue, heute noch unbekannte Systeme vorbereitet. In der konkreten Durchführung der Seminare wechseln sich theoretische und praktische Teile ab und bauen aufeinander auf. Alle Weiterbildungen finden unter einer wissenschaftlichen Leitung statt und die Kurstage folgen einem curricular abgestimmten Konzept. Die Dozenten sind ausgewiesene Experten in IT-Sicherheit bzw. Datenschutz und kennen sich überwiegend schon seit vielen Jahren. Das macht die Abstimmung und Aktualisierung der Inhalte der einzelnen Kurstage leicht.

An welche Zielgruppen wendet sich die Weiterbildung IT-Sicherheitsmanagement?
Fachkräfte sowie Entscheidungsträgerinnen und Entscheidungsträger, die für die IT-Sicherheit im Unternehmen oder in einer Behörde zuständig sind oder diese Verantwortung übernehmen wollen, sind die primäre Zielgruppe der Weiterbildungsangebote. An den Kursen nehmen immer wieder auch Mitglieder von Geschäftsleitungen teil, denn Datenschutz und IT-Sicherheit sind heute auch typische Leitungsaufgaben. Was das Vorwissen betrifft, sind zumindest gute Grundkenntnisse in IT erforderlich. Vorkenntnisse in Informationssicherheit sind natürlich hilfreich, aber nicht zwingend notwendig. Eine einschlägige Berufsausbildung oder ein Studium der Informatik ist nicht Voraussetzung, angesprochen sind ausdrücklich auch Quereinsteiger.

Welche Unternehmen profitieren davon, Mitarbeitende an dieser Fortbildung zur IT-Sicherheit teilnehmen zu lassen?
Da IT-Sicherheit und Datenschutz heute Querschnittsaufgaben sind, die in jeder Branche und in jedem Unternehmen relevant sind, gibt es hier zunächst keine Einschränkungen. Insbesondere werden aber Unternehmen von den Inhalten profitieren, die Teil einer kritischen Infrastruktur sind, die besonders sensible Daten verarbeiten oder die einfach nur Know-How in dem Bereich aufbauen wollen.

Was sind die zentralen Inhalte der beiden Weiterbildungen "IT-Sicherheitsmanagement" und "Datenschutzmanagement"?
Die Kurse zur IT-Sicherheit und zum Datenschutzmanagement dauern jeweils 5 Tage und sind als Blockveranstaltung organisiert.
In der IT-Sicherheit liegt der Schwerpunkt der ersten beiden Tage auf dem Sicherheitsmanagement, dort wird in einem Workshop "hands-on" ein Sicherheitskonzept für ein Beispielszenario entwickelt. Die drei folgenden Tage widmen sich dann den technischen Themen. Hierzu zählen etwa die Verschlüsselung, die Angriffserkennung und -abwehr.
Im Kurs Datenschutzmanagement sind zwei Tage der Einführung in die rechtlichen Grundlagen gewidmet, anschließend werden an zwei weiteren Tagen konkrete Managementaufgaben besprochen und geübt. Hierzu zählen etwa die Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten und eine Datenschutzfolgenabschätzung. Der fünfte Tag beschäftigt sich dann ausschließlich dem technischen Datenschutz.
Beide Weiterbildungsangebote sind so aufeinander abgestimmt, dass möglichst wenig Redundanzen entstehen, aber dennoch Querbezüge geschaffen werden. Man kann also beide Kurse getrennt belegen oder gut miteinander kombinieren.

(Interview vom 10.06.2021. Die Fragen stellte Dr. Matthias Bonnesen.)