GI-Edition Gesellschaft für Informatik e.v. (GI) publishes this series in order to make available to a broad public recent findings in informatics (i.e. computer science and information systems), to document conferences that are organized in cooperation with GI and to publish the annual GI Award dissertation. The volumes are published in German or English. Information: http://www.gi.de/service/publikationen/lni/ Neeraj Suri, Michael Waidner (Hrsg.) Sicherheit 2012 Neeraj Suri, Michael Waidner (Hrsg.): Sicherheit 2012 Broken down into seminars proceedings dissertations thematics current topics are dealt with from the vantage point of research and development, teaching and further training in theory and practice. The Editorial Committee uses an intensive review process in order to ensure high quality contributions. Lecture Notes in Informatics ISSN 1617-5468 ISBN 978-88579-289-5 This volume contains the contributions to the 6th Conference of the GI special interest group Sicherheit, Schutz und Zuverlässigkeit that took place in Darmstadt on March 7-9, 2012.The main aspects of the conference were secure software development, biometrics, e-commerce, reliability and safety, certification, fault-tolerance, formal methods, critical infrastructure protection, cryptography, network security, privacy enhancing techniques, intrusion detection and prevention, and steganography. 195 Sicherheit, Schutz und Zuverlässigkeit Beiträge der 6. Jahrestagung des Fachbereichs Sicherheit der Gesellschaft für Informatik e.v. (GI) 7. 9. März 2012 Darmstadt Proceedings
Neeraj Suri, MichaelWaidner (Hrsg.) S I C H E R H E I T 2 0 1 2 Sicherheit, Schutz und Zuverlässigkeit Konferenzband der 6. Jahrestagung desfachbereichs Sicherheit der Gesellschaft für Informatik e.v. (GI) 7.-9. März 2012 in Darmstadt Gesellschaft für Informatik e.v. (GI)
Lecture Notes in Informatics(LNI) -Proceedings Series of the Gesellschaft für Informatik(GI) Volume P-195 ISBN 978-3-88579-289-5 ISSN 1617-5468 Volume Editors Prof. Dr. Michael Waidner Technische Universität Darmstadt Sicherheit in der Informationstechnik 64293 Darmstadt, Germany Email: michael.waidner@sit.tu-darmstadt.de Prof. Suri Neeraj, Ph. D. Technische Universität Darmstadt Zuverlässige Eingebettete Softwaresysteme 64289 Darmstadt, Germany Email: suri@cs.tu-darmstadt.de Series Editorial Board Heinrich C. Mayr, Alpen-Adria-Universität Klagenfurt, Austria (Chairman, mayr@ifit.uni-klu.ac.at) Hinrich Bonin, Leuphana Universität Lüneburg, Germany Dieter Fellner, Technische Universität Darmstadt, Germany Ulrich Flegel, Hochschule Offenburg, Germany Ulrich Frank, Universität Duisburg-Essen, Germany Johann-Christoph Freytag, Humboldt-Universität zu Berlin, Germany Michael Goedicke, Universität Duisburg-Essen, Germany Ralf Hofestädt, Universität Bielefeld, Germany Michael Koch, Universität der Bundeswehr München, Germany Axel Lehmann, Universität der Bundeswehr München, Germany Ernst W. Mayr, Technische Universität München, Germany Thomas Roth-Berghofer, DFKI, Germany Sigrid Schubert, Universität Siegen, Germany Martin Warnke, Leuphana Universität Lüneburg, Germany Dissertations SteffenHölldobler,Technische Universität Dresden, Germany Seminars Reinhard Wilhelm, Universität des Saarlandes, Germany Thematics Andreas Oberweis, Karlsruher Institut für Technologie (KIT), Germany Gesellschaft für Informatik, Bonn 2012 printed by Köllen Druck+Verlag GmbH, Bonn
Vorwort Die Konferenz Sicherheit, Schutz und Zuverlässigkeit SICHERHEIT der Gesellschaft für Informatik e.v. fand 2012 in der sechsten Ausgabe in Darmstadt statt. Sie ist die regelmäßig stattfindende Fachtagung des Fachbereichs Sicherheit Schutz und Zuverlässigkeit der Gesellschaft für Informatik e.v. Die SICHERHEIT bietet einem Publikum aus Forschung, Entwicklung und Anwendung ein Forum zur Diskussion von Herausforderungen, Trends, Techniken und neuesten wissenschaftlichen und industriellen Ergebnissen. Die Tagung deckt alle Aspekte der Sicherheit informationstechnischer Systeme ab und versucht, auch eine Brückezwischen den Themen IT Security,Safety und Dependability zu bilden. Der vorliegende Tagungsband umfasst alle 20 Beiträge des wissenschaftlichen Programms. Diese Beiträge wurden aus insgesamt 51 Einreichungen durch das international besetzte 38- köpfige Programmkomitee ausgewählt. Traditionsgemäß durften Beiträge in Deutsch und in Englisch eingereicht werden. In diesem Jahr gabeszudem vier eingeladene Sprecher. Unser Dank gilt allen, die sich mit Zeit und Mühe am Gelingen der Konferenz beteiligt haben. Allen voran zu nennen sind hier die Autorinnen und Autoren, die Mitglieder des Programmkomitees und die weiteren Gutachter, sowie die Sponsoren der Konferenz. Unser ganz besonderer Dank gilt Andrea Püchner und Marco Ghiglieri, die sich ruhig und ausdauernd um alle Probleme der lokalen Organisation gekümmert haben, von der Planung bis zur eigentlichen Durchführung. Unser Dank gilt auch dem Leitungsgremium des GI- Fachbereichs Sicherheit - Schutz und Zuverlässigkeit, insbesondere den Mitgliedern der Tagungsleitung, Hannes Federrath, Felix C. Freiling und JörgSchwenk. März 2012 Neeraj Suri, Michael Waidner
Tagungsleitung Hannes Federrath (Sprecher des Fachbereichs, Universität Hamburg) Felix C. Freiling (Leiter der Sicherheit 2010, Friedrich-Alexander-Universität Erlangen- Nürnberg) JörgSchwenk (stellv. Sprecher des Fachbereichs, Ruhr-Universität Bochum) Neeraj Suri (Co-Leiter,Technische Universität Darmstadt) Michael Waidner (Leiter,Technische Universität Darmstadt und Fraunhofer SIT) Programmkomitee Neeraj Suri (Technische Universität Darmstadt) Michael Waidner (Technische Universität Darmstadt und Fraunhofer SIT) Michael Backes (Universität des Saarlandes) Bernd Becker (Universität Freiburg) Fevzi Belli (Universität Paderborn) Thomas Biege (SUSE Linux Products GmbH) Jens Braband (Siemens AG) Peter Buchholz (Technische Universität Dortmund) Christoph Busch (Hochschule Darmstadt) Christof Fetzer (Technische Universität Dresden) Simone Fischer-Hübner (Karlstad University,Schweden) Felix C. Freiling (Friedrich-Alexander-Universität Erlangen-Nürnberg) Sabine Glesner (Technische Universität Berlin) Bernhard Hämmerli (Acris GmbH) Marit Hansen (Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein) Thorsten Holz (Ruhr-Universität Bochum) JörgKaiser (Otto-von-Guericke-Universität Magdeburg) Günter Karjoth (IBM Research Zurich) Stefan Katzenbeisser (Technische Universität Darmstadt)
Ralf Küsters (Universität Trier) Helmut Kurth (atsec information security) Peter Ladkin (Universität Bielefeld) PavelLaskov (Universität Tübingen) Erik Maehle (Universität Lübeck) Jörn Müller-Quade (Karlsruhe Institut für Technologie) Isabel Münch (BSI -Bundesamt für Sicherheit in der Informationstechnik) Roman Obermaisser (Universität Siegen) Günther Pernul (Universität Regensburg) Andreas Polze (HPI Universität Potsdam) Kai Rannenberg(Goethe-Universität Frankfurt am Main) Felix Salfner (SAP Innovation Center Potsdam) JörgSchwenk (Ruhr-Universität Bochum) Jean-Pierre Seifert (Technische Universität Berlin) Claus Stark (Citigroup AG) Martin Steinebach (Fraunhofer SIT) Reinhard vonhanxleden (Christian-Albrechts-Universität zu Kiel) Carsten Willems (Ruhr-Universität Bochum) Sven Wohlgemuth (National Institute of Informatics, Japan) Zusätzliche Gutachter Rafael Accorsi (Universität Freiburg) Gökhan Bal (Goethe-Universität Frankfurt am Main) Zinaida Benenson (Friedrich-Alexander-Universität Erlangen-Nürnberg) Sebastian Biedermann (Technische Universität Darmstadt) Tino Brade (Otto-von-Guericke-Universität Magdeburg) Christian Broser (Universität Regensburg)
Andreas Dewald (Universität Mannheim) Sebastian Ertel (Technische Universität Dresden) Linus Feiten (Universität Freiburg) Daniel Fett (Universität Trier) Marco Ghiglieri (Technische Universität Darmstadt) OliverGmelch (Universität Regensburg) TimGrebien (Christian-Albrechts-Universität zu Kiel) Sabri Hassan (Universität Regensburg) Uwe Hentschel (Universität Potsdam) Paula Herber (Technische Universität Berlin) Johannes Hoffmann (Ruhr-Universität Bochum) Ralf Hund (Ruhr-Universität Bochum) Christine Hundt (Technische Universität Berlin) Christian Kahl (Goethe-Universität Frankfurt am Main) Lukas Kalabis (Technische Universität Darmstadt) Matthias Kirchner (Westfälische Wilhelms-Universität Münster) Daniel Kraschewski (Karlsruher Institut für Technologie) Christoph Krüger (Christian-Albrechts-Universität zu Kiel) Marc Kührer (Ruhr-Universität Bochum) AndréMartin (Technische Universität Dresden) Christian Moch (Friedrich-Alexander-Universität Erlangen-Nürnberg) Michael Müter (Daimler AG) Michael Netter (Universität Regensburg) Christian Neuhaus (HPI Universität Potsdam) Andreas Peter (Technische Universität Darmstadt) Marcel Pockrandt (Technische Universität Berlin) Robert Reicherdt (Technische Universität Berlin)
Andreas Reisser (Universität Regensburg) Konrad Rieck (Universität Göttingen) Ahmad Sabouri (Goethe-Universität Frankfurt am Main) Matthias Sauer (Universität Freiburg) Alexander Schacht (HPI Universität Potsdam) Dirk Scheuermann (Fraunhofer SIT) Andre Schmitt (Technische Universität Dresden) Christian Schneider (Christian-Albrechts-Universität zu Kiel) Christoph Daniel Schulze (Christian-Albrechts-Universität zu Kiel) Miro Spönemann (Christian-Albrechts-Universität zu Kiel) Christoph Steup (Otto-von-Guericke-Universität Magdeburg) Daniel Stöhr (Technische Unversität Berlin) Martin Stopczynski (Technische Universität Darmstadt) Dirk Tetzlaff(Technische Univeristät Berlin) Max Tuengerthal (Universität Trier) Fatbardh Veseli (Goethe-Universität Frankfurt am Main) Andreas Vogt (Universität Trier) Michael Weber (Universität Regensburg) Robert Wierschke(HPI Universität Potsdam) Ralf Wimmer (Universität Freiburg) Philipp Winter (Karlstad University,Sweden) Lars Wolos (Goethe-Universität Frankfurt am Main) Sebastian Zug (Otto-von-Guericke-Universität Magdeburg)
Inhaltsverzeichnis Eingeladene Sprecher Christian Cachin Sicherheits-Forschung für die Cloud -Heisse Luft oder Wolke Sieben? 1 Hinrich Voelcker IT Security Effiziente Organisation über Governance hinaus... 2 Jens Braband Security und Safety das Yinund Yang der Systemsicherheit?... 3 Volkmar Lotz Towards asecure and Trusted Business Web... 4 Xuebing Zhou APractical View of Privacy Preserving Biometric Authentication... 6 Benutzbarkeit von IT-Sicherheit I Zinaida Benenson, Olaf Kroll-Peters, Matthias Krupp Mentale Modelle der IT-Sicherheit bei der Nutzung mobiler Endgeräte 7 Jan Zibuschka, Heiko Roßnagel On Some Conjectures in IT Security: The Case for Viable Security Solution... 25
IT-Forensik Ulrich Greveler, Benjamin Justus, Dennis Löhr Identifikation von Videoinhalten über granulare Stromverbrauchsdaten 35 Andreas Dewald, Felix C. Freiling, Thomas Schreck, Michael Spreitzenbarth, Johannes Stüttgen, Stefan Vömel, Carsten Willems Analyse und Vergleich von BckR2D2-I und II... 47 Christian Zimmermann, Michael Spreitzenbarth, Sven Schmitt, Felix C. Freiling Forensic Analysis of YAFFS2... 59 Kryptographie Christina Brzuska, Özgür Dagdelen, Marc Fischlin TLS, PACE, and EAC: A Cryptographic View at Modern Key Exchange Protocols... 71 Lassaad Cheikhrouhou, Werner Stephan, Özgür Dagdelen, Marc Fischlin, Markus Ullmann Merging the Cryptographic Security Analysis and the Algebraic-Logic Security Proof of PACE... 83 Detlef Hühnlein, Dirk Petrautzki, Johannes Schmölz, Tobias Wich, Moritz Horsch, Thomas Wieland, Jan Eichholz, Alexander Wiesmaier, Johannes Braun, Florian Feldmann, Simon Potzernheim, Jörg Schwenk, Christian Kahlo, Andreas Kühne, Heiko Veit On the design and implementation of the Open ecard App... 95 Sicherheit im Web Sebastian Lekies, Walter Tighzert, Martin Johns Towards stateless, client-side driven Cross-Site Request Forgery protection for Webapplications...111
Karl-Peter Fuchs, Dominik Herrmann, Hannes Federrath gmix: Eine generische Architektur für Mix-Implementierungen und ihre Umsetzung als Open-Source-Framework...123 Markus Engelberth, Jan Göbel, Christian Schönbein, Felix C. Freiling PyBox -APython Sandbox...137 Dokumenten- und Netzwerksicherheit Steffen Wendzel The Problem of Traffic Normalization Within acovert Channel s Network Environment Learning Phase...149 Philipp Trinius, Felix C. Freiling Filtern von Spam-Nachrichten mit kontextfreien Grammatiken...163 Patrick Wolf, Martin Steinebach FixBit-Container: Effizienter Urheberschutz durch Wasserzeichen entlang der Medien-Wertschöpfungskette...175 Benutzbarkeit von IT-Sicherheit II Michaela Kauer,Thomas Pfeiffer,Melanie Volkamer,Heike Theuerling, Ralph Bruder It is not about the design -itisabout the content! Making warnings more efficient by communicating risks appropriately...187 Stefan Penninger, Stefan Meier, Hannes Federrath Usability von CAPTCHA-Systemen...199 Wiebke Menzel, Sven Tuchscheerer, Jana Fruth, Christian Krätzer, Jana Dittmann Designansatz und Evaluation von Kindgerechten Securitywarnungen für Smartphones...211
Authentisierung und Biometrie Markus Ullmann, Ralph Breithaupt, Frank Gehring On-Card User Authentication for Contactless Smart Cards based on Gesture Recognition...223 Marcus Quintino Kuhnen, Mario Lischka, Félix Gómez Mármol Triggering IDM Authentication Methods based on Device Capabilities Information...235 Daniel Hartung, Anika Pflug, Christoph Busch Vein Pattern Recognition Using Chain Codes Spatial Information and Skeleton Fusing...245
Sicherheits-Forschung für die Cloud -Heisse Luft oder Wolke Sieben? Christian Cachin IBM Research Zurich Säumerstrasse 4 CH-8803 Rüschlikon, Schweiz cca@zurich.ibm.com Abstract: Seit dem Erscheinen von Cloud-Computing sind viele neue Bedenken gegenüber Big Brother aufgekommen. Dennoch nutzen Privatleute und Firmen heute die Cloud, weil sie so praktisch ist -und behalten dabei ein mulmiges Gefühl im Bauch zurück. Ihre größten Bedenken betreffen die Sicherheit und Zuverlässigkeit von Cloud-Diensten. Da aber langfristige Erfahrungen mit der Cloud bis heute fehlen, sind beide Größen noch weitgehend Unbekannte. Besondere Sichtbarkeit erlangen daher Forschungsresultate, die darauf abzielen, die Benutzer und ihre Daten vor Problemen in der Cloud zu schützen. Diese Arbeiten sollen Geheimhaltung und Integrität der Daten garantieren und die Zuverlässigkeit der bezogenen Dienste sicherstellen. Dieser Vortrag präsentiert und analysiert einige Trends aus dieser Forschung: erstens, die Verarbeitung von verschlüsselten Daten durch Homomorphic Encryption, zweitens, die Konsistenz von verteilten Speicherdiensten und, drittens, hochverfügbare Systeme, welche auch teilweise voneinem Gegner unterwandert noch weiterlaufen können (sog. Byzantine Fault-Tolerant Systems ).
IT Security -Effiziente Organisation über Governance hinaus Hinrich Voelcker Deutsche Bank Alfred-Herrhausen-Allee 16-24 D-65670 Eschborn hinrich.voelcker@db.com Abstract: Die Sicherheit der IT-Systeme ist nicht zuletzt durch das breite Interesse der Medien und Öffentlichkeit zu einem ausgesprochen wichtigen Thema jedes Wirtschaftunternehmens geworden. Vertraulichkeit, Verfügbarkeit und Integrität der Unternehmens- und Kundendaten ist überlebenswichtig - gerade in Bezug auf die Reputation. Besonders Banken leben von der Vertrauenswürdigkeit gegenüber ihren Kunden. Während die Regulatoren des Finanzwesens schon immer auf die Einhaltung eines hohen Standards der IT-Sicherheit achteten, richtet sich auch deren Augenmerk noch stärker als bisher auf die Sicherheit der IT-Systeme. Auslöser hierfür sind nicht zuletzt die steigende Anzahl und zunehmende Professionalität von Cyberangriffen gegen Unternehmen zu deren Abwehr die Implementierung von Game-Changing- Technologies, wie proaktive Cyber-Intelligence-Lösungen, eine immer wichtigere Rolle spielt. Während einzelne Lösungen zur IT-Sicherheit auch nur einzelne Probleme und mögliche Schwachstellen adressieren, ist es besonders in einem Großunternehmen wichtig, ein umfassendes Gesamtkonzept zur erfolgreichen Verteidigung von Cyberangriffen zu gestalten und effizient aufzubauen. Voraussetzung für die Durchsetzung dieses Ziels ist ein zentral aufgestellter IT Security-Bereich mit einer hohen Visibilität und globalen Verantwortung für die Sicherheit der IT-Systeme. Diese Organisationsform spiegelt auch den gewachsenen Stellenwert der IT-Sicherheit in Unternehmen wieder.
Security und Safety -das Yin und Yang der Systemsicherheit? Beispiel Eisenbahnsignaltechnik Jens Braband Siemens AG Ackerstraße 22 D-38126 Braunschweig jens.braband@siemens.com Abstract: Yinund Yang stehen in der chinesischen Philosophie für Gegensätze, z. B. Kräfte oder Prinzipien, in ihrer wechelseitigen Bezogenheit. In diesem Beitrag wird das Bild von Yin und Yang benutzt, um die Beziehungen zwischen Safety und Security am Beispiel der Eisenbahnsignaltechnik zu erläutern. Dabei werden sowohl die normativen Grundlagen als auch typische Anwendungen diskutiert. Insbesondere die in der Eisenbahnsignaltechik verwendeten Referenzarchitekturen sowie die übliche Kategorisierung vonkommunikationssystemen wird erläutert. Es wird ein Ansatz vorgestellt, der es ermöglichen soll, Safety- und Security-Eigenschaften in der Kommunikationssicherheit soweit möglich zu orthogonalisieren, um insbesondere auch die Aspekte der Zulassung bzw. Zertifizierung soweit möglich zu trennen. Dabei wird auch verschiedene Ansätze zur Zertifizierung eingegangen und konkrete Erfahrungen mit der Erstellung eines Schutzprofils nach Common Criteria werden diskutiert.
Towards asecure and Trusted Business Web Volkmar Lotz SAP Labs France, Security &Trust Research Practice 805, Avenue du Dr Maurice Donat 06250 Mougins, France volkmar.lotz@sap.com Abstract: We currently see a major shift in development, deployment and operation of Enterprise IT systems and business applications. Driven by cost and effectiveness considerations, and facilitated by virtual infrastructures (aka the cloud) and service orientation, application development is distributed over a variety of entities (ISPs - independent service providers), applications are composed of services from different ISPs, and IT operations is run by independent data and computation centers. Using the Internet as fast and ubiquitous communication infrastructure, we see a fabric of resources, platforms, services and applications emerging forming anumber of ecosystems that will drive society and business. For this set of ecosystems and facilitating technology and infrastructure, we have coined the term Business Web. Since the Business Webisgoing to be the critical infrastructure underlying business and private life, concerns related to security and privacy will inevitably be raised. These concerns are grounded in the open and dynamic nature of the Business Weband its coverage of all aspects of business including the most sensitive areas like finance, healthcare, personal information etc. The strength of the Business Web lies in information sharing and spontaneous interaction with entities, even if they are previously unknown, and there is an inherent risk of information being abused and data owners losing control over their data in terms of usage, consistency or availability. To mitigate these risk while being able to exploit the benefits of collaboration, one needs to determine with whom the collaboration takes place, to express which mutual protection needs are to be met, and which controls can be imposed to actually enforce them. In this talk, we focus on the establishment of trust in services and the complementary support of data-centric services. In addition to traditional means based on observation, recommendation, and reputation which come to their limits upon discovery of new services, rich service descriptions including security and privacy related attributes, attested by trusted parties, provide the needed information and form a service identity where the mere name of the service would not be meaningful. At the same time, such descriptions can serveas a container for policy information expressing the service s protection needs, its abilities to match consumers policies and its governance. Given that the user can express her policies in a similar, machine-processable way, we are able to match policies and decide if the service can be safely used. When considering the complexity of Business Web structures, however, we have to ensure that the above approach scales to multiple layers of dynamic collaboration. Data are travelling across domains, services and resources, while still being subject to their owners policies. This motivates a data-centric security concept, where policies are bound to data and travel with them - ßticky policies. Each processor of the data, even if it cannot be predicted where they will eventually end up, has access to the policy information and can handle the data accordingly. Sticky policies allow for the
Towards asecure and Trusted Business Web 5 expression of obligations (like a deletion or retention period) to be met by processing entities. While this concept is theoretically pleasing, it faces practical challenges of performance and enforcement asking for further research. We show how a solution meeting some of these challenges can be provided on top of a distributed Java platform.
APractical View of Privacy Preserving Biometric Authentication Xuebing Zhou Center for Advanced Security Research Darmstadt Mornewegstraße 32 D-64293 Darmstadt xuebing.zhou@cased.de Abstract: Recently, biometric market is growing rapidly and biometric applications can be found in diverse areas such as border control, banking, ID-documents, access control, etc. However, usage of personal biometric information can harm privacy of users and raise problems of cross matching and identity theft. Privacy preserving techniques like template protection are an important supplement to biometric systems to prevent abuse of stored biometric information and to improve security of biometric authentication. This work introduces the concept of biometric privacy preserving techniques and shows how toquantify their security and privacy in practice with help of a generalized evaluation framework. The advantages as well as limitations of the existing methods are analyzed. Additionally, systematic security considerations are given and a guideline to successfully design privacy preserving techniques for biometric systems is proposed.
Mentale Modelle der IT-Sicherheit bei der Nutzung mobiler Endgeräte Zinaida Benenson Universität Erlangen-Nürnberg zinaida.benenson@cs.fau.de Matthias Krupp Universität Mannheim matthias.krupp@web.de Olaf Kroll-Peters EnBW AG o.kroll-peters@enbw.com Abstract: Mobile Endgeräte werden immer leistungsfähiger und damit wächst für die Nutzer auch das Gefahrenpotenzial durch typische IT-Sicherheitsbedrohungen. Obwohl die Verantwortung des Benutzers für die Einhaltung der IT-Sicherheit anerkannt und wissenschaftlich belegt ist, konzentriert sich die Forschung zur IT-Sicherheit im mobilen Umfeld meistens auf die technische Seite der Problematik. In dieser Arbeit wird der erste Schritt zur Untersuchung der Rolle der Benutzer in der IT-Sicherheit mobiler Endgeräte unternommen, indem anhand von Interviews entsprechende mentale Modelle erstellt werden. Als mentale Modelle werden Abbildungen der Realität im Bewusstsein des Menschen bezeichnet. Obwohl diese Abbildungen normalerweise ungenau und oft fehlerhaft sind, kann ihre Kenntnis zu Prognosen über Handlungen von Menschen verwendet werden. Mentale Modelle der IT-Sicherheit bilden die Grundlage für die Bemühungen der Nutzer (oder für das Fehlen solcher Bemühungen), die IT-Sicherheit ihrer Systeme zu gewährleisten. 1 Einleitung Die Anzahl sowie Leistungsfähigkeit mobiler Endgeräte nimmt im Verlauf der letzten Jahre immer stärker zu und damit wächst auch die Anzahl der IT-Sicherheitsbedrohungen in diesem Bereich [Jun11, BFH + 11]. Auf der einen Seite sind die Anwender technischen Bedrohungen wie Malware, das Abhören der Datenübermittlung und das Ausspähen von Standortinformationen ausgesetzt. Auf der anderen Seite bestehen auch menschliche Bedrohungen wie Verlust, Diebstahl, Fehlbedienung und Social Engineering. In beiden Fällen nehmen Benutzer einen bedeutenden Anteil für das Umsetzen von IT-Sicherheit mobiler Endgeräte ein. Zum Beispiel ist zum Installieren der mobilen Malware meistens nach wie vor die aktive Teilnahme der Benutzer notwendig. Bisher ist die Rolle der Benutzer in der Sicherheit mobiler Endgeräte nicht ausreichend bekannt. In dieser Arbeit unternehmen wir die ersten Schritte zur Feststellung mentaler Modelle der IT-Sicherheit bei der Benutzung mobiler Endgeräte. Mentale Modelle charakterisieren die individuelle Repräsentation und das Verständnis von Realität, beeinflusst durch Erfahrungen, Empfindungen und Informationen, im Bewusstsein von Menschen.
8 Mentale Modelle der IT-Sicherheit bei der Nutzung mobiler Endgeräte Im Abschnitt 2 wird zunächst ein Überblick über verwandte Arbeiten zu mentalen Modellen der IT-Sicherheit gegeben. Dann wird im Abschnitt 3 unsere Untersuchung zur Ermittlung mentaler Modelle der IT-Sicherheit bei der Benutzung mobiler Endgeräte vorgestellt. Anschließend werden im Abschnitt 4 die Ergebnisse der Arbeit diskutiert und schließlich im Abschnitt 5weiterführende Arbeiten vorgeschlagen. 2 Mentale Modelle in der IT-Sicherheit Erste mentale Modelle für den Themenkomplex der IT-Sicherheit erstellten Camp et al. [ALC07, Cam09]. Sie unterscheiden fünf Metaphern der IT-Sicherheit: physische Sicherheit (z.b. Schlösser), medizinische Infektionen (Viren), kriminelles Verhalten (Einbrecher), Kriegsführung und wirtschaftliches Versagen (Schwachstellen in der Software). Implizite Beschreibungen der mentalen Modelle der IT-Sicherheit finden sich häufig in Publikationen zum Themenkomplex der Mensch-Computer-Interaktion. So fanden Sasse et al. [SBW01] heraus, dass die Kenntnisse der Nutzer nicht ausreichend sind, um die bestehenden Sicherheitsbedrohungen richtig einzuordnen. Norman [Nor09] beobachtet, dass die Anwender sogar die Installation essentieller Sicherheitspatches abgelehnt haben aus Angst etwas Falsches zu installieren. Ihr mentales Modell lautet: Installieren neuer Software ist gefährlich. Häufig sind die Anwender aufgrund fehlender Kenntnisse nicht in der Lage zwischen sicheren und unsicheren Installationsanfragen zu unterscheiden. Inakkurate mentale Modelle schaffen oft weitere Gefahrenquellen [RHJ + 10]. Unter anderem erstellen Anwender eigene Regeln im Umgang mit IT-Systemen, wie z.b. nur scheinbar sichere Passwörter, die ihnen besser im Gedächtnis bleiben [AS99, FH07, FCB07]. Für die Anwender ist ihr sicherheitskonformes Handeln eine Kosten-/Nutzen-Kalkulation [Her09]. Werden die Kosten als zu hoch wahrgenommen, entsteht die Vorstellung Sicherheitsmechanismen sind ein Hindernis, das es zu umgehen gilt. Nach Ansicht von Lampson [Lam09] hat sich bei vielen Anwendern ein Sag OK zu jeglichen Sicherheitsfragen -Modell entwickelt. Die zunehmende Anzahl von Checkboxen, die eine Rückmel- dung der Nutzer haben möchten, haben dazu geführt, dass die Anwender herausgefunden haben, welchen Knopf sie drücken müssen, um ungestört ihrer Arbeit weiter nachgehen zu können [SEA + 09, KFR10]. Ein weiterer Einflußfaktor auf das Bild der IT-Sicherheit vieler Anwender ist ihr soziales Umfeld. Verhalten sich Anwender sicherheitsbewusst, werden sie oft als paranoid oder pedantisch beschrieben [SBW01, WS01] oder als eine Person, die niemandem vertraut. Da die Anwender sehr viel Wert darauf legen von ihrem Umfeld akzeptiert zu werden, gehen sie sogar so weit offen zuzugeben, dass sie stolz darauf sind, Sicherheitsmechanismen nicht zu verstehen oder nicht zu befolgen [SBW01]. Die obigen Publikationen beschreiben mentale Modelle der Anwender zur IT-Sicherheit der klassischen Rechnersysteme. Bei der Nutzung mobiler Endgeräte fehlen jedoch bisher mentale Modelle der IT-Sicherheit. Im folgenden Abschnitt wird unser Vorgehen zur
Mentale Modelle der IT-Sicherheit bei der Nutzung mobiler Endgeräte 9 Erstellung solcher mentalen Modelle sowie die daraus resultierenden Ergebnisse vorgestellt. 3 Studien zur IT-Sicherheit bei der Nutzung mobiler Endgeräte Ein erster Überblick über den Themenkomplex Anwender und ihr mobiles Endgerät wurde durch die Erstellung einer Pilotstudie verschafft. In der Hauptuntersuchung wurden anschließend mentale Modelle der IT-Sicherheit bei der Nutzung mobiler Endgeräte erstellt. Beide Untersuchungen wurden anhand eines Fragebogens als Leitfaden-Interviews durchgeführt. 3.1 Pilotstudie In der Pilotstudie wurde die Nutzung mobiler Endgeräte betrachtet. Es haben sich zwei mentale Grundmodelle bei der Nutzung mobiler Endgeräte herauskristallisiert. Zum einen gibt es Anwender, die ihr Endgerät nur als konventionelles Telefon-Gerät sehen. Trotz eines deutlichgrößeren Funktionsumfanges, nutzen sie ihr Gerät fast ausschließlich zum Telefonieren oder Schreiben von Kurznachrichten. Zum anderen gibt es Nutzer, die ihr Endgerät als Smartphone sehen. Bei diesen übersteigt die tägliche Nutzung deutlich den Rahmen konventioneller Telefon-Geräte: sie surfen im Internet, schreiben E-Mails oder tauschen sich über soziale Netzwerke aus. Diese mentalen Grundmodelle ( Telefon vs. Smartphone ) wurden in der Hauptuntersuchung detaillierter betrachtet. Weiter konnte in der Pilotstudie festgestellt werden, dass sich Nutzer wenig mit der IT- Sicherheit ihres Endgeräts befassen. Sie fühlen sich oft sicher bei der Nutzung ihres mobilen Endgeräts, ohne sich in den Themenkomplex einzuarbeiten oder eigene Anstrengungen für IT-Sicherheit im mobilen Umfeld zu unternehmen. 3.2 Hauptuntersuchung Das Ziel der Hauptuntersuchung war eine detaillierte Beschreibung der Sichtweise der Nutzer auf die IT-Sicherheit ihrer mobilen Endgeräte. 3.2.1 Hypothesen Auf Grundlage der Untersuchungen und Ergebnisse der Pilotstudie wurden unter anderem folgende Hypothesen aufgestellt: H1: Benutzer, die ihr Gerät als Smartphone sehen, haben ein größeres Sicherheitsbewusstsein als Benutzer, die ihr Gerät als Telefon sehen.