Am 26. November 2015 fand in Köln die zweite “Kölner IT-Security-Konferenz” statt.
Veranstaltet von der GFU Cyrus AG kamen nach Angaben des Veranstalters mit rund 120 Teilnehmern rund 50% mehr als zur ersten Auflage. Wenn auch noch ein überschaubarer Rahmen zeigt dies doch das steigende Bewustsein für IT-Sicherheit auf.

Im ersten Vortrag zeigte Dirk Fromm aktuelle Angriffsvektoren. Mit seiner eindringlichen Darstellung rüttelte er die Teilnehmer auf und stellte dar, dass Angreifer nicht nur technische Wege gehen, sondern planvoll auf social engineering setzen. Und er vertritt die These, dass all die viel beschworeren technischen Maßnahmen wie Firewalls und Intrusion Detection nur eine trügerische Sicherheit böten, da die eigentliche Sicherheit auf Applikationsebene erreicht werden müsse. Sichere Softwareentwicklung wurde im weiteren Verlauf der Konferenz allerdings eher am Rande thematisiert.

Vielmehr wurden von den weiteren Rednern Angriffe mittels scheinbar nützlichen mobilen Apps, die sich wie eine zweite Haut um andere Anwendungen legen und so Daten ausspionieren oder “BadUSB” und passende technische Gegenmaßnahmen gezeigt. Die Demonstation von Angriffen fand ihren Abschluss gegen Ende der Veranstaltung im Live-Hacking, bei dem Christian Schneider anhand eines (schlecht konfigurierten) Systems zeigte, wie schnell die Kontrolle erlangt werden kann. Hier war dann doch zu erkennen, welche Fehler bei der Konfiguration oder Entwicklung von Software zu vermeiden sind.

Weitere Themen waren die Novellierung des IT-Grundschutzes, das IT-Sicherheitsgesetz, Outsourcing, aber auch spezielle Angebote wie die Sealed Cloud und mehr. Mit diesen Themen sprach die Konferenz in erster Linie IT-Verantwortliche und Entscheider an, weniger die Professionals, die sich mit der Entwicklung sicherer Software beschäftigen. Für diese waren dann eher Themen wie sichere Aufbewahung von Kennwörtern oder die anwenderfreudliche Verpackung der Sicherheit interessant.

Alle Vorträge fanden hintereinander statt. Von daher war es nicht so schlimm, dass die Redner – trotz Hinweise auf die fortgeschrittene Zeit – teilweise recht munter überzogen. Wenn aber die Konferenz weiter wachsen möchte, wird wohl eine Aufteillung in parallele Tracks mit unterschiedlichen Schwerpunkten (z.B. für Entscheider oder Entwickler) erforderlich – und damit auch ein strengeres Zeitmanagement. Als weiteres kleines Manko ist die Platzierung von Kameras inklusive der Kameraleute zu nennen: Auch wenn die Aufzeichnung an sich wohl gut genutzt werden kann, so war die zentrale Kamera so weit vorn aufgetellt, dass sie einem nennswerten Teilnehmerkreis entweder die Sicht auf den Redner oder die Leinwand verstellte.

Security1
Trotz dieser kleinen Mankos war die Konferenz für die Teilnehmer sehr informativ und hat ihren Beitrag geleistet, das Sicherheitsbewustsein zu schärfen. Ich bin schon gespannt, wie sie sich weiter entwickelt.