In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico
und Ann-Kathrin mit Andreas Krüger, Gründer und Geschäftsführer
von Laokoon SecurITy, über ein Thema, bei dem in der Praxis
ständig Begriffe durcheinandergeworfen werden: Penetrationstests,
und warum gerade im OT- und Hardware-Umfeld vieles anders läuft
als in der klassischen IT. Andreas kommt selbst aus dem
Bundeswehr-Umfeld, hat dort das Hacken von der Pike auf gelernt
und betreibt heute ein eigenes Labor für Hardware- und
OT-Pentests.
Zum Einstieg räumt Andreas mit dem „bunten Blumenstrauß" aus
Pentest, Schwachstellenscan, Red Teaming und Hardware-Hacking
auf. Sein Bild dafür ist eine Pyramide: Sie beginnt unten bei der
konzeptionellen Absicherung, also klaren Dokumenten, Prozessen
und einem sauberen Asset-Management. Darauf folgen der breit
angelegte Schwachstellenscan, der nur bereits bekannte Muster
findet, dann der fokussierte Pentest, der bewusst die
Angreiferperspektive einnimmt und auch unbekannte Lücken sucht,
und schließlich das Red Teaming, das eher Prozesse prüft und im
besten Fall als Purple Teaming gemeinsam mit dem Verteidiger-Team
läuft. Seine klare Botschaft an Unternehmen: Überspringt keine
Stufe der Pyramide, und beginnt mit dem Fundament statt mit der
spektakulären Übung.
Besonders ehrlich wird das Gespräch beim Unterschied zwischen IT
und OT. Ein OT-Pentest ist für Andreas eine „Operation am offenen
Herzen": Man kann nicht einfach einen automatisierten Scanner
über eine laufende Produktionsanlage jagen, sondern braucht
echtes Prozessverständnis, Referenz- oder Laborsysteme und oft
auch den Blick auf physische Sicherheit und Social Engineering.
Genau hier sieht er ein Marktproblem: Immer mehr IT-Beratungen
drängen ohne echte Expertise in den OT-Markt und machen mit
„grünen Häkchen" den Preis kaputt. Wie man einen wirklich
kompetenten Anbieter erkennt, woran man Scharlatane entlarvt und
warum Pentests, die aus Compliance-Gründen unbedingt „grün" sein
müssen, das eigentliche Ziel sabotieren, diskutieren die drei
sehr offen.
Im Gespräch geht es außerdem um:
Den Unterschied zwischen Schwachstellenscan, Pentest, Red
Teaming und Hardware-Hacking, ohne Buzzword-Nebel
Warum Asset-Management und die kritischen Pfade der
Ausgangspunkt jedes sinnvollen Tests sind
Warum ein OT-Pentest „Operation am offenen Herzen" ist und
auf Referenz- statt Produktionssystemen gehört
Wie physische Sicherheit, Social Engineering und sogar
Drohnen ins Spiel kommen
Woran man einen seriösen Anbieter erkennt, und warum manche
Beratungen den OT-Markt kaputtmachen
Warum Compliance-getriebene Pentests, die „grün" sein müssen,
kontraproduktiv sind
Wie oft man wirklich testen sollte, mindestens jährlich und
nach jeder großen Änderung, nicht alle drei Jahre
Welche Rolle KI im Pentesting spielt, stark beim Report und
der Ausbildung, riskant als Ersatz für echtes Verständnis
Warum „Prompt Engineering" kein Pentest ist und
Leidensfähigkeit zum Handwerk gehört
Hardware als Nischenmarkt: offene Debug-Schnittstellen,
Seitenkanalangriffe und Firmware als Goldgrube
Die Anekdote mit dem Computerspiel auf dem Geräte-Display,
das den Hardware-Zugriff beweisen sollte
Lieferketten und digitale Souveränität: zugelieferte Chips,
versteckte Menüs und Europas blinde Flecken
Einsteiger-Tipps für Studierende: erst die Basics verstehen
(TCP/IP, Protokolle), dann Plattformen wie Capture the Flag
Eine sehr praxisnahe Folge für IT- und OT-Verantwortliche,
Sicherheitsbeauftragte, Hersteller und alle, die wissen wollen,
was ein Pentest wirklich leistet, und die nicht erst im Ernstfall
merken wollen, dass „Häkchen grün" eben nicht „sicher" bedeutet.
____________________________________________
Mehr Informationen
Andreas Krüger - LinkedIn Profil
____________________________________________
Reinschauen lohnt sich!
Podcast - Cybersecurity ist Chefsache: @cybersec_ist_chefsache
Podcast - Cybersecurity shall be C-Level priority:
@cybersec_clevel_priority
Podcast - Die Zwei Auftrag: Cybersicherheit: @diezweicyber
Schließe dich uns an, um tiefer in die Welt der digitalen
Sicherheit einzutauchen.
____________________________________________
Du findest mich auf folgenden Social Media Kanälen:
Instagram: cybersec_ist_chefsache
TikTok: cybersec_ist_chefsache
LinkedIn - Nico: nicofreitag
LinkedIn - Ann-Katrin: annkatrin
Kontaktaufnahme - Podcast: Cybersecurity ist Chefsache
____________________________________________
Deine Reise in die Welt der Cyber Security startet hier – ich
freue uns darauf, mich mit dir zu vernetzen.
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.