Prof. Dr. Stefan Katzenbeisser ist Inhaber des Lehrstuhls für Technische Informatik an der Universität Passau. In den vergangenen Jahren fungierte er als Sprecher des Bayerischen Forschungsverbunds ForDaySec zur Verbesserung der IT-Sicherheit im digitalen Alltag. Im Fokus stand dabei nicht primär die technische Perspektive, sondern es ging um alltagstaugliche Lösungen, die an der Lebens- und Arbeitswelt der Menschen ansetzen. Beteiligt waren neben Informatikerinnen und Informatikern auch Forschende aus der Soziologie, Ethnografie und Rechtswissenschaft aus ganz Bayern. Gefördert wurde der Verbund vom Bayerischen Staatsministerium für Wissenschaft und Kunst.
Welche Erkenntnis aus ForDaySec hat Sie am meisten überrascht?
Uns hat wohl alle erstaunt, wie heterogen die IT-Infrastrukturen in den Haushalten sind. Wir haben eine Mischung aus ganz alten Systemen gesehen, alten PCs etwa, die eigentlich schon längst ausgedient haben, aber immer noch genutzt werden. Gleichzeitig gibt es kleine Smart-Home-Geräte, die zu größeren Infrastrukturen kombiniert werden. Und wir sehen auch Hacks, die von den Besitzerinnen und Besitzern selbst zusammengebaut wurden – mit Wissen aus YouTube-Videos oder von der KI.
Wie sind Sie bei der Erforschung des digitalen Alltags vorgegangen?
Wir haben in dem Projekt interdisziplinär gearbeitet. Beteiligt waren beispielsweise Soziologinnen und Soziologen von der Friedrich-Alexander-Universität Erlangen-Nürnberg. Diese sind im ersten Schritt in die Haushalte gegangen und haben sich vor Ort kundig gemacht. Wie wird die Technik genutzt? Was sind die Probleme im Alltag? Basierend auf diesen Feldstudien haben wir im Forschungsverbund dann übergreifende Probleme definiert.
Aftermovie zur Abschlussveranstaltung des Bayerischen Forschungsverbunds ForDaySec unter anderem mit Statements von Prof. Dr. Stefan Katzenbeisser (Universität Passau), Tech-Journalistin Eva Wolfangel, Prof. Dr. Thomas Riehm (Universität Passau), Prof. Dr. Dominik Herrmann (Universität Bamberg) und Mirjam Hauck, Wirtschaftsredakteurin bei der Süddeutschen Zeitung. Zum Nachbericht
Was sind die häufigsten Schwachstellen in der digitalen Alltagssicherheit?
Das gravierendste Problem sind fehlende Updates, also Fälle, in denen Geräte über den Lebenszyklus hinaus in Betrieb bleiben und für die die Hersteller keine Updates mehr bereitstellen. Diese Geräte sind im Grunde völlig ungeschützt. Eine weitere Herausforderung sind heterogene Infrastrukturen. Hinzu kommt mangelndes Wissen auf Seiten der Nutzenden, wie man sichere Systeme baut. Dabei wären viele durchaus motiviert. Aber es scheitert häufig an fehlenden Kenntnissen und begrenzten Ressourcen.
Wo haben Sie Forschungslücken festgestellt? Wo ist Bedarf an Grundlagenforschung?
Wir haben im Rahmen von ForDaySec ein gutes Verständnis dafür entwickelt, wo die Probleme liegen. Es fehlen Sicherheitslösungen, die sich einfach in den Alltag der Menschen integrieren lassen. Da ist noch viel Forschung nötig. Der ganze Bereich des Human-Centred Design – also die Entwicklung von praktikablen Lösungen, die an den Nutzungsgewohnheiten der Menschen ansetzen – ist bislang im Kontext der Alltagssicherheit noch deutlich unterentwickelt.
In ForDaySec haben Sie dafür mit dem Sicherheitsmonitor einen ersten Prototyp entwickelt. Was ist die Idee dahinter?
Der Ansatz zielt darauf ab, Geräte, die keine Sicherheitsupdates mehr erhalten oder als unsicher gelten, vom Netz zu isolieren – also von außen zu kapseln. Auf diese Weise lassen sie sich weiterhin betreiben, ohne dass von ihnen ein Sicherheitsrisiko ausgeht. Es ist ein Konzept mit viel Potenzial und von dem ich hoffe, dass es aufgegriffen wird.
Private Haushalte als Sicherheitsrisiko – kürzlich hat der Verfassungsschutz speziell vor alten Routern gewarnt. Was macht sie zu einem attraktiven Ziel für Angreifer?
Angreifer haben vor allem Interesse an der vorhandenen Rechenleistung dieser Geräte, also vor allem an ihrer Nutzung für sogenannte Distributed Denial of Service Angriffe. Ein Botnetz von Millionen Hausgeräten kann gebündelt Anfragen an ein Zielsystem senden, um es zu überlasten und lahmzulegen. Das ist ein typisches Szenario: Ein alter Router wird zum Angriffspunkt, von dem aus Angreifer weitere kriminelle Aktionen starten können.
Also private Haushalte als Einstieg für Angriffe auf kritische Infrastrukturen?
Ja, das ist möglich.
Was können Haushalte tun, um sich zu schützen? Braucht es dafür teure Software?
Prinzipiell muss man nicht viel Geld investieren, um sicher zu sein. Schon mit einfachen Vorkehrungen lässt sich viel erreichen. So kann man beispielsweise mehrere Netzwerke im Haus einrichten: IoT-Geräte kommen in ein separates Netzwerk, das keinen Zugriff auf die kritischen Bereiche hat, also auf PCs oder Festplatten. Das wäre bereits ein großer Schritt. Updates sind essenziell, denn Softwarefehler stellen nach wie vor die größte Schwachstelle dar. Wer diese Fehler konsequent durch Patches und Updates beseitigt, erreicht ein Sicherheitsniveau, das deutlich über den üblichen Haushaltsstandards liegt.
ForDaySec hat festgestellt, dass reine Technikwarnungen nicht viel bringen. Was müsste passieren, damit Haushalte sich ihres Sicherheitsrisikos bewusstwerden?
Ich denke, es braucht ein Bündel von Maßnahmen. Auf der Anwenderseite müsste es mehr Problembewusstsein geben, aber auch mehr Unterstützung, um die eigene Haus-Infrastruktur sicher zu managen – etwa durch Best Practices, verständliche Anleitungen und teilweise auch durch Automatisierung, sodass man auch mit wenig Vorwissen sicher handeln kann.
Selbstverständlich sind auch die Hersteller gefragt. Sie sollten Systeme ausliefern, die Secure by Default sind, also Sicherheit fest integrieren, und über die gesamte Lebensdauer des Produkts Updates bereitstellen. Hier wird uns der Cyber Resilience Act der Europäischen Union zugutekommen, der ab Dezember 2027 seine volle Wirkung entfaltet und genau das festschreibt: Hersteller werden verpflichtet, alle Produkte mit digitalen Elementen sicher zu entwickeln und über den vorgesehenen Lebenszeitraum hinweg sicher zu halten. Das wird hoffentlich das Sicherheitsniveau im Alltag deutlich erhöhen.
Angesichts der jüngsten Schlagzeilen über KI-Systeme, die aus ihren Testumgebungen ausgebrochen sind und unkontrolliert agieren: Welche Rolle spielt generative KI in der digitalen Alltagssicherheit?
Die Vorfälle zeigen, dass wir das Thema unbedingt ernst nehmen müssen. Generative KI wird die Cybersicherheit deutlich beeinflussen – sowohl im Positiven als auch im Negativen. Positiv ist, dass der Zugang zu Informationen einfacher wird. Vor allem wenn die KI mit einer Suchfunktion kombiniert ist, können auch Menschen ohne Vorwissen mit einfacher Sprache nützliche Anleitungen und Hinweise erhalten.
Die Schattenseite ist, dass sich Angriffe leichter durchführen lassen. Aktuelle Sprachmodelle – und das verdeutlichen die jüngsten Vorfälle – sind bereits recht gut darin, Code zu generieren, der gezielt verwundbare Software angreift. Hier werden wir sicher noch mehr sehen. Die gute Nachricht ist jedoch, dass die KI bislang keinen fundamental neuen Angriffsweg gefunden hat – alles, was wir sehen, hätte prinzipiell auch ein Mensch entdecken können. Die KI beschleunigt und skaliert diese Prozesse zwar, aber wirklich neuartige Angriffe sind bisher ausgeblieben. Und gegen diese Bedrohungen müssen wir uns ohnehin absichern.
Sind Sie schon einmal auf eine Phishing-Mail hereingefallen?
Tatsächlich habe ich noch nie kritische Daten wie Kreditkartennummern verloren, obwohl die KI das deutlich einfacher macht. Aber wir schützen uns auch deutlich besser dagegen, etwa durch Verfahren wie die Multi-Faktor-Authentifizierung. Ein neues Phänomen bereitet mir mehr Sorgen: Angriffe per Telefon. Es werden Nachrichten abgespielt, die vorgeben, von einer bestimmten Person zu stammen, aber komplett KI-generiert sind. Das Tückische daran ist, dass wir das Telefon tendenziell für vertrauenswürdiger halten als das Internet – was natürlich Unsinn ist. Dadurch steigt aber die Wahrscheinlichkeit, Opfer eines solchen personalisierten Angriffs zu werden.
Wie lässt sich unser Alltag sicher gestalten? Im Profilfeld "Cybersicherheit & Datenschutz" befassen sich unsere Forschenden mit technischen, wirtschaftlichen und rechtlichen Aspekten von IT-Sicherheit. Mehr Informationen zu den Themen und Beteiligten
