SC100: Cyber Security Foundation

Agenda:

• • Erstellung von Angriffsszenarien auf Firmen anhand von öffentlich sichtbaren Vektoren als moderierte Live-Demo
    
    

  • Diskussion und kreative Auslassung von Angriff und Verteidigung

    • Wie wirken Offense und Defense aufeinander?

    • Neue Dimension: KI-basierte Angriffe und Angriffe auf KI-Systeme – eine neue Klasse von Bedrohungen und wie man diesen beikommt (Prompt Injection, Jailbreaks, Data Poisoning, Modell-Diebstahl – Orientierung an OWASP Top 10 for LLM Applications)

    • Agentische KI-Systeme als neue Angriffsfläche: autonome Agenten, Tool-Anbindungen (z. B. via MCP) und deren Absicherung nach Least Privilege und Least Capability

    • Verteidigung durch KI-gestützte Abwehrmechanismen wie Machine Learning für Anomalieerkennung, automatisierte Threat-Hunting-Systeme und KI-Copiloten im SOC

    • Einbindung aktueller Infosec-Vorfälle (z. B. Ransomware-Trends mit Double/Triple Extortion, Supply-Chain-Angriffe, KI-gestützter Betrug und Deepfake-CEO-Fraud)
      
      

  • Vergrößern der Sicherheitsoberfläche (Technik – Organisation – Mensch)

    • Wie stärken Schutzbedarfsklassifizierung, Risikoanalyse, Risk Management, Compliance die Sicherheit?

    • Besonderheiten bei Cloudauslagerungen (Shared-Responsibility-Modell, Vendor-Lock, Geo-Risiko, digitale Souveränität, Exit-Strategie)

    • Vorstellung der Lockhead-Martin Cyber Kill Chain und des MITRE ATT&CK-Frameworks

    • Regulatorik als Treiber der Informationssicherheit – das neue Pflichtenheft

    • NIS-2 und das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG/BSIG-neu): Betroffenheitsprüfung, Registrierungs- und Meldepflichten (24h-Frühwarnung, 72h-Bericht, Abschlussmeldung), die zehn Maßnahmenbereiche des Risikomanagements

    • Persönliche Verantwortung und Haftung der Geschäftsleitung – warum Cybersicherheit Chefsache ist

    • Einordnung von DORA (Finanzsektor), Cyber Resilience Act (Produkte mit digitalen Elementen) und EU AI Act (risikobasierte KI-Regulierung)
      
      

• Standards, Best Practices und Frameworks – was ist der Unterschied und wie setzt man sie ein?

  • Wofür braucht man das? Schutzbedarf feststellen und Compliance-Rahmen erarbeiten. Wie funktioniert der Aufbau von der Strategie über die taktischen Maßnahmen bis zu den operativen Nachweisen?

  • Vorstellung NIST Cybersecurity Framework 2.0, ISO 2700X-Familie, BSI™™ Grundschutz-Standards, weitere relevante Organisationen wie Teletrust, ENISA oder OWASP

  • Mapping von Regulatorik auf Standards: Wie zahlen ISO 27001 und IT-Grundschutz auf NIS-2-Compliance ein?
    
    

• Grundlagen der technischen IT-Sicherheit

  • Aufbau von Netzwerken

  • Sichere Anbindung von lokalen Netzen an das Internet

  • Sichere Nutzung von WLAN

  • Sicherer Einsatz von IPv4 und IPv6
    
    

• Komponenten im Netz

  • Absicherung von Clients und Servern

  • Was machen Gateways, Firewalls und Loadbalancer?

  • Absicherung eines Servers

  • Virtuelle Umgebungen und Container

  • Serverless Computing vs. Microservices – Was ist sicherer?
    
    

• Dienste und Anwendungen im Internet

  • KI-Konzepte: 6 Layers of AI, Least Privilege und Least Capability

  • Schatten-KI im Unternehmen: unkontrollierte Nutzung von KI-Tools erkennen und governen

  • Sichere Nutzung und Betrieb von E-Mail-Lösungen (inkl. SPF, DKIM, DMARC)

  • Sichere Bereitstellung und Nutzung von Webangeboten

  • Absicherung digitaler Lieferketten (Lieferantenbewertung, SBOM, Anforderungen aus NIS-2 und CRA)

  • Sicherer Fernzugriff auf lokale Netze (VPN, Zero Trust Network Access)

  • Identität als neuer Perimeter

  • Identity-basierte Angriffe: Phishing-resistente vs. klassische MFA, MFA-Fatigue, Session-Token-Diebstahl

  • Moderne Authentifizierung mit Passkeys/FIDO2 und Identity & Access Management
    
    

• Wie entstehen Schwachstellen und wie bekommt man sie in den Griff?
  
  

• Workshop: Entdeckung und Schwächung von Vulnerabilitäten durch technische, menschliche und organisatorische Maßnahmen an verschiedenen Szenarien
  
  

• Grundlagen des Social Engineering

  • Psychologische Grundlagen

  • OSINT und Information Gathering

  • Typische Angriffs-Szenarien (Phishing, Vishing, Lishing, Smishing, Deepfakes, Tailgating, Spoofing)

  • KI-verstärktes Social Engineering: hyperpersonalisierte Phishing-Kampagnen, Voice Cloning, Deepfake-Videokonferenzen

  • Verteidigung gegen SE-Attacken (inkl. Training im Erkennen KI-erzeugter Inhalte)
    
    

• Lagebild des Cybercrime

  • Hacktivisten, Nation State Actors, Commercial Hackers, Skriptkiddies – und Cybercrime-as-a-Service als Geschäftsmodell

  • Darknet, Deepweb, Trojaner/Viren/Würmer, Infostealer, WLAN- und USB-Attacken, DDoS, Ransomware, Lateral Movement in Berechtigungssystemen (am Beispiel von Active Directory und Entra ID)
    
    

• Aufbau eines resilienten ISMS

  • Zweckbestimmung, Sammeln der Stakeholder, Wahl des Systems, Risikoanalyse, Bestimmung der Rollen und Funktionen, Compliance, Governance, Erstellen von Richtlinien, Sicherheitskonzepten und Maßnahmen

  • Das ISMS als Rückgrat der NIS-2-Compliance: von der Gap-Analyse zum Nachweis gegenüber der Aufsicht
    
    

• Technologie zur Cybersicherheit:

  • Präventiv: Firewalls, Proxy, Segmentierung, Hardening, IAM, Kryptografie (klassische Verfahren, Schlüsselmanagement, Zero-Trust-Ansätze, Post-Quantum-Kryptografie und Migrationspfade nach BSI™- und NIST-Empfehlungen), Patching, Backup

  • Detektiv: Advanced Analytics, Virenschutz (Signatur/Heuristik/NextGen), EDR/XDR, NBAD (Network Behavior Anomaly Detection), Mailprotection, Honeypots

  • Reaktiv: Quarantäne, Behaviour Blocking, SIEM, SOC, CERT, Forensik, Incident Response inkl. gesetzlicher Meldeprozesse

  • Prädiktiv: Darknetüberwachung/Underground Spotting, Threat Intelligence, Bug Bounty, BCM, BIA
    
    

• BCM – Notfallvorsorge und Maßnahmen zur Resilienz

  • Wie bereitet man sich auf das Unerwartete vor (Black Swan, N.N.Taleb)?

  • Resilienz als regulatorische Anforderung: Business Continuity und Krisenmanagement unter NIS-2 und DORA
    
    

• Awareness – Kampagnenaufbau, Fehlerkultur, Teambuilding, Lighthouse-Projekte, Schulungspflichten für Geschäftsleitung und Mitarbeitende
  
  

Ziele:

• Vertiefen Sie Ihr Wissen über die Wechselwirkung von Angriff und Verteidigung bei den zentralen Komponenten Technologie, Organisation und Mensch.

• Lernen Sie Maßnahmen zur Sicherstellung eines anvisierten Sicherheitsniveaus kennen und erfahren Sie, wie die Häufigkeit, Schadenshöhe und Eintrittswahrscheinlichkeit behandelt werden, um ein Risiko zu minimieren.

• Bekommen Sie einen Überblick über die wichtigsten aktuellen Sicherheitsstandards und deren Zusammenwirken.

• Verstehen Sie die neuen regulatorischen Anforderungen aus NIS-2, DORA, Cyber Resilience Act und EU AI Act – und wie Sie diese pragmatisch mit einem ISMS abdecken, statt jede Regulierung isoliert zu behandeln.

• Erleben Sie den Einsatz von Kryptografie im modernen Sicherheitsumfeld – von alltäglicher Datenverschlüsselung bis zu post-quantenresistenten Verfahren und deren Migrationsplanung.

• Vervollständigen Sie Ihre Grundlagen: Von den Ursprüngen der deutschen Hackerundergroundszene, über die Gründung der ENISA und des BSI™, die Best Practices beim Aufbau eines ISMS bis zu den Lieblingscontrols der Auditoren.

• Reflektieren Sie anhand realer, aktueller Vorfälle die Rolle von KI in Angriff und Verteidigung – von KI-gestütztem Betrug über agentische KI-Systeme bis zur Absicherung eigener KI-Anwendungen – und erlernen Sie Strategien für den Umgang mit neuen Bedrohungen.

• Trainieren Sie mit einem erfahrenen Hacker und Social Engineer Ihre eigenen Social Skills – inklusive Erkennung von Deepfakes und KI-basierten Social-Engineering-Attacken – und kreieren Sie in Gruppenarbeit ein eigenes Awarenessprogramm.

• Bereiten Sie sich und Ihre Kollegen mit Best Practices des Resilienz- und IT-Notfallmanagements auf den Fall der Fälle vor – inklusive der neuen gesetzlichen Meldeprozesse.

Zielgruppe:

Der Workshop C100 Cyber Security Foundation richtet sich an erfahrene sowie bereits etablierte und auch neue Mitarbeiter im Bereich Informationssicherheit.
Er ist besonders geeignet für Teilnehmer, die bisher wenig Berührung mit der ganzen Themenbreite der Informationssicherheit hatten, weil sie zum Beispiel eher Experte in einem bestimmten Themenbereich sind und nun einen Blick über den Tellerrand werfen wollen. Angesprochen sind darüber hinaus Fach- und Führungskräfte, die durch neue regulatorische Anforderungen (insbesondere NIS-2) Verantwortung für Informationssicherheit übernehmen – etwa Informationssicherheitsbeauftragte, IT-Verantwortliche, Compliance- und Risikomanager sowie Mitglieder der Geschäftsleitung, die ihrer gesetzlichen Schulungspflicht nachkommen möchten.

Voraussetzungen:

Beschreibung: