Sicherheits-Glossar

Schutz von Programmierschnittstellen vor unbefugtem Zugriff, Datenabfluss und Manipulation. Umfasst Authentifizierung, Autorisierung, Rate Limiting und Input-Validierung. Ein zentraler Bestandteil jedes Backend Security Audits.

Application Security Verification Standard — OWASP-Standard, der prüfbare Sicherheitsanforderungen an Web-Anwendungen definiert. Level 2 gilt als Mindeststandard für produktive Backends, Level 3 für regulierte Umgebungen wie Gesundheit oder Finanzen.

Bundesamt für Sicherheit in der Informationstechnik. Herausgeber relevanter IT-Sicherheitsstandards (IT-Grundschutz, BSI C5) und zuständig für die Cybersicherheit in Deutschland.

Controller Area Network — serielles Bussystem, das in Fahrzeugen und industriellen Steuerungen ubiquitär ist. Wegen fehlender Authentifizierung im Basismodell ein häufiges Angriffsziel bei Automotive- und OT-Security.

Konfiguration und Absicherung von Cloud-Diensten (Azure, AWS, GCP) gegen bekannte Angriffsszenarien. Dazu gehören IAM-Policies, Netzwerksegmentierung, Verschlüsselung und Monitoring — kein one-size-fits-all, sondern angepasst an die Deployment-Topologie.

Cyber Resilience Act — EU-Verordnung ab September 2026. Verlangt 24-Stunden-Meldepflicht bei aktiv ausgenutzten Schwachstellen, SBOM und PSIRT-Prozess. Betroffen: alle mit digitalen Elementen in der EU platzierten Produkte.

Common Vulnerability Scoring System — einheitliche Bewertungsskala (0–10) für Sicherheitsschwachstellen. Ermöglicht objektive Priorisierung von Findings in Audit-Reports.

Voreingestellte Zugangsdaten aus dem Werk, die nicht geändert wurden. Einhäufigstes Finding bei Embedded- und IoT-Audits — jedes Gerät mit Standard-Passwort ist ein offenes Tor.

Datenschutz-Grundverordnung — EU-Rahmenwerk für den Schutz personenbezogener Daten. Relevant im Security-Kontext bei der Datenverarbeitung in Backends und IoT-Systemen.

Sicherheitsprüfung der Software, die direkt auf einem Embedded-Gerät läuft. Analysiert Bootkette, OTA-Updates, Kommunikationsprotokolle und Hardware-Schnittstellen. Methodisch eng mit IEC 62443-4-1 verzahnt.

Systematische Absicherung eines Systems gegen bekannte Angriffsvektoren — von OS-Konfiguration über Netzwerkregeln bis hin zu verschlüsselter Kommunikation. Kein einmaliger Akt, sondern fortlaufender Prozess.

Identity and Access Management — Verwaltung von Identitäten und Zugriffsrechten. Overpermissive IAM-Policies sind eines der häufigsten Backend-Security-Probleme: zu viele Rechte, kein Least-Privilege, keine Rotation.

Internationale Normenreihe für die IT-Sicherheit in Automatisierungssystemen. Teil 4-1 definiert den sicheren Entwicklungsprozess, Teil 4-2 die Komponenten-Anforderungen (Security Level 1–4). Kerndefinition für OT- und Embedded-Security.

Sicherheit vernetzter Geräte — von Sensoren über Steuerungen bis hin zu Edge-Computern. Umfasst sichere Kommunikation, Zugriffskontrolle, Update-Mechanismen und Hardware-Schutz. Bei NIS2 besonders relevant für OT-Umgebungen.

Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS). Definiert Anforderungen an die Einführung, Umsetzung und Aufrechterhaltung eines umfassenden Sicherheitsmanagements.

JSON Web Token — kompaktes, URL-sicheres Token-Format für die Übermittlung von Claims. Sicherheitsrelevant: falsche Konfiguration (fehlende Validierung, schwache Algorithmen, veraltete Secrets) ist eine der häufigsten API-Schwachstellen.

EU-Richtlinie zur Netzwerk- und Informationssicherheit (2022/2555). Verpflichtet Betreiber wesentlicher und wichtiger Einrichtungen zu nachweislicher Schwachstellenbewertung, Incident Response und Supply-Chain-Sicherheit. Deutsche Umsetzung über NIS2UmsuCG.

Over-the-Air Update — drahtlose Auslieferung von Firmware-Updates auf eingebettete Geräte. Sicherheitskritisch: ohne kryptografische Signaturverifikation, Rollback-Schutz und sicheren Transport ein Einfallstor für Manipulation.

Die zehn kritischsten Sicherheitsrisiken für Web-Anwendungen, periodic von der OWASP Foundation aktualisiert. Fundament jedes Backend Security Audits — von Broken Access Control bis Security Misconfiguration.

Gezielte, exploit-fokussierte Prüfung eines Systems auf ausnutzbare Schwachstellen. Im Gegensatz zum breiter gefächerten Security Audit liegt der Fokus auf dem praktischen Nachweis — «Können wir wirklich eindringen?»

Product Security Incident Response Team — internes Team oder Prozess für den Umgang mit sicherheitsrelevanten Vorfällen bei eigenen Produkten. Ab September 2026 durch den CRA verpflichtend.

Begrenzung der Anfragen pro Zeitfenster pro Client oder Endpoint. Verhindert Brute-Force-Angriffe, Credential-Stuffing und API-Missbrauch. Eine der einfachsten und wirkungsvollsten API-Schutzmaßnahmen.

Software Bill of Materials — vollständige Liste aller in einer Software verbauten Komponenten, Bibliotheken und Versionen. Voraussetzung für die Bewertung von Schwachstellen in Abhängigkeiten. Ab September 2026 CRA-Pflicht.

Verifizierter Startvorgang: Das Gerät prüft beim Einschalten mittels kryptografischer Signaturen, ob die ladende Software echt und unverändert ist. Schutz vor manipulierter Firmware und Rollback auf unsichere Versionen.

Strukturierte, ganzheitliche Prüfung eines Systems auf Sicherheitsschwachstellen — über Code Review, Architektur- und Konfigurationsanalyse bis hin zu dynamischem Testing. Breiter angelegt als ein Pentest, mit Fokus auf Nachvollziehbarkeit und Dokumentation.

Verwaltung von Benutzersitzungen über Login-Timeouts, Token-Rotation und sichere Speicherung. Schwachstellen hier (Session Fixation, fehlende Invalidierung bei Logout) gehören zu den OWASP Top 10.

Threat-Modeling-Methodik: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege. Systematisches Durchspielen möglicher Angriffsvektoren — Startpunkt jedes professionellen Security Audits.

ARM-Hardware-Sicherheitsarchitektur (Cortex-M/-A). Isoliert geheime Schlüssel, Krypto-Operationen und sicherheitskritische State Machines in einem geschützten Speicherbereich vom Rest der Anwendung — Hardware-basierte Vertrauensgrenze.

Sicherheitsarchitektur-Prinzip: Kein Element wird per Default vertraut, egal ob intern oder extern. Jede Anfrage wird identitätsgeprüft, authorisiert und verschlüsselt behandelt. Grundlage moderner Cloud- und Netzwerk-Sicherheitskonzepte.