Security

Unsichere KI-Assistenten dürfen nicht zur Normalität werden

KI-Assistenten wie OpenClaw versprechen Komfort, Autonomie und immer stärker personalisierte Unterstützung. Doch hinter diesem Versprechen steht eine Architektur, die private Daten, Internetzugang und den Umgang mit nicht vertrauenswürdigen Inhalten kombiniert. Genau diese Konstellation bildet die „Lethal Trifecta“ des Sicherheitsrisikos. Sandboxing und physische Isolation können den Schaden begrenzen, beheben aber nicht das grundlegende Problem. Mit jeder zusätzlichen Fähigkeit vergrößert sich der potenzielle Schadensradius. Dieser Beitrag ist ein Plädoyer dafür, das Tempo zu drosseln, vermeintliche Selbstverständlichkeiten zu hinterfragen und unsichere Architekturen nicht als Normalfall zu akzeptieren.

Ich habe meine KI-Agenten in eine Sandbox gesteckt. Du solltest das auch tun.

KI-Agenten sind mächtig, weil sie Programme mit der entsprechenden Berechtigung auf unseren Rechnern ausführen können. Genau diese Stärke macht uns aber auch angreifbar. Ein einziger Fehler oder eine Prompt-Injection reicht, um das ganze System zu kompromittieren.

Der Weg zur heterogenen Cloud Plattform

Die digitale Transformation bringt für Unternehmen sowohl Herausforderungen als auch Chancen mit sich. Um zukunftssichere und flexible IT-Infrastrukturen zu schaffen, setzen immer mehr Unternehmen auf Multi-Cloud- oder hybride Cloud-Strategien. Hierbei geht es nicht nur um Kostenreduktion, sondern auch darum, innovative Dienste verschiedener Anbieter mit regulatorischen Anforderungen – insbesondere im Bereich Datenschutz – in Einklang zu bringen. Dieser Artikel zeigt Ihnen, wie Sie mit gezielten Integrationsstrategien die Vorteile von Multi-Cloud nutzen können, um Ihre bestehende Infrastruktur zu optimieren, technische Abhängigkeiten zu reduzieren und dabei den geschäftlichen Erfolg langfristig zu sichern.

Digitale Souveränität: Warum die Architektur zählt und wie Sie Ihr Unternehmen resilient machen

In einer Zeit, in der digitale Systeme das Rückgrat unserer Wirtschaft und Gesellschaft bilden, rückt die Kontrolle über die eigene digitale Zukunft zunehmend in den Fokus strategischer Entscheidungen. Für viele Technologieentscheider:innen im deutschsprachigen Raum ist dies nicht nur eine politische oder regulatorische Herausforderung, sondern eine grundlegende Aufgabe, die weitreichende Implikationen für die Software-Architekturarbeit hat.

What’s Wrong with the Current OWASP Microservice Security Cheat Sheet?

Modern microservice architectures require evolving security practices. Yet popular resources like the OWASP Microservice Security Cheat Sheet are starting to show their age and need a fresh look.

CIO-Fragestellungen zur digitalen Souveränität

Was passiert, wenn europäische Unternehmen morgen keine US-Cloud-Dienste mehr nutzen dürfen – oder sie sich diese schlicht nicht mehr leisten können? IT-Verantwortliche brauchen Antworten – nicht auf Basis von Bauchgefühl, sondern faktenbasiert. In diesem Beitrag geht es darum, mögliche Risiken in der Nutzung US-amerikanischer Cloud-Services zu beleuchten und zu identifizieren, wie Methoden der Enterprise Architektur dabei helfen können, diese zu meistern.

Kubernetes sicher und transparent – Erste Schritte mit Cilium

Cilium bringt Observability-, Security- und Netzwerkfeatures für Kubernetes – dank eBPF ganz ohne den eigentlichen Anwendungscode zu ändern. In dieser Artikelreihe lernen wir, wie wir ein lokales Cilium-Setup aufsetzen, wie Cilium funktioniert und in weiteren Teilen auch, eigene Netzwerkregeln durchzusetzen und sie in Echtzeit zu überwachen. Starte deinen lokalen Cluster und werde zum Kubernetes-Jedi-Meister - oder folge der dunklen Seite der Macht.

Bringt eure Schafe ins Trockene: Tipps für politische Risikovorsorge

Eines vorweg: Keine Panik! Das ist aktuell wichtiger als sonst. Leider hat sich die Welt in den letzten Monaten drastisch verändert, sodass nun ein neues Risiko aufgetaucht ist: Die US-basierten Cloud-Dienste, die uns viel ermöglichen, die den Betrieb von Anwendungen so vereinfacht haben und viele Innovationen ermöglichen, könnten auf einmal gegen uns verwendet werden. Sei es politischer Machtmissbrauch oder eskalierender Drang nach Reichtum. Dies ist ein komplett neues Risiko, das auf uns alle in Europa zukommt.

Social Engineering ist durchgespielt

Der Angriff auf die Kompressionsbibliothek xz hat gezeigt, wie fragil die digitale Infrastruktur ist, die die moderne Welt am Laufen hält. In dieser Kolumne soll betrachtet werden, wie die sozialen Mechanismen Vertrauen und Misstrauen in diesem Zusammenhang wirken.

Machine Learning Security – Teil 1

Machine Learning kommt immer mehr in sensiblen Entscheidungssystemen zum Einsatz. Dies bringt nicht nur neue Möglichkeiten, sondern auch neue Schwachstellen mit sich, die gezielt von Angriffen ausgenutzt werden können. In Teil 1 dieses Artikels navigieren wir uns Stück für Stück durch die ML Security Taxonomie und nehmen die Perspektive des Angriffs ein.

Ganz sichere Verbindungen

String-Vergleich gegen Timing-Angriffe härten

Der String-Vergleich über die Methode String#equals in Java ist anfällig für Timing-Angriffe. Der oft empfohlene Lösungsansatz ist schwierig korrekt zu implementieren. Aber selbst eine korrekte Implementierung kann bei der Ausführung noch für Timing-Angriffe anfällig sein. Die hier vorgestellte Methode schließt diese Probleme prinzipiell aus.

A Playground for Testing OpenID Connect

This post describes how you can set up a development environment in order to play around with your OpenID client implementation. When running your application in a cluster, it can be difficult to test how it will behave behind a load balancer. One factor that can be particularly difficult to test is when you are communicating with an OAuth 2.0 or OpenID Connect server which expects that a request will be redirected back to the same application instance that it came from.

Have YOU been pwned?

With the V2 release of the „pwned passwords” database came a new feature called range search, which allows to securely check passwords with only minor efforts. Here’s how to use it.

Content Security Policy

Cross-Site-Scripting ist seit Jahren eines der Security Probleme im Web. Neben anderen sicherheitsrelevanten HTTP-Headern gibt es seit geraumer Zeit auch die Möglichkeit, dem Browser eine „Content Security Policy” mitzuteilen. Dieser Blogpost erklärt deren Zweck und Einsatz.