Proceedings. GI-Edition. Sicherheit Lecture Notes in Informatics April 2016 Bonn ISSN ISBN

Transkript

1 GI-Edition Gesellschaft für Informatik e.v. (GI) publishes this series in order to make available to a broad public recent findings in informatics (i.e. computer science and information systems), to document conferences that are organized in cooperation with GI and to publish the annual GI Award dissertation. The volumes are published in German or English. Information: Michael Meier, Delphine Reinhardt, Steffen Wendzel (Hrsg.) M. Meier, D. Reinhardt, S. Wendzel (Hrsg.): Sicherheit 2016 Broken down into seminars proceedings dissertations thematics current topics are dealt with from the vantage point of research and development, teaching and further training in theory and practice. The Editorial Committee uses an intensive review process in order to ensure high quality contributions. Lecture Notes in Informatics Sicherheit 2016 Sicherheit, Schutz und Zuverlässigkeit Beiträge der 8. Jahrestagung des Fachbereichs Sicherheit der Gesellschaft für Informatik e.v. (GI) April 2016 Bonn ISSN ISBN This volume contains contributions of the 8th conference of the GI special interest group Sicherheit, Schutz und Zuverlässigkeit that took place in Bonn (April 5-7, 2016). The main aspects of the conference were mobile security, malware analysis, privacy protection, IT security risk assessment, e-commerce, automotive security, Internet of Things security, and biometrics _GI_P_256_Cover.indd Proceedings :04

2

3

4 Michael Meier, Delphine Reinhardt, Steffen Wendzel (Hrsg.) SICHERHEIT 2016 Sicherheit, Schutz und Zuverlässigkeit Konferenzband der 8. Jahrestagung des Fachbereichs Sicherheit der Gesellschaft für Informatik e.v. (GI) April 2016 in Bonn Gesellschaft für Informatik e.v. (GI)

5 Lecture Notes in Informatics (LNI) - Proceedings Series of the Gesellschaft für Informatik (GI) Volume P-256 ISBN ISSN Volume Editors Prof. Dr. Michael Meier Universität Bonn / Fraunhofer FKIE Friedrich-Ebert-Allee 144, D Bonn mm@cs.uni-bonn.de Jun.-Prof. Dr.-Ing.Delphine Reinhardt Universität Bonn / Fraunhofer FKIE Friedrich-Ebert-Allee 144, D Bonn delphine.reinhardt@cs.uni-bonn.de Dr. Steffen Wendzel Fraunhofer FKIE Friedrich-Ebert-Allee 144, D Bonn steffen.wendzel@fkie.fraunhofer.de Series Editorial Board Heinrich C. Mayr, Alpen-Adria-Universität Klagenfurt, Austria (Chairman, mayr@ifit.uni-klu.ac.at) Dieter Fellner, Technische Universität Darmstadt, Germany Ulrich Flegel, Infineon, München, Germany Ulrich Frank, Universität Duisburg-Essen, Germany Johann-Christoph Freytag, Humboldt-Universität zu Berlin,Germany Michael Goedicke, Universität Duisburg-Essen, Germany Ralf Hofestädt, Universität Bielefeld,Germany Michael Koch, Universität der Bundeswehr München, Germany AxelLehmann, Universität der BundeswehrMünchen, Germany Thomas Roth-Berghofer University of West London, United Kingdom Peter Sanders,Karlsruher Institut für Technologie (KIT),Germany Sigrid Schubert, Universität Siegen, Germany Ingo Timm, Universität Trier, Germany Karin Vosseberg, Hochschule Bremerhaven, Germany Maria Wimmer, Universität Koblenz-Landau, Germany Dissertations Steffen Hölldobler,Technische Universität Dresden, Germany Seminars Reinhard Wilhelm, Universität des Saarlandes, Germany Thematics Andreas Oberweis, Karlsruher Institut für Technologie (KIT), Germany Gesellschaft fürinformatik, Bonn 2016 printed by Köllen Druck+Verlag GmbH, Bonn

6 Vorwort Die Fachtagung Sicherheit, Schutz und Zuverlässigkeit (SICHERHEIT) ist die regelmäßig stattfindende Tagung des Fachbereichs Sicherheit Schutz und Zuverlässigkeit der Gesellschaft für Informatik e.v. (GI). Die Tagung deckt alle Aspekte der Sicherheit informationstechnischer Systeme ab und versucht eine Brücke zu bilden zwischen den Themen IT Security, Safety und Dependability. Die achte Ausgabe der SICHERHEIT fand im April 2016 in Bonn statt und bot einem Publikum aus Forschung, Entwicklung und Anwendung ein Forum zur Diskussion von Herausforderungen, Trends, Techniken und neuesten wissenschaftlichen und industriellen Ergebnissen. Erstmals fand auf der SICHERHEIT 2016 ein Doktoranden-Forum statt, das Doktoranden die Gelegenheit bot ihre Forschungs- und Dissertationsvorhaben zu Aspekten der Sicherheit informationstechnischer Systeme zu präsentieren, sich mit anderen Doktoranden sowie erfahrenen Wissenschaftlern auszutauschen und Kontakte über die eigene Universität hinaus zu knüpfen. Zudem bereicherten eine Special Session zum DFG Schwerpunktprogramm Reliably Secure Software Systems, ein Practitioners Track, der International Workshop on Security, Privacy and Reliability of Smart Buildings sowie das Finale des Promotionspreises IT-Sicherheit 2015/2016 die Tagung. Der vorliegende Tagungsband umfasst insgesamt 26 Beiträge. Traditionsgemäß durften Beiträge sowohl in Deutsch als auch in Englisch eingereicht werden. 15 Beiträge wurden aus 44 akademischen Einreichungen zur Haupttagung ausgewählt. Weiterhin wurden zwei Beiträge zum Practitioners Track, fünf Beiträge zum Doktoranden-Forum und vier Beiträge zum International Workshop on Security, Privacy and Reliability of Smart Buildings von den Programmkomitees ausgewählt und in den Tagungsband aufgenommen. Neben den eingereichten Beiträgen und der Special Session konnten für die Tagung Marit Hansen (Landesdatenschutzbeauftragte Schleswig-Holstein) und Andreas Könen (Vizepräsident des Bundesamtes für Sicherheit in der Informationstechnik) für eingeladene Vorträge gewonnen werden. Unser Dank gilt allen, die zum Gelingen der Tagung SICHERHEIT 2016 beigetragen haben. Allen voran sind hier die Autorinnen und Autoren, die Mitglieder der Programmkomitees sowie die externen Gutachter zu nennen. Unser besonderer Dank gilt dem gesamten lokalen Organisationsteam. Nicht zuletzt gilt unser Dank auch dem Leitungsgremium des GI-Fachbereichs Sicherheit Schutz und Zuverlässigkeit, das uns tatkräftig bei der Organisation der Tagung unterstützthat. Michael Meier März 2016 Delphine Reinhardt Steffen Wendzel

7 Sponsoren Wir danken den folgenden Unternehmen und Institutionen für die Unterstützung der Konferenz. Huawei Palo Alto Networks Siemens CAST e.v. Genua it.sec Microsoft ROHDE & SCHWARZ SIT XING Events

8 Tagungsleitung der Sicherheit 2016 Hannes Federrath, Universität Hamburg Stefan Katzenbeisser, Technische Universität Darmstadt Michael Meier, Universität Bonn und Fraunhofer FKIE (General Chair) Steffen Wendzel, FraunhoferFKIE (Program Co-Chair) Lokale Organisation Saffija Kasem-Madani Jaspreet Kaur Alexandra Kobekova Programmkomitee Christian Kollee Jamila Krämer Hendrik Rommerskirchen Arnold Sykosch Jernej Tonejc Matthias Wübbeling Frederik Armknecht, Universität Mannheim Bernhard Beckert, Karlsruher Institut für Technologie Thomas Biege, SUSE GmbH Rainer Böhme, Universität Innsbruck Jens Braband, Siemens und Technische Universität Braunschweig Arslan Brömme, Vattenfall GmbH Christoph Busch, Hochschule Darmstadt Peter Dencker,Hochschule Karlsruhe JanaDittmann, Universität Magdeburg Wolfgang Ehrenberger, Hochschule Fulda BernhardFechner, FernUniversität Hagen Hannes Federrath, Universität Hamburg Ulrich Flegel, Infineon Felix Freiling, Universität Erlangen-Nürnberg Karl-Erwin Grosspietsch, Euromicro Hannes Grunert, Universität Rostock Andreas Heinemann, Hochschule Darmstadt und CASED Maritta Heisel, Universität Duisburg-Essen Jörg Helbach, E&P Service GmbH Eckehard Hermann, Fachhochschule Hagenberg Dominik Herrmann, Universität Siegen Thorsten Holz, Universität Bochum Detlef Hühnlein, ecsec GmbH Dieter Hutter, DFKI und Universität Bremen Jan Jürjens, Technische Universität Dortmund Stefan Katzenbeisser, Technische Universität Darmstadt Hubert B. Keller, Karlsruher Institut für Technologie Jörg Keller, FernUniversität Hagen Dogan Kesdogan, UniversitätRegensburg Herbert Klenk, Airbus Dirk Koschützki, Hochschule Furtwangen

9 Kerstin Lemke-Rust, Hochschule Bonn-Rhein-Sieg Luigi Lo Iacono, Technische Hochschule Köln Heiko Mantel, Technische Universität Darmstadt Michael Meier, Universität Bonn und Fraunhofer FKIE Matthias Meyer, GDATA Ulrike Meyer, Rheinisch-Westfälische Technische Hochschule Aachen HolgerMorgenstern, Hochschule Albstadt-Sigmaringen Isabel Münch, BSI Michael Nüsken, b-it Bonn Frank Ortmeier, Universität Magdeburg Sebastian Pape, Goethe-Universität Frankfurt Andreas Peter, Technische Universität Twente Erhard Plödereder,Universität Stuttgart Hans Pongratz, Technische Universität München Joachim Posegga, Universität Passau Alexander Pretschner, Technische UniversitätMünchen Kai Rannenberg, Goethe-Universität Frankfurt Peer Reymann, ITQS GmbH Konrad Rieck, Universität Göttingen Volker Roth, Freie Universität Berlin Heiko Roßnagel, FraunhoferIAO Francesca Saglietti, Universität Erlangen-Nürnberg Peter Schartner, Universität Klagenfurt Sebastian Schmerl, Computacenter Karin Schuler, Expertin für Datenschutz undit-sicherheit Torsten Schütze, ROHDE &SCHWARZ SIT GmbH Jörg Schwenk, Universität Bochum Claus Stark, Citigroup Hermann Strack, Hochschule Harz Thorsten Strufe, Technische Universität Dresden Melanie Volkamer, Technische Universität Darmstadt und CASED Christian Weber, Ostfalia - Hochschule für angewandte Wissenschaften Edgar Weippl, SBA Research Steffen Wendzel, Fraunhofer FKIE Ernst O. Wilhelm, GFT Technologies AG Bernhard C. Witt, it.sec GmbH & Co. KG

10 Zusätzliche Gutachter Svetlana Abramova Daniel Arp Thomas Bauereiß Martin Beck Arne Bilzhause Toralf Engelke Marco Ghiglieri Daniel Grahl Simon Greiner Steffen Herterich Stefanie Jasser Vladimir Klebanov Stefan Köpsell Sebastian Kurowski Stefan Laube Jens Lindemann Sebastian Luhn Malte Möser Henrich C. Poehls Sebastian Reif Christian Roth Thomas Santen David Schneider Alexander Senier Ralf C. Staudemeyer Alexandra Weber Alexander Weigl Ephraim Zimmer Tagungsleitung des Doktorandenforums Sicherheit 2016 Delphine Reinhardt, Universität Bonn und Fraunhofer FKIE (Chair) Programmkomitee Frederik Armknecht, Universität Mannheim Rainer Böhme, Universität Innsbruck Hannes Federrath, Universität Hamburg Felix Freiling, Friedrich-Alexander-Universität Erlangen-Nürnberg Thorsten Holz, Ruhr-Universität Bochum Stefan Katzenbeisser, Technische Universität Darmstadt Michael Meier, Universität Bonn und Fraunhofer FKIE Ulrike Meyer, Rheinisch-Westfälische Technische Hochschule Aachen Joachim Posegga, Universität Passau Alexander Pretschner, Technische UniversitätMünchen Kai Rannenberg, Goethe-Universität Frankfurt Konrad Rieck, Georg-August-Universität in Göttingen Jörg Schwenk, Ruhr-Universität Bochum Matthew Smith, Universität Bonn und Fraunhofer FKIE

11 Tagungsleitung des International Workshop on Security, Privacy and Reliability of Smart Buildings Steffen Wendzel, Fraunhofer FKIE (Chair) Jörg Keller, FernUniversität Hagen (Co-Chair) Jernej Tonejc, Fraunhofer FKIE (Program Co-Chair) Jaspreet Kaur, Fraunhofer FKIE (Website) Programmkomitee François-Xavier Aguessy, Thales BernhardFechner, FernUniversität in Hagen Christian Herdin, Hochschule Augsburg Saffija Kasem-Madani, Universität Bonn Wolfgang Kastner, Technische Universität Wien Jaspreet Kaur, Fraunhofer FKIE Jörg Keller, FernUniversität in Hagen Wojciech Mazurczyk, TechnischeUniversität Warschau Nasim Mohammadi, York University Delphine Reinhardt, Universität Bonn und Fraunhofer FKIE Arnold Sykosch,Universität Bonn und Fraunhofer FKIE Jernej Tonejc, Fraunhofer FKIE Steffen Wendzel, Fraunhofer FKIE Matthias Wübbeling, Universität Bonn und Fraunhofer FKIE Tao Yue, University of Oslo Sebastian Zander, Murdoch University Zusätzliche Gutachter Phu H. Nguyen Markus Wurzenberger Ma Tao

12 Inhaltsverzeichnis Risiko- und Sicherheitsanalyse Jens Braband Why 2 times 2 ain t neccessarily 4 at least not in IT security risk assessment 1 Juergen Graf, Martin Hecker, Martin Mohr, Gregor Snelting Sicherheitsanalyse mit JOANA Fabian Beterke Distributed evolutionary fuzzing with Evofuzz Internet of Things & Cybercrime Jakob Rieck Attacks on fitness trackers revisited: a case-study of unfit firmware security. 33 Christopher Corbett, Elmar Schoch, Frank Kargl, Felix Preussner Automotive Ethernet: security opportunity or challenge? Ronny Merkel, Christian Kraetzer, Mario Hildebrandt, Stefan Kiltz, Sven Kuhlmann, Jana Dittmann A semantic framework for a better understanding, investigation and prevention of organized financial crime Malware Dominik Schürmann, Lars Wolf Surreptitious sharingonandroid Sebastian Hahn, Mykola Protsenko, Tilo Müller Comparative evaluation of machine learning-based malware detection on Android Christian Röpke SDN malware: problems of current protection systems and potential countermeasures

13 Authentifikation und Biometrie Vincent Haupert, Tilo Müller Auf dem Weg vertan: Über die Sicherheit App-basierter TAN-Verfahren Mariia Astrakhantceva, Günter Karjoth, Bettina Hübscher Die Bordkarte als Authentifikationsmittel bei Flugreisen Moazzam Butt, Johannes Merkle, Ulrike Korte, Christoph Busch Correlation-resistant fuzzy vault for fingerprints E-Commerce & Sicherheitsmanagement Katharina Krombholz, Aljosha Judmayer, Matthias Gusenbauer, Edgar Weippl Für bare Münze? NutzerInnenerfahrungen mit Sicherheit unddatenschutz bei Bitcoin Dominik Herrmann, Jens Lindemann Obtaining personal data and asking for erasure: do app vendors and website owners honour your privacy rights? Severin Rast, Timo Brecher, Sabine Kammerhofer IT-Grundschutz in großen Institutionen Herausforderungen und Lösungsstrategien Practitioners Track Florian Hertle PT: Lessons learned bei KMUs aus dem Befall durch Ransomware Felix Schuckert PT: Generating security vulnerabilities in source code Doktoranden-Forum "Sicherheit 2016" Stefanie Jasser Sicherheit im Softwareentwurf - Integrierte Modellierung von Security und Softwarearchitektur Saffija Kasem-Madani A framework for encrypted computation on shared data

14 Leonard Renners Towards adaptive event prioritization for network security - ideas and challenges Siavash Valipour Designing resilient and secure smart micro grids Tim Waage Order preserving encryption for wide column stores International Workshop on Security, Privacy and Reliability of Smart Buildings Friedrich Praus, WolfgangKastner, Peter Palensky Software security requirements in building automation Christian Müller, Frederik Armknecht, Zinaida Benenson, Philipp Morgner On the security of the ZigBee Light Link touchlink commissioning procedure. 229 Harald Glanzer, Lukas Krammer, Wolfgang Kastner Increasing security and availability in KNX networks Jernej Tonejc, Jaspreet Kaur, Alexandra Kobekova Detectinganomalies in BACnet network data