Sicherheitslücken in Software

Verbesserte IT-Sicherheit

Die Verantwortlichen für die Sicherung der digitalen Infrastruktur konzentrieren sich seit Langem darauf, bestehenden Softwarecode zu verbessern und Anwendungen auf Sicherheitslücken zu testen. Insbesondere wichtige Projekte in den Free- und Open-Source-Software-Communities nutzen seit langem alle verfügbaren Werkzeuge, um Fehler in Bibliotheken oder im Programmcode aufzudecken. Es gab und gibt weiterhin ständige technologische Fortschritte. Der Testzyklus in der Softwareentwicklung umfasst eine Reihe von Methoden und Strategien, die weltweit zum Einsatz kommen. Viele davon gibt es bereits seit Jahrzehnten. Der Nachteil, der die Aufmerksamkeit der Medien auf sich gezogen hat, besteht darin, dass sie keine stochastischen Textgeneratoren – mit anderen Worten: "künstliche Intelligenz" – nutzen.

Die sogenannten Large Language Models (LLMs), die in vielen "KI"-Produkten zum Einsatz kommen, stellen einen technologischen Fortschritt dar. Auch sie basieren zum Teil auf mathematischen Modellen, die es schon seit Jahrzehnten gibt. Der technologische Sprung liegt in der Verfügbarkeit von Hardware und Software, die es ermöglicht, diese mathematischen Modelle in die Praxis umzusetzen. Auch bei der Software-Sicherheitsprüfung gibt es Methoden, deren Einsatz vor 10 oder 20 Jahren noch undurchführbar war. Diese Methoden gehören heute zum Standardrepertoire. Ein gutes Beispiel ist das "Fuzzing", bei dem zufällige Daten verwendet werden, um Softwarefehler zu erzeugen. Fuzzing geht auf die 1950er Jahre zurück. Damals wurden fehlerhafte Lochkarten verwendet. In den 1980er Jahren entwickelte es sich zu einem Forschungsgebiet innerhalb der Informatik. Heutzutage nutzt Fuzzing große Sprachmodelle (LLMs), um die Pfade durch den Code besser zu variieren. In den letzten Jahrzehnten hat Fuzzing allein unzählige Fehler in Software aufgedeckt und die Anwendungen verbessert, die wir alle täglich nutzen.

Neuheiten im Bereich der physischen Sicherheit

DeepSec war schon immer stolz auf die Vollständigkeit und Qualität des Wissens und der Fähigkeiten, die den Teilnehmern vermittelt werden. Aus diesem Grund wurde die Konferenz in der Vergangenheit stets mit einer zweitägigen Fachschulung kombiniert. In diesem Jahr beschreitet eine dieser Schulungen mit einem dreitägigen Kurs neue Wege. Die Red Team Alliance wird auf der DeepSec 2026 in Wien die überarbeitete EU-Ausgabe ihres PACS-Schulungsprogramms vorstellen. Der Kurs dauert drei Tage und ist damit die erste dreitägige Schulung, die auf der DeepSec getestet wird. Die Schulung folgt den ersten drei Modulen des kürzlich erweiterten fünftägigen Schulungsprogramms der RTA und nutzt speziell entwickelte Hardware, um die Teilnehmer von den Grundlagen bis hin zu praktischen, realitätsnahen Schwachstellen zu führen.

Am ersten Tag (IDAC 101) werden die Grundlagen für den Aufbau, die Bereitstellung und den Betrieb von Alarm- und Zugangskontrollsystemen vermittelt. Am zweiten Tag (PACS 201) liegt der Schwerpunkt auf kommerziell eingesetzten Plattformen und deren typischen Schwachstellen. Am dritten Tag (PACS 213) schließlich liegt der Schwerpunkt auf europäischen Plattformen, Zertifizierungen und Standards. Der Kurs bietet zudem einige der ersten Gelegenheiten für von Referenten geleitete Sitzungen mit dem neu erschienenen Proxmark5, in denen die Referenten dessen Vorteile und Grenzen im Vergleich zu bestehenden Tools demonstrieren und dabei helfen, dessen praktische Anwendung zu verstehen. Der erste Tag findet in den Räumlichkeiten von DeepSec in Wien statt, während der zweite und dritte Tag im Konferenzhotel parallel zu anderen Veranstaltungen stattfinden.

Brücke zwischen Technologie und Praxis

Der wesentliche, oft übersehene Fortschritt liegt in der Verfügbarkeit neuer Tools. Die Modelle hinter vielen "KI"-Tools können nun lokal genutzt werden. Dies ermöglicht eine Verbesserung der Testphase in der Entwicklung. Der Vorteil besteht darin, dass der Zugriff auf den Quellcode dadurch einfacher wird, da es auf kommerziellen Plattformen, die nicht in einer kontrollierten Umgebung betrieben werden, keine technischen Schutzmaßnahmen gegen Datenlecks gibt. Das Linux-Kernel-Entwicklungsteam hat kürzlich ein lokales LLM mit Testwerkzeugen vorgestellt, das während der Testphase jedes neuen Linux-Kernels nach Fehlern sucht. Dies erfolgt automatisch neben manuellen Überprüfungen und Freigaben. Eine wichtige Rolle spielt dabei Fuzzing in Kombination mit lokalen LLMs und dem Quellcode. Fuzzing ist jedoch über 70 Jahre alt und hat nicht zum Zusammenbruch der IT-Sicherheit geführt – ganz im Gegenteil.

Dies sollte deutlich machen, dass das Mythos-Modell kein Alleinstellungsmerkmal darstellt. Es gibt Projekte, die ihren Code mithilfe verfügbarer Technologien verbessern. So funktioniert Softwareentwicklung. Die Kunst besteht darin, die richtigen Werkzeuge für die richtige Automatisierung zu finden, deren Ergebnisse dann sinnvoll verarbeitet werden können. Die Suche nach Fehlern in Software und Hardware ist keine triviale Aufgabe, die mit einem einzigen Ergebnis abgeschlossen werden kann. Wie in anderen wissenschaftlichen Disziplinen ist auch hier eine evidenzbasierte Methodik erforderlich. Leider werden Berichte über neue Sicherheitslücken oft ähnlich publik gemacht wie Ankündigungen für Blockbuster-Filme im Kino. Die eigentlichen Fragen lauten: Was genau passiert unter welchen Bedingungen, wie riskant ist es und wie lässt sich das beheben? Niemand sollte in erster Linie daran interessiert sein, wer die Hauptrolle spielt. Solche Verzerrungen erschweren es, IT-Sicherheit in der Praxis objektiv zu planen und umzusetzen.

Die DeepSec-Konferenz hat eine lange Tradition darin, Informationssicherheit mit Forschung zu verbinden. Die Veranstaltung im November wird daher wie jedes Jahr die Versprechen der Branche auf den Prüfstand stellen. Sichere Programmierung und sichere Softwareentwicklung stehen auf dem Programm. Seit 2018 werden "KI"-Algorithmen im Rahmen der DeepSec-Veranstaltungen unter Sicherheitsaspekten analysiert und diskutiert.

Programm und Anmeldung

Die DeepSec 2026-Konferenz findet am 19. und 20. November statt. Die DeepSec-Schulungen werden an den beiden vorangehenden Tagen, dem 17. und 18. November, abgehalten. Alle Schulungen (vorbehaltlich angekündigter Ausnahmen) und Vorträge sind als Präsenzveranstaltungen geplant, können jedoch bei Bedarf teilweise oder vollständig online stattfinden. Für registrierte Teilnehmer werden die Vorträge auf unserer Online-Plattform gestreamt. Die DeepINTEL Security Intelligence Conference findet am 18. November statt. Da es sich hierbei um eine geschlossene Veranstaltung handelt, richten Sie bitte alle Anfragen zum Programm an unsere Kontaktadressen. Wir bieten eine starke End-to-End-Verschlüsselung für die gesamte Kommunikation: https://deepsec.net/contact.html

Tickets für die DeepSec-Konferenz und die Schulungsveranstaltungen können Sie jederzeit online über den Link https://deepsec.net/register.html bestellen. Es stehen Rabattcodes von Sponsoren zur Verfügung. Bei Interesse kontaktieren Sie uns bitte unter [e-mail]. Bitte beachten Sie, dass wir zur Gewährleistung der Planungssicherheit auf eine rechtzeitige Ticketbestellung angewiesen sind.

(Ende)

Aussender: DeepSec GmbH Ansprechpartner: René Pfeiffer Tel.: [phone] E-Mail: [e-mail] Website: www.deepsec.net