Cybersecurity verstehen.
Klar entscheiden.

EDR überwacht Endgeräte fortlaufend, zeichnet sicherheitsrelevante Aktivitäten auf und erkennt auffälliges Verhalten. Bei einem Vorfall können Analysten Prozesse untersuchen, Geräte isolieren oder schädliche Aktivitäten stoppen.

XDR führt Sicherheitsdaten aus Endpoints, Identitäten, E-Mail, Netzwerk und Cloud zusammen. Zusammenhängende Signale werden zu einem Vorfall korreliert, damit Angriffsketten schneller erkannt und bearbeitet werden können.

Eine EPP schützt Endgeräte präventiv, etwa durch Anti-Malware, Exploit-Schutz, Gerätekontrolle und lokale Firewall-Funktionen. Im Unterschied zu EDR liegt der Schwerpunkt stärker auf dem Verhindern bekannter und verdächtiger Aktivitäten.

Ein SIEM sammelt und normalisiert Protokolldaten aus vielen Systemen. Regeln, Korrelationen und Analysen erkennen verdächtige Ereignisse und unterstützen Alarmierung, Untersuchung, Reporting und Nachweisführung.

SOAR verbindet Sicherheitswerkzeuge und automatisiert wiederkehrende Abläufe mit Playbooks. Dazu gehören etwa das Anreichern eines Alarms, das Sperren eines Kontos, das Isolieren eines Endgeräts oder das Erstellen eines Tickets.

Ein SOC ist die organisatorische und technische Funktion zur kontinuierlichen Überwachung, Erkennung, Analyse und Koordination von Sicherheitsvorfällen. Es kann intern, extern oder als hybrides Modell betrieben werden.

Ein IDS untersucht Netzwerkverkehr oder Host-Aktivitäten auf bekannte Angriffsmuster und Anomalien. Es meldet verdächtige Aktivitäten, greift in der Regel aber nicht selbst blockierend in die Verbindung ein.

Ein IPS analysiert Datenverkehr inline und kann erkannte Angriffe automatisch blockieren, Pakete verwerfen oder Verbindungen beenden. Fehlalarme und Regelqualität müssen deshalb besonders sorgfältig gesteuert werden.

UEBA analysiert das Verhalten von Benutzern, Konten, Geräten und anderen Entitäten. Abweichungen von einem erlernten oder definierten Normalverhalten können auf kompromittierte Konten, Insider-Risiken oder missbräuchliche Nutzung hinweisen.

Ein CSIRT ist ein spezialisiertes Team zur koordinierten Behandlung von Cybersecurity-Vorfällen. Es übernimmt Triage, Analyse, Eindämmung, Kommunikation und die Abstimmung mit internen oder externen Stellen.

Eine WAF prüft HTTP- und HTTPS-Anfragen an Webanwendungen. Sie kann typische Angriffe wie SQL Injection oder Cross-Site Scripting erkennen und blockieren, ersetzt aber keine sichere Softwareentwicklung.

Ein CASB schafft Transparenz und setzt Sicherheitsrichtlinien bei der Nutzung von Cloud-Diensten durch. Typische Funktionen sind Shadow-IT-Erkennung, Zugriffskontrolle, Data Loss Prevention und die Bewertung riskanter Aktivitäten.

Eine NGFW erweitert klassische Firewall-Regeln um Anwendungs- und Benutzererkennung, Intrusion Prevention, URL-Filterung sowie häufig Malware- oder TLS-Analyse.

NAC prüft Benutzer und Geräte, bevor sie Zugang zu einem Netzwerk erhalten. Identität, Gerätezustand und Richtlinienkonformität bestimmen, ob ein Zugriff erlaubt, eingeschränkt oder blockiert wird.

ZTNA gewährt Zugriff auf einzelne Anwendungen statt pauschal auf ein ganzes Netzwerk. Jede Anfrage wird anhand von Identität, Gerät, Kontext und Richtlinie bewertet; Vertrauen wird nicht allein aus dem Netzwerkstandort abgeleitet.

SASE verbindet Netzwerkfunktionen und cloudbasierte Sicherheitsdienste, etwa SD-WAN, Secure Web Gateway, CASB, Firewall-as-a-Service und ZTNA, in einem gemeinsamen Architekturmodell.

DLP bezeichnet Prozesse und Technologien, die sensible Informationen erkennen und unzulässige Übertragung, Freigabe oder Speicherung verhindern. Kontrollen können an Endpoints, in E-Mail, Netzwerk und Cloud greifen.

CSPM prüft Cloud-Konfigurationen kontinuierlich auf Fehlkonfigurationen, Richtlinienverstöße und Abweichungen von Sicherheitsbaselines. Ergebnisse werden priorisiert und häufig mit automatisierten Korrekturen verknüpft.

CWPP schützt Cloud-Workloads wie virtuelle Maschinen, Container und Serverless-Funktionen. Die Plattform verbindet typischerweise Schwachstellenprüfung, Laufzeitschutz, Konfigurationskontrolle und Workload-Telemetrie.

IAM umfasst Prozesse und Systeme zur Verwaltung digitaler Identitäten und ihrer Berechtigungen über den gesamten Lebenszyklus – vom Eintritt über Rollenwechsel bis zum Austritt.

MFA verlangt mindestens zwei unabhängige Faktoren aus den Kategorien Wissen, Besitz und biometrische Merkmale. Ein gestohlenes Passwort allein reicht dadurch nicht mehr für den Zugriff.

PAM schützt besonders mächtige Konten und Zugriffe. Typische Funktionen sind Passwort-Tresor, zeitlich begrenzte Rechte, Freigabeworkflows, Sitzungsaufzeichnung und Überwachung privilegierter Aktivitäten.

SSO ermöglicht nach einer zentralen Anmeldung den Zugriff auf mehrere Anwendungen. Es verbessert Bedienbarkeit und zentrale Kontrolle, erhöht aber zugleich die Bedeutung eines gut geschützten Identity Providers.

Bei RBAC werden Berechtigungen Rollen statt einzelnen Personen zugeordnet. Benutzer erhalten Rollen entsprechend ihrer Aufgaben, wodurch Rechte konsistenter vergeben und überprüft werden können.

Eine PKI stellt digitale Zertifikate und Schlüssel für sichere Identitäten, Verschlüsselung und Signaturen bereit. Sie umfasst unter anderem Zertifizierungsstellen, Registrierungsprozesse, Sperrung und Lebenszyklusmanagement.

Ein HSM erzeugt, speichert und verwendet kryptografische Schlüssel in besonders geschützter Hardware. Kritische Schlüssel müssen das Modul für kryptografische Operationen nicht im Klartext verlassen.

OAuth 2.0 ist ein Framework für delegierte Autorisierung. Eine Anwendung kann begrenzten Zugriff auf Ressourcen erhalten, ohne dass der Benutzer sein Passwort an diese Anwendung weitergeben muss.

OIDC ergänzt OAuth 2.0 um eine standardisierte Identitätsschicht. Anwendungen können Benutzer authentisieren und definierte Identitätsinformationen vom Identity Provider erhalten.

Die BIA untersucht, welche Folgen der Ausfall von Geschäftsprozessen, Informationen und IT-Services hat. Sie identifiziert Kritikalitäten, Abhängigkeiten und zeitliche Wiederherstellungsanforderungen.

Ein BCP beschreibt, wie kritische Geschäftsaktivitäten bei einer schwerwiegenden Störung aufrechterhalten oder in akzeptabler Zeit fortgeführt werden. Er umfasst Rollen, Ausweichverfahren, Kommunikation und Abhängigkeiten.

Ein DRP legt Verfahren zur Wiederherstellung von IT-Systemen, Daten und Infrastruktur nach einem schweren Ausfall fest. Er beschreibt Reihenfolge, Verantwortliche, Abhängigkeiten, Backups, Failover und Rückkehr zum Normalbetrieb.

Die MTD ist die längste Gesamtdauer, die ein Prozess oder Service ausfallen kann, bevor die Folgen für die Organisation nicht mehr akzeptabel sind. Das RTO sollte deshalb innerhalb der MTD liegen.

Ein IRP beschreibt Rollen, Eskalationswege, Entscheidungsbefugnisse und Abläufe für Sicherheitsvorfälle. Er deckt Vorbereitung, Erkennung, Analyse, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung ab.

Das RPO beschreibt den maximal tolerierbaren Datenverlust in Zeit. Ein RPO von vier Stunden bedeutet, dass im Ernstfall höchstens die Änderungen der letzten vier Stunden verloren gehen dürfen.

Das RTO ist die angestrebte Zeit, innerhalb der ein ausgefallener Prozess oder Service nach einer Störung wiederhergestellt sein soll. Es wird aus der BIA abgeleitet und beeinflusst Architektur, Personal und Kosten.

MTTD misst die durchschnittliche Zeit zwischen dem Beginn eines sicherheitsrelevanten Ereignisses und seiner Erkennung. Die Kennzahl hilft, die Wirksamkeit von Monitoring und Detection Use Cases zu bewerten.

MTTR misst je nach Definition die durchschnittliche Zeit bis zur Reaktion, Behebung oder Wiederherstellung. Organisationen müssen deshalb eindeutig festlegen, welches Start- und Endereignis sie messen.

CVE ist ein standardisiertes Verzeichnis öffentlich bekannter Schwachstellen. Eine CVE-ID identifiziert einen konkreten Eintrag eindeutig und erleichtert den Austausch zwischen Herstellern, Scannern, Behörden und Anwendern.

CVSS beschreibt technische Merkmale und Schwere einer Schwachstelle mit einem standardisierten Vektor und einem Wert von 0 bis 10. Aktuelle Bedrohungslage und eigene Umgebung können in die Bewertung einbezogen werden.

KEV bezeichnet Schwachstellen, für die eine tatsächliche Ausnutzung bekannt ist. Der von CISA gepflegte KEV-Katalog ist eine wichtige Quelle, um aktiv ausgenutzte Schwachstellen höher zu priorisieren.

Eine SBOM ist eine strukturierte Liste der Softwarekomponenten und Abhängigkeiten eines Produkts. Sie erleichtert die Prüfung, ob ein Produkt von einer neu bekannt gewordenen Schwachstelle betroffen ist.

SAST untersucht Quellcode, Bytecode oder Binärdateien ohne Ausführung der Anwendung. Sicherheitsprobleme können dadurch früh im Entwicklungsprozess erkannt werden.

DAST testet eine laufende Anwendung von außen und sucht nach ausnutzbaren Schwachstellen. Es benötigt keinen Quellcode, sieht aber nicht jede interne Ursache eines Problems.

CTI ist das zielgerichtete Sammeln, Bewerten und Analysieren von Informationen über Bedrohungen. Aus Rohdaten entsteht entscheidungsrelevantes Wissen für Strategie, Priorisierung, Erkennung und Reaktion.

Ein IoC ist ein beobachtbares Merkmal, das auf eine mögliche Kompromittierung hinweist, etwa ein Datei-Hash, eine Domain, IP-Adresse oder Registry-Änderung. IoCs können schnell veralten und benötigen Kontext.

TTPs beschreiben Ziele, Vorgehensweisen und konkrete Umsetzungen von Angreifern. Sie sind langlebiger als viele technische IoCs und werden beispielsweise im MITRE-ATT&CK-Modell strukturiert.

APT bezeichnet einen zielgerichteten, ressourcenstarken und längerfristigen Angriff. Angreifer versuchen, unbemerkt Zugriff aufzubauen, aufrechtzuerhalten und strategische Ziele wie Spionage oder Sabotage zu erreichen.

Ein ISMS ist das Managementsystem, mit dem eine Organisation Informationssicherheit risikobasiert plant, umsetzt, überwacht und verbessert. Es verbindet Governance, Risiken, Richtlinien, Kontrollen, Nachweise und kontinuierliche Verbesserung.

Die Erklärung zur Anwendbarkeit dokumentiert, welche Referenzkontrollen aus ISO 27001 Anhang A für das ISMS relevant sind, ob sie umgesetzt werden und warum Kontrollen ein- oder ausgeschlossen wurden.

Die CIA-Triade beschreibt die Kernziele der Informationssicherheit: Vertraulichkeit verhindert unbefugte Offenlegung, Integrität schützt Richtigkeit und Vollständigkeit, Verfügbarkeit sichert rechtzeitigen Zugriff.

PDCA ist ein Zyklus für kontinuierliche Verbesserung: planen, umsetzen, Wirksamkeit prüfen und auf Basis der Ergebnisse nachsteuern. Die ISO-Managementsystemstruktur bildet diesen Gedanken über ihre Kapitel hinweg ab.

Ein KPI misst Leistung oder Fortschritt eines Sicherheitsprozesses, etwa MFA-Abdeckung oder fristgerechte Schwachstellenbehebung. Gute Kennzahlen besitzen Definition, Datenquelle, Zielwert, Verantwortlichen und Messintervall.

Ein KRI zeigt eine Veränderung der Risikolage oder das Überschreiten definierter Toleranzen an. Beispiele sind überfällige kritische Schwachstellen, ungetestete Wiederherstellungspläne oder privilegierte Konten ohne MFA.

Der Risikobehandlungsplan dokumentiert, wie nicht akzeptable Informationssicherheitsrisiken behandelt werden. Er enthält Maßnahmen, Verantwortlichkeiten, Prioritäten, Ressourcen, Termine und den erwarteten Zielzustand.