Mitarbeiterinnen und Mitarbeiter erhalten in vielen Unternehmen heute Firmenlaptops, Smartphones und Zugang zum internen Netzwerk. Eine klare Vereinbarung zur Nutzung der IT schützt sowohl das Unternehmen als auch die Belegschaft. In der Schweiz sollte eine solche Vereinbarung die rechtlichen Rahmenbedingungen und bewährte Sicherheitspraktiken berücksichtigen. Daten- und Datenschutz: Mitarbeitende müssen persönliche Daten von Kundinnen, Kunden und … Read more

APIs bilden das Rückgrat vieler moderner Anwendungen. Sie ermöglichen es verschiedenen Diensten, miteinander zu kommunizieren und Daten auszutauschen. Gleichzeitig stellt jedes API‑Endpunkt einen potenziellen Angriffspunkt dar. Das Open Web Application Security Project (OWASP) hat daher 2023 eine aktualisierte Liste der zehn grössten API‑Sicherheitsrisiken veröffentlicht. API1: Fehlerhafte Objektzugriffskontrolle (Broken Object Level Authorization). Viele APIs verwenden Objekt‑IDs, … Read more

APIs sind das Rückgrat vieler moderner Anwendungen und Dienste. Sie verbinden Mikroservices, mobile Apps und externe Partner – und bilden damit eine attraktive Angriffsfläche. Trotz ihrer zentralen Rolle wird die Sicherheit von APIs in vielen Entwicklungsprojekten noch immer zu wenig berücksichtigt. Deshalb hat OWASP einen speziellen Leitfaden für das Testen von APIs veröffentlicht, um Unternehmen … Read more

In fast jedem Sicherheitsvorfall spielt der Mensch eine zentrale Rolle. Klickt jemand auf einen Phishing-Link, nutzt ein schwaches Passwort, teilt vertrauliche Informationen oder übersieht eine Warnmeldung, ist der Schaden oft schon angerichtet. Daher heisst es in der IT-Sicherheit oft: „Der Mensch ist die grösste Schwachstelle.“ Doch diese Sicht ist zu kurz gegriffen. Denn der Mensch … Read more

IT-Sicherheit ist kein statischer Zustand. Sie ist ein Prozess, der sich ständig verändert – und zwar nicht nur durch Angriffe, sondern vor allem durch die eigene IT. Jede neue Anwendung, jedes Cloud-Konto, jedes externe Tool, jeder zusätzliche Mitarbeiterzugang erweitert die Angriffsoberfläche eines Unternehmens. Das geschieht meist schleichend, ohne strategische Absicht, aber mit weitreichenden Folgen. Besonders … Read more

Viele Unternehmen erwarten von einem Penetrationstest spektakuläre Enthüllungen. Man stellt sich vor, dass der Tester innerhalb weniger Stunden in die internen Systeme eindringt, sensible Kundendaten findet oder das gesamte Netzwerk kompromittiert. In der Realität sehen die Resultate oft ganz anders aus: keine offenen Datenbanken, kein direkter Systemzugriff, kein grosses Drama. Stattdessen liest man von veralteten … Read more