Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von Trint und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/2176 Danke!
Hi, herzlich willkommen zurück auf dem
Haxen Channel.
Vielleicht habt ihr euch das auch schon
mal gefragt.
IT-Sicherheit klingt spannend,
aber wenn man das beruflich machen und
wie stellt man das überhaupt an und.
Welche Berufe gibt es denn da?
Und überhaupt brauche ich nicht
irgendwelche Zertifizierungen, um in
diesen Beruf einsteigen zu können?
Habe ich da eine Chance?
Auf diese Fragen bietet das kommende
Panel zur IT-Sicherheit gleich mehrere
Antworten.
Unsere IT-Security Profis Christina,
Lena, Caro, Lisa und
Maren werden euch erzählen, welche
verschiedenen IT Sicherheitsbüro für sie
gewählt haben.
Wie ihre Motivation war.
Ihr Werdegang, wie der Alltag in diesem
Beruf ist und ob man Zertifizierung
braucht und welche wünschenswert sind
vielleicht auf welche sie selber gemacht
haben.
Fragen könnt ihr mir immer auf Twitter
oder Mastodon stellen.
Das Signal Aggressiver Wolf wird sie dann
zusammensammeln, wenn ihr die Hashtags
Hexen Feen
im Rockets verwendet, dann werden auch da
die Fragen gesammelt und im Anschluss
treffen wir uns dann im Blick.
Big Blue Datenraum in der
Edda und werden uns die Antworten
auf diese Fragen anhören.
Aber nun erst mal Bühne frei
für Christina, Lena, Caro,
Lisa und Maren.
Ja Hallo an euch da draußen.
Schön, dass ihr dabei seid und Hallo an
euch hier in der Runde.
Wir wollen heute euch einen Einblick
geben in verschiedene IT-Security
Professionen.
Wir sind fünf Leute hier gerade, die alle
in irgendeiner Art und Weise beruflich zu
tun haben, mit Themen rund um
IT-Sicherheit auf unterschiedliche Arten
und Weisen. Und wir wollen einen Einblick
geben, was das für Themen sind, mit denen
wir uns beschäftigen, was das in unserem
Arbeitsalltag heißt, womit wir unsere
Zeit verbringen, wie wir das alles so
finden und vielleicht auch, wie wir dahin
gekommen sind, wo wir jetzt gerade sind.
Ich würde gar nicht so viel Vorrede
machen, ich würde in der Vorstellungsrunde
starten.
Ich bin Lena. Ich arbeite im Moment in
einer Firma, die eigentlich Security
Beratung macht.
Was ich da inhaltlich mache, erzähle ich
später, weil es da inhaltlich besser
reinpasst.
Mein Job ist heute zu moderieren.
Das heißt, ein bisschen zu gucken, dass
wir nicht vor lauter Begeisterung voll
ins Fachsimpeln abdriften, sondern so ein
bisschen den Überblick vermitteln.
Und auch dafür zu sorgen, dass vielleicht
Begriffe, die nicht allen Leuten total
verständlich sind, von Anfang an, weil
sie nicht so tief im System drinstecken
oder weil sie anderen Security Themen,
die drinsteckt, aber nicht in dem, was
gerade reden.
Das wird erklären, damit wir sie
mitnehmen können. Wir hatten uns gedacht,
dass es gut wäre, ein Angebot zu machen
für Leute, die sich vielleicht
orientieren wollen, die Neugierde haben,
wie das so ist, in dem Bereich zu
arbeiten, vielleicht Studentinnen
oder Quereinsteiger innen oder
potenzielle Quereinsteiger innen oder
Leute in der Ausbildung oder halt einfach
neugierige Leute, die was wissen wollen.
Und das wollen wir so ein bisschen
anpeilen, das auf sozusagen diese Art
und Weise zu vermitteln.
Und dann sehen, wie gut uns das gelingen
wird oder ob wir uns von der Begeisterung
allzu sehr mitreißen lassen.
Genau.
Ich würde sagen, wir starten mit
Christina. Christina, du kannst einen
guten Überblick geben dazu, was für
Themen alle so zu IT-Sicherheit oder
Informationssicherheit dazugehören.
Weil du dafür zuständig bist in einer
Organisation.
Magst du was erzählen, was das heißt?
Genau. Ich bin Christina
und ich bin IT Sicherheitsbeauftragte
in der Firma, in der ich arbeite
und bin dadurch,
dass die Firma ISO 27
001 zertifiziert ist für
die
Betreuung sozusagen bzw.
ich verantwortet den
vier SMS Teil und
kurz am Rand der SMS steht
für Information Security
Management System.
Und das bedeutet,
dass ich, so wie Lena auch schon
gesagt habe, ziemlichen Überblick
haben muss, was alles
in der IT-Sicherheit
für ein Unternehmen relevant ist
und natürlich auch für die Endanwender.
Und hauptsächlich
mache ich In meinem Alltag bin
ich mit Richtlinien beschäftigt,
mit Normen, Anforderungen,
sehr viel Compliance, aber eben
auch zum Beispiel
den ein oder anderen Vendor
mir angucken, was es halt
so auf dem Markt gibt an Lösungen,
die wir einsetzen können
und zum Beispiel eben
auch was des
Testing angeht.
Unsere Firma produziert
Software Softwarehersteller und
da sind zum Beispiel Open Testing
Anforderungen eben auch
im Alltag zu finden.
Und ja, damit
würde ich gerne an die nächste denn
weitergeben.
Ich würde dich noch mal rückfragen, ob du
uns verraten, was Compliance heißt
Compliance.
Das Wort mit den
Häkchen,
wo vielleicht viele so ein bisschen
ins Schmunzeln kommen.
Da geht es hauptsächlich um
die Einhaltung von Verträgen,
Gesetzen und Richtlinien.
Dass man damit dann
konform ist.
Ja, genau dieses
ISO sieben und zwanzig tausend eins ist
ein so was, womit man konform sein will.
Genau das ist eines der
Standards, nach denen man sich
zertifizieren lassen kann.
IT-Security Bereich Es gibt da auch noch
weitere Frameworks
oder Rahmen, an denen man sich
orientieren kann.
Anderes Beispiel zum Beispiel des
VDS 10000,
was vor allem im Versicherungs Bereich
dann angewendet wird.
Ja cool, dann würde ich sagen Springen
wir einmal zu Caro, weil Caro auch
intern für die Sicherheit verantwortlich
ist, aber nicht mit dem großen Überblick,
sondern mit einem speziellen Thema,
wenn ich das richtig verstanden habe.
Genau, ich arbeite bei einer
größeren amerikanischen Unternehmen und
mache da quasi Inhouse Security
heißt heißt,
ich bin in einem größeren Team,
was ich eben mit Security Fragen
beschäftigt.
Da gibt es so auf der einen Seite die
Security Researcher.
Und davon habe ich auch so ein bisschen
was gemacht. Aber eigentlich ist mein
persönlicher Fokus eher bei
dem bei der Entwicklung mit
Security Bezug.
Das heißt, ich baue dann zum Beispiel so
Sachen wie Authentifizierung, Systeme
oder also quasi an Software
Komponenten, die besonders sicherheits
kritisch sind und wo man eben besonders
gut aufpassen sollte, dass
keine Sicherheitslücken entstehen, die
dann von dem Security Research stehen.
Man versucht die Lücken zu entdecken
gefunden werden könnten.
Und mein persönliches Thema, mit dem ich
mich besonders gut auskenne, ist die
Kryptographie, also die
Architektur, der Zweig der Mathematik,
der sich damit beschäftigt, wie man Daten
absichern kann und wie man verhindern
kann, dass Leute mit den eigenen
Informationen Dinge tun, die man nicht
möchte, dass sie damit tun.
Also das ist dann ein Beispiel
davon ist Verschlüsselung.
Aber in der modernen Kryptographie gibt
es da noch viele anderen Themen, wie zum
Beispiel Privacy.
Wenn Algorithmen, wo man dann zum
Beispiel eben eben viele von diesen Big
Data Sachen, die wir heutzutage machen
und dabei quasi viel Privatsphäre von
Menschen verletzen oder einschränken,
dass man die dann eben auch bauen kann
mit Kryptografie, so dass sie keine
Privatsphäre einschränken.
Also zum Beispiel, wenn ich lernen
möchte, wie viele Menschen keine Ahnung
benutzen, meine Software, dass ich genau
das lernen kann oder wie viele Menschen
nutzen dieses eine Feature von meiner
Software?
Dass ich eben genau das rausfinden kann
und nichts anderes über diese Nutzer
weiß, ich eigentlich gar nicht wissen
sollte oder möchte, rausfinde
genau das.
Das sind dann so Sachen wie eben
checken, ob die Kryptografie, die wir
intern benutzen, auch sicher ist.
Und dann, wenn sie das ist oder nicht,
ist eben entscheidend, wie man, wie man
sie quasi sicher machen kann, auswählen,
welche Shiffrin, welche Algorithmen dann
benutzt werden und dann die entsprechende
Software dafür bauen.
Ja, super spannend.
Genau. Wo arbeitest du bei einer sehr
großen, bei den großen Unternehmen, hast
du gesagt.
Und es gibt ja diese wahnsinnig vielen
Themen rund um IT-Sicherheit oder
Informationssicherheit, die Christina
schon angerissen hat, um die sie sich
übergreifend kümmert.
Und jetzt ist es so, dass es ganz häufig
so ist, dass in einer in einer
Organisation nicht immer das Know how
oder das Personal verantwortlich ist, um
all diese Sicherheitsteam abzudecken.
Und da kommen sozusagen die anderen drei
von uns ins Spiel.
Wir sind sozusagen eher extern.
Wir unterstützen Kunden
dabei, irgendwelche Aspekte von
Security abzudecken in irgendeiner Art
und Weise.
Und da kann ich jetzt auch gut über das
erzählen, was ich mache. Wie gesagt, ich
bin ein Beratungsunternehmen und ich
habe recht viele unterschiedliche Sachen
gemacht. Im Moment mache ich gerade vor
allem zwei unterschiedliche Dinge.
Das eine ist ziemlich hands on, das ist
Web Testing.
Das heißt, ich untersuche Webanwendungen
aus der Sicht von Angreifenden und gucke
Wo sind die Schwachstellen drin und was
kann ich denn machen mit diesen
Schwachstellen? Also ganz konkret in
dieser installierten Version von dieser
Anwendung. Wenn ich das ausnutze,
welchen Schaden kann ich damit anrichten?
Welche Informationen kann ich vielleicht
abgreifen? Was kann passieren?
Und das dokumentiere ich dann in so
Berichten und schreibe Empfehlungen dazu,
wie man das dann abändern könnte.
Entweder für Softwarehersteller, die das
gerne für ihr eigenes Produkt haben
wollen, oder für
Firmen, die ein Produkt einsetzen wollen,
die das vielleicht auch selber betreiben
und die dann wissen wollen, ist das
Produkt sicher, was wir gekauft haben.
Aber auch haben wir dann den Server gut
konfiguriert, zum Beispiel.
Und das andere, was ich mache, ist gar
nicht so ganz ohne.
Das ist aber trotzdem ziemlich
technisches Detail.
Und das ist so technische Konzeption und
dann auch Risikoanalyse.
Und da geht es eher darum, dass es eben
irgendeine Aufgabenstellung gibt,
sozusagen im Bereich IT-Sicherheit, die
ein Unternehmen lösen möchte und wo es
Unterstützung braucht.
Und ein Beispiel wäre zu sagen
Die haben ein Netzwerk, das bisher nicht
gut abgesichert ist.
Da ist alles in einem großen Netzwerk
drin und alle Geräte können miteinander
kommunizieren und sind nicht stark
beschränkt.
Und das wollen sie verändern.
Und dann überlegen wir eben gemeinsam Wie
könnte man das aufteilen?
In welche Gruppen kann man das aufteilen
oder sollte man es aufteilen, damit das
irgendwie gut abgesichert ist?
Welche Features
brauche ich? Vielleicht eine Firewall,
die ich neu beschaffe und welche brauche
ich auch nicht? Und wie muss ich das
nachher konfigurieren, damit es
auch, damit ich auch was davon habe?
Von dem Geld, das ich ausgegeben habe und
nicht einfach nur sage ich habe was
teures in der Ecke stehen. Was nützt mir
eigentlich nicht so viel?
Und das Spannende an solchen Aufgaben ist
tatsächlich immer zu gucken.
Das ist ja in diesen Landschaften
meistens schon ganz viele Systeme und
Anwendungen gibt, die eingerichtet
wurden ohne diese ganzen Sicherheits
Features. Und man muss dann immer gucken,
dass die auch weiter betrieben werden
können und nicht so lange ausfallen in
der Migrations Phase, weil die werden ja
gebraucht.
Wenn man jetzt diese ganzen Sicherheitsmaßnahmen
hochzieht und das ist immer ein
ziemlich interessanter Prozess, wo man
aus dem ins Detail gehen kann.
Und das wäre jetzt so ein Beispiel zum
Beispiel für technische Konzeption.
Da mache ich viel Workshops, die ich
halte mit den Kunden, mit
unterschiedlichen Leuten, mit sozusagen
eher Management Leuten, aber auch viel
Admin Leuten und
schreibt dann Sachen auf und dann
entsteht so über die Zeit etwas, was sie
hoffentlich gut umsetzen können.
Genau. Ich würde weitergeben an Lisa.
Ja hallo, ich bin Lisa.
Ich bin auch in IT-Sicherheit Beratung
tätig.
Im Moment auch mit einem sehr technischen
Fokus.
Da gibt es ehrlicherweise sehr, sehr
viele verschiedene Dinge, die ich im
Moment mache.
Die lassen sich aber gut zusammenfassen.
Unter diesem Punkt sind Response und
Forensik bzw.
Technische Sicherheits Beratung.
Der Punkt in Response bedeutet,
wenn Firmen oder Organisationen gehackt
werden, dass ich
mit meiner Firma da vor Ort auftauche
oder telefonisch Unterstützung biete,
um auf diesen Vorfall zu reagieren.
Das kann in ganz unterschiedlichem Ausmaß
sein. Der Klassiker sind dabei natürlich
diese diese Verschlüsselung.
Trojaner von Ransomware befallen,
wenn auf einmal gar nichts mehr geht.
Was eine schöne Nachricht auf dem
Bildschirm auftaucht.
Bitte überweisen Sie uns hier so und so
viele Bitcoins.
Erst dann kommen Sie wieder an Ihre
Daten.
Und solchen Firmen helfen wir dann
ja. Und der Bereich Forensik, der
beschäftigt sich mit der mit der
Aufklärung des Schadens Lehrgangs.
Also was ist eigentlich passiert?
Was war die ursprüngliche
Sicherheitslücke?
Wir sind die Angreifenden ins Netz
gekommen.
Und wie konnten Sie sich da vielleicht
auch im Netzwerk fortbewegen?
Und welche Systeme sind vielleicht auch
betroffen, von dem man es im ersten
Moment gar nicht unbedingt merkt?
Also dieser diese Verschlüsselung, das
ist ja schon ein sehr lautes Vorgehen.
Und insofern, da kann es ja auch
passieren, dass so ein Angreifer
vielleicht auch gar nicht entdeckt werden
möchte und sich da sehr unauffällig im
Netzwerk fortbewegt.
Und solche Sachen kann man dann teilweise
auch mit forensischen Mitteln aufklären.
Und das ist das, was mich zurzeit sehr
viel beschäftigt.
Ich finde es persönlich sehr spannend,
weil es natürlich ein sehr.
Ich sage mal Affekt gesteuertes Geschäft
ist und nicht eigentlich morgens manchmal
gar nicht so richtig weiß, was im Laufe
des Tages passiert. Das macht es
natürlich sehr spannend.
Merkel und Macron Wenn
ich das richtig verstanden habe, kannst
du da gut anknüpfen, weil du dich im
Prinzip teilweise mit ähnlichen Themen
befasst, aber vielleicht eher darauf hin,
dass ein bisschen in die Kontinuität zu
bringen und nicht nur dann zu machen,
wenn man gerade einen akuten Vorfall hat.
Genau. Ich bin Manuel und
ich versuch mit der Arbeit zumindest
hauptsächlich den Kunden zu helfen, bevor
Lisa loslegen
muss. Also es geht darum,
dass ich Cyber Defence Beratung
mache, also Beratung in der Verteidigung.
Wie können sich die Unternehmen besser
aufstellen gegen Angriffe?
Das heißt, ich mache auf der einen Seite
mache ich während das Veranstaltungen
inklusive Live Hacking, um einfach
mal zu zeigen, wie geht denn der
Angreifer vor, was macht der Angreifer so
und wogegen muss ich mich überhaupt
schützen?
Wir haben es ja gerade von Ransomware und
Ransomware ist also das große Buzzword.
Aber es gibt halt noch viel, viel mehr
Angriffe und Angriffsmöglichkeiten.
Und genau da schaue ich mir
einfach die Umgebungen an von den Kunden
und schaue. Hier haben Sie beispielsweise
ein Backup, falls Sie das Backup haben,
wie haben Sie das Backup eingerichtet?
Gibt es da noch was zu verbessern?
Wie ist das Netzwerk aufgebaut?
Also die ganz unterschiedlichen Aspekte,
die man hat, schaue ich mir an und
dann mache ich auch noch Beratungen in
den Bereichen Siim.
Und so ist hier im Steht für
Security, Information und Eventmanagement
und ist gerade so das zentrale Lock
Management.
Also es geht darum, wenn man
so als Analogien rausnimmt, dass ich
sage, ich habe überall in meinem Haus
Überwachung, Überwachungs,
Überwachungskameras und
Security Operations Center das Thema
SOC. Da geht es darum, dass
jemand auch da sitzt und sich quasi
anschaut, was passiert auf den
Überwachungskameras und auf
die IT wieder übertragen.
Geht es darum? Ich sammel die Logs
Zentrale an einer Stelle
und in diesem Security Operations Center.
Das ist dann der Raum, wo dann die ganzen
Leute sitzen mit den blinkenden
Bildschirmen. Wenn man das so einen Film
sieht und
die Prüfung quasi anhand der Daten,
die da sind, habe ich dann einen Angriff.
Und da geht es natürlich drum.
Ich muss es erkennen können und dafür
muss ich mir die richtigen Alarme setzen
im System.
Und so was setze ich auch um für unsere
Kunden. Und es ist ganz spannend, weil
als Dienstleister hat man natürlich immer
ganz viele unterschiedliche Kunden in
unterschiedlichen Netze.
Das macht auf jeden Fall super viel Spaß.
Ja, spannend.
Ich finde es schön, ich fand dieses Bild
mit den blinkenden Monitoren ganz toll,
weil das ja Folsom Klischeebild
entspricht.
Ich hatte auch, als ich, bevor ich
angefangen hatte in dem Bereich zu
arbeiten, tatsächlich hauptsächlich diese
Vorstellung. Also eigentlich war ich die
Security für mich pantheistisch.
Und das waren so diese, diese Menschen,
die so vor dem Rechner sitzen, weil das
ist das Bild von diesem Hacker, was man
immer hat. Ich hatte wirklich nicht eine
gute Vorstellung davon, was also wie groß
die Bandbreite ist von dem, was man
machen und aber auch davon, was
es im Alltag heißt.
Vielleicht könnt ihr was darüber
erzählen, ob es Punkte gibt in eurer
Arbeit, die euch überrascht haben oder
die nicht so waren, wie euch vorgestellt
habt, dass diese Arbeit im Alltag
dann wirklich ist.
Also vielleicht ein bei dem, was du
gesagt hast.
Ich komme ursprünglich aus dem
Penetration Testing, also aus dem
legalen Hacking, auch um es in das,
was Lena eben macht.
Und zwar ging es eben
um Schwachstellen zu finden
in den Applikationen in Unternehmens
Netzen. Und für mich war durch meine
IT-Sicherheit Studium war das auch
okay. Was mache ich danach in die
Richtung Testing?
Und als ich dann dreieinhalb, vier Jahre
gepennt hatte, habe ich gesagt, ich würde
mir gern mal die andere Seite anschauen.
Und das war für mich total überraschend,
weil ich dachte mir Okay, auf der anderen
Seite habe ich dann diese Security
Operation Center und das war's aber
jetzt auch dadurch, dass ich euch alle
kennengelernt habe und ich das, was ich
mache. Es gibt so viel mehr von
von Compliance, von Crypto
über Firewall, Incident
Response.
Wie gehe ich damit umgehen, wenn ich
einen Vorfall habe?
Das fand ich total überraschend, dass es
so vielfältig ist.
Genau. Und es ist für mich auch
besonders wichtig, dass ich auch immer
wieder auf unterschiedliche
Ressourcen zugreifen
kann, weil es halt auch
zumindest in kleineren Unternehmen
eher unwahrscheinlich ist, dass das ganze
Spektrum wirklich abgebildet werden kann.
An den Dingen, die für
die Absicherung wirklich notwendig sind
und vielleicht
ein ein Aspekt, der mich
vielleicht will, nicht unbedingt
überrascht hat, aber der mich immer
wieder fasziniert, ist
tatsächlich die Tatsache, wie
so ein
Sicherheits Management reift,
dass es halt erst mal
wirklich darum geht, wirklich alles
so gut es geht abzugreifen,
zu erfassen, zu sehen, was muss ich
eigentlich absichern.
Ich glaube, das ist zumindest für die
meisten Firmen so.
Die Einstiegshürde erst mal
herauszustellen.
Was ist überhaupt los?
Was? Was ist eigentlich mein Unternehmen?
Was sind meine wertvollen
Assets oder Werte
überhaupt, die ich verwalten muss?
Und dann halt tatsächlich über die Jahre
immer weiter zu gucken.
Okay, jetzt lade ich zum Beispiel
Maren ein, um zu gucken
Wie kann ich einen Sim
aufbauen?
Was kann mir
Firma XY anbieten, um
dann tatsächlich auch den Reifegrad
entsprechend anzupassen?
Weil es halt nicht so ist,
wie ich glaube.
Viele sich das zu Anfang vorstellen.
Man hat eine Firma und dann ist
alles irgendwie entweder sicher oder
nicht sicher, sondern es wechselt
tatsächlich mit der Zeit und es ist
etwas, was sich wirklich ständig
entwickelt. Unabhängig davon, dass sich
natürlich die Angriffe auch immer
weiterentwickeln, aber eben auch
tatsächlich die Sicherheit
weiterentwickelt und jedes Unternehmen
für sich selbst auch feststellt Okay, was
muss ich wie sichern, was ist für mich
wichtig?
Das finde ich eigentlich einen sehr
schönen Aspekt, das denn auch mit zu
begleiten.
Hast du dir?
Hättest du dir ist der Aufwand,
von dem du damals dachtest, was
du quasi vor dir hast?
Hat das gepasst oder
gar nicht?
Absolut gar nicht.
Also wir sind tatsächlich.
Relativ klein eingestiegen,
so dass eben parallel auch noch
zum Beispiel Projekt, Begleitung oder
so was möglich war.
Und mittlerweile würde ich sagen,
kriege ich eher das Schmunzeln, wenn
Headhunter irgendwie sagen das ist
in einer 32-Stunden-Woche
möglich, weil
natürlich kann man einzelne Bereiche so
abdecken, aber gerade so in meiner
Position ist
es eigentlich nicht möglich.
Dann irgendwann einfach den Laptop
zuzumachen und schlafen
zu gehen, weil es einfach ständig
Dinge gibt, die tatsächlich gemacht
werden müssen.
Plus was in den
Jahren auch noch dazugekommen ist,
sind behördliche Anforderungen,
die auch ständig mit begleitet werden
müssen. Ich glaube, das habe ich zu
Anfang nicht erwähnt, aber ist eigentlich
Kern meiner Arbeit.
Die Begleitung bei Audits.
Was ist ein Audit, kannst du dazu was
sagen, wer machte ein Audit und wozu?
Ähm, also das ist in unserem
Fall ist es notwendig, um
die das Zertifikat für
die ISO sieben und zwanzig weiterhin
zu erhalten.
Das Zertifikat muss,
wenn man es einmal erreicht hat, alle
drei Jahre erneuert werden und
jedes Jahr gibt es auch ein Überwachungs
Audit. Das heißt, es ist immer ein drei
Jahreszyklus.
Und dann kommt ein
Auditoren zum Beispiel ins
Haus und
prüft eben, dass das
System, was aufgebaut wurde,
dann auch tatsächlich gelebt wird.
Was ich auch noch wahnsinnig spannend
fand, war nach meinem Berufseinstieg,
dass ich so dass die Teamarbeit
tatsächlich erforderlich ist oder oder
wie profitabel das ist, im Team zu
arbeiten. Ich hatte es sehr, das Bild von
so einer Einzelperson, die so ganz tief
in irgendeinem Thema drinsteckt und
die totale Hackerin ist, um dort arbeiten
können zu müssen.
Und was ich gelernt habe ist,
dass es natürlich diese Oberschenkel und
Oberschenkel braucht.
Aber das es eben auch Leute braucht, die
so eine Breite haben, also die
verschiedene Themen zusammendenken können
und sozusagen so Fragen
beantworten können. Wenn ich diese
Komponente habe, die macht ungefähr das
und diese Komponente, die macht ungefähr
das. Und die sind in der Umgebung, die
ist ungefähr so abgesichert.
Welche Fragestellung
entsteht denn aus dem Zusammenwirken?
Also wo es notwendig ist, einerseits
unterschiedliche technische Fragen
zusammen zu denken, aber auch dann so
Sachen zusammen zu denken wie Wie ist
denn diese Organisation aufgestellt?
Was können die mit den personellen
Ressourcen, die sie haben, überhaupt
leisten? Und was ist dann sinnvoll zu
priorisieren?
Also so wie sehr eigentlich
auch in diesem Bereich sowohl
Tiefe als auch Breite gefragt ist und
dass das sozusagen wie gefragt
Breite ist, war mir überhaupt nicht klar,
als ich eingestiegen bin.
Da kann ich vielleicht ganz gut ergänzen.
Das passt im Internet Response Bereich
glaube ich noch mal noch mal mehr als
im Alltag.
Wobei es um Sicherheits Vorfall.
Gerade wenn man wieder in Richtung Aufbau
der Infrastruktur geht, muss man
ja teilweise Entscheidungen treffen wo
man sonst weiß, nämlich ganze Konzepte
für schreibt irgendwie Monate Zeit
sich Gedanken darüber zu machen.
Wie baue ich das denn jetzt? Möglichst
sicher auch und gerade
wenn wir uns im Bereich der kritischen
Infrastrukturen oder irgendwelcher
Dienstleistungen bewegen, die irgendwie
schnell wieder erbracht werden müssen
oder so was.
Das ist ja auch relativ wichtig, dass man
zumindest einen Notbetrieb relativ
schnell wieder aufbauen kann.
Und gerade da ist es wichtig,
dieses übergeordnete Wissen zu haben.
Wenn ich das mache, was passiert dann und
wie kann, wie beeinflusst?
Weil sie mich dieser, dieser
technologische Komponente, das und das
weiß er nicht, Netzwerk oder was auch
immer.
Und da ist es natürlich super wichtig,
diesen Überblick darüber zu haben.
Gleichzeitig ist es aber für sonst, was
Lena jetzt gerade gesagt hat, auch super
wichtig, dass man trotzdem diesen diesem
Forensiker hat, der sich so tief in die
Technik eingraben kann und versteht, was
da eigentlich passiert.
Gleichzeitig ist es aber auch wieder
wichtig, dass man jemanden hat, der die
Sprache des Managements gerade im Bereich
von so einem Sicherheits Vorfall.
Da entstehen natürlich auch teilweise
enorme Summen.
Entscheidungen müssen von der
Geschäftsführung getroffen werden oder
auf eine Organisations Leitung und
dementsprechend ist es da auch wichtig
diese Sprache zu sprechen und quasi wieso
so eine Dolmetscher Funktion einzunehmen.
Gebrauchen, was du gesagt hast.
Ich finde es auch total spannend, dass
einfach jeder Kunde ist anders, jedes
Netzwerk ist anders.
Und dann, ja wenn dann die Frage kommt,
können wir das jetzt abschalten?
Dann eben zu wissen okay, was Hilton
alles dran war. Ja, man kann es
abschalten, aber wenn, dann findet
es sich auch in dem Messenger auf.
Genau. Und da ist finde ich es
extrem wichtig, diese ganze
Vorarbeit, die passiert ist.
Also wie gut ist
das Unternehmen aufgestellt, um zu wissen
was haben wir überhaupt?
Was kann abgeschaltet werden,
was nicht?
Was sind wirklich die wichtigen Sachen?
Ich sage mal, dass man
in dem Moment nicht anfängt über
Prioritäten zu diskutieren, weil
das dann ein bisschen
zu hektisch werden
könnte. Aber ich finde, diesen Bereich
haben wir ständig in der IT-Sicherheit.
So Dinge abzuwägen Was
ist wichtig, was ist nicht wichtig?
Was ist wofür?
Ausreichend vielleicht.
Das ist wirklich sehr,
sehr wichtig ist, dass es auch
Menschen mit spezifischen Fachkenntnissen
gibt, die sich eben
genau darauf konzentrieren können.
Also wenn ich jetzt überlegen müsste, ob
jetzt
ich werfe jetzt mal Begriffe rein
elliptische Kurve irgendwie
dann notwendig sind für
Datensatz XY
oder nicht, dann bin ich einfach
zum Beispiel auf Caro angewiesen, dass
diese Arbeit eben nicht von
mir als allgemeinen Teil gemacht werden
muss, dass ich mich dann noch
mit den
ganz spezifischen Methoden
auseinandersetzen muss, sondern
tatsächlich dann sagen kann
Ja, Caro reicht aus
oder kann ich einfach etwas
64 machen?
Ich habe bei 64 ist ja meistens
keine gute Idee.
Also zumindest wenn es um Kryptographie
geht. Aber da ist natürlich auch so
ein großer Teil, wie ich persönlich meine
Arbeit zu erklären.
Möchte. Dann müsste ich jetzt kurz
einsteigen, was bei 64 und was
anders. Elliptische Kurven sind also
keine richtige Verschlüsselung sozusagen.
Genau. Elliptische Kurven sind quasi ein
Verfahren, das heutzutage in der
asymmetrischen Kryptographie eingesetzt
wird. Also wo ist dann ein öffentlichen
Schlüssel, den ich an alle geben kann,
gibt und einen privaten Schlüssel
gibt, den ich für mich privat
halte? Und damit wird er einen Schlüssel
ausgeben und mit dem kann ich dann die
eigentlichen Daten verschlüsseln.
Das ist jetzt, was bei den bei
den Zuschauerinnen im Browser passiert.
Die haben gerade alle so einen
Algorithmus am Laufen, wo einfach
Schlüssel ausgetauscht werden, dass die
eigentliche Verschlüsselung gemacht wird.
Und B 64 es ist halt
ein Kodierungen. Algorithmus und
elliptische Kurven sind Kryptographie
und also codieren reicht
nicht. Außer wenn ich es codieren kann,
kann ich es auch einfach dekodieren.
Aber genau diese Sachen
zu erklären, was ist das eigentlich?
Wozu wird es gebraucht?
Was sind so die modernen Sachen?
Was sind noch nicht die modernen Sachen?
Das ist.
Ich verstehe da auch so meine Arbeit
irgendwie zu einem gewissen Teil aus
Outreach Arbeit tatsächlich.
Als Personen in so einem spezifischen
Thema drin ist, weil
ich kann ja quasi kein Management
haben, was diese Sachen nicht versteht.
Also um quasi entscheiden zu können
wo fahren wir hin, was geht überhaupt?
Muss ja quasi dieses wissen, was
ist das eigentlich überhaupt ein bisschen
bestehen.
Und da sehe ich auch so in
der, in der in der modernen Security
immer so, immer so einen gewissen gab,
waren diese Themen auch so komplex
kompliziert werden und es so viele
verschiedene Einzelthemen gibt, dass da
was da, dass das da
gar nicht klar ist, was geht eigentlich?
Und ich hatte kürzlich wieder ein
Gespräch mit einer Person, die meinte Ja,
sie geht ganz viel zu.
Sie macht eben so Privacy Narayen
Crypto.
Zum Beispiel.
Und versucht einfach nur
irgendwie Management Menschen oder
so.. Ja, den Entscheidern
das zu erklären, was überhaupt geht und
wo man irgendwie mit der Sicherheit hin
kann, damit die überhaupt auf
die Idee kommen. Vielleicht machen wir
daraus ein Produkt, weil oft ist es ja
auch gar nicht der schlechte Wille,
sondern oft ist es ja auch so eine
gewisse Hilflosigkeit,
wo dann so das Gefühl entsteht,
dass hier ein Security Thema oder ein
Thema, dass es viel zu groß ist.
Damit kann ich nicht umgehen und am
Schluss sollten dann eben die dastehen
und denken Ja doch, das ist etwas, was
wir auch angehen können und wo wir nicht
mehr auf verlorenem Posten sind.
Man sagt ja immer, man hat ja
auch in denen man sagt ja, man hat was
richtig gut verstanden, wenn man es
Kindern erklären kann.
Ich glaube, wir haben oft das Thema, das
wir in unserem Umfeld Leute
haben, die natürlich nichts zu tun haben.
Und wenn da ganz schnell reinkommen, dass
wir nur noch von irgendwelchen Buzzwords
und Abkürzungen spricht.
Aber es ist irgendwann ganz nett, sich
mal zu überlegen Wie erklär ich jemandem,
der einfach keine Ahnung davon hat, was
wir machen?
Weil es ist ja spannend, dass wir das,
was wir alle versuchen, das auch
mitzuteilen, wie viel Spaß es macht, was
wir tun
und die Wichtigkeit vor allem auch
tatsächlich zu zu vermitteln, dass es
nicht nur darum geht, alles viel
komplizierter zu machen und viel
umständlicher und so weiter,
sondern dass es auch tatsächlich
wirklich, wirklich wichtig ist, auch
gerade dieser Sache, auch z.B.
bei kritischen Infrastrukturen.
Und wir sind im Zweifelsfall
alle von Inzidenz betroffen,
wenn Dinge passieren,
weil sie nicht jetzt bei der letzten
Sicherheitslücke die rumgeht.
Zum Beispiel Arztpraxen, die dann die
Patientenakte nicht mehr öffnen können,
weil das System runtergefahren wird aus
Sicherheitsgründen.
Und das sind wirklich Dinge, die
uns.
Im Alltag fehlt
vielleicht diese Wahrnehmung
dafür für die für die Wichtigkeit
der IT-Sicherheit.
Ich finde dieses ganze Wissen, was
wir häufig der Kaugummi ist zuerst.
Ich wollte auch sagen, dann tatsächlich
auch, dass dieser Kram eben das ist.
Auch mir ist auch immer ganz wichtig zu
vermitteln, das ist auch etwas, was
gelöst werden kann.
Bei Off stehen ja Leute davon, denken
sich, das ist jetzt schon so ein
magisches Ding und quasi magisches
magisches Konstrukt.
Und wir haben überhaupt nicht die Chance,
sichere Systeme zu bauen.
Und ich möchte dann eben hingehen und
sagen Doch was geht, das kriegen wir hin.
Es gibt da Techniken und es gibt
etablierte Techniken, wie man das
hinkriegt und wir schaffen das.
Und dieses ganze Wissen, was wir
vermitteln können darüber, was geht und
was wichtig ist und so was.
Ich finde es spannend zu erfahren von
euch, wie ihr das erworben habt.
Wo habt ihr all die Dinge gelernt, die
ihr jetzt in eurer Arbeit ständig
anwendet? Und wie seid ihr überhaupt dazu
gekommen, jetzt in dieser Position zu
sein?
Ich glaube, da würde ich gerne mal
anfangen, weil es bei mir ehrlicherweise
ganz gut passt.
Apropo Erklärung
Ich habe meinen Einstieg in die
IT-Sicherheit über das Thema Security
vollzogen. Will ich mal sagen.
Ich habe ursprünglich
Kommunikationswissenschaften studiert,
wo er auch viel mit Werbung und
Journalismus und PR und so was mit
drinsteckt und
wollte aber gerne in die IT-Sicherheit
kommen und hab mir dann überlegt
okay, wie ich das ganze jetzt kombinieren
kann und da dementsprechend auch meine
Fähigkeiten gut einsetzen kann.
Und für mich hat dieses Thema Security
sehr viel mit so einer so eine Art
Dolmetscher Funktion, wie ich vorhin
schon gesagt habe zu tun.
Sprich ich erkläre Leuten Dinge und
schaue, wie ich das verständlich machen
kann und schaffe es vielleicht
auch, dass Leute doch mal andere Dinge
als 1 2, 3 4 5 als ihr Passwort verwenden
und verdeutlichte die Wichtigkeit
für und das konnte
ich durch diesen diesen
Kommunikationswissenschaftlerin
Hintergrund plus meinem technischen
Know how glaube ich ganz gut vermitteln.
Und dieses technische Know how, das ist
etwas, was ich mir in meiner Freizeit
privat angeeignet habe.
Über sämtliche Methoden, die einem
einfallen können, irgendwelche Kurse,
irgendwelchen Youtube-Videos,
irgendwelche Artikel, irgendwelche Write
ups von irgendwelchen Capture
Fleck Events oder sowas
selber an irgendwelchen Events
teilgenommen.
Mir macht sowas einfach super viel Spaß
und da habe ich mich selbst reingeguckt.
Ja, war bei mir auch ähnlich, ich habe
ich habe irgendwann in der Ich hatte
habe Schule abgebrochen und habe dann
quasi einfach quasi autodidaktisch diese
Themen gelernt.
Ich habe festgestellt, dass Schule was
ist, wo ich so allgemein nicht
funktioniere mit unseren.
Hatte dann eine Ausbildung und ich bin
ich bin offiziell technische Assistentin
der Informatik.
Ich habe damals aber schon als
Programmieren gearbeitet.
Das heißt, ich habe mich dann quasi zu
meiner eigenen Assistentin ausbilden
lassen und das war so der Moment,
wo ich gemerkt habe Okay, vielleicht muss
ich das einfach machen.
Und dann waren tatsächlich also
Open Source Community war für mich
persönlich wahnsinnig nützlich, einfach
weil ich diesen Code anschauen konnte und
weil man die Tools runterladen konnte
und ich persönlich gern ganz viel durch
ausprobieren.
Und was was für mich
heutzutage auch tatsächlich extrem
nützlich ist, ist so
die Fähigkeit, offene Ressourcen, die da
sind, zu benutzen,
um um dann zu lernen und in den letzten
Jahren war es okay, habe für mich sehr
nützlich.
Sollte man natürlich im universitären
Bereich nicht benutzen, aber wenn man
keinen Zugriff auf Papers hat, sollte man
es daher nicht in Erwägung ziehen.
Also bei mir
war es so ich bin im.
Ich komme eigentlich aus der Front der
Entwicklung und
habe eher den
Weg gefunden, weil ich
ein bisschen frustriert über den Zustand
der IT-Sicherheit in der Entwicklung
war, weil
tatsächlich das Thema IT-Sicherheit nicht
unbedingt nur jetzt
sag ich mal für Laien unbekannt
oder vielleicht auch unbequem ist,
sondern auch teilweise für die
Entwicklungs Gemeinschaften.
Und
dann hat sich das in der
Firma, wo ich gearbeitet habe, ergeben,
dass ich nicht schnell genug nein gesagt
habe, quasi.
Und dadurch den Posten bekomme
und mich in der Richtung halt
weiterentwickelt habe
bzw. habe weiter ausbilden
lassen.
Und ja, es
ist für mich gefühlt halt
auch ein ständiges Weiterbilden.
Also ich nehme auch jede Zertifizierung
mit, die ich kriegen kann.
Ich lerne halt gerne
immer weiter dazu.
Dinge verändern sich auch.
Das heißt, das, was vielleicht
vor fünf Jahren wirklich State
of the art war, ist vielleicht heute
nicht mehr der Fall.
Und da ja.
Muss ständig geguckt
werden, das hält ja
weitere Bildung dann reinkommt
und was ich total
flauschig fand, ist vor allem die
IT Security Community,
weil ich mich da eigentlich
relativ schnell gut eingefunden
habe und
dann auch ja mittlerweile im Kontext
der Hexen auch relativ
zufrieden bin, oder ja
sehr froh dabei zu sein.
Und es ist aber auch tatsächlich so, dass
ich auch immer mal wieder von
Recruiter innen angesprochen
werde, wie schön es doch ist, eine
Frau ins Recht zu haben.
So selten sind wir tatsächlich nicht.
Wir sind einfach nur nicht so laut.
Vielleicht muss man das noch mal kurz
erwähnen.
Es gibt eine ganze Menge von
IT-Sicherheit.
Frauen haben, die
einen wundervollen Job machen.
Dann übernehme ich doch gleich mal von
dir, das kann ich auf jeden Fall
unterstreichen.
Genau die Ich fand den Punkt aus Du
gesagt, dass gerade mit der einerseits
Community, aber auch die Zertifizierungen
dies alles gibt oder auch Weiterbildung
finde ich, ist ein wichtiger Punkt, weil
es gibt wirklich für jeden der Interesse
hat. Es gibt einfach zu viel und es gibt
auch echt viel was gratis ist.
Auch nicht die Zertifizierung
an sich, aber einfach
Informationsmaterial.
Es gibt so viele Seiten,
auf denen man auch einfach einen gratis
Monat machen kann.
Dann kann man in den Monat so viele
Videos durchschauen und sich so viel
aneignen oder eben
auch gratis Seiten, auf denen man sich
einfach anschauen kann. Okay, wie
funktioniert dein Hacking und das ganze
einfach nachstellen kann in einem legalen
Kontext.
Bei mir war es so ich hab erst
Medien studiert für ein Jahr und habe
dann entschieden. Da war zwar Informatik
dabei, aber eben nur so ein kleiner
Teil.
Und dann habe ich entschieden auf
Unternehmens und IT-Sicherheit zu
wechseln und das war quasi zur einen
Hälfte eben
die Unternehmens Sicherheit mit den
Compliance, den ganzen Vorgaben, die es
gibt und die technische Sicherheit.
Und habe dann eben danach auch direkt
als Investoren angefangen, habe aber
irgendwann gesagt Ich habe jetzt genug
kaputt gemacht.
Ich würde jetzt gern mal sehen, wie man
es dann besser machen kann.
Also warum komme ich nach einem Jahr und
jeder Kunde hat immer noch die gleichen
Schwächen?
Das war für mich die Herausforderung,
dass ich gesagt habe, es wird gemacht,
die defensive Seite mehr anschauen
und eben schauen wo ist die große
Herausforderung.
Und das ist das, was ich jetzt auch oft
versucht bei der Arbeit.
Also ich sehe mich immer als ein Adler,
weil ich habe teilweise Projekte, die
gehen man einen Tag oder eine Woche.
Also ich habe nur einen Tag Workshop mit
dem Kunden und ich will die Leute dann
dazu vernebeln, dass sie sagen Ich bin
jetzt selber in der Lage, zumindest
so grob. Dieses habe ich jetzt das
Verständnis. Wie geht der Angreifer vor
und kann jetzt mit den Infos auch
für mich selber weiterarbeiten.
Das ist mir total wichtig.
Und genau Christina, hast du noch gesagt,
dass eben zu dem Punkt der Community
das ist super wichtig, weil wir uns
so wie jetzt hier haben wir auch
regelmäßige Hexenhaus
und es ist total schön sich
auszutauschen.
Man lernt super viel.
Ich habe ja tatsächlich Informatik
studiert.
Tatsächlich aber ohne fast ohne
IT-Security Inhalte.
Also wir hatten irgendwie ein komplettes
Praktikum, Kryptografie und dann hatten
wir so, was irgendwie Informatik und
Gesellschaft hieß und es so ein bisschen
am Rande gestreift hat.
Aber das war es eigentlich tatsächlich.
Also in meinem Diplom Studium damals noch
hat es eine total untergeordnete Rolle
gespielt und ich war auch in diesem
Studium am Ende echt ziemlich
orientierungslos, was ich machen will.
Ich hatte viel theoretische Informatik
gemacht und fand es eigentlich sehr cool,
mich so im Detail mit irgendwie
irgendwelchen Beweisen für irgendwelche
Grammatiken über Baumstruktur oder sowas
zu befassen und war aber am Ende vom
Studium da wo ich dachte das ist halt
super Grundlagenforschung.
Ob das jemals irgendeinen Nutzen hat, so
wie das da betrieben wurde und wann,
in welcher fernen Zukunft
und so ein bisschen. Und ich glaube, es
gibt da Sachen, die sind manchmal close
to application, also die sind viel näher
dran, verwertet zu werden.
Das, was damals an dem Lehrstuhl war, wo
ich unterwegs war, war er sehr
esoterisch.
Und
genau deshalb, da war ich irgendwie da.
Hatte ich denn da kein Bock mehr drauf,
weiterzumachen? Softwareentwicklung wollt
ihr nicht machen? Es ist wirklich ein
offenes Verfahren.
Softwareentwicklung wollte ich nicht
machen, weil ich irgendwie lange Projekte
über die Krise kriege.
Wenn man über so einen langen Zeitraum
irgendwas bauen muss und dann
funktioniert es nicht richtig.
Und dann braucht man noch eine Iteration,
damit der Kunde doch noch was anderes.
Und da hatte ich irgendwie nicht das
Gefühl, dass ich dafür die puste.
Aber ich habe tatsächlich dann erst mal
fünf Jahre komplett anderes Zeug gemacht,
was gar nichts mit dir zu tun hatte, viel
mit Kommunikation zu tun hatte,
aus selbstständig war, wo ich irgendwie
so mein eigenes Ding machen konnte und
hab danach überlegt, ich würd jetzt
auch gern wieder was Richtung machen und
hab fast wie so eine Anforderung Analyse
gemacht. Ich habe mir wirklich überlegt,
was muss es, was muss dieser Job
beinhalten, damit er für mich
funktionieren kann? Also welche Themen
finde ich spannend? Aber auch was?
Was? Was funktioniert denn für mich?
Also zum Beispiel funktionieren offenbar
kurze Projekte für mich viel besser als
lange Projekte.
Ich analysiere viel lieber Sachen, die
schon da sind und habe dann da eine
Meinung dazu, die ich vermittle, als
etwas zu bauen über einen langen
Zeitraum.
Das ist einfach eine Art und Weise zu
denken, die mir viel mehr liegt.
Und ich möchte irgendwas machen, was ich
als sinnvoll empfinde und wo ich nicht
denke, ich bastel jetzt an irgendeinem
Produkt rum.
Also ich meine, man kann auch einen total
tollen und sinnvollen Produkten basteln,
aber ich hatte auf jeden Fall irgendwie
das, dass ich dachte, ich möchte, dass
das,
dass das irgendwie was bringt und dass
ich das von mir vertreten kann, da so
viel Zeit reinzustecken in dieser Sache.
Und das finde ich bei Security auf jeden
Fall. Also selbst wenn sozusagen nicht
jeder Kunde, den ich bediene, immer
ein Produkt hat, hinter dem ich voll
stehe, stehe ich auf jeden
Fall voll dahinter, dass weniger von den
dort verarbeiteten Nutzerdaten irgendwie
einen Blick in der Öffentlichkeit
gelangen, zum Beispiel.
Und das waren für mich echt Gründe, mir
das zu überlegen. Und dann habe ich
gedacht Okay, ich kannte damals
hauptsächlich Fantastik und dachte,
da könnte ich mich hin bewegen, dass das
passt so dazu. Und dann habe ich mich
auch tatsächlich so ein bisschen in
Selbststudium eingearbeitet.
Also ich hatte den Informatik Background,
aber der war halt nicht spezifisch.
Und dann habe ich wirklich angefangen.
Genauso wie Lisa das
zum Beispiel erzählt hat, irgendwelche
freien Ressourcen im Netz zu benutzen, um
Sachen auszuprobieren und mich
hineinzudenken.
Und was für mich spannend war, war, dass
ich dann ich habe das ungefähr zwei Jahre
lang gemacht, bis es mich reindenken und
einarbeiten, bis ich dachte, dass ich
jetzt bereit bin, mich irgendwo zu
bewerben, weil ich jetzt genug
vorzuweisen habe.
Und rückblickend denke, ich hätte das
viel früher machen können.
Also wenn ich mir angucke, wo die anderen
Leute eingestiegen sind ich hatte das
Gefühl, fast Quereinsteigerin zu sein,
weil ich so zwischendurch was anderes
gemacht hatte und einfach noch keine
Berufserfahrung in dem Bereich hatte.
Und wenn ich mir jetzt aber denke,
weiß ich eigentlich reicht in Grundlagen
Verständnis und dass man demonstrieren
kann, dass man sich eigenständig in
Themen rein arbeiten kann und dass man es
auch gemacht hat, also dass man das
irgendwie für sich organisiert bekommt.
Da hätte ich viel früher mutig sein
können damals.
Genau das ist auf jeden Fall
etwas, was ich jeder Person
einfach nur raten kann,
wenn sich euch eine Chance bietet.
Nehmt sie auf jeden Fall.
Wir müssen ständig an diesen
Aufgaben wachsen.
Es gibt, glaube ich, in diesem
Bereich nie wirklich dieses Ding.
Okay, jetzt habe ich fertig, jetzt weiß
ich alles.
Das wäre auch relativ gefährlich,
tatsächlich so ranzugehen, sondern
sobald sich so eine Chance bietet,
in den Bereich zu gehen oder auch einfach
anzufragen, in meine Sitzposition
zu gehen.
Es wird ständig gelernt
und
für mich so gefühlt
ist auch jede Herausforderung, die
dann auch gemeistert wird,
hat auch was mit einer inneren Reife
irgendwie zu tun, so dass es
einem immer weiter Sicherheit auch
tatsächlich gibt, auch noch weitere
Dinge tatsächlich anzugehen.
Und es gibt einfach auch so viele
Wege und Möglichkeiten, Dinge
abzusichern, dass es auch gar
nicht darum
geht,
dass alle das Gleiche machen, sondern
tatsächlich herauszufinden, was
funktioniert für uns.
Das ist glaube ich dir der wichtigste
Teil, weil es muss halt für die Firma,
für die einzelnen Abteilungen,
für das einzelne Produkt funktionieren.
Ich glaube, was auch ganz wichtig ist,
ist der Spaß am Gerät,
also dass man Lust drauf hat, neue Dinge
zu lernen, sich selbst
weiterzuentwickeln.
Bei mir ist es zum Beispiel in manchen
Situationen so, dass ich, je mehr ich
weiß, auch umso mehr merke, was ich
nicht weiß.
Es ist aber auch spannend, weil man
dadurch immer wieder neue, neue
Themenfelder entdeckt, die man sich
einarbeiten kann, neue Dinge, die man
lernen kann. Und ich meine, gleichzeitig
ist es ja auch trotzdem so, dass der
Erfahrungsschatz und das Wissen auf dem,
auf das man zurückgreifen kann, immer,
immer größer und immer vielfältiger wird.
Und ich glaube halt diese diese Lust,
sich in neue Themen hineinzuwachsen, die
es unheimlich wichtig um die macht,
glaube ich auch.
Ja, den Großteil meines Spaßes
an der Arbeit eigentlich aus.
Gibt es vielleicht sozusagen, wenn wir
langsam Richtung Ende der Runde steuern,
noch irgendwelche Dinge, die er unbedingt
loswerden wollte? Was die Leute mit auf
den Weg geben wollt, was ihr vielleicht
besonders gern mag an eurem Job,
was auch immer vielleicht noch nicht
Platz gehabt hatte gesagt zu werden, bis
ihr.
Ich weiß nicht, vielleicht können wir so
frei umgehen,
damit das alle abgefangen
haben.
Ich würde gerne damit einsteigen,
dass es in der IT-Sicherheit am
Ende um Menschen geht.
Also ja, Maschinen werden abgesichert
usw. Aber das machen wir nicht
nur, weil wir die Maschinen so sehr
lieben, sondern weil Menschen geschützt
werden sollen.
Und
das zum einen und zum anderen, dass auch
tatsächlich mit Menschen kommuniziert
werden muss. Und
ich denke auch hoffentlich
so ein bisschen in die Richtung
zu gehen, dass es mit
in den Alltag gehört.
Diese sogenannte Datensouveränität
auch tatsächlich leben zu können,
das dafür aber auch die Verantwortung
der jeweiligen
Hersteller notwendig
ist, wenn wir Daten
anvertrauen, wenn wir uns auf Dienste
verlassen möchten,
dass auch diese entsprechende Sorgfalt
tatsächlich getan wurde.
Und eines der
Dinge, die ich mir wünschen würde, die
weniger passieren, sind
wundervolle Ideen,
die leider dank unsicherer
IT und nutzbar
werden.
Ich würde ich.
Ich finde das total gut, ein Punkt, den
du genannt hast, Christina.
Und ich würde hinzufügen, dass
ich persönlich so sehr
nicht standardmäßigen Weg so über
einfach so, ich kann das jetzt selber und
ohne, ohne, ohne Studium
in irgendeiner Weise, außer
natürlich einem Selbststudium oder einem
autodidaktisch Studium.
Und ich möchte einfach sagen, dass es
letztlich auch
wenn ich glaube, wir haben ja auch bei
vielen Leuten hier gehört, dass es eben
dann doch auch so dieses selbst lernen,
sich selbst bilden eine große Rolle
spielt. Und ich glaube einfach, ich würde
gerne Leute ermutigen, da
auch so ein bisschen die
Selbstermächtigung
zu wagen, zu sagen, wenn ihr sagt, dass
es ein Thema, das interessiert euch und
wollte irgendwie rein, fangt einfach
damit an, sucht euch die Ressourcen im
Internet und und wenn
ihr eine Einladung braucht, die ich immer
gebraucht habe, ich habe immer gebraucht.
Irgendjemand musste mich dann einladen.
Ja, hier komme ich dazu und dann bin ich
dazugekommen. Und dann habe ich gedacht
Oh, da passe ich irgendwie rein.
Das funktioniert ja irgendwie für mich.
Und wenn ihr eine Einladung braucht,
um quasi mit IT-Security
anzufangen, dass ich euch da auch
berechtigt fühlt, das zu machen, hier ist
eure Einladung. Ich lade euch alle ein,
da teilzunehmen und es einfach zu machen.
Sucht euch die Ressourcen zusammen, lest
Code im Internet, macht das,
macht das einfach. Mal schauen, wie weit
ihr damit kommt, weil
es es gibt. Die Leute, mit denen man sich
dann am Schluss verbunden verbünden kann
und mit dem man dann gute Projekte
zusammen machen kann.
Es dauert vielleicht eine Weile, aber
so ein bisschen Krieg zu haben, so ein
bisschen dabeizubleiben lohnt sich
manchmal.
Dazu passt auch mein Punkt mit der
Kommunikation Das ist einfach.
Der Austausch ist total wichtig,
wenn man kann.
Es ist wichtig, ganz, ganz viel, sich
einzulesen und alles zu nutzen, was
man an Ressourcen hat, aber dass man sich
eben auch gut austauscht.
Ich habe es noch von allen meinen
bisherigen Arbeitgebern immer eine Gruppe
an Leuten, die ich mitgenommen habe, mit
denen ich mich regelmäßig treffe oder
mit dem letzten Arbeitgeber haben wir
einmal die Woche ein Telefonat
mit Telefonieren zusammen.
Und wenn man sich einfach austauscht,
dann kommt man auch so aus seinem eigenen
Denken heraus. Wenn man selber hat er
dann irgendwann eine Idee von irgendwas
und dann ist es gut, wenn mal jemand
kommt und sagt Ja, aber hast du schon an
folgendes gedacht und es erweitert
den Horizont. Und wenn man
noch nicht so viele Leute kennt, weil man
eben noch nicht so tief im Bereich drin
ist, dann kann man eben einfach schauen,
was im Chaos Computer Club, in der
eigenen Stadt oder ganz generell
einfach irgendwo Meetups, zum Beispiel
im Security Bereich oder generell nicht
aus im Bereich der oberste
Stammtisch, den es auch gibt.
Also es gibt ganz viel, was da angeboten
wird und da einfach
seine Leute zu finden, das
will ich euch mitgeben. Also schaut
einfach
oder maxen Gruppe in der eigenen Stadt
oder die Hexen Gruppe direkt.
Ich glaube, mein Punkt reiht sich
eigentlich nahtlos ein in die ganzen
Sachen, man ist bloß eine kleine
Ergänzung.
Ich würde empfehlen, keine Scheu zu
haben, Fragen zu stellen.
Ich empfinde diese gesamte Community als
wahnsinnig offen für Fragen.
Da wird kaum jemand mal sagen Nein, ich
habe gerade keine Lust zu.
Vielleicht mal gib mir mal irgendwie den
Tag und dann antworte ich dir oder so
was. Und ansonsten wird man glaube ich
immer über eine Antwort bekommen.
Und das ist irgendwie für jeden
so eine kleine oder jede so eine kleine
Nische gibt.
Wie wir schon zu Anfang gesagt haben,
gibt es so viele unterschiedliche Berufe,
so viele unterschiedliche
Themenschwerpunkte.
Und ich glaube, da kann sich jeder oder
jede so eine kleine Nische suchen, wo er
oder sie sich wohlfühlt.
Ich würde auch den Bereich Community noch
mal total unterstreichen in diesen vielen
Ressourcen, die man alle nutzen kann.
Das sind so viele, das ist ganz schön
schwierig ist sich zu orientieren.
Und für mich war es hilfreich, irgendwann
Leute zu finden, die mir gesagt haben Ja,
ich mache es damit, weil das funktioniert
für mich am besten. Und dann habe ich
einen Ansatzpunkt da, dann starte ich da
mal, das war wahnsinnig hilfreich.
Aber auch Ausdauer zu haben beim Finden
von Communities nicht.
Ich habe da bestimmt eine ganze Reihe von
Mitchells und Veranstaltungen
durchprobiert, wo ich auch das Gefühl
hatte, manchmal, da passe ich nicht so
rein oder das macht mir einfach nicht so
viel Spaß. Also nicht, dass ich jetzt
komisch behandelt worden bin, aber
irgendwie sind wir nicht so auf der
gleichen Wellenlänge oder so und
es hat sich aber total gelohnt, weiter zu
suchen und zu gucken.
Und vielleicht als allerletzten Punkt
noch, dass im Moment in diesem Bereich
alle, wirklich jede einzelne
Firma, die was damit zu tun hat,
händeringend
nach Leuten sucht, die arbeiten.
Also wenn man in diesen Bereich rein
möchte, dann ist es eine super gute
Chance das zu machen.
Der Vorteil davon, wenn man dann da schon
mal angestellt ist, dass sie einem auch
diese Kurse bezahlen.
Also man kann ja total viel in seiner
Freizeit und alleine machen und es ist
super. Aber das hängt auch davon ab, wie
viel man Freizeit hat.
Also manchmal hat man noch anderes zu
tun, was weiß ich Kinder zu betreuen
andere Verpflichtungen im Leben und kann
nicht tonnenweise seine eine Zeit der
reinkippen, sozusagen freie
Tutorials im Netz zu bearbeiten.
Und ich denke, man muss irgendwie eine
gewisse Vorleistung haben, um etwas
zeigen zu können, um sagen zu können Hey,
es lohnt sich. Und ich habe schon
demonstriert, dass ich mich da rein
fuchsen.
Aber eine ganze Menge kann man auch
einfach im Dunning by doing lernen und
durch Kurse, die eigentlich wirklich
viele Leute in viele Firmen in diesem
Bereich tätig sind, den Angestellten auch
ermöglichen.
Genau.
Also Macht.
Einige Zertifizierungen sind zwar
furchtbar teuer, aber
ich würde auf jeden Fall
alle, die Spaß
an diesen Themen haben
und denen diese Themen wichtig sind
und die auch gerne lernen,
wie Dinge funktionieren, wie man sie
kaputt machen kann, wie man sie am besten
so festigt, dass
sie nicht so schnell kaputt gehen.
Tatsächlich auch auf Arbeitgeber
zuzugehen, zu sagen Das ist das, was ich
bringe, das ist das, wo ich hin möchte.
Und ich glaube, dass
da sehr viel Potenzial tatsächlich denn
auch sich entwickeln kann.
Was ein schönes Schlusswort, oder?
Dann sage ich euch allen total Danke
dafür, dass ihr hier in der Runde dabei
wart.
Es hat total Spaß gemacht.
Es hat auch Spaß gemacht, euch dadurch
noch mal ein bisschen besser kennenzulernen.
Ich hoffe, es hat für die Menschen, die
zugehört haben, irgendwie einen Mehrwert
und den Input gebracht.
Und ich denke, die meisten von uns werden
auch in der Diskussion noch da sein.
Das heißt, wenn Fragen offen geblieben
sind, auf die ihr ganz dringend
noch eine Antwort haben wollt, oder wenn
ihr zu irgendeinem von den Themen, die
wir so reingeworfen haben, noch ein
bisschen diskutieren wollt.
Wenn wir dann tatsächlich noch zur
Verfügung stehen, jetzt in Acht.
Genau.
Vielen Dank auch von meiner Seite.
Vielen Dank!
Wow, also das war eine spannende
Einblicke, ich wünschte, ich hätte das
vielleicht schon ein paar Jahre früher
gesehen Sonntag gehabt,
dann wäre mein Werdegang vielleicht auch
ein bisschen anders gewesen.
Aber ihr habt jetzt die Chance, ihr könnt
Fragen stellen. Wir wechseln jetzt direkt
in einem Big blubberte Raum.
Den seht ihr da unten
und es gibt den QR-Code.
Aber ich lese Raum jetzt auch mal vor.
Also kein Stress.
Die Adresse ist https
doppelpunkt doppelt slash
events Punkt.
Hexen Punkt org
slash orson
unterstrich ader
punkt html
ich freu mich auf euch und ich denke die
Profis auch.
Bis gleich.