Serguey Asael Shinder – IT Professional

von Serguey Shinder

Früher stellte ich mir Sicherheit als ein technisches Wettrüsten vor. Stärkere Verschlüsselung, sauberere Bibliotheken, der bessere Algorithmus. Ich glaubte, wenn mein Code nur solide genug wäre, wäre das System sicher. Es dauerte, bis ich verstand, dass ich die ganze Zeit auf die falsche Schlacht starrte.

Denn fast jeder Vorfall, den ich aus der Nähe sah, ging nicht durch die Mathematik. Er ging durch einen Menschen. Ein Passwort, das dreimal wiederverwendet und woanders geleakt war. Ein Zugang, der nach dem Weggang eines Kollegen aktiv blieb, weil niemand ihn entzog. Eine Ausnahme „nur für heute”, die zwei Jahre stehen blieb. Der Angreifer knackte nichts. Er fand eine offene Tür, die ein müder, gut meinender Mensch zu schließen vergessen hatte.

Das war unbequem zu akzeptieren, weil die technische Seite die ist, die ich kontrollieren kann und gern kontrolliere. Ein Algorithmus zu härten fühlt sich nach Fortschritt an. Einen langweiligen Prozess durchzusetzen, damit jeder Zugang beim Weggang endet, fühlt sich nach Bürokratie an. Aber genau die langweilige Hygiene entscheidet, nicht die glänzende Kryptografie.

Was mein Denken umformte, war die Einsicht, dass ein Angreifer faul ist, und faul zu sein ist rational. Warum eine Verschlüsselung angreifen, wenn ein wiederverwendetes Passwort danebenliegt. Ich hörte auf zu fragen, ob mein Code sicher ist, und fing an zu fragen, wo der bequemste Weg herein liegt und ob ich ihn geschlossen habe.

Heute behandle ich Sicherheit weniger als Bollwerk und mehr als Gewohnheit. Ein starkes Schloss an einer offenen Hintertür ist bloß Dekoration. Die schwerste Arbeit in der Sicherheit ist nicht die cleverste Verteidigung zu bauen. Es ist, das Langweilige immer wieder zu tun, an jedem Tag, an dem nichts passiert.

– Serguey Asael Shinder