IT-Security-Glossar

CVE-IDs sind der globale Standard zur Identifizierung von Sicherheitslücken. Jede bekannte Sicherheitslücke erhält eine eindeutige Nummer (z.B. CVE-2024-3094). Erfahren Sie, wie CVE-IDs in Security Advisories, Patch-Management und Compliance verwendet werden.

CWE ist eine standardisierte Liste von Schwachstellentypen wie SQL-Injection oder Pufferüberlauf. Während CVE einzelne Schwachstellen benennt, beschreibt CWE deren Ursache.

Ein Exploit ist Code oder eine Technik, die eine konkrete Sicherheitslücke aktiv ausnutzt. Ob ein Exploit öffentlich bekannt ist, bestimmt maßgeblich die Dringlichkeit eines Patches.

CVSS-Score (0-10) ist der Branchenstandard zur Bewertung von Sicherheitslücken. Der CVSS-Score bewertet Angriffsweg, Komplexität und Schadenpotenzial. Verstehen Sie, wie High, Critical und andere Schweregrade berechnet werden. Für KMUs: Ein CVSS 7.5 mit aktuellem Exploit ist oft kritischer als ein CVSS 9 ohne Exploit.

Der KEV-Katalog der US-Behörde CISA listet Schwachstellen, die nachweislich aktiv ausgenutzt werden. Der wichtigste Signal für sofortige Patch-Priorität: Eine CVSS 7 im KEV ist oft kritischer als CVSS 9 ohne aktive Ausnutzung.

TARA ist eine strukturierte Methode zur Identifikation von Bedrohungen und Bewertung der damit verbundenen Risiken. Sie ist Pflichtbestandteil der IEC 62443, des EU Cyber Resilience Act und der ISO/SAE 21434.

STRIDE ist ein von Microsoft entwickeltes Framework zur Klassifikation von Sicherheitsbedrohungen in sechs Kategorien. Es ist die verbreitetste Methode im Threat Modeling und zentraler Bestandteil von TARA-Prozessen.

Ein Risikoregister listet alle identifizierten Informationssicherheitsrisiken mit Bewertung, Behandlung und Verantwortlichkeit auf. Es ist nach ISO/IEC 27001:2022 Kap. 6.1.2/6.1.3 verpflichtender Bestandteil jedes ISMS und das dokumentierte Ergebnis einer TARA.

Eine Risikomatrix stuft Risiken anhand von Eintrittswahrscheinlichkeit und Schadenshöhe in Kategorien wie niedrig, mittel, hoch und kritisch ein. Sie ist die gängigste Methode zur Priorisierung im Risikoregister nach ISO/IEC 27001.

Eine SBOM ist eine maschinenlesbare Stückliste aller Komponenten und Bibliotheken einer Software. Pflicht im EU Cyber Resilience Act (CRA). Ermöglicht schnelle Beurteilung bei neuen Schwachstellen wie Log4Shell.

CSAF ist ein OASIS-Standard für maschinenlesbare Sicherheits-Advisories im JSON-Format. Er ist die zentrale Grundlage für automatisiertes Schwachstellen-Management nach BSI TR-03183.

Die security.txt ist eine standardisierte Textdatei unter /.well-known/security.txt, die Sicherheitskontakte, Meldewege und die CVD-Policy einer Domain maschinenlesbar bereitstellt, Pflichtbaustein der BSI TR-03183-3.

VEX ist ein auf CSAF basierendes Format, mit dem Hersteller erklären, ob eine bekannte Schwachstelle in einer verbauten Komponente ihr Produkt tatsächlich betrifft. Eine SBOM allein sagt das nicht, und darf laut BSI TR-03183-2 auch keine Schwachstellendaten enthalten.

Ein PSIRT ist die Stelle beim Hersteller, die Schwachstellenmeldungen für die eigenen Produkte entgegennimmt, koordiniert und Advisories veröffentlicht.

CVD ist der abgestimmte Prozess, mit dem Sicherheitsforschende eine Schwachstelle vertraulich an den Hersteller melden, dieser sie behebt und beide Seiten die Lücke erst danach öffentlich machen. Der Cyber Resilience Act verlangt eine veröffentlichte CVD-Policy.

NIS-2 ist die Netz- und Informationssicherheitsrichtlinie der EU. Sie legt Cybersicherheitspflichten für Betreiber kritischer und wichtiger Einrichtungen fest und betrifft deutlich mehr Unternehmen als ihre Vorgängerin.

IT-Notfallmanagement umfasst die vorbereiteten Sofortmaßnahmen, Meldewege und Zuständigkeiten, mit denen ein Unternehmen auf einen IT-Sicherheitsvorfall reagiert.

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für nahezu alle Produkte mit digitalen Elementen festlegt: von Software über IoT-Geräte bis zu industriellen Steuerungen. Ohne CRA-Konformität darf ab Dezember 2027 keine CE-Kennzeichnung mehr erfolgen.

IEC 62443 ist die internationale Normenreihe für Cybersicherheit in industriellen Automatisierungs- und Steuerungssystemen (IACS). Sie definiert Security Levels und ist Pflichtbezug im EU Cyber Resilience Act für OT-Hersteller.

Das Statement of Applicability (SoA) dokumentiert für jeden der 93 Controls aus ISO/IEC 27001:2022 Anhang A, ob er angewendet wird, warum, und wie weit die Umsetzung fortgeschritten ist. Es ist nach Kap. 6.1.3 d) eines von zwei zwingend vorgeschriebenen ISMS-Dokumenten.

Anhang A der ISO/IEC 27001:2022 listet 93 Referenz-Sicherheitsmaßnahmen (Controls) in vier Themen. Er ist die Grundlage für das Statement of Applicability; die ausführliche Umsetzungsanleitung zu jedem Control liefert die begleitende Norm ISO/IEC 27002:2022.

Die BSI TR-03183 ist die Technische Richtlinie des BSI, die beschreibt, wie Hersteller die Anforderungen des EU Cyber Resilience Act technisch umsetzen. Sie besteht aus vier Teilen zu allgemeinen Anforderungen, SBOM, Schwachstellen-Meldungen und Modul H.

Die BSI TR-03185 ist eine Technische Richtlinie des BSI zum sicheren Software-Lebenszyklus. Teil 1 richtet sich an proprietäre Software, Teil 2 an Open-Source-Projekte. Sie regelt Prozesse wie Bedrohungsmodellierung, Code Management und Schwachstellenmanagement und ergänzt die produktbezogene TR-03183.

Die EN-40000-1-x-Reihe ist der horizontale Normenrahmen zum Cyber Resilience Act: vier Teile zu Begriffen, Grundsätzen der Cyberresilienz, Schwachstellenbehandlung und generischen Sicherheitsanforderungen, entwickelt von CEN-CLC/JTC 13. Sie gilt für jedes Produkt mit digitalen Elementen, zusätzlich zu einer produktspezifischen vertikalen Norm.

Eine harmonisierte Norm ist eine europäische Norm, deren Fundstelle die EU-Kommission im Amtsblatt zitiert hat. Wer sie vollständig anwendet, gilt als konform mit den zugehörigen gesetzlichen Anforderungen, ohne jede Anforderung einzeln nachweisen zu müssen.

Die CE-Kennzeichnung bestätigt, dass ein Produkt alle für es geltenden EU-Anforderungen erfüllt. Ab dem 11. Dezember 2027 deckt sie bei Produkten mit digitalen Elementen zusätzlich die Cybersicherheitsanforderungen des Cyber Resilience Act ab. Ohne CRA-Konformität ist dann kein Marktzugang mehr möglich.

Die Konformitätsbewertung ist das Verfahren, mit dem ein Hersteller vor dem Anbringen der CE-Kennzeichnung nachweist, dass sein Produkt die Cybersicherheitsanforderungen des Cyber Resilience Act erfüllt. Je nach Produktklasse ist Selbsterklärung (Modul A) oder eine benannte Stelle (Modul B+C, H) vorgeschrieben.

Eine benannte Stelle ist eine unabhängige, von einer nationalen Behörde akkreditierte und der EU-Kommission gemeldete Prüforganisation, die im Auftrag von Herstellern Konformitätsbewertungen durchführt, beim Cyber Resilience Act zwingend für Klasse-II- und kritische Produkte.

ISO/IEC 42001:2023 ist die erste zertifizierbare Norm für KI-Managementsysteme (AIMS). Sie regelt, wie Organisationen den Einsatz künstlicher Intelligenz steuern, Risiken bewerten und Verantwortlichkeiten festlegen, aufgebaut wie ISO 27001, mit 38 zusätzlichen Controls in Anhang A.

Fördermittel IT-Sicherheit bezeichnet Zuschüsse, zinsvergünstigte Kredite und Beratungsförderung von Bund und Ländern, mit denen Unternehmen Investitionen in IT-Sicherheit und die Vorbereitung auf NIS2, den CRA oder ISO 27001 mitfinanzieren können.

Ein Passkey ersetzt das Passwort durch ein kryptografisches Schlüsselpaar: Der private Schlüssel bleibt auf dem Gerät oder Sicherheitsschlüssel, der Dienst kennt nur den öffentlichen Teil. Das macht Phishing und gestohlene Passwortdatenbanken wirkungslos.

SPF ist ein DNS-TXT-Eintrag, der festlegt, welche Server im Namen einer Domain E-Mails versenden dürfen. Empfangende Mailserver gleichen die einliefernde IP-Adresse mit dieser Liste ab - ohne SPF kann praktisch jeder Server Mails mit gefälschtem Absender dieser Domain verschicken.

DMARC ist ein DNS-Eintrag, der auf SPF und DKIM aufbaut: Er legt fest, was mit E-Mails geschieht, die diese Prüfungen nicht bestehen oder deren sichtbarer Absender nicht zur authentifizierten Domain passt (none, quarantine oder reject) - und liefert per Report zurück, welche Server tatsächlich im Namen der Domain versenden.