Secure Remote Access: VPN, ZTNA und reale Produktionsrisiken

Secure Remote Access ist in vielen Organisationen zur kritischen Produktionsfunktion geworden: Ohne verlässlichen Fernzugriff stehen Betrieb, Incident Response, Wartung und Geschäftsprozesse still. Gleichzeitig ist Remote Access ein bevorzugter Angriffspfad, weil er Identitäten, Endgeräte, Netzwerke und Anwendungen an einer Stelle zusammenführt – oft unter Zeitdruck und mit vielen Ausnahmen. Wer Secure Remote Access richtig umsetzt, muss…

Zero Trust: Praktische Kontrollen pro OSI-Schicht (kein Buzzword)

Zero Trust: Praktische Kontrollen pro OSI-Schicht (kein Buzzword) klingt zunächst wie ein akademisches Modell. In der Realität ist es jedoch ein sehr pragmatischer Ansatz, wenn man ihn konsequent als System aus überprüfbaren Kontrollen versteht: „Niemals automatisch vertrauen, immer verifizieren, möglichst wenig erlauben, kontinuierlich beobachten.“ Der häufigste Fehler ist, Zero Trust als einzelnes Produkt, als „neue…

Cloud Network Security: Underlay/Overlay-Mapping mit OSI

Cloud Network Security wird oft so behandelt, als bestünde sie hauptsächlich aus Security Groups, Firewalls und ein paar Routenregeln. In der Praxis ist das zu kurz gedacht, denn Cloud-Netzwerke sind fast immer als Zusammenspiel aus Underlay (physische Provider-Infrastruktur) und Overlay (virtuelle, mandantenfähige Netzschicht) umgesetzt. Genau hier entsteht ein typisches Missverständnis: Teams modellieren Risiken und Kontrollen…

NAC + EDR + NDR: OSI-schichtbasierte Telemetrie zusammenführen

NAC + EDR + NDR: OSI-schichtbasierte Telemetrie zusammenführen ist einer der schnellsten Wege, um aus vielen Einzelsignalen ein belastbares Lagebild zu bauen. In vielen Unternehmen existieren Network Access Control (NAC), Endpoint Detection & Response (EDR) und Network Detection & Response (NDR) bereits – aber sie arbeiten nebeneinander, mit unterschiedlichen IDs, Zeitstempeln und Kontexten. Das Ergebnis…

Security Requirements pro OSI-Schicht für Infrastrukturprojekte schreiben

Security Requirements pro OSI-Schicht für Infrastrukturprojekte schreiben ist eine der zuverlässigsten Methoden, um Sicherheitsziele in umsetzbare, prüfbare Anforderungen zu übersetzen. Viele Infrastrukturvorhaben scheitern nicht an fehlenden Security-Tools, sondern an unscharfen Formulierungen wie „Netzwerk muss sicher sein“ oder „verschlüsseln nach Stand der Technik“. Solche Sätze helfen weder Architektur-Teams noch Einkauf, Betrieb oder Incident Response. Ein OSI-basiertes…

Zertifikatsablauf als Security Incident: Wie man präventiv vorbeugt

Ein Zertifikatsablauf als Security Incident wird in vielen Organisationen noch immer wie ein reines Betriebsproblem behandelt: „Service ist kurz down, Zertifikat erneuern, fertig.“ In der Praxis ist ein abgelaufenes Zertifikat jedoch häufig mehr als eine Verfügbarkeitsstörung. Es kann eine Sicherheitslücke erzeugen (etwa wenn Teams in der Hektik auf unsichere Workarounds ausweichen), es kann Incident-Response-Kapazitäten binden,…

HSTS, OCSP Stapling und selten diskutierte L6-Praktiken

HSTS, OCSP Stapling und selten diskutierte L6-Praktiken werden in vielen Unternehmen als „Web-Feinschliff“ betrachtet – bis ein Incident zeigt, dass genau diese Details über echte Sicherheit, Verfügbarkeit und Vertrauen entscheiden. Auf OSI-Layer 6 (Presentation Layer) geht es praktisch um die robuste, konsistente und überprüfbare Darstellung von Daten und die Absicherung der Transportverschlüsselung: TLS-Versionen, Zertifikatsvalidierung, Revocation-Mechanismen,…

End-to-End-Verschlüsselung vs. Offload: Auswirkungen auf Forensics und IR

Die Debatte End-to-End-Verschlüsselung vs. Offload ist längst kein rein architektonisches Thema mehr, sondern eine operative Frage für Security Operations, Forensik und Incident Response (IR). Während Ende-zu-Ende-Verschlüsselung (E2EE) den Inhalt von Kommunikation konsequent vor Zwischenstellen schützt, verlagert Offload-Modelle die kryptografische Terminierung an zentrale Komponenten wie Load Balancer, Reverse Proxies, API-Gateways oder Service-Mesh-Ingress. Das hat direkte Auswirkungen…

Layer-7-Security: WAF, API Security und Application Abuse

Layer-7-Security ist heute der Bereich, in dem sich viele moderne Angriffe entscheiden – nicht, weil Firewalls und Netzwerksegmentierung unwichtig wären, sondern weil Anwendungen und APIs die eigentliche Geschäftslogik tragen. Genau dort greifen Angreifer an: mit Credential Stuffing, Session-Hijacking, API-Missbrauch, Bot-Traffic, Injection-Varianten, Business-Logic-Abuse oder gezielten Enumeration-Techniken, die in klassischen Netzwerkmetriken kaum auffallen. Für SecOps und AppSec…

OWASP Top 10 aus Sicht der OSI Layer 7

Die OWASP Top 10 aus Sicht der OSI Layer 7 zu betrachten, ist ein sehr praktischer Ansatz für Security Engineers, SecOps und AppSec-Teams: Layer 7 ist die Ebene, auf der Geschäftslogik, Identitäten, Sessions, APIs und Datenflüsse zusammenlaufen. Genau dort entstehen die meisten modernen Sicherheitsvorfälle – nicht unbedingt, weil Netzwerk- oder Transportkontrollen fehlen, sondern weil Anwendungen…